Auftragsverarbeitungsvertrag (AVV)

Anhang zur Auftragsbestätigung zwischen dem darin genannten Kunden und der CampOne GmbH (Grondia).

Parteien

Dieser Auftragsverarbeitungsvertrag (der “AVV”) wird abgeschlossen zwischen:

1. die in der Auftragsbestätigung als Kunde genannte Partei, mit der dort angegebenen Rechtsform, Adresse und Registernummer oder UID (der “Kunde”); und
2. CampOne GmbH, c/o Christoph Tonini, Habüelstrasse 112, 8704 Herrliberg, Schweiz, UID CHE-134.912.193, eingetragen im Handelsregister des Kantons Zürich, die ihre Leistungen unter der Marke Grondia anbietet (“Grondia”).

Der Kunde und Grondia sind je eine “Partei” und gemeinsam die “Parteien”.

Ausgangslage

A. Grondia erbringt für den Kunden gemäss dem Vertrag die Grondia-Leistungen (Property-Management, Buchungsmaschine, Gehostete Websites und Buchungsseiten, Kassensystem, Self-Check-in-Kiosk, Grondia Pay, Channel-Manager, Gästemeldung und Behördenmeldungen, KI-Funktionen und damit verbundene Leistungen).

B. Bei der Erbringung dieser Leistungen bearbeitet Grondia Personendaten im Auftrag des Kunden. Dieser AVV regelt die Rechte und Pflichten der Parteien für diese Bearbeitung.

C. Der Aufbau dieses AVV folgt den Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern, welche die Europäische Kommission mit dem Durchführungsbeschluss (EU) 2021/915 gestützt auf Art. 28 Abs. 7 DSGVO erlassen hat. Dieser AVV ist diesen Klauseln nachgebildet, übernimmt sie aber nicht wörtlich.

1. Begriffe und Auslegung

1.1 In den Allgemeinen Geschäftsbedingungen von Grondia (die “AGB”) definierte Begriffe, die in diesem AVV verwendet, aber nicht definiert werden, haben die dort festgelegte Bedeutung.

1.2 In diesem AVV bedeuten:

(a) “Anwendbares Datenschutzrecht”: alle Datenschutzgesetze, die auf die Bearbeitung von Kunden-Personendaten unter diesem AVV anwendbar sind, insbesondere das Bundesgesetz über den Datenschutz vom 25. September 2020 (DSG) und die Datenschutzverordnung (DSV), die Verordnung (EU) 2016/679 (DSGVO) und das ergänzende Recht der Mitgliedstaaten der EU und des EWR, die im Recht des Vereinigten Königreichs beibehaltene DSGVO (UK GDPR) und der Data Protection Act 2018 sowie die in Anhang 5 definierten US-Datenschutzgesetze der Bundesstaaten, jeweils in der geltenden Fassung.

(b) “Kunden-Personendaten”: die Personendaten, die Grondia bei der Erbringung der Leistungen im Auftrag des Kunden bearbeitet, wie in Anhang 1 beschrieben.

(c) “Verantwortlicher”, “Auftragsverarbeiter”, “betroffene Person”, “Verarbeitung”, “Verletzung des Schutzes personenbezogener Daten” und “Aufsichtsbehörde” haben die Bedeutung gemäss DSGVO. Im Sinne des DSG entspricht “Auftragsverarbeiter” dem “Auftragsbearbeiter”, “Verarbeitung” der “Bearbeitung” und “Verletzung des Schutzes personenbezogener Daten” der “Verletzung der Datensicherheit”.

(d) “Datenschutzverletzung”: eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob unbeabsichtigt oder unrechtmässig, oder zur unbefugten Offenlegung von oder zum unbefugten Zugang zu Kunden-Personendaten führt, die von Grondia oder einem Unterauftragsverarbeiter übermittelt, gespeichert oder auf sonstige Weise bearbeitet werden.

(e) “Unterauftragsverarbeiter”: jeder Auftragsverarbeiter, den Grondia beizieht und der bei der Erbringung der Leistungen Kunden-Personendaten im Auftrag von Grondia bearbeitet. Mitarbeitende von Grondia und einzelne Auftragnehmende, die unter der Leitung von Grondia arbeiten, sind keine Unterauftragsverarbeiter.

(f) “Sicherheitsmassnahmen”: die in Anhang 2 beschriebenen technischen und organisatorischen Massnahmen.

(g) “Eingeschränkte Übermittlung”: eine Übermittlung von Kunden-Personendaten in ein Land, das nach dem Anwendbaren Datenschutzrecht nicht als Land mit angemessenem Datenschutzniveau anerkannt ist, einschliesslich Weiterübermittlungen.

(h) “SCC”: die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäss Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission, und “UK Addendum”: das vom britischen Information Commissioner herausgegebene International Data Transfer Addendum zu diesen Klauseln, jeweils wie in Anhang 4 beschrieben.

(i) “Arbeitstag”: jeder Tag ausser Samstag, Sonntag und gesetzlicher Feiertag im Kanton Zürich.

1.3 Soweit das DSG oder die UK GDPR anwendbar ist, gelten Verweise in diesem AVV auf Bestimmungen der DSGVO als Verweise auf die entsprechenden Bestimmungen des DSG oder der UK GDPR.

1.4 Dieser AVV geht den AGB und den Richtlinien in allen Fragen der Bearbeitung von Kunden-Personendaten vor. Eine Bestimmung der Auftragsbestätigung geht diesem AVV nur vor, wenn sie die Bestimmung dieses AVV, die sie ändert, ausdrücklich nennt. Soweit die SCC oder das UK Addendum gemäss Anhang 4 anwendbar sind, gehen sie diesem AVV vor. Für personenbezogene Informationen, die den US-Datenschutzgesetzen der Bundesstaaten unterstehen, geht Anhang 5 den übrigen Bestimmungen dieses AVV vor.

2. Rollen der Parteien

2.1 Kunde als Verantwortlicher. Der Kunde ist Verantwortlicher für die Kunden-Personendaten. Bearbeitet der Kunde Kunden-Personendaten seinerseits als Auftragsverarbeiter für einen Dritten (beispielsweise eine Betriebsgesellschaft, die einen Campingplatz für dessen Eigentümer führt), sichert der Kunde zu, dass er von diesem Verantwortlichen ermächtigt ist, die Weisungen gemäss diesem AVV zu erteilen und Grondia als Unterauftragsverarbeiter beizuziehen; Grondia handelt dann als Unterauftragsverarbeiter des Kunden, und der Kunde informiert den Verantwortlichen über diesen AVV.

2.2 Grondia als Auftragsverarbeiter. Grondia bearbeitet Kunden-Personendaten als Auftragsverarbeiter im Auftrag des Kunden für die in Anhang 1 beschriebenen Module.

2.3 Grondia als eigenständig Verantwortlicher. Grondia bearbeitet die folgenden Personendaten als eigenständig Verantwortlicher gemäss ihren eigenen Datenschutzerklärungen und nicht unter diesem AVV: Daten der Kontaktpersonen, Zeichnungsberechtigten und Berechtigten Nutzer des Kunden für Vertragsverwaltung, Rechnungsstellung, Kundenbeziehungsmanagement und Kommunikation; Daten von Inhabern, Organen, wirtschaftlich Berechtigten und Zeichnungsberechtigten, die für das Onboarding des Kunden bei Grondia Pay erhoben werden; Daten von Besucherinnen und Besuchern der eigenen Websites von Grondia, einschliesslich grondia.com; Daten der eigenen Mitarbeitenden von Grondia; sowie Nutzungsdaten, soweit sie keine natürliche Person identifizieren. Soweit Nutzungsdaten einen Berechtigten Nutzer oder einen Gast identifizieren (beispielsweise eine Benutzer-ID in einem Protokolleintrag), bearbeitet Grondia sie als Auftragsverarbeiter unter diesem AVV für den Betrieb und die Sicherheit der Leistungen und, falls der Kunde ein Opt-in erklärt hat, für die Berechnung anonymer Statistiken gemäss Ziffer 14. Grondia bearbeitet Kunden-Personendaten nicht als eigenständig Verantwortlicher für eigene Zwecke (Ziffer 14.5). Soweit Grondia in Kundendaten enthaltene Personendaten bearbeitet, um eine gesetzliche Pflicht zu erfüllen, die Grondia selbst trifft, handelt Grondia als Verantwortlicher und nur im Umfang, den diese Pflicht verlangt.

2.4 Zahlungsinstitut. Für Grondia Pay bearbeitet das in den Zahlungsbedingungen genannte bewilligte Zahlungsinstitut Zahlungs- und Verifikationsdaten als eigenständig Verantwortlicher gestützt auf seine eigenen Bedingungen mit dem Kunden. Es ist kein Unterauftragsverarbeiter von Grondia. Grondia übermittelt ihm Kunden-Personendaten auf Weisung des Kunden, wie in Anhang 1, Modul 8, und in den Zahlungsbedingungen beschrieben.

