Vertrag zur Auftragsverarbeitung (Banaki Office)

1. Vertragsparteien und Zustandekommen

Verantwortlicher ist der Betrieb, der Banaki Office nutzt (du, der Gastgeber). Auftragsverarbeiter ist die Kogge Digitalagentur, Inhaber Morris Mehnert (Einzelunternehmen), Memellandstraße 2, 24537 Neumünster, E-Mail moin@kogge.digital, USt-IdNr. DE305783265, Betreiber von Banaki (banaki.app). Weitere Angaben stehen im Impressum.

Dieser Vertrag ist Anlage zu den Allgemeinen Geschäftsbedingungen für Gastgeber. Er kommt zustande, wenn du diese Bedingungen annimmst oder Banaki Office nutzt, in elektronischer Form (Art. 28 Abs. 9 DSGVO). Du kannst ihn jederzeit auf banaki.app abrufen und speichern.

2. Gegenstand und Dauer

Banaki verarbeitet personenbezogene Daten in deinem Auftrag, soweit du Banaki Office nutzt: die Rezeption mit Buchungsverwaltung, die Zahllinks und die Website-Buchung (Widget). Der Vertrag gilt für die Laufzeit deiner Nutzung von Banaki Office. Für Gästedaten aus Buchungen über die Plattform banaki.app gilt er nicht, dort verarbeitet Banaki nach Abschnitt 16 der Gastgeber-AGB und der Datenschutzerklärung.

3. Art und Zweck der Verarbeitung

Banaki speichert, ordnet und zeigt die Daten an, übermittelt sie an die Beteiligten der Buchung (zum Beispiel per E-Mail an Gast und Betrieb) und löscht sie. Zweck ist, Buchung, Zahlung und Verwaltung des Aufenthalts für dich durchzuführen. Banaki verarbeitet die Daten nur zu diesem Zweck.

4. Arten der Daten und Kreis der Betroffenen

Datenarten sind Gaststammdaten, Kontaktdaten, Aufenthalts- und Buchungsdaten, Daten aus dem Meldeschein, Zahlungsdaten ohne Kartendaten und die Kommunikation mit Gästen. Kartendaten erhält Banaki nicht, sie gibt der Gast direkt bei Stripe ein.

Betroffen sind Gäste, Mitreisende, Interessenten im Widget und Mitarbeitende deines Betriebs mit Zugang zu Banaki Office.

5. Weisungen

Banaki verarbeitet die Daten nur auf deine dokumentierte Weisung. Deine Weisung ist dieser Vertrag, die Nutzung von Banaki Office mit deinen Einstellungen und, wenn nötig, eine Nachricht per E-Mail an moin@kogge.digital. Banaki hält Weisungen in Office oder per E-Mail fest.

Hält Banaki eine Weisung für rechtswidrig, weist Banaki dich unverzüglich darauf hin. Banaki darf die Ausführung aussetzen, bis du die Weisung bestätigst oder änderst (Art. 28 Abs. 3 Satz 3 DSGVO). Verlangt das Recht der Union oder eines Mitgliedstaats eine Verarbeitung, teilt Banaki dir das vorher mit, soweit das Recht es nicht verbietet.

6. Vertraulichkeit

Banaki verpflichtet alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit oder sie unterliegen einer gesetzlichen Verschwiegenheitspflicht. Die Pflicht gilt nach dem Ende der Tätigkeit weiter.

7. Technische und organisatorische Maßnahmen

Banaki trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 stehen. Banaki entwickelt sie weiter und darf sie ändern, solange das Schutzniveau nicht sinkt.

8. Unterauftragsverarbeiter

Du erteilst Banaki die allgemeine Genehmigung, die Unterauftragsverarbeiter aus Anlage 2 einzusetzen. Banaki bindet sie vertraglich an dieselben Datenschutzpflichten, die in diesem Vertrag stehen.

Will Banaki einen Unterauftragsverarbeiter hinzufügen oder ersetzen, kündigt Banaki das mindestens 30 Tage vorher per E-Mail an. Du kannst innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich beide Seiten nicht einigen und kann Banaki den Dienst ohne den neuen Dienstleister nicht erbringen, kannst du Banaki Office ohne Frist kündigen.

Stripe ist kein Unterauftragsverarbeiter. Stripe verarbeitet Zahlungsdaten als eigener Verantwortlicher auf Grundlage deines Vertrags mit Stripe.

