Vereinbarung zur Auftragsverarbeitung

nach Art. 28 Abs. 3 DSGVO

zwischen

[Firma des Veranstalters] [Anschrift] [Firmenbuchnummer, UID, Firmenbuchgericht] E-Mail: [Adresse für Datenschutzanfragen] — nachfolgend „Verantwortlicher” —

und

Petermaier Julian, Einzelunternehmen (Inhaber Julian Petermaier) Schönbrunner Straße 213–215, 1120 Wien, Österreich UID ATU80023403 E-Mail: hello@eventoz.io — nachfolgend „Auftragsverarbeiter” —

gemeinsam die „Parteien”.

Präambel

Der Auftragsverarbeiter betreibt die Veranstaltungsplattform eventOz und stellt sie dem Verantwortlichen zur Durchführung seiner Veranstaltungen bereit. Dabei verarbeitet er personenbezogene Daten der Teilnehmenden, Sprechenden, Mitarbeitenden und Ausstellenden des Verantwortlichen. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten aus dem zugrundeliegenden Hauptvertrag (Nutzungsbedingungen für Veranstalter). Sie geht dem Hauptvertrag in allen Datenschutzfragen vor.

§ 1 Gegenstand, Dauer und Einzelheiten der Verarbeitung

1.1 Gegenstand, Art, Zweck, Dauer, die Kategorien betroffener Personen und die Arten personenbezogener Daten ergeben sich abschließend aus Anlage 1.

1.2 Die Verarbeitung dauert so lange, wie der Hauptvertrag läuft. Sie endet mit dessen Beendigung; § 10 regelt, was dann mit den Daten geschieht.

1.3 Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Gebiet der Europäischen Union oder des Europäischen Wirtschaftsraums. Ausnahmen sind nur mit den in Anlage 3 offengelegten Unterauftragsverarbeitern und nur auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien nach Art. 46 DSGVO zulässig.

§ 2 Weisungsrecht

2.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Das gilt auch für die Übermittlung in ein Drittland, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats dazu verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

2.2 Als dokumentierte Weisung gelten: dieser Vertrag samt Anlagen, die Einstellungen, die der Verantwortliche im Veranstalterbereich der Plattform vornimmt, sowie Weisungen in Textform an die in § 12 genannte Kontaktstelle. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

2.3 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

2.4 Der Auftragsverarbeiter verwendet die Daten nicht für eigene Zwecke, insbesondere nicht zur Produktentwicklung anhand identifizierbarer Daten, nicht für Werbung und nicht für das Training von Modellen künstlicher Intelligenz. Aggregierte, nicht personenbezogene Kennzahlen zum Betrieb der Plattform bleiben zulässig.

§ 3 Vertraulichkeit

3.1 Der Auftragsverarbeiter führt die Verarbeitung derzeit ohne Beschäftigte selbst durch. Setzt er Personen ein, verpflichtet er sie vor der ersten Verarbeitung schriftlich zur Vertraulichkeit und weist sie in die einschlägigen Datenschutzbestimmungen ein. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.

3.2 Zugriff erhält nur, wer ihn zur Erfüllung seiner Aufgabe braucht. Die Plattform setzt das über Rollen und mandantenbezogene Berechtigungen durch.

§ 4 Technische und organisatorische Maßnahmen

4.1 Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht.

4.2 Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

4.3 Der Verantwortliche hat die in Anlage 2 beschriebenen Maßnahmen vor Vertragsschluss geprüft und hält sie im Hinblick auf das Risiko der Verarbeitung für angemessen. Die dort offen ausgewiesenen Restrisiken sind ihm bekannt.

§ 5 Unterauftragsverarbeiter

5.1 Der Verantwortliche erteilt die allgemeine Genehmigung zur Inanspruchnahme weiterer Auftragsverarbeiter. Die zum Zeitpunkt des Vertragsschlusses eingesetzten sind in Anlage 3 aufgeführt und damit genehmigt.

5.2 Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er den Verantwortlichen mindestens 30 Tage vorher in Textform. Der Verantwortliche kann innerhalb von 14 Tagen ab Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs sucht der Auftragsverarbeiter eine Alternative; ist das mit zumutbarem Aufwand nicht möglich, darf jede Partei den Hauptvertrag außerordentlich kündigen.

5.3 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Pflichten, die den hier vereinbarten entsprechen (Art. 28 Abs. 4 DSGVO), und prüft vor der Beauftragung dessen technische und organisatorische Maßnahmen. Für dessen Verhalten haftet er wie für eigenes.

5.4 Reine Nebenleistungen — Telekommunikation, Post, Wartung von Hardware, Entsorgung von Datenträgern, Steuerberatung — sind keine Unterauftragsverarbeitung. Der Auftragsverarbeiter stellt auch dort Vertraulichkeit sicher.

5.5 Nicht von dieser Vereinbarung erfasst sind Dienste, die der Verantwortliche selbst beauftragt und in der Plattform hinterlegt — insbesondere sein Ticketsystem, sein Zahlungsdienstleister, ein eigener Mailversand sowie Empfänger seiner Webhooks und Exporte. Für diese ist er selbst verantwortlich; sie sind in Anlage 3 nachrichtlich gekennzeichnet.

§ 6 Unterstützung bei Betroffenenrechten

6.1 Betroffene Personen wenden sich an den Verantwortlichen. Erreicht den Auftragsverarbeiter dennoch ein Antrag, beantwortet er ihn nicht selbst, sondern leitet ihn unverzüglich weiter.

