Auftragsverarbeitungsvertrag (AVV)

Fassung 2026-11 · nach Art. 28 Abs. 3 DSGVO

Zwischen dem Kunden als Verantwortlichem und Torben Zimmermann, handelnd unter „Lyxo.io“, Thomas-Mann-Str. 50, 53111 Bonn, als Auftragsverarbeiter („Lyxo“). Begriffe wie „Kunde“ und „Produkt“ haben die Bedeutung aus den Rahmen-AGB für Lyxo-Produkte.

§ 1 Gegenstand und Dauer

(1) Lyxo verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies für den Betrieb der vom Kunden genutzten Produkte nötig ist. Gegenstand, Art und Zweck ergeben sich aus dem Hauptvertrag (Angebot, Produktanhang, Rahmen-AGB) und aus Anlage 1.

(2) Dieser AVV gilt für die Dauer des Hauptvertrags und darüber hinaus, solange Lyxo noch personenbezogene Daten des Kunden verarbeitet.

§ 2 Art und Zweck der Verarbeitung, Art der Daten, Betroffene

(1) Die Verarbeitung umfasst Erheben, Speichern, Ordnen, Anzeigen, Übermitteln an vom Kunden angebundene Dienste, Abgleichen, Auswerten im Rahmen der Funktionen, Löschen und Anonymisieren.

(2) Zweck ist die Bereitstellung des Produkts an den Kunden zur Organisation seines Geschäftsbetriebs (bei Lyxo Host: Vermietung und Bewirtschaftung von Ferienwohnungen).

(3) Art der Daten und Kategorien der Betroffenen sind in Anlage 1 je Produkt beschrieben.

§ 3 Weisungen

(1) Lyxo verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in ein Drittland, es sei denn, Lyxo ist nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet. In diesem Fall teilt Lyxo dem Kunden diese Pflicht vorab mit, soweit das Recht dies nicht verbietet.

(2) Dokumentierte Weisungen sind:

• der Hauptvertrag und dieser AVV,
• die Einstellungen und Aktionen, die der Kunde oder seine Nutzer im Produkt vornehmen (z. B. Löschfristen, Löschen auf Anfrage, angebundene Dienste),
• Einzelweisungen in Textform.

(3) Hält Lyxo eine Weisung für rechtswidrig, weist Lyxo den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 4 Vertraulichkeit

Lyxo setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Sicherheit der Verarbeitung

(1) Lyxo trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind.

(2) Lyxo darf die Maßnahmen an den Stand der Technik anpassen, wenn das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert Lyxo.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde erteilt Lyxo die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter nennt Anlage 3. Sie gelten als genehmigt.

(2) Lyxo informiert den Kunden mindestens vier Wochen vorher im Kundenportal und per E-Mail, wenn Lyxo einen Unterauftragsverarbeiter hinzuziehen oder ersetzen will. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

(3) Lyxo verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses AVV entsprechen.

(4) Dienste, die der Kunde selbst beauftragt und an das Produkt anbindet (Anlage 4), sind keine Unterauftragsverarbeiter von Lyxo. Mit ihnen schließt der Kunde selbst die nötigen Verträge. Lyxo übermittelt Daten an sie nur im Auftrag des Kunden.

§ 7 Übermittlung in Drittländer

(1) Lyxo verarbeitet die Daten des Produkts in der Europäischen Union. Die Datenbank liegt in Irland, die Server-Funktionen laufen in Dublin.

(2) Einige Unterauftragsverarbeiter haben ihren Sitz in den USA. Eine Übermittlung dorthin erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Grundlage ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, im Übrigen die Standardvertragsklauseln der EU-Kommission. Die Grundlage je Unterauftragsverarbeiter nennt Anlage 3.

§ 8 Unterstützung des Kunden

(1) Lyxo unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen nach Art. 12 bis 23 DSGVO zu beantworten. Das Produkt bietet dafür Funktionen (z. B. Löschen auf Anfrage, Export). Erreicht eine solche Anfrage Lyxo, leitet Lyxo sie unverzüglich an den Kunden weiter und beantwortet sie nicht selbst.

(2) Lyxo unterstützt den Kunden unter Berücksichtigung der verfügbaren Informationen bei seinen Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenpannen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(3) Unterstützung, die über die Funktionen des Produkts und über gelegentliche Auskünfte hinausgeht, kann Lyxo nach Aufwand zum vereinbarten Stundensatz berechnen, außer sie ist durch einen Verstoß von Lyxo veranlasst.

