Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer der Auftragsverarbeitung

Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Namen und auf Weisung des Verantwortlichen im Rahmen der Nutzung der SaaS-Buchungsplattform Regiondotour. Die Verarbeitung erfolgt zum Zweck der Bereitstellung der vertraglich vereinbarten Leistungen, insbesondere zur Verwaltung von Touren, Erlebnissen, Buchungen, Tickets und Kundenkommunikation.

Dieser AVV gilt für die gesamte Laufzeit des Hauptvertrages und endet mit dessen Beendigung, soweit nachvertragliche Pflichten (insbesondere Löschung oder Rückgabe von Daten) nicht ein späteres Ende erfordern.

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich zu folgenden Zwecken:

• Bereitstellung, Betrieb und Wartung der SaaS-Buchungsplattform Regiondotour einschließlich Verwaltungs-Dashboard, Buchungsmodul, Ticketing, Bestandsverwaltung und Reporting.
• Speicherung und Bearbeitung von Buchungen, Zahlungen, Tickets und Vouchers auf Anfrage der Endkunden des Verantwortlichen.
• Übermittlung transaktionaler Nachrichten (Buchungsbestätigungen, Zahlungsbelege, Erinnerungen) an die vom Verantwortlichen angegebenen Endkunden.
• Erbringung von technischem Support gegenüber dem Verantwortlichen.
• Erfüllung gesetzlicher Aufbewahrungspflichten, soweit dies rechtlich vorgeschrieben ist.

Eine darüber hinausgehende Verarbeitung, insbesondere zu eigenen Werbezwecken, findet nicht statt.

3. Art der personenbezogenen Daten

Im Rahmen der Auftragsverarbeitung werden insbesondere folgende Kategorien personenbezogener Daten verarbeitet:

• Stammdaten der Endkunden (Vor- und Nachname, ggf. akademischer Titel, ggf. Geburtsdatum).
• Kontaktdaten (E-Mail-Adresse, Telefonnummer, ggf. Anschrift).
• Buchungsdaten (gebuchte Tour oder Aktivität, Datum, Zeitfenster, Teilnehmerzahl, Sonderwünsche, Sprache).
• Zahlungsdaten in maskierter Form (Zahlart, letzte vier Stellen der Karte, Betrag, Status).
• Kommunikationsdaten (E-Mail-Verkehr, Support-Chats, Voucher- und Ticketinformationen).
• Technische Daten (IP-Adresse in gekürzter Form, Zeitstempel, User-Agent-Kennung).

4. Kategorien betroffener Personen

Von der Verarbeitung betroffen sind insbesondere:

• Endkunden des Verantwortlichen (Reisende, Teilnehmende an Touren, Aktivitäten oder Erlebnissen).
• Ansprechpersonen und Mitarbeitende des Verantwortlichen mit Zugriff auf das Verwaltungs-Dashboard.
• Besucher der öffentlichen Buchungsstrecken, die der Verantwortliche unter seinem eigenen Namen oder als eingebettete Widgets bereitstellt.

5. Weisungsbindung des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als dokumentierte Weisung gilt insbesondere die Nutzung der bereitgestellten Konfigurationsoptionen im Verwaltungsbereich, die Zusendung schriftlicher Anweisungen per E-Mail sowie Individualvereinbarungen zwischen den Parteien. Sofern eine Verarbeitung durch Unions- oder Mitgliedstaatsrecht bzw. durch das Recht Montenegros vorgeschrieben ist, teilt der Auftragsverarbeiter dem Verantwortlichen die entsprechenden rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung des Verantwortlichen gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich hierüber und ist berechtigt, die Umsetzung der Weisung bis zur Klärung auszusetzen.

6. Vertraulichkeit

Der Auftragsverarbeiter verpflichtet die für die Auftragsverarbeitung eingesetzten Mitarbeitenden und weiteren beauftragten Personen zur Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b DSGVO, soweit diese nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung des Arbeitsverhältnisses bzw. der Beauftragung fort.

