Auftragsverarbeitungsvertrag

Wir verarbeiten personenbezogene Daten im Auftrag des Reisebüros, um den Dienst Nelxa zu erbringen, solange der Arbeitsbereich des Reisebüros besteht und bis die Daten danach gelöscht oder zurückgegeben sind.

Hosting, Speicherung, Anzeige, Übermittlung (E-Mails, PDFs, Portalseiten, Zahlungslinks), Automatisierung und, wenn das Reisebüro es mit eigenem Schlüssel aktiviert, KI-gestütztes Entwerfen und Auswerten. Jede Verarbeitung folgt den dokumentierten Weisungen des Reisebüros, die über die Einstellungen und Funktionen des Produkts erteilt werden.

Betroffene Personen: die Reisenden des Reisebüros und ihre Mitreisenden, Geschäftskontakte und Lieferanten sowie die Mitarbeitenden des Reisebüros.

Kategorien: Identifikations- und Kontaktdaten; Ausweisdaten; Reise- und Buchungsdaten; Finanzdaten (Raten, Zahlungen, Erstattungen); Vertrags- und Signaturdaten; Kommunikation; sowie, wo das Reisebüro sie für Gruppenteilnehmer erfasst, Ernährungs- und Gesundheitshinweise und Notfallkontakte.

Wir verarbeiten Daten nur auf Weisung; behandeln sie vertraulich und verpflichten unsere Mitarbeitenden zur Vertraulichkeit; wenden die unten genannten Sicherheitsmaßnahmen an; unterstützen das Reisebüro bei Anfragen betroffener Personen und bei seinen Pflichten zu Sicherheit und Datenschutz-Folgenabschätzung; melden dem Reisebüro unverzüglich Verletzungen des Schutzes personenbezogener Daten, die seine Daten betreffen; löschen die Daten am Ende des Dienstes oder geben sie zurück; und stellen die Informationen bereit, die zum Nachweis der Einhaltung erforderlich sind.

Mandantentrennung durch Row-Level Security in PostgreSQL und Autorisierung je Anfrage in der Anwendung; Verschlüsselung bei der Übertragung; verschlüsselte Speicherung von Anbieterschlüsseln (AES-256-GCM); serverseitig kontrollierte Dateipfade je Reisebüro; ablaufende persönliche Links und ratenbegrenzte Einmalcodes für Reisende; rollenbasierter Zugriff für Mitarbeitende; wiederherstellbares Löschen mit endgültiger Löschung nach 30 Tagen; Protokollierung von Automatisierungsläufen und Signaturen; Prüfungen beim Build, die Code ablehnen, der über Reisebüros hinweg liest.

Wir setzen die unten aufgeführten Unterauftragsverarbeiter ein. Wir informieren Kontoinhaber, bevor wir einen Unterauftragsverarbeiter, der Daten von Reisebüros verarbeitet, hinzufügen oder ersetzen, damit das Reisebüro widersprechen kann. Dienste, die das Reisebüro mit eigenem Konto verbindet (Stripe, E-Mail-Anbieter, KI-Anbieter, Google Kalender), handeln auf Grundlage des eigenen Vertrags des Reisebüros mit ihnen.

Das Reisebüro kann Datensätze jederzeit löschen (Papierkorb, endgültige Löschung nach 30 Tagen) und die Gruppen-Passagierliste als CSV exportieren; Premium-Arbeitsbereiche können Finanzdaten als CSV exportieren. Am Ende des Dienstes löschen wir die Daten des Arbeitsbereichs oder geben sie auf Wunsch zuvor in maschinenlesbarer Form zurück, sofern das Gesetz keine Aufbewahrung verlangt.

Wir beantworten angemessene schriftliche Prüfungsfragen und stellen Dokumentation unserer Maßnahmen bereit. Prüfungen vor Ort werden im unterzeichneten Vertrag im Einzelfall vereinbart.