1. 01

   Gegenstand, Zweck und Weisungen

   1.1Der Auftragsverarbeiter verarbeitet für den Verantwortlichen personenbezogene Daten in dem zur Bereitstellung der App erforderlichen Umfang: Führung des Meldebuchs und des Hausbuchs, Vorbereitung und Übermittlung von Meldungen über untergebrachte Ausländer an die Polizei der Tschechischen Republik (UbyPort) unter den Zugangsdaten des Verantwortlichen, Unterlagen und Meldungen zur örtlichen Gebühr, Online-Check-in der Gäste einschließlich elektronischer Unterschrift, Abgleich der Namen der Gäste mit den Sanktionslisten der EU und Tschechiens, Buchungsverwaltung, Versand von Nachrichten an Gäste auf Weisung des Verantwortlichen, Reinigungsplanung und Betriebsdokumentation.

   1.2Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisung sind der Hauptvertrag, dieser Vertrag sowie die Einstellungen und Handlungen des Verantwortlichen in der App (Eingabe von Daten, Aktivierung der automatischen Übermittlung, Auslösen einer Übermittlung, Einrichtung einer Anbindung, Festlegung der Aufbewahrungsdauer, Hinzuziehen von Personen). Sonstige Weisungen sendet der Verantwortliche schriftlich an info@ubyo.cz; der Auftragsverarbeiter ist nicht verpflichtet, eine Weisung auszuführen, die über die Funktionen der App hinausgeht, und kann dafür ein Entgelt nach Ziff. 8 berechnen.

   1.3Der Auftragsverarbeiter weist den Verantwortlichen darauf hin, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Rechtsvorschriften verstößt; bis zur Klärung kann er die Ausführung aussetzen.

   1.4Während der Sperrung des Kontos nach der Testphase oder einer Blockierung wegen Zahlungsverzugs (Ziff. 4.3 und 5.5 der AGB) setzt der Auftragsverarbeiter die Verarbeitung aus: Er speichert die Daten lediglich und ermöglicht dem Verantwortlichen deren Export; Gästeformulare, Portale und die automatische Übermittlung von Meldungen laufen nicht. Seine gesetzlichen Pflichten gegenüber Gästen und Behörden erfüllt der Verantwortliche in dieser Zeit auf andere Weise. Betrifft die Blockierung nur die Apartments eines Rechtssubjekts (Ziff. 5.5 der AGB), gilt Satz 1 nur für die Verarbeitung, die diese Apartments betrifft.

2. 02

   Art und Umfang der Verarbeitung

   Betroffene Personen: Gäste des Verantwortlichen und mit ihnen untergebrachte Personen (einschließlich Kinder); vom Verantwortlichen in die App hinzugezogene Personen (Manager, Mitglieder des Reinigungsteams); Kontaktpersonen des Verantwortlichen.

   Datenkategorien: Identifikationsdaten (Vorname, Nachname, Geburtsdatum, Staatsangehörigkeit, Wohnanschrift); Daten aus dem Reisedokument (Art und Nummer des Dokuments, Ausstellungsstaat, Nummer und Art des Visums, Aufenthaltszweck); Daten zum Aufenthalt (Apartment, Termin, Personenzahl, Plattform und Buchungsnummer, Buchungspreis, Höhe der Gebühr, Befreiungsgrund); Kontaktdaten (E-Mail, Telefon, Sprache, Inhalt der Nachrichten); eigenhändige Unterschrift des Gastes (als Bild) und Zeitpunkt des Check-ins; Ergebnis des Abgleichs mit den Sanktionslisten; bei hinzugezogenen Personen Name, E-Mail, Telefon und Anmeldeprotokolle.

   Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet; der Verantwortliche verpflichtet sich, sie ebenso wie Geburtsnummern und Kopien von Dokumenten nicht in die App einzugeben. Gibt er sie dennoch ein, trägt er dafür selbst die Verantwortung.