2.5 Vom Kunden gewählte Drittleistungen. Verbindet der Kunde eine Drittleistung mit den Leistungen (beispielsweise ein Buchhaltungssystem, einen anderen Zahlungsdienstleister als Grondia Pay, ein Zutritts- oder Schrankensystem, einen Anbieter von Ladestationen für Elektrofahrzeuge, einen Vertriebskanal, das eigene Postfach oder den eigenen Mailserver des Kunden oder das Meldeportal einer Behörde), übermittelt Grondia Kunden-Personendaten auf Weisung des Kunden an diese Drittleistung. Der Anbieter der Drittleistung ist kein Unterauftragsverarbeiter von Grondia. Der Kunde ist für seinen eigenen Vertrag und seine eigene Rechtsgrundlage mit diesem Anbieter verantwortlich. Grondia bleibt dafür verantwortlich, die Daten bis zur Übergabe an die Drittleistung sicher zu bearbeiten.

3. Beschreibung der Bearbeitung

3.1 Gegenstand und Dauer. Gegenstand der Bearbeitung ist die Erbringung der Leistungen gemäss dem Vertrag. Die Bearbeitung dauert während der Vertragslaufzeit und nach deren Ende, bis die Kunden-Personendaten gemäss Ziffer 15 zurückgegeben oder gelöscht sind.

3.2 Art, Zwecke, Daten und betroffene Personen. Art und Zwecke der Bearbeitung, die Kategorien von Personendaten und die Kategorien betroffener Personen sind in Anhang 1 je Modul beschrieben.

3.3 Genutzte Module. Anhang 1 gilt für die Module, die der Kunde bestellt oder aktiviert hat. Aktiviert oder deaktiviert der Kunde ein Modul oder eine Funktion darin, beginnt oder endet die Geltung der Beschreibung in Anhang 1 für dieses Modul entsprechend.

4. Weisungen

4.1 Dokumentierte Weisungen. Grondia bearbeitet Kunden-Personendaten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Drittland, sofern Grondia nicht durch schweizerisches Recht, das Recht der Europäischen Union oder eines Mitgliedstaats der EU oder des EWR oder das Recht des Vereinigten Königreichs, dem Grondia untersteht, zur Bearbeitung verpflichtet ist. In einem solchen Fall teilt Grondia dem Kunden diese rechtlichen Anforderungen vor der Bearbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

4.2 Was als Weisung gilt. Die Weisungen des Kunden sind dokumentiert (a) im Vertrag und in diesem AVV, (b) in der Konfiguration und Nutzung der Leistungen durch den Kunden, einschliesslich der Module, Funktionen, Integrationen und Einstellungen, die der Kunde oder seine Berechtigten Nutzer aktivieren, und der Handlungen, die sie in den Leistungen vornehmen, sowie (c) in weiteren schriftlichen Weisungen einer vom Kunden ermächtigten Person an den Datenschutzkontakt gemäss Anhang 1, Teil A.

4.3 Weitere Weisungen. Weitere Weisungen müssen mit dem Vertrag vereinbar und innerhalb der Leistungen technisch umsetzbar sein. Erfordert die Befolgung einer weiteren Weisung Arbeiten, die über die Funktionen der Leistungen hinausgehen, kann Grondia sie von einer Vereinbarung über Aufwand und Vergütung abhängig machen. Grondia dokumentiert erhaltene weitere Weisungen.

4.4 Rechtswidrige Weisungen. Grondia informiert den Kunden unverzüglich, wenn eine Weisung nach ihrer Auffassung gegen Anwendbares Datenschutzrecht verstösst. Grondia kann die Ausführung dieser Weisung aussetzen, bis der Kunde sie schriftlich bestätigt oder ändert. Grondia ist nicht verpflichtet, eine Weisung auszuführen, die sie vernünftigerweise für rechtswidrig hält.

4.5 Verantwortung für Weisungen. Der Kunde ist für die Rechtmässigkeit seiner Weisungen und für seine Konfiguration der Leistungen verantwortlich.

5. Pflichten des Kunden

5.1 Der Kunde erfüllt seine Pflichten als Verantwortlicher nach dem Anwendbaren Datenschutzrecht. Insbesondere:

(a) stellt der Kunde sicher, dass er für die Bearbeitung der Kunden-Personendaten über eine Rechtsgrundlage verfügt, und holt, soweit erforderlich, die Einwilligung betroffener Personen ein und dokumentiert sie, beispielsweise für Werbemitteilungen, Gästenachrichten per SMS oder WhatsApp sowie nicht notwendige Cookies und Analysen auf Gehosteten Websites und Buchungsseiten;

(b) informiert der Kunde die betroffenen Personen wie gesetzlich vorgeschrieben über die Bearbeitung, insbesondere durch Veröffentlichung einer Datenschutzerklärung auf seinen Gehosteten Websites und Buchungsseiten;

(c) entscheidet der Kunde, welche gesetzlichen Pflichten zur Gästemeldung, zur Kurtaxe und zur Statistik für ihn gelten, prüft die Daten, die er an Behörden übermittelt, und bleibt für die Meldung verantwortlich, auch wenn die Leistungen sie vorbereiten oder übermitteln (Anhang 1, Modul 2);

(d) führt der Kunde jede für seine Bearbeitung erforderliche Datenschutz-Folgenabschätzung durch und nutzt dafür die Informationen, die Grondia gemäss Ziffer 11 zur Verfügung stellt;

(e) erfasst der Kunde in den Leistungen nur die für seine Zwecke erforderlichen Personendaten und erfasst keine besonderen Kategorien von Personendaten und keine Daten über strafrechtliche Verurteilungen, ausser er verfügt über eine Rechtsgrundlage und das Modul ist dafür geeignet;

(f) verwaltet der Kunde seine Berechtigten Nutzer, deren Rollen und Berechtigungen sowie die Sicherheitseinstellungen in seinem Verantwortungsbereich, einschliesslich der Entscheidung, ob die Zwei-Faktor-Authentifizierung für seine Berechtigten Nutzer zwingend ist; und

(g) informiert der Kunde Grondia unverzüglich, wenn er Fehler oder Unregelmässigkeiten bei der Bearbeitung feststellt.

6. Vertraulichkeit

6.1 Grondia gewährt Zugang zu Kunden-Personendaten nur jenen Mitarbeitenden, die ihn für die Erbringung, Wartung, Unterstützung oder Sicherung der Leistungen benötigen, und nur im erforderlichen Umfang. Grondia stellt sicher, dass sich diese Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und dass diese Pflicht nach dem Ende ihrer Tätigkeit für Grondia fortbesteht.

6.2 Greifen Mitarbeitende von Grondia für den Support auf ein Konto des Kunden in den Leistungen zu, nutzen sie die in Anhang 2, Teil C, beschriebene Support-Zugriffsfunktion, die jede Sitzung protokolliert. Die technischen Mitarbeitenden von Grondia und die KI-gestützten Support-Werkzeuge von Grondia können Kunden-Personendaten zudem direkt in den Systemen lesen, mit denen die Leistungen betrieben werden, soweit dies zur Abklärung einer Supportanfrage, zur Behebung eines Fehlers oder zum Betrieb der Leistungen erforderlich ist (Anhang 1, Teil B; Anhang 2, Teil C).

7. Sicherheit der Bearbeitung

7.1 Massnahmen. Grondia trifft und unterhält mindestens die in Anhang 2 beschriebenen Sicherheitsmassnahmen, um unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Bearbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dies umfasst den Schutz vor Datenschutzverletzungen.

7.2 Änderungen. Die Sicherheitsmassnahmen unterliegen dem technischen Fortschritt. Grondia kann sie ändern, sofern das Gesamtschutzniveau nicht sinkt. Grondia dokumentiert wesentliche Änderungen und stellt dem Kunden auf Anfrage die aktuelle Fassung von Anhang 2 zur Verfügung.

7.3 Beurteilung durch den Kunden. Der Kunde hat die Sicherheitsmassnahmen geprüft, einschliesslich des in Anhang 2 beschriebenen aktuellen Stands und der geplanten Verbesserungen in Anhang 2, Teil K, und erachtet sie als den Risiken seiner Bearbeitung angemessen. Der Kunde ist für die Sicherheitsmassnahmen in seinem eigenen Verantwortungsbereich verantwortlich, einschliesslich des Schutzes der Zugangsdaten und Geräte seiner Berechtigten Nutzer und der Konfiguration der Benutzerrollen.

7.4 Besonders schützenswerte Daten. Die Leistungen sind nicht für besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO oder besonders schützenswerte Personendaten im Sinne des DSG ausgelegt. Bearbeitet der Kunde solche Daten dennoch in den Leistungen (beispielsweise Gesundheits- oder Barrierefreiheitsangaben in Freitextfeldern), wendet Grondia die Sicherheitsmassnahmen auf sie an, und der Kunde setzt über die Berechtigungseinstellungen der Leistungen die zusätzlichen Zugriffsbeschränkungen um, die das Gesetz verlangt.

