Zwischen

Fair-Bytes GmbH
Auf der Steige 15
71277 Rutesheim, Deutschland
Amtsgericht Stuttgart, HRB 795967
USt-IdNr.: DE370084943
E-Mail: info@fair-bytes.com

– nachfolgend bezeichnet als „Auftragsverarbeiter" –

und

Vertragspartner (Verantwortlicher):

Der Veranstalter, also die in der Plattform angelegte Organisation, mit den dort hinterlegten Stammdaten, der diesen Auftragsverarbeitungsvertrag durch Zustimmung zu den AGB abgeschlossen hat.

– nachfolgend bezeichnet als „Auftraggeber" –

– beide nachfolgend als „die Vertragsparteien" bezeichnet –

Alle Begrifflichkeiten verstehen sich geschlechtsneutral.

wird der folgende Auftragsverarbeitungsvertrag geschlossen:

Präambel und Anwendungsbereich

Diese Vereinbarung konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich ergänzend zum bereits geschlossenen Nutzungsvertrag (nachfolgend: Hauptvertrag) ergeben und Einzelheiten zur Auftragsverarbeitung regeln. Sie findet Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen Beschäftigte des Auftragsverarbeiters oder durch den Auftragsverarbeiter Beauftragte personenbezogene Daten (nachfolgend: Daten) des Auftraggebers verarbeiten.

Der Hauptvertrag umfasst die Allgemeinen Geschäftsbedingungen für Veranstalter der Fair-Bytes GmbH in der Fassung, zu der dieser Auftragsverarbeitungsvertrag gehört.

1. Gegenstand der Auftragsverarbeitung

(1) Fair-Bytes stellt dem Auftraggeber die Plattform „Fair-Bytes Ticketing“ als Software-as-a-Service bereit; der Leistungsumfang ergibt sich aus § 2 der AGB.

(2) Im Rahmen der Erbringung des Service verarbeitet Fair-Bytes personenbezogene Daten der Ticketkäufer und Veranstaltungsteilnehmer im Auftrag des Auftraggebers. Fair-Bytes handelt dabei als Auftragsverarbeiterin im Sinne von Art. 28 DSGVO. Eigene Zwecke verfolgt Fair-Bytes nur im Rahmen von § 9 (4) der AGB. Für Zahlungsdaten ist Stripe eigenständig verantwortlich und nicht Unterauftragsverarbeiter.

(3) Detailangaben zum Gegenstand der im Auftrag erfolgenden Verarbeitung, die verarbeiteten personenbezogenen Daten, von der Verarbeitung betroffene Personen sowie Art, Umfang und Zweck der Verarbeitung richten sich nach den Vorgaben des Anhangs „Gegenstand der Auftragsverarbeitung".

2. Verantwortlichkeit des Auftraggebers

(1) Der Auftraggeber ist datenschutzrechtlich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO gegenüber den Ticketkäufern und Veranstaltungsteilnehmern. Er ist im Rahmen dieses Auftragsverarbeitungsvertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze verantwortlich, insbesondere für die Rechtmäßigkeit der Datenverarbeitung sowie für die Rechtmäßigkeit der Beauftragung des Auftragsverarbeiters.

(2) Der Auftraggeber stellt sicher, dass eine ausreichende Rechtsgrundlage (z. B. Einwilligung, Vertragserfüllung) für die Verarbeitung der personenbezogenen Daten besteht.

(3) Der Auftraggeber informiert seine Käufer über die Verarbeitung, insbesondere über die Datenschutzerklärung seines Shops.

3. Weisungsbefugnis

(1) Der Auftragsverarbeiter darf personenbezogene Daten nur im Rahmen des Hauptvertrages sowie der Weisungen des Auftraggebers verarbeiten und nur insoweit die Verarbeitung im Rahmen des Hauptvertrages erforderlich ist.

(2) Weisungen erteilt der Auftraggeber auch durch seine Einstellungen in der Plattform, etwa ob Teilnehmernamen abgefragt werden, ob ein Newsletter angeboten wird oder ob er die Mustertexte nutzt.

(3) Die Weisungen werden anfänglich durch den Hauptvertrag oder diesen Auftragsverarbeitungsvertrag festgelegt und können vom Auftraggeber danach durch Weisungen in Textform (z. B. E-Mail) an den Auftragsverarbeiter geändert, ergänzt oder ersetzt werden.