§ 9 Verletzungen des Schutzes personenbezogener Daten

(1) Lyxo meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie Lyxo bekannt wird, möglichst innerhalb von 48 Stunden. Die Meldung geht per E-Mail an die im Kundenkonto hinterlegte Adresse.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Fehlende Angaben reicht Lyxo nach, sobald sie vorliegen.

(3) Lyxo ergreift unverzüglich Maßnahmen, um die Verletzung zu beheben und nachteilige Folgen zu mindern. Lyxo stimmt sie, soweit möglich, mit dem Kunden ab.

§ 10 Löschung und Rückgabe

(1) Während der Laufzeit löscht Lyxo Daten nach den Einstellungen und Aktionen des Kunden im Produkt und nach den gesetzlichen Pflichten, die das Produkt automatisch umsetzt.

(2) Nach Ende der Leistungen gibt Lyxo die Daten auf Wahl des Kunden heraus und löscht sie, wie in § 15 der Rahmen-AGB geregelt:

• Export auf Anforderung bis 30 Tage nach Vertragsende,
• Löschung spätestens 60 Tage nach Vertragsende,
• Überschreiben der Datensicherungen spätestens 30 Tage danach.

Eine Pflicht zur weiteren Speicherung nach Unionsrecht oder dem Recht eines Mitgliedstaats bleibt unberührt.

§ 11 Nachweise und Kontrollen

(1) Lyxo stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV nötig sind, insbesondere eine aktuelle Beschreibung der Maßnahmen nach Anlage 2.

(2) Der Kunde darf die Einhaltung selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren, in der Regel einmal im Jahr. Kontrollen meldet der Kunde mindestens vier Wochen vorher an. Sie finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Vorrangig genügen schriftliche Auskünfte und geeignete Nachweise. Ist ein Anlass gegeben, etwa eine Datenpanne, ist eine Kontrolle auch kurzfristig möglich.

(3) Den Aufwand einer Kontrolle vor Ort trägt der Kunde, außer die Kontrolle deckt einen Verstoß von Lyxo auf.

§ 12 Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der Betroffenen (Art. 13, 14 DSGVO) und die Festlegung der Speicherdauer.

(2) Der Kunde informiert Lyxo unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 13 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gilt die Haftungsregelung der Rahmen-AGB (§ 13).

(2) Bei Widersprüchen zwischen diesem AVV und anderen Teilen des Vertrags geht dieser AVV in Fragen des Datenschutzes vor.

(3) Änderungen dieses AVV erfolgen nach § 16 der Rahmen-AGB, Änderungen der Unterauftragsverarbeiter nach § 6 dieses AVV.

Anlage 1: Daten und Betroffene je Produkt

Lyxo Host

Betroffene:

• Gäste und Mitreisende,
• Buchungsanfragende,
• Kontakte des Kunden (z. B. Eigentümer, Dienstleister, Handwerker, Lieferanten),
• Mitarbeiter und Beauftragte des Kunden (z. B. Reinigungskräfte),
• Anrufer und Absender von Nachrichten.

Daten:

• Stammdaten: Name, Anschrift, Geburtsdatum, Staatsangehörigkeit.
• Kontaktdaten: E-Mail, Telefon, Kennungen in Buchungsportalen.
• Buchungsdaten: Zeitraum, Wohnung, Personenzahl, Preise, Zahlungsstatus und Zahlungsreferenzen, aber keine vollständigen Kartendaten.
• Meldedaten nach § 30 Abs. 2 BMG einschließlich Art und Seriennummer des Identitätsdokuments.
• Unterschrift beherbergter ausländischer Personen als Bild (Online-Check-in).
• Foto des Identitätsdokuments, nur für den Abgleich der Meldedaten; gelöscht mit dem Vermerk des Kunden, spätestens sieben Tage nach dem Hochladen.
• Kurabgabe-Angaben.
• Nachrichten, E-Mails, Anrufdaten, Gesprächsaufnahmen und Transkripte (sofern der Kunde die Funktion nutzt).
• Inhalte der Gästemappe und des Reisetagebuchs.
• Türcodes und Schließereignisse.
• Rechnungsangaben und Belege.
• Aufgaben, Fotos und Notizen, z. B. aus Reinigung und Schadensmeldungen.
• Nutzerkonten der Mitarbeiter: Name, E-Mail, Rolle, Geräte-Token für Push-Nachrichten.

