Vereinbarung zur Datenverarbeitung

1 - Begriffsbestimmungen

"Datenschutzgesetze" bedeutet, wo anwendbar: (i) die Allgemeine Datenschutzverordnung ("DSGVO"); (ii) die nationalen Umsetzungen der DSGVO in der Europäischen Union ("EU") und im Europäischen Wirtschaftsraum ("EWR"); (iii) der Data Protection Act 2018 und die GDPR, wie sie durch Abschnitt 3 des European Union (Withdrawal) Act 2018 des Vereinigten Königreichs in das Recht des Vereinigten Königreichs übernommen wurden ("UK Data Protection Law"); (iv) die EU-Datenschutzrichtlinie 2002/58/EG in der durch die Richtlinie 2009/136/EG geänderten Fassung; und (v) das Schweizerische Bundesgesetz über den Datenschutz vom 19. Juni 1992 und seine Verordnung ("Swiss DPA").

"Musterklauseln" sind die Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer, die im Rahmen der DSGVO angenommen wurden und von Zeit zu Zeit geändert oder ersetzt werden können.

"Personenbezogene Daten" bedeutet alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen, wenn diese Informationen in Kundeninhalten enthalten sind.

"Verletzung des Schutzes personenbezogener Daten" bedeutet eine Verletzung der Sicherheit, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Änderung, zur unbefugten Offenlegung oder zum Zugriff auf personenbezogene Daten geführt hat, die von Runnr.ai und/oder seinen Unterauftragnehmern in Verbindung mit der Bereitstellung der Dienste übertragen, gespeichert oder anderweitig verarbeitet wurden.

"Eingeschränkte Übermittlung" bedeutet eine Übermittlung von personenbezogenen Daten in ein Drittland.

"Unterauftragsverarbeiter" bezeichnet jeden von Runnr.ai beauftragten Datenverarbeiter, der Runnr.ai bei der Erfüllung seiner Verpflichtungen aus dem Vertrag unterstützt.

"Drittland" bedeutet (a) in dem Maße, in dem die DSGVO auf die Verarbeitung personenbezogener Daten durch Runnr.ai Anwendung findet, ein Land außerhalb des EWR, das nicht Gegenstand eines Angemessenheitsbeschlusses der Europäischen Kommission ist; (b) in dem Maße, in dem das britische Datenschutzgesetz auf die Verarbeitung von personenbezogenen Daten durch Runnr.ai gilt, ein Land, das nicht Gegenstand eines Angemessenheitsbeschlusses gemäß Abschnitt 17A des United Kingdom Data Protection Act 2018 ist; und (c) soweit das Schweizer Datenschutzgesetz auf die Verarbeitung personenbezogener Daten durch Runnr.ai Anwendung findet, ein Land außerhalb des EWR und/oder der Schweiz, das nicht Gegenstand eines Angemessenheitsbeschlusses des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten ("EDÖB") ist.

"UK Addendum" bezeichnet das vom Information Commissioner's Office gemäß s.119(A) des UK Data Protection Act 2018 herausgegebene Addendum zum internationalen Datentransfer, das von Zeit zu Zeit geändert oder ersetzt werden kann.

Die Begriffe "für die Datenverarbeitung Verantwortlicher", "betroffene Person", "Datenverarbeiter" und "Verarbeitung" haben die Bedeutung, die ihnen in den Datenschutzgesetzen gegeben wird, und "verarbeiten", "verarbeiten" und "verarbeitet" werden entsprechend ausgelegt. Alle anderen Begriffe, die hier nicht ausdrücklich definiert sind, haben die gleiche Bedeutung wie in der Vereinbarung.

2 - Zweck und Anwendungsbereich

1. Diese DPA regelt die Verarbeitung personenbezogener Daten durch Runnr.ai als Datenverarbeiter im Auftrag des Kunden, dem Datenverantwortlichen.
2. Der Zweck dieser DPA ist es, die Einhaltung der Datenschutzgesetze in ihrer jeweils gültigen Fassung zu gewährleisten.
3. Die Einzelheiten der Verarbeitungen, insbesondere die Kategorien personenbezogener Daten, die Kategorien der betroffenen Personen und die Zwecke, für die personenbezogene Daten von Runnr.ai verarbeitet werden, sind in Anhang 1 aufgeführt.