(4) Mündliche Weisungen können erfolgen, wenn sie aufgrund der Umstände (z. B. Eilbedürftigkeit) geboten sind und sind unverzüglich in Textform zu bestätigen.

(5) Ist der Auftragsverarbeiter aufgrund objektiver Umstände der Ansicht, dass eine Weisung des Auftraggebers gegen geltendes Datenschutzrecht verstößt, wird der Auftragsverarbeiter den Auftraggeber unverzüglich darauf hinweisen und die Ansicht sachlich begründen. In diesem Fall ist der Auftragsverarbeiter berechtigt, die Ausführung der Weisung bis zur ausdrücklichen Bestätigung durch den Auftraggeber auszusetzen und offensichtlich rechtswidrige Weisungen abzulehnen.

(6) Der Auftragsverarbeiter kann durch das Recht der Union oder der Mitgliedstaaten sowie behördliche oder gerichtliche Maßnahmen zur Durchführung von Verarbeitungen oder Mitteilung von Informationen verpflichtet werden. In einem solchen Fall teilt der Auftragsverarbeiter dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Gesetz oder die Anordnung eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(7) Der Auftragsverarbeiter hat ihm erteilte Weisungen und deren Umsetzung zu dokumentieren.

(8) Weisungsberechtigter Ansprechpartner auf Seiten des Auftragsverarbeiters ist die Geschäftsführung der Fair-Bytes GmbH, erreichbar unter info@fair-bytes.com. Weisungsberechtigt für den Auftraggeber sind die Inhaber und Administratoren der Organisation.

4. Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter gewährleistet, dass es den mit der Verarbeitung der Daten befassten Personen untersagt ist, die personenbezogenen Daten außerhalb der Weisung zu verarbeiten. Der Auftragsverarbeiter stellt ferner sicher, dass die zur Verarbeitung der Daten befugten Personen auf Vertraulichkeit und Verschwiegenheit verpflichtet worden sind.

(2) Der Auftragsverarbeiter sorgt dafür, dass die bei ihm zur Verarbeitung eingesetzten Personen im Hinblick auf den Schutz personenbezogener Daten angemessen geschult und sensibilisiert werden.

(3) Der Auftragsverarbeiter wird die innerbetriebliche Organisation in seinem Verantwortungsbereich entsprechend den gesetzlichen Anforderungen gestalten und insbesondere technische und organisatorische Maßnahmen (TOMs) zur angemessenen Sicherung der Vertraulichkeit, Integrität und Verfügbarkeit von Daten des Auftraggebers treffen. Die TOMs sind im Anhang „Technische und organisatorische Maßnahmen" beschrieben und werden mindestens jährlich evaluiert.

(4) Die TOMs dürfen entsprechend dem technischen und rechtlichen Fortschritt weiterentwickelt und durch adäquate Schutzmaßnahmen ersetzt werden, sofern das Sicherheitsniveau nicht unterschritten wird und wesentliche Änderungen dem Auftraggeber mitgeteilt werden.

(5) Die im Rahmen dieses Vertrages verarbeiteten Daten und sämtliche Kopien stehen dem Auftraggeber zu. Der Auftragsverarbeiter verwahrt sie sorgfältig und schützt sie vor dem Zugriff Unberechtigter.

(6) Die Einrede eines Zurückbehaltungsrechts wird hinsichtlich der im Auftrag verarbeiteten Daten ausgeschlossen.

5. Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft unter Beachtung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der Betroffenen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

(2) Die bei Vertragsschluss durch den Auftragsverarbeiter implementierten TOMs definieren das geschuldete Minimum des Sicherheitsniveaus und sind im Anhang „Technische und organisatorische Maßnahmen" dokumentiert.

(3) Soweit die getroffenen Sicherheitsmaßnahmen den gesetzlichen Anforderungen nicht oder nicht mehr genügen, benachrichtigt der Auftragsverarbeiter den Auftraggeber unverzüglich.

6. Informationspflichten und Mitwirkungspflichten

(1) Wendet sich eine betroffene Person an den Auftragsverarbeiter und macht ihre Betroffenenrechte geltend (insbesondere Rechte auf Auskunft, Berichtigung oder Löschung), wird der Auftragsverarbeiter die betroffene Person an den Auftraggeber verweisen, sofern eine Zuordnung möglich ist. Der Auftragsverarbeiter leitet den Antrag unverzüglich an den Auftraggeber weiter und unterstützt diesen im Rahmen der Zumutbarkeit.

