Vereinbarung zur Auftragsverarbeitung

Stand: 6. August 2026

Diese Vereinbarung (nachfolgend „AVV“) gilt zwischen dem Betrieb, der die Plattform myNextDays nutzt (nachfolgend „Verantwortlicher“), und der myNextDays ApS (nachfolgend „Auftragsverarbeiter“ oder „wir“) und konkretisiert die Pflichten aus Art. 28 der Verordnung (EU) 2016/679 (DSGVO).

Sie wird durch die Allgemeinen Geschäftsbedingungen einbezogen und gilt für die gesamte Dauer der Nutzung der Plattform. Sie geht den AGB vor, soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht.

Ergänzend gilt die Datenschutzerklärung für die Daten, die wir als eigener Verantwortlicher verarbeiten — insbesondere die Daten des Kontos und der Geschäftsbeziehung.

1. Gegenstand und Rollenverteilung

a)

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche in die Plattform einbringt oder über sie erhebt, damit wir die vertraglich vereinbarten Leistungen erbringen können: Verwaltung von Objekten, Reservierungen und Belegung, Kommunikation mit Gästen, Zahlungsabwicklung, Buchhaltung und Eigentümerabrechnung, Anbindung an Buchungsportale, Website-Baukasten sowie Aufgaben- und Teamverwaltung.

b)

Der Verantwortliche entscheidet über Zwecke und Mittel dieser Verarbeitung. Wir verarbeiten die Daten ausschließlich auf seine dokumentierte Weisung und nicht für eigene Zwecke.

c)

Für die Daten des Kontos, der Abrechnung unserer eigenen Leistungen, der Systemsicherheit und der gesetzlichen Aufbewahrung sind wir selbst Verantwortlicher. Diese Verarbeitung ist nicht Gegenstand dieser AVV.

2. Art, Umfang und Zweck der Verarbeitung

Verarbeitet wird durch Erheben, Speichern, Anzeigen, Verändern, Übermitteln an vom Verantwortlichen gewählte Empfänger (z. B. Buchungsportale, Zahlungsdienstleister), Einschränken und Löschen — in automatisierter Form in der Plattform.

Der Verarbeitungsort ist die Europäische Union; Ausnahmen sind in Abschnitt 8 abschließend benannt.

3. Kategorien betroffener Personen

  • Gäste und Buchende, einschließlich Mitreisender
  • Interessenten, die Anfragen stellen oder Nachrichten senden
  • Eigentümer der verwalteten Objekte
  • Mitarbeitende des Verantwortlichen (Team, Reinigung, Service, Rezeption)
  • Ansprechpartner von Partnern und Dienstleistern des Verantwortlichen

4. Kategorien personenbezogener Daten

  • Stammdaten: Name, Anschrift, Geburtsdatum sofern erfasst, Nationalität sofern für die Meldepflicht erfasst
  • Kontaktdaten: E-Mail-Adresse, Telefonnummer
  • Buchungsdaten: Zeitraum, Objekt, Anzahl Reisender, Preise, Zusatzleistungen, Stornierungen
  • Zahlungsdaten: Betrag, Währung, Zahlungsart, Zahlungsstatus, Referenzen (vollständige Kartendaten erreichen unsere Systeme nicht)
  • Kommunikationsdaten: Nachrichten, Notizen, Bewertungen
  • Zugangs- und Nutzungsdaten der Mitarbeitenden: Rolle, Berechtigungen, Anmeldezeitpunkt, Gerät und IP-Adresse der Anmeldung
  • Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags; der Verantwortliche bringt solche Daten nicht in Freitextfelder ein.

5. Weisungen

a)

Weisungen erteilt der Verantwortliche durch die Nutzung und Konfiguration der Plattform sowie in Textform an unsere Kontaktadresse. Mündliche Weisungen bestätigen wir in Textform.

b)

Halten wir eine Weisung für rechtswidrig, teilen wir dies unverzüglich mit und dürfen die Umsetzung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

c)

Sind wir gesetzlich zur Verarbeitung verpflichtet (etwa gegenüber Behörden), informieren wir den Verantwortlichen vorab, soweit uns das rechtlich erlaubt ist.

