Vereinbarung über die Verarbeitung personenbezogener Daten (Anhang 1 der Gastgeberbedingungen)

Artikel 1 — Parteien, Gegenstand und Rahmen

1.1. Die vorliegende Vereinbarung (die „Vereinbarung“) wird geschlossen zwischen:

• [ZU ERGÄNZEN: Firma], [ZU ERGÄNZEN: Rechtsform] mit einem Stammkapital von [ZU ERGÄNZEN: Stammkapital], eingetragen im Handels- und Gesellschaftsregister unter der Nummer [ZU ERGÄNZEN: Handelsregisternummer], mit Sitz in [ZU ERGÄNZEN: Anschrift des Sitzes], nachstehend der „Auftragsverarbeiter“ oder „YStay“;
• und dem Gastgeber als Inhaber des YStay-Kontos, nachstehend der „Verantwortliche“.

1.2. Die Vereinbarung bildet den Anhang 1 der allgemeinen Nutzungsbedingungen des Dienstes YStay (die „Nutzungsbedingungen“) und ist deren integraler Bestandteil. Sie wird vom Kontoinhaber angenommen, der den Verantwortlichen bindet.

1.3. Gegenstand der Vereinbarung ist es, die Bedingungen festzulegen, unter denen YStay für Rechnung und auf Weisung des Verantwortlichen personenbezogene Daten verarbeitet, gemäß Artikel 28 Absatz 3 der Verordnung (EU) 2016/679 („DSGVO“).

1.4. Anwendungsbereich. Die Vereinbarung erfasst nur die Verarbeitungen, bei denen YStay als Auftragsverarbeiter handelt und die in Anhang A beschrieben sind: Aufenthaltsdaten der Gäste (Buchungen, Zugang, Check-in und Check-out, StayProof-Nachweise, Nachrichten), Bewerbungsunterlagen für die Langzeitvermietung sowie derjenige Teil der Audit-Protokolle, der für Rechnung des Verantwortlichen vorgenommene Vorgänge nachzeichnet. Die Verarbeitungen, bei denen YStay als Verantwortliche handelt — Konten der Gastgeber und ihrer Teammitglieder, Rechnungsstellung und Abonnement, Supportanfragen, Sicherheits-Audit-Protokolle, Konten der Gäste, Direktwerbung —, unterliegen ihrer Datenschutzerklärung und nicht der vorliegenden Vereinbarung.

1.5. Bei einem Widerspruch zwischen der Vereinbarung und den Nutzungsbedingungen über die Verarbeitung personenbezogener Daten geht die Vereinbarung vor.

Artikel 2 — Begriffsbestimmungen

Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“ haben die Bedeutung, die ihnen Artikel 4 DSGVO gibt. Die in Artikel 1.2 der Nutzungsbedingungen definierten Begriffe (Plattform, Gastgeber, Gast, Buchung, StayProof, Vertriebskanal, Aufenthaltsdaten, Teammitglied, Zahlungsdienstleister) behalten ihre Bedeutung in der vorliegenden Vereinbarung.

Artikel 3 — Laufzeit

3.1. Die Vereinbarung tritt mit dem Zeitpunkt der Annahme der Nutzungsbedingungen in Kraft und bleibt während der gesamten Dauer der Vertragsbeziehung in Kraft.

3.2. Sie überdauert die Beendigung der Nutzungsbedingungen hinsichtlich der Vertraulichkeitspflichten und der in Artikel 11 vorgesehenen Rückgabe- oder Löschvorgänge.

Artikel 4 — Art, Zwecke und Umfang der Verarbeitungen

4.1. Allgemeiner Zweck. YStay verarbeitet die Daten ausschließlich zu dem Zweck, dem Verantwortlichen den in Artikel 4 der Nutzungsbedingungen beschriebenen Dienst zu erbringen: Verwaltung der Inserate, der Buchungen, der Zugänge, der Aufenthalte, der Zustandsnachweise, der Vorfälle, der Nachrichten mit den Gästen, der Bewerbungsunterlagen und der sich daraus ergebenden Pflichten.

4.2. Art der Vorgänge. Erhebung, Erfassung, Organisation, Ordnung, Speicherung, Anpassung, Auslesen, Abfrage, Verwendung, Offenlegung durch Übermittlung, Abgleich, Einschränkung, Löschung oder Vernichtung sowie die in Artikel 4.4 beschriebene automatisierte Analyse.