3 - Verarbeitung durch Runnr.ai

1. Runnr.ai verarbeitet personenbezogene Daten nur auf dokumentierte Anweisung des Kunden, es sei denn, Runnr.ai ist aufgrund lokaler Gesetze, denen Runnr.ai unterliegt, wie z.B. EU-Recht oder Recht der EU-Mitgliedstaaten, dazu verpflichtet. In diesem Fall wird Runnr.ai den Kunden vor der Verarbeitung über diese gesetzliche Vorschrift informieren, es sei denn, das Gesetz verbietet dies.
2. Runnr.ai wird die personenbezogenen Daten nur für den/die in Anhang 1 genannten Zweck(e) verarbeiten, es sei denn, Runnr.ai erhält weitere schriftliche Anweisungen vom Kunden.
3. Runnr.ai wird den Kunden unverzüglich informieren, wenn nach Ansicht von Runnr.ai die vom Kunden erteilten Anweisungen gegen die Datenschutzgesetze verstoßen.

4 - Unterstützung des Kunden

1. Antrag der betroffenen Person. Runnr.ai wird den Kunden unverzüglich über jede Anfrage einer betroffenen Person gemäß den Datenschutzgesetzen ("Anfrage einer betroffenen Person") informieren. Runnr.ai wird nicht selbst auf Anfragen von Betroffenen reagieren, es sei denn, der Kunde hat dies genehmigt. Runnr.ai unterstützt den Kunden bei der Erfüllung seiner Verpflichtungen zur Beantwortung von Anfragen betroffener Personen zur Ausübung ihrer Rechte, wobei die Art der Verarbeitung berücksichtigt wird.
2. Datenschutz-Folgenabschätzung. Runnr.ai unterstützt den Kunden bei der Erfüllung seiner datenschutzrechtlichen Verpflichtung zur Durchführung einer Datenschutz-Folgenabschätzung im Zusammenhang mit der Nutzung der Dienste durch den Kunden unter Berücksichtigung der Art der Verarbeitung und der Runnr.ai vorliegenden Informationen.
3. Konsultationen durch Aufsichtsbehörden. Runnr.ai unterstützt den Kunden bei der Zusammenarbeit oder vorherigen Konsultation einer Aufsichtsbehörde unter Berücksichtigung der Art der Verarbeitung und der Runnr.ai zur Verfügung stehenden Informationen.

5 - Vertraulichkeit

Runnr.ai gewährt seinen Mitarbeitern nur insoweit Zugang zu den personenbezogenen Daten, als dies für die Durchführung, Verwaltung und Überwachung der Vereinbarung unbedingt erforderlich ist. Runnr.ai stellt sicher, daß die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer entsprechenden gesetzlichen Geheimhaltungspflicht unterliegen.

6 - Sicherheit

Runnr.ai wird mindestens die unter https://runnr.ai/security/ aufgeführten technischen und organisatorischen Maßnahmen ("Sicherheitsmaßnahmen") ergreifen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Dazu gehört auch der Schutz der Daten vor einer Verletzung des Schutzes personenbezogener Daten. Bei der Beurteilung des angemessenen Sicherheitsniveaus werden die Parteien den Stand der Technik, die Kosten der Umsetzung, die Art, den Umfang, den Kontext und die Zwecke der Verarbeitung sowie die Risiken für die betroffenen Personen angemessen berücksichtigen. Runnr.ai kann von Zeit zu Zeit alternative angemessene Sicherheitsmaßnahmen einführen, wobei sichergestellt wird, dass das Sicherheitsniveau der festgelegten Maßnahmen nicht verringert wird.

