Zwischen dem Kunden, der diesem Vertrag in der Plattform zustimmt, mit den Angaben aus den Stammdaten seines Kundenkontos – nachfolgend „Verantwortlicher“ –
und Einlasshelden.de – Inh. Sebastian Reinhardt Einzelunternehmen Peperkamp 2 25451 Quickborn, Deutschland – nachfolgend „Auftragsverarbeiter“ –
– Verantwortlicher und Auftragsverarbeiter einzeln auch „Partei“, gemeinsam „Parteien“ –
Präambel
Der Auftragsverarbeiter stellt dem Verantwortlichen die Software-as-a-Service-Plattform „Einlasshelden“ (auch unter der Marke „GateHeroes“) zur Verwaltung von Veranstaltungen bereit (u. a. Anmeldung/Registrierung von Gästen, Ausstellung und Prüfung von Zutrittsberechtigungen/Tickets, Einlasskontrolle, Gästekommunikation per E-Mail sowie zugehörige Auswertungen). Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen.
Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit dieser Verarbeitung im Auftrag (Art. 28 DSGVO). Er gilt für alle Tätigkeiten, die der Auftragsverarbeiter im Rahmen des zugrunde liegenden Hauptvertrags (Nutzungs-/Leistungsvertrag über die Plattform, nachfolgend „Hauptvertrag“) für den Verantwortlichen erbringt und bei denen personenbezogene Daten verarbeitet werden.
§ 1 Gegenstand, Art und Zweck, Dauer der Verarbeitung
(1) Gegenstand der Verarbeitung ist die Erbringung der im Hauptvertrag vereinbarten Plattformleistungen. Einzelheiten zu Gegenstand, Art, Zweck der Verarbeitung, den Arten personenbezogener Daten und den Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1.
(2) Art der Verarbeitung umfasst insbesondere das Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln (E-Mail-Versand), Einschränken, Löschen und Vernichten personenbezogener Daten mittels der Plattform.
(3) Zweck der Verarbeitung ist die Durchführung und Verwaltung von Veranstaltungen des Verantwortlichen (Anmeldung, Zutritt, Kommunikation). Soweit der Auftragsverarbeiter Daten zu eigenen Zwecken verarbeitet (Abrechnung, Prüfung veröffentlichter Inhalte nach den Nutzungsbedingungen), ist er dafür selbst Verantwortlicher; dies regelt die Datenschutzerklärung.
(4) Dauer. Die Verarbeitung im Auftrag beginnt mit Wirksamwerden des Hauptvertrags und ist auf dessen Laufzeit befristet. Dieser Vertrag endet mit Beendigung des Hauptvertrags, jedoch nicht vor Abschluss der Löschung bzw. Rückgabe nach § 9 (30 Tage Lesezugang mit Export, danach Löschung); die Pflichten zur Löschung/Rückgabe (§ 9) sowie fortbestehende Vertraulichkeitspflichten bleiben davon unberührt.
(5) Ort der Verarbeitung. Die Verarbeitung findet in einem Mitgliedstaat der EU / des EWR statt; Ausnahmen nennt Anlage 3 (siehe § 4 Abs. 10). Eine Verlagerung in ein Drittland bedarf der Voraussetzungen des § 4 Abs. 10.
§ 2 Weisungsbindung und Rechte des Verantwortlichen
(1) Der Verantwortliche ist im Rahmen dieses Vertrags für die Beurteilung der Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich (Art. 4 Nr. 7, Art. 24 DSGVO).
(2) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a, Art. 29 DSGVO), es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(3) Die konkreten Weisungen ergeben sich zunächst aus diesem Vertrag und dem Hauptvertrag. Der Verantwortliche erteilt Weisungen im Regelfall durch Nutzung der Funktionen und Konfigurationseinstellungen der Plattform (z. B. Anlegen/Löschen von Veranstaltungen und Gästen, Definition von Formularfeldern und Rechtstexten, Auslösen des E-Mail-Versands). Darüber hinausgehende Einzelweisungen erfolgen in Textform (z. B. E-Mail) an die in § 8 benannte Kontaktstelle. Verbraucher können Weisungen auch über die von der Plattform bereitgestellten Standardfunktionen (z. B. Lösch-Buttons im Dashboard) erteilen.
(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.
(5) Mündliche Weisungen bestätigt der Verantwortliche unverzüglich in Textform.
(6) Eigene Sicherheitsprüfungen des Auftragsverarbeiters. Unbeschadet der Weisungsbindung gegenüber dem Verantwortlichen nimmt der Verantwortliche zur Kenntnis, dass der Auftragsverarbeiter auf Grundlage eigener rechtlicher Verpflichtungen (u. a. Verordnung (EU) 2022/2065, Gesetz über digitale Dienste) und eigener berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO, Gewährleistung der Netz- und Informationssicherheit) automatisierte Systeme einschließlich KI-Diensten und Schadsoftware-Prüfungen einsetzt, um veröffentlichte Inhalte (Landingpages einschließlich der Rechtstexte des Verantwortlichen, Aushänge und deren Ziele sowie hochgeladene Dateien vor ihrer Veröffentlichung) auf rechtswidrige Inhalte, Phishing und Schadsoftware zu prüfen; Dateien, die Gäste hochladen, prüft er vor ihrer Bereitstellung auf Schadsoftware. E-Mails und Aussendungen werden nicht geprüft. Zur Abwehr von Missbrauch drosselt der Auftragsverarbeiter Anfragen an öffentliche Formulare und Uploads und protokolliert dabei IP-Adressen, die er nach 14 Tagen löscht. Diese Prüfungen und Protokolle sind nicht Teil des Auftrags; der Auftragsverarbeiter führt sie zu eigenen Zwecken durch (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit der Verordnung (EU) 2022/2065, Art. 6 Abs. 1 lit. f DSGVO). Sie dienen der Sicherung der eigenen Service-Systeme und sind für den sicheren Betrieb der Plattform notwendig. Insoweit ist der Auftragsverarbeiter eigener Verantwortlicher; die Einzelheiten beschreiben § 8 Abs. 3 der Nutzungsbedingungen und die Datenschutzerklärung.
