Auftragsverarbeitungsvertrag (DPA) gemäß Art. 28 DSGVO

Discontinue · KI-Operations-Plattform für Hotels

Stand: 12. September 2026 · Version 3.12 (Produktivversion)

Dieser Auftragsverarbeitungsvertrag („DPA”) ist verbindliche Anlage zum Nutzungs-/Freischaltungsvertrag und zu den AGB. Er ersetzt die frühere kombinierte Pilot-Fassung (DPA + NDA + Pilot-Leistungsbeschreibung). Anlagen: Anlage 1 – Sub-Processor-Liste, Anlage 2 – Technische und organisatorische Maßnahmen (TOMs). Transferfolgenabschätzungen (Transfer-Impact-Assessments, TIA) zu Drittlandtransfers sind keine Vertragsanlagen; sie werden als Nachweisdokumente geführt und dem Verantwortlichen auf Anfrage zur Verfügung gestellt (§ 8 Abs. 4). Welche Drittlandtransfers bestehen und auf welcher Grundlage sie erfolgen, weist Anlage 1 aus.

Vertragsparteien

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter betreibt eine KI-gestützte Operations-Plattform für Hotels, die auf den vom Kunden angebundenen Quellsystemen (z. B. einem Property-Management-System) aufsetzt. Der Verantwortliche nutzt die Plattform, um eigenständig Reports und Agents auf seine Daten aus den angebundenen Systemen zu konfigurieren und zu betreiben. Der Zugriff auf das vom Kunden angebundene Quellsystem und sonstige Integrationen erfolgt ausschließlich auf Grundlage der vom Verantwortlichen selbst hergestellten Anbindung (OAuth-Autorisierung); der Verantwortliche kann diese jederzeit widerrufen.

(2) Die Verarbeitung erfolgt für die Dauer des Nutzungsvertrags. Nach dessen Beendigung werden die personenbezogenen Daten gemäß § 10 gelöscht oder zurückgegeben.

§ 2 Art und Zweck der Verarbeitung

(1) Die Verarbeitung umfasst:

• Abrufen von Hoteldaten über die Schnittstelle des angebundenen Systems (Reservierungen, Stammdaten, Folios, Rechnungen, Reports, Maintenance) im Lesemodus
• Speichern und Auswerten dieser Daten zur Erstellung von Reports und operativen Dashboards
• Verarbeitung durch KI-Modelle zur Strukturierung, Zusammenfassung und Formulierung von Reports und Hinweisen; die KI-Verarbeitung erfolgt im Builder (Erstellen und Bearbeiten von Reports und Agents), bei Agent-Läufen, im Chat und bei Validierungen (Abs. 3)
• Automatisierte Zustellung von Reports und Benachrichtigungen über die vom Verantwortlichen festgelegten Kanäle (E-Mail, vom Verantwortlichen angebundene Chat-/Messaging-Dienste, Datei-Download)
• Ausführung von Agents (Monitoring, Alerting, Vorbereitung von Maßnahmen) nach Konfiguration des Verantwortlichen
• Vorbereitung und Ausführung von Schreibvorgängen gegenüber den angebundenen Systemen (z. B. Notizen, Folio-Anpassungen, Reservierungs-Updates, Maintenance-Tickets); standardmäßig nach individueller Freigabe durch einen berechtigten, namentlich identifizierten Mitarbeiter des Verantwortlichen über die Approval-Queue. Ein Verzicht auf die Einzelfreigabe ist nur durch ausdrückliches Opt-in des Verantwortlichen pro Agent möglich; ohne Opt-in erfolgt kein Schreibvorgang autonom

(2) Eine Verarbeitung zu anderen Zwecken – insbesondere zur Vermarktung, zum Training von KI-Modellen oder zum Benchmarking zwischen Hotels – findet nicht statt. Dies gilt auch für Run-Traces: Der Auftragsverarbeiter verarbeitet sie ausschließlich zur Ausführung des Auftrags, zur Nachweisführung gegenüber dem Verantwortlichen und zur Sicherheit der Verarbeitung nach Art. 32 DSGVO, nicht zur Verbesserung der Plattform, der eingesetzten Modelle oder sonstiger Zwecke des Auftragsverarbeiters außerhalb des jeweiligen Mandanten.

