Auftragsverarbeitungsvertrag (AVV)
Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO.
Stand:
1. Parteien, Geltung
Wofür die GatherMatter e.U. Daten als eigene Verantwortliche verarbeitet (Konten, Zahlungsabwicklung, Betrugsabwehr, Support, Moderation, Buchhaltung), steht in der Datenschutzerklärung und nicht in diesem Vertrag.
Dieser Vertrag gilt zwischen der Organisation oder Person, die einen Raum im Dienst Gathermatter oder Trara führt (die „Verantwortliche“), und der GatherMatter e.U., Meierhof 222, 8112 Gratwein-Straßengel, Österreich (die „Auftragsverarbeiterin“). Ein Raum ist der Bereich, unter dem eine Organisation, ein Verein oder ein Artist den Dienst nutzt (AGB Punkt 1).
Die Auftragsverarbeiterin verarbeitet die personenbezogenen Daten, die die Verantwortliche im Dienst über ihre Gäste, Mitglieder, Crew und Kontakte führt, in ihrem Auftrag. Die Verantwortliche bestimmt Zwecke und Mittel dieser Verarbeitung. Sie ist für die Rechtmäßigkeit der Verarbeitung und die Information der Betroffenen (Art. 13 und 14 DSGVO) verantwortlich. Sie darf Weisungen erteilen (Punkt 3 lit. a) und die Einhaltung dieses Vertrags prüfen (Punkt 3 lit. h).
Der Vertrag ist Teil der AGB (Punkt 14) und kommt mit dem Anlegen eines Raums zustande; einer Unterschrift bedarf es nicht. Er gilt, solange der Raum besteht, und danach, bis die Daten nach Punkt 3 lit. g gelöscht oder zurückgegeben sind.
Die deutsche Fassung ist maßgeblich; die englische ist eine unverbindliche Übersetzung.
2. Gegenstand und Daten
Gegenstand ist der Betrieb des Dienstes für die Verantwortliche: Events planen und veröffentlichen, Tickets und Gutscheine verkaufen, Einlass, Crew und Schichten, Aufgaben und Kalender, Bookings, Nachrichten, Alben und Freigabe-Links, Newsletter-Einwilligungen, Auswertungen und Exporte.
Art der Verarbeitung: Erheben, Speichern, Ordnen, Abfragen, Anzeigen, Übermitteln an die Unterauftragsverarbeiter und Löschen, automatisiert.
- Daten: Namen, Kontaktdaten (E-Mail-Adresse, Telefonnummer), Bestellungen und Tickets mit den Angaben aus dem Checkout, Einlass-Scans, Mitgliedschaften mit Zugang und Funktionen, Dienste, Schichten, Stunden und Vergütung der Crew, Bindungen von Geräten der Crew, Nachrichten zu Bestellungen und im Chat, Dateien und Uploads über Freigabe-Links, Newsletter-Einwilligungen, Angaben zu Gagen und Gutschriften von Artists, Aktivitätsprotokolle.
- Besondere Kategorien (Art. 9 DSGVO) sind nicht vorgesehen. Die Verantwortliche gibt sie nicht in Freitextfelder ein.
- Betroffene: Gäste und Käufer:innen, Mitglieder, Crew mit und ohne Konto, gebuchte Artists, Kontakte, Personen, die über Freigabe-Links hochladen, Abonnent:innen eines Newsletters, Personen, die eine Nachricht zu einer Bestellung schreiben.
3. Unsere Pflichten
- (a) Weisungen: Wir verarbeiten die Daten nur auf dokumentierte Weisung der Verantwortlichen, auch bei Übermittlungen in Drittländer, außer das Unionsrecht oder österreichisches Recht verpflichtet uns zu einer Verarbeitung; dann teilen wir ihr das vorher mit, soweit das Recht es erlaubt. Weisungen sind die AGB, dieser Vertrag und die Einstellungen und Aktionen der Verantwortlichen im Dienst. Verstößt eine Weisung nach unserer Ansicht gegen Datenschutzrecht, weisen wir die Verantwortliche unverzüglich darauf hin.
