DPA

1. Gegenstand und Parteien

Der vorliegende Vertrag über die Auftragsbearbeitung (nachfolgend «DPA») ist ein allgemeines Dokument, das für sämtliche Kunden der Arhon Concept AG gilt, welche die Software Arhon® abonniert haben. Er wird abgeschlossen zwischen:

Der vorliegende DPA ist dem Hauptvertrag über die Software Arhon® beigefügt und bildet zusammen mit den Allgemeinen Verkaufs- und Nutzungsbedingungen («AGB») und dem SLA einen integrierenden Bestandteil davon. Bei Widersprüchen geht dieser DPA in allen Fragen der Bearbeitung von Personendaten vor.

2. Begriffe

3. Art, Zwecke und Dauer der Bearbeitung

3.1 Art der Bearbeitung

Im Rahmen der Bereitstellung der Software Arhon® führt die Arhon Concept AG im Auftrag des Kunden folgende Bearbeitungen durch:

• Hosting und Speicherung der Daten auf der von 2le betriebenen Infrastruktur
• Zugriff auf die Daten zum Zweck des technischen Supports und der Wartung
• Sicherung und Wiederherstellung der Daten
• Bereitstellung der Anwendungsfunktionen (PMS, Fakturierung, Reporting usw.)
• Übermittlung der Daten zwischen den Modulen der Software und den zugelassenen Partnerdiensten

3.2 Zwecke der Bearbeitung

3.3 Kategorien bearbeiteter Daten

Zahlungskartendaten werden in der Software Arhon® weder erfasst noch gespeichert. Sie werden von PCI Proxy erhoben und gespeichert, einer Tokenisierungslösung der Datatrans AG (Kreuzbühlstrasse 26, 8008 Zürich, Schweiz — Planet-Gruppe), in Verbindung mit dem Zahlungsdienstleister, mit dem der Kunde direkt einen Vertrag abschliesst (Worldline/Saferpay, Nexi/Datatrans oder Computop). Die Software Arhon® bearbeitet ausschliesslich Aliase (Token) und Transaktionsreferenzen.

3.4 Dauer der Bearbeitung

Die Arhon Concept AG bearbeitet die Daten für die Dauer des Hauptvertrags.

Das Herunterladen und die Sicherung seiner Daten obliegen dem Kunden. Während der gesamten Vertragsdauer und anschliessend während des Lesezugriffs, der nach Vertragsende 30 Tage lang aufrechterhalten wird, lädt er sie selbst und kostenlos aus der Software in den Formaten CSV, Excel und PDF herunter.

Nach Ablauf oder Kündigung des Vertrags kann der Kunde zudem innert drei Monaten schriftlich einen vollständigen, von Arhon erstellten Export seiner Daten verlangen; dieser wird innert 30 Tagen nach dem Begehren in den Formaten CSV oder XML übergeben. Jede Datenextraktion, die Arhon auf Verlangen des Kunden durchführt, ist eine kostenpflichtige Leistung und wird zum jeweils geltenden Tarif in Rechnung gestellt, auch wenn sie aufgrund der anwendbaren Vorschriften oder im Rahmen einer Kontrolle oder eines Ersuchens der Steuerverwaltung, einer anderen Behörde oder eines Gerichtsverfahrens erforderlich ist.

Nach Ablauf dieser Frist von drei Monaten löscht Arhon die Daten auf sichere Weise, vorbehältlich der vom anwendbaren Recht vorgeschriebenen Aufbewahrungsfristen. Sicherungskopien werden am Ende ihres Rotationszyklus bereinigt, spätestens 90 Tage nach diesem Zeitpunkt.

Massgebend sind die in Artikel 15 der Allgemeinen Verkaufs- und Nutzungsbedingungen festgelegten Aufbewahrungsfristen sowie, für die Gästemelde- und Check-in-Daten einschliesslich allfällig erfasster Ausweisdokumente, die Fristen gemäss den für den Betrieb des Kunden geltenden Vorschriften: auf Bundes-, Kantons- oder Gemeindeebene in der Schweiz, auf nationaler oder lokaler Ebene in Frankreich und Italien, wie im Länderanhang der Allgemeinen Bedingungen präzisiert. Dieser DPA legt keine eigenen Fristen fest.