   Verarbeitungsvorgänge: Speicherung, Organisation, Anzeige gegenüber dem Verantwortlichen und den von ihm hinzugezogenen Personen, automatischer Abgleich mit Sanktionslisten, Übermittlung an die Polizei der Tschechischen Republik und an die Gemeinde auf Weisung des Verantwortlichen, Versand von Nachrichten an Gäste auf Weisung des Verantwortlichen, Datensicherung, Anonymisierung, Löschung.

   Dauer: für die Laufzeit des Hauptvertrags und darüber hinaus nach Ziff. 6.

3. 03

   Pflichten des Auftragsverarbeiters

   a) verarbeitet die Daten nur für die Zwecke nach Ziff. 1 und auf Weisung des Verantwortlichen, nicht für eigene Zwecke; ausgenommen sind anonyme zusammenfassende Statistiken, die keinen Rückschluss auf einen Gast oder den Verantwortlichen zulassen, sowie die Aufbewahrung von Daten, zu der der Auftragsverarbeiter gesetzlich verpflichtet ist oder die er zur Geltendmachung oder Verteidigung von Rechtsansprüchen benötigt; b) stellt sicher, dass nur zur Vertraulichkeit verpflichtete Personen Zugang zu den Daten haben, und nur in dem für Betrieb und Support der App erforderlichen Umfang; ein Zugriff eines Administrators der App auf die Daten des Verantwortlichen (Support-Modus) erfolgt nur auf dessen Veranlassung oder zur Behebung eines Betriebsproblems und wird im Sicherheitsaudit des Auftragsverarbeiters protokolliert (wer, wann, auf welches Konto und wie lange); c) trifft die technischen und organisatorischen Maßnahmen nach Ziff. 7; d) zieht weitere Auftragsverarbeiter nur unter den Bedingungen der Ziff. 4 hinzu; e) unterstützt den Verantwortlichen bei der Bearbeitung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Einschränkung, Widerspruch) vorrangig durch die Funktionen der App (Suche, Berichtigung, Export der Daten eines Gastes, Löschung nach Ablauf der Frist). Einen Antrag, den ein Gast versehentlich an den Auftragsverarbeiter richtet, leitet dieser binnen 5 Werktagen an den Verantwortlichen weiter; inhaltlich beantwortet er ihn nicht selbst; f) meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich, spätestens binnen 48 Stunden nach Kenntniserlangung, mit den zu diesem Zeitpunkt verfügbaren Informationen (Art der Verletzung, betroffene Daten, wahrscheinliche Folgen, ergriffene Maßnahmen) und ergänzt diese fortlaufend. Die Meldung an die Aufsichtsbehörde und an die Gäste nimmt der Verantwortliche vor; g) leistet dem Verantwortlichen angemessene Unterstützung bei der Datenschutz-Folgenabschätzung und bei der vorherigen Konsultation der Aufsichtsbehörde, soweit die DSGVO dies verlangt; h) verfährt nach Abschluss der Verarbeitung nach Ziff. 6; i) stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach Ziff. 9; j) führt ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

4. 04

   Weitere Auftragsverarbeiter

   4.1Der Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter. Die aktuelle Liste findet sich unter ubyo.cz/zpracovatele; zum Zeitpunkt des Inkrafttretens:

   Weiterer Auftragsverarbeiter	Sitz	Tätigkeit	Speicherort der Daten
   WEDOS Internet, a.s., IČO 28115708, Masarykova 1230, 373 41 Hluboká nad Vltavou	Tschechien	Webhosting, Datenbank, Backups, E-Mail-Versand	Tschechien
   WEDOS, a.s., IČO 28115694, Masarykova 1230, 373 41 Hluboká nad Vltavou (WEDOS Global Protection)	Tschechien	Schutznetz vor der Anwendung (Filterung von Angriffen, Verkehrsprüfung im Durchlauf, Cache statischer Dateien); speichert keine Daten	EU; bei Zugriffen von außerhalb der EU Durchleitung über einen Netzknoten außerhalb der EU
   Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA	USA	Tresor verschlüsselter Backups (R2, für Cloudflare nicht lesbar); „Kein Roboter“-Prüfung bei der Registrierung (Turnstile)	Backups EU; bei Turnstile technische Besucherdaten in den USA (EU-U.S. Data Privacy Framework)