(2) Der Auftragsverarbeiter hat den Auftraggeber unverzüglich und vollständig zu informieren, wenn er Fehler oder Unregelmäßigkeiten bei der Einhaltung von Bestimmungen dieses Vertrages oder einschlägiger Datenschutzvorschriften feststellt.

(3) Der Auftragsverarbeiter wird den Auftraggeber unverzüglich darüber informieren, wenn eine Aufsichtsbehörde gegenüber dem Auftragsverarbeiter tätig wird und deren Tätigkeit die für den Auftraggeber verarbeiteten Daten betreffen kann.

(4) Der Auftragsverarbeiter stellt dem Auftraggeber Informationen zur Verfügung, die für die Erfüllung gesetzlicher Pflichten notwendig sind (insbesondere Anfragen Betroffener oder Behörden, Rechenschaftspflichten, Datenschutz-Folgenabschätzungen) und unterstützt bei der Einhaltung der in Art. 32–36 DSGVO genannten Pflichten.

7. Maßnahmen bei Verletzung des Datenschutzes

(1) Für den Fall, dass der Auftragsverarbeiter Tatsachen feststellt, welche die Annahme begründen, dass der Schutz der für den Auftraggeber verarbeiteten personenbezogenen Daten im Sinne des Art. 4 Nr. 12 DSGVO verletzt sein könnte, hat der Auftragsverarbeiter den Auftraggeber unverzüglich und vollständig zu informieren, unverzüglich erforderliche Schutzmaßnahmen zu ergreifen und bei der Erfüllung der dem Auftraggeber obliegenden Pflichten zu unterstützen.

(2) Die Information über eine (mögliche) Verletzung des Schutzes personenbezogener Daten hat unverzüglich, grundsätzlich innerhalb von 24 Stunden ab Kenntniserlangung zu erfolgen.

(3) Die Meldung des Auftragsverarbeiters muss entsprechend Art. 33 Abs. 3 DSGVO mindestens die folgenden Angaben beinhalten:

• eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der betroffenen Kategorien von Daten und der ungefähren Zahl der betroffenen Personen;
• den Namen und die Kontaktdaten einer Anlaufstelle für weitere Informationen;
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung;
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung möglicher nachteiliger Auswirkungen.

(4) Ebenfalls unverzüglich mitzuteilen sind erhebliche Störungen bei der Auftragserledigung sowie Verstöße des Auftragsverarbeiters oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen.

(5) Meldungen nach diesem Abschnitt erfolgen per E-Mail an die in der Plattform hinterlegte Kontaktadresse und an die Inhaber der Organisation.

8. Überprüfungen und Inspektionen

(1) Der Auftraggeber hat das Recht, die Einhaltung der gesetzlichen Vorgaben und der Regelungen dieses Vertrages, insbesondere der TOMs, beim Auftragsverarbeiter jederzeit im erforderlichen Umfang selbst oder durch Dritte zu kontrollieren.

(2) Der Auftragsverarbeiter hat den Auftraggeber bei den Kontrollen im erforderlichen Rahmen zu unterstützen (z. B. durch Bereitstellung von Informationen und Gewährung von Zugangsrechten).

(3) Vor-Ort-Kontrollen erfolgen innerhalb üblicher Geschäftszeiten und sind vom Auftraggeber mit einer Frist von mindestens 14 Tagen anzumelden. In dringenden Fällen kann eine kürzere Frist gewählt werden.

(4) Die Kontrollen sind auf den erforderlichen Rahmen beschränkt und müssen auf Betriebs- und Geschäftsgeheimnisse des Auftragsverarbeiters sowie den Schutz personenbezogener Daten Dritter Rücksicht nehmen.

(5) Statt Vor-Ort-Kontrollen darf der Auftragsverarbeiter den Auftraggeber auf eine gleichwertige Kontrolle durch unabhängige Dritte, Einhaltung genehmigter Verhaltensregeln (Art. 40 DSGVO) oder geeignete Datenschutz- oder IT-Sicherheitszertifizierungen gem. Art. 42 DSGVO verweisen, sofern dies dem Auftraggeber zumutbar ist.

(6) Der Auftraggeber übt sein Kontrollrecht grundsätzlich nicht häufiger als alle 12 Monate aus, es sei denn, ein konkreter Anlass macht häufigere Kontrollen erforderlich.

