Vereinbarung zur Auftragsverarbeitung

Anlage zum Nutzungsvertrag der Ferienwohnung Verwaltung nach Art. 28 DSGVO · Stand: 5. September 2026

Diese Vereinbarung gilt zwischen dem Kunden (Verantwortlicher) und der NOVA Succession GmbH (Auftragsverarbeiter) für alle personenbezogenen Daten, die wir im Rahmen des Nutzungsvertrages für den Kunden verarbeiten. Sie ist mit Vertragsschluss Bestandteil des Vertrages; eine gesondert unterzeichnete Ausfertigung stellen wir auf Wunsch zur Verfügung.

1. Gegenstand und Dauer

Gegenstand ist der Betrieb der Ferienwohnung Verwaltung für den Kunden. Die Verarbeitung dauert so lange, wie der Nutzungsvertrag besteht.

2. Art, Zweck, Datenarten, betroffene Personen

Zweck	Verwaltung von Buchungen, Gästen, Belegen und Zahlungen sowie Betrieb der Buchungsseite des Kunden
Datenarten	Stammdaten der Gäste (Name, Anschrift, Kontakt), Aufenthaltsdaten, Meldescheindaten, Zahlungs- und Belegdaten, Konto- und Nutzungsdaten der Mitarbeitenden des Kunden
Betroffene	Gäste des Kunden sowie Mitarbeitende und Beauftragte des Kunden

3. Weisungen

Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden. Als Weisung gelten die Nutzung der Anwendung durch den Kunden sowie Support-Anfragen: Fordert der Kunde Unterstützung an, dürfen dafür besonders berechtigte Administratoren (Superadministratoren) den Mandanten öffnen. Jeder solche Zugriff wird protokolliert und ist in der Anwendung gekennzeichnet.

4. Unterauftragsverarbeiter

Unternehmen	Leistung	Ort
IONOS SE	Betrieb der Server und Datenbanken	Deutschland
Anthropic PBC	Automatische Auslesung hochgeladener Belege und Assistenzfunktion „Nova“	USA (Standardvertragsklauseln)
IONOS SE (Mailservice)	Versand der System- und Benachrichtigungs-E-Mails	Deutschland
SumUp Limited	Zahlungsabwicklung der Buchungsseite, sofern vom Kunden aktiviert	EU

Weitere Unterauftragsverarbeiter oder deren Wechsel teilen wir mindestens vier Wochen vorher mit. Der Kunde kann aus wichtigem Grund widersprechen; in diesem Fall darf er außerordentlich kündigen.

5. Technische und organisatorische Maßnahmen

Strikte Mandantentrennung auf Datenbankebene, technisch abgesichert durch eine automatische Prüfung bei jedem Software-Build.
Verschlüsselte Übertragung (TLS) aller Zugriffe; Passwörter ausschließlich als Hash gespeichert.
Rollenbasierte Zugriffsrechte je Mandant; protokollierte Support-Zugriffe.
Tägliche Sicherung mit zusätzlicher Kopie an einem zweiten Standort in Deutschland.
Löschkonzept, unter anderem automatische Löschung der Meldescheindaten ein Jahr nach Abreise (§ 30 BMG).
Zugriff auf die Server ausschließlich über Schlüssel und begrenzte Quelladressen.

6. Unterstützung des Kunden

Wir unterstützen den Kunden bei Anfragen betroffener Personen, bei einer Datenschutz-Folgenabschätzung und bei Meldepflichten nach Art. 33 und 34 DSGVO. Von einer Verletzung des Schutzes personenbezogener Daten informieren wir den Kunden unverzüglich.

7. Löschung und Rückgabe

Nach Vertragsende stellen wir auf Wunsch einen Export der Daten bereit und löschen die Daten 60 Tage nach Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht besteht.

8. Nachweise

Wir weisen die Einhaltung dieser Pflichten auf Anfrage in geeigneter Weise nach, insbesondere durch Auskunft über die getroffenen Maßnahmen.