Auftragsverarbeitungsvertrag (AVV/DPA) — Caravel Sites

Version 1.0. Datum des Inkrafttretens: in Prüfung

Dieser Vertrag wird derzeit überprüft. Mit in Prüfung gekennzeichnete Punkte werden noch bestätigt und können sich vor dem Inkrafttreten des Vertrags ändern. Die portugiesische Fassung ist maßgebend in Prüfung.

Dieser Vertrag folgt Artikel 28 Absatz 3 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“) und orientiert sich an den Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern, die die Europäische Kommission mit dem Durchführungsbeschluss (EU) 2021/915 der Kommission vom 4. Juni 2021 (ABl. L 199 vom 7.6.2021, S. 18) erlassen hat. Er folgt der Struktur des AVV für die Caravel-Apps (https://caravelsuite.com/de/legal/dpa/, Version 1.1 vom 01/11/2026), angepasst an den Dienst Caravel Sites.

Amtliche Quellen:

• DSGVO — EUR-Lex, CELEX 32016R0679: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
• Durchführungsbeschluss (EU) 2021/915 — CELEX 32021D0915: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915
• Durchführungsbeschluss (EU) 2021/914 (Standardvertragsklauseln für Übermittlungen an Drittländer) — CELEX 32021D0914: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0914
• Portugiesisches Gesetz Nr. 58/2019 vom 8. August (Durchführung der DSGVO): https://diariodarepublica.pt/dr/detalhe/lei/58-2019-123815982
• EDSA-Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO (Version 2.0, 7. Juli 2021): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_de

Parteien

1. Der Kunde — die natürliche oder juristische Person, die den Dienst Caravel Sites abonniert und in ihrem Konto und ihrer Rechnung angegeben ist („Verantwortlicher“ oder „Kunde“).
2. Jardim Idílico Unipessoal Lda, handelnd unter dem Namen Caravel Suite, USt-/Steuernummer PT518764532, Sitz in Rua da Póvoa, n.º 775, Fração L, Zona Industrial de Amorim, 4495-121 Póvoa de Varzim, Portugal, eingetragen im Handelsregister unter der Nr. 518764532, Kontakt caravel@caravelsuite.com („Auftragsverarbeiter“ oder „Caravel“).

Klausel 1 — Gegenstand und Anwendungsbereich

1. Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die Caravel bei der Erbringung des Dienstes Caravel Sites im Auftrag des Kunden durchführt: Erstellung, Hosting und Wartung der Website des Kunden und insbesondere Empfang, Speicherung und Bereitstellung der Nachrichten an den Kunden, die Besucher über die Kontakt- und Reservierungsanfrageformulare der Website senden und die im Dashboard von Caravel Sites verfügbar sind.
2. Nach Artikel 4 Nummern 7 und 8 sowie Artikel 28 DSGVO ist der Kunde der Verantwortliche für diese Daten und Caravel sein Auftragsverarbeiter.
3. Nicht von diesem Vertrag erfasst — sie unterliegen der Datenschutzerklärung von caravelsuite.com (https://caravelsuite.com/de/legal/privacy/) — sind die Daten, die Caravel als Verantwortlicher im Rahmen seiner Beziehung zum Kunden selbst verarbeitet: Konto, Abrechnung, Abonnementzahlungen (verarbeitet durch Stripe), Support und Korrespondenz.
4. Dieser Vertrag ist Bestandteil der Verkaufsbedingungen von Caravel Sites (Nutzungsbedingungen, https://caravelsuite.com/de/legal/terms/). Bei Widersprüchen in Fragen des Datenschutzes hat dieser Vertrag Vorrang (vgl. Klausel 4 des Anhangs zum Durchführungsbeschluss (EU) 2021/915).
5. Dieser Vertrag wird elektronisch geschlossen, was Artikel 28 Absatz 9 DSGVO als schriftliche Form anerkennt.

Klausel 2 — Laufzeit

1. Dieser Vertrag tritt in Kraft, wenn der Kunde ihn annimmt (beim Kauf oder bei der Registrierung des Caravel-Sites-Kontos), und bleibt so lange in Kraft, wie Caravel personenbezogene Daten im Auftrag des Kunden verarbeitet.
2. Er gilt über das Ende des Abonnements hinaus, bis die Löschung oder Rückgabe nach Klausel 10 abgeschlossen ist.