(7) Gast-Dateien. Der Auftragsverarbeiter darf eine einzelne Datei, die ein Gast hochgeladen hat, nach § 5 Abs. 4 und § 9 Abs. 1 Buchstabe a der Nutzungsbedingungen sperren oder entfernen; der Verantwortliche erteilt die Weisung dazu mit diesem Vertrag. Der Auftragsverarbeiter teilt ihm die Maßnahme mit.
(8) Kunde als Auftragsverarbeiter eines Dritten. Handelt der Verantwortliche selbst als Auftragsverarbeiter eines Dritten (z. B. eine Agentur für ihren Endkunden), gilt dieser Vertrag als Vertrag mit einem weiteren Auftragsverarbeiter nach Art. 28 Abs. 4 DSGVO. Der Verantwortliche sichert zu, dass er die Weisungen des Dritten weitergibt und dessen Genehmigung der Unterauftragsverarbeiter nach Anlage 3 eingeholt hat; Mitteilungen nach § 5 gibt er an den Dritten weiter.
§ 3 Art der Daten und Kreis der Betroffenen
Gegenstand der Verarbeitung sind die in Anlage 1 abschließend beschriebenen Arten personenbezogener Daten und Kategorien betroffener Personen. Der Verantwortliche stellt sicher, dass die von ihm bzw. den betroffenen Personen in die Plattform eingegebenen Daten für den Verarbeitungszweck erforderlich sind. Erfasst der Verantwortliche besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), kennzeichnet er die betreffenden Felder in der Plattform als solche und stellt die Voraussetzungen des Art. 9 DSGVO eigenverantwortlich sicher. Upload-Felder können dieselbe Kennzeichnung tragen; Gesundheitsdaten und andere besondere Kategorien darf der Verantwortliche über ein Upload-Feld nur mit gekennzeichnetem Feld erheben.
§ 4 Pflichten des Auftragsverarbeiters
(1) Verarbeitung nur auf Weisung. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur im Rahmen des Auftrags und nach Weisung des Verantwortlichen gemäß § 2.
(2) Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzbestimmungen vertraut gemacht wurden. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der Tätigkeit fort.
(3) Technische und organisatorische Maßnahmen (Art. 32 DSGVO). Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen und hält sie während der Vertragslaufzeit ein. Die Maßnahmen unterliegen dem technischen Fortschritt; der Auftragsverarbeiter darf sie fortentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen auf Anfrage mit.
(4) Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e, Art. 12–23 DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen durch geeignete technische und organisatorische Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) nachzukommen. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.
(4a) Sperren nach den Bestellbedingungen. Bei einer Sperre nach den Bestellbedingungen (insbesondere wegen einer Rückbuchung, § 8 Abs. 3 der Bestellbedingungen) bleiben die Daten vollständig einsehbar, die Auskunft je Gast und die Löschung möglich; gesperrt sind nur gesammelte Exporte und neue Daten. Einen Export zur Erfüllung von Betroffenenrechten oder auf Anforderung des Verantwortlichen in Textform stellt der Auftragsverarbeiter auch während der Sperre unverzüglich, spätestens binnen 3 Werktagen, bereit.
(5) Unterstützung bei Sicherheit, Meldepflichten und DSFA (Art. 28 Abs. 3 lit. f, Art. 32–36 DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Benachrichtigung betroffener Personen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
(6) Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33 DSGVO). Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die im Rahmen dieses Auftrags verarbeitet werden, unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden, in Textform an die in § 8 benannte Kontaktstelle. Die Meldung enthält mindestens die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit verfügbar. Der Auftragsverarbeiter trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich mit dem Verantwortlichen ab.
(7) Datenschutzbeauftragter / Ansprechpartner. Der Auftragsverarbeiter benennt eine für den Datenschutz zuständige Kontaktstelle (§ 8). Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO nicht verpflichtend bestellt.
(8) Nachweis (Art. 28 Abs. 3 lit. h DSGVO). Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.
(9) Berichtigung, Einschränkung, Löschung. Der Auftragsverarbeiter berichtigt, löscht oder schränkt die Verarbeitung der Auftragsdaten nur nach Weisung des Verantwortlichen ein. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragsverarbeiter wendet, gilt Abs. 4.
(10) Ort der Verarbeitung / Drittlandtransfer. Die Verarbeitung erfolgt innerhalb der EU/des EWR; Ausnahmen nennt Anlage 3. Eine Übermittlung in ein Drittland oder an eine internationale Organisation erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (insb. Angemessenheitsbeschluss oder geeignete Garantien wie EU-Standardvertragsklauseln) und der Verantwortliche zugestimmt hat. Für die in Anlage 3 genannten Übermittlungen gilt die Zustimmung mit Abschluss dieses Vertrags als erteilt.
§ 5 Unterauftragsverhältnisse (Art. 28 Abs. 2 und 4 DSGVO)
(1) Allgemeine Genehmigung. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter bestimmt Anlage 3 abschließend; sie werden hiermit genehmigt.