Die Einhaltung dieser Fristen, ihre Einstellung in der Software und die entsprechende Löschung liegen in der Verantwortung des Kunden als Verantwortlicher.

4. Pflichten der Arhon Concept AG

4.1 Dokumentierte Weisungen

Die Arhon Concept AG bearbeitet Personendaten ausschliesslich auf dokumentierte Weisung des Kunden, wie sie im Hauptvertrag, in der Konfiguration der Software und im vorliegenden DPA zum Ausdruck kommt. Ist Arhon aufgrund einer gesetzlichen Pflicht zu einer Bearbeitung verpflichtet, teilt sie dies dem Kunden vorgängig mit, sofern das Gesetz dies nicht untersagt.

Erscheint der Arhon Concept AG eine Weisung des Kunden als mit dem anwendbaren Datenschutzrecht unvereinbar, informiert Arhon den Kunden unverzüglich und kann die Ausführung dieser Weisung bis zu deren schriftlicher Bestätigung oder Änderung aussetzen.

4.2 Vertraulichkeit

Die Arhon Concept AG stellt sicher, dass sich die zur Bearbeitung der Daten befugten Personen zur Vertraulichkeit verpflichten. Der Zugriff ist strikt auf die Mitarbeitenden beschränkt, die ihn im Rahmen ihrer Aufgaben benötigen.

4.3 Datensicherheit

Gemäss Art. 32 DSGVO und Art. 8 nDSG trifft die Arhon Concept AG die folgenden technischen und organisatorischen Massnahmen, die dem Stand der Technik zum Zeitpunkt der vorliegenden Fassung entsprechen:

4.4 Unterauftragsbearbeitung

Der Kunde ermächtigt die Arhon Concept AG, folgenden Unterauftragsbearbeiter beizuziehen:

Partner, mit denen der Kunde direkt Verträge abschliesst, namentlich Online-Buchungsplattformen und Zahlungsdienstleister, handeln auf eigene Rechnung oder im Auftrag des Kunden. Sie sind keine Unterauftragsbearbeiter der Arhon Concept AG.

Die Arhon Concept AG verpflichtet sich, jedem Unterauftragsbearbeiter gleichwertige Datenschutzpflichten aufzuerlegen, und bleibt gegenüber dem Kunden in den Grenzen von Artikel 13 der AGB voll verantwortlich.

Beim Beizug oder Ersatz eines Unterauftragsbearbeiters informiert Arhon den Kunden mindestens 30 Tage im Voraus. Der Kunde kann innert dieser Frist aus einem angemessenen und dokumentierten Grund des Datenschutzes schriftlich Einspruch erheben. Die Parteien suchen dann innert angemessener Frist nach einer Lösung; kommt keine Einigung zustande, kann der Kunde den Hauptvertrag auf das vorgesehene Datum der Änderung kündigen, ohne Entschädigung für beide Seiten und ohne Rückerstattung bereits fälliger Gebühren. Erfolgt innert der Frist kein Einspruch, gilt die Änderung als angenommen.

4.5 Unterstützung des Kunden

Die Arhon Concept AG unterstützt den Kunden bei:

• der Beantwortung von Begehren betroffener Personen zur Ausübung ihrer Rechte
• der fristgerechten Meldung von Verletzungen der Datensicherheit an die Aufsichtsbehörde
• der Durchführung von Datenschutz-Folgenabschätzungen (DSFA), falls erforderlich
• der Bereitstellung der Informationen, die zum Nachweis der Einhaltung der DSGVO-Pflichten erforderlich sind

Unterstützungsanfragen sind an support@arhon.ch zu richten. Arhon beantwortet und übernimmt sie innert 2 bis 3 Arbeitstagen ab dem Datum der Anfrage; die vollständige Erledigung erfolgt bei Begehren betroffener Personen innert der in Artikel 7 vorgesehenen Fristen und bei anderen Anfragen innert einer angemessenen Frist, die dem Kunden bei der Übernahme mitgeteilt wird.

