Auftragsverarbeitungsvertrag (AVV)

Aktualisiert am 2026-08-24

Dieser Auftragsverarbeitungsvertrag (Data Processing Agreement, „AVV") ist integraler Bestandteil der AGB von BedFlow (Art. 11) und gilt kraft Gesetzes für jedes Abonnement. Kunden, die ein unterzeichnetes Exemplar wünschen, können dieses über info@fades-management.com anfordern.

1. Parteien und Gegenstand

Dieser AVV wird geschlossen zwischen:

dem Kunden, wie im Abonnement identifiziert, nachfolgend der „Verantwortliche" (Art. 4.7 DSGVO); und
Fades Management EOOD („BedFlow"), ansässig in Plovdiv 4000, Bulgarien, UIC/USt BG208 607 050, nachfolgend der „Auftragsverarbeiter" (Art. 4.8 DSGVO).

Er regelt gemäß Art. 28.3 DSGVO die Verarbeitung personenbezogener Daten von End-Gästen, die der Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen des Dienstes durchführt.

Für die Daten des eigenen Kontos des Kunden (Kontaktdaten, Abrechnung, Logins) handelt BedFlow selbst als Verantwortlicher; diese Verarbeitung unterliegt der Datenschutzerklärung und nicht diesem AVV.

2. Laufzeit

Dieser AVV gilt für die Dauer des Abonnements, verlängert um die 30-tägige Exportfrist nach Beendigung (AGB, Art. 10), und endet, sobald alle personenbezogenen Daten gemäß Art. 11 dieses AVV gelöscht oder zurückgegeben wurden.

3. Art, Zweck und Umfang der Verarbeitung

| Element | Beschreibung | |---|---| | Art der Verarbeitung | Hosting, Speicherung, Strukturierung, Abfrage, Übermittlung und Löschung über die SaaS-Anwendung BedFlow | | Zweck | Verwaltung von Reservierungen, Gästekommunikation, Rechnungsstellung und gesetzliche Gästeregistrierung für die Unterkünfte des Kunden | | Kategorien betroffener Personen | End-Gäste des Kunden und deren Mitreisende | | Kategorien personenbezogener Daten | Identifikationsdaten (Name, E-Mail, Telefon), Buchungsdaten (Daten, Zimmer, Preis, Anmerkungen), Adress- und Abrechnungsdaten, Kommunikation mit dem Kunden, gesetzlich vorgeschriebene Registrierungsdaten | | Besondere Kategorien | Keine; der Kunde verpflichtet sich, keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) über den Dienst zu verarbeiten |

Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich auf Grundlage dokumentierter Weisungen des Verantwortlichen, wie sie im Abonnement, in diesem AVV und in der vom Kunden selbst im Dienst vorgenommenen Konfiguration festgelegt sind. Der Auftragsverarbeiter informiert den Kunden unverzüglich, wenn eine Weisung seiner Auffassung nach gegen die DSGVO verstößt.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter:

verarbeitet die personenbezogenen Daten ausschließlich für die in Art. 3 beschriebenen Zwecke und niemals für eigene Zwecke;
gewährleistet, dass alle Personen, die unter seiner Aufsicht Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind;
ergreift die in Art. 5 beschriebenen technischen und organisatorischen Maßnahmen;
unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei der Beantwortung von Anfragen betroffener Personen (Art. 12–23 DSGVO) und bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen);
stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind (Art. 10 dieses AVV);
löscht oder gibt die Daten nach Abschluss der Dienstleistung zurück (Art. 11 dieses AVV).

5. Sicherheit (Art. 32 DSGVO)

Der Auftragsverarbeiter ergreift mindestens folgende Maßnahmen:

TLS-Verschlüsselung für alle Verbindungen (HTTPS)
Verschlüsselung im Ruhezustand für Datenbanken und Backups
Rollenbasierte Zugriffskontrolle und Zwei-Faktor-Authentifizierung für Mitarbeiter
Tägliche Backups, aufbewahrt für 30 Tage
Protokollierung und Audit-Trail von Zugriffen und Änderungen
Regelmäßige Sicherheitsaudits und Updates
Ein dokumentiertes Incident-Response-Verfahren

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung für den Einsatz von Unterauftragsverarbeitern.
Die aktuelle Liste der Unterauftragsverarbeiter befindet sich in der Datenschutzerklärung (Abschnitt 6).
Änderungen (Hinzufügung oder Ersetzung) werden mindestens 30 Tage im Voraus per E-Mail oder über den Dienst angekündigt. Der Verantwortliche kann innerhalb dieser Frist schriftlich und begründet Einspruch erheben; führt die Abstimmung zu keiner Lösung, kann er das Abonnement vor Inkrafttreten der Änderung kostenlos kündigen.
Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf wie in diesem AVV und haftet gegenüber dem Verantwortlichen in vollem Umfang für deren Erfüllung.

