Vertrag zur Auftragsverarbeitung

§ 1 Geltung und Parteien

(1) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 Abs. 3 DSGVO. Er gilt für jeden Vertrag über TREK Cloud, bei dem der Kunde für die Inhalte seiner Instanz Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist, insbesondere bei Nutzung durch Unternehmen, Vereine und sonstige Organisationen (AGB § 16 Absatz 3). Er wird mit diesem Vertrag geschlossen, ohne dass es einer gesonderten Unterschrift bedarf, und ist unentgeltlich.

(2) Verantwortlicher ist der Kunde. Auftragsverarbeiter ist Maurice Bötger, Borenweg 9A, 18057 Rostock (nachfolgend "wir"), Angaben im Impressum.

(3) Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.

§ 2 Gegenstand, Dauer, Art und Zweck

(1) Gegenstand ist der Betrieb einer eigenen TREK-Instanz für den Kunden: Speicherung, Bereitstellung über das Internet, Datensicherung, Aktualisierung, Export und Löschung der Inhalte, die der Kunde und von ihm eingeladene Personen anlegen, sowie die Orts-, Adress- und Routensuche, die wir selbst auf Servern der dataforest GmbH in Frankfurt am Main betreiben, die vom Kunden eingeschaltete KI-Auswertung von Dokumenten, die Weiterleitung verschlüsselter Benachrichtigungen an die TREK-Apps und das Erstellen von Pässen für Apple Wallet und Google Wallet über unseren Dienst push.liketrek.com, bei dem wir weder Benachrichtigungen noch Inhalte der Pässe speichern.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrags zuzüglich der Zeit bis zur Löschung nach § 10.

(3) Zweck ist allein die Erbringung der vertraglichen Leistung. Wir verarbeiten die Daten nicht für eigene Zwecke, werten sie nicht aus und nutzen sie nicht für Werbung.

§ 3 Daten und betroffene Personen

(1) Arten der Daten: Namen, E-Mail-Adressen und Zugangsdaten der Nutzer der Instanz; Reisedaten wie Ziele, Zeiträume, Orte, Unterkünfte, Buchungen, Termine, Kosten und Notizen; hochgeladene Dokumente und Fotos; Protokolldaten der Instanz (Anmeldungen, Verwaltungsaktionen mit IP-Adresse). Je nach Nutzung können Dokumente besondere Kategorien nach Art. 9 DSGVO enthalten, etwa Gesundheitsangaben in Reiseunterlagen.

(2) Betroffene Personen: Nutzer der Instanz (Beschäftigte, Mitglieder, Kunden oder Reisende des Kunden), Mitreisende und weitere Personen, die in Reiseunterlagen genannt sind.

§ 4 Weisungen

(1) Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in Drittländer, es sei denn, wir sind durch Unionsrecht oder deutsches Recht dazu verpflichtet; dann teilen wir dem Kunden diese Verpflichtung vorab mit, sofern das Recht es nicht verbietet. Die Weisungen sind abschließend in diesem Vertrag, im Hauptvertrag und in den Einstellungen festgelegt, die der Kunde in seiner Instanz vornimmt. Weitere Weisungen erteilt der Kunde in Textform an cloud@liketrek.com.

(2) Halten wir eine Weisung für rechtswidrig, teilen wir das dem Kunden unverzüglich mit und dürfen die Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 5 Vertraulichkeit

Zugang zu den Daten hat nur der Anbieter von TREK Cloud. Er ist zur Vertraulichkeit verpflichtet, auch über das Ende des Vertrags hinaus. Inhalte einer Instanz sehen wir nur mit der ausdrücklichen, befristeten Erlaubnis des Kunden ein, die das Konto, auf das der Vertrag läuft, an der jeweiligen Supportanfrage für höchstens 30 Minuten erteilt und die jeder Administrator der Instanz jederzeit zurücknehmen kann, außer zur Abwehr einer akuten Gefahr für unsere Systeme oder auf gesetzliche Anordnung. Jede Einsicht wird protokolliert und ist für den Kunden in seiner Instanz sichtbar.

§ 6 Sicherheit der Verarbeitung

Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt; wesentliche Änderungen teilen wir mit.