(2) Änderungen. Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Verantwortlichen hierüber vorab in Textform mit einer Frist von 30 Tagen. Von dieser Frist kann er abweichen, wenn die Änderung a) für den Verantwortlichen ausschließlich vorteilhaft ist, b) zwingendem Gesetz oder einer vollstreckbaren behördlichen oder gerichtlichen Anordnung folgt und die Frist deshalb nicht eingehalten werden kann oder c) wegen unvorhersehbarer Sicherheitsrisiken sofort erforderlich ist. Fällt ein Unterauftragsverarbeiter unvorhersehbar weg (etwa durch Insolvenz, eine Verletzung des Schutzes personenbezogener Daten bei ihm oder einen vollständigen Ausfall seiner Leistung), darf der Auftragsverarbeiter ihn durch einen in Anlage 3 als Reserve genannten Unterauftragsverarbeiter sofort ersetzen; er informiert den Verantwortlichen unverzüglich danach. Der Verantwortliche kann der Änderung innerhalb von 30 Tagen nach der Information aus sachlich gerechtfertigten, datenschutzrechtlichen Gründen in Textform widersprechen. Im Fall eines berechtigten Widerspruchs kann der Verantwortliche den Hauptvertrag insgesamt außerordentlich kündigen (Sonderkündigungsrecht), wahlweise mit Zugang der Kündigung oder zu einem von ihm genannten späteren Termin, spätestens zum Tag vor dem Wechsel; wurde der Unterauftragsverarbeiter wegen unvorhersehbaren Wegfalls bereits ersetzt (Satz 3), wird die Kündigung mit ihrem Zugang wirksam. Der Auftragsverarbeiter erstattet den Preis anteilig nach § 12 Abs. 3 der Nutzungsbedingungen. Die jeweils aktuelle Liste der Unterauftragsverarbeiter mit ihrem Änderungsverlauf veröffentlicht der Auftragsverarbeiter unter einer festen, öffentlich ohne Anmeldung abrufbaren Adresse auf seiner Website (für Einlasshelden auf einlasshelden.de, für GateHeroes auf gateheroes.events); eine Änderung nach diesem Absatz ist eine Information und bedarf keiner Zustimmung zu einer neuen Fassung dieses Vertrags (§ 11 Abs. 5).
(3) Weitergabe der Pflichten (Flow-down). Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag im Wesentlichen gleichwertige Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO).
(4) Haftung. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters wie für eigenes Handeln.
(5) Keine Unterauftragsverarbeitung sind Nebenleistungen, die der Auftragsverarbeiter als reine Fremdleistung in Anspruch nimmt (z. B. Telekommunikation, reine Wartung), sofern der Auftragsverarbeiter angemessene Maßnahmen zur Gewährleistung des Datenschutzes trifft.
§ 6 Kontrollrechte des Verantwortlichen (Art. 28 Abs. 3 lit. h DSGVO)
(1) Der Auftragsverarbeiter ermöglicht dem Verantwortlichen die Überprüfung der Einhaltung der in diesem Vertrag festgelegten Pflichten und stellt die dafür erforderlichen Informationen auf Anforderung zur Verfügung. Er ermöglicht und trägt zu Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, bei.
(2) Die Nachweise können erbracht werden durch: Vorlage der aktuellen Dokumentation der technischen und organisatorischen Maßnahmen (Anlage 2), Vorlage geeigneter Zertifikate/Testate der Unterauftragsverarbeiter (z. B. ISO 27001 des Rechenzentrumsbetreibers) sowie ergänzende Auskünfte.
(3) Nachweise nach Absatz 2 haben Vorrang. Vor-Ort-Kontrollen sind mit einer Vorankündigung von 30 Tagen, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und höchstens einmal jährlich (sowie anlassbezogen bei konkretem Verdacht jederzeit) durchzuführen. Die Vertraulichkeit anderer Kunden des Auftragsverarbeiters ist zu wahren.
(4) Vergütung. Führt der Verantwortliche eine Vor-Ort-Kontrolle nach Absatz 3 durch, vergütet er dem Auftragsverarbeiter den dafür entstehenden Aufwand mit 120 Euro je Stunde netto zuzüglich gesetzlicher Umsatzsteuer. Diese Kostenpflicht gilt ausschließlich gegenüber Unternehmern, juristischen Personen des öffentlichen Rechts und öffentlich-rechtlichen Sondervermögen. Gegenüber Verbrauchern erfolgt die erforderliche Mitwirkung bei Kontrollen unentgeltlich. Die Kostenpflicht gilt nicht, wenn die Kontrolle durch einen datenschutzrechtlichen Verstoß des Auftragsverarbeiters veranlasst wurde. Die Unterstützung nach § 4 Abs. 4 und 5 und die Bereitstellung von Nachweisen sind kostenfrei.
§ 7 Mitteilungs- und Unterstützungspflichten bei Aufsichtsmaßnahmen
Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf die Auftragsverarbeitung beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeiten- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten beim Auftragsverarbeiter ermittelt.
§ 8 Kontaktstellen
Für den Verantwortlichen: die Kontakt-E-Mail-Adresse aus den Stammdaten des Kundenkontos
Für den Auftragsverarbeiter: Sebastian Reinhardt, Inhaber, datenschutz@einlasshelden.de
Weisungen, Meldungen und Mitteilungen nach diesem Vertrag erfolgen in Textform an die vorstehenden Kontaktstellen. Änderungen der Kontaktstellen sind der jeweils anderen Partei mitzuteilen.