4.6 Meldung von Verletzungen der Datensicherheit

Bei einer Verletzung der Datensicherheit informiert die Arhon Concept AG den Kunden ohne unangemessene Verzögerung, nachdem sie davon Kenntnis erlangt hat, in jedem Fall so rechtzeitig, dass der Kunde seine eigenen Meldepflichten erfüllen kann, spätestens jedoch innert 48 Stunden. Die Information enthält die Art der Verletzung, die Kategorien und die ungefähre Anzahl der betroffenen Daten und Personen, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Massnahmen. Können diese Angaben nicht sofort gemacht werden, werden sie schrittweise und ohne weitere Verzögerung nachgereicht.

5. Pflichten des Kunden

Als Verantwortlicher verpflichtet sich der Kunde:

• der Arhon Concept AG rechtmässige und dokumentierte Weisungen zu erteilen
• die Rechtmässigkeit der Beschaffung der über Arhon® bearbeiteten Daten sicherzustellen
• die betroffenen Personen gemäss Art. 13 und 14 DSGVO zu informieren
• die Begehren betroffener Personen zur Ausübung ihrer Rechte zu behandeln
• Arhon unverzüglich über jede Änderung seiner Weisungen betreffend die Bearbeitung zu informieren
• Arhon® ohne vorgängige schriftliche Zustimmung der Arhon Concept AG nicht zur Bearbeitung besonderer Kategorien von Daten oder besonders schützenswerter Personendaten zu verwenden

5.1 Informationspflicht — Art. 13 Abs. 2 lit. c DSGVO

Gemäss Art. 13 Abs. 2 lit. c DSGVO ist der Kunde als Verantwortlicher verpflichtet, seine Kundschaft (die betroffenen Personen) zum Zeitpunkt der Erhebung ihrer Personendaten über das Bestehen ihrer Rechte an diesen Daten zu informieren.

Diese Information muss ausdrücklich folgende Rechte nennen:

• Auskunftsrecht betreffend die Personendaten (Art. 15 DSGVO)
• Recht auf Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Recht auf Löschung («Recht auf Vergessenwerden») (Art. 17 DSGVO)
• Recht auf Einschränkung der Bearbeitung (Art. 18 DSGVO)
• Widerspruchsrecht gegen die Bearbeitung (Art. 21 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Diese Pflicht obliegt ausschliesslich dem Kunden. Sie ist durch eine für die betroffenen Personen zugängliche Datenschutzerklärung zu erfüllen, typischerweise:

• auf der Website des Betriebs (Seite «Datenschutzerklärung» oder «Datenschutz»)
• in den Online-Reservationsformularen
• am Empfang des Betriebs (Aushang oder beim Check-in ausgehändigtes Dokument)

6. Internationale Datenübermittlungen

Die Daten werden in Frankreich von 2le auf der Infrastruktur von OVH gehostet. Eine Übermittlung in ein Drittland ausserhalb der Europäischen Union oder der Schweiz erfolgt nicht ohne geeignete Garantien.

Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Übermittlungen zwischen der Schweiz und der Europäischen Union erfolgen daher ohne zusätzlichen Mechanismus.

7. Rechte der betroffenen Personen

Die Arhon Concept AG beantwortet jede Unterstützungsanfrage des Kunden innert 2 bis 3 Arbeitstagen ab dem Datum der Anfrage (Artikel 4.5). Die nachstehenden Fristen sind die Fristen für die vollständige Erledigung des Begehrens.

8. Audit und Nachweis der Konformität

• Die Arhon Concept AG führt ein Verzeichnis der im Auftrag des Kunden durchgeführten Bearbeitungstätigkeiten
• Der Kunde kann mit einer Vorankündigung von 30 Tagen ein Konformitätsaudit durch einen unabhängigen Prüfer verlangen
• Die jährlichen Auditberichte zur Infrastruktur von 2le werden dem Kunden auf Anfrage übermittelt
• Arhon verpflichtet sich, jede bei einem Audit festgestellte Korrekturmassnahme innert angemessener Frist umzusetzen

Die Kontrolle erfolgt zunächst anhand von Unterlagen, mittels Fragebogen oder durch Übergabe der Bescheinigungen und Berichte, über die Arhon verfügt. Ein Vor-Ort-Audit findet nur statt, wenn sich diese Unterlagen als unzureichend erweisen, und zwar während der Geschäftszeiten, ohne Beeinträchtigung des Betriebs und unter Wahrung der Vertraulichkeit gegenüber den anderen Kunden.