8. Unterauftragsverarbeiter

8.1 Allgemeine Genehmigung. Der Kunde erteilt Grondia die allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter beizuziehen. Die bei Abschluss dieses AVV beigezogenen Unterauftragsverarbeiter sind in Anhang 3 aufgeführt. Grondia stellt dem Kunden die aktuelle Liste auf Anfrage zur Verfügung.

8.2 Mitteilung von Änderungen. Grondia informiert den Kunden mindestens 30 Tage im Voraus über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Die Mitteilung erfolgt per E-Mail an den vom Kunden in Anhang 1, Teil A, genannten Datenschutzkontakt (oder, falls keiner genannt ist, an die E-Mail-Adresse des Kunden für Mitteilungen gemäss der Auftragsbestätigung). Die Mitteilung nennt den Namen des Unterauftragsverarbeiters, die erbrachte Leistung, die betroffenen Kunden-Personendaten, den Ort der Bearbeitung und den Übermittlungsmechanismus.

8.3 Widerspruch. Der Kunde kann innert 30 Tagen nach Erhalt der Mitteilung aus begründeten datenschutzrechtlichen Gründen schriftlich Widerspruch gegen die beabsichtigte Änderung erheben. Die Parteien besprechen den Widerspruch dann nach Treu und Glauben. Grondia kann eine angemessene Alternative vorschlagen, beispielsweise den Verzicht auf den Einsatz des neuen Unterauftragsverarbeiters für die Daten des Kunden oder eine Änderung der Konfiguration.

8.4 Rechtsbehelf. Einigen sich die Parteien nicht innert 30 Tagen nach dem Widerspruch in Gesprächen nach Treu und Glauben auf eine Lösung, kann der Kunde die betroffenen Leistungen, oder den Vertrag, wenn sich die betroffenen Leistungen nicht vernünftigerweise trennen lassen, durch schriftliche Mitteilung innert weiterer 30 Tage auf das in der Mitteilung genannte Datum kündigen. Grondia erstattet im Voraus bezahlte Entgelte für die gekündigten Leistungen für die Zeit ab dem Datum, an dem der neue Unterauftragsverarbeiter mit der Bearbeitung von Kunden-Personendaten begonnen hat, oder, falls später, ab dem Eingang des Widerspruchs. Es fällt keine Kündigungsgebühr an. Dieses Kündigungsrecht ist der einzige Rechtsbehelf des Kunden bei einem Widerspruch gegen einen Unterauftragsverarbeiter.

8.5 Dringende Ersetzung. Muss Grondia einen Unterauftragsverarbeiter kurzfristig ersetzen, um die Sicherheit oder Verfügbarkeit der Leistungen zu schützen (beispielsweise weil ein Unterauftragsverarbeiter seine Leistung einstellt oder einen Sicherheitsvorfall erleidet), kann Grondia den Ersatz vor Ablauf der Mitteilungsfrist beiziehen. Grondia informiert den Kunden dann so rasch wie möglich, und die Ziffern 8.3 und 8.4 gelten ab dem Datum dieser Mitteilung.

8.6 Verträge mit Unterauftragsverarbeitern. Grondia zieht jeden Unterauftragsverarbeiter mittels eines schriftlichen Vertrags bei, der ihm dieselben Datenschutzpflichten auferlegt, wie sie in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Massnahmen. Grondia wählt Unterauftragsverarbeiter sorgfältig aus und prüft deren Garantien vor dem Beizug. Auf Verlangen des Kunden stellt Grondia eine Kopie der Datenschutzbestimmungen eines Vertrags mit einem Unterauftragsverarbeiter zur Verfügung; Grondia kann geschäftliche Informationen schwärzen und auf die vom Unterauftragsverarbeiter veröffentlichten Bedingungen verweisen.

8.7 Haftung. Grondia haftet gegenüber dem Kunden im Rahmen von Ziffer 16 vollumfänglich für die Erfüllung der Datenschutzpflichten jedes Unterauftragsverarbeiters.

8.8 Wegfall von Grondia. Soweit zu wirtschaftlich angemessenen Bedingungen möglich, vereinbart Grondia mit ihren Unterauftragsverarbeitern, dass der Kunde vom Unterauftragsverarbeiter die Rückgabe oder Löschung der Kunden-Personendaten verlangen kann, falls Grondia faktisch verschwunden, rechtlich erloschen oder zahlungsunfähig geworden ist.

8.9 Drittleistungen. Ziffer 8 gilt nicht für vom Kunden gewählte Drittleistungen (Ziffer 2.5) und nicht für das Zahlungsinstitut (Ziffer 2.4).

9. Internationale Übermittlungen

9.1 Standorte. Am Datum dieses AVV befinden sich die zentrale Datenbank, die Sicherungskopien und die Anwendungsserver von Grondia in der Schweiz. Kunden-Personendaten werden zudem im EWR, im Vereinigten Königreich und in den Vereinigten Staaten von den in Anhang 3 angegebenen Unterauftragsverarbeitern bearbeitet. Grondia sagt keine Bearbeitung ausschliesslich in der Schweiz zu; Änderungen des Standorts werden gemäss Ziffer 8 mitgeteilt. Insbesondere werden Website-Inhalte und über Website-Formulare eingereichte Anfragen im Content-Management-System für Websites gespeichert, das ein Unterauftragsverarbeiter ausserhalb der Schweiz betreibt, und Anbieter für Auslieferung und Netzwerkschutz bearbeiten Verbindungsdaten und Daten während der Übertragung weltweit.

9.2 Weisung und Garantien. Der Kunde weist Grondia an, Kunden-Personendaten an die in Anhang 3 aufgeführten Unterauftragsverarbeiter und Standorte zu übermitteln. Grondia übermittelt Kunden-Personendaten nur im Einklang mit Kapitel V DSGVO, Art. 16 und 17 DSG und Kapitel V UK GDPR, soweit anwendbar, in ein Drittland. Anhang 4 legt die Übermittlungsmechanismen fest.

9.3 Änderung des rechtlichen Rahmens. Wird ein Übermittlungsmechanismus, auf den sich Grondia stützt, für ungültig erklärt oder genügt er nicht mehr, stützt sich Grondia auf einen anderen gemäss Anhang 4 verfügbaren Mechanismus und informiert den Kunden innert 30 Tagen. Steht kein anderer Mechanismus zur Verfügung, setzt Grondia die betroffene Übermittlung aus, oder der Kunde kann die betroffenen Leistungen gemäss Ziffer 8.4 kündigen.

9.4 Anfragen von Behörden. Verlangt eine Behörde Zugang zu Kunden-Personendaten, (a) gibt Grondia keine Kunden-Personendaten heraus, sofern sie nicht rechtlich dazu gezwungen ist, (b) informiert Grondia den Kunden unverzüglich über die Anfrage, sofern das Gesetz dies nicht verbietet, (c) prüft Grondia die Rechtmässigkeit der Anfrage und ficht sie an, wenn begründete Anhaltspunkte für ihre Rechtswidrigkeit bestehen, (d) gibt Grondia nur die minimal erforderlichen Daten heraus und (e) dokumentiert Grondia die Anfrage und ihre Antwort. Für gesetzlich vorgeschriebene Herausgaben gilt Ziffer 4.1.

10. Unterstützung bei Anfragen betroffener Personen

10.1 Grondia unterstützt den Kunden unter Berücksichtigung der Art der Bearbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Massnahmen bei der Erfüllung seiner Pflicht, Anfragen betroffener Personen zur Ausübung ihrer Rechte nach dem Anwendbaren Datenschutzrecht (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch) zu beantworten.

10.2 Die Leistungen enthalten Funktionen, mit denen der Kunde Kunden-Personendaten finden, berichtigen, exportieren und löschen kann, einschliesslich einer Funktion zur Löschung der Personendaten eines Gastes in Buchungen und Gästeprofilen auf Verlangen. Diese Löschfunktion erfasst Gästemelde- und Self-Check-in-Datensätze noch nicht (Anhang 2, Teil K). Lässt sich eine Anfrage mit diesen Funktionen nicht erfüllen (beispielsweise ein Export der Daten eines Gastes ohne Gastkonto oder die Löschung von Gästemelde- und Self-Check-in-Datensätzen), stellt Grondia dem Kunden die betreffenden Daten innert 10 Arbeitstagen nach schriftlicher Anfrage zur Verfügung oder führt die Löschung innert dieser Frist durch.

10.3 Erhält Grondia direkt von einer betroffenen Person eine Anfrage zu Kunden-Personendaten, beantwortet Grondia sie nicht, ausser um die betroffene Person an den Kunden zu verweisen, und leitet sie innert 2 Arbeitstagen an den Kunden weiter, sofern der Kunde Grondia nicht ermächtigt hat, solche Anfragen zu beantworten.

10.4 Die Unterstützung über die Standardfunktionen der Leistungen und gemäss den Ziffern 10.2 und 10.3 ist in den Entgelten enthalten. Für weitergehende Unterstützung, die erheblichen manuellen Aufwand erfordert, kann Grondia angemessene Entgelte zu den Ansätzen der Auftragsbestätigung verlangen, ausser die Anfrage beruht auf einer Verletzung dieses AVV durch Grondia.

