Vertrag zur Auftragsverarbeitung (AVV)

Anlage zu den Allgemeinen Geschäftsbedingungen der Eventgetriebe GmbH für die Nutzung von ticketwerk.

§ 1 Gegenstand und Rangverhältnis

(1) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Nutzung von ticketwerk ergeben. Er gilt für alle Verarbeitungen personenbezogener Daten, die Eventgetriebe im Auftrag des Kunden durchführt.

(2) Rollenverteilung. Der Kunde ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Die Eventgetriebe GmbH ist Auftragsverarbeiterin im Sinne des Art. 4 Nr. 8 DSGVO.

(3) Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen gehen die Regelungen dieses Vertrages vor, soweit sie die Verarbeitung personenbezogener Daten betreffen.

(4) Dieser Vertrag gilt für die Dauer des Hauptvertrages.

§ 2 Gegenstand, Art und Zweck der Verarbeitung

(1) Gegenstand ist die Bereitstellung und der Betrieb der Plattform ticketwerk, über die der Kunde Veranstaltungen verwaltet, Tickets und weitere Leistungen verkauft, Saalpläne erstellt, Aussteller verwaltet und mit seinen Kundinnen und Kunden kommuniziert.

(2) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Einschränken, Löschen und Vernichten personenbezogener Daten mittels automatisierter Verfahren.

(3) Zweck ist ausschließlich die Erbringung der im Hauptvertrag vereinbarten Leistungen. Eine Verarbeitung zu eigenen Zwecken von Eventgetriebe findet nicht statt. Insbesondere werden die Daten nicht für eigene Werbung, nicht für Profilbildung und nicht für den Verkauf an Dritte verwendet.

(4) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union statt. Die Server für Anwendung und Datenbank stehen in Deutschland (Frankfurt am Main). Eine Verarbeitung in einem Drittland findet nicht statt und bedarf der vorherigen Zustimmung des Kunden.

§ 3 Kategorien betroffener Personen und Datenarten

(1) Betroffene Personengruppen:

a) Ticketkäuferinnen und Ticketkäufer sowie sonstige Bestellende;
b) Besucherinnen und Besucher des öffentlichen Auftritts des Kunden;
c) Mitarbeitende des Kunden mit Zugang zum Verwaltungsbereich;
d) Ansprechpartnerinnen und Ansprechpartner von Ausstellern und Firmenkunden;
e) Personen, die über Formulare des Kunden Anfragen stellen.

(2) Datenarten:

a) Stammdaten: Anrede, Vor- und Nachname, Anschrift, Firmenzugehörigkeit;
b) Kontaktdaten: E-Mail-Adresse, Telefonnummer;
c) Vertrags- und Bestelldaten: Bestellnummer, gekaufte Leistungen, Preise, Platzzuordnung, Ticketnummern, Bestellzeitpunkt, Rechnungs- und Stornodaten;
d) Zugangsdaten: Anmeldekennungen, Anmeldezeitpunkte;
e) Nutzungs- und Protokolldaten: Zeitpunkt und Art von Zugriffen, IP-Adressen in Server-Protokollen;
f) Einlassdaten: Zeitpunkt der Ticketprüfung;
g) Inhalte der Kommunikation zwischen Kunde und betroffenen Personen, soweit über die Plattform abgewickelt.

(3) Ausdrücklich nicht Gegenstand dieses Vertrages: vollständige Zahlungsdaten wie Kartennummern oder Bankverbindungen. Diese werden unmittelbar vom Zahlungsdienstleister des Kunden erhoben und verarbeitet; Eventgetriebe erhält und speichert sie nicht (siehe § 9).

(4) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Trägt der Kunde solche Daten dennoch ein — etwa Gesundheitsangaben bei barrierefreien Plätzen —, verantwortet er dies selbst und informiert Eventgetriebe vorab, damit ergänzende Schutzmaßnahmen vereinbart werden können.

§ 4 Weisungsbindung

(1) Eventgetriebe verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Der Hauptvertrag, dieser Vertrag und die Einstellungen, die der Kunde in der Plattform selbst vornimmt, gelten als Weisung.

