Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

Fassung 2.0 · Stand Oktober 2026

Dieser Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Abs. 3 DSGVO gilt zwischen dem Unternehmen, das die Software „Eventium“ nutzt (nachfolgend „Verantwortlicher“), und der Aller Ende Anfang UG (haftungsbeschränkt), Mollstraße 1a, 10178 Berlin, eingetragen im Handelsregister des Amtsgerichts Berlin-Charlottenburg unter HRB 219805 B, vertreten durch den Geschäftsführer Jason Salomon Rinnert (nachfolgend „Auftragsverarbeiter“). Weitere Angaben enthält das Impressum.

Dieser Vertrag wird mit Abschluss des Nutzungsvertrags über Eventium, also mit Annahme der Allgemeinen Geschäftsbedingungen (AGB), vereinbart und ist Bestandteil dieses Nutzungsvertrags (§ 23 Abs. 2 AGB). Zusätzlich können Nutzer mit dem Recht zur Verwaltung der Organisation den Abschluss in den Einstellungen der Organisation bestätigen. Dabei speichert der Auftragsverarbeiter die bestätigte Fassung, den Zeitpunkt und die annehmende Person als Nachweis. Die Bestätigung dokumentiert den Vertrag; seine Geltung hängt nicht von ihr ab.

Begriffe wie „Organisation“, „Inhaber“, „Nutzer“, „Endkunden“, „Partner“, „Kundenportal“, „Widgets“ und „Kundendaten“ haben die Bedeutung nach § 2 AGB.

1. Gegenstand und Dauer der Verarbeitung

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten, die in den Kundendaten enthalten sind, durch den Auftragsverarbeiter im Auftrag des Verantwortlichen bei der Bereitstellung und dem Betrieb der Software-as-a-Service-Lösung Eventium.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags einschließlich der Gnadenfrist nach § 18 AGB. Dieser Vertrag endet mit dem Nutzungsvertrag. Solange der Auftragsverarbeiter danach noch personenbezogene Daten des Verantwortlichen verarbeitet, insbesondere während der Gnadenfrist, bei der Bereitstellung des Exports, während eines Übergangs- oder Abrufzeitraums nach § 19 AGB und bis zum Überschreiben der Datensicherungen, gelten sämtliche Pflichten des Auftragsverarbeiters aus diesem Vertrag fort, bis die Daten vollständig gelöscht sind.

2. Art und Zweck der Verarbeitung

(1) Der Auftragsverarbeiter erhebt, speichert, ordnet, verändert, liest, nutzt, übermittelt, stellt bereit, sichert und löscht personenbezogene Daten, die der Verantwortliche, seine Nutzer, Endkunden oder Partner in die Organisation einstellen, hochladen, empfangen oder dort erzeugen. Das betrifft insbesondere Kundenverwaltung, Projekte, Angebote, Rechnungen und Zahlungseingänge, Aufgaben und Kalender, Personalfunktionen, Kommunikation per Chat und E-Mail, Dateiverwaltung, Kundenportal und Widgets, Dienstleister-Netzwerk, Automationen sowie KI-Funktionen.

(2) Zweck der Verarbeitung ist ausschließlich die Erbringung der vertraglich geschuldeten Leistungen gegenüber dem Verantwortlichen einschließlich Support, Datensicherung und Sicherheit der Plattform. Der Auftragsverarbeiter verarbeitet die Kundendaten nicht für eigene Zwecke, insbesondere nicht für Werbung und nicht zum Training von KI-Modellen.

(3) Nicht Gegenstand dieses Vertrags sind die Verarbeitungen, für die der Auftragsverarbeiter selbst Verantwortlicher ist und die er in seiner Datenschutzerklärung beschreibt. Dazu gehören insbesondere Nutzerkonten und Mitgliedschaften, Vertragsabwicklung und Abrechnung gegenüber dem Verantwortlichen, Systemnachrichten, Protokolle der Plattform-Administration sowie die Nutzungs- und Betriebsdaten nach § 9 Abs. 4 AGB. Die Reichweitenmessung mit Vercel Analytics ist ebenfalls keine Verarbeitung im Auftrag des Verantwortlichen: Sie dient einem eigenen Zweck des Auftragsverarbeiters, wird nur mit Einwilligung des jeweiligen Besuchers geladen und erhält Adressen von Seiten mit Zugangsschlüsseln nur ohne diese Schlüssel.

