Vereinbarung zur Auftragsverarbeitung (AVV)

Nach Artikel 28 Abs. 3 DSGVO

Präambel

Diese Vereinbarung zur Auftragsverarbeitung ist Bestandteil des zwischen der HostUpp GmbH, Neuer Zollhof 1, 40221 Düsseldorf („HostUpp") und dem jeweiligen Kundenunternehmen („Kunde") auf Grundlage der unter www.hostupp.ai/de/agb abrufbaren Allgemeinen Nutzungs- und Lizenzbedingungen abgeschlossenen Vertrages („Hauptvertrag"), unter dem HostUpp für den Kunden eine Software-as-a-Service-Plattform für den Einsatz eines KI-Assistenten für Hotels bereitstellt.

Die vorliegende Vereinbarung zur Auftragsverarbeitung („AVV") konkretisiert die Rechte und Pflichten der Parteien im Sinne von Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten durch HostUpp im Zusammenhang mit dem Hauptvertrag. Die AVV gilt für alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen HostUpp, ihre Beschäftigten und Subunternehmer Zugang zu personenbezogenen Daten haben, für welche der Kunde der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO ist.

1 Gegenstand, Zweck und Dauer der Verarbeitung

1.1 Die Verarbeitung dient der Nutzung der HostUpp SaaS Plattform und der darüber bereitgestellten KI-Assistenten durch den Kunden, die der Kunde bei HostUpp auf der Grundlage des Hauptvertrages gebucht hat.

1.2 Die Laufzeit dieser AVV richtet sich nach der Laufzeit des Hauptvertrages, sofern sich aus den Bestimmungen dieser AVV nicht darüberhinausgehende Verpflichtungen ergeben.

1.3 Bei etwaigen Widersprüchen gehen die Regelungen dieser AVV und sämtlicher Anlagen den Regelungen des Hauptvertrages vor.

2 Art der verarbeiteten Daten und Kategorien der betroffenen Personen

2.1 Gegenstand der Verarbeitung von personenbezogenen Daten sind folgende Arten/Kategorien von Daten:

• Personenbezogene Daten von Hotelgästen, einschließlich Vertragsstammdaten (z.B. Name, Adresse, Buchungszeitraum, Zimmernummer)
• Kommunikationsdaten zwischen den Hotelgästen und dem KI-Assistenten sowie sonstige Protokoll- und Nutzungsdaten, die bei der Nutzung von HostUpp anfallen

2.2 Von der Datenverarbeitung betroffene Kategorien von Personen:

• Hotelgäste und Buchungsinteressenten

3 Verantwortlichkeit und Verarbeitung auf Weisung

3.1 Der Kunde ist als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO im Rahmen dieser AVV für die Rechtmäßigkeit der Datenverarbeitung nach geltendem Datenschutzrecht, insbesondere die Rechtmäßigkeit der Offenlegung gegenüber HostUpp, sowie für die Wahrung der Betroffenenrechte allein verantwortlich.

3.2 HostUpp darf personenbezogene Daten nur nach den dokumentierten Weisungen des Kunden verarbeiten. Dies gilt insbesondere auch in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland oder eine internationale Organisation. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

3.3 Die Weisungsgebundenheit nach Ziffer 3.2 besteht nicht, wenn und soweit Europäisches Recht oder das für HostUpp geltende Recht eines Mitgliedstaats bestimmte Verarbeitungen (z.B. bei Ermittlungen von Strafverfolgungsbehörden) vorschreibt. In einem solchen Fall teilt HostUpp dem Kunden diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.4 HostUpp berichtigt oder löscht die vertragsgegenständlichen Daten oder schränkt deren Verarbeitung ein, wenn der Kunde dies anweist und dies vom Weisungsrahmen nach Maßgabe dieser AVV umfasst ist.

3.5 HostUpp informiert den Kunden unverzüglich, wenn sie der Auffassung ist, dass eine Weisung gegen anwendbare Vorschriften über den Datenschutz verstößt. HostUpp darf die Umsetzung der Weisung solange aussetzen, bis diese vom Kunden in Textform bestätigt oder abgeändert wurde. Die Ausführung offensichtlich rechtswidriger Weisungen darf HostUpp jederzeit ablehnen.