7 - Verletzung des Schutzes personenbezogener Daten

1. Im Falle einer Verletzung des Schutzes personenbezogener Daten, die sich auf die personenbezogenen Daten des Kunden auswirkt, wird Runnr.ai den Kunden unverzüglich benachrichtigen, nachdem Runnr.ai von der Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat. Eine solche Benachrichtigung enthält mindestens:
   1. eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten;
   2. die Angabe einer Kontaktstelle, bei der weitere Informationen über den Verstoß gegen die Datenschutzbestimmungen erhältlich sind;
   3. die voraussichtlichen Folgen der Verletzung des Schutzes personenbezogener Daten; und
   4. die Maßnahmen, die ergriffen wurden oder ergriffen werden sollen, um die Verletzung des Schutzes personenbezogener Daten zu beheben, einschließlich der Abschwächung ihrer möglichen negativen Auswirkungen.
2. Wenn es Runnr.ai nicht möglich ist, alle diese Informationen gleichzeitig bereitzustellen, enthält die erste Benachrichtigung die zu diesem Zeitpunkt verfügbaren Informationen. Alle weiteren Informationen werden, sobald sie verfügbar sind, ohne unnötige Verzögerung zur Verfügung gestellt. Runnr.ai ergreift außerdem angemessene und zumutbare Maßnahmen zur Eindämmung, Untersuchung und Eindämmung von Verletzungen des Schutzes personenbezogener Daten.

8 - Dokumentation und Einhaltung

1. Runnr.ai wird alle Anfragen des Kunden über die Verarbeitung personenbezogener Daten in Übereinstimmung mit dieser DPA unverzüglich und angemessen bearbeiten.
2. Runnr.ai stellt dem Kunden alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Verpflichtungen aus dieser DPA oder der geltenden Datenschutzgesetze nachzuweisen. Auf Wunsch des Kunden wird Runnr.ai in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung Audits der unter diese DPA fallenden Verarbeitungstätigkeiten zulassen und dazu beitragen.
3. Der Kunde hat die Wahl, die Prüfung selbst durchzuführen oder einen unabhängigen Prüfer zu beauftragen. Audits können auch Inspektionen in den Räumlichkeiten oder physischen Einrichtungen von Runnr.ai umfassen, wenn dies einvernehmlich und mit angemessener Vorankündigung vereinbart wurde.

9 - Einsatz von Unterauftragsverarbeitern

1. Runnr.ai hat die allgemeine Genehmigung des Kunden für die Beauftragung von Unterauftragsverarbeitern, die unterhttps://runnr.ai/subprocessors/ aufgeführt sind. Mindestens 5 Tage vor der Beauftragung eines neuen Unterauftragsverarbeiters zur Verarbeitung personenbezogener Daten informiert Runnr.ai den Kunden schriftlich (per E-Mail), um ihm die Möglichkeit zu geben, einer solchen Änderung zu widersprechen. Wenn der Kunde Einspruch erhebt, werden die Parteien die Bedenken des Kunden in gutem Glauben erörtern, um eine wirtschaftlich angemessene Lösung zu finden. Sollte es den Parteien nicht gelingen, eine Lösung zu finden, haben sowohl Runnr.ai als auch der Kunde das Recht, den Vertrag einschließlich aller damit verbundenen Aufträge zu kündigen, ohne dass eine der Parteien dafür haftbar gemacht werden kann.
2. Beauftragt Runnr.ai einen Unterauftragsverarbeiter, so erfolgt dies auf der Grundlage eines Vertrags, der dem Unterauftragsverarbeiter im wesentlichen die gleichen Datenschutzverpflichtungen auferlegt wie Runnr.ai gemäß dieser Datenschutzvereinbarung. Runnr.ai stellt sicher, dass der Unterauftragsverarbeiter die Verpflichtungen einhält, denen Runnr.ai gemäß dieser DPA und den geltenden Datenschutzgesetzen unterliegt.
3. Runnr.ai bleibt gegenüber dem Kunden in vollem Umfang für die Erfüllung der Verpflichtungen des Unterauftragsverarbeiters gemäß dessen Vertrag mit Runnr.ai verantwortlich.