§ 7 Unterauftragsverarbeiter

(1) Der Kunde erteilt die allgemeine Genehmigung, die in Anlage 2 genannten Unterauftragsverarbeiter einzusetzen. Mit jedem schließen wir einen Vertrag, der ihm mindestens die Pflichten dieses Vertrags auferlegt.

(2) Über eine beabsichtigte Hinzuziehung oder Ersetzung informieren wir den Kunden mindestens 30 Tage vorher per E-Mail. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden wir keine Lösung, kann der Kunde den Hauptvertrag zum Zeitpunkt der Änderung ohne Kosten beenden.

§ 8 Unterstützung des Verantwortlichen

(1) Anfragen betroffener Personen, die uns erreichen, leiten wir unverzüglich an den Kunden weiter. Auskunft, Berichtigung, Löschung und Export kann der Kunde in seiner Instanz selbst vornehmen; wo das nicht reicht, unterstützen wir ihn.

(2) Wir unterstützen den Kunden bei seinen Pflichten aus Art. 32 bis 36 DSGVO, insbesondere mit Informationen für eine Datenschutz-Folgenabschätzung.

§ 9 Verletzungen des Schutzes

Wird uns eine Verletzung des Schutzes personenbezogener Daten in der Instanz des Kunden bekannt, teilen wir sie ihm unverzüglich, möglichst innerhalb von 24 Stunden, per E-Mail mit. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Kategorien und ungefähre Zahl der Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Wir ergänzen sie, sobald wir mehr wissen.

§ 10 Löschung und Rückgabe

Nach Ende des Hauptvertrags stellen wir dem Kunden einen vollständigen Export bereit und löschen die Daten 30 Tage nach der Abschaltung der Instanz zum Vertragsende (wird über eine Kündigung oder einen Widerruf des Kunden erst später entschieden, 30 Tage nach dieser Entscheidung), bei einem Anbieterwechsel nach dem Abrufzeitraum (AGB § 15), bei einem erst später bereitgestellten Export eine Woche nach dessen Bereitstellung. Verlangt der Kunde die sofortige Löschung, löschen wir unverzüglich, spätestens sieben Tage nach Eingang, auch während der Laufzeit; der Hauptvertrag endet dann mit der Löschung (AGB § 15 Absatz 4). Sicherungskopien laufen spätestens vierzehn Tage nach der Löschung aus. Auf Wunsch bestätigen wir die Löschung in Textform.

§ 11 Nachweise und Kontrollen

Wir stellen dem Kunden alle Informationen zur Verfügung, die er zum Nachweis der Einhaltung des Art. 28 DSGVO benötigt, und ermöglichen Überprüfungen durch ihn oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach Absprache und mit angemessener Vorlaufzeit, in der Regel schriftlich durch Auskünfte und Unterlagen. Eine Prüfung vor Ort findet nur statt, wenn die Unterlagen nicht ausreichen.

§ 12 Drittlandübermittlung

(1) Instanzen, ihre Datenbanken und Sicherungen liegen auf Servern in Deutschland. Über die in Anlage 2 genannten Unterauftragsverarbeiter gelangen Daten nur unter den dort genannten Garantien in ein Drittland, für die KI-Auswertung nur, wenn die Person, auf die der Vertrag läuft, sie eingeschaltet hat.

(2) Verwendet ein Nutzer eine Funktion, die auf einen öffentlichen Dienst zugreift, etwa Geokodierung, Orte in der Umgebung, Wetter oder Bildvorschläge, übermittelt der Server der Instanz die dafür nötigen Angaben (Suchbegriffe, Ortsnamen, Koordinaten, Daten einer Reise) auf Weisung des Kunden an die in Anlage 3 genannten Dienste, teils außerhalb der Europäischen Union. Diese Dienste verarbeiten die Anfragen in eigener Verantwortung und sind keine Unterauftragsverarbeiter; Land und Grundlage der Übermittlung stehen in Anlage 3. Die IP-Adressen der Nutzer werden dabei nicht übermittelt.

§ 13 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.

