Auftragsverarbeitungsvertrag

1. Parteien und Gegenstand

Verantwortlicher ist das Hotel (Kunde). Auftragsverarbeiter ist hantha GmbH als Betreiber von geowatt. Gegenstand ist die Verarbeitung personenbezogener Daten bei der Nutzung von geowatt gemäß den AGB.

2. Agenturen

Nutzt eine Agentur geowatt für ein Hotel, ist die Agentur Auftragsverarbeiter des Hotels und geowatt Unterauftragsverarbeiter der Agentur. Die Agentur stellt sicher, dass mit dem Hotel ein entsprechender Vertrag besteht.

3. Art der Daten und Betroffene

Daten von Mitarbeitenden des Kunden und beauftragten Dienstleistern: Name, E-Mail, Position, Profilbild, Aktivitäten im Tool, Kommentare, Dateien. Gästedaten werden für geowatt nicht benötigt; der Kunde lädt keine hoch.

4. Weisungen

geowatt verarbeitet Daten nur auf dokumentierte Weisung des Kunden, die durch die Nutzung des Tools und diesen Vertrag erteilt wird. Hält geowatt eine Weisung für rechtswidrig, wird der Kunde informiert.

5. Vertraulichkeit

Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet.

6. Technische und organisatorische Maßnahmen

Verschlüsselte Übertragung (HTTPS, HSTS).

Mandantentrennung in der Datenbank: Zeilenbasierte Zugriffsregeln prüfen bei jeder Abfrage die Mitgliedschaft im Hotel.

Rollen und Rechte (Admin, Mitglied, Agentur-Zugriff), widerrufbar durch den Hotel-Admin.

Private Dateiablage mit zeitlich begrenzten Links.

Protokoll aller automatischen Änderungen (Autopilot) und Aufgabenereignisse.

Schutz vor Einbettung in fremde Seiten, Sicherheits-Header, regelmäßige Sicherheitsprüfungen.

Sicherungen durch den Hosting-Anbieter.

7. Unterauftragsverarbeiter

Der Kunde stimmt folgenden Unterauftragsverarbeitern zu. Über neue informiert geowatt mindestens 30 Tage vorher; der Kunde kann widersprechen.

Lovable Labs Inc. (inkl. Supabase Inc., Cloudflare Inc.): Hosting, Datenbank, Anmeldung, Dateispeicher (EU/USA).

OpenAI (ChatGPT): KI-Abfragen zu Hotels (keine Gästedaten) (USA).

Google (Gemini): KI-Abfragen zu Hotels (keine Gästedaten) (USA/EU).

Anthropic (Claude): KI-Abfragen zu Hotels (keine Gästedaten) (USA).

Google Ireland Ltd. (Google Analytics): Reichweitenmessung der Website, nur nach Einwilligung (EU/USA).

8. Unterstützung

geowatt unterstützt den Kunden bei Anfragen Betroffener (z. B. durch Export- und Löschfunktionen im Tool), bei Datenschutz-Folgenabschätzungen und meldet Datenschutzverletzungen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.

9. Löschung und Rückgabe

Nach Vertragsende oder Löschung des Hotels durch den Admin werden die Hoteldaten gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Vorher kann der Kunde seine Daten exportieren.

10. Kontrollen

geowatt stellt dem Kunden die zum Nachweis nötigen Informationen bereit und ermöglicht Prüfungen nach angemessener Vorankündigung.