   4.2Die beabsichtigte Hinzuziehung oder den Wechsel eines weiteren Auftragsverarbeiters teilt der Auftragsverarbeiter mindestens 14 Tage im Voraus per E-Mail mit. Bis zum Wirksamwerden der Änderung kann der Verantwortliche begründet schriftlich widersprechen; einigen sich die Parteien nicht, kann der Verantwortliche den Hauptvertrag mit Wirkung zum Zeitpunkt der Änderung kündigen, und der Auftragsverarbeiter erstattet ihm den anteiligen Betrag des nicht genutzten Abonnements. Widerspricht der Verantwortliche nicht, gilt dies als Zustimmung zur Änderung.

   4.3Der Auftragsverarbeiter erlegt dem weiteren Auftragsverarbeiter vertraglich Pflichten auf, die diesem Vertrag entsprechen, und haftet dem Verantwortlichen für dessen Erfüllung.

   4.4Keine weiteren Auftragsverarbeiter sind: die Polizei der Tschechischen Republik, Gemeindeämter und das Datenpostfachsystem (eigenständige Verantwortliche, gegenüber denen der Verantwortliche eine gesetzliche Pflicht erfüllt); Buchungsplattformen und PMS, die der Verantwortliche selbst mit eigenen Zugangsdaten angebunden hat (sie sind Auftragsverarbeiter des Verantwortlichen, nicht des Auftragsverarbeiters, und der Verantwortliche haftet für deren Bedingungen und Verhalten); öffentliche Register (ARES, ADIS) und der Wetterdienst, an die keine Gästedaten übermittelt werden; Sanktionslisten, die die App lediglich herunterlädt und lokal abgleicht.

   4.5Die Daten werden ausschließlich in der Europäischen Union verarbeitet und gespeichert. Eine Übermittlung in ein Drittland ist nur mit geeigneten Garantien nach Kapitel V der DSGVO und nach Mitteilung gemäß Ziff. 4.2 zulässig.

5. 05

   Pflichten des Verantwortlichen

   5.1Der Verantwortliche haftet für die Rechtmäßigkeit der Verarbeitung: für das Vorliegen einer Rechtsgrundlage, für die Erfüllung der Informationspflicht gegenüber Gästen (Art. 13 und 14 DSGVO) und hinzugezogenen Personen, für Richtigkeit, Datenminimierung und Aktualität der Daten sowie für die Rechtmäßigkeit seiner Weisungen. Der Auftragsverarbeiter haftet nicht für die Folgen einer Weisung des Verantwortlichen.

   5.2Der Verantwortliche bearbeitet Anträge betroffener Personen und kommuniziert mit der Aufsichtsbehörde selbst; der Auftragsverarbeiter unterstützt ihn nach Ziff. 3 Buchst. e) bis g).

   5.3Der Verantwortliche stellt sicher, dass hinzugezogene Personen (Manager, Mitglieder des Reinigungsteams) nur im Rahmen ihrer Berechtigungen mit den Daten arbeiten und zur Vertraulichkeit verpflichtet sind; für deren Handeln haftet er wie für eigenes.

   5.4Der Verantwortliche ist dafür verantwortlich, den Export nach Ziff. 6.3 vor Ende des Hauptvertrags herunterzuladen. Muss er die Daten eines Aufenthalts länger als die Frist nach Ziff. 6.1 aufbewahren (insbesondere wegen einer laufenden Prüfung oder eines laufenden Verfahrens), lädt er sie vor deren Ablauf per Export herunter oder beantragt schriftlich die zeitlich unbegrenzte Aufbewahrung nach Ziff. 6.1.