(3) Datenfluss und KI-Einsatz. Die KI-Verarbeitung findet im Builder, bei Agent-Läufen, im Chat und bei Validierungen statt. Ein planmäßiger Report-Lauf führt den im Builder festgelegten Plan deterministisch aus; dabei findet keine KI-Verarbeitung und keine Übermittlung an den KI-Anbieter statt.

(4) Laufübergreifende Wiederverwendung bei Agents. Für jeden Agent-Lauf wird ein KI-Run-Trace erstellt. Bei Agents werden bei Folgeläufen die Ergebnisse vorangegangener Läufe erneut herangezogen — über den Run-Trace und, soweit der maßgebliche Verarbeitungsweg eine vom KI-Anbieter verwaltete Agenten-Umgebung nutzt, über den dort je Agent geführten Sitzungsverlauf —, um die Ausführung zu validieren und zu verbessern; dabei werden diese Inhalte erneut KI-gestützt verarbeitet und insoweit an den KI-Anbieter des maßgeblichen Verarbeitungswegs übermittelt bzw. dort verarbeitet. Die Wiederverwendung ist ein wesentliches Funktionsmerkmal der Agent-Funktion und von ihr nicht trennbar; sie dient der Validierung, der selbsttätigen Korrektur nach Fehlläufen und der laufenden Instandhaltung des jeweiligen Agents des Verantwortlichen. Der Verantwortliche bestimmt über sie, indem er einen Agent anlegt und aktiviert; Reports stehen ihm ohne diese Verarbeitung zur Verfügung, da ihre planmäßigen Läufe weder KI-Verarbeitung noch Wiederverwendung auslösen.

Die Wiederverwendung erfolgt ausschließlich innerhalb desselben Mandanten (Tenant) und desselben Agents; eine mandantenübergreifende Auswertung findet nicht statt. Zur Aufbewahrung: Die eigenen Run-Traces werden 90 Tage aufbewahrt; der Sitzungsverlauf und etwaige Aufgaben-Ressourcen in einer vom KI-Anbieter verwalteten Agenten-Umgebung bestehen für die Betriebsdauer des Agents (§ 6 Abs. 1). Der Verantwortliche kann einen Agent jederzeit deaktivieren oder löschen. Deaktiviert der Verantwortliche einen Agent, finden keine weiteren Läufe und damit keine weitere Wiederverwendung statt; die bereits vorhandenen Run-Traces werden nach Ablauf ihrer Aufbewahrungsfrist gelöscht, der Sitzungsverlauf beim KI-Anbieter bleibt bis zur Löschung des Agents bestehen. Löscht er den Agent, werden dessen Run-Traces sowie der zugehörige Sitzungsverlauf und die zugehörigen Aufgaben-Ressourcen beim KI-Anbieter gelöscht; Sicherungskopien werden mit dem Ablauf des Sicherungszyklus (längstens zwölf Monate) überschrieben.

§ 3 Kategorien personenbezogener Daten

Account-, Nutzungs- und Abrechnungsdaten der Plattform-Nutzer sind nicht Gegenstand dieses DPA; insoweit ist Discontinue eigener Verantwortlicher (vgl. Datenschutzerklärung Teil B). Ausgenommen von dieser Klarstellung sind Freigabe- und Ausführungsdaten: Sie entstehen bei der Ausführung des Auftrags und werden insoweit als Auftragsdaten verarbeitet, auch soweit sie den freigebenden Plattform-Nutzer benennen.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der bestimmungsgemäßen Verarbeitung. In Freitextfeldern (z. B. Sonderwünsche/Notizen) können solche Angaben jedoch im Einzelfall inzident enthalten sein. Der Verantwortliche stellt für derartige Inhalte eine geeignete Rechtsgrundlage (Art. 9 Abs. 2 DSGVO) sicher, hält sie so knapp wie möglich und wirkt darauf hin, dass besondere Kategorien nicht in Freitextfelder aufgenommen werden, soweit sie für den Zweck nicht erforderlich sind; Discontinue verarbeitet inzident enthaltene Angaben ausschließlich wie die übrigen Auftragsdaten und wertet sie nicht gesondert aus.