3.6 HostUpp darf die ihr zugänglich gemachten personenbezogenen Daten für keine anderen Zwecke als die Erfüllung der Verpflichtungen aus dem Hauptvertrag und dieser AVV verwenden, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate dürfen ohne Wissen des Kunden nicht erstellt werden.

3.7 HostUpp gewährleistet, dass die zur Verarbeitung der Daten befugten Personen die Weisungen des Kunden kennen und diese beachten.

3.8 HostUpp gewährleistet, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeits- und Verschwiegenheitspflicht besteht auch nach Beendigung der Verarbeitung fort.

4 Sicherheit der Verarbeitung / Technische und organisatorische Maßnahmen (TOMs)

4.1 Gemäß Art. 32 DSGVO haben der Kunde und HostUpp geeignete technische und organisatorische Maßnahmen (TOMs) zu treffen, um ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau zu gewährleisten. Die von HostUpp zur Gewährleistung der Datensicherheit implementierten technischen und organisatorischen Maßnahmen sind der Anlage 1 zu dieser AVV beschrieben.

4.2 Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Änderung der vereinbarten technischen und organisatorischen Maßnahmen bleiben HostUpp vorbehalten, wobei jedoch sichergestellt sein muss, dass das vertraglich vereinbarte Schutzniveau insgesamt nicht unterschritten wird. Wesentliche Änderungen sind dem Kunden in Textform mitzuteilen.

4.3 HostUpp unterstützt den Kunden bei der Durchführung einer ggf. erforderlichen Datenschutz-Folgenabschätzung sowie im Rahmen einer ggf. erforderlichen vorherigen Konsultation der Aufsichtsbehörde. Insbesondere wird HostUpp den Kunden auf Anfrage bei der Gewährleistung der sich aus der Durchführung der Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde ergebenden Auflagen unterstützen. HostUpp wird den Kunden ferner bei einer ggf. erforderlichen Überprüfung nach Art. 35 Abs. 11 DSGVO unterstützen.

5 Unterrichtung bei Datenschutzverletzungen und Fehlern der Verarbeitung

HostUpp unterrichtet den Kunden unverzüglich, wenn ihr Datenschutzverstöße im Sinne von Art. 4 Nr. 12 DSGVO in dem Organisationsbereich von HostUpp bekannt werden oder ein konkreter Verdacht einer solchen Datenschutzverletzung bei HostUpp besteht.

6 Ort der Verarbeitung

6.1 Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet grundsätzlich in einem Mitgliedstaat der Europäischen Union statt. HostUpp betreibt die Datenbank, die Authentifizierung und die Dateispeicherung sowie das Anwendungs-Hosting in Rechenzentren mit Sitz in Frankfurt am Main, Deutschland. Den EU-Mitgliedsstaaten gleich stehen andere Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum und sichere Drittländer, denen die Europäische Kommission per Angemessenheitsbeschluss ein angemessenes Datenschutzniveau bestätigt hat.

6.2 Soweit für einzelne Datenverarbeitungsvorgänge Unterauftragnehmer in einem Drittstaat eingesetzt werden, der kein Mitgliedstaat der Europäischen Union ist, kein Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum und kein sicheres Drittland, dem die Europäische Kommission per Angemessenheitsbeschluss ein angemessenes Datenschutzniveau bestätigt hat, darf eine Übermittlung personenbezogener Daten nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Dies betrifft insbesondere die in Anlage 2 aufgeführten Unterauftragnehmer mit Sitz in den USA, die HostUpp für die konversationelle KI-Verarbeitung (u.a. Spracherkennung, Sprachsynthese und Sprachmodelle) sowie für einzelne Infrastruktur- und Kommunikationsdienste einsetzt. Hierzu hat HostUpp mit dem jeweiligen Unterauftragnehmer im Regelfall Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) sowie ergänzende technische und organisatorische Maßnahmen vereinbart, soweit ein angemessenes Schutzniveau nicht durch andere geeignete Instrumente, wie bspw. das EU-US Data Privacy Framework (DPF), sichergestellt ist.

7 Unterbeauftragung weiterer Auftragsverarbeiter

7.1 HostUpp darf die Verarbeitung personenbezogener Daten mit Zustimmung des Kunden ganz oder teilweise durch weitere Auftragsverarbeiter (kurz: „Unterauftragnehmer") erbringen lassen. Für die in der Anlage 2 aufgeführten Unterauftragnehmer gilt die Genehmigung des Kunden als erteilt.