11. Unterstützung bei Sicherheit, Folgenabschätzungen und Behörden

11.1 Grondia unterstützt den Kunden unter Berücksichtigung der Art der Bearbeitung und der ihr zur Verfügung stehenden Informationen bei der Einhaltung seiner Pflichten betreffend die Sicherheit der Bearbeitung, die Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und die vorherige Konsultation der Aufsichtsbehörden (Art. 32 bis 36 DSGVO; Art. 8, 22, 23 und 24 DSG). Insbesondere stellt Grondia die Modulbeschreibungen in Anhang 1, die Sicherheitsmassnahmen in Anhang 2 und auf Anfrage die Informationen zur Verfügung, die der Kunde für eine Folgenabschätzung zu den Modulen Gästemeldung, Ausweisdaten am Kiosk und KI benötigt.

11.2 Grondia führt ein Verzeichnis der Kategorien von Bearbeitungstätigkeiten, die sie im Auftrag ihrer Kunden durchführt, soweit das Anwendbare Datenschutzrecht dies verlangt.

11.3 Grondia arbeitet auf Anfrage mit einer Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen. Die Unterstützung gemäss dieser Ziffer 11 ist in den Entgelten enthalten, soweit sie in der Bereitstellung bestehender Dokumentation besteht; für weitergehenden Aufwand gilt Ziffer 10.4.

12. Datenschutzverletzungen

12.1 Meldung. Grondia meldet dem Kunden eine Datenschutzverletzung unverzüglich, nachdem sie ihr bekannt geworden ist. Grondia strebt an, diese Meldung innert 48 Stunden, nachdem ihr die Verletzung bekannt geworden ist, zu erstatten.

12.2 Inhalt. Die Meldung enthält, soweit verfügbar: (a) eine Beschreibung der Art der Verletzung, wenn möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen Datensätze; (b) Name und Kontaktdaten einer Anlaufstelle bei Grondia; (c) eine Beschreibung der wahrscheinlichen Folgen der Verletzung; und (d) eine Beschreibung der von Grondia ergriffenen oder vorgeschlagenen Massnahmen zur Behebung der Verletzung und zur Abmilderung ihrer möglichen nachteiligen Auswirkungen. Können nicht alle Informationen gleichzeitig bereitgestellt werden, stellt Grondia sie ohne weitere unangemessene Verzögerung schrittweise zur Verfügung.

12.3 Massnahmen. Grondia ergreift angemessene Massnahmen, um die Verletzung einzudämmen, zu untersuchen und zu beheben und ihre Folgen zu mildern, und dokumentiert jede Datenschutzverletzung einschliesslich der Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemassnahmen.

12.4 Meldungen durch den Kunden. Der Kunde ist dafür verantwortlich, Aufsichtsbehörden und betroffene Personen zu benachrichtigen, wenn das Anwendbare Datenschutzrecht dies verlangt. Grondia unterstützt den Kunden mit den ihr verfügbaren Informationen. Grondia benachrichtigt Aufsichtsbehörden oder betroffene Personen über eine Verletzung, die Kunden-Personendaten betrifft, nicht ohne vorherige Zustimmung des Kunden im Namen des Kunden, ausser Grondia ist selbst gesetzlich dazu verpflichtet.

12.5 Kanal. Grondia sendet Meldungen per E-Mail an den Datenschutzkontakt gemäss Anhang 1, Teil A, und zeigt sie nach Möglichkeit zusätzlich in den Leistungen an. Eine Meldung ist kein Eingeständnis eines Verschuldens oder einer Haftung.

12.6 Vorfälle im Bereich des Kunden. Hat ein Sicherheitsvorfall seinen Ursprung im Verantwortungsbereich des Kunden (beispielsweise kompromittierte Zugangsdaten eines Berechtigten Nutzers), unterstützt Grondia den Kunden auf Anfrage; für die Kosten gilt Ziffer 10.4.

13. Informationen und Audits

13.1 Grundsatz. Grondia stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung ihrer Pflichten nach Art. 28 DSGVO und diesem AVV erforderlich sind, und ermöglicht und unterstützt Überprüfungen, einschliesslich Inspektionen, die vom Kunden oder einem von ihm beauftragten Prüfer durchgeführt werden, gemäss dieser Ziffer 13.

13.2 Zuerst Dokumente und Fragebogen. Der Kunde stützt sich zunächst auf (a) diesen AVV und seine Anhänge, (b) die Dokumentation, die Grondia auf Anfrage zur Verfügung stellt, beispielsweise Zusammenfassungen von Sicherheitsbeurteilungen und Penetrationstests sowie Zertifizierungen und Berichte von Unterauftragsverarbeitern, und (c) schriftliche Antworten auf einen angemessenen Fragebogen zu Sicherheit oder Datenschutz, den Grondia innert 30 Tagen beantwortet. Der Kunde kann einen Fragebogen einmal pro Vertragsjahr und zusätzlich nach einer Datenschutzverletzung senden.

13.3 Audits vor Ort oder aus der Ferne. Genügen die Informationen gemäss Ziffer 13.2 nicht zum Nachweis der Einhaltung, verlangt eine Aufsichtsbehörde es, oder nach einer Datenschutzverletzung, kann der Kunde unter folgenden Bedingungen ein Audit einschliesslich einer Inspektion durchführen: (a) höchstens einmal innerhalb von 12 Monaten, ausser eine Aufsichtsbehörde verlangt es oder nach einer Datenschutzverletzung; (b) mit einer schriftlichen Ankündigung von mindestens 30 Tagen, die den Umfang des Audits beschreibt; (c) während der üblichen Geschäftszeiten, während höchstens 2 Arbeitstagen und ohne unzumutbare Störung des Betriebs von Grondia; (d) durch den Kunden oder durch einen unabhängigen Prüfer, der zur Vertraulichkeit verpflichtet und kein Wettbewerber von Grondia ist; und (e) ohne Zugang zu Daten anderer Kunden oder zu Informationen, die Vertraulichkeitspflichten von Grondia gegenüber Dritten unterliegen. Audits von Unterauftragsverarbeitern erfolgen anhand ihrer Prüfberichte und Zertifizierungen, sofern der Unterauftragsverarbeiter nichts anderes zulässt.

13.4 Kosten. Jede Partei trägt ihre eigenen Kosten eines Audits. Für ein Audit vor Ort oder aus der Ferne gemäss Ziffer 13.3 erstattet der Kunde Grondia zudem deren angemessene Kosten zu den Ansätzen der Auftragsbestätigung, ausser das Audit deckt eine wesentliche Verletzung dieses AVV durch Grondia auf.

13.5 Aufsichtsbehörden. Ziffer 13.3 lit. a und Ziffer 13.4 beschränken Audits durch eine zuständige Aufsichtsbehörde nicht.

13.6 Ergebnisse. Grondia behebt bei einem Audit festgestellte Mängel innert angemessener Frist. Der Auditbericht ist vertrauliche Information von Grondia.

14. Anonyme Statistiken auf Weisung des Kunden

14.1 Opt-in in der Auftragsbestätigung. Erklärt der Kunde in der Auftragsbestätigung das Opt-in für Benchmarks und Produktanalyse, weist er Grondia an, als Auftragsverarbeiter aus den Kunden-Personendaten anonyme aggregierte Statistiken ausschliesslich für die folgenden Zwecke zu berechnen (die “Statistikzwecke”): (a) Produktanalyse, das heisst Statistiken über die Nutzung der Leistungen; und (b) campingplatzübergreifende Benchmarks, das heisst Statistiken, welche die Zahlen des Kunden mit anonymen Aggregaten anderer Campingplätze vergleichen, die ebenfalls ein Opt-in erklärt haben. Dieses Opt-in ist eine dokumentierte Weisung gemäss Ziffer 4. Ohne Opt-in in der Auftragsbestätigung berechnet Grondia aus den Daten des Kunden keine solchen Statistiken. Der Kunde kann sein Opt-in jederzeit schriftlich oder in den Einstellungen der Leistungen mit Wirkung für künftige Berechnungen widerrufen; Grondia bezieht die Daten des Kunden dann innert 30 Tagen nicht mehr in neue Berechnungen ein.

14.2 Nur anonyme Aggregate werden behalten. Grondia berechnet die Statistiken innerhalb der Daten des Kunden und behält nur die aggregierten Ergebnisse, die keine natürliche Person identifizieren (Ziffer 14.8). Benchmarks, die anderen Kunden gezeigt oder veröffentlicht werden, fassen Daten von mindestens 5 Campingplätzen zusammen und zeigen nie Zahlen eines bestimmbaren Campingplatzes. Grondia beschränkt die verwendeten Daten auf das für den jeweiligen Zweck Erforderliche und den Zugriff auf die Personen, welche die Berechnung durchführen.