§ 9 Löschung und Rückgabe nach Beendigung (Art. 28 Abs. 3 lit. g DSGVO)
(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach Unionsrecht oder mitgliedstaatlichem Recht eine Verpflichtung zur Speicherung besteht. Die Nachweise der Gäste (Einwilligungen, Rechtstext-Annahmen) gehören zum Export nach Absatz 3. Auf Weisung des Verantwortlichen, die er mit diesem Vertrag erteilt, bewahrt der Auftragsverarbeiter sie darüber hinaus bis zum Ende des dritten Jahres nach dem Jahr auf, in dem der Vertrag endete, ausschließlich zur Herausgabe an den Verantwortlichen und für jede andere Verarbeitung gesperrt; für diese Daten gilt dieser Vertrag fort.
(2) Der Verantwortliche teilt die gewünschte Variante (Löschung oder Rückgabe) bis spätestens 30 Tage nach Vertragsende in Textform mit. Ohne Mitteilung ist der Auftragsverarbeiter nach Ablauf dieser Frist zur Löschung berechtigt.
(3) Die Rückgabe erfolgt in einem gängigen, strukturierten, maschinenlesbaren Format. Der Export des Kundenkontos, den der Verantwortliche in der Frist nach Absatz 2 selbst abrufen kann, ist die Rückgabe nach Absatz 1. Die Bestätigung der Kündigung nennt beide Wege, den Tag der Löschung und den Weg zum Export; sieben Tage vor der Löschung erinnert der Auftragsverarbeiter daran. Eine Sperre wegen einer Rückbuchung schränkt die Rückgabe nach Absatz 1 nicht ein.
(4) Die Löschung umfasst auch die Datensicherungen. Auf dem Server bewahrt der Auftragsverarbeiter jede Sicherung 14 Tage auf, danach eine Sicherung je Woche bis zu acht Wochen, und löscht sie dann. Die Sicherungskopien außerhalb des Servers sind verschlüsselt; der Auftragsverarbeiter erneuert die Schlüssel halbjährlich und vernichtet einen Schlüssel, sobald der übernächste in Gebrauch genommen wird. Mit der Vernichtung des Schlüssels sind die damit verschlüsselten Kopien nicht mehr lesbar, spätestens 18 Monate nach ihrer Erstellung. Bis dahin sind die Sicherungskopien gesperrt, und die Verarbeitung bleibt auf die bloße Speicherung zur Wiederherstellung beschränkt.
(5) Der Auftragsverarbeiter weist die Löschung auf Verlangen in geeigneter Weise nach (Löschprotokoll des Kundenkontos).
§ 10 Haftung
(1) Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen des Hauptvertrags (Nutzungsbedingungen § 11), soweit sie zwingendem Recht nicht widersprechen.
(2) Der Verantwortliche und der Auftragsverarbeiter haften gegenüber betroffenen Personen nach Maßgabe des Art. 82 DSGVO.
§ 11 Schlussbestimmungen
(1) Rangfolge. Bei Widersprüchen zwischen diesem Vertrag und Regelungen des Hauptvertrags gehen die Regelungen dieses Vertrags in datenschutzrechtlichen Fragen vor. Die Anlagen sind Bestandteil dieses Vertrags; bei Widersprüchen zwischen Vertragstext und Anlagen geht der Vertragstext vor, soweit die Anlage nicht ausdrücklich Vorrang beansprucht.
(2) Schriftform/Textform. Änderungen und Ergänzungen dieses Vertrags sowie seiner Anlagen bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Textformerfordernisses.
(3) Salvatorische Klausel. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.
(4) Anwendbares Recht. Es gilt das Recht der Bundesrepublik Deutschland unter Beachtung der DSGVO. Ist der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Gerichtsstand der Sitz des Auftragsverarbeiters.
(5) Änderungen. Der Auftragsverarbeiter kündigt eine neue Fassung dieses Vertrags mindestens 30 Tage vor ihrem Inkrafttreten in Textform an. Von dieser Frist kann er abweichen, wenn die Änderung a) für den Verantwortlichen ausschließlich vorteilhaft ist, b) zwingendem Gesetz oder einer vollstreckbaren behördlichen oder gerichtlichen Anordnung folgt und die Frist deshalb nicht eingehalten werden kann oder c) wegen unvorhersehbarer Sicherheitsrisiken sofort erforderlich ist. Die neue Fassung gilt, wenn der Verantwortliche ihr zustimmt; bis dahin gilt die bisherige Fassung, und die Plattform bleibt für ihn nutzbar; neue Leistungen kann er ab dem Inkrafttreten der neuen Fassung erst kaufen, wenn er ihr zugestimmt hat. Was er gekauft hat, seine Veranstaltungen und der Einlass laufen unverändert weiter. Eine Zustimmung durch Schweigen gibt es nicht. Stimmt der Verantwortliche nicht zu, kann er den Hauptvertrag jederzeit mit sofortiger Wirkung oder zum Ende seiner freigeschalteten Leistungen kündigen (§ 12 Abs. 2 der Nutzungsbedingungen). Neue Unterauftragsverarbeiter und redaktionelle Änderungen ohne Einfluss auf Rechte und Pflichten teilt der Auftragsverarbeiter nur mit; sie bedürfen keiner Zustimmung (§ 5 Abs. 2).
(6) Sprache. Gegenüber Kunden, die nicht Verbraucher sind, ist die deutsche Fassung dieses Vertrags maßgeblich. Gegenüber Verbrauchern gilt die Fassung in der Sprache, in der sie zugestimmt haben; die Sprache hält der Auftragsverarbeiter bei der Zustimmung fest. Alle Sprachfassungen sind inhaltlich identisch.
