Auftragsverarbeitungsvereinbarung (AVV)
Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil des Dienstleistungsvertrags zwischen der Stellar Tourism Innovations GmbH („Auftragsverarbeiter“) und ihren Kunden („Verantwortlicher“) und regelt die Verarbeitung personenbezogener Daten gemäß Art. 28 DSGVO.
Stand: 3. Oktober 2026
Präambel
Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch die Stellar Tourism Innovations GmbH („Xentra", „Auftragsverarbeiter") im Auftrag des Kunden („Verantwortlicher").
Xentra stellt eine SaaS-Plattform für die Verwaltung von Kurzzeitvermietungen bereit, in deren Rahmen personenbezogene Daten von Gästen und Kontakten des Kunden verarbeitet werden.
§1 Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen personenbezogene Daten im Rahmen folgender Dienstleistungen:
- Buchungsverwaltung und Gäste-Check-in
- Gästekommunikation (SMS, E-Mail, Messaging)
- Smart-Lock- und Zugangsverwaltung
- KI-gestützte Texterstellung und Analyse
- Zahlungsabwicklung (via Stripe)
- Identitätsprüfung und Meldewesen
§2 Kategorien betroffener Personen und Daten
Betroffene Personen
- Gäste / Reisende des Verantwortlichen
- Kontakte und Geschäftspartner des Verantwortlichen
- Eigentümer und Verwalter der vom Verantwortlichen betreuten Objekte
- Beschäftigte und Dienstleister des Verantwortlichen mit Zugang zur Plattform
Datenkategorien
- Stammdaten (Name, Adresse, Geburtsdatum)
- Kontaktdaten (E-Mail, Telefon)
- Buchungsdaten (Anreise, Abreise, Preis, Apartment)
- Ausweisdaten (bei Check-in mit ID-Verifikation)
- Zahlungsdaten (verarbeitet durch Stripe)
- Kommunikationsinhalte (Nachrichten, E-Mails)
- Zugangsdaten zu Objekten (Zugangscodes, Schlüsselzuweisungen) und Zutrittsprotokolle
- Unterschriften, hochgeladene Ausweisbilder und Aufgabenfotos
- Sprachnachrichten und daraus erzeugte Transkripte
- Einsatz-, Arbeitszeit- und Vergütungsdaten von Dienstleistern des Verantwortlichen
§3 Pflichten des Auftragsverarbeiters
- Verarbeitung der Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen
- Gewährleistung der Vertraulichkeit aller mit der Datenverarbeitung betrauten Personen
- Ergreifung aller erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO
- Unterstützung des Verantwortlichen bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen
- Unverzügliche Benachrichtigung des Verantwortlichen bei Datenschutzverletzungen
§4 Unterauftragnehmer
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragnehmer zu:
| Anbieter | Zweck | Serverstandort |
|---|---|---|
| Supabase Inc. | Datenbank-Hosting, Authentifizierung, Dateispeicher | AWS eu-central-1 (Frankfurt) |
| Vercel Inc. | Hosting der Web-Oberfläche, Gästeseiten und Buchungsstrecke | USA (SCC) |
| Google Cloud (Cloud Run) | Erzeugung der Rechnungs-PDFs und elektronischen Rechnungsformate | EU (Frankfurt) |
| Functional Software Inc. (Sentry) | Fehlerdiagnose und Stabilitätsüberwachung | EU / USA (SCC) |
| Digital Shift OÜ (Capgo) | Auslieferung von Updates der mobilen App | EU (Estland) |
| Google LLC (Gemini API) | KI-Textverarbeitung; je nach Funktion werden personenbezogene Angaben vorher entfernt oder pseudonymisiert (Einzelheiten im KI-Transparenzhinweis) | USA (SCC) |
| Anthropic PBC | KI-Textverarbeitung (Assistent, Onboarding-Agent, Auswertung von Konversationen) | USA (SCC) |
| Stripe Inc. / Stripe Payments Europe Ltd. | Zahlungsabwicklung, Kautionen, Versicherung | EU / USA (SCC) |
| Chargebee Inc. | Abo-Verwaltung und Rechnungsstellung | USA (SCC) |
| Haufe-Lexware GmbH & Co. KG | Übergabe von Rechnungsbelegen an die Buchhaltung des Verantwortlichen | EU (Deutschland) |
| Fatture in Cloud S.p.A. | Übermittlung elektronischer Rechnungen an das italienische Austauschsystem (SdI) | EU (Italien) |
| Resend Inc. | E-Mail-Versand (Bestätigungen, Benachrichtigungen) | USA (SCC) |
| Twilio Inc. | SMS-Versand an Gäste | USA (SCC) |
| Meta Platforms Ireland Ltd. | Nachrichtenversand und -empfang über WhatsApp Business | EU / USA (SCC) |
| HostU | Technischer Übertragungsweg für WhatsApp-Nachrichten (Löschung beim Anbieter nach 48 Stunden) | EU (DE/AT) |
| Apple Distribution International Ltd. | Push-Benachrichtigungen an iOS-Geräte | EU / USA |
| Google Ireland Ltd. (FCM) | Push-Benachrichtigungen an Android-Geräte und Browser | EU / USA (SCC) |
| Chekin S.L. | Gästeregistrierung, ID-Verifizierung, Meldeschein | EU (Spanien) |
| AVS GmbH | Elektronischer Meldeschein und Gästekarten | EU (Deutschland) |
| Feratel Media Technologies AG | Meldewesen und Kurtaxeabwicklung, Gästekarten | EU (Österreich) |