14.3 Grenzen. Grondia (a) verkauft oder vermietet keine Kunden-Personendaten und keine Ergebnisse; (b) verwendet sie nicht für Werbung, auch nicht für Werbung für eigene Produkte von Grondia gegenüber Gästen; (c) gibt Kunden-Personendaten für die Statistikzwecke nicht an Dritte weiter (gemäss Ziffer 8 beigezogene Unterauftragsverarbeiter sind keine Dritten); (d) bildet keine kundenübergreifenden Profile von Gästen und verknüpft keine Daten über denselben Gast, die sie von verschiedenen Kunden erhält; (e) verwendet sie nicht zum Training, Nachtraining oder Feinabstimmen von KI-Modellen, weder eigener Modelle noch solcher Dritter; und (f) verwendet sie nicht für Entscheidungen über einzelne Gäste oder Berechtigte Nutzer.

14.4 Ausgenommene Daten. Grondia verwendet für die Statistikzwecke nie: Gästemeldedaten und Ausweisdaten, wo immer sie gespeichert sind, einschliesslich Kopien in Gästeprofilen (Anhang 1, Module 1, 2 und 3); Zahlungsdaten (Token, Shopper-Referenzen, Kartenmarke und letzte vier Ziffern, IBAN und andere Bankangaben); Namen, E-Mail-Adressen, Telefonnummern, Postadressen, Geburtsdaten, Kontrollschilder, Zugangscodes und Zugangsdaten; Inhalte von Nachrichten, Anrufaudio, Transkripte und Freitextnotizen; IP-Adressen über eine vorübergehende Nutzung hinaus; und besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO.

14.5 Keine Verwendung für eigene Zwecke von Grondia. Grondia verwendet Kunden-Personendaten nicht als eigenständig Verantwortlicher für eigene Zwecke. Eine solche Verwendung würde eine schriftliche, von beiden Parteien unterzeichnete Änderung dieses AVV für einen bestimmten Zweck erfordern.

14.6 Aufbewahrung. Arbeitsauszüge für eine Berechnung werden gelöscht, sobald die Berechnung abgeschlossen ist, spätestens nach 30 Tagen. Anonyme aggregierte Ergebnisse enthalten keine Personendaten und dürfen ohne zeitliche Begrenzung aufbewahrt werden. Für die Kunden-Personendaten gilt Ziffer 15.

14.7 Information von Gästen und Berechtigten Nutzern. Der Kunde entscheidet, ob und wie seine Datenschutzerklärungen die Statistiken erwähnen. Die Sicherheitsmassnahmen in Anhang 2 gelten für die Berechnung.

14.8 Anonymisierte Daten. Daten, die nach dem Massstab von Erwägungsgrund 26 DSGVO so anonymisiert sind, dass keine Person mit Mitteln, deren Einsatz vernünftigerweise wahrscheinlich ist, identifiziert werden kann, sind keine Personendaten. Pseudonymisierte Daten sind nicht anonymisiert. Grondia versucht nicht, anonymisierte Daten zu re-identifizieren.

14.9 US-Datenschutzgesetze. Für Kunden-Personeninformationen, die einem US-Datenschutzgesetz unterstehen, gilt Anhang 5 für die Statistikzwecke und geht dieser Ziffer 14 vor.

15. Rückgabe und Löschung

15.1 Während der Vertragslaufzeit. Der Kunde kann Kunden-Personendaten jederzeit über die Exportfunktionen der Leistungen oder auf Anfrage gemäss den AGB in einem strukturierten, gängigen und maschinenlesbaren Format exportieren. Der Kunde kann Kunden-Personendaten jederzeit über die Funktionen der Leistungen löschen, vorbehaltlich Ziffer 10.2. Die Leistungen enthalten eine Funktion zur automatischen Anonymisierung nach einer vom Kunden festgelegten Aufbewahrungsdauer; diese Funktion ist derzeit ausgeschaltet (Anhang 1, Modul 1; Anhang 2, Teil K).

15.2 Nach Vertragsende. Nach dem Ende des Vertrags kann der Kunde Kunden-Personendaten während der Exportfrist von 30 Tagen gemäss den AGB exportieren. Grondia löscht oder anonymisiert die Kunden-Personendaten innert 30 Tagen nach Ablauf der Exportfrist, sofern nicht schweizerisches Recht, das Recht der Europäischen Union oder eines Mitgliedstaats der EU oder des EWR oder das Recht des Vereinigten Königreichs Grondia zur Speicherung verpflichtet. Sicherungskopien mit Kunden-Personendaten laufen im normalen Sicherungszyklus innert 90 Tagen nach der Löschung aus und werden überschrieben oder gelöscht.

15.3 Frühere Löschung. Der Kunde kann Grondia schriftlich anweisen, Kunden-Personendaten vor Ablauf der Exportfrist zu löschen.

15.4 Aufzubewahrende Daten. Muss Grondia Kunden-Personendaten von Gesetzes wegen aufbewahren, beschränkt sie deren Bearbeitung auf den Zweck dieser Pflicht, hält sie vertraulich und löscht sie, wenn die Pflicht endet.

15.5 Wiederhergestellte Sicherungskopien. Muss Grondia eine Sicherungskopie wiederherstellen, die zuvor gelöschte Kunden-Personendaten enthält, löscht sie diese unverzüglich erneut.

15.6 Bestätigung. Grondia bestätigt dem Kunden die Löschung auf Anfrage schriftlich.

15.7 Anbieterwechsel. Für EU-Kunden regelt der Exit- und Wechselanhang den Wechselprozess und geht dieser Ziffer 15 bei Widersprüchen vor.

16. Haftung

16.1 Die Haftung jeder Partei aus oder im Zusammenhang mit diesem AVV unterliegt den Haftungsbeschränkungen und -ausschlüssen gemäss den AGB, einschliesslich derselben Haftungsobergrenze. Für Verletzungen von Datenschutzpflichten gilt keine separate oder höhere Haftungsobergrenze.

16.2 Ziffer 16.1 beschränkt die Haftung keiner Partei gegenüber betroffenen Personen nach Art. 82 DSGVO oder gemäss den Drittbegünstigungsrechten der SCC. Nach Art. 82 Abs. 2 DSGVO haftet Grondia als Auftragsverarbeiter für den durch eine Verarbeitung verursachten Schaden nur, wenn sie ihren speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder unter Nichtbeachtung der rechtmässig erteilten Anweisungen des Kunden oder gegen diese Anweisungen gehandelt hat.

16.3 Haften beide Parteien einer betroffenen Person für denselben Schaden, trägt im Innenverhältnis jede Partei den Teil des Schadenersatzes, der ihrem Anteil an der Verantwortung für den Schaden entspricht.

17. US-Datenschutzgesetze der Bundesstaaten

Umfassen die Kunden-Personendaten personenbezogene Informationen von Verbraucherinnen und Verbrauchern mit Wohnsitz in einem US-Bundesstaat mit einem US-Datenschutzgesetz, gilt Anhang 5 zusätzlich zu diesem AVV.

18. Laufzeit, Aussetzung und Kündigung

18.1 Dieser AVV tritt mit der Unterzeichnung der Auftragsbestätigung in Kraft und gilt, solange Grondia Kunden-Personendaten bearbeitet.

18.2 Dieser AVV endet mit dem Vertrag. Die Pflichten, die ihrer Natur nach nach dem Ende des Vertrags gelten, insbesondere die Ziffern 6, 9.4, 12, 13, 15 und 16, gelten weiter, bis die Kunden-Personendaten gelöscht oder zurückgegeben sind.

18.3 Verletzt Grondia ihre Pflichten aus diesem AVV, kann der Kunde Grondia anweisen, die betroffene Bearbeitung auszusetzen, bis Grondia die Pflichten wieder einhält. Stellt Grondia die Einhaltung nicht innert angemessener Frist, spätestens innert eines Monats nach der Aussetzung, wieder her, kann der Kunde die betroffenen Leistungen durch schriftliche Mitteilung kündigen. Für die Rückerstattung im Voraus bezahlter Entgelte gilt Ziffer 8.4.

18.4 Grondia kann die betroffenen Leistungen kündigen, wenn der Kunde an einer Weisung festhält, die gegen Anwendbares Datenschutzrecht verstösst, nachdem Grondia ihn gemäss Ziffer 4.4 informiert hat.

19. Anwendbares Recht und Gerichtsstand

19.1 Dieser AVV untersteht dem materiellen schweizerischen Recht unter Ausschluss der Kollisionsnormen und des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf.

19.2 Ausschliesslicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist die Stadt Zürich, Schweiz.

19.3 Die Ziffern 19.1 und 19.2 gelten nicht, soweit die SCC, die schweizerischen Anpassungen oder das UK Addendum gemäss Anhang 4 etwas anderes vorsehen, und sie schränken die Rechte betroffener Personen nach dem Anwendbaren Datenschutzrecht nicht ein.

