Auftragsverarbeitungsvertrag

nach Art. 28 Datenschutz-Grundverordnung (DSGVO) zwischen dem Kunden, der Foyer nutzt (nachfolgend „Verantwortlicher"), und

(nachfolgend „Auftragsverarbeiter" oder „Foyer").

Dieser Vertrag wird mit dem Abschluss des Nutzungsvertrags nach den AGB Bestandteil des Vertrags (§ 8 AGB). Stand: 12. Oktober 2026.

§ 1 Gegenstand und Dauer

(1) Foyer verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit dies für die Bereitstellung der Plattform Foyer nach dem Nutzungsvertrag erforderlich ist.

(2) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags. Pflichten, die ihrer Natur nach über das Vertragsende hinaus wirken, insbesondere zur Löschung und Vertraulichkeit, gelten fort.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Zweck: Betrieb der Hotel-Software Foyer, insbesondere Gästekommunikation über E-Mail, WhatsApp und verbundene Buchungsplattformen, Buchungs- und Aufenthaltsverwaltung, digitaler Check-in und Meldeschein, Rechnungen und Folio, Reinigung und Aufgaben, Türcodes, sowie die Funktionen, die der Verantwortliche einschaltet (z. B. KI-Antwortvorschläge, Telefon-Bot).

(2) Arten von Daten:

• Stamm- und Kontaktdaten von Gästen (Name, E-Mail-Adresse, Telefonnummer, Land);
• Buchungs-, Aufenthalts- und Rechnungsdaten (Zeiträume, Zimmer, Preise, Rechnungsanschrift, Umsatzsteuer-ID);
• Inhalte der Kommunikation mit Gästen (Nachrichten, Anhänge, Sprachnachrichten, Anruf-Transkripte);
• Meldeschein- und Ausweisdaten, soweit der digitale Check-in genutzt wird;
• Zugangsdaten für Türen (Codes und deren Gültigkeit);
• Daten der Beschäftigten des Verantwortlichen, die Foyer nutzen (Name, E-Mail-Adresse, Rolle, Protokolle ihrer Aktionen).

(3) Betroffene: Gäste und Interessenten des Verantwortlichen, deren Begleitpersonen und Rechnungsempfänger sowie Beschäftigte des Verantwortlichen.

§ 3 Weisungen

(1) Foyer verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten der Nutzungsvertrag, dieser Vertrag und die Einstellungen, die der Verantwortliche in Foyer vornimmt. Weitere Weisungen erteilt er in Textform.

(2) Ist Foyer der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert Foyer den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

(3) Eine Verarbeitung zu eigenen Zwecken von Foyer findet nur nach Anlage 3 statt.

§ 4 Pflichten von Foyer

(1) Foyer verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Foyer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind, und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

(3) Foyer unterstützt den Verantwortlichen bei Anfragen von Betroffenen nach Art. 15 bis 22 DSGVO sowie bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation). Viele Anfragen kann der Verantwortliche direkt in Foyer erledigen (Einsicht, Berichtigung, Export, Löschung).

(4) Foyer meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie Foyer bekannt geworden ist, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

(5) Foyer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung, die in Anlage 2 genannten Unterauftragsverarbeiter einzusetzen. Dienstleister, die nur für Funktionen tätig werden, die der Verantwortliche einschaltet, werden nur dann eingesetzt.

(2) Foyer informiert den Verantwortlichen mindestens 14 Tage, bevor ein weiterer Unterauftragsverarbeiter Zugang zu Daten erhält, in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; finden die Parteien keine Lösung, kann er den Nutzungsvertrag zum Einsatz des neuen Dienstleisters kündigen.

(3) Foyer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht, und haftet für ihn wie für eigenes Handeln.

§ 6 Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU bzw. des EWR erfolgt nur durch die in Anlage 2 so bezeichneten Dienstleister und nur auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien nach Art. 46 DSGVO, insbesondere der Standardvertragsklauseln der EU-Kommission. Die Kerndaten (Datenbank, Dateien, Sicherungen) verbleiben in Deutschland.

§ 7 Nachweise und Kontrollen

Foyer stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer nach rechtzeitiger Ankündigung, während der üblichen Geschäftszeiten und ohne Zugang zu Daten anderer Kunden.

§ 8 Löschung und Rückgabe

(1) Der Verantwortliche kann seine Daten während der Vertragslaufzeit jederzeit exportieren.

(2) Nach Vertragsende löscht Foyer die Daten des Verantwortlichen binnen 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. In Sicherungskopien werden sie mit deren regulärem Ablauf überschrieben.