10 - Internationale Datenübertragungen

1. Jegliche Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation durch Runnr.ai erfolgt nur auf der Grundlage dokumentierter Anweisungen des Kunden oder zur Erfüllung einer spezifischen Anforderung nach lokalem Recht, dem Runnr.ai unterliegt, und unter Einhaltung des Datenschutzgesetzes. Runnr.ai kann personenbezogene Daten an seine Unterauftragsverarbeiter in einem Drittland übermitteln, vorbehaltlich der Meldepflichten gemäß Abschnitt 9.
2. Der Kunde erklärt sich damit einverstanden, dass Runnr.ai und der Unterauftragsverarbeiter, wenn sie einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten im Rahmen der Vereinbarung beauftragen und diese Tätigkeiten eine Übermittlung personenbezogener Daten in ein Drittland beinhalten, die Einhaltung der Datenschutzgesetze durch die Verwendung der Musterklauseln und gegebenenfalls des britischen Zusatzes sicherstellen können, sofern die Bedingungen für die Verwendung dieser Musterklauseln erfüllt sind.

10 - Beendigung und Löschung

Bei Beendigung der Vereinbarung löscht Runnr.ai alle im Namen des Kunden verarbeiteten personenbezogenen Daten oder gibt auf Wunsch des Kunden alle personenbezogenen Daten an den Kunden zurück und löscht vorhandene Kopien, es sei denn, die Datenschutzgesetze schreiben die Speicherung der personenbezogenen Daten vor. Bis zur Löschung oder Rückgabe der Daten wird Runnr.ai weiterhin die Einhaltung dieser DPA sicherstellen.

Anhang 1 - Details zur Datenverarbeitung

Art der Verarbeitung:

Runnr.ai verarbeitet personenbezogene Daten zur Bereitstellung, Wartung, Unterstützung und Verbesserung der Dienste.

Zweck(e), für den/die die personenbezogenen Daten verarbeitet werden:

Runnr.ai verarbeitet personenbezogene Daten in dem Maße, wie es für die Erbringung der Dienstleistungen in Übereinstimmung mit dem Vertrag erforderlich ist und wie der Kunde bei der Nutzung der Dienstleistungen weitere Anweisungen erteilt.

Kategorien von betroffenen Personen

• Gäste des Kunden
• Die Person, die eine Buchung vornimmt, die nicht der Gast ist
• Mitarbeiter des Hotels
• Personen, die zur Nutzung der Runnr.ai-Plattform berechtigt sind
• Jede andere Person, die mit dem Kunden über die Dienste von Runnr.ai kommuniziert

Kategorien der verarbeiteten personenbezogenen Daten

• Kommunikationsinhalte: Diese können personenbezogene Daten oder andere personalisierte Merkmale enthalten, abhängig von den Kommunikationsinhalten, die Sie als Kunde bestimmen oder die der Gast freiwillig angibt, wenn er mit dem Kunden über die Dienste kommuniziert
• Verkehrsdaten: Diese können personenbezogene Daten über die Dauer und den Zeitpunkt eines Gesprächs mit einem Gast enthalten.
• Gästedaten: z. B. Telefonnummer, Vorname, Nachname, E-Mail-Adresse, Profilbild und Details zum Aufenthalt des Gastes, je nach Nutzung der Dienste durch den Kunden, wie z. B.: Reservierungsdetails (z. B. Zimmernummer) und spezifische Buchungsdetails und -anfragen des Gastes
• Kontodaten des Endnutzers: Vorname , Nachname, E-Mail-Adresse, Anmeldedaten
• Technische Daten: Runnr .ai kann technische Daten im Zusammenhang mit der Bereitstellung und Verwaltung der Runnr.ai-Dienste verarbeiten, wie z.B.: IP-Adresse, Gerätetyp, User-Agent, Betriebssystem, Browsertyp, Zeitstempel des Besuchs, UUID, Cookies, UserID (falls zutreffend).

Besondere Kategorien von personenbezogenen Daten

Die Parteien haben nicht vor, besondere Kategorien personenbezogener Daten zu verarbeiten.

Dauer der Verarbeitung

Vorbehaltlich Abschnitt 11 des Datenschutzgesetzes verarbeitet Runnr.ai personenbezogene Daten so lange, wie die Dienste im Rahmen der Vereinbarung erbracht werden.