20. Schlussbestimmungen

20.1 Änderungen. Änderungen dieses AVV bedürfen der Schriftform. Grondia kann diesen AVV mit einer schriftlichen Ankündigung von 30 Tagen ändern, soweit dies erforderlich ist, um Änderungen des Anwendbaren Datenschutzrechts oder einem Entscheid einer zuständigen Aufsichtsbehörde oder eines Gerichts zu entsprechen. Schränkt eine solche Änderung die Rechte des Kunden wesentlich ein, kann der Kunde die betroffenen Leistungen vor Inkrafttreten der Änderung gemäss Ziffer 8.4 kündigen.

20.2 Mitteilungen. Mitteilungen gemäss diesem AVV werden an die Datenschutzkontakte gemäss Anhang 1, Teil A, gesendet. Jede Partei informiert die andere über Änderungen ihrer Kontakte.

20.3 Salvatorische Klausel. Ist eine Bestimmung dieses AVV unwirksam oder nicht durchsetzbar, bleiben die übrigen Bestimmungen in Kraft. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame Bestimmung, die ihrem Zweck möglichst nahekommt. Verlangt das Anwendbare Datenschutzrecht eine Bestimmung, die in diesem AVV fehlt, gilt diese Bestimmung als vereinbart.

20.4 Sprache. Weichen die englische und die deutsche Fassung dieses AVV voneinander ab, geht die englische Fassung vor.

20.5 Unterzeichnung. Dieser AVV kann elektronisch unterzeichnet werden, auch als Bestandteil der Auftragsbestätigung.

Unterschriften

Die CampOne GmbH wird nur durch die Unterschriften beider für sie genannten Personen verpflichtet, die gemäss Eintrag im Handelsregister des Kantons Zürich je Kollektivunterschrift zu zweien führen. Die zweite Spalte des Kunden wird verwendet, wenn der Registereintrag oder die Statuten des Kunden zwei Unterschriften verlangen.

Anhang 1: Beschreibung der Bearbeitung

Teil A: Parteien und Kontakte

Teil B: Allgemeine Beschreibung

Kategorien betroffener Personen (alle Module). Gäste des Kunden (Personen, die buchen, übernachten, sich anmelden, einkaufen oder kommunizieren, einschliesslich Begleitpersonen und Kinder), Personen, die Anfragen senden, Inhaber von Saison- oder Jahresplatzverträgen und deren Mitbenutzer, Besucherinnen und Besucher Gehosteter Websites und Buchungsseiten, die Berechtigten Nutzer des Kunden (Mitarbeitende, Vorstandsmitglieder, Freiwillige, Beauftragte) sowie Anrufende beim Telefon-Concierge des Kunden, falls aktiviert.

Häufigkeit. Fortlaufend während der Vertragslaufzeit.

Speicherort. Zentrale Datenbank, Dateispeicher, Sicherungskopien und Anwendungsserver in der Schweiz. Andere Orte nur wie für den jeweiligen Unterauftragsverarbeiter in Anhang 3 angegeben.

Support. Senden der Kunde oder seine Berechtigten Nutzer Supportanfragen, einschliesslich Bildschirmfotos und Dokumenten, bearbeitet Grondia die darin enthaltenen Kunden-Personendaten, um die Anfrage zu beantworten und Fehler zu beheben. Zur Abklärung einer Anfrage können die Support-Mitarbeitenden und die KI-gestützten Support-Werkzeuge von Grondia zudem die Daten des Kunden in den Leistungen lesen, einschliesslich Gästedaten. Die Unterauftragsverarbeiter für den Support sind in Anhang 3 aufgeführt (Google, Linear und Anthropic). Berechtigte Nutzer sollen Gästedaten auf Bildschirmfotos ausblenden, wenn sie für die Anfrage nicht nötig sind.

Anonyme Statistiken (nur bei Opt-in in der Auftragsbestätigung). Hat der Kunde ein Opt-in erklärt, berechnet Grondia als Auftragsverarbeiter und auf seine Weisung aus den Kunden-Personendaten anonyme aggregierte Statistiken für Produktanalyse und campingplatzübergreifende Benchmarks (Ziffer 14). Es werden nur anonyme Aggregate behalten; Benchmarks fassen mindestens 5 Campingplätze zusammen; die Daten werden nicht verkauft, nicht für Werbung verwendet, nicht an Dritte weitergegeben, nicht zu kundenübergreifenden Profilen von Gästen verbunden und nicht zum Training von KI-Modellen verwendet. Gästemelde- und Ausweisdaten, Zahlungsdaten, Kontaktdaten, Inhalte von Nachrichten, Freitextnotizen und besondere Kategorien personenbezogener Daten sind ausgenommen (Ziffer 14.4). Grondia verwendet Kunden-Personendaten nicht als eigenständig Verantwortlicher für eigene Zwecke (Ziffer 14.5).

Aufbewahrung allgemein. Der Kunde entscheidet im Rahmen der Funktionen der Leistungen und seiner gesetzlichen Pflichten, wie lange Kunden-Personendaten aufbewahrt werden. Bei Vertragsende gilt Ziffer 15.

Teil C: Beschreibung je Modul

Modul 1: Buchungen, Gästeprofile und Gästekommunikation

Modul 2: Gästemeldung und Behördenmeldungen

Die folgende Tabelle dient der Information. Sie beschreibt Pflichten, welche die Leistungen unterstützen sollen. Der Kunde bleibt dafür verantwortlich festzustellen, welche Pflichten für ihn gelten, insbesondere nach kantonalem, regionalem und kommunalem Recht, und zu prüfen, welche Funktionen die Leistungen für sein Land anbieten.

Modul 3: Kiosk und Self-Check-in, Auslesen von Ausweisdokumenten

Modul 4: Konten der Mitarbeitenden des Kunden

Modul 5: Gehostete Websites, Buchungsseiten, Cookies und Analyse

Modul 6: Channel-Manager und Synchronisation mit Vertriebskanälen

Modul 7: KI-Funktionen

Modul 8: Zahlungsmetadaten

Modul 9: Kassensystem und Fiskalsignatur

Anhang 2: Technische und organisatorische Massnahmen

Anhang 2 beschreibt die technischen und organisatorischen Massnahmen von Grondia, einschliesslich geplanter Massnahmen, die noch nicht umgesetzt sind. Er ist Bestandteil dieses AVV in der Fassung, die der Auftragsbestätigung beigelegt ist. Grondia veröffentlicht ihn aus Sicherheitsgründen nicht auf ihrer Website und stellt ihn Kunden und Interessenten auf Anfrage an hello@grondia.com zur Verfügung.

Anhang 3: Unterauftragsverarbeiter

Teil A: Bei Abschluss dieses AVV beigezogene Unterauftragsverarbeiter

Der Kunde genehmigt die folgenden Unterauftragsverarbeiter (Ziffer 8.1). “Nur falls aktiviert” bedeutet, dass der Unterauftragsverarbeiter nur dann Kunden-Personendaten erhält, wenn der Kunde das betreffende Modul oder die betreffende Funktion nutzt. Die Übermittlungsmechanismen sind in Anhang 4 erläutert. “DPF” bezeichnet das EU-US Data Privacy Framework, dessen UK-Erweiterung und das Swiss-US Data Privacy Framework, soweit der Unterauftragsverarbeiter dafür zertifiziert ist.

Teil B: Empfänger, die keine Unterauftragsverarbeiter sind

Zur Transparenz führt Grondia Empfänger auf, die Kunden-Personendaten erhalten, aber keine Unterauftragsverarbeiter sind, sowie Anbieter, die keine Kunden-Personendaten erhalten.

Anhang 4: Internationale Übermittlungen

1. Übersicht

2. SCC zwischen dem Kunden und Grondia (Auffanglösung)

2.1 Einbezug. Ist eine Übermittlung von Kunden-Personendaten vom Kunden an Grondia nach der DSGVO eine Eingeschränkte Übermittlung (beispielsweise weil die Angemessenheitsentscheidung für die Schweiz aufgehoben oder ausgesetzt wird), werden die SCC für die Dauer dieses Zustands durch Verweis in diesen AVV einbezogen und gelten wie folgt:

(a) Modul 2 (Verantwortlicher an Auftragsverarbeiter), wenn der Kunde Verantwortlicher ist; (b) Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), wenn der Kunde Auftragsverarbeiter ist (Ziffer 2.1 des AVV).

Der Kunde ist Datenexporteur und Grondia Datenimporteur.

2.2 Gewählte Optionen.

2.3 Anlagen der SCC. Anlage I.A (Liste der Parteien) wird mit Anhang 1, Teil A, dieses AVV ausgefüllt; Anlage I.B (Beschreibung der Datenübermittlung) mit Anhang 1, Teile B und C; Anlage I.C (zuständige Aufsichtsbehörde) mit Abschnitt 2.2 oben; Anlage II (technische und organisatorische Massnahmen) mit Anhang 2; Anlage III (Liste der Unterauftragsverarbeiter) mit Anhang 3.