§ 9 Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen der AGB.

(2) Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.

(3) Änderungen dieses Vertrags kündigt Foyer wie Änderungen der AGB an (§ 11 AGB).

Anlage 1 · Technische und organisatorische Maßnahmen

• Ort und Betrieb: Server, Datenbank und Dateien bei Hetzner Online GmbH in Falkenstein, Deutschland; verschlüsselte Sicherungen auf einem zweiten Hetzner-Server in Nürnberg, Deutschland.
• Trennung der Kunden: Row-Level Security in der Datenbank — jede Abfrage sieht nur die Daten des eigenen Hotels; geprüft durch automatisierte Tests vor jeder Auslieferung.
• Verschlüsselung: Übertragung ausschließlich über HTTPS (TLS); Zugangsdaten zu Drittsystemen werden verschlüsselt gespeichert (AES-256-GCM); Passwörter nur als Hash.
• Zugriff: Rollen im Hotel (Inhaber, Personal, Reinigung) mit unterschiedlichen Rechten; Server-Zugang nur für den Betreiber per Schlüssel.
• Nachvollziehbarkeit: Änderungen an Gast-, Buchungs- und Rechnungsdaten werden mit Zeitpunkt und handelnder Person protokolliert.
• Verfügbarkeit: tägliche Sicherung mit Aufbewahrung von 14 Tagen und Kopie außerhalb des Rechenzentrums; Überwachung des Dienstes mit Alarmierung.
• Datensparsamkeit: Fehlermeldungen an das Monitoring werden vor der Übermittlung um personenbezogene Inhalte bereinigt; Server-Logs werden nach 14 Tagen gelöscht; Ausweis-Fotos werden an keine KI-Dienste übermittelt.

Anlage 2 · Unterauftragsverarbeiter

Stets eingesetzt:

• Hetzner Online GmbH (Deutschland) — Hosting, Datenbank, Sicherungen, E-Mail-Postfach.
• Brevo (Sendinblue SAS) (Frankreich, EU) — Versand von E-Mails.
• ActiveCampaign, LLC (Postmark) (USA) — Verarbeitung eingehender E-Mails, Rest-Versand; Standardvertragsklauseln.
• Meta Platforms Ireland Ltd. (Irland; Übermittlung an Meta Platforms, Inc., USA möglich) — WhatsApp-Kanal.
• Twilio Ireland Ltd. (Irland, EU) — SMS-Versand.
• Google Ireland Limited (Irland; Übermittlung an Google LLC, USA möglich) — Kartendarstellung, erst nach Klick.
• Functional Software, Inc. (Sentry) (USA) — Fehler-Monitoring, ohne personenbezogene Inhalte; Standardvertragsklauseln.

Nur bei vom Verantwortlichen eingeschalteten Funktionen:

• Anthropic (Anthropic Ireland, Ltd., Irland; Verarbeitung durch Anthropic, PBC, USA) — KI-Antwortvorschläge und weitere KI-Funktionen; Standardvertragsklauseln. Außerdem nach Anlage 3.
• Groq, Inc. (USA) — Übersetzen, Abschrift von Sprachnachrichten, Texterkennung gescannter Dokumente; Standardvertragsklauseln.
• OpenAI, LLC bzw. Voyage AI, Inc. (USA) — semantische FAQ-Erkennung.
• Vapi, Inc. (USA) — Telefon-Bot.
• Beds24 GmbH (Deutschland) — Channel-Manager für Buchungsplattformen.
• Stripe Payments Europe Ltd. (Irland, EU) — Zahlungen über das eigene Stripe-Konto des Hotels.
• Nuki Home Solutions GmbH (Österreich, EU), Tedee (Polen, EU), TTLock (China) — Türschlösser; übermittelt werden Name und Gültigkeit eines Codes.
• Kamera- und Türklingel-Anbieter (z. B. Ring/Amazon, USA) — nur bei eigenen, verbundenen Geräten des Hotels.

Anlage 3 · Verbesserung der automatischen Auswertung von Gästenachrichten

(1) Zweck. Foyer liest aus Gästenachrichten automatisch Angaben aus, etwa Rechnungsanschrift, Firmenname, Umsatzsteuer-ID, E-Mail-Adresse, Telefonnummer und Ankunftszeit, und beantwortet wiederkehrende Fragen — nach festen Regeln, ohne KI im laufenden Betrieb. Der Verantwortliche gestattet Foyer, die im Auftrag verarbeiteten Gästenachrichten und die daraus erkannten sowie später bestätigten Angaben zu verwenden, um die Qualität dieser Auswertung zu messen und die Regeln zu verbessern. Die Verbesserungen kommen allen Kunden von Foyer zugute.