   5.5Der Verantwortliche teilt dem Auftragsverarbeiter unverzüglich Umstände mit, die die Erfüllung dieses Vertrags gefährden können (insbesondere den Verdacht eines Missbrauchs von Zugangsdaten), und leistet die erforderliche Unterstützung.

6. 06

   Aufbewahrungsdauer, Rückgabe und Löschung

   6.1Gästedaten, Meldeprotokolle und Zustellnachweise bewahrt die App 6 Jahre ab Ende des Aufenthalts auf, was der Frist für das Meldebuch (§ 3g Abs. 4 des Gesetzes Nr. 565/1990 Slg.) und das Hausbuch (§ 101 Abs. 4 des Gesetzes Nr. 326/1999 Slg.) entspricht. Nach Fristablauf anonymisiert die App die Daten automatisch: Name, Geburtsdatum, Anschrift, Dokument- und Visumnummern, Unterschrift, Kontaktdaten und Nachrichteninhalte werden entfernt; erhalten bleiben nur Daten ohne Personenbezug (Termin, Staatsangehörigkeit, Personenzahl, Höhe der Gebühr, Ergebnis der Übermittlung). Die Frist kann in der App weder verlängert noch verkürzt werden. Mindestens 30 Tage vor der Anonymisierung benachrichtigt die App den Verantwortlichen per E-Mail und bietet ihm einen Export an. Auf schriftlichen Antrag des Verantwortlichen kann der Auftragsverarbeiter die automatische Anonymisierung für dessen Konto abschalten (Aufbewahrung ohne zeitliche Begrenzung für die Dauer des Hauptvertrags); den Rechtsgrund der längeren Aufbewahrung und die Verantwortung dafür trägt der Verantwortliche.

   6.2Anmeldeprotokolle hinzugezogener Personen werden 12 Monate nach der Anmeldung gelöscht; Nachrichten an Gäste zusammen mit den Daten des jeweiligen Gastes.

   6.3Nach Ende des Hauptvertrags hat der Verantwortliche 30 Tage Zeit, sämtliche Daten in maschinenlesbarer Form (JSON/CSV) und in druckbarer Form (Meldebuch, Übersicht der Meldungen mit Zustellnachweisen) herunterzuladen. Danach löscht der Auftragsverarbeiter die personenbezogenen Daten des Verantwortlichen unwiderruflich aus der Betriebsdatenbank; aus den Backups verschwinden sie durch Rotation — tägliche Backups binnen 14 Tagen, das monatliche Archiv-Backup binnen 3 Monaten. Backups dienen nur der Wiederherstellung des Betriebs nach einem Ausfall oder der Wiederherstellung der Daten eines einzelnen Verantwortlichen auf dessen schriftlichen Antrag (wiederhergestellt werden ausschließlich dessen Daten, außerhalb der Betriebsdatenbank, und der Vorgang wird protokolliert); bei der Wiederherstellung des Betriebs aus einem Backup löscht der Auftragsverarbeiter gelöschte Konten erneut. Die Löschung bestätigt er dem Verantwortlichen per E-Mail an die Adresse des Kontoinhabers.

   6.4Die gesetzliche Pflicht zur Führung des Meldebuchs und des Hausbuchs besteht auch nach Ende des Hauptvertrags fort und wird vom Verantwortlichen erfüllt. Lädt er den Export nicht innerhalb der Frist nach Ziff. 6.3 herunter, trägt er die Folgen selbst.

