Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung zur Auftragsverarbeitung (AVV) wird zwischen dem Kunden als Verantwortlichem und Smart Rap Industry, Inhaber Tim Pascal Ludwig, Baldinger Str. 23, 86720 Nördlingen, Deutschland, als Auftragsverarbeiter geschlossen. Sie gilt, soweit der Kunde mit Booking OS personenbezogene Daten verarbeitet, für die er die Zwecke und wesentlichen Mittel bestimmt.

Die AVV ergänzt den Nutzungsvertrag über Booking OS. Bei Widersprüchen gehen ihre datenschutzrechtlichen Regelungen für die Auftragsverarbeitung vor. Sie gilt nicht für Verarbeitungen, bei denen Booking OS selbst Verantwortlicher ist, insbesondere für Konto-, Vertrags-, Abrechnungs-, Sicherheits- und eigene Analysedaten.

Diese AVV ist eine klar bezeichnete Anlage des kostenfreien Nutzungsvertrags und wird zusammen mit diesem durch ausdrückliche elektronische Zustimmung abgeschlossen. Sie gilt, soweit der Kunde als Verantwortlicher Auftragsdaten verarbeiten lässt. Ein zusätzlicher Download oder eine gesonderte Unterschrift ist für diesen Abschluss nicht erforderlich. Die Vertragspartei wird durch den dokumentierten Namen und das zugehörige Konto mit E-Mail-Adresse bestimmt. Eine spätere Anschriftergänzung wird gesondert datiert; eine andere Vertragspartei erfordert einen neuen Abschluss und wirkt nicht rückwirkend.

Gegenstand ist die technische Bereitstellung der webbasierten Booking- und CRM-Funktionen einschließlich Speicherung, Strukturierung, Anzeige, Änderung, Export, Übermittlung auf dokumentierte Weisung, Sicherung und Löschung der vom Kunden eingestellten Daten.

Zweck ist die Organisation von Artist-, Venue-, Kontakt-, Pitch-, EPK-, Termin-, Aufgaben-, Gig- und Kalkulationsdaten im Arbeitsbereich des Kunden. Die Verarbeitung dauert für die Laufzeit des Nutzungsvertrags und anschließend bis zur vertragsgemäßen Rückgabe oder Löschung einschließlich des dokumentierten Backup-Nachlaufs.

Booking OS verarbeitet die Auftragsdaten ausschließlich auf dokumentierte Weisung des Kunden. Der Nutzungsvertrag, diese AVV, die gewählten Produkteinstellungen und die rechtmäßige Nutzung der bereitgestellten Funktionen bilden die anfänglichen Weisungen. Ergänzende Weisungen können in Textform an die im Impressum genannte Kontaktadresse gerichtet werden.

Booking OS informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt. Die Ausführung darf bis zur Klärung ausgesetzt werden. Gesetzlich zwingende Verarbeitungen werden dem Kunden vorab mitgeteilt, soweit das Gesetz eine Mitteilung nicht untersagt.

Booking OS stellt sicher, dass zugriffsberechtigte Personen auf Vertraulichkeit verpflichtet sind, Auftragsdaten nur im erforderlichen Umfang verarbeiten und angemessene technische und organisatorische Maßnahmen einhalten.

Booking OS unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Betroffenenanfragen, der Sicherheit der Verarbeitung, der Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden.

Bekannt gewordene Verletzungen des Schutzes von Auftragsdaten werden dem Kunden unverzüglich mit den verfügbaren Angaben zu Art, Umfang, Folgen und Abhilfemaßnahmen mitgeteilt. Booking OS dokumentiert den Vorfall und wirkt an der Aufklärung mit.

Der Kunde bleibt für die Rechtmäßigkeit der Erhebung, die Informationspflichten gegenüber betroffenen Personen, die Rechtsgrundlage, die Richtigkeit der Daten und die Rechtmäßigkeit seiner Weisungen verantwortlich. Er vergibt Zugriffsrechte sparsam, schützt Zugangsdaten und meldet Sicherheitsvorfälle unverzüglich.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO dürfen nur verarbeitet werden, wenn der Kunde die hierfür erforderlichen Voraussetzungen geprüft und geeignete zusätzliche Schutzmaßnahmen getroffen hat. Booking OS ist nicht für eine umfangreiche Verarbeitung solcher Daten vorgesehen.

Der Kunde erteilt eine allgemeine schriftliche Genehmigung für (a) die in Anlage 3 aufgeführten unmittelbaren Unterauftragsverarbeiter und (b) bei Supabase die jeweils aktuelle, in Anlage 3 verlinkte Liste der von Supabase eingesetzten weiteren Unterauftragsverarbeiter, sofern die jeweilige Änderung nach diesem Abschnitt ordnungsgemäß angekündigt wurde. Diese Genehmigung betrifft allein den Einsatz als Unterauftragsverarbeiter nach Art. 28 DSGVO; sie enthält keine positive Beurteilung der Zulässigkeit einer Drittlandübermittlung nach Art. 44 ff. DSGVO oder einer Transfer-Folgenabschätzung. Booking OS verpflichtet seine unmittelbaren Unterauftragsverarbeiter zu den maßgeblichen Pflichten dieser AVV und verpflichtet sie, ihren weiteren Unterauftragsverarbeitern inhaltlich gleichwertige Datenschutzpflichten aufzuerlegen. Booking OS bleibt im gesetzlichen Umfang verantwortlich.

