Anlage AGB-AV

Stand: 22.12.2025

1. Gegenstand des Auftrages, Art und Zweck der Datenverarbeitung, Art der Daten sowie Kategorien der betroffenen Personen

1. Gegenstand des Auftrages

Der Auftragnehmer verarbeitet personenbezogene Daten, die über den Auftraggeber zum Zwecke der Erfüllung des Hauptvertrages erhoben wurden (z.B. personenbezogene Daten von Nutzern der Anwendung). Diese Daten werden insbesondere dazu benötigt, Ticketbuchungen, Zahlungsabwicklungen und ggf. die Abwicklung von Stornierungen und Erstattungen durchzuführen und den Auftraggeber über Produkt-Updates der für die Buchung, Umbuchung und Stornierung von Beförderungs- und Beherbergungsleistungen von Geschäftsreisen bereitgestellten Software (nachfolgend „SaaS-Anwendung“) zu informieren.

2. Art und Zweck der Datenverarbeitung

Die Verarbeitung durch den Auftragnehmer umfasst alle Arten der Verarbeitung im Sinne des Art. 4 Nr. 2 DSGVO, insbesondere das Erheben, das Erfassen, die Speicherung, das Auslesen und die Übermittlung personenbezogener Daten. Zweck der Verarbeitung ist die Erbringung der im Hauptvertrag vereinbarten Leistungen durch den Auftragnehmer, insbesondere die Erhebung und Übermittlung personenbezogener Daten für die Buchung von Reiseleistungen, die Erfassung, das Abfragen und die Übermittlung von personenbezogenen Daten im Rahmen des Support-Service für die Buchung, Umbuchung oder Stornierung von Reiseleistungen.

3. Art der Daten

4. Kreis der Betroffenen:

2. Weisungsempfänger beim Auftragnehmer

Dr. Veit Blumschein, Geschäftsführer, 089/21540710, kontakt@lanes-planes.com

3. Datenschutzbeauftragter

Dominik Fünkner, Proliance GmbH, Leopoldstraße 21, 80802 München

datenschutzbeauftragter@datenschutzexperte.de, Tel: 089/250039222

4. Technische und organisatorische Maßnahmen

Der in diesem Abschnitt 4 verwendete Begriff „IT-Systeme" bezieht sich auf die vom Auftragnehmer zum Zwecke der Auftragsverarbeitung eingesetzten Datenverarbeitungssysteme wie die SaaS-Anwendung und unterstützende IT-Anwendungen.

4.1 Maßnahmen zur Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO)

• Grundsätzliche Prüfung vor Änderungen an Verfahren oder vor der Einführung neuer Verfahren, inwieweit personenbezogene Daten pseudonymisiert werden können.
• Grundsätzliche Prüfung bei Datenflüssen, inwieweit personenbezogene Daten pseudonymisiert werden können.

4.2 Maßnahmen zur Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Regelungen und Maßnahmen zum Einsatz kryptografischer Verfahren.
• Verschlüsselung der Datenträgern von Computern.
• Nutzung von Verfahren zur Transportverschlüsselung bei Datenübertragungen.
• Grundsätzliche Prüfung vor Änderungen an Verfahren oder vor der Einführung neuer Verfahren, inwieweit (personenbezogene) Daten verschlüsselt werden können.

4.3 Maßnahmen zur Sicherstellung der Vertraulichkeit, der Integrität, der Verfügbarkeit und der Belastbarkeit der Systeme und Dienste (Art. 32 Abs. 1 lit. b DSGVO)

• Betreiben eines Informationssicherheitsmanagementsystems gemäß ISO/IEC 27001.
• Regelungen und Maßnahmen zur physischen Sicherheit, zur Zutrittskontrolle und zur Besucherregelung für die Büro-Bereiche.
• Betreiben der SaaS-Anwendung auf firmeneigener Hardware in hoch gesicherten externen Rechenzentren in Deutschland (Co-Location-Ansatz).
• Restriktiver Zutritt und Zugang zu der für den Betrieb der SaaS-Anwendung erforderlichen Infrastruktur.
• Regelungen und Maßnahmen zum Identity-, User- und Access-Management für alle IT-Systeme.
• Regelungen und Maßnahmen zur sicheren Authentisierung an IT-Systemen.
• Regelungen und Maßnahmen zum Umgang mit geheimen Authentisierungsinformationen.
• Etablierte Rollen- und Berechtigungskonzepte für IT-Systeme unter Beachtung des Need-to-know-Prinzips.
• Regelungen und Maßnahmen zur restriktiven Vergabe von erweiterten oder administrativen Berechtigungen in IT-Systemen.
• Regelungen und Maßnahmen zur wirksamen Trennung von Kundendaten.
• Nutzung von Firewall-Systemen.
• Regelungen und Maßnahmen zur Informationsklassifizierung und zum Umgang mit klassifizierten Informationen.
• Regelungen und Maßnahmen zum Schutz vertraulicher Daten am Arbeitsplatz.
• Regelungen und Maßnahmen zur Steuerung von Dienstleistern.
• Regelungen und Maßnahmen zur Verwaltung, Nutzung und Entsorgung von Geräten.
• Regelungen und Maßnahmen zum Patch- und Schwachstellen-Management für IT-Systeme.
• Regelungen und Maßnahmen zum Logging & Monitoring der SaaS-Anwendung.
• Regelungen und Maßnahmen für die sichere Entwicklung der SaaS-Anwendung.

4.4 Maßnahmen zur Fähigkeit zur schnellen Wiederherstellung der Verfügbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

• Vorhalten von Redundanzen zur Steigerung der Resilienz und zur Sicherstellung einer kurzfristigen Wiederaufnahme des Betriebs in Ausfallszenarien.
• Regelungen und Maßnahmen zur Datensicherung und zur System- und Datenwiederherstellung der SaaS-Anwendung.
• Regelungen und Maßnahmen zum Security-Incident-Management.
• Regelungen und Maßnahmen zum Business-Continuity-Management.

4.5 Maßnahmen zur Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen (Art. 32 Abs. 1 lit. d DSGVO)

• Regelungen und Maßnahmen zum Messen und Überwachen des Informationssicherheitsmanagementsystems.
• Regelungen und Maßnahmen zur Durchführung von Internen Audits.
• Kontinuierliche Überprüfung und Weiterentwicklung der technischen und organisatorischen Maßnahmen.

4.6 Ergänzende Maßnahmen

• Etablierung einer internen Datenschutz-, Qualitäts- und Informationssicherheitsorganisation.
• Bestellung eines Datenschutzbeauftragten.
• Berücksichtigung der Prinzipien “privacy by design” und “privacy by default” bei der Konzeption und Weiterentwicklung der SaaS-Anwendung.
• Durchführung von Sensibilisierungs- und Schulungsmaßnahmen.
• Verpflichtung auf das Datengeheimnis und zur Verschwiegenheit.

5. Unterauftragnehmer

Unterauftragnehmer des Auftraggebers sind:

Anmerkungen:

1 Ein Angemessenheitsbeschluss gem. Art. 45 Abs. 3 DSGVO liegt vor.

2 Der Unterauftragnehmer ist zertifiziert gemäß EU-US Data Privacy Framework.

3 Vereinbarung von Standardvertragsklauseln gemäß Durchführungsbeschluss der Europäischen Kommission (EU) 2021/914 vom 4. Juni 2021