Vertrag zur Auftragsverarbeitung (AVV)
Diese Vorlage richtet sich an Unternehmen, Vereine, Schulen und andere Organisationen, die mit aGreatMoment Veranstaltungen organisieren und dabei personenbezogene Daten ihrer Gäste, Mitglieder oder Mitarbeitenden verarbeiten lassen. Bitte ergänze die markierten Angaben, unterschreibe den Vertrag und sende uns ein Exemplar über das Kontaktformular; du erhältst es gegengezeichnet zurück.
Online abschliessen und herunterladen
Vertragsparteien
Verantwortlicher (im Folgenden „Auftraggeber“):
[Name der Organisation], [Anschrift], vertreten durch [Name, Funktion]
Auftragsverarbeiter (im Folgenden „Auftragnehmer“):
Karl Bukotas, aGreatMoment, Goldgasse 11, 7000 Chur, Schweiz
§ 1 Gegenstand und Dauer
Der Auftragnehmer stellt dem Auftraggeber die Web-Anwendung aGreatMoment zur Verfügung, insbesondere digitale Einladungen, Gästelisten, persönliche Einladungslinks, Rückmeldungen, Programm, Pinnwand, Fotogalerie und den E-Mail-Versand an Gäste („Veranstaltungsfunktionen“). Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers. Der Vertrag gilt, solange der Auftraggeber die Veranstaltungsfunktionen nutzt, und endet mit der Löschung seines Kontos.
§ 2 Art, Zweck und Umfang der Verarbeitung
- Zweck: Einladung von Gästen, Verwaltung von Rückmeldungen, Information der Gäste über die Veranstaltung, Teilen von Fotos und Beiträgen.
- Art der Daten: Namen, Haushalte/Gruppen, E-Mail-Adressen und Telefonnummern (sofern angegeben), Zu- und Absagen, Menüwahl, Antworten auf Zusatzfragen, freie Hinweise, Pinnwand-Beiträge, Fotos, Einladungs- und Zustellstatus, Einwilligungen. Besondere Kategorien nach Art. 9 DSGVO werden nicht strukturiert abgefragt; der Auftraggeber stellt keine solchen Zusatzfragen.
- Betroffene Personen: Gäste, Begleitpersonen (auch Kinder), Mitglieder, Mitarbeitende und Helfer des Auftraggebers.
§ 3 Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten die Einstellungen und Aktionen des Auftraggebers in der Anwendung sowie Weisungen in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.
§ 4 Pflichten des Auftragnehmers
- Personen mit Zugang zu den Daten sind zur Vertraulichkeit verpflichtet.
- Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 32 DSGVO) und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
- Er unterstützt den Auftraggeber bei Anfragen betroffener Personen (Art. 12–22 DSGVO), bei Datenschutz-Folgenabschätzungen und bei Meldepflichten (Art. 32–36 DSGVO).
- Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis.
- Die Daten werden nicht für eigene Zwecke, Werbung, Profilbildung oder Übersetzung verwendet und nicht an Dritte verkauft.
§ 5 Unterauftragsverarbeiter
Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragnehmer mindestens 30 Tage im Voraus; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag in diesem Fall kündigen. Unterauftragsverarbeiter werden vertraglich auf gleichwertige Pflichten verpflichtet.
§ 6 Ort der Verarbeitung
Die Daten werden auf Servern in Deutschland gespeichert. Der E-Mail-Versand erfolgt in der EU-Region des Dienstleisters. Übermittlungen in Drittländer finden nur unter den Voraussetzungen der Art. 44 ff. DSGVO statt (z. B. EU-Standardvertragsklauseln). Für die Schweiz gilt ein Angemessenheitsbeschluss der EU-Kommission.
§ 7 Kontrollrechte
Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anfrage durch geeignete Unterlagen nach. Kontrollen vor Ort sind nach rechtzeitiger Anmeldung zu üblichen Geschäftszeiten möglich, soweit schriftliche Nachweise nicht genügen.
§ 8 Löschung und Rückgabe
Nach Ende des Auftrags oder auf Weisung löscht der Auftragnehmer alle Daten des Auftraggebers. Der Auftraggeber kann seine Gästedaten vorher selbst exportieren (CSV/Excel). Sicherungskopien werden im regulären Rhythmus nach spätestens 14 Tagen überschrieben.
§ 9 Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO. Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor.
Anlage 1: Technische und organisatorische Maßnahmen
- Verschlüsselung: Übertragung ausschließlich per TLS/HTTPS; E-Mail-Versand per STARTTLS.
- Zugangskontrolle: Passwörter nur als bcrypt-Hash; Sitzungen per sicherem, httpOnly-Cookie; Anmeldeversuche begrenzt.
- Zugriffskontrolle: Gästedaten nur für die Gastgeber-in; persönliche Einladungslinks sind geheim und zeigen nur die eigene Rückmeldung; Karten optional passwortgeschützt.
- Trennung: Daten jedes Kontos sind logisch getrennt und werden mit Karte bzw. Konto vollständig gelöscht.
- Verfügbarkeit: tägliche Sicherungskopien, 14 Tage aufbewahrt; Server in einem ISO-27001-zertifizierten Rechenzentrum.
- Datensparsamkeit: keine Tracking-Cookies, keine Analyse- oder Werbedienste; Versandaufträge werden 30 Tage nach dem Versand gelöscht.
Anlage 2: Unterauftragsverarbeiter
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Hosting und Datenspeicherung (Rechenzentrum in Deutschland).
- Resend, Inc., USA – Versand von E-Mails (Verarbeitung in der EU-Region, Irland; EU-Standardvertragsklauseln).
Unterschriften
Ort, Datum: ______________________ Auftraggeber: ______________________
Ort, Datum: ______________________ Auftragnehmer: ______________________