4.3. Ausführliche Beschreibung je Verarbeitung: siehe Anhang A.

4.4. Durch künstliche Intelligenz unterstützte Verarbeitungen. Bestimmte Funktionen des Dienstes greifen auf ein Modell künstlicher Intelligenz zurück, das von einem Unterauftragsverarbeiter (Anhang B) bereitgestellt wird und in Anhang C Funktion für Funktion beschrieben ist: übermittelte Daten, Anbieter, Aufbewahrungsdauer beim Anbieter, Möglichkeit der Deaktivierung. Diese Verarbeitungen sind erklärbar, begrenzt, vom Verantwortlichen übersteuerbar und auditiert; sie führen zu keiner automatisierten Entscheidung im Sinne des Artikels 22 DSGVO, begründen keine Sanktion und treten an die Stelle keiner menschlichen Beurteilung. Der Verantwortliche bleibt alleiniger Entscheidungsträger, und jede Funktion wird auf seine Veranlassung oder auf die eines Teammitglieds ausgeführt; die Einstellungen, mit denen eine Funktion einzeln aus dem Konto heraus deaktiviert werden kann, werden zum Datum [À COMPLÉTER : date de mise à disposition des réglages de désactivation par fonction] bereitgestellt.

4.5. Verbot. YStay untersagt sich, die für Rechnung des Verantwortlichen verarbeiteten Daten für eigene Zwecke zu verwenden, insbesondere zu Zwecken der Direktwerbung, des Weiterverkaufs oder des Trainings von Modellen. YStay erhält von jedem Anbieter eines Modells künstlicher Intelligenz die vertragliche Zusage, seine Modelle nicht mit den übermittelten Daten zu trainieren.

4.6. Bewerbungsunterlagen: Schutzvorkehrungen. Für die Bewerbungsunterlagen zur Langzeitvermietung bestimmt allein der Verantwortliche die vom Bewerber verlangten Unterlagen aus der abschließenden Liste, die in Anwendung des Artikels 22-2 des Gesetzes Nr. 89-462 vom 6. Juli 1989 festgelegt ist, sowie die anwendbare Aufbewahrungsdauer in den Grenzen des Artikels 11.3. Die automatisierte Extraktion von Feldern ist ein technisches Mittel im Dienst der Prüfung durch den Verantwortlichen; sie erzeugt weder einen Score noch eine Rangfolge der Bewerber noch eine Auswahlempfehlung.

Artikel 5 — Kategorien betroffener Personen und von Daten

5.1. Betroffene Personen: Gäste und Bewohner eines Aufenthalts, auch solche, die kein Konto erstellt haben; von einem Gast benannte Ansprechpartner; Bewerber für eine Langzeitvermietung und gegebenenfalls ihre Bürgen; vom Verantwortlichen beauftragte Einsatzkräfte vor Ort.

5.2. Datenkategorien:

• Identität und Kontaktdaten: Name, Vorname, E-Mail-Adresse, Telefonnummer, Sprache, Rechnungsanschrift des Gastes, wie sie der Buchung zugeordnet ist.
• Aufenthaltsdaten: Termine, Anzahl der erwachsenen Personen, der Kinder und der Kleinkinder, Anreisehinweise, Betrag und Aufschlüsselung des Preises, Status, Herkunftskanal, öffentliches Buchungs-Token, Versicherungsnachweis und dessen Status, wenn der Verantwortliche ihn verlangt.
• Zahlungsdaten: Referenzen von Vorgängen beim Zahlungsdienstleister, Status einer Kaution. Kartendaten werden von YStay niemals erhoben oder gespeichert: Sie werden unmittelbar beim Zahlungsdienstleister eingegeben.
• Zugangsdaten: einem Aufenthalt zugeordnete Codes oder Zugangsrechte, Zeitstempel der Ausstellung, der Übermittlung und des Widerrufs.
• Check-in- und Check-out-Daten: Informationen, die bei den Schritten der Anreise und der Abreise erhoben werden.
• StayProof-Nachweise: Kontrollantworten, Fotografien, digitalisierte handschriftliche Unterschrift des Gastes, Zeitstempel, Gründe der Freigabe oder der Ablehnung, Ergebnis der Abweichungsanalyse, kryptografischer Hashwert der Akte.
• Nachrichten: Nachrichten zwischen dem Verantwortlichen und dem Gast, Anhänge.
• Bewerbungsunterlagen (Langzeitvermietung): Identität, Kontaktdaten, berufliche Situation, Arbeitgeber, Einkünfte, Nachweise, aus diesen Unterlagen extrahierter Text und extrahierte Felder, Status und Referenz bei der staatlichen Stelle zur Prüfung der Unterlagen.
• Audit-Protokolle (im Auftrag verarbeiteter Teil): Kennung des Handelnden, Aktion, Gegenstand, Kontext, Zeitstempel.