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Gibt ein Gast sie freiwillig in einer Nachricht an, verarbeitet Lyxo sie nur als Teil dieser Nachricht.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Betrieb ausschließlich bei professionellen Rechenzentrumsbetreibern (Anlage 3) mit deren physischen Zutrittskontrollen. Lyxo betreibt keine eigenen Server.
• Zugang zum Produkt nur mit persönlichem Konto. Rollen (z. B. Admin, Mitarbeiter, Reinigung) begrenzen, welche Daten und Funktionen ein Nutzer sieht.
• Mandantentrennung: Jede Abfrage ist auf den Mandanten des angemeldeten Nutzers beschränkt. Datenbankregeln (Row Level Security) und automatische Tests im Quellcode sichern das ab.
• Zugangsdaten angebundener Dienste liegen je Kunde verschlüsselt im Schlüsseltresor der Datenbank (Supabase Vault), nie im Quellcode.
• Dateien (z. B. Fotos, Belege) liegen in nicht öffentlichen Speicherbereichen und sind nur über zeitlich begrenzte, signierte Links abrufbar.
• Verschlüsselung aller Verbindungen (TLS) und der gespeicherten Daten durch die Betreiber (Encryption at rest).
• Administrativer Zugriff auf Produktionsdaten nur durch Torben Zimmermann, mit persönlichen Konten.

Integrität

• Änderungen am Datenbankschema nur über versionierte, geprüfte Migrationen.
• Automatische Prüfungen (Typprüfung, Tests, Sicherheitswächter) vor jeder Auslieferung.
• Protokollierung eingehender Webhooks und automatischer Läufe.

Verfügbarkeit und Belastbarkeit

• Betrieb auf redundanter Cloud-Infrastruktur.
• Tägliche Sicherung der Datenbank durch den Datenbankbetreiber, Aufbewahrung sieben Tage.
• Überwachung aller automatischen Läufe mit Alarm bei Ausfall (Dead-man's-switch, externer Heartbeat).

Verfahren zur regelmäßigen Überprüfung

• Datenschutz- und Sicherheitsprüfungen der Datenbank (Advisors) nach jeder Schemaänderung.
• Löschkonzept mit dokumentierten Fristen je Datenart.
• Überprüfung dieser Maßnahmen mindestens einmal jährlich.

Anlage 3: Unterauftragsverarbeiter

Unterauftragsverarbeiter

Supabase Inc., USA

Leistung

Datenbank, Dateispeicher, Anmeldung, Zeitsteuerung

Ort der Verarbeitung

EU (Irland, AWS eu-west-1)

Grundlage Drittland

Standardvertragsklauseln (DPA des Anbieters) für Zugriffe aus den USA

Unterauftragsverarbeiter

Vercel Inc., USA

Leistung

Hosting der Anwendungen und Server-Funktionen

Ort der Verarbeitung

Server-Funktionen in Dublin (Irland), Auslieferung über weltweites CDN

Grundlage Drittland

EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln

Unterauftragsverarbeiter

GitHub Inc. (Microsoft), USA

Leistung

Automatische Abgleiche mit Buchungs- und Meldeportalen (GitHub Actions)

Ort der Verarbeitung

USA

Grundlage Drittland

EU-US Data Privacy Framework

Unterauftragsverarbeiter

Google Ireland Ltd. / Google LLC

Leistung

Zustellung von Push-Nachrichten an die Android-App (Firebase Cloud Messaging)

Ort der Verarbeitung

EU und USA

Grundlage Drittland

EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln

Anlage 4: Dienste des Kunden (keine Unterauftragsverarbeiter)

Dienste, die der Kunde selbst beauftragt und deren Zugangsdaten er im Produkt hinterlegt, z. B.:

• Smoobu,
• Airbnb und Booking.com,
• Mollie,
• Nuki und TTLock,
• Twilio,
• E-Mail-Postfach und E-Mail-Versand,
• OpenAI und Anthropic,
• BuchhaltungsButler und lexoffice,
• Qonto,
• Melde- und Kurabgabeportale der Gemeinde.

Für diese Dienste schließt der Kunde die nötigen Verträge (z. B. Auftragsverarbeitungsverträge) selbst. Lyxo übermittelt Daten an sie ausschließlich auf seine Weisung (§ 6 Abs. 4).