(2) Weisungen außerhalb dessen bedürfen der Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Hält Eventgetriebe eine Weisung für rechtswidrig, wird sie dies dem Kunden unverzüglich mitteilen. Eventgetriebe ist berechtigt, die Ausführung auszusetzen, bis der Kunde die Weisung bestätigt oder ändert.

(4) Eine Verpflichtung zur Verarbeitung aufgrund von Rechtsvorschriften der Union oder der Mitgliedstaaten bleibt unberührt. In diesem Fall unterrichtet Eventgetriebe den Kunden vor der Verarbeitung, sofern das Recht dies nicht verbietet.

§ 5 Vertraulichkeit

(1) Eventgetriebe setzt für die Verarbeitung ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet oder einer gesetzlichen Verschwiegenheitspflicht unterworfen sind. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.

(2) Eventgetriebe stellt sicher, dass die eingesetzten Personen über die einschlägigen Bestimmungen des Datenschutzrechts unterwiesen sind.

§ 6 Technische und organisatorische Maßnahmen

(1) Eventgetriebe trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Der Stand der Maßnahmen ergibt sich aus Anlage 1 zu diesem Vertrag.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Eventgetriebe darf sie anpassen, solange das Schutzniveau nicht unterschritten wird.

(3) Datentrennung. Die Daten verschiedener Kunden werden logisch getrennt gehalten. Jeder Datensatz ist einem Mandanten zugeordnet; der Zugriff wird auf Datenbankebene und zusätzlich in der Anwendungsschicht geprüft.

§ 7 Unterauftragsverarbeiter

(1) Der Kunde stimmt der Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter zu.

(2) Eventgetriebe schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der die Pflichten aus diesem Vertrag im Wesentlichen inhaltsgleich weitergibt.

(3) Eventgetriebe wird den Kunden über den beabsichtigten Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters mindestens vier Wochen im Voraus in Textform unterrichten. Der Kunde kann aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen. Widerspricht er, ist Eventgetriebe berechtigt, den Vertrag zum vorgesehenen Änderungszeitpunkt zu kündigen.

(4) Keine Unterauftragsverarbeitung im Sinne dieses Paragraphen sind Nebenleistungen, die Eventgetriebe bei Dritten in Anspruch nimmt, ohne dass diese bestimmungsgemäß auf die Daten des Kunden zugreifen — etwa Telekommunikations- oder Reinigungsleistungen.

(5) Der Zahlungsdienstleister des Kunden ist kein Unterauftragsverarbeiter von Eventgetriebe. Der Kunde unterhält mit ihm ein eigenes Vertragsverhältnis; die Zahlungsdaten fließen unmittelbar zwischen Käufer, Zahlungsdienstleister und Kunde (siehe § 9).

§ 8 Zugriff durch Eventgetriebe zu Unterstützungszwecken

(1) Nur mit Anlass. Eventgetriebe greift auf Daten des Kunden nur zu, wenn und soweit dies zur Bearbeitung eines konkreten Support- oder Störungsanliegens des Kunden erforderlich ist. Ohne ein solches Anliegen findet kein Zugriff statt. Der Zugriff erfolgt ausschließlich durch hierzu berechtigte Personen.

(2) Nur lesend. Der Zugriff nach Absatz 1 ist auf das Lesen beschränkt. Daten des Kunden werden dabei nicht verändert. Ist zur Behebung eine Änderung erforderlich, erfolgt sie erst, nachdem der Kunde ihr im Verlauf des betreffenden Anliegens zugestimmt hat; auch diese Änderung wird nach Absatz 3 protokolliert. Verarbeitungen aufgrund einer gesetzlichen Verpflichtung nach § 4 Absatz 4 bleiben unberührt.

(3) Jeder Zugriff wird protokolliert. Die Protokollierung erfolgt automatisch. Ein Eintrag enthält den Zeitpunkt, die zugreifende Stelle, den betroffenen Kunden, das Anliegen als Anlass und eine sachliche Kurzangabe, welche Daten gelesen wurden. Inhalte der gelesenen Daten werden nicht protokolliert. Die Protokolle werden mindestens 12 Monate aufbewahrt und dem Kunden auf Anfrage zu den ihn betreffenden Vorgängen zur Verfügung gestellt.