§ 4 Kategorien betroffener Personen

• Hotelgäste und Buchende
• Hotelmitarbeiter (in ihrer Rolle als Plattform-Nutzer)
• sonstige vom Verantwortlichen als Empfänger von Zustellungen bestimmte natürliche Personen (die Auswahl der Empfänger und der Zweck der Zustellung liegen beim Verantwortlichen)

§ 5 Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die dokumentierte Weisung ergibt sich aus diesem Vertrag und der Nutzung der Plattform durch den Verantwortlichen (Konfiguration der Reports, Agents, Trigger und Zustellkanäle). Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen. Ist der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
3. Der Auftragsverarbeiter ergreift die in § 7 und in Anlage 2 genannten technischen und organisatorischen Maßnahmen.
4. Der Auftragsverarbeiter bedient sich der in Anlage 1 (Sub-Processor-Liste) genannten Unterauftragsverarbeiter. Änderungen werden dem Verantwortlichen mindestens 14 Tage vor Inkrafttreten mitgeteilt; der Verantwortliche kann innerhalb dieser Frist begründet widersprechen.
5. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten gemäß Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Datenschutz-Folgenabschätzung, Meldepflichten).
6. Der Auftragsverarbeiter informiert den Verantwortlichen nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten unverzüglich (Art. 33 Abs. 2 DSGVO). Soweit zu diesem Zeitpunkt noch nicht alle erforderlichen Angaben vorliegen, erfolgt zunächst eine Erstinformation; weitere Informationen werden ohne unangemessene Verzögerung nachgereicht. Der dokumentierte Prozess ergibt sich aus dem Dokument Data-Breach-Prozess.
7. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen (Art. 12 ff. DSGVO) im erforderlichen Umfang.
8. Technische Ausführung innerhalb des Auftrags. Innerhalb des vom Verantwortlichen konfigurierten Rahmens (Reports, Agents, freigegebene Werkzeuge und Scopes, Trigger, Zustellkanäle und Empfänger) wählt der Auftragsverarbeiter die technische Ausführung eigenständig — insbesondere die je Anfrage übergebene Feldauswahl und Datenminimierung — die ausschließlich reduzierend innerhalb der vom Verantwortlichen freigegebenen Datenkategorien und Scopes wirkt —, das Modell-Routing zwischen den nach § 8 genehmigten Empfängern und die interne Orchestrierung. Diese Entscheidungen sind nicht-wesentliche Mittel im Sinne des Art. 28 DSGVO; sie dürfen den vom Verantwortlichen bestimmten Zweck, Umfang und Empfängerkreis nicht erweitern. Welche Werkzeuge und Vorgänge einem Agent zur Verfügung stehen, bestimmt der Verantwortliche (AGB § 4 Abs. 4). Weisungen außerhalb der Plattformkonfiguration erteilt der Verantwortliche in Textform an [email protected].

§ 6 Non-Training-Garantie und begrenzte Speicherdauer für KI-Modelle

(1) Der Auftragsverarbeiter setzt zur Erbringung der KI-Funktionen einen oder mehrere KI-Anbieter ein. Welche das sind, weist Anlage 1 (Sub-Processor-Liste) aus; sie ist insoweit maßgeblich. Ein KI-Anbieter wird erst eingesetzt, nachdem er die Non-Training-Zusage und eine begrenzte Speicherdauer oder die jederzeitige Löschbarkeit der gespeicherten Inhalte durch den Auftragsverarbeiter bzw. gleichwertige Garantien zugesagt hat — vertraglich oder durch dokumentierte Festlegungen des Anbieters (veröffentlichte Anbieterdokumentation oder produktseitige Konfiguration mit Weisungscharakter) — und — bei Verarbeitung in einem Drittland — eine taugliche Transfergrundlage nach Art. 44 ff. DSGVO vorliegt (§ 8 Abs. 3); das Verfahren richtet sich nach § 8 Abs. 2. Jeder eingesetzte KI-Anbieter hat vertraglich oder durch dokumentierte Festlegungen des Anbieters (veröffentlichte Anbieterdokumentation oder produktseitige Konfiguration mit Weisungscharakter) zugesichert, dass

• über die API verarbeitete Daten nicht zum Training der Modelle verwendet werden (Non-Training-Garantie),
• übermittelte Inhalte nur zeitlich begrenzt gespeichert und anschließend automatisch gelöscht werden (begrenzte Speicherdauer) oder vom Auftragsverarbeiter jederzeit gelöscht werden können (Löschbarkeit).