3. Art der personenbezogenen Daten

Verarbeitet werden die personenbezogenen Daten, die der Verantwortliche in der Organisation verarbeitet, insbesondere:

• Kontakt- und Stammdaten (Name, Firma, Funktion, E-Mail-Adresse, Telefonnummer, Anschrift, Website);
• Projekt-, Angebots-, Auftrags-, Rechnungs-, Mahn- und Zahlungsdaten einschließlich Bankverbindungen, soweit hinterlegt;
• Nachweisdaten aus dem Kundenportal bei Annahmen und Unterschriften (Name, Zeitpunkt, IP-Adresse, Browserkennung, bestätigter Text und gesetzte Häkchen);
• Eingaben in Anfrageformulare und Konfiguratoren;
• Kommunikationsinhalte (Chat-Nachrichten, ein- und ausgehende E-Mails, Kommentare, Notizen);
• Dateien und Dokumente im Upload-Center mit ihren Inhalten;
• Beschäftigtendaten aus den Personalfunktionen (Dienstpläne, Arbeitszeiten, Abwesenheiten, Checklisten, Personalstammdaten);
• Inhalte, die an KI-Funktionen übergeben werden, und deren Ergebnisse, etwa Texte, Sprachaufnahmen beim Diktat, Dokumente und Bilder;
• Aktivitäts- und Änderungsprotokolle der Organisation einschließlich IP-Adressen.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet der Auftragsverarbeiter nur, soweit der Verantwortliche sie einstellt. Das gilt insbesondere für die Kennzeichnung einer Abwesenheit als krankheitsbedingt in den Personalfunktionen sowie für Gesundheits- oder sonstige besondere Daten in Freitexten, Dateien oder Gästeangaben, etwa zu Ernährungsbedürfnissen. Vollständige Kartendaten verarbeitet der Auftragsverarbeiter nicht.

4. Kategorien betroffener Personen

• Beschäftigte, Crew-Mitglieder und sonstige Nutzer des Verantwortlichen, auch als Betroffene der Personalfunktionen;
• Endkunden des Verantwortlichen und deren Ansprechpartner, Interessenten, Gäste und Teilnehmende von Veranstaltungen;
• Nutzer des Kundenportals, von Gastzugängen und von Widgets auf Websites des Verantwortlichen;
• Partner und Dienstleister des Verantwortlichen und deren Ansprechpartner;
• sonstige Personen, deren Daten der Verantwortliche in der Organisation verarbeitet, etwa Absender und Empfänger von E-Mails.

5. Rechte und Pflichten des Verantwortlichen, Weisungen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung der Kundendaten und für die Wahrung der Rechte der betroffenen Personen verantwortlich (§ 20 Abs. 1 lit. e und f AGB).

(2) Der Verantwortliche erteilt Weisungen durch den Abschluss und die Ausgestaltung des Nutzungsvertrags, durch die Nutzung und Konfiguration der Plattform (etwa Einstellungen der Organisation, Freigaben im Kundenportal, Einstellungen zu KI-Funktionen, Löschungen und Exporte) und im Übrigen in Textform an datenschutz@eventium.app. Weisungsberechtigt sind der Inhaber und Nutzer mit dem Recht zur Verwaltung der Organisation. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, behandeln die Parteien als Antrag auf Leistungsänderung.

(3) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er bei der Prüfung der Ergebnisse der Verarbeitung Fehler oder Unregelmäßigkeiten in Bezug auf datenschutzrechtliche Bestimmungen feststellt.

6. Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

(3) Der Auftragsverarbeiter berichtigt, löscht oder schränkt die Verarbeitung der Kundendaten nur auf Weisung des Verantwortlichen ein. Die Plattform stellt dem Verantwortlichen dafür Funktionen zur Verfügung, mit denen er Daten selbst berichtigen, löschen und exportieren kann.

7. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus. Zugang zu Kundendaten erhalten nur Personen, die ihn für ihre Aufgabe benötigen.

8. Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (Art. 28 Abs. 3 lit. c DSGVO), insbesondere:

• verschlüsselte Übertragung (TLS);
• Speicherung von Passwörtern ausschließlich als Hash;
• Trennung der Daten je Organisation auf Datenbankebene (Row-Level-Security);
• private Dateispeicher mit Zugriff über kurzlebige, signierte Links;
• verschlüsselte Speicherung von Zugangsdaten zu eigenen E-Mail-Servern des Verantwortlichen;
• Rechte- und Rollenkonzept nach dem Need-to-know-Prinzip, das der Verantwortliche für seine Nutzer selbst ausgestaltet;
• Protokollierung privilegierter Zugriffe der Plattform-Administration (Ziffer 13);
• Begrenzung von Anmeldeversuchen und Anfragen an öffentliche Schnittstellen;
• regelmäßige Datensicherung zur Wiederherstellung nach Störungen (§ 5 Abs. 5 AGB);
• Betrieb von Datenbank und serverseitigen Funktionen in der Region Frankfurt am Main (EU);
• regelmäßige Sicherheitsaktualisierungen.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder wirksamere Maßnahmen ersetzen; das Schutzniveau darf dabei nicht sinken. Den jeweils aktuellen Stand beschreibt auch Abschnitt 28 der Datenschutzerklärung.

9. Unterauftragsverarbeiter

9.1 Genehmigung

(1) Der Verantwortliche erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) nach Maßgabe dieser Ziffer einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter gelten als genehmigt:

(2) An die KI-Anbieter übermittelt der Auftragsverarbeiter nur die Inhalte, die für die jeweils genutzte KI-Funktion erforderlich sind. Welche Anfragen über das Vercel AI Gateway und welche direkt an den Anbieter geleitet werden und welche Aufbewahrungsregeln dabei gelten, beschreibt Abschnitt 15 der Datenschutzerklärung. Die automatische Ermittlung von Firmenlogos ist Teil der Kundenverwaltung und erfolgt im Auftrag des Verantwortlichen: An Logo.dev und den Favicon-Dienst von Google übermitteln die Server des Auftragsverarbeiters nur den Domainnamen einer Firma; das gefundene Logo lädt der Browser des Nutzers direkt beim Dienst, der dabei die IP-Adresse und die üblichen Browserangaben des Nutzers erhält. Beide Datenflüsse gehören zur Verarbeitung nach diesem Vertrag (Abschnitt 16 der Datenschutzerklärung).

(3) Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind Dienste, die der Verantwortliche selbst beauftragt oder anbindet, insbesondere eigene E-Mail-Server und ein eigenes Stripe-Konto für Zahlungen seiner Endkunden. Für diese Dienste ist der Verantwortliche im Verhältnis zum jeweiligen Anbieter selbst verantwortlich. Partner im Dienstleister-Netzwerk, denen der Verantwortliche Daten weitergibt, verarbeiten diese in eigener Verantwortung.

(4) Die jeweils aktuelle Liste der Empfänger und Unterauftragsverarbeiter enthält auch die Datenschutzerklärung.

9.2 Pflichten gegenüber Unterauftragsverarbeitern

Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

9.3 Neue oder geänderte Unterauftragsverarbeiter

(1) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen, bevor er einen Unterauftragsverarbeiter hinzuzieht oder ersetzt, in Textform an die E-Mail-Adresse des Inhabers oder im Kundenkonto. Die Information nennt Name, Sitz, Leistung und die Garantie für eine Übermittlung in Drittländer.