7.2 HostUpp informiert den Kunden rechtzeitig vorab über die Beauftragung von Unterauftragnehmern oder Änderungen in der Unterbeauftragung. Der Kunde kann bei Vorliegen eines wichtigen Grundes der Unterbeauftragung innerhalb von zwei Wochen nach Kenntnisnahme in Textform widersprechen. Ein wichtiger Grund liegt insbesondere vor, wenn ein begründeter Anlass zu Zweifeln besteht, dass der Unterauftragnehmer die vereinbarte Leistung entsprechend den anwendbaren gesetzlichen Bestimmungen zum Datenschutz oder gemäß dieser AVV erbringt.

7.3 HostUpp wird mit dem Unterauftragnehmer die in diesem AVV getroffenen Regelungen inhaltsgleich vereinbaren. Insbesondere müssen die mit dem Unterauftragnehmer zu vereinbarenden technischen und organisatorischen Maßnahmen mindestens dasselbe Schutzniveau aufweisen.

7.4 Keine Unterbeauftragungen im Sinne dieser Regelung sind Leistungen, die HostUpp als reine Nebenleistung zur Unterstützung ihrer geschäftlichen Tätigkeit außerhalb der Auftragsverarbeitung in Anspruch nimmt. HostUpp ist jedoch verpflichtet, zur Gewährleistung des Schutzes der Daten auch für solche Nebenleistungen angemessene Vorkehrungen zu ergreifen.

8 Unterstützung des Kunden bzgl. Betroffenenrechten

8.1 Die Wahrung der Rechte der von der Datenverarbeitung betroffenen Personen nach Kapitel III DSGVO liegt in der alleinigen Verantwortung des Kunden. HostUpp darf in Bezug auf Daten, die HostUpp für den Kunden verarbeitet, nur nach Rücksprache mit dem Kunden Auskünfte an betroffene Personen erteilen, und wird Daten nur auf dokumentierte Weisung des Kunden berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person sich unmittelbar an HostUpp wendet, wird HostUpp den Kunden unverzüglich über das Ersuchen unterrichten und dieses weiterleiten.

8.2 Unter Berücksichtigung der Art der Verarbeitung wird HostUpp den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützen, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte der betroffenen Person nachzukommen. Für einvernehmlich erbrachte Unterstützungsleistungen, die nicht Gegenstand des Hauptvertrages sind, kann HostUpp eine angemessene Vergütung verlangen.

9 Kontroll- und Informationsrechte des Kunden

9.1 HostUpp weist dem Kunden die Einhaltung seiner vertraglichen Verpflichtungen mit geeigneten Mitteln nach.

9.2 Der Kunde ist berechtigt, zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs und nach vorheriger Anmeldung unter Berücksichtigung einer angemessenen Vorlaufzeit, Vor-Ort-Inspektionen bei HostUpp zur Prüfung der Einhaltung der datenschutzrechtlichen Bestimmungen durchzuführen. HostUpp darf die Inspektion von der Unterzeichnung einer Verschwiegenheitserklärung hinsichtlich der Daten anderer Kunden und der von ihr getroffenen technischen und organisatorischen Maßnahmen abhängig machen.

9.3 Zur Behebung der bei einer Inspektion getroffenen Feststellungen stimmen die Parteien umzusetzende Maßnahmen ab.

10 Haftung

10.1 Die Parteien haften gegenüber betroffenen Personen gemäß der Regelung in Art. 82 DS-GVO. Für den Innenausgleich zwischen den Parteien gilt Art. 82 Abs. 5 DS-GVO mit der Maßgabe, dass eine Partei die andere Partei im Falle der Inanspruchnahme durch eine betroffene Person in dem Umfang freizuhalten hat, in dem sie für den entstandenen Schaden verantwortlich ist. Die Freihalteverpflichtung umfasst auch die Kosten angemessener Rechtsverteidigung.

10.2 Eine zwischen den Parteien im Hauptvertrag etwa vereinbarte Haftungsregelung gilt auch für die Auftragsverarbeitung nach dieser Vereinbarung, soweit nicht ausdrücklich etwas anderes vereinbart ist.