7. 07

   Technische und organisatorische Maßnahmen

   • Verschlüsselte Übertragung (TLS) zwischen Browser, App und Drittsystemen.
   • Passwörter nur als Hash gespeichert (bcrypt); Zugangsdaten des Verantwortlichen für UbyPort, das Datenpostfachsystem und Plattformen mit AES-256-GCM verschlüsselt, der Schlüssel liegt außerhalb des Web-Stammverzeichnisses des Servers; die Administratoren der App sehen sie nicht.
   • Logische Trennung der Daten einzelner Verantwortlicher, in jeder Abfrage erzwungen; das Portal des Reinigungsteams ohne Zugriff auf Gästedaten; die Rolle Manager mit eingeschränkten Berechtigungen.
   • Optionale Zwei-Faktor-Authentifizierung, Begrenzung der Anmeldeversuche, zeitlich begrenzte Sitzungen, CSRF-Schutz, Sicherheits-Header, Prüfung hochgeladener Dateien.
   • Verschlüsselte tägliche Backups (14 Tage) und ein monatliches Archiv (3 Monate), getrennt von der Betriebsdatenbank gespeichert.
   • Konten der Administratoren der App: Jeder Administrator hat ein eigenes Konto mit verpflichtender Zwei-Faktor-Authentifizierung, seine Tätigkeit wird auditiert, und auf Gästedaten greift er nur im Support-Modus nach Ziff. 3 Buchst. b) zu; Übermittlungsprotokolle mit Zustellnachweisen.
   • Regelmäßige Software-Updates und Sicherheitsüberprüfung (zuletzt September 2026); Zugang zur Serververwaltung und zur Administratorrolle der App hat ein begrenzter Personenkreis des Auftragsverarbeiters.

   Der Auftragsverarbeiter kann die Maßnahmen ändern, sofern dadurch das Gesamtniveau der Sicherheit nicht verringert wird.

8. 08

   Kosten der Unterstützung

   Die Unterstützung nach Ziff. 3 im Umfang der Funktionen der App ist im Preis enthalten. Darüber hinausgehende Unterstützung (individuelle Auswertungen, manuelle Bearbeitung von Anträgen, Beratung, Unterstützung bei einer Prüfung oder einem durch das Handeln des Verantwortlichen ausgelösten Verfahren) erbringt der Auftragsverarbeiter zu dem in der Preisliste angegebenen Stundensatz, je angefangene Stunde; den Umfang schätzt er vorab, und der Verantwortliche bestätigt ihn.

9. 09

   Überprüfung

   Höchstens einmal in 12 Monaten oder nach einer gemeldeten, seine Daten betreffenden Verletzung des Datenschutzes kann der Verantwortliche einen Nachweis der Einhaltung dieses Vertrags verlangen. Der Auftragsverarbeiter antwortet binnen 30 Tagen mit einer schriftlichen Beschreibung der Maßnahmen und einem Auszug der den Verantwortlichen betreffenden Protokolle. Eine Prüfung vor Ort ist nur nach schriftlicher Terminvereinbarung mindestens 30 Tage im Voraus möglich, während der Geschäftszeiten, auf Kosten des Verantwortlichen, durch einen zur Vertraulichkeit verpflichteten Prüfer und so, dass weder der Betrieb der App noch die Daten anderer Verantwortlicher gefährdet werden.

10. 10

    Haftung

    10.1Jede Partei haftet für Schäden, die durch die Verletzung ihrer Pflichten nach der DSGVO entstehen (Art. 82). Im Verhältnis zwischen den Parteien ist die Haftung des Auftragsverarbeiters gegenüber dem Verantwortlichen ebenso begrenzt wie im Hauptvertrag (Ziff. 11 der AGB).

    10.2Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen betroffener Personen, Bußgeldern und Kosten frei, die dem Auftragsverarbeiter infolge eines Verstoßes gegen die DSGVO oder diesen Vertrag durch den Verantwortlichen oder die von ihm hinzugezogenen Personen oder infolge einer rechtswidrigen Weisung des Verantwortlichen entstehen.

11. 11

    Schlussbestimmungen

    Änderungen dieses Vertrags richten sich nach Ziff. 14.2 der AGB. Endet der Hauptvertrag, gilt dieser Vertrag bis zur Löschung der Daten nach Ziff. 6 fort. Anwendbares Recht: tschechisches Recht. Gültig ab 20. 10. 2026. Fassung 4.

Betreiber: Sierra Apartments s.r.o., Františka Diviše 1603/20A, 104 00 Prag, Tschechien, Firmen-ID 21803285 · Datenbox gw6xygi, info@ubyo.cz.