Klausel 3 — Art und Zweck der Verarbeitung, Kategorien von Daten und betroffenen Personen

Vollständige Beschreibung in Anhang I. Zusammengefasst:

• Art: Erhebung über die Formulare der Website, Erfassung, Speicherung, Abfrage durch den Kunden im Dashboard, Benachrichtigung des Kunden per E-Mail, Sicherung, Löschung.
• Zweck: dem Kunden zu ermöglichen, Kontaktanfragen zu erhalten und zu beantworten und Reservierungsanfragen von Besuchern seiner Website zu verwalten.
• Betroffene Personen: Besucher der Website des Kunden, die ein Formular absenden (potenzielle Kunden, Gäste, Restaurantgäste).
• Daten: Name, E-Mail, Telefon, Datum, Uhrzeit, Personenzahl, Nachrichtentext; technische Daten der Übermittlung (Datum und Uhrzeit; in Prüfung).
• Besondere Kategorien (Art. 9 DSGVO): Der Dienst fragt sie nicht ab. Das Nachrichtenfeld ist ein Freitextfeld, und ein Besucher kann aus eigener Initiative Gesundheitsinformationen darin angeben (z. B. Allergien oder eingeschränkte Mobilität). Der Kunde darf keine Felder einrichten, die solche Daten abfragen, ohne über eine eigene Rechtsgrundlage nach Artikel 9 Absatz 2 zu verfügen.

Klausel 4 — Dokumentierte Weisungen

1. Caravel verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen an Drittländer, sofern Caravel nicht durch das Unionsrecht oder das portugiesische Recht hierzu verpflichtet ist; in einem solchen Fall teilt Caravel dem Kunden dies vorab mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet (Art. 28 Abs. 3 Buchst. a DSGVO; Klausel 7.1 des Anhangs zum Beschluss 2021/915).
2. Dokumentierte Weisungen sind: dieser Vertrag; die Konfiguration des Kunden im Dashboard (Formularfelder, Benachrichtigungs-E-Mail, Speicherdauer); und Anfragen, die der Kunde per E-Mail von der mit dem Konto verknüpften Adresse sendet.
3. Caravel informiert den Kunden unverzüglich, falls eine Weisung seiner Auffassung nach gegen die DSGVO oder gegen andere Datenschutzbestimmungen verstößt (Art. 28 Abs. 3 Unterabsatz 2 DSGVO).
4. Caravel verwendet die Daten nicht für eigene Zwecke — einschließlich Werbung, Profiling, Verkauf oder Training von Modellen künstlicher Intelligenz — und führt sie nicht mit Daten anderer Kunden zusammen. Täte es dies, gälte es in Bezug auf diese Verarbeitung als Verantwortlicher (Art. 28 Abs. 10 DSGVO).

Klausel 5 — Vertraulichkeit

1. Caravel gewährleistet, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Buchst. b DSGVO).
2. Der Zugriff ist auf das beschränkt, was für die Erbringung, Wartung und Unterstützung des Dienstes unbedingt erforderlich ist. in Prüfung

Klausel 6 — Sicherheit der Verarbeitung (Art. 32 DSGVO)

1. Caravel setzt die in Anhang II beschriebenen technischen und organisatorischen Maßnahmen um, die unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung dem Risiko angemessen sind (Art. 28 Abs. 3 Buchst. c und Art. 32 DSGVO).
2. Caravel darf diese Maßnahmen aktualisieren, sofern das Sicherheitsniveau nicht gesenkt wird.
3. Caravel beansprucht keine Zertifizierungen (wie ISO/IEC 27001), über die es nicht verfügt.
4. Der Kunde ist dafür verantwortlich, seine Zugangsdaten für das Dashboard und die Benachrichtigungs-E-Mail zu schützen und in den Formularen nicht mehr Daten abzufragen, als er benötigt (Art. 5 Abs. 1 Buchst. c DSGVO).

Klausel 7 — Unterauftragsverarbeiter

1. Der Kunde erteilt Caravel eine allgemeine Genehmigung zur Inanspruchnahme der in Anhang III aufgeführten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO; Klausel 7.7, Option 2, des Anhangs zum Beschluss 2021/915).
2. Caravel unterrichtet den Kunden per E-Mail mindestens 30 Tage im Voraus in Prüfung über jede beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern und hält die Liste auf seiner Website auf dem neuesten Stand.
3. Der Kunde kann innerhalb dieser Frist aus berechtigten Gründen des Datenschutzes schriftlich Einspruch erheben. Wird der Einspruch nicht ausgeräumt, kann der Kunde das Abonnement vor Wirksamwerden der Änderung ohne Vertragsstrafe kündigen und erhält den bezahlten, nicht genutzten Teil des laufenden Zeitraums erstattet in Prüfung.
4. Caravel erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die denen dieses Vertrags gleichwertig sind, insbesondere hinreichende Garantien für die Sicherheit, und haftet gegenüber dem Kunden in vollem Umfang für deren Erfüllung (Art. 28 Abs. 4 DSGVO).
5. In einem Sicherheitsnotfall oder bei plötzlicher Einstellung eines Anbieters kann Caravel die Ersetzung mit kürzerer Frist vornehmen; es informiert den Kunden so bald wie möglich und wahrt dessen Recht auf Einspruch.