10.3 HostUpp haftet nicht, soweit der Schaden durch die korrekte Umsetzung der vom Kunden beauftragten Dienstleistung oder eine vom Kunden erteilte Weisung entstanden ist.

10.4 Macht ein Betroffener gegenüber einer Partei Schadenersatzansprüche wegen Verstoßes gegen datenschutzrechtliche Bestimmungen geltend, so hat die beanspruchte Partei die andere Partei hierüber unverzüglich zu informieren.

10.5 Die Parteien unterstützen sich wechselseitig bei der Abwehr von Schadenersatzansprüchen betroffener Personen, es sei denn, dies würde die Rechtsposition der einen Partei im Verhältnis zur anderen Partei oder zur Aufsichtsbehörde gefährden.

11 Laufzeit

Die AVV endet mit Beendigung des Hauptvertrages, ohne dass es einer gesonderten Kündigung der AVV bedarf. HostUpp hat in diesem Fall die nach der AVV verarbeiteten Daten nach Wahl des Kunden herauszugeben oder datenschutzkonform zu löschen und dies dem Kunden in Textform (z. B. durch ein Löschprotokoll) zu bestätigen.

12 Schlussbestimmungen

12.1 Mündliche Nebenabreden wurden nicht getroffen. Änderungen und Ergänzungen der AVV bedürfen zu ihrer Wirksamkeit der Textform und der ausdrücklichen Bezugnahme auf die AVV. Abweichende mündliche Abreden der Parteien sind unwirksam. Dies gilt auch für Änderungen dieser Klausel.

12.2 Sollte eine Bestimmung dieser Vereinbarung ganz oder teilweise rechtsunwirksam oder nichtig sein oder werden, bleibt diese AVV im Übrigen gleichwohl aufrechterhalten und gültig. An Stelle der rechtsunwirksamen oder nichtigen Bestimmung gilt das Gesetz, sofern die hierdurch entstandene Lücke nicht durch ergänzende Vertragsauslegung gemäß §§ 133, 157 BGB geschlossen werden kann. Beide Parteien sind jedoch insoweit verpflichtet, unverzüglich eine rechtswirksame und datenschutzkonforme Vertragsergänzung abzustimmen und zu erstellen.

12.3 Diese AVV unterliegt dem Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist Düsseldorf, sofern das Gesetz nicht zwingend etwas anderes vorschreibt.

Anlagen

• Anlage 1: Technische und Organisatorische Maßnahmen (TOMs)
• Anlage 2: Liste der Unterauftragnehmer

---

Anlage 1 – Technische und organisatorische Maßnahmen (TOMs) der HostUpp GmbH

Auftragsverarbeiter: HostUpp GmbH, Neuer Zollhof 1, 40221 Düsseldorf

Stand: 19. August 2026 · Version: 1.0 (gegen den Produktivstand der Plattform verifiziert)

Die HostUpp GmbH trifft zum Schutz der im Auftrag verarbeiteten personenbezogenen Daten die nachfolgenden technischen und organisatorischen Maßnahmen im Sinne von Art. 32 DSGVO. Die Plattform wird ausschließlich in Rechenzentren in der Europäischen Union betrieben (Datenbank und Anwendungs-Hosting: Frankfurt am Main). HostUpp betreibt keine eigenen Rechenzentren; die physische Sicherheit ist an zertifizierte Infrastrukturanbieter delegiert (Abschnitt 1.1). Die konversationelle KI-Verarbeitung erfolgt teilweise bei Unterauftragsverarbeitern in Drittländern auf Grundlage geeigneter Garantien (Anlage 2).

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle (physischer Zugang)

• Kein eigener Serverbetrieb, keine lokalen Server, keine Verarbeitung von Produktionsdaten auf Papier. Sämtliche Produktionsdaten existieren ausschließlich in den zertifizierten Rechenzentren der eingesetzten Cloud-Anbieter (u. a. ISO 27001 / SOC 2): Datenbank, Authentifizierung und Dateispeicher bei Supabase (AWS-Region eu-central-1, Frankfurt), Anwendungs-Hosting bei Fly.io (Region Frankfurt).
• Weder HostUpp-Personal noch Dritte haben physischen Zugriff auf diese Systeme; der physische Schutz liegt vollständig bei den Rechenzentrumsbetreibern und ist Bestandteil der Anbieterauswahl nach Art. 28 DSGVO (Zertifizierungen, Auditberichte).
• Arbeitsplatzgeräte der HostUpp-Mitarbeitenden: personalisierte Anmeldung, automatische Bildschirmsperre; personenbezogene Produktionsdaten werden nicht dauerhaft lokal gespeichert.