5.3. Besondere Kategorien. Der Dienst bezweckt nicht die Verarbeitung von Daten im Sinne des Artikels 9 DSGVO, und der Verantwortliche untersagt sich, solche anzufordern. Der Verantwortliche erkennt an, dass ein von einer betroffenen Person hinterlegter Nachweis solche Daten beiläufig enthalten kann, dass es ihm obliegt, deren Zulässigkeit zu beurteilen und sie gegebenenfalls unverzüglich zu löschen.

Artikel 6 — Dokumentierte Weisungen des Verantwortlichen

6.1. YStay verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Solche Weisungen sind: die Nutzungsbedingungen und die vorliegende Vereinbarung; die vom Verantwortlichen oder seinen Teammitgliedern vorgenommene Konfiguration des Kontos und der Funktionen, einschließlich der Inanspruchnahme der durch künstliche Intelligenz unterstützten Funktionen und der Wahl der änderbaren Aufbewahrungsfristen; die übliche Nutzung der Funktionen der Plattform; sowie jede ergänzende schriftliche Weisung, die an privacy@ystay.app gerichtet und von YStay angenommen wird.

6.2. YStay unterrichtet den Verantwortlichen unverzüglich, wenn eine Weisung ihrer Auffassung nach gegen die DSGVO oder gegen eine andere Datenschutzbestimmung der Union oder eines Mitgliedstaats verstößt, und kann die Ausführung der betreffenden Weisung bis zu ihrer Bestätigung oder ihrer Berichtigung aussetzen.

6.3. Ist YStay nach dem Recht der Union oder eines Mitgliedstaats zu einer Übermittlung oder einer Offenlegung verpflichtet, unterrichtet sie den Verantwortlichen vor der Verarbeitung, es sei denn, das Recht verbietet eine solche Mitteilung aus wichtigen Gründen des öffentlichen Interesses.

6.4. Der Verantwortliche gewährleistet, dass er über eine Rechtsgrundlage für die anvertrauten Verarbeitungen verfügt, die betroffenen Personen informiert und, soweit erforderlich, ihre Einwilligung eingeholt hat. YStay stellt ihm im Buchungsablauf einen Muster-Informationshinweis zur Verfügung (Artikel 9.4 der Nutzungsbedingungen).

Artikel 7 — Vertraulichkeit und Verpflichtung des Personals

7.1. YStay stellt sicher, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7.2. Der Zugang zu den Daten ist auf die Mitarbeitenden beschränkt, die ihn zur Erbringung des Dienstes benötigen. Das Personal von YStay greift auf das Konto des Verantwortlichen, auch indem es in der Oberfläche an seiner Stelle handelt, nur auf Verlangen des Verantwortlichen oder eines Teammitglieds, zur Bearbeitung einer Meldung oder zur Sicherheit der Plattform zu, standardmäßig lesend, unter Protokollierung der handelnden Person, des Grundes und des Zeitstempels, die für den Verantwortlichen in seinem Audit-Protokoll sichtbar ist. Die Nachrichten zwischen dem Verantwortlichen und seinen Gästen sind private Korrespondenz: YStay nimmt davon nur in denselben Fällen und in denselben Grenzen Kenntnis (Artikel 3.6 der Nutzungsbedingungen). Jede Einsichtnahme des Personals von YStay in einen Nachrichten- oder Support-Verlauf wird protokolliert.

