Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO zwischen dem Betreiber des Parkplatzangebots als Verantwortlichem — nachfolgend „Kunde" — und Dennis Eskin, Einzelunternehmen, handelnd unter ParkSync (Grützmühlenweg 75, 22339 Hamburg) als Auftragsverarbeiter — nachfolgend „Anbieter". Diese Vereinbarung ergänzt die AGB und geht ihnen bei Widersprüchen zum Datenschutz vor.
Abschluss: Der Abschluss erfolgt in Textform — es genügt eine E-Mail an mail@parksync.de mit Firmenname und der Erklärung, diesen AVV in der jeweils auf dieser Seite ausgewiesenen Fassung abzuschließen. Der Anbieter bestätigt den Abschluss in Textform.
§ 1 Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Anbieter im Rahmen der Bereitstellung der SaaS-Plattform „ParkSync" (Buchungs- und Kanalverwaltung für Parkplatzbetreiber). Die Dauer entspricht der Laufzeit des Hauptvertrags; Lösch- und Rückgabepflichten nach § 11 gelten darüber hinaus.
§ 2 Art und Zweck der Verarbeitung
Speicherung, Anzeige, Übermittlung an angebundene Portale, Auswertung und Löschung von Buchungs- und Betriebsdaten zum Zweck der Verwaltung von Parkplatz-Buchungen, der Transfer-Organisation, der Zahlungsstatus-Dokumentation, des Versands von Buchungs-E-Mails im Namen des Kunden sowie der Rechnungserstellung des Kunden.
Hat der Kunde ein Vermittlungsportal (z. B. Parkos, Holiday Extras) angebunden, umfasst die Verarbeitung zusätzlich den Abruf der dort für den Kunden eingegangenen Buchungen über die Schnittstelle des Portals, ihre Übernahme in das Konto des Kunden sowie — soweit die jeweilige Anbindung dies vorsieht — die Übermittlung der vom Kunden gepflegten Preise und Verfügbarkeiten an das Portal. Aus Portalen übernommene Buchungen werden ausschließlich dem Kunden zugeordnet, für den sie bestimmt sind.
Der Anbieter verarbeitet die aus Portalen abgerufenen Daten ausschließlich zur Erbringung der vertraglichen Leistung für den Kunden einschließlich Support, Betriebsüberwachung und Fehleranalyse. Eine Verarbeitung zu eigenen Zwecken des Anbieters, eine Zusammenführung mit Daten anderer Kunden oder eine Weitergabe an Dritte findet nicht statt; der Einsatz der in § 8 genannten Unterauftragsverarbeiter bleibt unberührt. Betriebskennzahlen bildet der Anbieter ohne Rückführbarkeit auf einzelne Betroffene.
§ 3 Datenarten
- Buchungsdaten der Parkkunden: Name, optional E-Mail-Adresse und Telefonnummer, An-/Abreisezeiten, Flugnummern, Passagierzahl, Kindersitz-Bedarf, gebuchte Extraleistungen
- Fahrzeugdaten: Kfz-Kennzeichen, Marke/Typ, Kilometerstände, Zustandsfotos bei Übergabe
- Abwicklungsdaten der Buchung: Stellplatz, Check-in- und Check-out-Zeitpunkte, organisatorische Vermerke und interne Notizen des Kunden zur Buchung
- Zahlungsart und Zahlungsstatus (keine Zahlungsinstrumente)
- Bei Portal-Buchungen zusätzlich die vom Portal übermittelten Buchungsangaben: Portal-Buchungsnummer, An- und Abreisezeitpunkte, gebuchter Preis und Währung, Buchungsstatus des Portals (bestätigt, storniert, nicht erschienen) sowie Umbuchungsvermerke; ferner das je Anbindung hinterlegte Kennzeichen, ob das Portal den Preis bereits vereinnahmt hat (Vorkasse). Zahlungsinstrumente, Portal-Kundennummern und sonstige beim Portal hinterlegte Kontodaten des Parkkunden werden nicht abgerufen.