(7) Inkrafttreten. Dieser Vertrag tritt in Kraft, wenn der Verantwortliche ihm in der Plattform zustimmt, frühestens mit Wirksamwerden des Hauptvertrags.
Anlage 1 — Gegenstand der Verarbeitung, Datenarten, Kategorien Betroffener
1. Gegenstand und Zweck
Verwaltung von Veranstaltungen des Verantwortlichen über die Plattform „Einlasshelden“: Anmeldung/Registrierung von Gästen, Ausstellung und Prüfung von Zutrittsberechtigungen/Tickets, Einlasskontrolle (auch offline über Geräte mit dem Torwächter, der Einlass-App der Plattform), Gästekommunikation per E-Mail. Die Verwaltung der Vertragsbeziehung mit dem Verantwortlichen (Kundenkonto, Anmeldung, Einladungen, Abrechnung) ist keine Auftragsverarbeitung; sie beschreibt die Datenschutzerklärung.
2. Art der Verarbeitung
Erheben, Erfassen, Speichern, Organisieren, Auslesen, Verwenden, Übermitteln (E-Mail-Versand an Gäste sowie Betriebs-/Transaktionsmails), Einschränken, Löschen. Automatisierte Verarbeitung in einer Datenbank; teilautomatisierter Offline-Abgleich auf Einlass-Geräten.
3. Kategorien betroffener Personen
– Veranstaltungsgäste / Teilnehmer (inkl. sich selbst registrierende Personen). – Nutzer des Verantwortlichen (Mitarbeiter/Beauftragte, die die Plattform bedienen: Organisatoren, Einlasspersonal). – Ggf. weitere natürliche Personen, deren Daten der Verantwortliche in Freitext-/Individualfeldern erfasst.
4. Arten personenbezogener Daten
a) Gästedaten
– Name (Pflichtangabe) – E-Mail-Adresse (als Zustell-/„Postfach“-Attribut) – Werte frei definierbarer Individualfelder (Text, Auswahl, Zahl, Datum, Telefon, Datei-Upload u. a.) — Inhalt vom Verantwortlichen bestimmt – Datei-Uploads (vom Gast hochgeladene Dateien; Inhalt vom Verantwortlichen bestimmt) – Zutritts-/Statusdaten: pseudonyme Zutritts-Codes, Zuordnung zu Checkpoints/Gruppen, Sperr-/Abruf-/Prüf-Status – Einlass-/Scan-Protokolldaten: Zeitpunkt, Ergebnis (Einlass/Wiederholung/ungültig), Checkpoint, ausführender Bediener – Marketing-Einwilligungen und deren Nachweise (Status, Herkunft, wörtlicher Einwilligungstext, Zeitpunkt) – Nachweise zur Annahme von Rechtstexten (wörtlicher Textstand, Sprache, E-Mail)
b) Daten der Nutzer des Verantwortlichen, soweit sie an Gästedaten hängen
– Bediener im Einlass-/Scan-Protokoll und im Verlauf einer Gast-Datei (Kennung des Nutzers bzw. Geräts)
c) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) — möglich
Über frei definierbare Formularfelder (Text/Textarea) und frei formulierte Rechtstexte können besondere Kategorien erfasst werden; die Kennzeichnung obliegt dem Verantwortlichen (§ 3).
d) Inhalte des Verantwortlichen
– Inhalte von Landingpages, Mediathek und Aushängen, soweit sie Personen zeigen oder nennen (Bilder, Videos, Audio, Texte); Datei-Uploads der Gäste auch als Video und Audio
5. Dauer der Speicherung
Für die Dauer des Hauptvertrags bzw. bis zur weisungsgemäßen Löschung durch den Verantwortlichen. Die Plattform löscht Gästedaten automatisch 90 Tage nach dem Ende des Termins der Veranstaltung oder ihrem erklärten Abschluss, nie früher als 90 Tage nach der letzten Aktivität; vorher warnt sie den Verantwortlichen per E-Mail, außer er hat die Veranstaltung selbst abgeschlossen. Wer die Daten länger aufbewahren muss, exportiert sie vorher. Diese Frist ist Teil der Leistungsbeschreibung; mit dem Vertragsschluss weist der Verantwortliche die Löschung an. Dateien, die Gäste hochgeladen haben, werden mit dem Gast gelöscht; E-Mails an Gäste im Versandspeicher nach 30 Tagen, ein Konto-Export nach 7 Tagen; Dateien im Medienspeicher nach drei Jahren ohne Event, nach zwei Vorwarnungen. Nach Vertragsende bleibt das Kundenkonto 30 Tage lesbar mit Export, danach folgt die Löschung; in den Datensicherungen auf dem Server bleiben gelöschte Daten bis zu acht Wochen erhalten (jede Sicherung 14 Tage, danach eine je Woche bis acht Wochen), die verschlüsselten Sicherungskopien außerhalb des Servers werden mit der Vernichtung ihres Schlüssels unlesbar, spätestens 18 Monate nach ihrer Erstellung (§ 9 Abs. 4). Nachweise der Gäste (Einwilligungen, Rechtstext-Annahmen) bewahrt der Auftragsverarbeiter auf Weisung des Verantwortlichen zu dessen Nachweiszwecken auf. Nachweise zur AVV-Zustimmung des Verantwortlichen bewahrt er zu eigenen Nachweiszwecken bis zum Ende des dritten Jahres nach dem Jahr auf, in dem der Vertrag endete (Nutzungsbedingungen § 13 Abs. 2).
Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Verantwortungsteilung: Die physische und infrastrukturelle Sicherheit (Rechenzentrum, Server, Netzwerk, Verfügbarkeit) wird durch den Unterauftragsverarbeiter Hetzner erbracht und über dessen Zertifizierungen/AVV nachgewiesen. Die anwendungsseitigen Maßnahmen (Zugriffskontrolle, Mandantentrennung, Protokollierung, Datenminimierung) erbringt der Auftragsverarbeiter selbst. Erst beide zusammen bilden das Schutzniveau nach Art. 32 DSGVO.
1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)
1.1 Zutrittskontrolle (physisch) — erbracht durch Hetzner (Rechenzentren in Deutschland/EU): Zutrittssicherung, Videoüberwachung, Zutrittsprotokollierung nach den zertifizierten Standards des Rechenzentrumsbetreibers (Nachweis über Hetzner-Zertifikate, siehe Anlage 3).
1.2 Zugangskontrolle (Systemzugang) — Anwendungssystem: – Passwortbasierte Anmeldung; Passwörter werden nur als Hash gespeichert (scrypt mit zufälligem Salt), Vergleich in konstanter Zeit. – Schutz vor Rate-Angriffen: Anmeldeversuche werden je Netz und je Adresse gedrosselt; auch für unbekannte Adressen läuft dieselbe Prüfung, damit die Antwortzeit nicht verrät, ob ein Konto existiert. – Passwort-Richtlinie: mindestens 12 Zeichen, Sperrliste häufiger/schwacher Muster, Kontextsperre (keine Bestandteile der E-Mail-Adresse und keine Wörter aus dem Namen des Kontos). – Server-seitige Sitzungsverwaltung mit zufälliger, opaker Sitzungs-ID und Ablauf (Time-to-Live 7 Tage); ungültige/abgelaufene Sitzungen werden fail-closed abgewiesen. Bei einem Passwortwechsel werden alle bestehenden Sitzungen beendet. – Zwei-Faktor-Authentisierung (TOTP): für Kunden freiwillig, für den internen Betreiberzugang verpflichtend; das TOTP-Geheimnis wird AES-256-GCM-verschlüsselt gespeichert; Wiederherstellungscodes werden gehasht und sind einmal verwendbar; ein bereits benutzter Einmal-Code wird kein zweites Mal angenommen. – Erzwungener Passwortwechsel bei administrativ vergebenen Passwörtern (jede Aktion wird bis zum Wechsel blockiert). – Sitzungs-Cookies tragen HttpOnly, SameSite=Lax und im Produktivbetrieb das Secure-Flag; die Verwaltungsoberfläche sendet im Produktivbetrieb den HSTS-Header (180 Tage, einschließlich Subdomains). TLS/HTTPS wird über den Reverse-Proxy (Caddy) erbracht.
1.3 Zugriffskontrolle (Berechtigungen) — Anwendungssystem: – Festes Rollen- und Rechtemodell (u. a. Account-Administration, Workspace-Verwaltung, nur-Lesen, Gästeverwaltung) mit zentraler Aktion→Berechtigung-Matrix; Autorisierung fail-closed (unbekannte Aktion/Rolle wird verweigert). – Zusätzlich einzeln erteilbare, standardmäßig deaktivierte Sonderrechte (z. B. Aussendung, Ticket-Erstellung) nach dem Prinzip der geringsten Rechte. – Zentrales Zugriffs-Gate mit Herkunftsprüfung (CSRF-Schutz), Sitzungsprüfung und Sperr-Gate; Formular-Aktionen der Oberfläche prüfen die Herkunft über das eingesetzte Framework.
1.4 Trennungskontrolle (Mandantentrennung) — Anwendungssystem: – Strukturelle Mandantentrennung: Gästedaten werden ausschließlich über eine zentrale Zugriffsschicht gelesen und geschrieben, deren Operationen an genau ein Konto bzw. einen Workspace oder an einen Zugangsschlüssel (Link eines Einlass-Geräts, eines Gast-Postfachs oder einer Bestätigungs-E-Mail an einen Gast) gebunden sind, der genau ein Event bzw. eine Gruppe erschließt. Anmeldungen über eine öffentliche Anmeldeseite sind an das Event dieser Seite gebunden. Ausgenommen sind einzeln benannte Abläufe (Löschfristen, Abschluss von Events, E-Mail-Versand, Prüfung und Speicherverwaltung hochgeladener Dateien, Export und Herausgabe der Daten, Betreiber-Werkzeuge); ein automatischer Test weist jeden Zugriff außerhalb der Zugriffsschicht ab, der nicht zu diesen Abläufen gehört. Fremde Kennungen werden mit nicht-verräterischem „nicht gefunden“ (kein Information-Leak) abgewiesen (Schutz gegen unberechtigten Objektzugriff/IDOR). – Interner Support-/Betreiberzugang ist ein getrennter Berechtigungsraum mit eigenem Anmeldespeicher; ein Support-Kontext kann keinen Kundenkontext „von innen“ annehmen (siehe Ziff. 5).
2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)
2.1 Weitergabekontrolle (Übertragung): – Transportverschlüsselung (TLS) für den Zugriff auf die Plattform (über Reverse-Proxy, siehe 1.2). – E-Mail-Versand an Gäste über den in Anlage 3 genannten Dienstleister; die Übermittlung an ihn ist transportverschlüsselt (TLS). – Zutritts-Codes sind pseudonyme, signierte Bearer-Token (Ed25519-Signatur, Integritäts-/Echtheitsschutz); sie enthalten keine Klartext-Personendaten, sondern nur opake Kennungen.