- (b) Vertraulichkeit: Wer bei uns die Daten verarbeiten darf, ist zur Vertraulichkeit verpflichtet. Unser Team greift auf die Daten eines Raums nur über den Supportzugriff nach Punkt 4 und die dort genannten Werkzeuge zu. Die Prüfung gemeldeter Inhalte (Moderation) und die Bearbeitung von Zahlungen und Rückbuchungen machen wir in eigener Verantwortung; sie stehen in der Datenschutzerklärung.
- (c) Sicherheit: Wir treffen die Maßnahmen des Punktes 4 (Art. 32 DSGVO).
- (d) Unterauftragsverarbeiter: Die Verantwortliche genehmigt die Unterauftragsverarbeiter unter Auftragsverarbeiter allgemein. Einen neuen oder ersetzten kündigen wir mindestens 30 Tage vorher auf dieser Seite und per E-Mail an die Inhaber:innen des Raums an; müssen wir einen Unterauftragsverarbeiter dringend austauschen, informieren wir unverzüglich. Die Verantwortliche kann aus berechtigten datenschutzrechtlichen Gründen widersprechen; können wir dem nicht abhelfen, kann sie die Nutzung des Raums zum Wirksamwerden der Änderung kündigen. Jedem Unterauftragsverarbeiter erlegen wir dieselben Pflichten auf und haften für ihn.
- (e) Betroffenenrechte: Wir unterstützen die Verantwortliche mit den Exporten und Löschfunktionen des Dienstes und auf Anfrage (Art. 12 bis 23 DSGVO). Anträge, die bei uns eingehen, leiten wir an sie weiter.
- (f) Unterstützung nach Art. 32 bis 36 DSGVO: Wir unterstützen die Verantwortliche bei der Sicherheit der Verarbeitung, bei Verletzungen des Schutzes personenbezogener Daten, bei Datenschutz-Folgenabschätzungen und bei der Konsultation der Aufsichtsbehörde, soweit sie die Informationen nur von uns erhalten kann. Eine Verletzung des Schutzes ihrer Daten melden wir ihr unverzüglich, nachdem sie uns bekannt geworden ist, nach Möglichkeit binnen 48 Stunden, mit den Angaben, die sie für ihre Meldung braucht.
- (g) Ende: Endet der Vertrag, löschen wir die Daten des Raums auf Weisung der Inhaber:innen binnen 30 Tagen oder geben sie vorher über die Exporte des Dienstes heraus, soweit uns keine Pflicht zur Aufbewahrung trifft (etwa § 132 BAO für Buchungsbelege). Was wir aufbewahren müssen, sperren wir für jede andere Verwendung.
- (h) Nachweise: Wir stellen die Informationen bereit, die die Einhaltung dieses Vertrags belegen, und ermöglichen Überprüfungen, nach Vereinbarung auch vor Ort, in einem dem Risiko angemessenen Umfang.
4. Maßnahmen (TOM)
Die Maßnahmen geben den heutigen Stand wieder. Wir entwickeln sie weiter, senken das Schutzniveau aber nicht unter das hier beschriebene.
- Übertragung: Jede Verbindung zum Dienst ist mit TLS verschlüsselt; Browser erzwingen das über HSTS.
- Speicherort: Die Datenbank liegt bei Convex in der EU (Irland), Serverfunktionen laufen bei Vercel in Frankfurt, gespeicherte Dateien liegen bei bunny.net in Deutschland, ohne Kopie in andere Regionen. Unser Server für Uploads und Audio liegt bei netcup in Deutschland. Convex erstellt täglich Sicherungskopien der Produktionsdatenbank. Die Verschlüsselung der gespeicherten Daten stellen diese Unterauftragsverarbeiter sicher.
- Geheimnisse: Gerätebindungen, Verkaufscodes und Prüfwerte von IP-Adressen speichern wir nur als Hash, Zugangslinks für Freigaben, Crew und Artists verschlüsselt. Private Dateien liefern wir nur über zeitlich begrenzte, signierte Adressen aus.