(2) Muss ein Unterauftragsverarbeiter kurzfristig ersetzt werden, weil er seine Leistung einstellt oder ein Sicherheitsrisiko besteht, kann der Auftragsverarbeiter die Frist nach Abs. 1 angemessen verkürzen. Auch dann informiert er den Verantwortlichen vor dem Einsatz des neuen Unterauftragsverarbeiters in Textform.

(3) Der Verantwortliche kann der Änderung bis zu ihrem Wirksamwerden in Textform an datenschutz@eventium.app aus datenschutzrechtlichen Gründen widersprechen. Widerspricht er fristgerecht, gibt der Auftragsverarbeiter dem neuen Unterauftragsverarbeiter keine personenbezogenen Daten des Verantwortlichen weiter, bis die Parteien eine Lösung vereinbart haben. Die Parteien bemühen sich um eine solche Lösung.

(4) Kann der Auftragsverarbeiter die betroffene Leistung ohne den neuen Unterauftragsverarbeiter nicht oder nur mit unverhältnismäßigem Aufwand erbringen und kommt innerhalb von vier Wochen nach dem Widerspruch keine Lösung zustande, kann jede Partei die betroffene Leistung oder, wenn sie sich nicht abtrennen lässt, den Nutzungsvertrag außerordentlich mit einer Frist von zwei Wochen kündigen. Im Voraus gezahlte Entgelte für die Zeit nach dem Ende der Leistung erstattet der Auftragsverarbeiter anteilig. Bis zum Wirksamwerden der Kündigung bleibt es bei Abs. 3 Satz 2.

(5) Widerspricht der Verantwortliche nicht bis zum Wirksamwerden der Änderung, gilt der neue Unterauftragsverarbeiter als genehmigt.

9.4 Übermittlung in Drittländer

Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind: soweit der Empfänger nach dem EU-U.S. Data Privacy Framework zertifiziert ist, auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission vom 10. Juli 2023 (Art. 45 DSGVO); im Übrigen auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO), gegebenenfalls ergänzt um zusätzliche Schutzmaßnahmen. Der Verantwortliche weist den Auftragsverarbeiter an, Übermittlungen an die in Ziffer 9.1 genannten Unterauftragsverarbeiter auf dieser Grundlage vorzunehmen. Eine Kopie der Garantien stellt der Auftragsverarbeiter auf Anfrage zur Verfügung (Abschnitt 20 der Datenschutzerklärung).

10. Unterstützungspflichten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Dazu stellt die Plattform insbesondere Funktionen zum Auffinden, Berichtigen, Löschen und Exportieren von Daten bereit. Wendet sich eine betroffene Person mit einem Antrag zu Kundendaten unmittelbar an den Auftragsverarbeiter, leitet er ihn unverzüglich an den Verantwortlichen weiter, soweit er diesen erkennen kann, und beantwortet ihn nicht selbst.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO), insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen, indem er die dafür erforderlichen Informationen über die Plattform bereitstellt.

(3) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, unverzüglich, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO; Angaben, die noch nicht vorliegen, reicht er schrittweise nach. Er ergreift unverzüglich die erforderlichen Maßnahmen, um die Verletzung einzudämmen und mögliche nachteilige Folgen zu mindern.

(4) Für Unterstützungsleistungen, die über die Funktionen der Plattform hinausgehen und nicht auf einem Verstoß des Auftragsverarbeiters gegen diesen Vertrag oder gegen Datenschutzrecht beruhen, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen, wenn er sie vorher in Textform angekündigt hat.

11. Löschung und Rückgabe

(1) Nach Ende der Erbringung der Verarbeitungsleistungen gibt der Auftragsverarbeiter dem Verantwortlichen die Kundendaten zurück und löscht sie anschließend (Art. 28 Abs. 3 lit. g DSGVO). Der Verantwortliche erteilt mit Abschluss dieses Vertrags die dokumentierte Weisung, hierbei nach den folgenden Absätzen und § 18 AGB zu verfahren (§ 23 Abs. 4 AGB).