2.4 Verhältnis zu diesem AVV. Die SCC gehen diesem AVV bei Widersprüchen vor. Die Bestimmungen dieses AVV zu Audits (Ziffer 13), Unterauftragsverarbeitern (Ziffer 8), Löschung (Ziffer 15) und Haftung (Ziffer 16) beschreiben, wie die Parteien die entsprechenden Klauseln der SCC erfüllen, und schränken die Rechte betroffener Personen und die Befugnisse der Aufsichtsbehörden nach den SCC nicht ein.

3. Übermittlungen von Grondia an Unterauftragsverarbeiter

3.1 Hauptmechanismus. Mit jedem Unterauftragsverarbeiter ausserhalb der Schweiz und des EWR schliesst Grondia die SCC (Modul 3, Auftragsverarbeiter an Auftragsverarbeiter) mit den schweizerischen Anpassungen gemäss Abschnitt 4 und dem UK Addendum gemäss Abschnitt 5 ab, sofern nicht eine Angemessenheitsentscheidung die Übermittlung erfasst. Ist ein Unterauftragsverarbeiter in den Vereinigten Staaten nach dem EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023), dessen UK-Erweiterung oder dem Swiss-US Data Privacy Framework zertifiziert (für zertifizierte Organisationen sind die Vereinigten Staaten seit 15. September 2024 in Anhang 1 der Datenschutzverordnung als angemessen aufgeführt), stützt sich Grondia zusätzlich auf diese Zertifizierung, soweit sie die Übermittlung erfasst.

3.2 Rechtsmittel gegen das Data Privacy Framework. Das Gericht der Europäischen Union hat das EU-US Data Privacy Framework am 3. September 2025 bestätigt (Rechtssache T-553/23, Latombe gegen Kommission). Ein Rechtsmittel ist beim Gerichtshof hängig (Rechtssache C-703/25 P). Grondia stützt sich daher nicht allein auf das Data Privacy Framework und hält die SCC mit jedem US-Unterauftragsverarbeiter aufrecht, damit Übermittlungen auf Grundlage der SCC weiterlaufen können, falls das Data Privacy Framework für nichtig erklärt oder ausgesetzt wird. In diesem Fall überprüft Grondia ihre Übermittlungsfolgenabschätzungen innert 30 Tagen und informiert den Kunden gemäss Ziffer 9.3 des AVV.

3.3 Übermittlungsfolgenabschätzung. Für jede Eingeschränkte Übermittlung an einen Unterauftragsverarbeiter beurteilt Grondia die Rechtslage und Praxis im Zielland, die Art der Daten und die zusätzlichen Massnahmen (insbesondere Verschlüsselung bei der Übertragung, Datenminimierung und, bei KI- und Nachrichtenanbietern, die Beschränkung auf die für die Funktion nötigen Daten). Grondia hält diese Beurteilungen derzeit schriftlich fest (Anhang 2, Teil K) und stellt dem Kunden nach deren Abschluss auf Anfrage eine Zusammenfassung zur Verfügung.

3.4 Weiterübermittlungen. Grondia verlangt von jedem Unterauftragsverarbeiter, Weiterübermittlungen nur auf Grundlage eines nach dem Anwendbaren Datenschutzrecht anerkannten Mechanismus vorzunehmen.

4. Schweizerische Anpassungen

Untersteht eine Übermittlung dem DSG, sind die SCC vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) anerkannte Standarddatenschutzklauseln im Sinne von Art. 16 Abs. 2 lit. d DSG und gelten mit den folgenden Anpassungen, entsprechend den Hinweisen des EDÖB vom 27. August 2021 in der Fassung vom 12. Februar 2025:

(a) der EDÖB ist die zuständige Aufsichtsbehörde gemäss Klausel 13, soweit die Übermittlung dem DSG untersteht; untersteht die Übermittlung sowohl dem DSG als auch der DSGVO, gilt die Aufsicht gemäss Klausel 13 parallel;

(b) für Übermittlungen, die nur dem DSG unterstehen, ist das anwendbare Recht gemäss Klausel 17 das schweizerische Recht, und Gerichte gemäss Klausel 18 lit. b sind die Gerichte der Stadt Zürich; für Übermittlungen, die beiden Rechten unterstehen, gilt Abschnitt 2.2;

(c) der Begriff “Mitgliedstaat” in den SCC darf nicht so ausgelegt werden, dass betroffene Personen in der Schweiz von der Möglichkeit ausgeschlossen werden, ihre Rechte an ihrem gewöhnlichen Aufenthaltsort (Schweiz) gemäss Klausel 18 lit. c einzuklagen, und die schweizerischen Gerichte sind für diese Personen ein alternativer Gerichtsstand;

(d) Verweise auf die DSGVO gelten als Verweise auf das DSG, soweit die Übermittlung dem DSG untersteht.

5. UK Addendum

5.1 Untersteht eine Übermittlung der UK GDPR und ist sie eine Eingeschränkte Übermittlung, gilt das International Data Transfer Addendum zu den Standardvertragsklauseln der EU-Kommission, Version B1.0, herausgegeben gestützt auf section 119A(1) des Data Protection Act 2018 und in Kraft seit 21. März 2022 (das “UK Addendum”), oder eine Version, die es ersetzt; es wird durch Verweis einbezogen und wie folgt ausgefüllt:

5.2 Die zwingenden Klauseln des UK Addendum (Teil 2) gelten. Erfolgt die Übermittlung an einen Unterauftragsverarbeiter in den Vereinigten Staaten, der an der UK-Erweiterung des Data Privacy Framework teilnimmt, kann sich Grondia zudem auf die Data Protection (Adequacy) (United States of America) Regulations 2023 stützen (SI 2023/1028, in Kraft seit 12. Oktober 2023).

5.3 Der Data (Use and Access) Act 2025 hat die Übermittlungsregeln der UK GDPR durch einen “data protection test” ersetzt (Art. 44A bis 49A UK GDPR, in Kraft seit 5. Februar 2026). Gemäss den Hinweisen der britischen Aufsichtsbehörde werden die aktuellen Versionen des International Data Transfer Agreement und des Addendum weiter verwendet. Grondia übernimmt eine aktualisierte, von der britischen Aufsichtsbehörde herausgegebene Version, sobald sie gilt.

6. Nicht personenbezogene Daten und behördlicher Zugriff

Grondia informiert über ihre Massnahmen gegen unrechtmässigen internationalen behördlichen Zugriff auf nicht personenbezogene Daten gemäss Art. 28 Abs. 1 des EU-Datengesetzes, wie in den AGB festgelegt. Für Anfragen nach Kunden-Personendaten gilt Ziffer 9.4 des AVV.

Anhang 5: Bestimmungen für US-Datenschutzgesetze der Bundesstaaten

1. Geltungsbereich und Begriffe

1.1 Dieser Anhang gilt, wenn Kunden-Personendaten personenbezogene Informationen von Verbraucherinnen und Verbrauchern mit Wohnsitz in einem US-Bundesstaat enthalten, dessen umfassendes Datenschutzgesetz für Verbraucher auf den Kunden anwendbar ist (je ein “US-Datenschutzgesetz”), einschliesslich des California Consumer Privacy Act of 2018 in der Fassung des California Privacy Rights Act of 2020 (Cal. Civ. Code 1798.100 ff., der “CCPA”) und seiner Ausführungsbestimmungen (Cal. Code Regs. tit. 11, 7000 ff., die “CCPA-Verordnung”).

1.2 In diesem Anhang verwendete Begriffe wie “business”, “service provider”, “contractor”, “consumer”, “personal information”, “sell”, “share”, “business purpose”, “deidentified”, “controller” und “processor” haben die Bedeutung gemäss dem anwendbaren US-Datenschutzgesetz. “Kunden-Personeninformationen” sind die Kunden-Personendaten, die nach einem US-Datenschutzgesetz personal information oder personal data sind.

1.3 Dieser Anhang geht für Kunden-Personeninformationen den übrigen Bestimmungen des AVV vor. Soweit die übrigen Bestimmungen des AVV Verbraucherinnen und Verbrauchern oder dem Kunden mehr Schutz gewähren, gelten sie weiter.

2. Kalifornien: Bestimmungen für Service Provider

2.1 Rolle. Der Kunde ist ein business und Grondia ein service provider im Sinne von Cal. Civ. Code 1798.140(ag). Der Kunde legt Grondia Kunden-Personeninformationen nur für die begrenzten und bestimmten Geschäftszwecke gemäss Ziffer 2.2 offen.

2.2 Geschäftszwecke. Grondia bearbeitet Kunden-Personeninformationen nur für die folgenden Geschäftszwecke: Erbringung der im Vertrag und in Anhang 1 beschriebenen Leistungen (einschliesslich Hosting, Speicherung, Verwaltung von Buchungen und Zahlungen, Kommunikation mit Gästen im Namen des Kunden, Gästemeldung und Behördenmeldungen sowie vom Kunden aktivierte KI-Funktionen); Erhaltung und Verbesserung der Qualität und Sicherheit der Leistungen, einschliesslich der Erkennung von Sicherheitsvorfällen und des Schutzes vor bösartigen, täuschenden, betrügerischen oder rechtswidrigen Handlungen; Fehlerbehebung zur Erkennung und Behebung von Fehlern; sowie Erstellung deidentifizierter oder aggregierter Daten. Für die Statistikzwecke gemäss Ziffer 14 des AVV (nur bei Opt-in des Kunden) verwendet Grondia Kunden-Personeninformationen nur intern, um auf Weisung des Kunden deidentifizierte oder aggregierte Verbraucherinformationen zu berechnen, und nicht, um Leistungen für eine andere Person zu erbringen; campingplatzübergreifende Benchmarks verwenden nur deidentifizierte oder aggregierte Verbraucherinformationen, und Grondia verbindet Kunden-Personeninformationen dafür nicht mit personenbezogenen Informationen anderer Kunden.