1.2 Zugangskontrolle (Systeme und Dienste)

• Personalisierte Benutzerkonten; keine Sammel- oder Funktionskonten für Verwaltungszugriffe.
• Zwei-Faktor-Authentifizierung (TOTP) wird für sämtliche Verwaltungsoberflächen technisch erzwungen (fail-closed): ohne abgeschlossene Zwei-Faktor-Einrichtung und bestandene Prüfung in der Sitzung ist weder das Hotel-Portal noch das interne Betreiber-Backoffice erreichbar. Beim Zurücksetzen des Passworts wird eine zusätzliche Zwei-Faktor-Bestätigung verlangt.
• Maschinenzugriffe (API) ausschließlich über individuelle API-Schlüssel; diese werden systemseitig nur als kryptografischer Hash gespeichert und sind nach Ausgabe nicht rekonstruierbar.
• Administrative Produktionszugriffe (Infrastruktur, Datenbank, Deployments) sind auf einen kleinen, namentlich benannten Personenkreis beschränkt.
• Sitzungsverwaltung und Anmeldeverfahren über einen dedizierten, gehärteten Authentifizierungsdienst (Supabase Auth).

1.3 Zugriffskontrolle (Berechtigungen)

• Rollenbasiertes Berechtigungsmodell auf Kundenseite (Eigentümer, Admin, Operativ, Nur-Lesen, API-Bot); schreibende Verwaltungsaktionen sind zentral auf schreibberechtigte Rollen beschränkt, der API-Bot-Zugriff ist grundsätzlich lesend.
• Getrenntes, eigenes Rollenmodell für das interne Betreiber-Backoffice (Support, Abrechnung, Admin) mit fail-closed-Prinzip: ein Konto ohne expliziten Berechtigungseintrag erhält keinerlei Zugriff.
• Deaktivierung von Konten erfolgt als Soft-Disable mit sofortiger Wirkung; Konten werden nicht gelöscht, damit die Nachvollziehbarkeit im Prüfprotokoll erhalten bleibt.
• Schreibende Aktionen des KI-Assistenten im Hotelsystem unterliegen einem Freigabe- und Autonomiekonzept mit menschlicher Kontrolle; ohne ausdrückliche Freischaltung wird jede Schreibaktion zur menschlichen Freigabe zurückgehalten (fail-closed), auch bei fehlender oder fehlerhafter Konfiguration.

1.4 Trennungskontrolle (Mandantentrennung)

• Mandantenfähige Architektur: jeder kundenbezogene Datensatz trägt eine Mandantenkennung; jeder Zugriff wird anwendungsseitig gegen die Mitgliedschaft des zugreifenden Kontos geprüft; Datenbankabfragen sind mandantengebunden.
• Zusätzliche kryptografische Trennung: sensible Gastdaten werden mit mandantenspezifischen Datenschlüsseln verschlüsselt (Abschnitt 1.5), sodass Daten verschiedener Hotels auch auf Schlüsselebene getrennt sind.
• Getrennte Umgebungen für Entwicklung/Test und Produktion; Kundendaten werden nicht in Test-Umgebungen verwendet.