(7) Der Auftragsverarbeiter führt im angemessenen Umfang den regelmäßigen Nachweis der Erfüllung seiner Pflichten, insbesondere der vollständigen Umsetzung der vereinbarten TOMs. Der Nachweis ist dem Auftraggeber auf Anforderung zu überlassen.

(8) Kontrollen ohne konkreten Anlass, deren Aufwand für den Auftragsverarbeiter über einen angemessenen Rahmen hinausgeht, vergütet der Auftraggeber mit 90 € (netto) je Stunde. Kontrollen nach einem Datenschutzvorfall oder einem anderen Verstoß des Auftragsverarbeiters bleiben kostenfrei.

9. Unterauftragsverhältnisse

(1) Der Auftraggeber stimmt dem Einsatz der in Anhang 2 aufgeführten Unterauftragsverarbeiter zu.

(2) Neue oder ersetzte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 15 Tage vorher per E-Mail an die Kontaktadresse des Auftraggebers an; mit dem Wirksamwerden ändert sich Anhang 2 nach § 14 der AGB. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb der Frist widersprechen. Können sich die Parteien nicht einigen, dürfen beide den Vertrag zum Wirksamwerden der Änderung kündigen.

(3) Nimmt der Auftragsverarbeiter die Dienste eines Unterauftragsverarbeiters in Anspruch, muss er dem Unterauftragsverarbeiter dieselben Datenschutzpflichten auferlegen, die in diesem Vertrag vereinbart sind (insbesondere im Hinblick auf Weisungen, TOMs, Informationen und Kontrollen).

(4) Der Auftragsverarbeiter wählt Unterauftragsverarbeiter unter besonderer Berücksichtigung der Eignung und Zuverlässigkeit sorgfältig aus und überprüft die Einhaltung der Pflichten mindestens alle 12 Monate.

(5) Die Rechte des Auftraggebers müssen auch gegenüber den Unterauftragsverarbeitern wirksam ausgeübt werden können.

10. Räumlicher Bereich der Auftragsverarbeitung

(1) Die Verarbeitung der personenbezogenen Daten erfolgt in Rechenzentren in der Europäischen Union bzw. im Europäischen Wirtschaftsraum, überwiegend in Deutschland.

(2) Eine Verarbeitung in Drittstaaten darf nur erfolgen, sofern die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage von Angemessenheitsbeschlüssen der EU-Kommission (z. B. EU-US Data Privacy Framework) oder Standardvertragsklauseln.

(3) Soweit Unterauftragsverarbeiter Daten in Drittländer übermitteln können, sind die jeweiligen Übermittlungsgrundlagen im Anhang „Unterauftragsverarbeiter" dokumentiert.

11. Pflichten des Auftraggebers

(1) Der Auftraggeber hat den Auftragsverarbeiter unverzüglich und vollständig zu informieren, wenn er in den Auftragsergebnissen, Weisungen oder Verarbeitungsprozessen Fehler oder Unregelmäßigkeiten im Hinblick auf datenschutzrechtliche Bestimmungen feststellt.

(2) Der Auftraggeber benennt einen weisungsberechtigten Ansprechpartner und teilt Änderungen unverzüglich mit.

(3) Im Falle einer Inanspruchnahme des Auftragsverarbeiters durch betroffene Personen, Dritte oder Behörden hinsichtlich der Verarbeitung personenbezogener Daten im Rahmen dieses Vertrages verpflichtet sich der Auftraggeber, den Auftragsverarbeiter bei der Abwehr des Anspruches im Rahmen seiner Möglichkeiten zu unterstützen.

12. Haftung

Es finden die Haftungsregelungen und -beschränkungen des Hauptvertrages (AGB) Anwendung.

13. Laufzeit, Vertragsende und Datenlöschung

(1) Dieser Auftragsverarbeitungsvertrag wird mit Zustimmung zu den AGB wirksam.

(2) Laufzeit und Ende dieses Vertrages richten sich nach der Laufzeit und dem Ende des Hauptvertrages.

(3) Nach Beendigung des Hauptvertrages gelten Abwicklung und Datenexport nach § 13 der AGB. Rechnungen und Berichte kann der Auftraggeber bis zum Ende der Exportfrist selbst herunterladen; einen Export seiner übrigen Daten erhält er auf Anfrage.

