Sprache:

Was gehört in eine Auftragsdatenverarbeitungs-Vereinbarung?

In der Datenschutzpraxis sind die DSGVO (Datenschutzgrundverordnung) und BDSG (neu) (Bundesdatenschutzgesetz) umzusetzen. Beide Gesetzesgrundlagen fordern, dass Hotels (und natürlich andere Verantwortliche) ihre so genannten ‚Auftragsdaten-Verarbeiter‘ zu einem in ihrem Auftrag sicheren Umgang mit den Daten verpflichten muss, die das Hotel an diese Dritten übergibt.

Wenn Sie jetzt empört behaupten, dass Sie die personenbezogenen Daten ihrer Gäste oder Mitarbeiter selbstverständlich an niemanden weitergeben, dann stimmt das leider in den meisten Fällen nicht.

Typische Auftragsdatenverarbeitungs-Situationen in der Hotellerie

Der Klassiker ist Ihre Hotel-Software, das Property Management System. Auch wenn die Software und die darin befindlichen Daten im Serverraum im Keller liegen, hat wahrscheinlich der Support einen Fernwartungszugriff. Sie müssen vertraglich regeln, was die mit den Daten tun dürfen und was nicht und welche Sicherheitsstandards eingehalten werden müssen. Das gilt übrigens auch für die IT-Firma, die den Server wartet.
Eine andere typische Situation ist die Zusammenarbeit mit der Softwarefirma, die ihre Web Booking Engine oder Ihr Content Management System wartet und hosted. Beie müssen mit Ihnen eine Auftragsdatenvereinbarungs-Erklärung unterzeichnen. Gilt auch für die MICE Booking Engine, insbesondere, wenn die Daten in ein Drittland wie die USA gesendet werden….
Situationen, an die seltener gedacht wird, ist das Türschließsystem, wenn es auch den Namen Ihrer Gäste und die Aufenthaltszeiten übermittelt bekommt. Oder der Fotograf, der in Ihrem Auftrag beim Sonntagsbrunch ihre Gäste fotografiert. Es ist genau zu regeln, was der Fotograf mit diesen Bildern im Bereich Verarbeitung, Speicherung oder Veröffentlichung tun darf und lassen muss.

Natürlich ist auch die RHC GmbH Ihre Auftragsdatenverarbeiter wenn der RHC Hotelbuchhaltungs-Service in Anspruch genommen wird.

Kurz gesagt: Sobald ein externer Dienstleister im Rahmen eines Auftrags irgendeine Möglichkeit hat, auf personenbezogene Daten zuzugreifen, sollte sofort geprüft werden, ob eine Auftragsdaten-Vereinbarung abgeschlossen werden muss.

In so manchen Hotels sind bis zu 50 Auftragsdatenverarbeitungs-Verträge abzuschließen.

Das gehört in eine Auftragsdatenverarbeitungs-Vereinbarung:

Der Auftragsverarbeiter darf nur auf Anweisung des Verantwortlichen (dem Hotel) handeln. Bei möglichen Gesetzesverstößen im Rahmen der Anweisung, hat der Verantwortliche den Verarbeiter auf diese Verstöße unverzüglich hinzuweisen.
Die Mitarbeiter des Verarbeiters sind auf Vertraulichkeit zu verpflichten,sofern noch nicht durch andere Verpflichtung geregelt.
Der Auftragsverarbeiter muss den Verantwortlichen bei der Einhaltung der Plichten gegenüber den Betroffenen unterstützen, insbesondere was die §§ 64, 67, 69des BDSG betrifft (z.B. Auskunft oder Löschung von Daten).
Alle Daten müssen nach Abschluss des Vorgangs gelöscht, zurückgegeben bzw. anderweitig beseitigt werden.
Dem Verantwortlichen müssen sämtliche Protokolle, die die Einhaltung derPlichten nachweisen, vorgelegt werden.
Der Verantwortliche hat den Auftragsverarbeiter in allen Fragen bezüglich der Verarbeitung zu unterstützen.
Die rechtlichen und vertraglichen Rahmenbedingungen müssen bei der Hinzuziehung weiterer Dienstleister sichergestellt sein. Unterauftragnehmer müssen dem Verantwortlichen bekannt gegeben werden.
Alle in § 64 BDSG neu aufgelisteten Maßnahmen müssen, falls erforderlich, ergriffen werden

Sprechen Sie uns an, falls Sie Fragen zur Umsetzung der Datenschutzgrundverordnung haben. Unser Datenschutzexperte Hotellerie hilft gern weiter:

Timo Sprenger

Timo Sprenger, Leiter Kundenbetreuung und Qualitätsmanagement und zertifizierter Datenschutzbeauftragter &nb…

mehr

Diese Artikel passen dazu

Die 3-G-Regel aus Sicht des Datenschutzbeauftragten eines Hotels

Auch für Datenschutzbeauftragte ist Corona ein Thema. Allerdings kann man auch in diesem Bereich man das Datenschutz…

mehr

Die häufigsten Datenschutzprobleme in Hotels

Seit über einem Jahr ist die Datenschutzgrundverordnung mit Strafen behaftet, wenn die Regeln nicht eingehalten wer…

mehr

Betrugsmasche, so werden E-Mail PDF Rechnungen manipuliert

Wieder ein Fall der zeigt, wie wichtig die Umsetzung der Datenschutzbestimmungen und intensive Schulungen und Aufkl…

mehr

Gast möchte Auskunft über gespeicherte Daten! So gehen Sie vor!

Ihre Gäste haben laut DSGVO ein Auskunftsrecht über die gespeicherten Daten, die seine Person betreffen. Ganz…

mehr

Ist unsere Hotel Facebook Seite noch legal?

Viele Hotels betreiben mit großem Erfolg eine Unternehmensseite bei Facebook, die so genannten „Fanpages“. Viele Ho…