7. Sub-Auftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung weiterer Sub-Auftragsverarbeiter (Sub-Prozessoren) durch den Auftragsverarbeiter. Zum Zeitpunkt des Vertragsschlusses werden folgende Sub-Auftragsverarbeiter eingesetzt:

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Kalendertage vor Beauftragung eines weiteren oder eines geänderten Sub-Auftragsverarbeiters per E-Mail und veröffentlicht die aktuelle Liste unter regiondotour.org/dpa. Der Verantwortliche kann aus wichtigem, datenschutzbezogenem Grund innerhalb dieser Frist widersprechen. Im Falle eines berechtigten Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung; kommt eine solche nicht zustande, kann der Verantwortliche den Hauptvertrag außerordentlich kündigen.

Der Auftragsverarbeiter verpflichtet jeden Sub-Auftragsverarbeiter vertraglich zu Datenschutzpflichten, die mit denen dieses AVV vergleichbar sind, insbesondere zu ausreichenden technischen und organisatorischen Maßnahmen.

8. Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese Maßnahmen werden regelmäßig überprüft und dem Stand der Technik angepasst. Zum Zeitpunkt der Erstellung dieses AVV umfassen sie insbesondere:

• Verschlüsselung in der Übertragung: ausschließlich TLS 1.3 mit modernen Cipher-Suiten für sämtliche externen Verbindungen; HSTS aktiviert.
• Verschlüsselung im Ruhezustand: AES-256-Verschlüsselung der Datenbank- und Backup-Volumes.
• Zugriffskontrolle: restriktives Rollen- und Berechtigungskonzept nach dem Prinzip der geringsten Rechte; Mehrfaktor-Authentifizierung (MFA) für sämtliche administrativen und produktiven Zugänge; regelmäßige Rezertifizierung der Berechtigungen.
• Logging und Monitoring: zentrale Protokollierung sicherheitsrelevanter Ereignisse mit Manipulationsschutz; automatisierte Auswertung durch ein Security-Information-and-Event-Management-System (SIEM).
• Datensicherung: tägliche vollständige und stündliche inkrementelle Backups, verschlüsselt gespeichert an einem geografisch getrennten Standort; regelmäßige Wiederherstellungstests.
• Netzwerksicherheit: segmentierte Netzwerkarchitektur, dedizierte Firewalls, Intrusion-Detection-Systeme, DDoS-Abwehr durch vorgeschaltete Sicherheitsinfrastruktur.
• Verfügbarkeit: Hochverfügbarkeitscluster, geografisch redundante Speicherung, dokumentierter Notfall- und Wiederanlaufplan (Business Continuity und Disaster Recovery).
• Physische Sicherheit: ausschließliche Nutzung zertifizierter Rechenzentren (mindestens ISO 27001) mit Zutrittskontrolle, Videoüberwachung und Brandschutz.
• Organisatorische Maßnahmen: jährliche Datenschutz- und Sicherheitsschulungen aller Mitarbeitenden, dokumentiertes Verzeichnis der Verarbeitungstätigkeiten, benannter Datenschutzkoordinator, Freigabeprozess für neue Sub-Auftragsverarbeiter.
• Trennungskontrolle: logische Mandantentrennung im Datenmodell; keine Verwendung produktiver Daten in Test- oder Entwicklungsumgebungen ohne vorherige Anonymisierung.

9. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen mit geeigneten Maßnahmen bei der Erfüllung von dessen Pflichten aus Art. 32 bis 36 DSGVO, insbesondere hinsichtlich der Sicherheit der Verarbeitung, der Meldung von Datenschutzverletzungen, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde.

Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei der Wahrnehmung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO), indem er geeignete technische und organisatorische Maßnahmen bereitstellt (z. B. Export von Daten, Löschung einzelner Datensätze, Sperrfunktion). Anfragen betroffener Personen, die beim Auftragsverarbeiter eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet.

10. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, unter Beachtung der 72-Stunden-Frist aus Art. 33 DSGVO. Die Meldung enthält mindestens: die Beschreibung der Art der Verletzung, die betroffenen Kategorien und Anzahl betroffener Personen, die betroffenen Kategorien und Anzahl personenbezogener Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Minderung nachteiliger Auswirkungen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Meldepflichten gegenüber den Aufsichtsbehörden gemäß Art. 33 DSGVO und, sofern erforderlich, der Benachrichtigungspflichten gegenüber betroffenen Personen gemäß Art. 34 DSGVO.