(4) Die Absätze 1 bis 3 gelten unabhängig davon, ob der Zugriff durch einen Menschen oder durch ein von Eventgetriebe eingesetztes Werkzeug ausgelöst wird. Zu den Anbietern eingesetzter Werkzeuge siehe Anlage 2.

(5) Ein Zugriff zu anderen als den in Absatz 1 genannten Zwecken findet nicht statt.

§ 9 Abgrenzung: Zahlungsabwicklung

(1) Die Zahlungen der Ticketkäufer werden über einen Zahlungsdienstleister abgewickelt, mit dem der Kunde ein eigenes Vertragsverhältnis unterhält. Die Zahlungen fließen unmittelbar auf das Konto des Kunden.

(2) Eventgetriebe erhebt, verarbeitet und speichert keine vollständigen Zahlungsmittel-Daten. Gespeichert werden lediglich die zur Zuordnung erforderlichen Angaben, insbesondere Zahlungsstatus und die Vorgangskennung des Zahlungsdienstleisters.

(3) Für die datenschutzrechtliche Beziehung zwischen dem Kunden und seinem Zahlungsdienstleister ist der Kunde allein verantwortlich. Er hat insbesondere sicherzustellen, dass die betroffenen Personen hierüber informiert werden.

§ 10 Unterstützungspflichten von Eventgetriebe

(1) Betroffenenrechte. Wendet sich eine betroffene Person unmittelbar an Eventgetriebe, leitet Eventgetriebe die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst. Eventgetriebe unterstützt den Kunden mit geeigneten technischen Mitteln dabei, Auskunfts-, Berichtigungs-, Lösch- und Datenübertragbarkeitsverlangen zu erfüllen.

(2) Datenschutzverletzungen. Eventgetriebe unterrichtet den Kunden unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen dem Kunden.

(3) Eventgetriebe unterstützt den Kunden im erforderlichen Umfang bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen nach Art. 35 und 36 DSGVO.

(4) Für Unterstützungsleistungen, die über das nach der DSGVO Geschuldete hinausgehen und vom Kunden veranlasst sind, kann Eventgetriebe eine Vergütung nach der jeweils gültigen Preisliste verlangen.

§ 11 Nachweise und Überprüfungen

(1) Eventgetriebe weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage in geeigneter Weise nach, insbesondere durch aktuelle Darstellung der technischen und organisatorischen Maßnahmen.

(2) Der Kunde ist berechtigt, sich von der Einhaltung zu überzeugen. Überprüfungen sind mit angemessener Vorlaufzeit anzukündigen, auf das erforderliche Maß zu beschränken und dürfen den Betrieb nicht unangemessen beeinträchtigen. Sie finden während der üblichen Geschäftszeiten statt und höchstens einmal jährlich, sofern kein besonderer Anlass besteht.

§ 12 Löschung und Rückgabe

(1) Der Kunde kann jederzeit während der Vertragslaufzeit aus seinem Verwaltungsbereich selbst exportieren: seine Adressdaten (Kunden und Ansprechpartner), seine Artikeldaten sowie seine Rechnungs- und Gutschriftsbelege — die Belege als PDF, dazu eine Übersicht in einem gängigen, maschinenlesbaren Format. Das gilt nicht, solange der Zugang nach § 6 gesperrt ist. Ein darüber hinausgehender Export weiterer Datenbestände wird nicht geschuldet.

(1a) Nach Beendigung des Hauptvertrages bleibt diese Möglichkeit für 30 Tage bestehen.

(2) Nach Ablauf dieser Frist löscht Eventgetriebe die Daten des Kunden.

(3) In Sicherungskopien können Daten technisch bedingt noch bis zu drei Monate nach der Löschung enthalten sein. Sie werden in dieser Zeit nicht für andere Zwecke verwendet und mit Ablauf des jeweiligen Sicherungszyklus überschrieben.