Beabsichtigte Änderungen werden mindestens 30 Tage vor ihrem Wirksamwerden aktiv an die im Konto hinterlegte E-Mail-Adresse angekündigt; zusätzlich wird die veröffentlichte AVV-/Unterauftragnehmerseite aktualisiert. Der Kunde kann aus sachlich begründeten Datenschutzgründen innerhalb dieser Frist widersprechen. Können die Parteien keine zumutbare Lösung finden, kann der betroffene Dienst beendet werden.

Ein Anbieter ist nur dann Unterauftragsverarbeiter im Sinne dieser AVV, wenn er Auftragsdaten des Kunden für die Leistung von Booking OS verarbeitet. Stripe erhält im aktuellen Produktumfang keine Kontakt-, CRM-, EPK- oder sonstigen Inhaltsdaten aus dem Arbeitsbereich. Die über Brevo versandten Konto-, Vertrags-, Support- und Beendigungsnachrichten enthalten ebenfalls keine solchen Auftragsdaten; Team-Einladungen werden nur als Link erzeugt und von berechtigten Nutzenden selbst geteilt. Stripe und Brevo sind deshalb derzeit nicht in Anlage 3 aufgeführt.

Eine Übermittlung von Auftragsdaten außerhalb des Europäischen Wirtschaftsraums erfolgt nur auf dokumentierte Weisung und – soweit Kapitel V DSGVO einschlägig ist – zusätzlich auf Grundlage eines zulässigen Übermittlungsmechanismus. Eine bindende gesetzliche Verpflichtung bleibt nach Maßgabe von Art. 28 Abs. 3 lit. a DSGVO vorbehalten. Soweit erforderlich werden insbesondere ein Angemessenheitsbeschluss, das EU-US Data Privacy Framework oder Standardvertragsklauseln einschließlich ergänzender Maßnahmen verwendet.

Bei einer Übermittlung an einen Empfänger in einem Drittland oder einer Weiterübermittlung dorthin dokumentiert Booking OS eine Transfer-Folgenabschätzung (Transfer Impact Assessment, TIA). Sie berücksichtigt insbesondere das Recht und die Praxis des Empfängerlands, mögliche behördliche Zugriffe, Datenarten, Übermittlungswege, Verschlüsselung und weitere ergänzende Maßnahmen. Anbieter-DPA und Standardvertragsklauseln sind Nachweise der Vertragsgrundlage, ersetzen diese einzelfallbezogene Prüfung aber nicht. Kann kein der Sache nach gleichwertiges Schutzniveau gewährleistet werden, wird die Übermittlung ausgesetzt oder beendet.

Die Beendigung eines kostenpflichtigen Abonnements beendet die Verarbeitungsleistung nicht, solange der Arbeitsbereich im Free-Tarif fortgeführt wird. Bei vollständiger Konto- und Workspace-Beendigung wählt der Kunde in der Beendigungsfunktion der Einstellungen Rückgabe oder unmittelbare Löschung. Bei Rückgabe steht ab dem wirksamen Beendigungszeitpunkt 14 Kalendertage ein vollständiges ZIP-Paket mit strukturierten Datensätzen, hochgeladenen Dateien, Manifest und Prüfsummen bereit. Auf die restliche Exportfrist kann durch ausdrückliche Bestätigung des vollständigen Erhalts zugunsten der Löschung verzichtet werden.

Produktivdaten werden spätestens 30 Kalendertage nach dem wirksamen Beendigungszeitpunkt gelöscht oder irreversibel anonymisiert; bei gewählter Rückgabe nicht vor Ablauf der Exportfrist, außer der Kunde bestätigt vorher den Erhalt und gibt die Löschung frei. Technisch unveränderliche Sicherungskopien laufen spätestens innerhalb weiterer 30 Kalendertage und nie später als 60 Kalendertage nach dem Beendigungszeitpunkt aus und werden bis dahin nicht produktiv genutzt. Die Anwendung zeigt konkrete Fristen und Status an; technische Bestätigungen werden über den Transaktionsmail-Anbieter angestoßen. Gesetzlich aufzubewahrende Vertrags-, Abrechnungs- und Nachweisdaten werden getrennt, gesperrt und ausschließlich für den jeweiligen Aufbewahrungszweck weiterverarbeitet. Das betriebliche Löschkonzept konkretisiert Fristbeginn, Sperrung, Löschweg und Nachweis.

Booking OS stellt dem Kunden die zur Prüfung dieser AVV erforderlichen Informationen zur Verfügung. Zunächst werden vorhandene Dokumentationen, Prüfberichte und Nachweise genutzt. Weitergehende Kontrollen sind nach angemessener Vorankündigung, während üblicher Geschäftszeiten und ohne Gefährdung der Sicherheit oder Rechte anderer Kunden möglich. Unverhältnismäßiger Zusatzaufwand kann nach vorheriger Vereinbarung berechnet werden.

Änderungen dieser AVV werden in Textform dokumentiert und versioniert. Im Übrigen gelten die Schlussbestimmungen des Nutzungsvertrags. Gesetzliche Rechte betroffener Personen und Befugnisse der Aufsichtsbehörden bleiben unberührt.