(2) Mit dem Vertragsende beginnt eine Gnadenfrist von 30 Tagen. Das gilt auch, wenn der Vertrag mit Ablauf einer Testphase endet, und wenn der Inhaber die Organisation löscht. Während der Gnadenfrist ist der Zugriff auf die Organisation gesperrt.

(3) Zur Rückgabe erstellt der Auftragsverarbeiter mit Beginn der Gnadenfrist automatisch einen Gesamtexport der Kundendaten. Er umfasst strukturierte Daten in maschinenlesbaren Formaten, Belege als PDF-Dateien und hochgeladene Dateien in ihrer Ordnerstruktur; Zugangsgeheimnisse wie Passwörter und Schlüssel sind nicht enthalten. Den Link zum Abruf erhält der Inhaber per E-Mail; der Abruf setzt seine Anmeldung voraus. Zeigt der Inhaber vor Ablauf der Gnadenfrist in Textform an, dass der Export unvollständig oder nicht lesbar ist, verlängert sich die Gnadenfrist bis zur Bereitstellung eines berichtigten Exports, höchstens um 30 Tage. Während der Vertragslaufzeit kann der Inhaber jederzeit einen Gesamtexport anfordern.

(4) Nach Ablauf der Gnadenfrist löscht der Auftragsverarbeiter die Organisation und sämtliche Kundendaten vollständig und unwiderruflich. Die Löschung umfasst auch Rechnungen, Belege, Verträge, Korrespondenz und Nachweise des Verantwortlichen gegenüber Endkunden und Partnern. Sie erfolgt auch dann, wenn der Inhaber den Export nicht abgerufen hat. Vorbehaltlich Abs. 5 bewahrt der Auftragsverarbeiter über das Ende der Gnadenfrist hinaus keine Kundendaten auf.

(5) Gesetzliche Aufbewahrungspflichten des Verantwortlichen, insbesondere nach § 147 AO, § 257 HGB und den GoBD, erfüllt der Verantwortliche selbst mit dem Export (§ 18 Abs. 5 AGB). Der Auftragsverarbeiter speichert Kundendaten nur dann über das Ende der Gnadenfrist hinaus, wenn er nach dem Recht der Union oder der Mitgliedstaaten oder aufgrund einer behördlichen oder gerichtlichen Anordnung zur Speicherung verpflichtet ist; er schränkt die Verarbeitung dann auf diesen Zweck ein und löscht die Daten, sobald die Pflicht entfällt.

(6) Endet der Vertrag während einer Sperre nach § 16 Abs. 3 AGB, ruht der Lauf der Gnadenfrist, solange die Sperre andauert (§ 16 Abs. 4 AGB). Die Kundendaten verarbeitet der Auftragsverarbeiter in dieser Zeit weiterhin nur im Auftrag des Verantwortlichen nach diesem Vertrag und nicht für eigene Zwecke, insbesondere nicht zu eigenen Beweiszwecken.

(7) Datensicherungen werden im Rahmen ihres festen Sicherungszyklus überschrieben; gelöschte Daten sind danach auch aus den Sicherungen entfernt. Bis dahin verarbeitet der Auftragsverarbeiter die Sicherungen nur zur Wiederherstellung der Plattform nach Störungen. Über die durchgeführte Löschung bewahrt der Auftragsverarbeiter ein Protokoll ohne personenbezogene Inhalte auf.

(8) Für den Wechsel zu einem anderen Anbieter und die Beendigung mit Löschung nach § 19 AGB gelten die dortigen Regelungen zu Übergangszeitraum, Abruf und Löschung; die Weisung nach Abs. 1 erstreckt sich auch darauf. Auf Wunsch bestätigt der Auftragsverarbeiter die Löschung in Textform.

(9) Daten, für die der Auftragsverarbeiter selbst Verantwortlicher ist (Ziffer 2 Abs. 3), insbesondere seine eigenen Vertrags- und Abrechnungsunterlagen zum Verantwortlichen, bewahrt er nach § 18 Abs. 6 AGB und seiner Datenschutzerklärung auf.