(4) Von der Löschung ausgenommen sind Daten, für die Eventgetriebe einer gesetzlichen Aufbewahrungspflicht unterliegt. Diese werden für die Dauer der Frist aufbewahrt und für andere Zwecke gesperrt.

§ 13 Haftung

Für die Haftung gelten die Regelungen des Hauptvertrages sowie Art. 82 DSGVO.

Anlage 1 — Technische und organisatorische Maßnahmen

Jede Aussage dieser Anlage wurde am 26./27.07.2026 gegen den tatsächlichen Ist-Zustand des Systems abgeglichen (interner Prüfbericht). Was hier steht, ist eine Zusage — Formulierungen, die weiter reichten als das Gebaute, wurden dabei zurückgenommen.

Vertraulichkeit

• Zugangskontrolle: Die Anmeldung erfolgt über einen an die E-Mail-Adresse versandten Einmal-Link. Die Anwendung vergibt und speichert selbst keine Kennwörter. Der Zugang ist damit an die Verfügungsgewalt über das jeweilige E-Mail-Postfach gebunden.
• Zugriffskontrolle: Rollen- und Rechtevergabe je Mandant; Zugriff auf Datenbankebene zusätzlich durch mandantenbezogene Regeln beschränkt.
• Trennungskontrolle: logische Mandantentrennung; jeder Datensatz ist einem Mandanten zugeordnet — unmittelbar über eine Mandantenkennung oder mittelbar über seinen übergeordneten Datensatz. Die Zuordnung wird bei jedem Zugriff geprüft.
• Übertragungssicherheit: verschlüsselte Übertragung nach aktuellem Stand (TLS) auf allen Wegen.
• Schutz vor automatisierten Angriffen: Bot-Erkennung vor dem Kaufabschluss, vor der Anmeldung im Käufer-Konto und vor der Registrierung neuer Kunden.

Integrität

• Eingabekontrolle: Protokollierung sicherheitsrelevanter Vorgänge, insbesondere Anmeldungen, Änderungen an Stammdaten, Verkäufe und Stornierungen.
• Schreibzugriffe erfolgen ausschließlich über geprüfte Serverwege. Ein lesender Kanal für die Anzeige freier Plätze läuft unmittelbar zwischen Browser und Datenbank; er ist mandantenbezogen abgesichert und gibt ausschließlich Platz-Verfügbarkeiten aus.