1.5 Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Übertragung: durchgängige Transportverschlüsselung (TLS) auf allen Web-Oberflächen, Schnittstellen und Webhooks; Sicherheits-Header auf allen Web-Flächen.
• Speicherung: sensible Gastdaten (Namen, Kontaktdaten, Kennungen) werden im Ruhezustand zusätzlich zur Datenbankebene mit AES-256-GCM verschlüsselt, im Umschlagverfahren (Envelope Encryption) mit mandantenspezifischen Datenschlüsseln unter einem zentralen Hauptschlüssel.
• Zugangsdaten und Geheimnisse: PMS-Zugangstoken und OAuth-Zugangsdaten werden je Mandant getrennt und AES-256-GCM-verschlüsselt gespeichert; Webhook-Geheimnisse ebenso (mit Schlüsselkennung für Rotation); API-Schlüssel nur als Hash.
• Pseudonymisierung an der Auswertungsgrenze: im automatisierten Auswertungspfad werden E-Mail-Adressen und Telefonnummern vor der Übergabe an das Sprachmodell durch Platzhalter ersetzt; das Modell ist angewiesen, Namen und Zimmernummern nicht wiederzugeben, und die Ausgabe wird vor der Speicherung erneut bereinigt. Für Gäste ohne bekannte E-Mail-Adresse werden synthetische Platzhalter-Adressen verwendet.
• Betriebsüberwachung (Sentry, EU-Region) mit konfigurierter Entfernung personenbezogener Daten vor der Übertragung.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Eingabe- und Nachvollziehbarkeitskontrolle

• Das interne Betreiber-Backoffice führt ein append-only-Prüfprotokoll mit SHA-256-Hash-Verkettung; nachträgliche Änderungen oder Löschungen von Protokolleinträgen werden durch Datenbank-Trigger verhindert und wären durch die Hash-Kette erkennbar. Jeder Eintrag erfasst Akteur, Aktion, Zeitpunkt sowie Alt- und Neuwert.
• Jede Aktion und jeder externe Aufruf der Plattform (Hotelsystem, Messaging, Sprache, E-Mail) wird mit Zeitstempel und Ergebnis protokolliert; eingehende Ereignisse werden im Rohzustand vorgehalten.
• Schreibaktionen im Hotelsystem laufen über eine Auftrags-Warteschlange mit eindeutigen Idempotenzschlüsseln (Schutz gegen Doppelausführung) und dokumentiertem Ausführungsergebnis.

2.2 Weitergabekontrolle

• Datenübertragungen an Dritte ausschließlich verschlüsselt (TLS); eingehende Webhooks werden signaturgeprüft (HMAC), die zugehörigen Geheimnisse verschlüsselt gespeichert.
• Sicherheitsrelevante Auskünfte des KI-Assistenten sind technisch beschränkt: Zugangs- und Türcodes werden ausschließlich an die in der Buchung hinterlegten Kontaktdaten versendet, niemals an im Gespräch genannte abweichende Kontakte; die Herausgabe ist mengenbegrenzt. Buchungsauskünfte erfordern eine Identitätsprüfung (Korroborationsprinzip: Buchungsnummer, Rufnummern- oder Kontaktdaten-Abgleich); Auskunfts-Endpunkte sind gegen systematisches Ausprobieren ratenbegrenzt.
• Kein Verkauf, keine Weitergabe von Auftragsdaten zu eigenen Zwecken; vertraglich zugesicherte Nutzung des Sprachmodell-Dienstleisters ohne Datennutzung zum Training.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Betrieb auf verwalteter Cloud-Infrastruktur mit Mehrfach-Instanzen (Fly.io, Frankfurt); verwaltete PostgreSQL-Datenbank (Supabase) mit automatisierten Backups des Anbieters.
• Ausgehende Aktionen laufen über gesicherte Warteschlangen mit automatischen Wiederholungen und Fehlerbehandlung; transiente Queue-Daten sind von der persistenten Datenhaltung getrennt.
• Zentrales Monitoring und Alerting (Fehlerüberwachung, Zustell- und Integrationsstatus); Störungen einzelner Kanäle oder Integrationen werden erkannt und gemeldet.
• Mehrstufige Not-Aus-Schalter: einzelne Kanäle, alle Kanäle eines Kunden, einzelne KI-Assistenten sowie betreiberseitig globale Schalter für alle Kanäle und alle Schreibzugriffe auf Hotelsysteme; wirksam ohne Code-Deployment.
• Preis- und Plausibilitätsschutz bei automatisierten Vorgängen (z. B. Abbruch bei Preisabweichung) begrenzt die Auswirkung von Fehlfunktionen.