7.3. YStay sensibilisiert ihr Personal für die geltenden Anforderungen des Datenschutzes und für den Umgang mit Systemen künstlicher Intelligenz (Artikel 4 der Verordnung (EU) 2024/1689).

Artikel 8 — Sicherheit der Verarbeitung (Artikel 32)

YStay setzt die nachstehend beschriebenen technischen und organisatorischen Maßnahmen um, beurteilt nach dem Stand der Technik, den Kosten, der Art der Verarbeitung und den Risiken. Diese Beschreibung gibt den Stand des Dienstes zum Zeitpunkt der Vereinbarung wieder; sie kann sich ändern, ohne dass das Gesamtniveau der Sicherheit verringert werden darf.

8.1. Abschottung nach Konto. Jedes Geschäftsdatum ist einem Gastgeber-Konto zugeordnet, und jede Anfrage wird im Rahmen dieses Kontos ausgeführt; bei jedem Zugriff werden Berechtigungsregeln angewandt.

8.2. Verschlüsselung. Der Austausch zwischen den Oberflächen der Plattform und den Servern ist bei der Übertragung verschlüsselt. Die Sicherungen der Datenbank sind verschlüsselt (AES-256). Die Verschlüsselung im Ruhezustand der Datenträger der Datenbank und des Objektspeichers der Dokumente befindet sich in der Einführung; YStay verpflichtet sich, sie zum Datum [À COMPLÉTER : date d'entrée en service du chiffrement des volumes] in Betrieb zu nehmen. Bis zu diesem Zeitpunkt sind diese Daten durch die Abschottung nach Artikel 8.1, die Zugangsbeschränkungen zur Infrastruktur nach Artikel 8.10 und die Auslieferung der Dokumente über signierte Adressen nach Artikel 8.3 geschützt.

8.3. Private Dokumente und Medien. Beweiserhebliche Dokumente und Medien werden in einem privaten Bereich gespeichert und über signierte Adressen mit begrenzter Gültigkeitsdauer ausgeliefert, niemals über eine öffentliche Adresse. Die Quelle, die automatisierte Extraktion, die abgeleiteten Fassungen und die Elemente der Prüfung werden getrennt aufbewahrt.

8.4. Authentifizierung. Authentifizierung per Passwort, mit Zwei-Faktor-Authentifizierung, die verfügbar und für bestimmte sensible Vorgänge verlangt ist. Widerruf der Sitzungen und der Token.

8.5. Nachvollziehbarkeit und Integrität der Nachweise. Die sensiblen Übergänge (Buchung, Schlosszugang, Check-in und Check-out, Vorfälle, Unterschrift, Dokumente, Einsichtnahme in einen Support-Verlauf durch das Personal) werden mit der handelnden Person, der Aktion, dem Gegenstand und dem Zeitstempel protokolliert. Die Protokolle werden sechsunddreißig (36) Monate aufbewahrt. Die Berechnung eines kryptografischen Hashwerts der Nachweisakte bei Abschluss eines StayProof-Zustandsprotokolls, der in das Audit-Protokoll eingetragen wird, wird zum Datum [À COMPLÉTER : date de mise en service en production] in Betrieb genommen.

8.6. Minimierung in den Protokollen. Die Audit-Protokolle und die Anwendungsprotokolle enthalten weder Dokumenteninhalte noch unmittelbar identifizierende Daten; bestimmte sensible Werte werden darin durch einen nicht umkehrbaren kryptografischen Hashwert ersetzt.

8.7. Geheimnisse in der Warteschlange. Die zeitversetzten Verarbeitungen, die einen Zugangscode transportieren, werden in der Warteschlange verschlüsselt.

8.8. Sicherungen und Fortführung. Regelmäßige Sicherungen der Datenbank, die eine Wiederherstellung auf einen bestimmten Zeitpunkt ermöglichen, mit regelmäßigen Wiederherstellungstests. Ein Löschregister wird geführt, damit eine Wiederherstellung keine bereits gelöschten Daten wieder einführt; es wird vor jedem Wiederherstellungsvorgang exportiert.