(2) Änderungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

Zutritt: Die Server stehen in Rechenzentren unseres Hosting-Anbieters in Deutschland mit dessen Zutrittskontrolle. Zugang: Anmeldung an den Servern nur per SSH-Schlüssel, keine Passwortanmeldung; die Verwaltungsoberfläche ist nicht aus dem Internet erreichbar, nur über ein privates WireGuard-Netz, und mit zweitem Faktor geschützt. Zugriff: nur der Anbieter; Einsicht in Inhalte einer Instanz nur nach § 5 und protokolliert. Trennung: Jede Instanz läuft in einem eigenen Container mit eigener Datenbank, eigenem Netz und eigenen Schlüsseln; ausgehende Verbindungen in private Netze und zum Host sind gesperrt.

Integrität

Weitergabe: Alle Verbindungen über das Internet sind mit TLS verschlüsselt, auch der Versand von E-Mails aus einer Instanz. Sicherungen werden verschlüsselt, bevor sie geschrieben werden. Eingabe: Vertragsrelevante Vorgänge und Einsichten werden in einem nicht änderbaren Protokoll festgehalten.

Verfügbarkeit und Belastbarkeit

Wöchentliche verschlüsselte Sicherung jeder Instanz mit vierzehn Tagen Aufbewahrung; monatliche Probe der Wiederherstellung; Überwachung der Erreichbarkeit mit veröffentlichter Verfügbarkeit; Speicher- und Speicherplatzgrenzen je Instanz, damit eine Instanz andere nicht beeinträchtigt; zeitnahe Sicherheitsaktualisierungen von Betriebssystem, Containern und TREK.

Verfahren zur regelmäßigen Überprüfung

Prüfung der Maßnahmen nach jeder wesentlichen Änderung und mindestens jährlich; dokumentierter Ablauf für Sicherheitsvorfälle mit Meldung nach § 9.

Was nicht gilt

Die laufende Datenbank einer Instanz ist auf dem Server nicht gesondert verschlüsselt; der Schutz beruht auf der Zugangsbeschränkung zu den Servern.

Anlage 2: Unterauftragsverarbeiter

dataforest GmbH, Taunusstraße 52, 65830 Kriftel

Server und Speicher für Instanzen und Sicherungen. Rechenzentrum in Frankfurt am Main, Deutschland.

netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe

Empfang von E-Mails an Adressen unter liketrek.com (Postfachserver). Rechenzentrum in Deutschland. Der Versand läuft über unseren eigenen Server bei der dataforest GmbH.

Anthropic PBC, San Francisco, USA

KI-Auswertung hochgeladener Dokumente, nur wenn eingeschaltet. Garantie: Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Dienste, die der Browser eines Nutzers unmittelbar lädt, etwa Kartenkacheln, sind keine Unterauftragsverarbeiter; sie stehen in der Datenschutzerklärung.

Anlage 3: Dienste, an die der Server einer Instanz Anfragen richtet

Keine Unterauftragsverarbeiter (§ 12 Absatz 2). Übermittelt wird nur, was die jeweilige Funktion braucht, und nur, wenn ein Nutzer sie verwendet; IP-Adressen der Nutzer, Kontodaten und hochgeladene Dateien gehen an keinen dieser Dienste.

OpenStreetMap Foundation, Vereinigtes Königreich (Nominatim)

Geokodierung: Suchbegriffe und Adressen. Angemessenheitsbeschluss (Art. 45 DSGVO).

Overpass API (overpass-api.de), Deutschland

Orte in der Umgebung: Koordinaten und Kartenausschnitt.

Unsplash Inc., Kanada

Bildvorschläge: Suchbegriffe, etwa das Reiseziel. Angemessenheitsbeschluss (Art. 45 DSGVO).

Open-Meteo, Schweiz und Europäische Union

Wetter und Wind: Koordinaten und Reisedaten. Für die Schweiz Angemessenheitsbeschluss (Art. 45 DSGVO).

Wikimedia Foundation, USA (Wikipedia, Wikidata, Wikimedia Commons)

Ergänzende Ortsinformationen: Ortsnamen und Koordinaten. Soweit dabei personenbezogene Daten übermittelt werden, Art. 49 Abs. 1 lit. b DSGVO, weil die Funktion nur so erbracht werden kann.