Zur Speicherdauer gilt im Einzelnen: Bei den zustandslosen KI-Funktionen (Builder, Chat, Validierungen) Speicherung beim KI-Anbieter grundsätzlich höchstens 30 Tage (ausschließlich zur Missbrauchserkennung), danach automatische Löschung. Die Bedingungen einzelner KI-Anbieter sehen hiervon Ausnahmen vor — etwa eine längere Aufbewahrung von Inhalten, die durch deren automatisierte Missbrauchserkennung markiert wurden. Nutzt ein Verarbeitungsweg eine vom KI-Anbieter verwaltete Agenten-Umgebung, werden dort je Agent zusätzlich der Sitzungsverlauf (Ereignishistorie) und etwaige Aufgaben-Ressourcen gespeichert; sie sind nach der Dokumentation des Anbieters von der Regelspeicherdauer ausgenommen, bestehen für die Betriebsdauer des Agents und werden vom Auftragsverarbeiter gelöscht, wenn der Verantwortliche den Agent löscht, spätestens nach § 10. Die je Anbieter geltenden Fristen, Ausnahmen und die Frage, ob eine Sondervereinbarung über abweichende Speicherfristen (Zero Data Retention) besteht, sind in Anlage 1 ausgewiesen; Anlage 1 ist insoweit maßgeblich. Gesetzlich zwingende Aufbewahrungen und die Aufbewahrung zur Streitbeilegung bleiben unberührt. Die Aufbewahrung markierter Inhalte dient der Erkennung und Verhinderung missbräuchlicher Nutzung der Dienste des KI-Anbieters und damit der Sicherheit der Verarbeitung (Art. 32 DSGVO) sowie der Verteidigung gegen Rechtsansprüche. Sie erfolgt im Rahmen der Auftragsverarbeitung; der KI-Anbieter wird dadurch nicht eigener Verantwortlicher. Der Auftragsverarbeiter kann die Dauer dieser Aufbewahrung nicht bestimmen und weist den Verantwortlichen hierauf hin; hält dieser die Aufbewahrung für mit seinen Pflichten unvereinbar, kann er nach § 8 Abs. 2 außerordentlich kündigen.

(2) Bei jedem Wechsel oder Hinzufügen eines weiteren KI-Modell-Anbieters werden die Non-Training-Garantie und die Begrenzung der Speicherdauer bzw. Löschbarkeit — vertraglich oder durch dokumentierte Festlegungen des Anbieters — geprüft und dokumentiert, bevor der Anbieter in den Produktivbetrieb übernommen wird. Der neue Anbieter wird zudem in die Sub-Processor-Liste aufgenommen und dem Verantwortlichen gemäß § 5 Nr. 4 angekündigt.

(3) Der Wechsel, die Ergänzung oder Ersetzung von KI-Modellen, KI-Anbietern oder des zugrunde liegenden Agenten-/Orchestrierungs-Frameworks – einschließlich des Wechsels zu selbst- bzw. lokal gehosteten Modellen oder anderen API-Anbietern – ist eine gewöhnliche Betriebsmaßnahme und von der allgemeinen Genehmigung nach § 8 umfasst, solange das datenschutzrechtliche Schutzniveau (Non-Training, begrenzte Speicherdauer bzw. gleichwertige Garantien und — bei Drittlandverarbeitung — eine taugliche Transfergrundlage nach Art. 44 ff. DSGVO gemäß § 8 Abs. 3) gewahrt bleibt. Das Widerspruchsrecht des Verantwortlichen aus berechtigten datenschutzrechtlichen Gründen bleibt unberührt; kommerzielle Folgen richten sich ausschließlich nach Nutzungsvertrag und AGB.

§ 7 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter setzt geeignete technische und organisatorische Maßnahmen gem. Art. 32 DSGVO um. Der vollständige Maßnahmenkatalog ist Anlage 2 (TOMs). Kernmaßnahmen:

Hinweis zur Pseudonymisierung: Der Auftragsverarbeiter verzichtet im operativen Betrieb bewusst auf eine vollständige Pseudonymisierung der an das KI-Modell übermittelten Gästedaten, weil operative Hotel-Workflows (z. B. „VIP-Arrivals-heute”) ihre Funktion verlieren, wenn der Gastname durch einen anonymen Identifier ersetzt wird. Die Datenminimierung wird durch das oben beschriebene mehrschichtige Schutzsystem sowie durch die in § 6 zugesicherte Non-Training-Garantie und begrenzte Speicherdauer bzw. Löschbarkeit erreicht.

Einzelheiten zu Sicherungskonzept, Wiederherstellung und Prüfintervallen ergeben sich aus Anlage 2 (TOMs).

§ 8 Unterauftragsverarbeiter (Sub-Processors)

(1) Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die vollständige Liste ist Anlage 1 (Sub-Processor-Liste).