(2) Grenzen. Nicht verwendet werden besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO: Nachrichten, die nach einer Wortliste auf Gesundheit, Religion oder Gewerkschaftszugehörigkeit hindeuten, werden nicht gespeichert, sondern nur gezählt. Ebenfalls nicht verwendet werden Ausweis-, Melde- und Meldescheindaten, Zahlungs- und Kartendaten sowie Zugangsdaten wie Türcodes.

(3) Verfahren. Foyer vergleicht täglich auf seinen Servern in der EU, ob eine Angabe aus einer Nachricht erkannt wurde und ob sie mit der später bestätigten Angabe übereinstimmt. Verpasste und falsch erkannte Fälle speichert Foyer als kurze Textausschnitte („Prüfmenge"). Vorher ersetzt Foyer darin die bekannten Namen von Gast und Firma, erkennbare weitere Personen- und Firmennamen, E-Mail-Adressen, Domains, Telefonnummern, Bankverbindungen, Straßen, Orte, Buchungsnummern und alle übrigen Ziffern durch Platzhalter gleicher Form. Die Ersetzung geschieht automatisch nach Regeln; eine vollständige Anonymisierung kann sie nicht garantieren, deshalb gelten die Abs. 4 bis 8 für die Prüfmenge ohne Einschränkung. Die Zuordnung zu Gast, Buchung und Hotel verlässt die Systeme von Foyer nicht.

(4) KI-Dienst. Foyer darf die pseudonymisierte Prüfmenge einem KI-Dienst vorlegen, um Vorschläge für Regeländerungen erarbeiten zu lassen — außerhalb des laufenden Betriebs, zu Beginn täglich, später nach Bedarf. Foyer nutzt dafür nur einen Zugang, bei dem die Verwendung der Inhalte zum Training von KI-Modellen vertraglich oder durch Einstellung ausgeschlossen ist; derzeit Anthropic (Anlage 2). Der KI-Dienst liefert ausschließlich Vorschläge für Programmcode; eine Änderung wird erst wirksam, nachdem Foyer sie geprüft, an der Prüfmenge gemessen und getestet hat. Regeln ändern sich nie selbsttätig.

(5) Rolle und Rechtsgrundlage. Soweit Foyer Daten nach dieser Anlage zur Verbesserung des Dienstes für alle Kunden verwendet, ist Foyer insoweit selbst Verantwortlicher (Art. 4 Nr. 7, Art. 28 Abs. 10 DSGVO); eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO entsteht dadurch nicht. Rechtsgrundlage ist das berechtigte Interesse an einer fehlerarmen Auswertung (Art. 6 Abs. 1 lit. f DSGVO); die Verwendung ist mit dem ursprünglichen Zweck vereinbar (Art. 6 Abs. 4 DSGVO).

(6) Ausschlüsse. Foyer bildet aus diesen Daten keine Profile, nutzt sie nicht für Werbung, gibt sie außer an den KI-Dienst nach Abs. 4 nicht weiter, führt sie mit Daten anderer Kunden nur in der pseudonymisierten Prüfmenge zusammen und re-identifiziert sie nur, um Rechte von Betroffenen oder einen Widerspruch umzusetzen.

(7) Speicherdauer. Ausschnitte der Prüfmenge werden nach spätestens zwölf Monaten gelöscht, nach Vertragsende oder Widerspruch binnen 30 Tagen. Kennzahlen ohne Personenbezug darf Foyer unbefristet aufbewahren.

(8) Zustimmung und Widerspruch. Diese Anlage gilt erst, wenn der Verantwortliche ihr in den Einstellungen von Foyer zugestimmt hat. Er kann jederzeit für die Zukunft widersprechen, dort oder in Textform; Foyer nimmt seine Daten dann nicht mehr auf und löscht vorhandene Ausschnitte. Der Widerspruch schränkt den Funktionsumfang nicht ein. Widerspricht ein Gast nach Art. 21 DSGVO, werden seine Nachrichten ebenfalls ausgenommen.

(9) Information der Gäste. Der Verantwortliche nimmt die Verarbeitung in seine Datenschutzhinweise für Gäste auf. Foyer stellt dafür einen Textbaustein bereit und beschreibt die Verarbeitung in seiner Datenschutzerklärung.

(10) Protokoll. Jeder Lauf der Prüfung, jede Vorlage an den KI-Dienst sowie Zustimmung und Widerspruch werden protokolliert.