12. Nachweise und Kontrollrechte

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt dazu bei (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis kann zunächst durch Auskünfte in Textform und geeignete Unterlagen, etwa eine Beschreibung der technischen und organisatorischen Maßnahmen und Nachweise der Unterauftragsverarbeiter, geführt werden. Reichen diese im Einzelfall nicht aus, kann der Verantwortliche eine Inspektion vornehmen. Er kündigt sie mit einer Frist von mindestens vier Wochen in Textform an, es sei denn, ein konkreter Anlass wie eine Verletzung des Schutzes personenbezogener Daten erfordert eine kürzere Frist. Inspektionen finden während der üblichen Geschäftszeiten statt, nehmen auf den Geschäftsbetrieb und die Vertraulichkeit der Daten anderer Kunden Rücksicht und erfolgen ohne konkreten Anlass höchstens einmal im Kalenderjahr. Ein beauftragter Prüfer muss zur Verschwiegenheit verpflichtet sein und darf nicht in einem Wettbewerbsverhältnis zum Auftragsverarbeiter stehen.

(3) Kontrollrechte der Aufsichtsbehörden bleiben unberührt.

13. Support-Zugriff der Plattform-Administration

(1) Zur Bearbeitung von Support-Anfragen sowie zur Analyse und Behebung von Störungen kann die Plattform-Administration des Auftragsverarbeiters die Plattform vorübergehend aus der Sicht eines Nutzers der Organisation aufrufen (Support-Zugriff). Dabei kann sie die Kundendaten sehen, auf die dieser Nutzer Zugriff hat.

(2) Ein Support-Zugriff ist nur zulässig, soweit er für den Zweck nach Abs. 1 erforderlich ist, und nur durch zur Vertraulichkeit verpflichtete Personen (Ziffer 7). Er ist auf 30 Minuten je Sitzung begrenzt und erfordert die Angabe eines Grundes. Protokolliert werden die handelnde Person der Administration, das betroffene Nutzerkonto und die Organisation, der Grund, Beginn und Ende sowie die IP-Adresse der Administration. Das Protokoll wird ein Jahr aufbewahrt (Abschnitte 12 und 21 der Datenschutzerklärung).

(3) Auf Anfrage teilt der Auftragsverarbeiter dem Verantwortlichen mit, ob und wann Support-Zugriffe auf seine Organisation stattgefunden haben und aus welchem Grund.

14. Haftung

Die Haftung der Parteien im Verhältnis zueinander richtet sich nach den Haftungsregelungen der AGB (§ 22 AGB). Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.

15. Schlussbestimmungen

(1) Widersprechen sich die AGB und dieser Vertrag, geht für die Verarbeitung personenbezogener Daten im Auftrag dieser Vertrag vor. Für Gnadenfrist, Export und Löschung nach Vertragsende gelten § 18 und § 19 AGB vorrangig (§ 23 Abs. 4 AGB); Ziffer 11 gibt sie wieder.

(2) Änderungen dieses Vertrags erfolgen nach dem Verfahren für Änderungen der AGB (§ 26 AGB). Für Änderungen bei Unterauftragsverarbeitern gilt ausschließlich Ziffer 9.3.

(3) Erklärungen zu diesem Vertrag bedürfen der Textform; Erklärungen über die dafür vorgesehenen Funktionen der Plattform genügen. Diesen Vertrag kann der Verantwortliche jederzeit unter eventium.app/avv abrufen und speichern.

(4) Sind einzelne Bestimmungen dieses Vertrags unwirksam, bleibt die Wirksamkeit der übrigen unberührt. Es gelten das Recht der Bundesrepublik Deutschland und die Gerichtsstandsregelung der AGB (§ 28 AGB).

(5) Fragen zu diesem Vertrag richtet der Verantwortliche an datenschutz@eventium.app. Weitere Informationen enthalten die Datenschutzerklärung, das Impressum und die AGB.