11. Löschung und Rückgabe von Daten

Nach Beendigung der Erbringung der Verarbeitungsleistungen wird der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogene Daten löschen oder in einem strukturierten, gängigen und maschinenlesbaren Format (CSV, JSON) zurückgeben. Die Wahl ist innerhalb von 30 Kalendertagen nach Beendigung des Hauptvertrages zu treffen; anschließend erfolgt automatisch die Löschung.

Bestehende gesetzliche Aufbewahrungspflichten bleiben unberührt. In diesem Fall werden die betroffenen Daten weiter aufbewahrt, jedoch für die aktive Verarbeitung gesperrt und nach Ablauf der Aufbewahrungsfrist gelöscht. Der Auftragsverarbeiter bestätigt dem Verantwortlichen die vollständige Löschung schriftlich (oder in Textform).

12. Nachweise und Prüfrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen sämtliche zur Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen — einschließlich Inspektionen — die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden. Angemessen bedeutet insbesondere: Ankündigung mindestens 30 Kalendertage im Voraus, maximal einmal jährlich, während üblicher Geschäftszeiten, ohne Störung des Betriebsablaufs, unter Wahrung der Vertraulichkeit von Betriebs- und Geschäftsgeheimnissen anderer Kunden und ohne Zugriff auf produktive Kundendaten Dritter.

Als Nachweis erkennen die Parteien insbesondere aktuelle Zertifikate anerkannter Prüfstellen an (z. B. ISO 27001), sofern diese die relevanten Verarbeitungstätigkeiten abdecken.

13. Übermittlung in Drittländer

Eine Übermittlung personenbezogener Daten in ein Drittland (außerhalb des Europäischen Wirtschaftsraums) findet nur im Rahmen der in Ziffer 7 genannten Sub-Auftragsverarbeiter statt. Als Rechtsgrundlage dienen die Standardvertragsklauseln der EU-Kommission (Beschluss (EU) 2021/914) sowie, sofern verfügbar, eine Zertifizierung des Empfängers nach dem EU-U.S. Data Privacy Framework. Zusätzliche Schutzmaßnahmen (Verschlüsselung, Zugriffsbeschränkung, Pseudonymisierung) werden nach dem Stand der Technik ergriffen.

14. Haftung

Für die Haftung zwischen Verantwortlichem und Auftragsverarbeiter gelten die Bestimmungen des Hauptvertrages und die einschlägigen gesetzlichen Vorschriften. Ergänzend gelten Art. 82 DSGVO sowie das anwendbare nationale Recht. Zwingende gesetzliche Haftungsvorschriften bleiben unberührt.

15. Änderungen dieses AVV

Der Auftragsverarbeiter behält sich vor, diesen AVV an geänderte Rechtslagen oder technische Weiterentwicklungen anzupassen. Wesentliche Änderungen werden dem Verantwortlichen mindestens 30 Kalendertage vor ihrem Inkrafttreten per E-Mail angekündigt. Der Verantwortliche kann die Änderungen ablehnen, indem er den Hauptvertrag innerhalb dieser Frist kündigt. Andernfalls gelten die Änderungen als angenommen.

16. Anwendbares Recht und Gerichtsstand

Dieser AVV unterliegt dem Recht Montenegros unter Ausschluss der Kollisionsnormen und ergänzt durch die zwingenden Bestimmungen der DSGVO (EU) 2016/679 sowie des Zakon o zaštiti podataka o ličnosti. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist das Osnovni sud u Podgorici (Grundgericht Podgorica), Crna Gora, unbeschadet der Rechte von Verbrauchern nach den zwingenden Vorschriften ihres Wohnsitzstaates in der Europäischen Union.

17. Schlussbestimmungen

17.1 Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden die unwirksame Bestimmung durch eine wirksame ersetzen, die dem wirtschaftlich Gewollten möglichst nahekommt.

17.2 Im Verhältnis zwischen diesem AVV und den Allgemeinen Geschäftsbedingungen gehen die Regelungen dieses AVV im Falle eines Widerspruchs in datenschutzrechtlichen Belangen vor.

17.3 Sämtliche Mitteilungen im Zusammenhang mit diesem AVV werden per E-Mail an die im Verwaltungsbereich hinterlegte Kontaktadresse des Verantwortlichen bzw. an support@regiondotour.org an den Auftragsverarbeiter übermittelt.

Aktualisiert am 3. August 2026 — Regiondotour d.o.o. — Version 1.0