(4) Nach Ablauf der Exportfrist löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Auftraggebers. Daten, die der Auftragsverarbeiter aufgrund eigener gesetzlicher Pflichten aufbewahren muss, sperrt er und löscht sie nach Fristablauf. Aufbewahrungspflichten des Auftraggebers, etwa für Rechnungen (8 bzw. 10 Jahre), erfüllt dieser selbst über den Export. Sicherungskopien werden spätestens 60 Tage nach der Löschung überschrieben.

(5) Die Löschung hat datenschutzgerecht und so zu erfolgen, dass eine Wiederherstellung auch von Restinformationen mit vertretbarem Aufwand nicht mehr möglich ist.

(6) Die sich aus diesem Vertrag ergebenden Pflichten zum Schutz vertraulicher Informationen gelten auch nach Ende des Vertrages fort, solange der Auftragsverarbeiter personenbezogene Daten des Auftraggebers verarbeitet.

(7) Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sind mindestens drei Jahre über das Vertragsende hinaus aufzubewahren.

14. Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG).

(2) Ist der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Gerichtsstand der Sitz des Auftragsverarbeiters.

(3) Änderungen dieses Vertrages erfolgen nach § 14 der AGB.

(4) Bei etwaigen Widersprüchen gehen Regelungen dieses Auftragsverarbeitungsvertrages zum Datenschutz den Regelungen des Hauptvertrages vor.

(5) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung (§ 306 BGB).

(6) Dieser Auftragsverarbeitungsvertrag ist Bestandteil des Hauptvertrages und wird mit dessen Abschluss wirksam.

Anhang 1: Gegenstand der Auftragsverarbeitung

Zwecke:

• Bereitstellung des Ticketshops des Veranstalters, Verkauf und kostenlose Ausgabe von Tickets
• Ausstellung von Rechnungen an Käufer im Namen des Veranstalters
• E-Mails an Käufer: Bestellbestätigung mit Tickets, weitergeleitete Tickets, Terminänderungen, Stornierung und Erstattung, Bestätigung der Newsletter-Anmeldung
• Bestellseite, Einzel-Download, Weiterleiten von Tickets, Wallet-Pässe, „Bestellung finden“
• Einlass per QR-Code, auch durch Aushilfen, und Namensprüfung bei Ticketarten mit Namenspflicht
• Gästelisten je Termin und Einlass der Gäste
• Einholung und Nachweis von Newsletter-Einwilligungen für den Veranstalter
• Berichte, Erstattungen und Support für den Veranstalter

Arten von Daten:

• Käufer: Vor- und Nachname, Anschrift, E-Mail-Adresse, Bestellsprache, Bestelldaten (Tickets, Preise, Zeitpunkt, Bestell- und Rechnungsnummer), Erstattungen
• Ticketinhaber: Name auf dem Ticket (nur bei Ticketarten mit Namenspflicht), Einlassdaten (Zeitpunkt, Ergebnis, prüfendes Teammitglied oder Aushilfe)
• Gäste auf Gästelisten: Name, E-Mail-Adresse und Notiz, soweit der Veranstalter sie erfasst, Personenzahl, Einlassdaten (Zeitpunkt, Anzahl, prüfendes Teammitglied oder Aushilfe)
• Empfänger weitergeleiteter Tickets: E-Mail-Adresse
• Newsletter-Interessenten: E-Mail-Adresse, Sprache, Wortlaut der Einwilligung, Herkunft (Kauf oder Formular, ggf. mit Bestellbezug) sowie Zeitpunkte von Anmeldung, Bestätigung und Widerruf
• Besucher der Ticketshops: Einträge im Browser-Speicher (Warenkorb, Checkout-Entwurf für 1 Stunde, Merkliste), technische Protokolldaten (30 Tage), IP-Adresse ausschließlich als Hashwert für 24 Stunden zur Begrenzung von Anfragen
• Zahlungsdaten verarbeitet ausschließlich Stripe als eigenständig Verantwortlicher.

Betroffene Personen: Käufer, Ticketinhaber, Gäste auf Gästelisten, Empfänger weitergeleiteter Tickets, Newsletter-Interessenten, Besucher der Ticketshops.

Quellen: Eingaben der Betroffenen im Ticketshop; Eingaben des Veranstalters und seiner Nutzer in der Plattform (z. B. Einlass, Gästelisten); technische Protokolldaten; Zahlungsbestätigungen von Stripe.

