2.1 Art und Zweck der Verarbeitung der Daten durch den Auftragsverarbeiter ergeben sich aus dem Hauptvertrag. Dieser umfasst folgende Tätigkeiten und Zwecke:
a) Vermittlung und Management (z. B. Umbuchung, Stornierung, Erstellung von Auswertungen) von Reisemitteln im Sinne eines Geschäftsreisebüros;
b) Ab-/Verrechnung der bezogenen Reisemittel im Sinne eines Geschäftsreisebüros;
c) Ermittlung von Rückerstattungs- bzw. Entschädigungsansprüchen (z. B. gemäß der EU-Fluggastrechteverordnung) anhand einer Auswertung der Reisedaten und Vermittlung eines spezialisierten Drittdienstleisters, der die Forderungsdurchsetzung unter Nutzung der Reisedaten im Kundenauftrag übernimmt;
d) Erteilung von Hinweisen auf erforderliche Visa anhand einer Auswertung der Reisedaten und Vermittlung eines spezialisierten Drittdienstleisters, der die Visumbeantragung und -abwicklung unter Nutzung der Reisedaten im Kundenauftrag übernimmt;
e) Sofern der Verantwortliche Vertragspartner der Circula GmbH, Schönhauser Allee 148, 10435 Berlin („Circula“) ist und den Auftragsverarbeiter mit dem Datenaustausch mit Circula beauftragt, überlässt der Auftragsverarbeiter nachfolgende Daten an Circula: E-Mail-Adresse des Reisenden sowie Reisedaten (u. a. Informationen zur Übernachtung oder zum Reisemittel nebst der jeweiligen Kosten), um eine Reisekostenabrechnung durch Circula im Auftrag des Verantwortlichen zu ermöglichen.
‍
2.2 Die Verarbeitung der Daten findet grundsätzlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verarbeitung in einem Drittland darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

Die Kategorien der durch den Umgang mit den Daten im Rahmen dieser Vereinbarung betroffenen Personen umfasst:
a) Mitarbeiter (z. B. Angestellte, Auszubildende, Leiharbeiter, freie Mitarbeiter);
b) Sonstige Personen, die im Auftrag oder durch den Verantwortlichen vermittelt reisen.

Von der Auftragsverarbeitung sind folgende Datenarten betroffen:
a) Stammdaten (z. B. Name, Titel/akademischer Grad, Geburtsdatum, Sprache, Nationalität);
b) Kontaktdaten (z. B. E-Mail-Adresse, Telefonnummer, Anschrift);
c) Kommunikationsdaten (z. B. Kommunikationsinhalte und -metadaten der E-Mails);
d) Reisedaten (z. B. Datum, Uhrzeit, gewählte Reisemittel, Flugnummer, Passnummer);
e) Abrechnungsdaten (z. B. Rechnungsdetails, Bankverbindung, Kreditkarteninformationen, Zahlungsinformationen);
f) Daten zum Arbeitsverhältnis (z. B. der Reisende ist Arbeitnehmer des Verantwortlichen);
g) Daten zu Reisepräferenzen (z. B. Preisspanne, bevorzuge Airlines, ruhiges Zimmer, Treuebonussysteme wie z. B. Miles&More);
h) Daten zu Rückerstattungs- bzw. Entschädigungsansprüchen (z. B. Höhe der Fluggastentschädigung, Betroffener, Mitreisende).

5.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der Betroffenen verantwortlich.
5.2 Der Verantwortliche ist berechtigt, Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Mündliche Weisungen sind auf Verlangen des Verantwortlichen unverzüglich vom Auftragsverarbeiter schriftlich oder in Textform (z .B. per E-Mail) zu bestätigen.
5.3 Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn Fehler oder Unregelmäßigkeiten im Zusammenhang mit der Verarbeitung von Daten durch den Auftragsverarbeiter festgestellt werden.

6.1 Der Auftragsverarbeiter wird die Daten ausschließlich nach Maßgabe dieser Vereinbarung und/oder des zugrundeliegenden Hauptvertrages sowie nach den Weisungen des Verantwortlichen verarbeiten. Der Auftragsverarbeiter stellt dies durch geeignete Kontrollen sicher.
6.2 Der Auftragsverarbeiter wird den Verantwortlichen bei der Erfüllung der Rechte der Betroffenen (Kapitel III der DSGVO), insbesondere im Hinblick auf Berichtigung, Einschränkung der Verarbeitung und Löschung, Benachrichtigung und Auskunftserteilung, im Rahmen seiner Möglichkeiten unterstützen.
6.3 Soweit sich nichts anderes aus den geltenden Gesetzen ergibt, hat der Auftragsverarbeiter auf Weisung des Verantwortlichen die Daten zu berichtigen, zu löschen oder die Verarbeitung einzuschränken.
6.4 Soweit sich eine betroffene Person unmittelbar an den Auftragsverarbeiter zur Ausübung seiner Betroffenenrechte wendet, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich nach Erhalt an den Verantwortlichen weiterleiten.
6.5. Der Auftragsverarbeiter bestätigt, dass er einen Datenschutzbeauftragten bestellt hat und die Einhaltung der Vorschriften zum Datenschutz und zur Datensicherheit unter Einbeziehung des Datenschutzbeauftragten überwacht. Datenschutzbeauftragter des Auftragsverarbeiters ist derzeit:

‍Widegreen & Data GmbH, vertreten durch den GF Hans-Chr. Widegreen, Wrangelstraße 5, 10997 Berlin,
E-Mail: hcw@anddata.de.

6.6 Für den Fall, dass der Auftragsverarbeiter feststellt oder Tatsachen die Annahme begründen, dass von ihm für den Verantwortlichen verarbeiteten Daten einer Verletzung des gesetzlichen Schutzes personenbezogener Daten gem. Art. 33 DSGVO (Datenschutzverstoß bzw. Datenpanne) unterliegen, hat der Auftragsverarbeiter den Verantwortlichen unverzüglich und vollständig unter Berücksichtigung der gesetzlichen Vorgaben zu informieren.
6.7 Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung von Daten beschäftigten Personen schriftlich zur Vertraulichkeit.
6.8 Der Auftragsverarbeiter wird den Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützen.
6.9 Nach Beendigung des Hauptvertrages wird der Auftragsverarbeiter alle im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen entweder löschen oder zurückgeben, sofern der Löschung dieser Daten keine gesetzlichen Aufbewahrungspflichten des Auftragsverarbeiters entgegenstehen. Die datenschutzgerechte Löschung ist auf Verlangen zu dokumentieren und gegenüber dem Verantwortlichen auf Anforderung zu bestätigen.