8.9. Anhänge. Der Typ einer hinterlegten Datei wird anhand ihrer binären Signatur und nicht anhand ihrer Erweiterung bestimmt; die Dateien werden zum Herunterladen ausgeliefert und niemals von der Herkunft der Programmierschnittstelle aus im Browser angezeigt; ihre Anzahl und ihre Größe sind begrenzt. Es findet keine Virenprüfung der hinterlegten Dateien statt; diese Grenze wird dem Verantwortlichen zur Kenntnis gebracht, dem es obliegt, eine Datei unbekannter Herkunft nicht ohne Vorsichtsmaßnahmen zu öffnen.

8.10. Entwicklung und Betrieb. Getrennte Umgebungen, Code-Reviews, automatisierte Tests des kritischen Pfads, Zugangsbeschränkungen zur Infrastruktur sowie Entfernung der unmittelbar identifizierenden Daten in den Datenkopien, die für Umgebungen außerhalb der Produktion bestimmt sind.

8.11. Vorfälle. Interne Verfahren zur Erkennung, Einstufung und Bearbeitung von Sicherheitsvorfällen sowie Schalter, mit denen ein automatisierter Löschvorgang ausgesetzt werden kann.

Artikel 9 — Unterauftragsverarbeiter

9.1. Der Verantwortliche ermächtigt YStay, die in Anhang B aufgeführten Unterauftragsverarbeiter heranzuziehen, und zwar aufgrund der allgemeinen Ermächtigung nach Artikel 28 Absatz 2 DSGVO.

9.2. YStay unterrichtet den Verantwortlichen per E-Mail und durch eine auf ihrer Website veröffentlichte Aktualisierung des Anhangs B über jede Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters, und zwar mindestens dreißig (30) Tage, bevor dieser Daten verarbeitet. Der Verantwortliche kann innerhalb von fünfzehn (15) Tagen nach dieser Unterrichtung einen mit Gründen des Datenschutzes begründeten Einspruch erheben. YStay schlägt sodann eine Lösung vor (Beibehaltung des bisherigen Unterauftragsverarbeiters, Deaktivierung der betreffenden Funktion oder eine andere Maßnahme); kommt innerhalb von dreißig (30) Tagen nach dem Einspruch keine annehmbare Lösung zustande, kann der Verantwortliche die Nutzungsbedingungen ohne Vertragsstrafe kündigen, wobei ihm die im Voraus gezahlten Beträge für den nachfolgenden Zeitraum anteilig erstattet werden.

9.3. YStay erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die nicht weniger schützend sind als die der vorliegenden Vereinbarung, und bleibt dem Verantwortlichen gegenüber für die Erfüllung der Pflichten dieses Unterauftragsverarbeiters in vollem Umfang verantwortlich.

9.4. Anhang B nennt für jeden Unterauftragsverarbeiter seine Rolle, die vertragschließende Einheit, seinen Standort und die Garantie, die eine etwaige Übermittlung außerhalb der Europäischen Union absichert.

Artikel 10 — Unterstützung des Verantwortlichen

10.1 Rechte der betroffenen Personen

10.1.1. YStay stellt dem Verantwortlichen die Funktionen zur Einsicht, zum Export, zur Berichtigung und zur Löschung zur Verfügung, die erforderlich sind, damit er die Anträge auf Ausübung von Rechten (Artikel 15 bis 22 DSGVO) selbst beantworten kann.

10.1.2. Wendet sich eine betroffene Person unmittelbar an YStay wegen einer Verarbeitung, die der vorliegenden Vereinbarung unterliegt, enthält sich YStay einer Antwort in der Sache, verweist die Person an den Verantwortlichen und unterrichtet diesen ohne unangemessene Verzögerung.

10.1.3. Reichen die Funktionen der Plattform nicht aus, leistet YStay dem Verantwortlichen angemessene Unterstützung unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen. Eine Unterstützung, die die übliche Nutzung des Dienstes offensichtlich übersteigt, kann zu dem auf der Seite Preise angegebenen Tarif in Rechnung gestellt werden, nach einem vom Verantwortlichen angenommenen Kostenvoranschlag.

10.2 Verletzungen des Schutzes personenbezogener Daten

10.2.1. YStay meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die die Verarbeitungen der vorliegenden Vereinbarung betrifft, ohne unangemessene Verzögerung und spätestens achtundvierzig (48) Stunden, nachdem sie davon Kenntnis erlangt hat, per E-Mail an die Adresse des Kontoinhabers.