2.2 Eingabekontrolle (Protokollierung) — Anwendungssystem: – Protokolle, die im Programm nur ergänzt werden (die Anwendung kennt keinen Weg, einen Eintrag zu ändern; eine zusätzliche technische Sperre in der Datenbank ist nicht eingerichtet; Nachweise werden nach ihrer Aufbewahrungsfrist planmäßig gelöscht) für sicherheits-/nachweisrelevante Vorgänge: Aktionen des internen Betreibers (Eingriffe in Konten, Inhalte und Zugänge mit Pflicht-Begründung; Zahlungs- und Belegvorgänge ohne Ermessen mit Eintrag, aber ohne Begründung), Öffnungen des Support-Einblicks, Einlass-/Scan-Vorgänge und Änderungen an Events, Consent-Ereignisse (mit wörtlichem Textstand), Rechtstext-Annahmen, Zustimmungen zu AVV, Nutzungs- und Bestellbedingungen, Ticket-, Beleg- und Konto-Exporte, der Verlauf hochgeladener Dateien und die Löschung bei Vertragsende. – Betriebsprotokolle der Server (darin IP-Adressen, etwa bei abgewiesenen Anmeldeversuchen) werden nach 14 Tagen gelöscht. – Anmelde-Protokoll: Zu jeder Person mit Zugang werden erfolgreiche und fehlgeschlagene Anmeldungen, Zwei-Faktor-Prüfungen, Abmeldungen sowie Änderungen und Zurücksetzungen von Passwort und Zwei-Faktor-Anmeldung mit Zeitpunkt, IP-Adresse und Browser protokolliert; diese Einträge sieht nur die Person selbst und der interne Support während eines Support-Einblicks. Zu jedem Konto wird protokolliert, wer es wann geöffnet hat und wer dort als Kontoadministrator die Zwei-Faktor-Anmeldung einer Person zurückgesetzt hat; diese Einträge sehen die Kontoadministratoren dieses Kontos. Einträge werden nach 90 Tagen gelöscht.
2.3 Schutz vor Schadsoftware (Datei-Uploads) — Anwendungssystem: – Alle hochgeladenen Dateien werden mit einem Virenscanner geprüft (ClamAV), der auf dem eigenen Server des Auftragsverarbeiters läuft; die Dateien werden dafür an keinen Dritten übermittelt (daher kein Eintrag in Anlage 3). – Vom Verantwortlichen für Aushänge hochgeladene Dateien werden vor der Ablage geprüft. Dateien mit Befund, Dateien, die sich nicht vollständig prüfen lassen, und Uploads, während der Virenscanner nicht erreichbar ist, werden abgelehnt und nicht gespeichert. – Von Gästen hochgeladene Dateien und Medien für Landingpages werden direkt in den Objektspeicher hochgeladen und danach im Hintergrund geprüft. Bis zum Ergebnis der Prüfung ist die Datei gesperrt: sie lässt sich nicht abrufen und wird nicht veröffentlicht. Bei einem Befund oder wenn sich die Datei nicht vollständig prüfen lässt, löscht der Auftragsverarbeiter die Datei; der Gast wird bei einem Upload aus dem Anmeldeformular per E-Mail benachrichtigt. Ist der Virenscanner nicht erreichbar, bleibt die Datei gesperrt, bis die Prüfung gelingt. – Die Virensignaturen werden automatisch aktualisiert (mehrmals täglich).
3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)
– Resilienz im Anwendungssystem: Ausgangs-Postfach (Outbox) mit Wiederholung/Backoff für den E-Mail-Versand; idempotente Wiederholung von Einlass-Scans; Offline-First-Betrieb der Einlass-Geräte. – Datensicherung und Wiederherstellbarkeit — Serverbetrieb: Die Datenbank und die hochgeladenen Dateien (lokaler Speicher und Objektspeicher) werden täglich automatisiert gesichert; jeder Lauf prüft die Integrität seiner Sicherung. Eine tägliche Kontrolle meldet per E-Mail, wenn ein Lauf scheitert oder keine verwertbare Sicherung entstanden ist. Aufbewahrung auf dem Server: jede Sicherung 14 Tage, danach eine Sicherung je Woche bis zu acht Wochen. Die Sicherungen auf dem Server selbst sind nicht verschlüsselt und nur für den Systemverwalter lesbar. Eine Kopie außerhalb des Servers liegt bei Hetzner (Storage Box, Helsinki, Finnland); sie wird vor der Übertragung asymmetrisch verschlüsselt (age). Die Schlüssel werden halbjährlich erneuert; ein Schlüssel wird vernichtet, sobald der übernächste in Gebrauch genommen wird, und die damit verschlüsselten Kopien sind ab dann nicht mehr lesbar (spätestens 18 Monate nach ihrer Erstellung, § 9 Abs. 4). Ausgenommen sind die Kopien der Rechnungsbelege des Auftragsverarbeiters, die wegen der gesetzlichen Aufbewahrungspflicht unter jedem neuen Schlüssel erneut verschlüsselt werden. Die Wiederherstellung der Datenbank wird mit einem wiederholbaren Probelauf geprüft, der eine Sicherung vollständig in eine separate Test-Datenbank einspielt. Auf der Storage Box wird nichts gelöscht; die Kopien werden dadurch unlesbar, dass ihr Schlüssel vernichtet wird.