- Digitale Unterschrift des Parkkunden beim Check-in (freiwillig; gespeichert als einfacher Linienzug aus Bildkoordinaten ohne Druck-, Geschwindigkeits- oder Zeitverlauf; keine biometrische Auswertung und keine Identifizierung anhand der Unterschrift, daher keine besondere Kategorie nach Art. 9 DSGVO) samt Zeitpunkt der Unterschrift als Übergabe-Nachweis
- Rechnungsdaten der Endkunden des Kunden (Name, Anschrift, Beträge)
- Mitarbeiterdaten des Kunden: Name, E-Mail-Adresse, Rolle, Schichtplan-Einträge
§ 4 Kreis der Betroffenen
- Parkkunden (Endkunden) des Kunden
- Mitarbeiterinnen und Mitarbeiter des Kunden
- Ansprechpersonen der vom Kunden genutzten Portale
§ 5 Weisungsbindung
Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden — regelmäßig durch die Nutzung der Plattformfunktionen; Einzelweisungen erfolgen in Textform. Die Weisungsbindung gilt auch für die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation. Ist der Anbieter durch das Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, informiert er den Kunden vor der Verarbeitung über diese Anforderung, sofern das betreffende Recht eine solche Information nicht verbietet. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
Die Weisung, Buchungen aus einem Vermittlungsportal abzurufen und — soweit die Anbindung dies vorsieht — Preise und Verfügbarkeiten an dieses Portal zu übermitteln, erteilt der Kunde in Textform, indem er den Anbieter mit der Einrichtung der Anbindung beauftragt und ihm die hierfür erforderlichen Zugangsdaten oder Freigaben seines Portalkontos überlässt. Der Anbieter richtet die Anbindung ein, bestätigt dem Kunden Einrichtung und Aktivierung in Textform und hält den Zeitpunkt der Einrichtung fest. Die Weisung gilt bis zur Beendigung der Anbindung. Der Kunde kann den Abruf jederzeit aussetzen, indem er das Portal in der Plattform offline stellt, und die Anbindung jederzeit in Textform beenden. Die überlassenen Zugangsdaten verwendet der Anbieter ausschließlich für die beauftragte Anbindung.
§ 6 Vertraulichkeit
Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
§ 7 Technische und organisatorische Maßnahmen
- TLS-Verschlüsselung sämtlicher Verbindungen
- Mandantengetrennte Datenhaltung mit Zugriffskontrollen auf Datenbank-Ebene (Row Level Security) und Rollenkonzept je Betrieb
- Portal-Zugriffe nur über einzeln vergebene, jederzeit sperrbare API-Schlüssel (nur als Hash gespeichert), Anfragelimits und Protokollierung der API-Zugriffe
- Portal-Anbindungen: Zugangsdaten des Kunden zu Portalen werden nach der Eingabe in der Plattform nicht mehr im Klartext angezeigt; lesenden Zugriff auf die Anbindungs-Konfiguration haben ausschließlich Administratoren des Kunden sowie der Anbieter zur Einrichtung und Wartung. Jede Anbindung ist auf Datenbank-Ebene fest an den Betrieb und den Standort des Kunden gebunden; abgerufene Buchungen können keinem anderen Betrieb zugeordnet werden. Abrufe erfolgen ausschließlich an die vom Portal benannten Adressen, zeitlich getaktet und je Lauf mengenbegrenzt; Zeitpunkt, Ergebnis und Fehler jedes Laufs werden je Anbindung festgehalten
- Passwörter nur als Hash; Authentifizierung über Supabase Auth
- Löschkonzept: Fahrzeugfotos automatisch nach 90 Tagen, technische Protokolle spätestens nach 90 Tagen; Lauf-Protokolle je Portal-Anbindung werden auf die jeweils letzten Einträge begrenzt
- Regelmäßige Datensicherungen auf Ebene des Datenbank-Dienstleisters
§ 8 Unterauftragsverarbeiter
Der Kunde genehmigt allgemein den Einsatz der folgenden Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Anbieter vorab in Textform; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
- Supabase, Inc. — Datenbank & Authentifizierung; Speicherung in der Region EU (Frankfurt am Main); im Rahmen von Support und Wartung ist eine Verarbeitung außerhalb des EWR möglich, abgesichert über EU-Standardvertragsklauseln.