(1a) Bedingt eingesetzte Unterauftragsverarbeiter (KI-Verarbeitungswege). Anlage 1 kann Unterauftragsverarbeiter als bedingt eingesetzt kennzeichnen: Ein solcher Unterauftragsverarbeiter wird nur eingesetzt, wenn der Verantwortliche den betreffenden KI-Verarbeitungsweg (Agenten-Stack; AGB § 2 und § 4 Abs. 10) für die betreffende Nutzung auswählt. Die Auswahl gilt als dokumentierte Weisung im Sinne des § 5 Nr. 1; ihre Ausübung oder Änderung durch den Verantwortlichen selbst ist keine Änderung im Sinne des Abs. 2. Die in Anlage 1 ausgewiesenen KI-Verarbeitungswege bestehen alternativ; bei keinem einzelnen KI-Lauf werden die Unterauftragsverarbeiter beider Wege zugleich eingesetzt. Der Wechsel eines Modells oder einer Modellversion innerhalb eines in Anlage 1 ausgewiesenen Anbieters ist keine Änderung im Sinne des Abs. 2, sofern dadurch kein zusätzlicher Rechtsträger personenbezogene Daten erhält.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede Änderung (Hinzufügen, Wechseln, Entfernen) mindestens 14 Tage im Voraus per E-Mail. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; der Widerspruch bedarf der Textform und ist innerhalb der Frist konkret zu begründen. Die Mitteilung nach Satz 1 enthält die für diese Beurteilung erforderlichen Angaben. Ein wichtiger datenschutzrechtlicher Grund liegt vor, wenn die Änderung unter Berücksichtigung der konkreten Verarbeitung, der betroffenen Datenkategorien, der Verarbeitungsorte, der Transfergrundlage, der technischen und organisatorischen Maßnahmen oder der weiteren Unterauftragskette konkrete Zweifel an der Einhaltung der Datenschutz-Grundverordnung begründet; ob das Schutzniveau gewahrt bleibt, wird anhand des konkreten Einzelfalls beurteilt. Ein wichtiger datenschutzrechtlicher Grund liegt nicht vor bei einer bloßen Präferenz für einen anderen Anbieter, bei allgemeinen Vorbehalten ohne Bezug auf die konkrete Verarbeitung oder bei ausschließlich kommerziellen Erwägungen. Kein Widerspruchsrecht entsteht, wenn durch die Änderung kein zusätzlicher Rechtsträger personenbezogene Daten verarbeitet; das ist insbesondere der Fall beim Wechsel eines Modells innerhalb eines bereits gelisteten Anbieters, bei der Auswahl einer Modellstufe durch den Verantwortlichen (AGB § 4 Abs. 10) sowie beim Betrieb einer Komponente in der von discontinue.dev kontrollierten Umgebung bei einem bereits gelisteten Hosting-Unterauftragsverarbeiter. Bei einem wirksamen Widerspruch sind die Parteien um eine einvernehmliche Lösung bemüht; kommt eine solche nicht zustande, kann der Verantwortliche den Vertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich kündigen; nicht verbrauchtes Guthaben wird erstattet. Die Sub-Processor-Liste benennt die vom Auftragsverarbeiter unmittelbar eingesetzten Unterauftragsverarbeiter mit Identität, Standort, Verarbeitungszweck und Transferbasis. Für die von diesen ihrerseits eingesetzten weiteren Unterauftragsverarbeiter weist die Sub-Processor-Liste die jeweils maßgebliche und fortlaufend aktualisierte Quelle nach — die vom Unterauftragsverarbeiter veröffentlichte Liste oder, wo eine solche nicht veröffentlicht wird, die vertraglich vereinbarte Aufstellung; der Auftragsverarbeiter stellt dem Verantwortlichen die insoweit erforderlichen Informationen auf Anfrage zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO) und gibt ihm mitgeteilte Änderungen in dieser Kette unverzüglich weiter, damit dieser sein Widerspruchsrecht nach Satz 2 ausüben kann. Damit ist die Information über die gesamte Kette dem Verantwortlichen jederzeit verfügbar; Form und Weg der Bereitstellung sind hiermit im Sinne der Stellungnahme 22/2024 des Europäischen Datenschutzausschusses vertraglich festgelegt.