10.2.2. Die Meldung beschreibt, soweit die Informationen verfügbar sind: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Kontaktstelle. Fehlende Informationen werden nach und nach nachgereicht.

10.2.3. Die Meldung an die Aufsichtsbehörde (Artikel 33 Absatz 1) und gegebenenfalls die Benachrichtigung der betroffenen Personen (Artikel 34) obliegen dem Verantwortlichen. YStay leistet ihm die erforderliche Unterstützung und stellt ihm die erforderlichen Informationen bereit. YStay meldet der Aufsichtsbehörde nicht im Namen des Verantwortlichen, es sei denn, dieser weist sie ausdrücklich schriftlich dazu an.

10.2.4. YStay dokumentiert jede Verletzung, ihre Auswirkungen und die ergriffenen Abhilfemaßnahmen.

10.3 Folgenabschätzungen und vorherige Konsultation

YStay leistet dem Verantwortlichen auf Anfrage und im Rahmen der ihr zur Verfügung stehenden Informationen angemessene Unterstützung bei der Durchführung einer Datenschutz-Folgenabschätzung (Artikel 35) und bei einer etwaigen vorherigen Konsultation der Aufsichtsbehörde (Artikel 36).

Artikel 11 — Aufbewahrungsfristen während des Vertrags und Ende der Verarbeitung

11.1. Standardfristen während der Vertragsbeziehung. Während der Vertragsdauer wendet YStay auf die für Rechnung des Verantwortlichen verarbeiteten Daten die nachstehenden Fristen an, die Standardweisungen des Verantwortlichen darstellen. Wo die Spalte „änderbar“ es angibt, kann der Verantwortliche aus seinem Konto heraus eine andere Dauer innerhalb der angegebenen Grenze festlegen; er trägt die Begründung dafür.

11.2. Buchhalterische Ausnahme, unmissverständlich benannt. Die Anonymisierung der Buchungen nach drei Jahren erfasst nicht diejenige der Buchhaltungsunterlagen: Die Rechnung eines Aufenthalts trägt den Namen des Gastes und wird von YStay aufgrund ihrer eigenen buchhalterischen Pflichten zehn Jahre aufbewahrt (Artikel L123-22 des Code de commerce). Die Rechnungsdaten bleiben damit für eine Person, die gezahlt hat, der letzte Ort, an dem ihre Identität fortbesteht.

11.3. Durchführung. YStay nimmt die Löschung oder die Anonymisierung nach Ablauf der vorstehenden Fristen vor und trägt jede Löschung in das Löschregister nach Artikel 8.8 ein. Diese Vorgänge werden durch geplante Verarbeitungen ausgeführt, deren Eintragung im Planer durch ihre automatisierten Tests überprüft wird, und zwar ab dem [À COMPLÉTER : date de mise en service en production] für die Fristen der Tabelle in Artikel 11.1; bis zu diesem Zeitpunkt werden die Löschung und die Anonymisierung auf eine an privacy@ystay.app gerichtete Anforderung des Verantwortlichen hin innerhalb eines Monats nach der Anforderung ausgeführt.

11.4. Aussetzung aus rechtlichen Gründen. Die Aufbewahrung wird verlängert und jeder Löschvorgang ausgesetzt, wenn eine Beschwerde, eine Streitigkeit oder eine gesetzliche Pflicht es erfordert, auf Hinweis des Verantwortlichen aus seinem Konto heraus oder auf Veranlassung von YStay. Die Aussetzung wird begründet und nachgezeichnet.

11.5. Vertragsende: Rückgabe und anschließende Löschung. Am Ende der Erbringung des Dienstes, aus welchem Grund auch immer:

• kann der Verantwortliche während dreißig (30) Tagen ab dem Vertragsende von YStay per E-Mail an privacy@ystay.app die Rückgabe sämtlicher für seine Rechnung verarbeiteter Daten in einem strukturierten, gängigen Format verlangen; YStay kommt dem innerhalb eines Monats nach der Anforderung nach;
• löscht YStay nach Ablauf einer Frist von neunzig (90) Tagen ab dem Vertragsende sämtliche dieser Daten und vernichtet die vorhandenen Kopien, vorbehaltlich einer gesetzlichen Aufbewahrungspflicht (Buchhaltungsunterlagen nach Artikel 11.2) oder einer Aussetzung nach Artikel 11.4;
• laufen die Sicherungen, die diese Daten enthalten, nach ihrem Rotationszyklus ab, ohne [À COMPLÉTER : durée de rétention des sauvegardes de la base de données] zu überschreiten, und sind im Fall einer Wiederherstellung vom Löschregister erfasst.