- Hetzner Online GmbH — Server-Hosting der Anwendung, Deutschland.
- STRATO GmbH — E-Mail-Versand (SMTP) und E-Mail-Postfach, Deutschland.
Der Anbieter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, wie sie in dieser Vereinbarung festgelegt sind. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Anbieter gegenüber dem Kunden für die Einhaltung von dessen Pflichten.
Der Flugdaten-Dienst (AeroDataBox über RapidAPI) erhält ausschließlich Flugnummer und Datum und verarbeitet damit keine personenbezogenen Daten der Betroffenen; er wird hier nur der Vollständigkeit halber genannt.
Vermittlungsportale, die der Kunde angebunden hat (z. B. Parkos, Holiday Extras), sind keine Unterauftragsverarbeiter des Anbieters. Sie verarbeiten die Buchungsdaten auf Grundlage ihrer eigenen Verträge mit dem Kunden und den Parkkunden als eigenständige Verantwortliche. Die Übermittlung der Buchungsdaten vom Portal an den Kunden ist eine Übermittlung zwischen zwei Verantwortlichen; der Anbieter ruft die Daten dabei im Namen und im Auftrag des Kunden ab — je nach Portal mit den Zugangsdaten des Kundenkontos beim Portal oder über einen vom Portal für den Kunden freigegebenen Zugang — und ausschließlich als dessen Auftragsverarbeiter. Vereinbarungen des Anbieters mit Portalen über den technischen Zugang zu deren Schnittstellen ändern diese Rollenverteilung nicht.
§ 9 Unterstützung bei Betroffenenrechten
Der Anbieter unterstützt den Kunden mit geeigneten Mitteln dabei, Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) zu beantworten. Direkt beim Anbieter eingehende Anfragen leitet er unverzüglich an den Kunden weiter.
§ 10 Meldung von Sicherheitsvorfällen
Der Anbieter meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und unterstützt ihn bei seinen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO sowie bei Datenschutz-Folgenabschätzungen.
§ 11 Löschung und Rückgabe
Nach Ende des Hauptvertrags gibt der Anbieter die Daten nach Wahl des Kunden heraus (Export nach § 11 der AGB) und löscht sie anschließend, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Löschung wird auf Wunsch in Textform bestätigt.
Wird lediglich eine einzelne Portal-Anbindung beendet — durch den Kunden oder durch das Portal —, bleiben die bis dahin übernommenen Buchungen im Konto des Kunden erhalten und unterliegen den allgemeinen Regeln dieser Vereinbarung (Weisungen des Kunden, Löschkonzept nach § 7, Export nach § 11 der AGB), sofern der Kunde nichts anderes anweist. Die für die Anbindung überlassenen Zugangsdaten des Kunden löscht der Anbieter mit Beendigung der Anbindung.
§ 12 Nachweise und Kontrollen
Der Anbieter stellt dem Kunden alle zum Nachweis der Einhaltung des Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen einschließlich Inspektionen — vorrangig durch aussagekräftige Unterlagen und Bestätigungen der eingesetzten Unterauftragsverarbeiter, bei berechtigtem Anlass auch durch weitere Auskünfte in Textform sowie durch Inspektionen, die der Kunde oder ein von ihm beauftragter Prüfer nach angemessener Vorankündigung während der üblichen Geschäftszeiten durchführt; die Vertraulichkeit und der Schutz der Daten anderer Kunden bleiben dabei gewahrt.
Stand: September 2026