4. Pseudonymisierung und Datenminimierung (Art. 25, Art. 32 Abs. 1 lit. a DSGVO)
– Pseudonyme Zutritts-Codes (siehe 2.1); die Verkettung Code↔Person besteht nur serverseitig. – Datenminimierung by design: bedingt sichtbare Formularfelder verwerfen unsichtbare Eingaben serverseitig; Stammdaten sind „nullable at rest“ (Pflicht erst am Verarbeitungs-Gate); Datenminimierung auf Einlass-Geräten mit Aufbewahrungs-TTL und best-effort Fernlöschung. Die Gästeliste auf einem Einlass-Gerät liegt im Speicher des Browsers und ist dort nur durch das Gerät selbst geschützt, nicht zusätzlich verschlüsselt. – Maskierung besonderer Kategorien: als „besondere Kategorie“ gekennzeichnete Feldwerte werden im internen Support-Einblick maskiert dargestellt. – Ruhende Daten und Sicherungen: Datenbank und Dateiablage liegen unverschlüsselt auf Servern der Hetzner Online GmbH in Deutschland (Server Falkenstein, Dateiablage Nürnberg) mit physischer Zutrittskontrolle des Rechenzentrums. Sicherungen werden vor dem Verlassen des Servers asymmetrisch verschlüsselt (age) und als Kopie bei Hetzner in Finnland abgelegt (Ziff. 3); sie werden dort nicht gelöscht, sondern unlesbar, indem ihr Schlüssel spätestens 18 Monate nach ihrer Erstellung vernichtet wird (ausgenommen die Rechnungsbelege, Ziff. 3). Verschlüsselt gespeichert sind darüber hinaus nur die Zugangsdaten des Objektspeichers und die Geheimnisse der Zwei-Faktor-Anmeldung (AES-256-GCM); Signaturschlüssel der Events, Zugangs-Tokens der Einlass-Geräte und Inhalte von E-Mails in der Versand-Warteschlange liegen unverschlüsselt in der Datenbank.
5. Interner Support-Zugriff (break-glass)
– Der Support-Einblick in Kundendaten ist rein lesend und nur nach ausdrücklicher Freischaltung (Grant) mit Pflicht-Begründung und Ablaufzeit (60 Minuten) möglich; kein stehender Zugriff. – Eingriffe des Betreibers (etwa ein Konto sperren, die Zwei-Faktor-Anmeldung zurücksetzen, Inhalte entfernen) sind davon getrennte Funktionen, jeweils mit Protokoll und, soweit Ermessen im Spiel ist, mit Pflicht-Begründung. – Jede Öffnung wird protokolliert; besondere Kategorien werden maskiert; Anmeldedaten (Passwort-Hash, TOTP-Secret) werden dabei nie geladen. – Der Kunde kann die Historie der Support-Einblicke in seinem Konto einsehen (Zeitpunkt und Begründung, ohne Namen des Mitarbeiters).
6. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)
– Getrennte Berechtigungsräume, Prinzip der geringsten Rechte, fail-closed-Grundhaltung als Konstruktionsprinzip. – Änderungen an sicherheitsrelevanten Maßnahmen werden dokumentiert.
Anlage 3 — Genehmigte Unterauftragsverarbeiter
Der Verantwortliche genehmigt mit Abschluss dieses Vertrags die Unterauftragsverarbeiter, die die öffentliche Liste des Auftragsverarbeiters nach § 5 Abs. 2 in der Fassung zum Zeitpunkt des Vertragsschlusses aufführt (§ 5). Jede Fassung der Liste trägt das Datum, ab dem sie gilt; der Änderungsverlauf bleibt dort abrufbar. Bei Erstellung dieser Fassung des Vertrags führte die Liste die folgenden Unterauftragsverarbeiter auf:
1. Hetzner Online GmbH, Gunzenhausen (DE) Leistung / verarbeitete Daten: Hosting/Serverbetrieb (Cloud-VPS, Object Storage, Backup-Speicher). Verarbeitet alle in der Datenbank/Dateiablage gespeicherten personenbezogenen Daten. Ort der Verarbeitung: Deutschland (Server, Dateiablage); Finnland (verschlüsselte Backups); beides EU. Grundlage: Hetzner-AV-Vertrag (Serverstandort EU: Verarbeitung nur in der EU; Hetzner Finland Oy als dortiger Unterauftragnehmer)
2. Mailjet (Mailjet SAS, Teil der Sinch-AB-Gruppe, Frankreich) Leistung / verarbeitete Daten: Versand von Gäste-E-Mails (Einladungen/Bestätigungen). Erhält: Empfänger-E-Mail, Betreff, vollständigen Nachrichtentext (kann Namen enthalten). Ort der Verarbeitung: EU; Übermittlung in die USA möglich (Unterauftragsverarbeiter der Sinch-Gruppe), gestützt auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und das EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO). Grundlage: Sinch-AV-Vertrag.
2a. Reserve (nur bei Ausfall von Zeile 2): Amazon Web Services EMEA SARL, 38 avenue John F. Kennedy, L-1855 Luxemburg (Amazon Simple Email Service) Leistung / verarbeitete Daten: Versand von Gäste-E-Mails (wie Zeile 2), nur wenn Mailjet unvorhersehbar wegfällt (§ 5 Abs. 2 Satz 3). Ort der Verarbeitung: Verarbeitung in der EU (Region Frankfurt, eu-central-1); Zugriff aus den USA möglich, abgesichert über das EU-US Data Privacy Framework und Standardvertragsklauseln (wie Zeile 2)
Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Auftragsverarbeitungsvertrag gemäß Art. 28 Abs. 4 DSGVO ab und stellt dem Verantwortlichen auf begründete Anforderung Kopien dieser Verträge (ggf. unter Schwärzung kaufmännischer Details) zur Verfügung.