(3) Bei Einsatz von Unterauftragsverarbeitern in Drittländern (außerhalb EU/EWR) stellt der Auftragsverarbeiter vor dem Einsatz eine taugliche Grundlage nach Art. 44 ff. DSGVO sicher — insbesondere einen Angemessenheitsbeschluss nach Art. 45 DSGVO oder geeignete Garantien nach Art. 46 DSGVO (etwa EU-Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO). Eine Transferfolgenabschätzung (Transfer-Impact-Assessment) wird durchgeführt, soweit dies nach der gewählten Transfergrundlage und den Umständen der Übermittlung erforderlich ist. Stützt sich eine Übermittlung auf einen Angemessenheitsbeschluss, prüft und dokumentiert der Auftragsverarbeiter vor dem Einsatz, dass der Beschluss den konkreten Empfänger und die konkrete Übermittlung erfasst, und überwacht dessen Fortbestand. Entfällt ein Angemessenheitsbeschluss, wird er ausgesetzt, eingeschränkt oder für ungültig erklärt, so setzt der Auftragsverarbeiter die betroffene Übermittlung aus oder stellt sie unverzüglich auf eine andere taugliche Grundlage nach Art. 44 ff. DSGVO um; er informiert den Verantwortlichen hierüber unverzüglich. Dasselbe gilt sinngemäß, wenn geeignete Garantien nach Art. 46 DSGVO ihre Wirksamkeit verlieren.

(4) Die konkreten Drittlandtransfers, der jeweils maßgebliche Empfänger, die Transfergrundlage und das Vorliegen einer Transferfolgenabschätzung weist Anlage 1 aus. Soweit für eine Übermittlung eine Transferfolgenabschätzung geführt wird, wird sie dem Verantwortlichen auf Anfrage zur Verfügung gestellt ([email protected]).

(5) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, und haftet gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.

Klarstellung Produkt-Analyse (Google): Soweit der Auftragsverarbeiter Google Analytics 4 zur Analyse der eigenen Plattform-Nutzung einsetzt, handelt er insoweit als eigener Verantwortlicher (nicht als Auftragsverarbeiter des Hotels). Google verarbeitet dabei keine Gästedaten oder Daten aus den angebundenen Systemen. Google ist daher kein Unterauftragsverarbeiter im Rahmen dieses DPA; diese Verarbeitung ist in der Datenschutzerklärung des Auftragsverarbeiters geregelt.

§ 9 Rechte betroffener Personen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Mitteln bei der Erfüllung der Rechte betroffener Personen gem. Art. 15–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Der Prozess ist im Dokument Betroffenenrechte-Prozess beschrieben.

(2) Anfragen betroffener Personen, die unmittelbar beim Auftragsverarbeiter eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet; eine direkte Beantwortung erfolgt nicht.

(3) In der Standardkonfiguration findet keine automatisierte Entscheidung im Einzelfall im Sinne des Art. 22 DSGVO statt: Schreibvorgänge durchlaufen eine menschliche Freigabe. Aktiviert der Kunde für einen Agent ausdrücklich den Opt-in-Betrieb, obliegt ihm als Verantwortlichem die Prüfung, ob dessen Ausgaben eine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung darstellen, und die Erfüllung der Voraussetzungen des Art. 22 DSGVO. In diesem Fall unterstützt der Auftragsverarbeiter ihn bei der Erfüllung seiner Pflichten nach Art. 22 DSGVO, indem er auf Anfrage die Konfiguration des betreffenden Agents, die maßgeblichen Eingaben und den Ablauf des konkreten Laufs bereitstellt und die Deaktivierung des Opt-in unverzüglich ermöglicht.