Auf schriftliche Anforderung des Verantwortlichen vor Ablauf der 90 Tage bestätigt YStay die Löschung schriftlich.

Artikel 12 — Bereitstellung von Informationen und Audits

12.1. YStay stellt dem Verantwortlichen die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten des Artikels 28 DSGVO nachzuweisen: die vorliegende Vereinbarung, den aktuellen Anhang B, die Beschreibung der Sicherheitsmaßnahmen und, auf Anfrage, ihre Antworten auf einen angemessenen Sicherheitsfragebogen.

12.2. Der Verantwortliche kann höchstens einmal in einem Zeitraum von zwölf Monaten ein Audit durchführen lassen, durch sich selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten und nicht mit YStay im Wettbewerb stehenden Dritten, außer im Anschluss an eine Verletzung des Schutzes personenbezogener Daten oder auf Verlangen einer Aufsichtsbehörde. Das Audit wird mit einer Frist von dreißig (30) Tagen angekündigt, findet zunächst anhand von Unterlagen und sodann gegebenenfalls vor Ort während der Geschäftszeiten statt, ohne den Betrieb zu stören und unter Wahrung der Vertraulichkeit der Daten der übrigen Kunden von YStay. Die Kosten des Audits trägt der Verantwortliche; die von YStay über zwei Arbeitstage hinaus aufgewendete Zeit kann zu dem auf der Seite Preise angegebenen Tarif in Rechnung gestellt werden.

12.3. YStay kann einem Auditverlangen durch die Übergabe einschlägiger und aktueller Auditberichte oder Zertifizierungen nachkommen, soweit sie über solche verfügt.

Artikel 13 — Übermittlungen außerhalb der Europäischen Union

13.1. Die Daten werden in der Europäischen Union gehostet: Die Datenbank und die Programmierschnittstelle werden bei netcup GmbH in einem Rechenzentrum in Wien (Österreich) gehostet; die Objektspeicher-Container Cloudflare R2 werden in einer als Europäische Union deklarierten Rechtsordnung angelegt.

13.2. Bestimmte in Anhang B aufgeführte Unterauftragsverarbeiter sind außerhalb der Europäischen Union niedergelassen oder können dort Daten verarbeiten. Für jeden von ihnen gibt Anhang B die geeignete Garantie im Sinne des Kapitels V DSGVO an, auf der die Übermittlung beruht: Angemessenheitsbeschluss (darunter die Zertifizierung nach dem Datenschutzrahmen EU–USA, „DPF“) oder von der Europäischen Kommission erlassene Standardvertragsklauseln, gegebenenfalls ergänzt durch eine Transfer-Folgenabschätzung. YStay nimmt keine Übermittlung ohne Garantie vor.

13.3. Sollte eine Garantie für ungültig erklärt werden oder wegfallen (insbesondere bei einer Ungültigerklärung des Angemessenheitsbeschlusses zum DPF), setzt YStay ohne unangemessene Verzögerung die im Vertrag des betreffenden Unterauftragsverarbeiters vorgesehene Ersatzgarantie (Standardvertragsklauseln) um oder setzt die Übermittlung aus und unterrichtet den Verantwortlichen darüber.

Artikel 14 — Haftung

14.1. Jede Partei trägt die Folgen ihrer eigenen Verstöße gegen die Pflichten, die die DSGVO ihr auferlegt, gemäß deren Artikel 82. Jede Partei stellt die andere von Ansprüchen Dritter und von Geldbußen frei, die durch ihren eigenen Verstoß verursacht wurden.

14.2. Im Verhältnis zwischen den Parteien unterliegt die Haftung von YStay aus der vorliegenden Vereinbarung der Haftungshöchstgrenze des Artikels 8.6 der Nutzungsbedingungen, außer bei Vorsatz oder grober Fahrlässigkeit. Diese Höchstgrenze beschränkt in keiner Weise die Haftung, die jede Partei unmittelbar gegenüber den betroffenen Personen oder den Aufsichtsbehörden trifft.