Verfügbarkeit und Belastbarkeit

• Serverstandort Deutschland (Frankfurt am Main) für Anwendung und Datenbank.
• Sicherungs-Abstand: einmal in 24 Stunden. Die Datenbank wird täglich durch den Datenbank-Dienstleister gesichert; zusätzlich erstellt Eventgetriebe jede Nacht eine eigene Kopie (siehe übernächster Punkt). Die Wiederherstellung erfolgt aus der jeweils jüngsten dieser Sicherungen. Daraus folgt: Im Schadensfall können die Änderungen der letzten bis zu 24 Stunden verloren gehen. Eine sekundengenaue Wiederherstellung wird bewusst nicht vorgehalten (Entscheidung der Geschäftsführung vom 28.07.2026). Eine Wiederherstellung wird nur nach Abstimmung mit den betroffenen Kunden ausgelöst.
• Zahlungen sind von einem solchen Verlust nicht betroffen: Sie werden beim Zahlungsdienstleister des Kunden geführt und nicht bei Eventgetriebe (§ 9). Bestellungen aus dem verlorenen Zeitraum lassen sich daraus nachvollziehen.
• Wiederherstellung einzelner Kunden, ohne die übrigen zu berühren (in Betrieb seit 28.07.2026). Sind Daten eines Kunden fehlerhaft oder gelöscht, kann die Wiederherstellung auf diesen Kunden begrenzt werden. Die Daten aller übrigen Kunden bleiben dabei unverändert. Der Ablauf ist schriftlich festgelegt und erprobt: Am 28.07.2026 wurde er auf einem Testkunden durchgespielt; die betroffenen Daten wurden vollständig zurückgeholt, und die Daten eines daneben bestehenden Kunden blieben nachweislich unverändert — verglichen wurden dabei nicht nur die Anzahl der Datensätze, sondern ihre Inhalte. Dazu gehören vier Eigenschaften:
• Bereichsweise, nicht pauschal. Zurückgeholt wird nur der betroffene Bereich — etwa Saalpläne, eine einzelne Veranstaltung oder die Kundendaten. So bleibt erhalten, was der Kunde seither richtig erfasst hat.
• Nur nach vorheriger Abstimmung mit dem betroffenen Kunden. Eine Wiederherstellung überschreibt den aktuellen Stand des gewählten Bereichs. Eventgetriebe klärt deshalb vorab mit dem Kunden, welcher Bereich und welcher Stand zurückgeholt werden soll, und holt dessen Bestätigung in Textform ein. Eine Frist wird nicht zugesagt, da die Dauer maßgeblich von dieser Abstimmung abhängt und nicht von der technischen Ausführung.
• Umkehrbar. Vor dem Zurückholen wird der aktuelle Stand desselben Bereichs gesondert gesichert, sodass der Vorgang selbst rückgängig gemacht werden kann.
• Das Sicherungssystem schreibt dabei nichts. Es erzeugt eine lesbare Anweisungsdatei, die nach Sichtprüfung von einer berechtigten Person eingespielt wird. Das ausschließlich lesende Zugriffsrecht aus dem vorigen Punkt bleibt dadurch unangetastet.
• Abgrenzung. Diese Begrenzung auf einen einzelnen Kunden gilt für den Fall fehlerhafter oder gelöschter Daten. Ist dagegen der gesamte Datenbestand verloren, wirkt die Wiederherstellung wie oben beschrieben auf die gesamte Datenbank.
• Zusätzliche eigene Sicherung außer Haus, täglich (in Betrieb seit 28.07.2026). Unabhängig vom Datenbank-Dienstleister wird jede Nacht eine eigene Kopie erstellt und bei einem zweiten Anbieter in Deutschland (Falkenstein) verwahrt. Sie umfasst die Datenbank und die hochgeladenen Dateien — Letztere sind in der Sicherung des Datenbank-Dienstleisters ausdrücklich nicht enthalten. Merkmale:
• Verschlüsselung vor der Übertragung. Beim Speicher-Anbieter liegen ausschließlich unlesbare Daten; auch die Datei- und Ordnernamen sind unlesbar. Der Schlüssel liegt nicht bei ihm.
• Unveränderbare Aufbewahrung für 90 Tage. Einmal abgelegte Sicherungen können innerhalb dieser Frist von niemandem verändert oder gelöscht werden — auch nicht von Eventgetriebe selbst und auch nicht von jemandem, der die Zugangsdaten des Sicherungssystems erlangt. Die Frist entspricht der in § 12 Absatz 3 genannten Höchstdauer.
• Löschungen schlagen nicht durch. Wird eine Datei im laufenden System gelöscht, bleibt sie in der Kopie bis zum Ablauf der Frist erhalten. Damit ist eine versehentliche Löschung rückholbar.
• Getrennte Zugriffsrichtung und ausschließlich lesender Zugriff. Das Sicherungssystem holt die Daten ab; im laufenden System sind keine Zugangsdaten zur Sicherung hinterlegt. Die dafür verwendete Kennung besitzt ausschließlich Leserechte und kann im laufenden System nichts anlegen, ändern oder löschen.
• Überwachung. Bleibt ein nächtlicher Lauf aus oder schlägt er fehl, wird automatisch eine Meldung versandt. Ein Ausbleiben gilt als Fehler.
• Fortlaufende Prüfung auf Sicherheitshinweise in Datenbank und eingesetzten Programmbausteinen.

