Vertrag zur Auftragsverarbeitung (AVV)

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

Stand: 26.07.2026 · Fassung 1

zwischen dem Veranstalter, der dieses Konto führt – nachfolgend "Verantwortlicher" –

und

Daniel Beck, Am Altenweiher 25, 92318 Neumarkt, E-Mail info@ticketseinfach.de, handelnd unter der Geschäftsbezeichnung ticketseinfach.de – nachfolgend "Auftragsverarbeiter".

§ 1 Gegenstand und Dauer

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter für den Verantwortlichen im Rahmen der Nutzung der Plattform ticketseinfach.de.

Die Verarbeitung umfasst den Verkauf von Tickets über den Ticketshop, die Erstellung und den Versand der Tickets, die Verwaltung von Bestellungen und Käufern, die Einlasskontrolle mittels Scanner-Anwendung sowie die dafür erforderliche Speicherung und Auswertung.

Die Dauer des Auftrags entspricht der Laufzeit des Nutzungsvertrags. Er endet mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zu dem Zweck, dem Verantwortlichen den Ticketverkauf und die Einlasskontrolle für seine eigenen Veranstaltungen zu ermöglichen.

Verarbeitungstätigkeiten sind insbesondere: Erheben, Erfassen, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an den Verantwortlichen, Einschränken und Löschen.

Eine Nutzung der Daten zu eigenen Zwecken des Auftragsverarbeiters, insbesondere zu Werbezwecken, zur Profilbildung oder zur Weitergabe an Dritte, findet nicht statt.

§ 3 Art der Daten und Kategorien betroffener Personen

Verarbeitet werden folgende Arten personenbezogener Daten:

Bestell- und Kontaktdaten der Ticketkäufer: Vorname, Nachname, E-Mail-Adresse.

Bestelldaten: gekaufte Ticketart, Anzahl, Preis, Gebühr, Bestellzeitpunkt, Bestell- und Ticketnummer, Zahlungsstatus und die vom Zahlungsdienstleister vergebene Vorgangsnummer.

Ticketdaten: Ticketcode, Gültigkeit, Status (gültig, entwertet, storniert, gesperrt).

Einlassdaten: Zeitpunkt eines Scans, verwendetes Gerät beziehungsweise Terminal, zugeordnete Einlassstelle, Ergebnis der Prüfung einschließlich abgewiesener Scans.

Nutzungsdaten der Anwendung: IP-Adresse, Zeitpunkt, aufgerufene Funktion, Browserkennung, soweit dies zur Bereitstellung, zur Fehlersuche und zur Abwehr von Angriffen erforderlich ist.

Zugangsdaten der Mitarbeitenden des Verantwortlichen, die Zugänge zum Backend oder zur Scanner-Anwendung erhalten: Name, E-Mail-Adresse, Rolle, Kennung, Zeitpunkte von Anmeldungen.

Kategorien betroffener Personen sind: Ticketkäufer und Ticketinhaber sowie Mitarbeitende und Beauftragte des Verantwortlichen.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Verantwortliche stellt sicher, dass er keine solchen Daten in die Plattform einstellt.

§ 4 Weisungsrecht

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Als dokumentierte Weisung gelten dieser Vertrag, der Nutzungsvertrag sowie die Einstellungen, die der Verantwortliche im Backend vornimmt.

Einzelweisungen erteilt der Verantwortliche in Textform an info@ticketseinfach.de. Der Auftragsverarbeiter bestätigt den Eingang.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung auszusetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen mit den einschlägigen Bestimmungen des Datenschutzes vertraut sind.

§ 6 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Der Stand dieser Maßnahmen ist in der Anlage 1 beschrieben. Die Maßnahmen unterliegen dem technischen Fortschritt; der Auftragsverarbeiter darf sie anpassen, solange das Schutzniveau nicht unterschritten wird.

§ 7 Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in der Anlage 2 aufgeführt.

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor einer beabsichtigten Änderung in Textform. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem, datenschutzrechtlichem Grund widersprechen. Widerspricht er, kann jede Seite den Vertrag zum Zeitpunkt der beabsichtigten Änderung kündigen.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf Datenschutzpflichten, die den Pflichten dieses Vertrags entsprechen, und bleibt dem Verantwortlichen gegenüber für dessen Verhalten verantwortlich.

Nicht als Unterauftragsverarbeitung gilt die Zahlungsabwicklung über PayPal. PayPal verarbeitet die Zahlungsdaten als eigenständig Verantwortlicher zur Erfüllung eigener gesetzlicher Pflichten; die Zahlung erfolgt unmittelbar zwischen Käufer und Verantwortlichem auf dessen eigenes PayPal-Konto. Dasselbe gilt für Telekommunikationsdienstleistungen als reine Übermittlungsleistung.

§ 8 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach den Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen, jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

§ 9 Meldung von Verletzungen des Datenschutzes

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform an die im Konto hinterlegte E-Mail-Adresse.

Die Meldung enthält, soweit bekannt: eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags zu überprüfen oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer überprüfen zu lassen. Kontrollen sind mit angemessener Vorankündigung von mindestens 14 Tagen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen; sie sind auf das erforderliche Maß beschränkt.

