Auftragsverarbeitungsvertrag

1. Gegenstand

Der Anbieter (REDCAT Media, Betreiber von OnlyGoodVibes, nachfolgend „Auftragsverarbeiter“) verarbeitet im Auftrag des Veranstalters (nachfolgend „Verantwortlicher“) personenbezogene Daten von Ticketkäufern, Teammitgliedern und Interessenten, soweit dies zur Bereitstellung des Ticketshops, des Einlass-Scanners und der zugehörigen Benachrichtigungen erforderlich ist. Dieser Vertrag konkretisiert die Pflichten der Parteien nach Art. 28 DSGVO.

2. Art und Zweck der Verarbeitung

Verarbeitet werden Name, E-Mail-Adresse, Bestell- und Zahlungsdaten (ohne vollständige Kartendaten), Ticketstatus, Einlasszeitpunkte sowie technische Protokolldaten. Zweck ist der Verkauf, die Ausstellung und Kontrolle von Tickets, der Versand der Bestätigungen und die Erfüllung gesetzlicher Aufbewahrungspflichten. Betroffene sind Käufer, Ticketinhaber und Nutzer des Backends.

3. Weisungen

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen ergeben sich aus diesem Vertrag, den AGB und den Einstellungen, die der Verantwortliche im Backend vornimmt. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

4. Vertraulichkeit und Sicherheit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO: verschlüsselte Übertragung (TLS), verschlüsselte Speicherung von Zugangsdaten und Zahlungsschlüsseln, Mandantentrennung auf Datenbankebene, rollenbasierte Zugriffe, Protokollierung von Änderungen, tägliche Backups und regelmäßige Sicherheitsupdates.

5. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu: Hosting in Deutschland (Serverbetrieb), Brevo (Sendinblue GmbH, Berlin) für den Versand transaktionaler E-Mails, Stripe Payments Europe Ltd. (Irland) und PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg) für die Zahlungsabwicklung, soweit der Verantwortliche diese Zahlungsarten aktiviert. Änderungen werden mit einer Frist von 30 Tagen angekündigt; der Verantwortliche kann aus wichtigem Grund widersprechen.

6. Rechte der Betroffenen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Auskunfts-, Berichtigungs-, Löschungs- und Übertragbarkeitsanfragen. Anfragen von Betroffenen, die den Auftragsverarbeiter direkt erreichen, werden unverzüglich an den Verantwortlichen weitergeleitet. Exporte und Löschungen einzelner Käuferdaten stellt der Auftragsverarbeiter über das Backend oder auf Anfrage bereit.

7. Meldung von Verletzungen

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen ohne unangemessene Verzögerung, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben.

8. Löschung und Rückgabe

Nach Beendigung des Vertrags werden die Daten des Verantwortlichen 90 Tage vorgehalten und danach gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Auf Wunsch erhält der Verantwortliche vorher einen Export seiner Bestell- und Ticketdaten.

9. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen in angemessenem Umfang nach vorheriger Abstimmung.

10. Laufzeit

Dieser Vertrag gilt für die Dauer der Nutzung von OnlyGoodVibes und endet mit der Löschung des Veranstalterkontos. Die Zustimmung erfolgt elektronisch bei der Registrierung; Version, Zeitpunkt und IP-Adresse werden protokolliert. Eine Kopie kann jederzeit über diese Seite abgerufen werden.