Anhang 2: Unterauftragsverarbeiter

Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland (Microsoft Azure)
Zweck: Datenbank (PostgreSQL), Dateispeicher (Bilder, Rechnungs- und Ticket-PDFs), Datensicherungen, Fehler- und Leistungsdiagnose (Application Insights), Schlüsselverwaltung.
Daten: alle Daten nach Anhang 1.
Ort: Frankfurt am Main, Deutschland (Region „Germany West Central“).
Drittland: Ein Zugriff aus den USA ist nicht ausgeschlossen; Grundlage sind das EU-US Data Privacy Framework und Standardvertragsklauseln.
AVV nach Art. 28 DSGVO vorhanden.

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland
Zweck: Server (Kubernetes-Cluster) für alle Dienste der Plattform, interner Nachrichtenbus, Load Balancer.
Daten: alle Daten nach Anhang 1 während der Verarbeitung.
Ort: Falkenstein und Nürnberg, Deutschland. Drittland: keine Übermittlung.
AVV nach Art. 28 DSGVO vorhanden.

Scaleway SAS, 8 rue de la Ville l’Evêque, 75008 Paris, Frankreich
Zweck: Versand aller E-Mails an Käufer.
Daten: E-Mail-Adressen, Namen, Inhalte der E-Mails einschließlich Rechnungs- und Ticket-PDFs.
Ort: Paris, Frankreich. Drittland: keine Übermittlung.
AVV nach Art. 28 DSGVO vorhanden.

Hinweise (keine Unterauftragsverarbeiter): Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland) verarbeitet Zahlungsdaten als eigenständig Verantwortlicher. Google erhält den Namen auf einem Ticket nur, wenn der Käufer selbst „Zu Google Wallet hinzufügen“ wählt.

Anhang 3: Technische und organisatorische Maßnahmen (TOMs)

Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der Betroffenen angemessenes Schutzniveau gewährleistet.

Organisatorische Maßnahmen

1. Es ist ein angemessenes Datenschutzkonzept implementiert und wird fortlaufend umgesetzt.
2. Sämtliche mit der Datenverarbeitung befassten Personen sind auf Vertraulichkeit und Verschwiegenheit verpflichtet.
3. Die Entwicklung von Software erfolgt unter Berücksichtigung des Prinzips des Datenschutzes durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Privacy by Design / Privacy by Default).
4. Es werden eigene Umgebungen für Entwicklung (DEV), Staging und Produktion (PROD) betrieben. Produktiv- und Testdaten liegen in logisch getrennten Datenbanken mit getrennten Zugangsdaten.
5. Softwareänderungen werden über ein Versionskontrollsystem (Git/GitHub) verwaltet und durchlaufen automatisierte und manuelle Tests sowie Code Reviews bevor sie in die Produktivumgebung übernommen werden.
6. Fair-Bytes setzt derzeit keine Cookies zu Tracking- oder Analysezwecken ein. Auf den Ticketshop-Seiten werden ausschließlich technisch notwendige Cookies verwendet (z. B. Warenkorb-Session).
7. Eingesetzte Software und Hardware wird stets auf dem aktuell verfügbaren Stand gehalten und Softwareaktualisierungen werden zeitnah ausgeführt.
8. Standardsoftware und Updates werden nur aus vertrauenswürdigen Quellen bezogen.
9. Es besteht ein Konzept zur unverzüglichen Reaktion auf Gefährdungen und Verletzungen des Schutzes personenbezogener Daten (Meldung innerhalb von 24 Stunden).

Zutrittskontrolle

1. Es werden keine eigenen Datenverarbeitungsanlagen in Geschäftsräumlichkeiten unterhalten. Die Daten werden ausschließlich bei externen Server-Anbietern (Hetzner, Microsoft Azure) gespeichert.
2. Die Rechenzentren der Unterauftragsverarbeiter verfügen über angemessene physische Sicherheitsmaßnahmen (Zutrittskontrollsysteme, Videoüberwachung, Sicherheitspersonal).