9. Unterstützung

Banaki unterstützt dich mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen von Betroffenen zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). Wendet sich ein Betroffener direkt an Banaki, leitet Banaki die Anfrage an dich weiter und beantwortet sie nicht selbst.

Banaki unterstützt dich außerdem bei deinen Pflichten aus Art. 32 bis 36 DSGVO: Sicherheit der Verarbeitung, Meldung von Datenpannen, Datenschutz-Folgenabschätzung und Konsultation der Aufsichtsbehörde. Banaki stellt dir dafür die nötigen Informationen zur Verfügung.

10. Datenpannen

Wird Banaki eine Verletzung des Schutzes personenbezogener Daten bekannt, die deine Daten betrifft, meldet Banaki sie dir unverzüglich (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Daten und Personen, mögliche Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen übernimmst du als Verantwortlicher.

11. Nachweise und Kontrollen

Banaki gibt dir auf Anfrage die Auskünfte und Unterlagen, die du brauchst, um die Einhaltung dieses Vertrags zu prüfen. Du kannst auch vor Ort prüfen oder durch einen zur Verschwiegenheit verpflichteten Prüfer prüfen lassen. Du meldest eine Prüfung mit angemessener Frist an, in der Regel mindestens 14 Tage vorher, und störst den Betrieb von Banaki nicht mehr als nötig. Die Prüfung erstreckt sich nicht auf Daten anderer Betriebe. Hat die Prüfung nur geringen Aufwand zur Folge, trägt jede Seite ihre Kosten. Verursacht sie bei Banaki erheblichen Aufwand, erstattest du die angemessenen Kosten. Stellt die Prüfung einen Verstoß fest, trägt Banaki die Kosten.

12. Drittländer

Banaki verarbeitet die Daten in Deutschland und der Europäischen Union. Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen von Kapitel V DSGVO erfüllt sind. Das einzige Drittland derzeit ist die USA, an Functional Software, Inc. (Sentry) nach Anlage 2.

13. Löschung und Rückgabe

Nach Ende der Nutzung von Banaki Office kannst du deine Daten in Office exportieren. Banaki löscht die Daten 30 Tage nach dem Ende, soweit du nichts anderes weist. Aus den Datensicherungen verschwinden sie, sobald diese überschrieben werden, spätestens nach 30 Tagen. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Daten, die Banaki dafür aufbewahren muss, sperrt Banaki und verwendet sie nur für diesen Zweck.

14. Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gilt Abschnitt 19 der Gastgeber-AGB.

15. Vorrang

Widersprechen sich dieser Vertrag und die Gastgeber-AGB in Fragen des Datenschutzes, geht dieser Vertrag vor. Im Übrigen gelten die Gastgeber-AGB, auch für Recht und Gerichtsstand (Abschnitt 25).

Anlage 1: Technische und organisatorische Maßnahmen

Hosting. Die Daten liegen auf Servern der Hetzner Online GmbH in Deutschland.

Verschlüsselung. Die Verbindung zwischen Browser und Server ist per TLS verschlüsselt.

Datensicherung. Banaki sichert die Datenbank regelmäßig. Gelöschte Daten verschwinden aus den Sicherungen spätestens nach 30 Tagen.

Zugriffskontrolle. Der Zugriff auf Daten läuft über Rollen und Rechte. Administratoren von Banaki melden sich mit Zweitfaktor an.

Protokollierung. Banaki protokolliert Zugriffe auf die Server und Fehler der Anwendung.

Trennung. Die Daten der Betriebe sind logisch getrennt. Ein Betrieb sieht nur seine eigenen Daten.

Löschkonzept. Banaki löscht Daten nach den Fristen dieses Vertrags und der Datenschutzerklärung (Abschnitt 25 dort).

Aktualisierung. Banaki hält Betriebssystem, Software und Abhängigkeiten aktuell und spielt Sicherheitsupdates zeitnah ein.

Anlage 2: Unterauftragsverarbeiter

Unternehmen	Sitz	Leistung	Drittland
Hetzner Online GmbH	Industriestr. 25, 91710 Gunzenhausen, Deutschland	Hosting	keines
FunFirst s.r.o. (emailit)	Na louži 258/13, Vršovice, 101 00 Praha 10, Tschechien	E-Mail-Versand	keines, Verarbeitung in der EU
Functional Software, Inc. (Sentry)	45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA	Fehlerprotokolle	USA, EU-US Data Privacy Framework (Art. 45 DSGVO)

Stand: 11.11.2026