§ 10 Löschung und Rückgabe von Daten

(1) Nach Beendigung des Nutzungsvertrags wird der Auftragsverarbeiter

1. auf Wunsch des Verantwortlichen alle personenbezogenen Daten in einem gängigen Format zurückgeben (über die Exportfunktionen der Plattform; auf Verlangen als strukturierte Datei nach AGB § 14a Abs. 3). Dies umfasst auch die in den Laufprotokollen (KI-Run-Traces und deterministische Lauf-Protokolle) enthaltenen personenbezogenen Inhalte; die Ausnahme nach AGB § 14a Abs. 3 lit. e betrifft ausschließlich die anbieterseitigen Bestandteile der Traces (System-Prompts von Discontinue, Werkzeugdefinitionen und -schemata, interne Orchestrierungs- und Routing-Logik) und lässt die Pflicht nach dieser Ziffer sowie die Rechte betroffener Personen nach Art. 15 ff. DSGVO unberührt;
2. alle personenbezogenen Daten nach Ablauf des Abrufzeitraums gemäß AGB § 14a Abs. 4, spätestens innerhalb von 60 Tagen nach Vertragsende in den Produktivsystemen löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht; dies umfasst die Löschung der in einer vom KI-Anbieter verwalteten Agenten-Umgebung geführten Sitzungsverläufe und Aufgaben-Ressourcen über die hierfür vorgesehenen Löschfunktionen — Sitzungen und davon unabhängig geführte Aufgaben-Ressourcen werden dabei jeweils gesondert gelöscht, weil die Löschung einer Sitzung unabhängige Ressourcen nicht automatisch miterfasst; für Sicherungskopien gilt Abs. 3;
3. die Löschung dem Verantwortlichen auf Verlangen in Textform bestätigen.

(2) Während des laufenden Vertrags gelten folgende Fristen. Laufdaten werden automatisch nach 90 Tagen gelöscht; dazu zählen die Report-Artefakte, die gerenderten Ergebnisse der Läufe, die KI-Run-Traces einschließlich der darin enthaltenen Werkzeugaufrufe und -ergebnisse, die deterministischen Lauf-Protokolle, die Zustellprotokolle sowie die Freigabeentscheidungen der Approval-Queue. Betriebsprotokolle der Konnektoren werden nach 30 Tagen gelöscht. Die Protokollierung erteilter Zugriffsfreigaben und Verbindungen — der Nachweis, wer wann welchen Zugriff erteilt oder entzogen hat — wird 12 Monate aufbewahrt. Rechnungsdaten unterliegen der gesetzlichen Aufbewahrungspflicht (7 Jahre gem. § 132 BAO – Österreich).

(3) Die Löschung erfasst sämtliche vorhandenen Kopien einschließlich Sicherungskopien. In den Produktivsystemen wird unverzüglich gelöscht; Sicherungskopien werden mit dem Ablauf des jeweiligen Sicherungszyklus überschrieben, längstens nach zwölf Monaten. Diese Frist ist bewusst gewählt: sie erhält die Wiederherstellbarkeit auch dann, wenn eine Fehllöschung oder ein Angriff erst spät erkannt wird. Bis zum Ablauf des Zyklus können gelöschte Daten in den Sicherungskopien fortbestehen; ein Zugriff auf sie findet ausschließlich im Wiederherstellungsfall statt. Wird eine Sicherungskopie wiederhergestellt, werden zuvor erfolgte Löschungen und Einschränkungen der Verarbeitung vor Wiederaufnahme des Produktivbetriebs erneut angewendet. Die vollständige Löschung einschließlich der Sicherungskopien ist damit spätestens zwölf Monate nach der Löschung in den Produktivsystemen abgeschlossen; dieser spätere Zeitpunkt ist der ausdrücklich vereinbarte Zeitraum für die vollständige Löschung im Sinne des Art. 25 Abs. 2 lit. h der Verordnung (EU) 2023/2854. Der Auftragsverarbeiter veranlasst die entsprechende Löschung bei allen Unterauftragsverarbeitern und bestätigt sie auf Verlangen in Textform. Von der Löschpflicht ausgenommen ist ausschließlich, was nach zwingendem Unions- oder mitgliedstaatlichem Recht aufzubewahren ist (Art. 28 Abs. 3 lit. g DSGVO). Kann der Auftragsverarbeiter die Löschung bei einem Unterauftragsverarbeiter tatsächlich nicht durchsetzen — beim KI-Anbieter bei Markierung durch dessen Missbrauchserkennung (§ 6 Abs. 1) —, weist er dies in der Löschbestätigung aus und benennt den betroffenen Bestand. Der Verantwortliche ist hierüber vor Vertragsschluss informiert (§ 6 Abs. 1).

(4) Da KI-Run-Traces und deterministische Lauf-Protokolle die verarbeiteten Inhalte enthalten können, wirken in ihnen enthaltene personenbezogene Daten bis zum Ablauf der Aufbewahrungsfrist fort, auch wenn sie im Quellsystem bereits gelöscht wurden. Löschbegehren betreffend Laufprotokolle werden nach dem Betroffenenrechte-Prozess bearbeitet.