6. Vertraulichkeit

Alle Personen, die auftragsgemäß Zugriff auf die Daten haben können, sind zur Vertraulichkeit verpflichtet und werden regelmäßig zum Datenschutz unterrichtet. Der Zugriff ist auf das für die jeweilige Aufgabe erforderliche Maß beschränkt.

Zugriffe unserer Mitarbeitenden auf Kundendaten erfolgen nur zur Fehlerbehebung, auf Support-Anfrage oder zur Erfüllung gesetzlicher Pflichten.

7. Sicherheit der Verarbeitung

Wir treffen die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Umgesetzt sind insbesondere:

  • Transportverschlüsselung (TLS) für alle Verbindungen, HTTP-Sicherheits-Header inklusive strikter Content-Security-Policy
  • Mandantentrennung unmittelbar in der Datenbank: zeilenbasierte Zugriffsregeln (Row Level Security) plus entzogene Tabellenrechte für sensible Daten, sodass ein Zugriff außerhalb des eigenen Betriebs auch auf direktem Datenbankweg ausgeschlossen ist
  • Rollenbasierte Berechtigungen mit Datentrennung: Service- und Reinigungskräfte erhalten keine Finanz- und Vertriebsdaten, Eigentümer nur ihre eigenen Objekte; Gästedaten werden für nicht berechtigte Rollen maskiert
  • Zwei-Faktor-Authentisierung (TOTP) für Konten verfügbar; Wiederanmeldung bei sicherheitskritischen Änderungen
  • Protokoll der Anmeldungen mit Gerät, Zeitpunkt und IP-Adresse, einsehbar für den Verantwortlichen
  • Begrenzung der Anfragehäufigkeit gegen automatisierte Angriffe, Prüfung von Signaturen eingehender Webhook-Aufrufe
  • Verschlüsselte, außerhalb des Produktionssystems gelagerte Sicherungskopien mit regelmäßigem Wiederherstellungstest
  • Getrennte Umgebungen für Entwicklung und Betrieb; Änderungen an der Datenbank ausschließlich über versionierte Migrationen

8. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz der folgenden Unterauftragsverarbeiter. Mit jedem bestehen Verträge nach Art. 28 Abs. 4 DSGVO mit Pflichten, die dieser AVV entsprechen.

  • Hetzner Online GmbH, Deutschland (Server, Datenbank, Medien, Mailserver; Rechenzentrum Helsinki, Finnland)
  • Stripe Payments Europe, Limited, Irland (Zahlungen, Auszahlungen, gesetzliche Identitätsprüfung)
  • PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg (Zahlungen, sofern der Verantwortliche sie aktiviert)
  • Channex.io Ltd, Vereinigtes Königreich (Anbindung an Buchungsportale, sofern aktiviert)
  • Meta Platforms Ireland Limited, Irland (WhatsApp-Nachrichten, sofern aktiviert)
  • Google Ireland Limited, Irland (Übersetzung von Inhalten; Anmeldung mit Google, sofern genutzt)
  • Groq, Inc., USA (Antwortvorschläge im Posteingang, sofern aktiviert)
  • Cloudflare, Inc., USA (Verwaltung der DNS-Einträge für eigene Domains, sofern genutzt)
a)

Einen Wechsel oder eine Ergänzung teilen wir mindestens 30 Tage vorher mit. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem, datenschutzbezogenem Grund widersprechen; wird der Widerspruch nicht ausgeräumt, kann er den betroffenen Leistungsteil oder den Vertrag kündigen.

b)

Dienste, die der Verantwortliche selbst mit einem Dritten vereinbart (etwa ein Buchungsportal, mit dem er einen eigenen Vertrag hat), sind keine Unterauftragsverarbeitung, sondern eine von ihm veranlasste Übermittlung an einen eigenständig Verantwortlichen.