Umgang mit Löschverlangen Betroffener (in Betrieb seit 29.07.2026)

• Ein Löschverlangen ist mit einem festgelegten Ablauf ausführbar (§ 10 Absatz 1). Die Ausführung erfolgt in einem einzigen, geschlossenen Arbeitsgang: Die Stammdaten der betroffenen Person — Kontaktdaten, Anschriften, Kommunikationswege und Anmeldedaten — werden gelöscht beziehungsweise unumkehrbar anonymisiert, einschließlich der in Bestellungen mitgespeicherten Käuferangaben und der Inhalte des Papierkorbs; für Daten im Papierkorb gilt in diesem Fall keine Wartefrist.
• Gesetzliche Aufbewahrungspflichten bleiben gewahrt: Rechnungs- und Buchungsbelege sowie Einwilligungs-Nachweise werden nicht verändert; sie werden für die Dauer der jeweiligen Frist aufbewahrt und für andere Zwecke gesperrt (§ 12 Absatz 4).
• Die Ausführung wird protokolliert — der Protokoll-Eintrag selbst enthält keine personenbezogenen Daten.

Verfahren zur Überprüfung und Bewertung

• Auftragskontrolle: schriftliche Vereinbarungen mit allen Unterauftragsverarbeitern.
• Wiederkehrende Sicherheitsprüfungen; erkannte Hinweise werden behoben, nicht weggeerklärt.

Anlage 2 — Unterauftragsverarbeiter

Stand 26.07.2026, firsthand im Code ermittelt (Inventur des Plattform-Senior, Issue #15). Löst die ältere Sechser-Liste ab. Für jeden Eintrag muss ein Auftragsverarbeitungsvertrag vorliegen.

Zum Eintrag Hetzner (Backup-Strang, Issue #47, Stand 27.07.2026). Auftragsverarbeitungs-Vertrag nach Art. 28 DS-GVO abgeschlossen am 27.07.2026 über das Kundenkonto der Eventgetriebe GmbH (Kundennummer K0740312126). Hetzner ist seit 2016 nach ISO/IEC 27001:2022 zertifiziert, verfügt über ein BSI-C5:2020-Testat Typ 2 und lässt seine technischen und organisatorischen Maßnahmen jährlich durch den TÜV Rheinland prüfen (aktueller Prüfbericht vom 19.02.2026, liegt uns vor; er ist vertraulich und darf nur an eigene Auftragsverarbeiter weitergegeben werden). Der Speicherort ist ausschließlich Falkenstein (Deutschland); die Sicherung wird vor der Übertragung verschlüsselt, sodass dort keine lesbaren personenbezogenen Daten liegen. Dieser Eintrag wird mit dem Scharfschalten der Sicherung wirksam — bis dahin ist der Speicher leer (Stand 27.07.2026: 0 Dateien).

Entfallen: Google Ireland Ltd. (Schriften), gestrichen am 28.07.2026 (Issue #65, Nachlauf zu #20). Die Schriften der öffentlichen Seiten wurden bis zum 26.07.2026 von Google-Servern geladen; seitdem liegen sie im Projekt und werden von unseren eigenen Servern ausgeliefert (belegt in #20: keine Google-Adresse mehr im Programm und im ausgelieferten HTML). Damit fließt beim Seitenaufruf keine Besucher-IP mehr an Google, und der Eintrag ist gegenstandslos. Die beiden verbliebenen Google-Nennungen in dieser Anlage sind davon unberührt und weiterhin richtig: Google als Unterauftragnehmer von Supabase (nächster Absatz) und YouTube für eingebundene Videos (Tabelle „Nur bei Nutzung durch den Kunden" weiter unten).

Eigene Unterauftragnehmer der genannten Dienstleister (Unter-Unterauftragsverarbeitung). Die oben genannten Dienstleister setzen ihrerseits eigene Unterauftragnehmer ein — das ist üblich und vertraglich abgesichert: Jeder von ihnen verpflichtet sich, mit seinen Unterauftragnehmern Datenschutzvereinbarungen zu schließen, die inhaltlich nicht hinter den hier vereinbarten zurückbleiben, und bleibt für deren Einhaltung verantwortlich. Beispielhaft für den größten Posten: Supabase setzt für den Serverbetrieb Amazon Web Services und Google ein, dazu Dienste für Überwachung, Statusmeldungen und Kommunikation (vollständige Liste: Anlage „Schedule 3" des Supabase-Auftragsverarbeitungsvertrages, Stand 26.07.2026 mit 15 Einträgen). Die jeweils aktuellen Listen führen die Dienstleister selbst; Eventgetriebe wird über Änderungen vorab unterrichtet und gibt Widersprüche des Kunden weiter.

