Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung gilt für gewerbliche Gastgeber — Unternehmen, Vereine und Behörden, die Einladungsmoment für eine Veranstaltung einsetzen. Für private Feiern ist sie nicht nötig; dort greift die Haushaltsausnahme des Art. 2 Abs. 2 lit. c DSGVO.

Die Beteiligten

Verantwortlicher ist der gewerbliche Gastgeber, der ein Fest anlegt.
Auftragsverarbeiter ist:

§ 1 Gegenstand, Dauer und Weisungsbindung

Gegenstand ist die Verarbeitung personenbezogener Daten, die beim Betrieb einer digitalen Einladung und der zugehörigen Erinnerungswand anfällt. Die Vereinbarung beginnt mit der Anlage des ersten Fests und endet, wenn alle Daten des Verantwortlichen gelöscht sind.

Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Die Einstellungen im Dashboard — Moderation, Freigabe, Sichtbarkeit, Löschung, Aufbewahrungsdauer — sind solche Weisungen; sie sind im System festgehalten. Hält der Verantwortliche darüber hinaus eine Weisung für nötig, genügt Textform an die oben genannte Adresse.

Ist eine Weisung nach unserer Auffassung rechtswidrig, teilen wir das unverzüglich mit und dürfen die Ausführung aussetzen (Art. 28 Abs. 3 S. 3 DSGVO).

§ 2 Art, Zweck, Daten und betroffene Personen

Zweck: Bereitstellung der Einladung, Entgegennahme der Zu- und Absagen, Sammlung und Anzeige von Fotos, Videos und Grußtexten der Gäste, Bereitstellung des Archivs zum Herunterladen.

Art der Verarbeitung: Erheben, Speichern, Anzeigen, Umwandeln (Bildgrößen), Bereitstellen zum Abruf, Löschen.

Datenarten: Name oder Anzeigename der Gäste, Zu- oder Absage, Anzahl der Begleitpersonen, freiwillige Nachrichten, hochgeladene Fotos und Videos samt darauf abgebildeter Personen, Zeitpunkt des Beitrags.

Besondere Kategorien (Art. 9 DSGVO): Gibt ein Gast im Zusagefeld Allergien oder Unverträglichkeiten an, sind das Gesundheitsdaten. Das Formular fragt dafür eine gesonderte, ausdrückliche Einwilligung ab und weist die Angabe als freiwillig aus. Andere besondere Kategorien werden nicht erhoben.

Betroffene Personen: Gäste der Veranstaltung sowie Personen, die auf hochgeladenen Fotos und Videos abgebildet sind.

§ 3 Unsere Pflichten

• Vertraulichkeit. Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).
• Sicherheit. Wir treffen die Maßnahmen nach Art. 32 DSGVO — siehe § 4.
• Unterstützung bei Betroffenenrechten. Wendet sich eine betroffene Person an uns, verweisen wir sie an den Verantwortlichen und unterstützen ihn bei Auskunft, Berichtigung, Löschung und Einschränkung (Art. 28 Abs. 3 lit. e DSGVO).
• Unterstützung bei Pannen. Wir melden eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis (Art. 33 Abs. 2 DSGVO), damit der Verantwortliche seine Frist von 72 Stunden einhalten kann.
• Keine eigenen Zwecke. Wir werten die Inhalte der Gäste nicht aus, nutzen sie nicht für Werbung, geben sie nicht weiter und trainieren mit ihnen keine Modelle.

§ 4 Technische und organisatorische Maßnahmen

• Übertragung ausschließlich verschlüsselt (TLS).
• Speicherung in einem Rechenzentrum in Deutschland; Medien auf einem getrennten, nicht öffentlich auflistbaren Datenträger.
• Zugriff auf das Dashboard nur nach Anmeldung. Jede Aktion wird serverseitig gegen die Zugehörigkeit des Fests geprüft — eine geratene Kennung genügt nicht.
• Uploads werden anhand ihres tatsächlichen Dateiinhalts geprüft, nicht anhand der Dateiendung; Pfadangaben sind gegen Ausbruch aus dem Medienverzeichnis abgesichert.
• Beim Umrechnen der Bilder werden EXIF-Daten einschließlich GPS-Koordinaten entfernt — der Aufnahmeort eines Gastes verlässt das System nicht.
• Tägliche Sicherungen mit vierzehn Aufbewahrungsständen.
• Trennung nach Fest: Jedes Fest liegt in einem eigenen Bereich.

§ 5 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu (Art. 28 Abs. 2 DSGVO). Mit allen bestehen Verträge nach Art. 28 DSGVO:

dockup

Hosting der Anwendung, Datenbank und Medienspeicher · Rechenzentrum in Deutschland (Region eu-central-de)

All-Inkl (ALL-INKL.COM – Neue Medien Münnich)

Versand aller E-Mails an Gastgeber (Anmeldelink, Benachrichtigungen, Bestellbestätigungen) · Deutschland

Rplay (HIER EINSETZEN — Firmierung und Anschrift)

Sitzungsaufzeichnung auf den Marketingseiten (Seitenaufrufe, Zeigerbewegungen, Klicks, Scrollen, Fenstergröße) zur Erkennung von Bedienhürden · HIER EINSETZEN

Einen Wechsel oder eine Ergänzung teilen wir mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb dieser Frist widersprechen; führt der Widerspruch dazu, dass die Leistung nicht erbracht werden kann, darf er den Vertrag ohne Kosten beenden.

§ 6 Nachweise und Kontrollen

Wir stellen auf Anfrage die Informationen bereit, die zum Nachweis der Einhaltung nötig sind (Art. 28 Abs. 3 lit. h DSGVO). Vor-Ort-Kontrollen sind nach Ankündigung mit angemessener Frist, während der Geschäftszeiten und ohne Störung des Betriebs möglich.

§ 7 Löschung nach Ende der Verarbeitung

Nach Ablauf der gebuchten Aufbewahrungsdauer werden Medien und Beiträge automatisch gelöscht. Löscht der Verantwortliche ein Fest im Dashboard, werden zuerst die Dateien und danach die Datensätze entfernt. Vorher kann er das vollständige Archiv als ZIP-Datei herunterladen.

Ausgenommen sind Daten, die wir aus gesetzlichen Gründen aufbewahren müssen — insbesondere Rechnungen nach § 147 AO und § 257 HGB. Diese betreffen den Verantwortlichen selbst, nicht seine Gäste.

§ 8 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich (Art. 24 DSGVO). Ihn treffen insbesondere:

• die Information seiner Gäste nach Art. 13 DSGVO — wozu gehört, dass Fotos gesammelt und für andere Gäste sichtbar werden;
• die Beachtung des Rechts am eigenen Bild (§ 22 KUG) für Personen, die auf den Fotos erscheinen;
• die Entscheidung, ob Beiträge vor der Anzeige freigegeben werden — bei Veranstaltungen mit gemischtem Publikum empfehlen wir die Moderation;
• die Prüfung, ob eine Datenschutz-Folgenabschätzung nötig ist (Art. 35 DSGVO).

§ 9 Zustandekommen und Schlussbestimmungen

Diese Vereinbarung kommt zustande, sobald ein gewerblicher Gastgeber ein Fest anlegt und die Allgemeinen Geschäftsbedingungen annimmt. Sie ist Bestandteil des Vertrags. Eine gesonderte, unterzeichnete Fassung stellen wir auf Anfrage über info@einladungsmoment.de bereit.

Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung vor, soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.

Welche Daten wir als eigener Verantwortlicher verarbeiten — etwa für Anmeldung, Rechnung und Werbemessung —, steht in der Datenschutzerklärung.