Gegenstand und Dauer
Dieser Auftragsverarbeitungsvertrag (AVV) gilt zwischen der Veranstalterin bzw. dem Veranstalter als Verantwortlicher und Brandtneu UG als Auftragsverarbeiterin im Sinne von Art. 28 DSGVO.
Er ergänzt den Veranstaltervertrag und gilt, sobald die Veranstalterin bzw. der Veranstalter personenbezogene Daten über meineticket.app verarbeiten lässt. Die Dauer entspricht der Laufzeit des Hauptvertrags zuzüglich gesetzlicher Aufbewahrungs- und Nachweisfristen.
Art und Zweck der Verarbeitung
Zweck ist der Betrieb der Ticketing- und Veranstaltungsplattform für die Veranstalterin bzw. den Veranstalter, insbesondere:
- Annahme und Verwaltung von Bestellungen und Tickets,
- Einlass und Scanvorgänge,
- Kommunikation zu Bestellung und Einlass,
- Programmbewerbungen und deren Bearbeitung,
- Ausstelleranfragen, soweit die Veranstalterin bzw. der Veranstalter diese Funktionen nutzt,
- Bereitstellung von Auswertungen für die Veranstalterin bzw. den Veranstalter.
Die Plattform verarbeitet die Daten nur auf dokumentierte Weisung der Verantwortlichen, einschließlich hinsichtlich Übermittlungen in Drittländer, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats etwas anderes verlangt.
Art der personenbezogenen Daten; betroffene Personen
Je nach genutzter Funktion können verarbeitet werden:
- Stammdaten (Name, E-Mail, optional Telefon, Anschrift),
- Bestell-, Zahlungsreferenz- und Ticketdaten,
- Einlass- und Scanzeitpunkte,
- Angaben in Programmbewerbungen,
- Angaben in Aussteller- oder Formularanfragen,
- technische Protokolle, soweit sie Personenbezug haben.
Betroffene Personen sind insbesondere Käuferinnen und Käufer, Besucherinnen und Besucher, Kontoinhaberinnen und Kontoinhaber, Programmbewerberinnen und -bewerber sowie Ausstellende oder deren Ansprechpersonen.
Pflichten der Auftragsverarbeiterin
Brandtneu UG
- verarbeitet personenbezogene Daten nur im Rahmen dieses AVV und der Weisungen,
- gewährleistet, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind,
- trifft die in diesem AVV beschriebenen technischen und organisatorischen Maßnahmen,
- setzt Unterauftragsverarbeiterinnen und Unterauftragsverarbeiter nur nach Maßgabe der folgenden Abschnitte ein,
- unterstützt die Verantwortliche bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Meldungen an Aufsichtsbehörden, soweit das nach Art. 28 Abs. 3 lit. e und f DSGVO geschuldet ist,
- löscht oder gibt nach Ende der Verarbeitung die Daten nach Wahl der Verantwortlichen zurück, soweit nicht eine gesetzliche Aufbewahrungspflicht entgegensteht.
Weisungen
Weisungen erfolgen über die Funktionen der Plattform, über das Veranstalterkonto oder in Textform an datenschutz@brandtneu.media. Offensichtlich rechtswidrige Weisungen darf die Auftragsverarbeiterin zurückweisen; sie unterrichtet die Verantwortliche unverzüglich.
Technische und organisatorische Maßnahmen
Unter Berücksichtigung von Stand der Technik, Implementierungskosten und Risiko trifft Brandtneu UG insbesondere folgende Maßnahmen (TOMs):
- Zugangskontrolle zu Servern und Administrationszugängen (starke Authentifizierung, Berechtigungen nach dem Need-to-know-Prinzip),
- Transportverschlüsselung (TLS) für den öffentlichen Dienst,
- Trennung von Mandanten auf Anwendungsebene,
- Protokollierung sicherheitsrelevanter Ereignisse,
- regelmäßige Updates und Absicherung der Hosting-Umgebung,
- Datensicherung mit begrenztem Zugriff,
- Schulung und Verpflichtung von Personen, die Daten verarbeiten.
Eine Beschreibung auf aktuellem Stand kann die Verantwortliche in Textform anfordern.
Unterauftragsverarbeiterinnen und Unterauftragsverarbeiter
Die Verantwortliche genehmigt den Einsatz der in der Anlage genannten Unterauftragsverarbeiterinnen und Unterauftragsverarbeiter. Brandtneu UG unterrichtet über beabsichtigte Änderungen so, dass Widerspruch in angemessener Frist möglich ist. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt.
Mit jeder Unterauftragsverarbeiterin bzw. jedem Unterauftragsverarbeiter wird ein Vertrag geschlossen, der Pflichten auferlegt, die den Pflichten dieses AVV entsprechen (Art. 28 Abs. 4 DSGVO).
Unterstützung; Verletzungen des Schutzes personenbezogener Daten
Die Auftragsverarbeiterin unterrichtet die Verantwortliche unverzüglich, nachdem ihr eine Verletzung des Schutzes personenbezogener Daten bekannt wurde, und stellt die verfügbaren Informationen bereit, die die Verantwortliche für Art. 33 und 34 DSGVO benötigt.
Löschung und Rückgabe
Nach Ende der Verarbeitung löscht Brandtneu UG die veranstaltungsbezogenen personenbezogenen Daten oder gibt sie in einem gängigen Format zurück, soweit nicht handels-, steuer- oder sonstiges Recht die Speicherung verlangt. Sicherungskopien entfallen mit dem nächsten regulären Löschzyklus.
Nachweis und Audits
Die Auftragsverarbeiterin stellt der Verantwortlichen alle erforderlichen Informationen zum Nachweis der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen — durch die Verantwortliche oder einen von ihr beauftragten Prüfer. Vor-Ort-Prüfungen sind mit angemessener Frist anzukündigen, dürfen den Betrieb nicht unverhältnismäßig stören und können auf zertifizierte Berichte (z. B. SOC 2, ISO 27001 der Hosting- oder Zahlungsdienstleister) verweisen, soweit diese den Prüfungszweck erfüllen.
Schlussbestimmungen
Es gilt das Recht der Bundesrepublik Deutschland. Soweit der Hauptvertrag Regelungen zu Haftung, Gerichtsstand und Schriftform enthält, gelten sie für diesen AVV entsprechend, soweit die DSGVO nichts Abweichendes zwingend vorschreibt.
Anlage: Unterauftragsverarbeiterinnen und Unterauftragsverarbeiter
Die folgenden Stellen werden derzeit eingesetzt. Brevo ist eine von uns eingesetzte Auftragsverarbeiterin für E-Mail und SMS, nicht Verfasserin dieser Rechtstexte.
- Stripe (Stripe Payments Europe, Limited bzw. verbundene Unternehmen) — Zahlungsabwicklung, Betrugsprävention; Sitz u. a. Irland / USA; Garantien: Standardvertragsklauseln, soweit eine Drittlandübermittlung erfolgt.
- PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A. bzw. verbundene Unternehmen) — Zahlungsabwicklung; Sitz Luxemburg / ggf. USA; Garantien: Standardvertragsklauseln, soweit erforderlich.
- Sendinblue GmbH (Brevo) — Versand von E-Mail und SMS (Transaktion und, soweit genutzt, betriebliche Hinweise); Sitz Deutschland / EU.
- Hetzner Online GmbH — Hosting und Infrastruktur (Betrieb der Plattform, einschließlich Orchestrierung mit Coolify auf dieser Infrastruktur); Sitz Deutschland.
Änderungen dieser Liste werden auf dieser Seite veröffentlicht.