Klausel 8 — Unterstützung des Kunden

1. Rechte der betroffenen Personen (Art. 12–22 DSGVO): Angesichts der Art der Verarbeitung unterstützt Caravel den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 28 Abs. 3 Buchst. e DSGVO; Klausel 8 des Anhangs zum Beschluss 2021/915). Im Dashboard kann der Kunde Nachrichten einsehen, exportieren und löschen in Prüfung. Erhält Caravel einen Antrag direkt von einer betroffenen Person, leitet es ihn unverzüglich an den Kunden weiter und beantwortet ihn nicht, es sei denn, der Kunde weist es dazu an.
2. Sonstige Pflichten: Caravel stellt dem Kunden die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Pflichten aus den Artikeln 32 bis 36 DSGVO (Sicherheit, Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation) zu erfüllen, unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen (Art. 28 Abs. 3 Buchst. f DSGVO).
3. Caravel führt ein Verzeichnis der im Auftrag seiner Kunden durchgeführten Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO).

Klausel 9 — Verletzungen des Schutzes personenbezogener Daten

1. Caravel meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, unverzüglich, nachdem ihm diese bekannt wurde (Art. 33 Abs. 2 DSGVO), in jedem Fall spätestens innerhalb von 24 Stunden, per E-Mail an die Adresse des Kontos (gleiche Frist wie im AVV für die Caravel-Apps).
2. Die Meldung enthält, soweit möglich und gegebenenfalls schrittweise: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie eine Anlaufstelle für weitere Informationen (Art. 33 Abs. 3 DSGVO; Klausel 9.2 des Anhangs zum Beschluss 2021/915).
3. Die Meldung an die Aufsichtsbehörde (in Portugal die CNPD) innerhalb von 72 Stunden und die Benachrichtigung der betroffenen Personen (Art. 33 und 34 DSGVO) obliegen dem Kunden. Caravel unterstützt ihn mit den ihm vorliegenden Informationen.
4. Referenz: EDSA-Leitlinien 9/2022 für die Meldung von Verletzungen des Schutzes personenbezogener Daten gemäß der DSGVO (Version 2.0, 28. März 2023): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-92022-personal-data-breach-notification-under_de

Klausel 10 — Speicherung, Löschung und Rückgabe

1. Während des Abonnements: Formularnachrichten werden automatisch gelöscht, wenn sie die vom Kunden im Dashboard eingestellte Speicherdauer erreichen, standardmäßig 180 Tage in Prüfung. Der Kunde kann sie früher löschen.
2. Am Ende des Abonnements (Kündigung oder Nichtzahlung, gemäß den Verkaufsbedingungen: Sperrung 15 Tage nach Fälligkeit und Löschung 60 Tage später, nach vorheriger Ankündigung) gibt Caravel nach Wahl des Kunden die Daten zurück (Export in einem gängigen Format wie CSV in Prüfung) und löscht die übrigen, sofern nicht nach dem Unionsrecht oder dem portugiesischen Recht eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 Buchst. g DSGVO; Klausel 10 Buchstabe d des Anhangs zum Beschluss 2021/915). Stellt der Kunde keinen Antrag, werden die Daten am Ende der in den Verkaufsbedingungen festgelegten Frist gelöscht.
3. Gelöschte Daten verschwinden aus den verschlüsselten Sicherungskopien am Ende des Aufbewahrungszyklus der Sicherungen, nach bis zu in Prüfung Wochen. Bis dahin werden die Sicherungen nur zur Wiederherstellung nach einem Vorfall verwendet.
4. Caravel bestätigt die Löschung auf Anfrage des Kunden schriftlich.

Klausel 11 — Nachweis der Einhaltung und Audits

1. Caravel stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind (Art. 28 Abs. 3 Buchst. h DSGVO; Klausel 7.6 des Anhangs zum Beschluss 2021/915), vorrangig in schriftlicher Form (Beantwortung von Fragebögen und eine aktuelle Beschreibung der Maßnahmen nach Anhang II).
2. Reichen diese Informationen nicht aus oder verlangt eine Aufsichtsbehörde dies, kann der Kunde ein Audit, einschließlich Inspektionen, durchführen oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer durchführen lassen, höchstens einmal jährlich und mit einer Vorankündigung von 30 Tagen, außer im Fall einer Datenschutzverletzung oder einer behördlichen Anordnung. Jede Partei trägt ihre eigenen Kosten in Prüfung.
3. Ein Audit darf keinen Zugang zu Daten anderer Kunden gewähren und die Sicherheit des Dienstes nicht gefährden.