Die Kosten eines vom Kunden verlangten Audits trägt der Kunde, es sei denn, das Audit deckt eine erwiesene Pflichtverletzung der Arhon Concept AG auf.

9. Dauer und Beendigung des DPA

Der vorliegende DPA tritt mit dem Datum der Annahme des Hauptvertrags, der Offerte oder des Bestellscheins, in welche die AGB einbezogen sind, in Kraft und bleibt während der gesamten Dauer der Vertragsbeziehung anwendbar sowie, ausschliesslich für die Pflichten, die sein Ende überdauern müssen, bis zur Rückgabe oder Löschung der Daten gemäss dem vorliegenden DPA und Artikel 15 der AGB.

Bei Beendigung des DPA verpflichtet sich die Arhon Concept AG, die Rückgabe der Daten an den Kunden zu den in Artikel 3.4 des vorliegenden DPA und in Artikel 15 der Allgemeinen Verkaufs- und Nutzungsbedingungen festgelegten Bedingungen und Fristen zu ermöglichen, anschliessend sämtliche Personendaten sicher zu löschen und auf Anfrage eine schriftliche Löschbestätigung auszustellen.

10. Allgemeine Bestimmungen

• Anwendbares Recht: Der vorliegende DPA untersteht schweizerischem Recht. Die DSGVO gilt für Bearbeitungen, die in ihren sachlichen und räumlichen Anwendungsbereich fallen, namentlich gemäss ihren Artikeln 2 und 3, unabhängig von der Staatsangehörigkeit der betroffenen Personen
• Gerichtsstand: zuständige Gerichte in Luzern (Kanton Luzern, Schweiz) gemäss Artikel 20 der AGB, vorbehältlich zwingender Gerichtsstände
• Der vorliegende DPA geht jeder widersprechenden Bestimmung des Hauptvertrags betreffend die Datenbearbeitung vor
• Rangfolge der Dokumente: Die Allgemeinen Verkaufs- und Nutzungsbedingungen bilden die Grundlage; der vorliegende DPA geht ihnen für die Bearbeitung von Personendaten vor; der Vertrag über den Servicelevel (SLA) geht für die Verfügbarkeit und die Servicelevels vor; der Anhang für das Land der Niederlassung des Kunden geht ausschliesslich für die darin geregelten Bestimmungen vor
• Ist eine Bestimmung nichtig, bleiben die übrigen Bestimmungen gültig
• Jede Änderung des vorliegenden DPA folgt dem in der Präambel der AGB vorgesehenen Verfahren. Sie wird dem Kunden mindestens 30 Tage vor ihrem Inkrafttreten schriftlich, per E-Mail oder in der Software mitgeteilt. Anpassungen, die zur Einhaltung eines Gesetzes, einer Vorschrift, eines behördlichen Entscheids oder einer dokumentierten Sicherheits- oder Zertifizierungsanforderung zwingend erforderlich sind, können sofort in Kraft treten. Gegen jede andere wesentliche, für den Kunden nachteilige Änderung kann dieser unter den in der Präambel der AGB vorgesehenen Bedingungen Einspruch erheben.
• Sprachen: verfügbar auf Französisch, Deutsch und Englisch — massgebend ist die französische Fassung

11. Kontakt — Datenschutz

Für alle Fragen zum vorliegenden DPA oder zur Bearbeitung von Personendaten:

Arhon Concept AG
Kriens, Kanton Luzern, Schweiz
E-Mail: support@arhon.ch
Telefon: +41 61 222 21 59

12. Annahme und Verbindlichkeit

Der vorliegende DPA ist ein öffentliches Dokument, das für sämtliche Kunden der Arhon Concept AG gilt. Er ist ab der Unterzeichnung oder Annahme des Hauptvertrags über die Lizenz der Software Arhon® verbindlich, ohne dass eine gesonderte Unterzeichnung erforderlich ist.

Der Kunde bestätigt, vom vorliegenden Vertrag über die Auftragsbearbeitung Kenntnis genommen zu haben, und nimmt dessen Bestimmungen mit dem Abonnement der Software Arhon® an. Jede Weiterentwicklung des DPA folgt dem in der Präambel der Allgemeinen Verkaufs- und Nutzungsbedingungen vorgesehenen Änderungsverfahren.