7. Verarbeitungsort und internationale Übermittlungen

Die Anwendung und die Produktionsdatenbank werden bei Hostinger International auf Servern in Paris, Frankreich (EU) gehostet.
Bestimmte Unterauftragsverarbeiter verarbeiten Daten in den Vereinigten Staaten. Für diese Übermittlungen gelten Standardvertragsklauseln (SCCs), Angemessenheitsbeschlüsse soweit anwendbar (u. a. das EU-US Data Privacy Framework) sowie ergänzende technische und organisatorische Maßnahmen, wie in der Datenschutzerklärung (Abschnitt 7) beschrieben.
Darüber hinaus werden keine personenbezogenen Daten ohne geeignete Garantien in Länder außerhalb des EWR übermittelt.

8. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten, die die Daten des Verantwortlichen betrifft, ohne unangemessene Verzögerung und spätestens innerhalb von 48 Stunden nach Feststellung an die vom Kunden angegebene E-Mail-Adresse.
Die Meldung enthält mindestens die in Art. 33.3 DSGVO genannten Informationen: die Art der Verletzung, die betroffenen Kategorien und ungefähre Zahlen, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Noch nicht verfügbare Informationen werden schrittweise nachgereicht.
Der Auftragsverarbeiter leistet angemessene Unterstützung bei der Meldung an die Aufsichtsbehörde (72-Stunden-Frist des Verantwortlichen, Art. 33 DSGVO) und, soweit erforderlich, an die betroffenen Personen (Art. 34 DSGVO).
Der Auftragsverarbeiter dokumentiert jede Verletzung und die ergriffenen Maßnahmen.

9. Rechte der betroffenen Personen

Erhält der Auftragsverarbeiter direkt eine Anfrage eines End-Gastes (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch), leitet er diese unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, es sei denn, der Verantwortliche weist ihn dazu an. Der Dienst bietet dem Verantwortlichen die Funktionalität, solche Anfragen selbst zu bearbeiten (Auskunft, Korrektur, Export und Löschung von Gästedaten).

10. Kontrolle und Audit

Der Auftragsverarbeiter stellt auf Anfrage alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen.
Der Verantwortliche darf höchstens einmal pro zwölf Monate ein Audit durchführen (lassen), unter Einhaltung einer schriftlichen Ankündigungsfrist von 30 Tagen, während der Geschäftszeiten, ohne Störung des Dienstes und auf eigene Kosten. Der Auditor ist zur Vertraulichkeit verpflichtet und darf kein Wettbewerber des Auftragsverarbeiters sein.
Verfügbare Auditberichte oder Zertifizierungen können anstelle eines Vor-Ort-Audits vorgelegt werden.

11. Rückgabe und Löschung

Der Verantwortliche kann jederzeit selbst einen vollständigen Export seiner Daten in strukturierten Formaten (CSV, JSON) durchführen.
Nach Beendigung des Abonnements behält er 30 Tage Zugang für den Export. Danach werden alle personenbezogenen Daten endgültig gelöscht; Backups rotieren innerhalb der darauffolgenden 30 Tage aus.
Daten, die einer gesetzlichen Aufbewahrungspflicht unterliegen (u. a. Abrechnungsdaten), werden für die Dauer dieser Pflicht aufbewahrt und danach gelöscht.

12. Haftung

Für die Haftung unter diesem AVV gilt die Regelung des Art. 8 der AGB, unbeschadet der zwingenden Bestimmungen der DSGVO, einschließlich Art. 82.

13. Anwendbares Recht und Gerichtsstand

Dieser AVV unterliegt bulgarischem Recht, unbeschadet der unmittelbar anwendbaren Bestimmungen der DSGVO. Zuständig sind die Gerichte von Plovdiv, Bulgarien (AGB, Art. 13).

Version: 1.0
Datum: 24. August 2026
Kontakt: info@fades-management.com