Transitous (api.transitous.org)

Verbindungen im öffentlichen Verkehr: Start, Ziel und Zeit einer Suche.

FOSSGIS e. V., Deutschland (routing.openstreetmap.de, valhalla1.openstreetmap.de)

Routen für den Roadtrip-Planer und Ersatz-Routing, wenn die TREK-Routensuche nicht antwortet: Wegpunkte.

MobiData BW, Deutschland (api.mobidata-bw.de)

Ladesäulen entlang einer Roadtrip-Route: Koordinaten.

Frankfurter (api.frankfurter.dev)

Wechselkurse für Kosten in fremder Währung: nur der Währungscode, keine personenbezogenen Daten.

Nager.Date (date.nager.at), Österreich

Feiertage im Urlaubsplaner: Land und Jahr.

OpenHolidays API (openholidaysapi.org), Deutschland

Regionen und Schulferien im Urlaubsplaner: Land, Region, Sprache und Zeitraum.

Google, USA

Nur wenn ein Nutzer eine Google-Maps-Liste importiert: der Link zu dieser Liste. Angemessenheitsbeschluss vom 10. Juli 2023 (EU-US Data Privacy Framework), soweit der Anbieter zertifiziert ist, sonst Art. 49 Abs. 1 lit. b DSGVO.

Naver Corp., Republik Korea (naver.me, map.naver.com)

Nur wenn ein Nutzer eine Naver-Maps-Liste importiert: der Link zu dieser Liste. Angemessenheitsbeschluss vom 17. Dezember 2021 (Art. 45 DSGVO).

Die Website eines Links, den ein Nutzer in Chat oder Notizen einer Reise teilt

Für die Linkvorschau: der Link; zurück kommen Titel, Beschreibung und Vorschaubild der Seite. Die Website kann in jedem Land liegen; außerhalb von Ländern mit Angemessenheitsbeschluss Art. 49 Abs. 1 lit. b DSGVO.

ntfy.sh oder ein anderer ntfy-Server, den ein Nutzer einträgt

Nur wenn ein Nutzer Benachrichtigungen über ntfy einschaltet: Titel und Text der Benachrichtigungen.

Webhook-Empfänger, den ein Nutzer einträgt (etwa Discord oder Slack)

Nur wenn ein Nutzer Benachrichtigungen per Webhook einschaltet: Titel und Text der Benachrichtigungen.

Push-Dienst des Browsers (Google, Apple, Mozilla oder Microsoft, teils USA)

Nur wenn ein Nutzer Push-Benachrichtigungen einschaltet: die Benachrichtigung, Ende-zu-Ende verschlüsselt; der Dienst sieht nur Zeitpunkt und Größe. Für die USA Angemessenheitsbeschluss vom 10. Juli 2023 (EU-US Data Privacy Framework), soweit der Anbieter zertifiziert ist.

Apple Push Notification service (Apple Inc., USA) und Firebase Cloud Messaging (Google LLC, USA), an die unser Dienst push.liketrek.com die Benachrichtigung weitergibt

Nur wenn ein Nutzer in der TREK-App Benachrichtigungen einschaltet: das Push-Token des Geräts und die Benachrichtigung, Ende-zu-Ende verschlüsselt; weder wir noch Apple oder Google können den Inhalt lesen. Für die USA Angemessenheitsbeschluss vom 10. Juli 2023 (EU-US Data Privacy Framework).

Google Wallet (Google LLC, USA, und Google Ireland Ltd., Irland)

Nur wenn ein Nutzer in der TREK-App einen Pass zu Google Wallet hinzufügt: die Angaben dieses Passes (Titel der Buchung, Name der Reise, Zeiten, Orte, Angaben wie Sitzplatz oder Buchungsnummer) in dem von push.liketrek.com signierten Link, den das Gerät des Nutzers an Google übergibt. Google verarbeitet den Pass danach in eigener Verantwortung. Für die USA Angemessenheitsbeschluss vom 10. Juli 2023 (EU-US Data Privacy Framework).