Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") wird geschlossen zwischen:

Der AVV ergänzt die Allgemeinen Geschäftsbedingungen (AGB) und die Datenschutzerklärung der Plattform CheckinManager.

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der SaaS-Plattform „CheckinManager" zur Verwaltung von Veranstaltungen, Teilnehmern, Check-ins und zugehörigen Kommunikationsdiensten.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages (Nutzung der Plattform). Nach Vertragsende werden die Daten gemäß § 8 dieses AVV gelöscht.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

• Speicherung und Verwaltung von Teilnehmerdaten (Name, E-Mail, ggf. weitere vom Veranstalter erfasste Felder)
• Versand von E-Mails (Einladungen, Bestätigungen, Tickets) im Auftrag des Veranstalters
• Generierung und Validierung von QR-Codes für Check-in-Zwecke
• Erstellung von Statistiken und Berichten über Veranstaltungen
• Verarbeitung von Zahlungsdaten im Rahmen des Ticketverkaufs (über Stripe als Sub-Auftragsverarbeiter)
• Speicherung von Check-in-Zeitstempeln
• Bearbeitung von Supportanfragen des Verantwortlichen

Auf öffentlichen Veranstaltungs-, Anmelde- und Ticketseiten findet keine Reichweiten- oder Besuchermessung statt.

§ 3 Art der personenbezogenen Daten

Folgende Kategorien personenbezogener Daten werden verarbeitet:

• Stammdaten: Vorname, Nachname, E-Mail-Adresse
• Kontaktdaten: Telefonnummer, Adresse (sofern vom Veranstalter erfasst)
• Veranstaltungsdaten: Anmeldestatus, Check-in-Zeitpunkte, Ticket-Informationen, Panel-Zuordnungen
• Benutzerdefinierte Felder: Vom Veranstalter individuell konfigurierte Datenfelder
• Technische Daten: Bei der Selbstregistrierung von Teilnehmern werden IP-Adresse und Browser-Kennung (User-Agent) erfasst – zur Missbrauchs- und Mehrfachanmeldungserkennung sowie als Nachweis der erteilten Einwilligung. Die Verarbeitung erfolgt ausschließlich auf den Systemen des Auftragsverarbeiters in Deutschland; eine Übermittlung an Dritte findet nicht statt.
• Zahlungsdaten: Transaktions-IDs (keine Kreditkartennummern – diese verarbeitet ausschließlich Stripe)

§ 4 Kategorien betroffener Personen

• Teilnehmer/Gäste der vom Verantwortlichen organisierten Veranstaltungen
• Mitarbeiter/Team-Mitglieder des Verantwortlichen (Benutzerkonto-Daten)

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• (a) personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO);
• (b) sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben (Art. 28 Abs. 3 lit. b DSGVO);
• (c) alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen (siehe § 6);
• (d) den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO) zu unterstützen;
• (e) den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO zu unterstützen;
• (f) nach Beendigung der Verarbeitung alle personenbezogenen Daten zu löschen oder zurückzugeben (siehe § 8);
• (g) dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten zur Verfügung zu stellen und Überprüfungen zu ermöglichen.

§ 6 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter hat folgende Maßnahmen implementiert:

Vertraulichkeit

• Verschlüsselte Datenübertragung (TLS 1.2/1.3) für alle Verbindungen, HSTS mit einem Jahr Gültigkeit einschließlich Subdomains
• Zugriffskontrolle durch rollenbasiertes Berechtigungssystem (Admin, Staff, Checkin)
• Mandantentrennung: Jeder Verantwortliche kann ausschließlich auf die eigenen Veranstaltungs- und Teilnehmerdaten zugreifen
• Passwort-Hashing mit bcrypt (keine Speicherung von Passwörtern im Klartext)
• Rate-Limiting zum Schutz vor Brute-Force-Angriffen
• Sicherheits-Header: Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (deny), Referrer-Policy (no-referrer)
• Keine Speicherung von Kreditkartendaten (PCI-DSS-Verantwortung liegt bei Stripe)

Sofern der Verantwortliche über die vorstehenden Maßnahmen hinausgehende Anforderungen hat – etwa eine Verschlüsselung im Ruhezustand bei Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO – werden diese auf Anfrage gesondert vereinbart.