Der Auftragsverarbeiter kann den Nachweis auch durch aktuelle Testate, Zertifizierungen oder Berichte seiner Unterauftragsverarbeiter führen, soweit diese die Prüfung des Verantwortlichen sachgerecht ersetzen.

Für einen Prüfaufwand, der über eine Prüfung je Kalenderjahr hinausgeht und nicht durch einen konkreten Anlass beim Auftragsverarbeiter veranlasst ist, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen.

§ 11 Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in der Bundesrepublik Deutschland statt. Eine Verarbeitung in einem Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind und der Verantwortliche zuvor informiert wurde.

§ 12 Löschung und Rückgabe

Nach Beendigung des Auftrags löscht der Auftragsverarbeiter die verarbeiteten Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht.

Der Verantwortliche kann seine Daten während der Vertragslaufzeit und 30 Tage darüber hinaus über die Exportfunktionen der Plattform selbst abrufen.

Handels- und steuerrechtliche Aufbewahrungspflichten bleiben unberührt. Daten, die davon erfasst sind, werden in der Verarbeitung eingeschränkt und nach Ablauf der Fristen gelöscht.

Der Auftragsverarbeiter stellt Löschkonzepte bereit, mit denen der Verantwortliche alte Bestellungen und Protokolldaten selbst anonymisieren oder löschen kann.

§ 13 Schlussbestimmungen

Dieser Vertrag geht dem Nutzungsvertrag im Fall von Widersprüchen in Fragen des Datenschutzes vor.

Änderungen bedürfen der Textform. Das gilt auch für die Abbedingung dieses Formerfordernisses.

Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 – Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Vertraulichkeit

Zutrittskontrolle: Die Server werden in Rechenzentren der STRATO AG in Deutschland betrieben. Der Zutritt ist durch den Betreiber gesichert; der Auftragsverarbeiter selbst hat keinen physischen Zutritt.

Zugangskontrolle: Der Zugang zum Backend erfolgt über persönliche Konten mit E-Mail-Adresse und Passwort. Passwörter werden ausschließlich als Hash gespeichert. Fehlversuche werden protokolliert und ratenbegrenzt. Zugänge zur Scanner-Anwendung erfolgen über Terminalkennung und PIN und sind auf die jeweilige Veranstaltung beschränkt.

Zugriffskontrolle: Es besteht ein Rollen- und Rechtekonzept. Jedes Konto ist einem Mandanten zugeordnet; ein Zugriff auf Daten anderer Veranstalter ist ausgeschlossen und wird bei jeder Abfrage geprüft. Administrative Rechte sind auf den Betrieb der Plattform beschränkt.

Trennungskontrolle: Die Daten verschiedener Veranstalter werden logisch getrennt verarbeitet. Jede Abfrage ist an die Mandantenkennung gebunden.

Pseudonymisierung: Ticketcodes werden zufällig erzeugt und lassen keinen Rückschluss auf die Person zu. Für Auswertungen werden nach Ablauf der Aufbewahrungsfristen Anonymisierungsfunktionen bereitgestellt.

Integrität

Weitergabekontrolle: Der Abruf der Anwendung erfolgt ausschließlich verschlüsselt über HTTPS. Die Zahlungsabwicklung erfolgt beim Zahlungsdienstleister; Zahlungsdaten wie Kartennummern werden vom Auftragsverarbeiter nicht erhoben und nicht gespeichert.

Eingabekontrolle: Sicherheitsrelevante Vorgänge im Backend werden protokolliert, insbesondere Anmeldungen, Änderungen an Veranstaltungen und Ticketarten, Stornierungen sowie Löschvorgänge. Jeder Scan wird mit Zeitpunkt, Gerät und Ergebnis protokolliert.

Verfügbarkeit und Belastbarkeit

Die Systeme werden regelmäßig gesichert. Datenbanksicherungen werden erstellt und getrennt aufbewahrt. Die Anwendung ist so ausgelegt, dass die Einlasskontrolle bei einem Ausfall der Internetverbindung offline weiterläuft und Scans nachträglich abgeglichen werden.

Aktualisierungen der eingesetzten Software werden zeitnah eingespielt.

Verfahren zur Überprüfung und Bewertung

Der Auftragsverarbeiter überprüft die Wirksamkeit der Maßnahmen anlassbezogen sowie mindestens jährlich. Die Plattform enthält eine Selbstprüfung, die Konfiguration, Rechte und sicherheitsrelevante Einstellungen auswertet.

Auftragskontrolle: Unterauftragsverarbeiter werden vertraglich auf die Einhaltung entsprechender Maßnahmen verpflichtet.

Anlage 2 – Unterauftragsverarbeiter

STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin – Betrieb der Server und Speicherung der Daten. Ort der Verarbeitung: Deutschland.

Der Anbieter des für den Versand der Ticket- und Systemmails eingesetzten E-Mail-Dienstes. Ort der Verarbeitung: Europäische Union. Der jeweils eingesetzte Dienst wird dem Verantwortlichen auf Anfrage benannt.

Nicht als Unterauftragsverarbeiter eingesetzt werden Zahlungsdienstleister. Die Zahlung erfolgt unmittelbar zwischen Käufer und Verantwortlichem über dessen eigenes PayPal-Konto; PayPal ist insoweit eigenständig Verantwortlicher.