14.3. Jede Partei unterrichtet die andere ohne unangemessene Verzögerung über jede Klage, jede Beschwerde oder jedes Verfahren einer Aufsichtsbehörde in Bezug auf die Verarbeitungen der vorliegenden Vereinbarung und arbeitet nach Treu und Glauben mit ihr zusammen.

Artikel 15 — Verschiedene Bestimmungen

15.1. Änderung. Die Vereinbarung kann nach den Modalitäten des Artikels 14 der Nutzungsbedingungen geändert werden (Vorankündigung von dreißig Tagen, versionierte und mit Zeitstempel versehene Annahme), insbesondere um einer Entwicklung der Rechtslage oder einer Entscheidung einer Aufsichtsbehörde Rechnung zu tragen. Die Aktualisierungen des Anhangs B folgen dem Verfahren des Artikels 9.2; diejenigen des Anhangs C werden dem Verantwortlichen mitgeteilt.

15.2. Kontakt. Jede Anfrage zur vorliegenden Vereinbarung ist an privacy@ystay.app zu richten. YStay hat keinen Datenschutzbeauftragten benannt, da diese Benennung zum jetzigen Zeitpunkt nicht erforderlich ist; dies wird im Fall einer regelmäßigen und systematischen Überwachung betroffener Personen in großem Umfang erneut geprüft.

15.3. Anwendbares Recht und Gerichtsstand: diejenigen der allgemeinen Nutzungsbedingungen (Artikel 15).

15.4. Sprache. Die Vereinbarung ist in französischer Sprache verfasst und kann zur Bequemlichkeit des Verantwortlichen übersetzt werden. Die französische Fassung ist maßgeblich.

Anhang A — Beschreibung der YStay anvertrauten Verarbeitungen

Die Spalte „Rechtsgrundlage“ gibt die für diese Art der Verarbeitung üblicherweise herangezogene Grundlage an; die Wahl der Grundlage und die zugehörige Dokumentation obliegen dem Verantwortlichen.

Anhang B — Unterauftragsverarbeiter

Stand geprüft am 15. September 2026. Hier sind nur die Dienstleister aufgeführt, die Daten des Verantwortlichen für Rechnung von YStay verarbeiten. Dritte, die diese Daten als eigenständige Verantwortliche verarbeiten, die eigene Dienstleister des Verantwortlichen sind oder die nur bei Verarbeitungen tätig werden, für die YStay selbst verantwortlich ist, sind am Ende des Anhangs zur Information aufgeführt. Die Spalte „Übermittlungsgarantie“ gibt die herangezogene Garantie an; „bei Unterzeichnung zu bestätigen“ bedeutet, dass die entsprechende Vertragsunterlage abgelegt sein muss, bevor die Vereinbarung unterzeichnet wird.

Dritte Empfänger, die keine Unterauftragsverarbeiter von YStay sind (zur Information):

In der Konfiguration des Dienstes erklärte, jedoch nicht aktivierte Anbieter, die keine Daten verarbeiten: Moonshot AI (Sperre geschlossen; ihre Wiedereinführung setzte die vollständige Qualifizierung der Übermittlung nach Singapur und die vorherige Unterrichtung nach Artikel 9.2 voraus), Sentry, AWS SES, Postmark und Slack. Die Geokodierung wird auf der europäischen Infrastruktur von YStay selbst gehostet.

Anhang C — Durch künstliche Intelligenz unterstützte Funktionen

Jede Funktion wird auf Veranlassung des Verantwortlichen oder eines Teammitglieds ausgeführt; die Einstellungen, mit denen sie einzeln aus dem Konto heraus deaktiviert werden kann, werden zum Datum [À COMPLÉTER : date de mise à disposition des réglages de désactivation par fonction] bereitgestellt. Keine übermittelten Daten werden zum Training von Modellen verwendet. Die Aufbewahrungsfristen beim Anbieter sind diejenigen seines Vertrags (Anthropic: höchstens 30 Tage in den Produktionssystemen, vorbehaltlich der Option der Nichtaufbewahrung). Keine dieser Funktionen erzeugt eine Entscheidung im Sinne des Artikels 22 DSGVO.