Integrität

• Eingabevalidierung auf Client- und Serverseite
• Schutz vor SQL-Injection durch ausschließliche Verwendung parametrisierter Abfragen (JPA/Hibernate)
• Ausgabe-Escaping des Frontend-Frameworks als XSS-Schutz
• Zustandslose Authentifizierung über Bearer-Token ohne Session-Cookies; dadurch besteht strukturell kein CSRF-Angriffsvektor
• Protokollierung administrativer Zugriffe des Auftragsverarbeiters (siehe § 6a)

Verfügbarkeit

• Hosting bei Hetzner Online GmbH, Rechenzentrum Deutschland (ISO/IEC 27001 zertifiziert)
• Automatische tägliche Datenbank-Backups mit 30 Tagen Aufbewahrung
• Docker-basierte Infrastruktur mit Health-Checks und automatischem Neustart
• Monitoring der Systemzustände mit Benachrichtigung bei Störungen

Belastbarkeit

• Regelmäßige Sicherheitsupdates von Betriebssystem und Anwendungskomponenten
• Dokumentierte Backup-Wiederherstellungsprozedur
• Getrennte Umgebungen für Produktiv- und Entwicklungsbetrieb
• Disposable-E-Mail-Erkennung, Captcha und Spam-Schutz für öffentliche Formulare

Datenschutz durch Technikgestaltung

• Konfigurierbare Löschfristen pro Veranstaltung (Voreinstellung: 30 Tage nach Veranstaltungsende)
• Double-Opt-In-Verfahren bei der Selbstregistrierung von Teilnehmern
• Datenminimierung: nur die für den Zweck erforderlichen Felder sind Pflichtangaben
• Exportfunktion (CSV) zur Erfüllung des Rechts auf Datenübertragbarkeit

§ 6a Administrativer Zugriff des Auftragsverarbeiters

(1) Der Auftragsverarbeiter unterhält einen technischen Administrationszugang, über den zum Zweck der Fehleranalyse, des Supports und der Systemwartung lesend und schreibend auf die im Auftrag verarbeiteten Daten – einschließlich Teilnehmerdaten – zugegriffen werden kann.

(2) Der Zugriff ist auf die für den Betrieb der Plattform verantwortliche Person beschränkt, die zur Vertraulichkeit verpflichtet ist.

(3) Ein Zugriff erfolgt ausschließlich anlassbezogen und nicht zu eigenen Zwecken des Auftragsverarbeiters.

(4) Zugriffe auf die Administrationsschnittstelle werden automatisiert protokolliert (Zeitpunkt, aufgerufene Funktion, IP-Adresse, Zugriffsergebnis). Die Protokolle dienen der Erkennung unberechtigter Zugriffe und werden nach der Frist gemäß § 8 Abs. 3 gelöscht.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann gegen solche Änderungen Einspruch erheben.

(3) Aktuelle Unterauftragsverarbeiter und weitere Empfänger:

(4) Der Verantwortliche wird ausdrücklich auf die in der Tabelle genannten Übermittlungen in Drittländer hingewiesen. Sofern der Verantwortliche einzelne dieser Übermittlungen nicht akzeptiert, ist dies vor Vertragsschluss anzuzeigen; der Auftragsverarbeiter prüft in diesem Fall den Verzicht auf den betreffenden Dienst.

§ 8 Löschung und Rückgabe von Daten

(1) Nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht besteht.

(2) Für Teilnehmerdaten gilt eine je Veranstaltung konfigurierbare Löschfrist. Ohne abweichende Einstellung werden die Daten 30 Tage nach Veranstaltungsende zur Löschung fällig und anschließend anonymisiert.

(3) Für die im Rahmen des Plattformbetriebs anfallenden technischen Daten gelten folgende Fristen:

(4) Der Verantwortliche kann jederzeit einen Datenexport (CSV) seiner Teilnehmerdaten anfordern.

(5) Der Verantwortliche kann jederzeit die vorzeitige Löschung einzelner Datensätze oder aller ihn betreffenden Daten verlangen. Die Löschung wird auf Anfrage schriftlich bestätigt.

(6) Eine Löschung aus Backups erfolgt spätestens mit Ablauf der Backup-Aufbewahrungsfrist nach Absatz 3.

§ 9 Meldepflicht bei Datenschutzverletzungen

(1) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält mindestens:

• eine Beschreibung der Art der Verletzung
• die Kategorien und ungefähre Anzahl der betroffenen Personen
• eine Beschreibung der wahrscheinlichen Folgen
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen

§ 10 Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche hat das Recht, die Einhaltung dieses AVV zu überprüfen, auch durch Inspektionen.

(2) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zur Verfügung und unterstützt bei Audits.

(3) Inspektionen sind mit angemessener Vorankündigung (mindestens 14 Tage) durchzuführen.

§ 11 Schlussbestimmungen

(1) Dieser AVV unterliegt deutschem Recht.

(2) Änderungen dieses AVV bedürfen der Schriftform.

(3) Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Dieser AVV tritt mit Registrierung des Kundenkontos in Kraft und gilt für die Dauer der Nutzung der Plattform.