Nur bei Nutzung durch den Kunden:

Nicht in dieser Liste, weil kein Unterauftragsverarbeiter:

• Sanity AS (Norwegen) — Erledigt am 27.07.2026. Sanity war das frühere Redaktionssystem von eventwerk und ist abgelöst; in den Seiten-Inhalten steht davon nichts mehr (geprüft über sämtliche Seiten des Tenants: veröffentlichter Stand, Entwurfsstand und Baustein-Inhalte — kein einziger Verweis). Geblieben waren zuletzt vier Team-Fotos auf der Seite `/kontakt`, die fest im Programm standen und noch vom Bild-Server cdn.sanity.io geladen wurden; für diese eine Seite ging damit die IP-Adresse jedes Besuchers an Sanity. Die vier Dateien werden seit dem 27.07.2026 von unseren eigenen Servern ausgeliefert (Issue #36); der Abruf der Seite zeigt seither keine fremde Adresse mehr. Sanity empfängt damit keine Daten mehr und ist kein Unterauftragsverarbeiter. Randbefund: Die veröffentlichte Datenschutzerklärung des Tenants eventwerk (Stand 26.06.2026) beschreibt Sanity noch als eingesetztes Redaktionssystem und ist damit inhaltlich überholt — sie wird durch eine überarbeitete Fassung ersetzt.

• Der Zahlungsdienstleister des Kunden — der Kunde unterhält mit ihm ein eigenes Vertragsverhältnis (siehe § 7 Absatz 5 und § 9).
• Das E-Mail-System der Eventgetriebe GmbH (Microsoft Ireland) — es kommt in der Anwendung nicht vor und verarbeitet keine Kundendaten im Auftrag. Es dient allein der eigenen Korrespondenz von Eventgetriebe, die insoweit als eigenständige Verantwortliche handelt. Support-Anliegen des Kunden laufen seit dem 27.07.2026 über das Anliegen-System im Verwaltungsbereich und nicht über E-Mail; die begleitenden Benachrichtigungs-Mails enthalten keine Inhalte des Anliegens, sondern nur dessen Betreff und den Hinweis, sich zum Lesen anzumelden. Schreibt ein Kunde gleichwohl personenbezogene Daten in eine E-Mail an Eventgetriebe, geschieht das außerhalb der Auftragsverarbeitung; für die Verarbeitung im eigenen Postfach ist Eventgetriebe eigenständig verantwortlich.
• GitHub Inc. — Wird ein Support-Anliegen zur technischen Bearbeitung übergeben, legt Eventgetriebe dort einen Arbeitsauftrag an. Übertragen werden ausschließlich Name und Kennung des Kunden, die Kennung des Anliegens, das Datum und eine von einer mitarbeitenden Person selbst verfasste Kurzbeschreibung — nicht Betreff, Text, E-Mail-Adresse oder Anhänge des Anliegens; die Anwendung ist so gebaut, dass diese Angaben dort nicht hingelangen können. Daten der Personen, für die der Kunde verantwortlich ist, werden folglich nicht an GitHub übermittelt; GitHub ist kein Unterauftragsverarbeiter im Sinne dieses Vertrages. Die Kurzbeschreibung ist sachlich und ohne personenbezogene Angaben zu fassen.
• Kartendienste — Adressen werden lediglich verlinkt, keine Karte eingebettet.
• Metricool S.L. — ein Marketing-Werkzeug der PA-Line Mediatechnik GmbH. Es verarbeitet keine Daten von Kunden dieser Plattform und ist daher kein Unterauftragsverarbeiter im Sinne dieses Vertrages. (Die davon getrennte Frage, auf welcher Grundlage die Eventgetriebe GmbH dieses Werkzeug für die PA-Line Mediatechnik GmbH betreibt, gehört nicht in diesen Vertrag und wird gesondert geregelt.)