Zugangskontrolle

1. Sämtliche Datenverarbeitungsanlagen sind passwortgeschützt.
2. Die Übertragung sämtlicher Daten erfolgt ausschließlich TLS-verschlüsselt.
3. Für administrative Zugänge ist eine Zwei-Faktor-Authentifizierung (2FA) per Richtlinie in Microsoft Entra ID verpflichtend.
4. Es gilt eine verbindliche Passwort-Policy: Mindestens 12 Zeichen, bestehend aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen. Eine Wiederverwendung der letzten Passwörter ist nicht zulässig.
5. Zugangsdaten werden gelöscht oder deaktiviert, wenn Personen ihre Berechtigung verlieren.
6. Die Anwendungsinfrastruktur wird in einem Kubernetes-Cluster betrieben. Ein API-Gateway begrenzt die Anzahl der zulässigen Anfragen pro Zeiteinheit (Rate Limiting), um Überlastungsangriffe und missbräuchliche Zugriffe zu unterbinden.
7. Der Zugang zu den Hetzner-Servern per SSH ist nur von freigegebenen IP-Adressen und nur per Schlüssel möglich. Der Zugang zu Azure-Diensten (mit Ausnahme des öffentlich zugänglichen Blob Storage für Mediendaten) ist auf freigegebene IP-Adressen beschränkt.
8. Der Zugang zum Kubernetes-Cluster erfolgt über eine Gruppe in Microsoft Entra ID, ohne Rechte zum Lesen von Secrets und zum Ausführen von Befehlen in Containern.
9. Veranstaltern stehen Zwei-Faktor-Anmeldung und Passkeys zur Verfügung (optional).

Interne Zugriffskontrolle und Eingabekontrolle

1. Der Zugriff auf personenbezogene Daten ist auf explizit autorisierte Personen beschränkt und nach dem Erforderlichkeitsprinzip geregelt.
2. Für die Plattform besteht ein Rechte- und Rollenkonzept, das den Zugriff für Veranstalter auf deren eigene Daten beschränkt. Berechtigungen werden pro Organisation geprüft (OpenFGA).
3. Änderungen an der Azure-Infrastruktur werden im Azure Activity Log protokolliert (90 Tage). Anmeldungen am Datenbankserver werden protokolliert (30 Tage).
4. Änderungen innerhalb einer Organisation werden in einem Aktivitätsprotokoll (Audit-Log) festgehalten.
5. Die Betriebskonsole von Fair-Bytes zeigt Kundendaten nur zu E-Mails, die nicht zugestellt werden konnten (Empfängeradresse, Bestellbezug, Grund), und nur nach Anmeldung über Microsoft Entra ID; diese Angaben werden nach 30 Tagen gelöscht.
6. Sensible Attribute werden vor dem Versand von Diagnosedaten herausgefiltert.
7. Die personenbezogenen Daten der verschiedenen Veranstalter werden logisch getrennt verarbeitet und vor unberechtigtem Zugriff geschützt.

Verschlüsselung und Übertragungssicherheit

1. Die Übermittlung und Verarbeitung personenbezogener Daten über die Plattform erfolgt geschützt mittels TLS-Verschlüsselung.
2. Browser werden per HTTP Strict Transport Security (HSTS) angewiesen, die Plattform nur verschlüsselt aufzurufen.
3. E-Mails werden während der Übertragung verschlüsselt.
4. Daten in Azure Blob Storage (einschließlich Datenbankbackups und Mediendaten) werden serverseitig mit AES-256 verschlüsselt (Verschlüsselung at rest).

Sicherung der Verfügbarkeit

1. Die Verarbeitung erfolgt auf Serversystemen, die einem regelmäßigen Patch-Management unterliegen.
2. Die Anwendungsinfrastruktur wird in einem Kubernetes-Cluster betrieben. Core-Komponenten des Clusters werden automatisch und wöchentlich außerhalb der Standardnutzungszeiten gepatcht. Eigene Services werden über automatisierte CI/CD-Pipelines aktualisiert.
3. Automatisierte Backups werden regelmäßig durchgeführt.
4. Automatisierte Backups der Nutzerdaten werden alle 30 Minuten erstellt und für 60 Tage aufbewahrt. Die Wiederherstellbarkeit der Backups wird regelmäßig durch Restore-Tests überprüft.
5. Die Rechenzentren der Unterauftragsverarbeiter (Hetzner, Microsoft Azure) verfügen über unterbrechungsfreie Stromversorgung (USV), Brandschutzanlagen und physische Sicherheitsmaßnahmen.

Auftragskontrolle und Trennungskontrolle

1. Die personenbezogenen Daten der verschiedenen Veranstalter (Auftraggeber) werden logisch getrennt verarbeitet (Mandantentrennung).
2. Produktiv- und Testdaten werden in logisch getrennten Datenbanken mit getrennten Zugangsdaten verarbeitet.
3. Unterauftragsverarbeiter werden sorgfältig ausgewählt und deren Datenschutzmaßnahmen regelmäßig überprüft.