4. Löschung und Aufbewahrung

• Aufbewahrungsfristen sind je Datenart definiert; automatisierte Löschläufe werden schrittweise aktiviert. Derzeit aktiv bzw. konfiguriert u. a.: Gesprächstranskripte und Anrufaudio beim Sprach-KI-Dienstleister 30 Tage; E-Mail-Inhalte einschließlich Entwürfen 90 Tage (aktiver täglicher Löschlauf); Zustellprotokolle 90 Tage.
• Auf dokumentierte Weisung des Verantwortlichen werden personenbezogene Daten gelöscht oder zurückgegeben (Regelung in der AVV); Betroffenenrechte (Auskunft, Löschung, Datenübertragbarkeit) werden als Prozess durch den Auftragsverarbeiter unterstützt.
• Das Prüfprotokoll des Betreiber-Backoffice ist bewusst von der rollierenden Löschung ausgenommen (Manipulationserkennung, gesetzliche Aufbewahrung).

5. Auftragskontrolle (Unterauftragsverhältnisse)

• Einsatz von Unterauftragsverarbeitern nur auf Grundlage von Auftragsverarbeitungsverträgen; bei Drittlandtransfers auf Grundlage geeigneter Garantien (EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework, mit Transfer-Folgenabschätzung).
• Aktuelle Liste der Unterauftragsverarbeiter: Anlage 2. Änderungen werden dem Verantwortlichen entsprechend der AVV angekündigt.
• Zugriffe der Unterauftragsverarbeiter sind auf das für die jeweilige Leistung erforderliche Maß beschränkt.

6. Organisatorische Maßnahmen

• Verpflichtung aller mit der Datenverarbeitung befassten Personen auf Vertraulichkeit.
• Privacy by Design als Produktprinzip: Datenminimierung (keine Wortprotokolle in der dauerhaften Speicherung, Platzhalter statt Klardaten im Auswertungspfad, keine biometrische Identifizierung, keine Emotionserkennung), Einwilligungs- und Opt-out-Verwaltung je Kanal mit automatischer Opt-out-Erkennung.
• Vier-Augen-Prinzip bei kritischen Änderungen (Produktionsfreigaben, sicherheitsrelevante Konfiguration); dokumentiertes Änderungsmanagement mit Risikoklassen, Review-Pflicht, Rollback-Plan und automatisierter Testpipeline vor jedem Deployment.
• Onboarding/Offboarding: Zugriffe werden bei Ausscheiden oder Rollenwechsel unverzüglich entzogen (Soft-Disable mit sofortiger Wirkung, nachvollziehbar im Prüfprotokoll).
• Umgang mit Datenschutzvorfällen: zentrale Fehler- und Vorfallserkennung; Meldung an den Verantwortlichen gemäß den Fristen und Inhalten der AVV.

7. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Kontinuierliche technische Überprüfung: automatisierte Test-Suite vor jedem Deployment, Überwachung aller Produktionsfehler, systematische Auswertung von Vorfalls- und Fehlerbildern mit dokumentierten Korrekturen.
• Neue Funktionen werden risikoabhängig schrittweise aktiviert (Feature-Schalter, inaktive Auslieferung, kontrollierte Erstläufe).
• Diese TOMs werden regelmäßig, mindestens jährlich sowie anlassbezogen (wesentliche Architektur- oder Dienstleisteränderungen), überprüft und fortgeschrieben.

---

Anlage 2 – Unterauftragnehmer

Nachfolgend aufgeführt sind die von HostUpp im Rahmen der Erbringung der vertragsgegenständlichen Leistungen eingesetzten Unterauftragnehmer, deren Genehmigung gemäß Ziffer 7.1 dieser AVV als erteilt gilt.

Stripe Payments Europe, Ltd. (Irland) wird für die Zahlungsabwicklung im Rahmen der PMS-Anbindung eingesetzt und verarbeitet dabei Zahlungsinformationen und Buchungsreferenzen. GitHub, Inc. (USA) wird ausschließlich zur Quellcodeverwaltung eingesetzt und verarbeitet dabei keine personenbezogenen Kunden- oder Gastdaten. Sentry (Functional Software, Inc., USA) wird zur Fehler- und Betriebsüberwachung eingesetzt; personenbezogene Daten werden dabei vor der Übermittlung bereinigt.

Diese Liste wird von HostUpp fortlaufend aktualisiert, insbesondere im Hinblick auf die eingesetzten Anbieter für Sprachverarbeitung und Sprachmodelle. Änderungen werden dem Kunden nach Maßgabe von Ziffer 7.2 dieser AVV mitgeteilt.