Anbieter von KI-Systemen

Greift ein KI-System auf personenbezogene Daten des Kunden zu, ist dessen Anbieter Unterauftragsverarbeiter und gehört namentlich in die Tabelle oben — mit denselben Pflichten wie jeder andere Dienstleister. Das betrifft zwei getrennte Fälle, die nicht verwechselt werden dürfen:

Fall A — KI als Funktion im Produkt. Eine künftige Funktion, bei der ein KI-System für den Tenant Daten auswertet oder Texte erzeugt. Heute nicht gebaut. Sobald sie gebaut wird, muss der Anbieter hier eingetragen und der Kunde nach § 7 Absatz 3 vorab unterrichtet werden.

Fall B — KI im Betrieb und in der Entwicklung. Dieser Fall ist teilweise gelöst. Bei Entwicklung, Fehlersuche und Support werden KI-gestützte Werkzeuge eingesetzt, die über Datenbank-Verbindungen auf den laufenden Datenbestand zugreifen können. Damit können personenbezogene Daten von Ticketkäufern, Ausstellern und Firmenkunden an den Anbieter des KI-Systems gelangen. Rechtlich ist das nichts anderes als der Zugriff nach § 8 — nur mit einem zusätzlichen Empfänger.

Stand 27.07.2026 — für den Support geregelt. Die verbindliche interne Zugriffs-Regel gilt ausdrücklich auch für KI-gestützte Sitzungen: ohne Anliegen des Kunden kein Zugriff, nur lesend, und jeder Blick wird nach § 8 Absatz 3 protokolliert — mit derselben Protokoll-Form wie beim Zugriff durch einen Menschen. Das ist gebaut und im Live-Betrieb abgenommen.

Entscheidung der Geschäftsführung vom 28.07.2026 zum Fall Entwicklung und Fehlersuche. Der Zugang bleibt bestehen; der Anbieter der eingesetzten KI-Werkzeuge wird als Unterauftragsverarbeiter geführt und ist oben in die Tabelle aufgenommen. Der Weg, Entwicklung und Fehlersuche auf einen Bestand ohne echte Personendaten umzustellen, wurde geprüft und nicht gewählt.

Umfang dieses Zugangs:

• Es besteht eine einzige Datenbank; ein getrennter Entwicklungs- oder Testbestand existiert nicht. Arbeiten an der Anwendung finden deshalb zwangsläufig am Produktivbestand statt.
• Der Zugang läuft ausschließlich über die Arbeitsumgebung der beiden Geschäftsführer; auf deren Rechnern sind keine Datenbank-Zugangsdaten gespeichert.
• Der Zugang ist nicht auf Lesen beschränkt: er erlaubt Abfragen sowie Änderungen an Daten und am Aufbau der Datenbank.
• Erreichbar sind damit sämtliche in § 3 genannten Daten.

Vertragslage mit dem Anbieter. Das Data Processing Addendum des Anbieters ist nach dessen Geschäftsbedingungen Bestandteil des Vertrages. Darin ist Eventgetriebe Verantwortliche und der Anbieter Auftragsverarbeiter. Der Anbieter löscht alle Kopien innerhalb von 30 Tagen nach Vertragsende, mit den üblichen gesetzlichen Ausnahmen. Eine Verwendung der übermittelten Inhalte zum Trainieren von Modellen ist ausgeschlossen; das Addendum untersagt zusätzlich, Daten verschiedener Kunden zu Trainingszwecken zusammenzuführen.

Grenze der Protokollierung. Die Protokollierung nach § 8 Absatz 3 erfasst Zugriffe, die auf ein Anliegen des Kunden zurückgehen. Zugriffe im Rahmen von Entwicklung und Fehlersuche haben keinen solchen Anlass und werden nicht protokolliert. Für sie gelten die übrigen Pflichten dieses Vertrages unverändert, insbesondere die Zweckbindung nach § 4 und die Vertraulichkeit nach § 5.

Anlage 3 — Ansprechpartner

Eventgetriebe GmbH
Albert-Einstein-Ring 4–6, 50374 Erftstadt
E-Mail für datenschutzrechtliche Anfragen: info@eventgetriebe.de

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen derzeit nicht vor.

Kunde
Ansprechpartner und Kontaktdaten werden im Verwaltungsbereich hinterlegt.

Fassung 1.0 vom 30.07.2026