9. Übermittlung in Drittländer

Übermittlungen an Empfänger außerhalb der EU beschränken sich auf die oben mit Sitz USA bzw. Vereinigtes Königreich genannten Dienste. Grundlage sind die Standarddatenschutzklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO oder ein geltender Angemessenheitsbeschluss; ergänzende Schutzmaßnahmen (Verschlüsselung, Datenminimierung) werden angewandt.

10. Unterstützung des Verantwortlichen

a)

Wir unterstützen den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen (Art. 15 bis 22 DSGVO). Die Plattform bietet dafür Auskunft, Berichtigung, Export und Löschung der Daten unmittelbar in der Oberfläche. Wenden sich betroffene Personen direkt an uns, verweisen wir sie an den Verantwortlichen und informieren ihn.

b)

Wir unterstützen ferner bei Datenschutz-Folgenabschätzungen, bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO und bei Anfragen von Aufsichtsbehörden.

11. Verletzungen des Schutzes personenbezogener Daten

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten des Verantwortlichen betrifft, informieren wir ihn unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, in Textform.

Die Mitteilung enthält, soweit bekannt, Art und Zeitpunkt des Vorfalls, betroffene Datenkategorien und Personengruppen, wahrscheinliche Folgen und die ergriffenen sowie vorgeschlagenen Maßnahmen. Wir unterstützen den Verantwortlichen bei seinen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

12. Nachweise und Kontrollen

a)

Wir weisen die Einhaltung dieser AVV auf Anfrage nach, insbesondere durch Auskunft über die getroffenen Maßnahmen und über die eingesetzten Unterauftragsverarbeiter.

b)

Der Verantwortliche kann Kontrollen im erforderlichen Umfang durchführen oder durch einen unabhängigen, nicht mit uns im Wettbewerb stehenden Prüfer durchführen lassen. Kontrollen erfolgen nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebs. Den Aufwand einer über die Auskunft hinausgehenden Prüfung trägt der Verantwortliche, sofern die Prüfung nicht durch einen von uns verursachten Vorfall veranlasst ist.

13. Löschung und Rückgabe

Nach Ende des Vertrags stellen wir die Daten des Verantwortlichen auf Anforderung innerhalb von 30 Tagen in einem gängigen, maschinenlesbaren Format zum Export bereit. Danach löschen wir die Daten einschließlich der Kopien.

Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht (insbesondere Rechnungs- und Buchhaltungsdaten); diese werden gesperrt und nach Ablauf der Frist gelöscht. Sicherungskopien werden mit dem regulären Rotationszyklus überschrieben.

14. Haftung und Rangfolge

Es gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten daneben die Haftungsregeln der AGB, soweit sie der DSGVO nicht widersprechen.

Widersprechen sich AGB und diese AVV bei der Verarbeitung im Auftrag, gilt diese AVV. Wird eine Bestimmung unwirksam, bleibt der übrige Inhalt wirksam; die Parteien ersetzen sie durch eine zulässige Regelung mit gleichem Zweck.

15. Änderungen dieser Vereinbarung

Wir dürfen diese AVV anpassen, soweit dies durch Rechtsänderungen, Anforderungen von Aufsichtsbehörden, Vorgaben von Zahlungsdienstleistern oder technische Weiterentwicklungen erforderlich wird und der Verantwortliche dadurch nicht schlechter gestellt wird.

Änderungen kündigen wir mindestens 30 Tage vor Inkrafttreten in Textform an. Widerspricht der Verantwortliche nicht innerhalb dieser Frist, gelten sie als angenommen; auf diese Folge wird in der Ankündigung hingewiesen. Bei Widerspruch kann jede Partei den Vertrag zum Zeitpunkt des Inkrafttretens kündigen.

16. Kontakt

Anfragen zu dieser Vereinbarung, Weisungen und Meldungen richten Sie an info@mynextdays.dk oder an myNextDays ApS, Hirtshalsvej 21, 9881 Bindslev, Dänemark.