- Zugriff im Raum: Jede Abfrage prüft Zugang und Funktionen der Person. Daten eines Raums sehen nur seine Mitglieder, nach ihrem Zugang (Inhaber:in, Admin, Mitglied) und ihren Funktionen; Crew sieht nur, wofür sie bei einem Event eingeteilt ist. Die Daten aller Räume sind logisch getrennt: Jeder Datensatz trägt die Kennung seines Raums, und jede Abfrage ist darauf beschränkt.
- Unser Team: Es hat feste Funktionen (Inhaber:in, Support, Finanzen, Moderation), die nur die Inhaberin vergibt und die protokolliert werden. In einen Raum sieht unser Team nur über den Supportzugriff: mit Angabe eines Grundes, für höchstens 60 Minuten, mit Protokoll jeder aufgerufenen Seite und jeder Änderung; Änderungen erscheinen im Aktivitätsprotokoll des Raums, als Supportzugriff gekennzeichnet. Eigentum, Abo, Auszahlungen, Finanzansichten, die Verwaltung von Mitgliedern und Funktionen und das Löschen des Raums erreicht er nicht; Bestellungen, Nachrichten zu Bestellungen und Erstattungsanträge kann er bearbeiten. Außerhalb davon kann der Support eine Bestellung über Nummer oder E-Mail-Adresse finden, um Tickets erneut zu schicken, und versendete E-Mails einsehen, Zugangslinks darin maskiert; beides wird protokolliert.
- Anmeldung: per sechsstelligem Code per E-Mail (30 Minuten gültig, drei Versuche) oder mit Google oder Apple, ohne Passwort. Sitzungen gelten 30 Tage und werden bei Nutzung verlängert. Ein gesperrtes Konto erhält keine Sitzung mehr.
- Geräte der Crew: Ein Gerät wird an eine Person gebunden, mit einem Geheimnis aus 256 Bit, von dem wir nur den Hash speichern, je Person höchstens zwei Geräte. Für den Zugriff tauscht das Gerät das Geheimnis gegen ein Token, das 15 Minuten gilt. Die Leitung kann eine Bindung jederzeit widerrufen. Für den Einlass ohne Netz speichert das Gerät Namen (nach Voreinstellung des Events), Ticket- und Bestellnummern, Prüfwerte und den Einlassstatus, nie Kontaktdaten oder Notizen. Es löscht sie mit Ende der Gültigkeit, spätestens beim ersten Öffnen nach 7 Tagen.
- Nachrichten zu Bestellungen speichern wir für den Raum. E-Mails an die Adressen des Raums empfangen und verarbeiten wir nicht.
- Protokolle: Sicherheitsrelevante Aktionen, Supportzugriffe und Zustimmungen (AGB, Datenschutz, Bedingungen von Uploads) halten wir mit Zeitpunkt und Fassung fest.
- Löschen und Anonymisieren: Konten werden auf Antrag nach einer Frist von 14 Tagen anonymisiert, Crew ohne Konto 24 Monate nach ihrem letzten Einsatz, der Inhalt versendeter E-Mails nach 90 Tagen; Datensätze, die für Buchhaltung und Zähler nötig sind, bleiben ohne Namen erhalten.
- Verfügbarkeit: Der Status des Dienstes steht unter status.gathermatter.org.
- Fehler und Vorfälle: Fehler werden an Sentry (EU) gemeldet, im Browser und auf unseren Servern ohne IP-Adresse und mit gekürzten Adressen. Sentry löscht Fehlerberichte nach 90 Tagen. Fehlertexte aus der Datenbank können einzelne Angaben enthalten, etwa eine E-Mail-Adresse. Bestätigte Verletzungen lösen die Meldung nach Punkt 3 lit. f aus.
5. Haftung, Recht
Die Haftung richtet sich nach den AGB und nach Art. 82 DSGVO.
Es gilt österreichisches Recht; Gerichtsstand ist Graz, soweit zwingendes Recht nichts anderes vorsieht. Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam. Dieser Vertrag ergänzt die AGB; in Fragen der Auftragsverarbeitung geht er ihnen vor.
6. Kontakt
Fragen zu diesem Vertrag: GatherMatter e.U., Meierhof 222, 8112 Gratwein-Straßengel, Österreich, hi@trara.app.