2.3 Beschränkungen. Grondia:

(a) verkauft (sell) oder teilt (share) keine Kunden-Personeninformationen;

(b) bewahrt Kunden-Personeninformationen nicht für andere Zwecke als die in Ziffer 2.2 genannten Geschäftszwecke auf, verwendet oder offenbart sie nicht für solche Zwecke, einschliesslich für andere kommerzielle Zwecke als diese Geschäftszwecke, sofern der CCPA und die CCPA-Verordnung dies nicht ausdrücklich erlauben;

(c) bewahrt Kunden-Personeninformationen nicht ausserhalb der direkten Geschäftsbeziehung zwischen Grondia und dem Kunden auf, verwendet oder offenbart sie nicht ausserhalb dieser Beziehung;

(d) verknüpft Kunden-Personeninformationen nicht mit personenbezogenen Informationen, die Grondia von oder im Auftrag einer anderen Person erhält oder aus eigener Interaktion mit der Verbraucherin oder dem Verbraucher erhebt, ausser soweit der CCPA und die CCPA-Verordnung dies erlauben;

(e) verwendet Kunden-Personeninformationen nicht für kontextübergreifende verhaltensbasierte Werbung.

2.4 Einhaltung und Schutzniveau. Grondia erfüllt die Pflichten, die nach dem CCPA und der CCPA-Verordnung für sie als service provider gelten, und gewährleistet dasselbe Datenschutzniveau, das der CCPA von businesses verlangt, unter anderem indem sie mit dem Kunden bei der Beantwortung und Erfüllung von Anfragen von Verbraucherinnen und Verbrauchern nach dem CCPA zusammenarbeitet (Ziffer 10 des AVV), angemessene, der Art der personenbezogenen Informationen entsprechende Sicherheitsverfahren und -praktiken umsetzt (Anhang 2), um diese vor unbefugtem oder rechtswidrigem Zugriff, Vernichtung, Verwendung, Änderung oder Offenlegung zu schützen, und dem Kunden die Informationen und Unterstützung gibt, die er für ein Cybersicherheitsaudit, eine Risikobeurteilung oder eine Anforderung an Technologien für automatisierte Entscheidungen nach der CCPA-Verordnung vernünftigerweise benötigt.

2.5 Rechte des Kunden zur Sicherstellung der Einhaltung. Der Kunde kann angemessene und geeignete Schritte unternehmen, um sicherzustellen, dass Grondia Kunden-Personeninformationen in einer Weise verwendet, die mit den Pflichten des Kunden nach dem CCPA vereinbar ist, unter anderem über die Informations- und Auditrechte gemäss Ziffer 13 des AVV und über einen Fragebogen, eine Überprüfung oder eine Beurteilung mindestens einmal alle 12 Monate.

2.6 Mitteilung bei Unvermögen. Grondia teilt dem Kunden spätestens 5 Geschäftstage, nachdem sie festgestellt hat, dass sie ihre Pflichten nach dem CCPA oder der CCPA-Verordnung nicht mehr erfüllen kann, dies mit.

2.7 Abhilfe. Nach einer Mitteilung, einschliesslich einer Mitteilung gemäss Ziffer 2.6, kann der Kunde angemessene und geeignete Schritte unternehmen, um eine unbefugte Verwendung von Kunden-Personeninformationen zu unterbinden und zu beheben, unter anderem indem er Grondia anweist, die betreffende Bearbeitung auszusetzen (Ziffer 18.3 des AVV).

2.8 Anfragen von Verbraucherinnen und Verbrauchern. Der Kunde informiert Grondia über jede Anfrage nach dem CCPA, die Grondia erfüllen muss, und stellt die Informationen zur Verfügung, die Grondia dafür benötigt. Grondia erfüllt solche Anfragen im Rahmen der Funktionen der Leistungen und gemäss Ziffer 10 des AVV.

2.9 Unterauftragnehmer. Grondia teilt dem Kunden jeden Unterauftragsverarbeiter mit, der Kunden-Personeninformationen bearbeitet (Anhang 3 und Ziffer 8 des AVV), und verpflichtet jeden von ihnen durch einen schriftlichen Vertrag zu denselben Beschränkungen wie in dieser Ziffer 2.

2.10 Deidentifizierte Daten. Erhält oder erstellt Grondia deidentifizierte Daten aus Kunden-Personeninformationen, (a) trifft Grondia angemessene Massnahmen, damit die Daten keiner Verbraucherin, keinem Verbraucher und keinem Haushalt zugeordnet werden können, (b) verpflichtet sich Grondia öffentlich, die Daten nur in deidentifizierter Form aufzubewahren und zu verwenden und nicht zu versuchen, sie zu re-identifizieren, ausser zur Prüfung ihrer Deidentifizierungsverfahren, und (c) verpflichtet Grondia jeden Empfänger vertraglich zur Einhaltung dieser Anforderungen.

2.11 Bestätigung. Grondia bestätigt, dass sie die Beschränkungen dieser Ziffer 2 versteht und einhalten wird.

3. Übrige US-Bundesstaaten: Bestimmungen für Auftragsverarbeiter

3.1 Rolle. Nach den US-Datenschutzgesetzen anderer Bundesstaaten als Kalifornien (beispielsweise Virginia, Colorado, Connecticut, Utah, Texas und Oregon) ist der Kunde controller und Grondia processor.

3.2 Pflichten als processor. Grondia:

(a) bearbeitet Kunden-Personeninformationen nur auf dokumentierte Weisung des Kunden (Ziffer 4 des AVV), welche Art und Zweck der Bearbeitung, die Art der Daten und die Dauer der Bearbeitung festlegt (Anhang 1);

(b) stellt sicher, dass jede Person, die Kunden-Personeninformationen bearbeitet, einer Vertraulichkeitspflicht unterliegt (Ziffer 6 des AVV);

(c) zieht Unterauftragnehmer nur mittels eines schriftlichen Vertrags bei, der sie zur Erfüllung der Pflichten von Grondia in Bezug auf die personenbezogenen Daten verpflichtet, nachdem sie dem Kunden Gelegenheit zum Widerspruch gegeben hat (Ziffer 8 des AVV);

(d) löscht oder retourniert auf Anweisung des Kunden am Ende der Leistungserbringung alle Kunden-Personeninformationen, sofern nicht eine Aufbewahrung gesetzlich vorgeschrieben ist (Ziffer 15 des AVV);

(e) stellt dem Kunden alle in ihrem Besitz befindlichen Informationen zur Verfügung, die zum Nachweis der Einhaltung des anwendbaren US-Datenschutzgesetzes erforderlich sind, und ermöglicht und unterstützt angemessene Prüfungen durch den Kunden oder einen von ihm bestimmten Prüfer, oder lässt alternativ ihre Richtlinien sowie technischen und organisatorischen Massnahmen durch einen qualifizierten und unabhängigen Prüfer prüfen und stellt auf Anfrage einen Bericht über diese Prüfung zur Verfügung (Ziffer 13 des AVV);

(f) unterstützt den Kunden unter Berücksichtigung der Art der Bearbeitung und der ihr verfügbaren Informationen bei der Beantwortung von Anfragen von Verbraucherinnen und Verbrauchern, bei der Erfüllung seiner Pflichten betreffend die Sicherheit der Bearbeitung und die Meldung einer Verletzung der Systemsicherheit sowie bei der Durchführung von Datenschutz-Folgenabschätzungen (Ziffern 10 bis 12 des AVV).

3.3 Sensible Daten. Der Kunde holt jede nach einem US-Datenschutzgesetz erforderliche Einwilligung ein, bevor er sensible Daten (beispielsweise genaue Standortdaten oder behördliche Identifikationsnummern, wenn ein Gesetz eines Bundesstaats sie als sensibel einstuft) über die Leistungen bearbeitet.

4. Kein Verkauf und kein Teilen durch den Kunden über die Leistungen

Die Leistungen fügen Gehosteten Websites und Buchungsseiten keine Werbe-Cookies, Pixel oder andere Technologien für kontextübergreifende verhaltensbasierte Werbung hinzu (Anhang 1, Modul 5). Fügt der Kunde solche Technologien über seine eigene Konfiguration hinzu, ist er für alle Hinweise, Widerspruchsmöglichkeiten (Opt-out) und Verträge verantwortlich, welche die US-Datenschutzgesetze verlangen.