| WINTOP Software | Elektronischer Meldeschein | EU (DE/AT) |
| Nuki Home Solutions GmbH | Smart-Lock-Integration | EU (Österreich) |
| Salto Systems S.L. | Smart-Lock-Integration | EU (Spanien) |
| Ring LLC (Amazon.com Inc.) | Smart-Lock- und Gegensprechanlage-Integration | USA (SCC) |
| Tedee sp. z o.o. | Smart-Lock-Integration, Zugangscodes | EU (Polen) |
| Sciener / TTLock | Smart-Lock-Integration, Zugangscodes | China (SCC) |
| igloocompany Pte Ltd | Smart-Lock-Integration, Zugangscodes | Singapur (SCC) |
| Wonderlabs (SwitchBot) | Steuerung von Zutrittsgeräten | Hongkong (SCC) |
| Channex Ltd. | Channel-Manager-Integration | EU |
| Smoobu GmbH | PMS, Buchungssynchronisation, Gästekommunikation | EU (Deutschland) |
| iLoca Services GmbH | PMS-Integration, Buchungssynchronisation, Gästekommunikation | EU (Deutschland) |
| V-Office (Ferienhausmiete GmbH) | PMS-Integration, Buchungs- und Verfügbarkeitssynchronisation | EU (Deutschland) |
| Beds24 (Cousins Online Ltd.) | PMS-Integration, Buchungssynchronisation | EU / UK |
| Lodgify S.L. | PMS-Integration, Buchungssynchronisation | EU (Spanien) |
| Octorate S.r.l. | PMS-Integration, Buchungssynchronisation | EU (Italien) |
| Smily (BookingSync S.A.S.) | PMS-Integration, Buchungssynchronisation, Messaging | EU (Frankreich) |
| Hostfully Inc. | PMS-Integration, Buchungssynchronisation | USA (SCC) |
| Hospitable Inc. | PMS-Integration, Buchungssynchronisation | USA (SCC) |
| Hostaway Pty Ltd | PMS-Integration, Buchungssynchronisation | USA (SCC) |
| Guesty Inc. | PMS-Integration, automatische Antworten | USA (SCC) |
| PriceLabs | Dynamische Preisgestaltung auf Basis von Belegungs- und Buchungsdaten | USA / Indien (SCC) |
| Google LLC (Drive) | Dokumentenspeicherung und -verwaltung | USA (SCC) |
| Google LLC (OAuth) | Authentifizierung via Google OAuth | USA (SCC) |
| Google LLC (Maps Geocoding) | Umwandlung von Objektadressen in Koordinaten | USA (SCC) |
Für Unterauftragnehmer mit Sitz außerhalb des EWR wurden Standardvertragsklauseln (SCC) der Europäischen Kommission vereinbart.
Der Auftragsverarbeiter darf weitere Unterauftragnehmer hinzuziehen oder austauschen. Er kündigt das mindestens vier Wochen vorher in Textform an. Der Verantwortliche kann einem neuen Unterauftragnehmer innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kann die betroffene Funktion dann nicht erbracht werden, darf der Verantwortliche den auf sie entfallenden Leistungsteil kündigen. Die jeweils aktuelle Fassung dieser Tabelle ist maßgeblich.
Zur Bearbeitung von Supportanfragen und zur Störungsbeseitigung können Beschäftigte des Auftragsverarbeiters auf das Konto des Verantwortlichen zugreifen. Solche Zugriffe erfolgen nur anlassbezogen. Bildschirm- und Tonaufnahmen entstehen nur auf Veranlassung oder mit Mitwirkung des Verantwortlichen.
§5 Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter hat folgende Maßnahmen implementiert:
- Verschlüsselung aller Daten bei Übertragung (TLS 1.2+) und Speicherung (AES-256)
- Row-Level Security (RLS) — jeder Nutzer sieht ausschließlich seine eigenen Daten
- Entfernung oder Pseudonymisierung personenbezogener Angaben vor der Übermittlung an KI-Dienste, soweit die jeweilige Funktion das zulässt; bei Übersetzungen werden E-Mail-Adressen, Telefonnummern, Links und bekannte Namen durch Platzhalter ersetzt
- Audit-Logging aller KI-Verarbeitungsvorgänge (ohne PII im Log)
- Multi-Faktor-Authentifizierung für administrative Zugänge
- Regelmäßige Sicherheitsüberprüfungen und Updates
- API-Schlüssel-Verschlüsselung mit pgcrypto für alle externen Integrationen
§6 Löschung und Rückgabe
Nach Beendigung des Vertragsverhältnisses löscht der Auftragsverarbeiter die personenbezogenen Daten des Verantwortlichen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Einzelne Bestände unterliegen bereits während der Vertragslaufzeit eigenen Fristen: Supportaufzeichnungen werden nach 30 Tagen gelöscht, technische Zugriffs- und Schnittstellenprotokolle nach 7 bis 30 Tagen.
Der Verantwortliche kann jederzeit den Export seiner Daten in maschinenlesbarem Format anfordern.
§7 Kontroll- und Auditrechte
Der Verantwortliche hat das Recht, die Einhaltung dieses AVV durch geeignete Maßnahmen zu überprüfen, einschließlich Inspektionen.
Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung.
§8 Kontakt
Für Fragen zur Auftragsverarbeitung wenden Sie sich bitte an:
Stellar Tourism Innovations GmbH
Torstrasse 105-107
10119 Berlin
E-Mail: hello@support.myxentra.com