Klausel 12 — Internationale Übermittlungen

1. Die Formulardaten werden auf Servern in der Europäischen Union gehostet (in Prüfung, siehe Anhang III).
2. Caravel übermittelt die Daten nicht außerhalb des Europäischen Wirtschaftsraums, es sei denn, ein in Anhang III aufgeführter Unterauftragsverarbeiter tut dies. In diesem Fall erfolgt die Übermittlung nur auf der Grundlage eines Angemessenheitsbeschlusses (Art. 45 DSGVO — z. B. für die Vereinigten Staaten der EU-US-Datenschutzrahmen (EU-US Data Privacy Framework), Durchführungsbeschluss (EU) 2023/1795, für zertifizierte Stellen) oder geeigneter Garantien, insbesondere der mit dem Durchführungsbeschluss (EU) 2021/914 erlassenen Standardvertragsklauseln der Kommission (Art. 46 Abs. 2 Buchst. c DSGVO).
3. Caravel informiert den Kunden gemäß Klausel 7, bevor es eine neue Übermittlung einführt.

Klausel 13 — Haftung, Vorrang, anwendbares Recht und Gerichtsstand

1. Jede Partei haftet nach Artikel 82 DSGVO. Zwischen den Parteien gilt die Haftungsbeschränkung der Nutzungsbedingungen (in den vorangegangenen 12 Monaten gezahlter Betrag, außer bei Vorsatz oder grober Fahrlässigkeit), soweit gesetzlich zulässig und unbeschadet der Rechte der betroffenen Personen in Prüfung.
2. Bei Widersprüchen zwischen diesem Vertrag und anderen zwischen den Parteien vereinbarten Bedingungen hat dieser Vertrag in Fragen des Datenschutzes Vorrang.
3. Anwendbares Recht: portugiesisches Recht, einschließlich der DSGVO und des Gesetzes Nr. 58/2019. Gerichtsstand: Gerichte des Bezirks Porto, unbeschadet zwingender Vorschriften.
4. Caravel kann diesen Vertrag aktualisieren, um rechtliche Änderungen oder Änderungen des Dienstes zu berücksichtigen, und unterrichtet den Kunden darüber 30 Tage im Voraus per E-Mail; Änderungen, die den Schutz der Daten verringern, bedürfen der Zustimmung des Kunden.

Anhang I — Beschreibung der Verarbeitung

Anhang II — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Es werden nur bestehende Maßnahmen aufgeführt. Mit in Prüfung gekennzeichnete Punkte müssen vor der Veröffentlichung auf dem Server von Caravel Sites überprüft werden.

1. Verschlüsselung bei der Übertragung: Alle Websites und das Dashboard werden ausschließlich über HTTPS (TLS) bereitgestellt, mit einem Zertifikat für die Domain des Kunden; HTTP wird auf HTTPS umgeleitet.
2. Trennung nach Kunden: Die Daten jedes Kunden werden getrennt von denen anderer Kunden gehalten in Prüfung; jedes Dashboard-Konto sieht nur die Nachrichten der eigenen Website.
3. Verschlüsselte Sicherungen: automatische Sicherungen in Prüfung.
4. Einstellbare Speicherdauer und automatische Löschung: Das Dashboard löscht Nachrichten, wenn sie die vom Kunden festgelegte Frist erreichen (standardmäßig 180 Tage).
5. Datenminimierung: Die Formulare fragen nur die erforderlichen Felder ab; die Felder sind konfigurierbar; die Websites verwenden keine Cookies oder Tracker von Drittanbietern in Prüfung.
6. Zugriffskontrolle: administrativer Serverzugriff nur per SSH-Schlüssel in Prüfung; Firewall; Datenbank nicht aus dem Internet erreichbar in Prüfung; Zugang zum Dashboard mit individuellem Passwort in Prüfung.
7. Schutz vor Formularmissbrauch: in Prüfung.
8. Protokolle: Die Serverprotokolle speichern keine Nachrichteninhalte in Prüfung; Aufbewahrung der Protokolle in Prüfung.
9. Personen: Zugriff beschränkt auf diejenigen, die ihn benötigen; Verpflichtung zur Vertraulichkeit (Klausel 5).
10. Reaktion auf Vorfälle: Verfahren zur Analyse, Eindämmung und Meldung an den Kunden innerhalb von 24 Stunden (Klausel 9).
11. Aktualisierungen: System und Abhängigkeiten werden regelmäßig aktualisiert in Prüfung.

Anhang III — Genehmigte Unterauftragsverarbeiter

Keine Unterauftragsverarbeiter im Sinne dieses Vertrags:

• Stripe — verarbeitet die Abonnementzahlungen des Kunden an Caravel. Es erhält keine Daten über Besucher der Website. Unterliegt der Datenschutzerklärung von caravelsuite.com.
• Die Domain-Registrierungsstelle und der eigene E-Mail-Anbieter des Kunden — vom Kunden beauftragt (die Domain ist auf den Namen des Kunden registriert).