6.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen nach Art. 15 bis 22 DSGVO. Die Plattform stellt dafür bereit:

• eine Warteschlange für Löschanträge im Veranstalterbereich mit Frist und Nachweis der Ausführung,
• einen Auskunftsexport, der die Daten einer Person über alle Tabellen hinweg zusammenstellt,
• eine Löschfunktion, die für jede Tabelle vorab ausweist, ob gelöscht, anonymisiert oder ein Zugang entzogen wird, und was aus rechtlichen Gründen erhalten bleibt.

6.3 Die Unterstützung ist mit dem Entgelt des Hauptvertrags abgegolten, soweit sie über die bereitgestellten Funktionen erfolgt. Aufwendungen für Anträge, die nur mit individueller Auswertung zu beantworten sind, kann der Auftragsverarbeiter nach Ankündigung nach Aufwand verrechnen.

§ 7 Unterstützung bei Sicherheit, Meldepflichten und Folgenabschätzung

7.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung, soweit die dafür nötigen Informationen nur ihm vorliegen.

7.2 Meldung von Verletzungen des Schutzes personenbezogener Daten. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung unverzüglich, spätestens jedoch 24 Stunden nach Kenntnis, in Textform an die in § 12 genannte Stelle. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl von Personen und Datensätzen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie eine Kontaktstelle. Fehlende Angaben werden unverzüglich nachgereicht.

7.3 Meldungen an die Aufsichtsbehörde nach Art. 33 und Benachrichtigungen betroffener Personen nach Art. 34 nimmt ausschließlich der Verantwortliche vor.

7.4 Bekannte, noch nicht abschließend bewertete Sicherheitsvorfälle sind in Anlage 2 offengelegt.

§ 8 Nachweise und Überprüfungen

8.1 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung des Art. 28 DSGVO erforderlich sind — insbesondere diese Vereinbarung samt Anlagen, das Verzeichnis nach Art. 30 Abs. 2, die aktuelle Beschreibung der Maßnahmen sowie vorliegende Prüfberichte.

8.2 Der Verantwortliche kann sich nach vorheriger Ankündigung von mindestens 14 Tagen, während der üblichen Geschäftszeiten und ohne Störung des Betriebs von der Einhaltung überzeugen, höchstens einmal jährlich sowie anlassbezogen nach einer Verletzung. Prüfungen erfolgen vorrangig in Form von Auskünften und Dokumentenvorlage.

8.3 Beauftragt der Verantwortliche einen Dritten mit der Prüfung, darf dieser kein Wettbewerber des Auftragsverarbeiters sein und ist zur Vertraulichkeit zu verpflichten.

8.4 Für den Aufwand von Prüfungen, die über § 8.1 hinausgehen, kann der Auftragsverarbeiter ein angemessenes Entgelt verlangen, sofern die Prüfung nicht durch einen von ihm zu vertretenden Vorfall veranlasst ist.

§ 9 Berichtigung, Einschränkung und Löschung im laufenden Betrieb

Der Auftragsverarbeiter berichtigt, schränkt ein oder löscht Daten nicht eigenmächtig, sondern nur auf Weisung. Die im Veranstalterbereich ausgelösten Vorgänge gelten als solche Weisung.

§ 10 Beendigung

10.1 Nach Abschluss der Erbringung der Verarbeitungsleistungen wählt der Verantwortliche, ob die Daten gelöscht oder zurückgegeben werden. Trifft er binnen 30 Tagen keine Wahl, werden sie gelöscht.

10.2 Für die Rückgabe stellt der Auftragsverarbeiter einen Export in einem strukturierten, gängigen und maschinenlesbaren Format bereit.

10.3 Sicherungskopien laufen im regulären Zyklus aus; sie werden nicht gezielt bereinigt, sondern innerhalb von rund 30 Tagen nach der Löschung überschrieben. Der Auftragsverarbeiter stellt sicher, dass Daten aus Sicherungen nicht in den Produktivbetrieb zurückfließen, ohne dass eine bereits ausgeführte Löschung erneut durchgeführt wird.

10.4 Unberührt bleibt die Aufbewahrung, zu der Unionsrecht oder mitgliedstaatliches Recht verpflichtet — insbesondere die siebenjährige Frist des § 132 BAO für Belege. Diese Daten werden ausschließlich zu diesem Zweck weiterverarbeitet und im Übrigen in der Verarbeitung eingeschränkt.

10.5 Die Löschung wird auf Anfrage in Textform bestätigt.

§ 11 Haftung

Für Schäden, die einer betroffenen Person aus einer nicht dieser Verordnung entsprechenden Verarbeitung entstehen, gilt Art. 82 DSGVO. Im Innenverhältnis tragen die Parteien den Schaden nach dem Anteil ihrer Verantwortlichkeit. Die Haftungsbeschränkungen des Hauptvertrags gelten für Ansprüche nach Art. 82 DSGVO nicht.

§ 12 Kontaktstellen

	Verantwortlicher	Auftragsverarbeiter
Datenschutzanfragen	_______________________	hello@eventoz.io
Meldung von Sicherheitsvorfällen	_______________________	hello@eventoz.io
Weisungsberechtigt	_______________________	—

§ 13 Schlussbestimmungen

13.1 Widersprechen sich Hauptvertrag und diese Vereinbarung, geht in Datenschutzfragen diese Vereinbarung vor.

13.2 Änderungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

13.3 Es gilt österreichisches Recht; Gerichtsstand ist Wien.

13.4 Anlagen: Anlage 1 (Einzelheiten der Verarbeitung), Anlage 2 (Technische und organisatorische Maßnahmen), Anlage 3 (Unterauftragsverarbeiter).

Ort, Datum	Ort, Datum
_______________________	_______________________
[Firma des Veranstalters]	Petermaier Julian
Verantwortlicher	Auftragsverarbeiter