§ 11 Kontroll- und Auditrechte

Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrags gem. Art. 28 Abs. 3 lit. h DSGVO zu überprüfen. Die Überprüfung erfolgt vorrangig durch:

• Anforderung und Prüfung aktueller Zertifizierungen, Audit-Berichte, der TOMs sowie schriftlicher Auskünfte;
• nur soweit die vorgenannten Nachweise nicht ausreichen: eine Vor-Ort-Inspektion höchstens einmal pro Kalenderjahr (sowie anlassbezogen nach einem nachgewiesenen Vorfall), mit angemessener Vorankündigung von mindestens 30 Tagen, während der üblichen Geschäftszeiten, ohne unverhältnismäßige Betriebsstörung und unter Wahrung der Vertraulichkeit sowie der Rechte anderer Mandanten;
• Beauftragung eines unabhängigen, zur Vertraulichkeit verpflichteten Dritten, der kein Wettbewerber des Auftragsverarbeiters ist.

Die dem Auftragsverarbeiter durch Vor-Ort-Inspektionen entstehenden angemessenen Aufwände trägt der Verantwortliche.

Auf begründetes Verlangen legt der Auftragsverarbeiter dem Verantwortlichen oder einem von ihm beauftragten, zur Vertraulichkeit verpflichteten Dritten auch die zur Beurteilung der Verarbeitung erforderlichen Architekturangaben offen — insbesondere die eingesetzte Fassung des System-Prompts, das eingesetzte Modell, die je Anfrage übergebene Feldauswahl und den Umfang der Trace-Wiederverwendung des betreffenden Agents. Geschäftsgeheimnisse des Auftragsverarbeiters werden dabei nach § 15a der AGB geschützt; sie rechtfertigen keine Verweigerung der nach Art. 28 Abs. 3 lit. h DSGVO erforderlichen Auskunft.

Die Beschränkungen hinsichtlich Häufigkeit und Vorankündigung gelten nicht bei einer Anordnung einer Aufsichtsbehörde, bei einer Verletzung des Schutzes personenbezogener Daten oder wenn konkrete, dokumentierte Tatsachen einen erheblichen Verstoß gegen diesen Vertrag nahelegen und dieser nicht angemessen durch schriftliche Nachweise geklärt werden kann. Auch in diesen Fällen ist die Prüfung auf den erforderlichen und verhältnismäßigen Umfang zu beschränken und mit der nach den Umständen möglichen Vorankündigung durchzuführen. Die Kosten seiner Prüfer und seinen eigenen Zusatzaufwand trägt der Verantwortliche; wird dabei ein erheblicher Verstoß des Auftragsverarbeiters festgestellt, trägt dieser die durch die Sonderprüfung angemessen verursachten Kosten. Prüfungen durch eine Aufsichtsbehörde bleiben uneingeschränkt.

§ 12 Haftung

Die Haftung richtet sich nach den Bestimmungen der DSGVO (insbesondere Art. 82) sowie nach dem Nutzungsvertrag und den AGB zwischen den Parteien.

§ 13 Laufzeit und Kündigung

Dieser Vertrag ist an den Nutzungsvertrag gekoppelt und endet automatisch mit dessen Beendigung. Eine separate Kündigung dieses Vertrags ist nicht möglich, solange der Nutzungsvertrag besteht.

§ 14 Schlussbestimmungen

(1) Es gilt österreichisches Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters in Wien. Zwingende Bestimmungen des Unionsrechts (insbesondere der DSGVO) bleiben unberührt.

(2) Änderungen und Ergänzungen bedürfen der Textform (einschließlich elektronischer Form).

(3) Bei Widersprüchen zwischen diesem DPA und sonstigen Vereinbarungen gehen die Regelungen dieses DPA in datenschutzrechtlichen Fragen vor.

(4) Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Annahme

Dieser DPA wird vom Verantwortlichen im Bestellvorgang elektronisch angenommen (AGB § 5 Abs. 2); die Form des Art. 28 Abs. 9 DSGVO (schriftlich, einschließlich in einem elektronischen Format) ist damit gewahrt. Zeitpunkt der Annahme und angenommene Fassung werden protokolliert (Anlage 2, Nr. 6). Bei Enterprise-/Custom-Verträgen kann dieser DPA zusätzlich in Textform gegengezeichnet werden.

Anlagen: Anlage 1 – Sub-Processor-Liste · Anlage 2 – Technische und organisatorische Maßnahmen (TOMs)

discontinue.dev MAS GmbH · [email protected] · Stand: 12. September 2026