Auftragsverarbeitungsvertrag

Fassung 1.1 vom 26. August 2026

Diesen Vertrag schließt ihr direkt im Konto ab, mit einem Häkchen. Ausdrucken müsst ihr nichts. Wer trotzdem lieber Papier möchte, druckt diese Seite zweimal aus und unterschreibt sie.

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

nach Art. 28 Datenschutz-Grundverordnung (DSGVO)

Auftraggeber, im Folgenden „Verantwortlicher“

Name oder Firma

Straße, Hausnummer, Postleitzahl, Ort

E-Mail-Adresse für Datenschutzfragen

und

Auftragnehmer, im Folgenden „Auftragsverarbeiter“

Bolle-Events
Inhaber: Sven Bollwig
Fritz-Winter-Str. 58
59199 Bönen
E-Mail: info@bolle-events.de

Der Verantwortliche nutzt die Planungssoftware Eventlotse. Er trägt dort Daten über Menschen ein, für die er selbst verantwortlich bleibt, etwa über seine Gäste, seine Dienstleister und seine Helfer. Der Auftragsverarbeiter speichert und verarbeitet diese Daten ausschließlich in seinem Auftrag. Dafür schließen die Parteien folgenden Vertrag.

§ 1 Gegenstand und Dauer

Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen des Betriebs der Software Eventlotse.
Der Vertrag beginnt mit der Bereitstellung des Zugangs und läuft, solange der Verantwortliche Eventlotse nutzt. Er endet mit dem Ende der Nutzung, spätestens mit der Löschung des Kontos.
Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union statt. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen und der Einhaltung der Art. 44 bis 49 DSGVO. Die Regelung in § 6 Abs. 4 zu den eingesetzten Anbietern bleibt davon unberührt.

§ 2 Art, Umfang und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet die Daten allein zu dem Zweck, dem Verantwortlichen die Planung und Durchführung seiner Veranstaltung zu ermöglichen. Eine Nutzung zu eigenen Zwecken findet nicht statt.
Die Verarbeitung umfasst das Erheben, Speichern, Anzeigen, Ändern, Auswerten, Ausdrucken und Löschen der Daten sowie das Bereitstellen einer Gästeseite, auf der Gäste ihre Rückmeldung selbst eintragen können.
Welche Daten das im Einzelnen sind und um welche Menschen es geht, steht in Anlage 1.
Eine Auswertung der Daten zu Werbezwecken, eine Weitergabe an Dritte über Anlage 3 hinaus und ein Verkauf der Daten finden nicht statt.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich nach dokumentierten Weisungen des Verantwortlichen. Als Weisung gilt auch die Nutzung der Funktionen der Software durch den Verantwortlichen selbst.
Weitere Weisungen sind in Textform zu erteilen, per E-Mail genügt. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit. Er darf die Ausführung bis zur Klärung aussetzen.
Eine Verarbeitung aufgrund einer gesetzlichen Verpflichtung bleibt zulässig. Der Auftragsverarbeiter unterrichtet den Verantwortlichen vorher darüber, sofern das Gesetz dies nicht verbietet.

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter hält die für ihn geltenden Vorschriften der DSGVO und des Bundesdatenschutzgesetzes ein.
Personen, die Zugang zu den Daten haben, werden zur Vertraulichkeit verpflichtet, soweit sie nicht ohnehin einer gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Pflicht besteht auch nach dem Ende ihrer Tätigkeit fort.
Der Auftragsverarbeiter greift auf die Daten des Verantwortlichen nur zu, soweit es zur Behebung einer Störung, zur Unterstützung auf ausdrücklichen Wunsch oder aufgrund einer gesetzlichen Pflicht erforderlich ist.
Ein Datenschutzbeauftragter ist beim Auftragsverarbeiter gesetzlich nicht zu bestellen. Ansprechpartner in Datenschutzfragen ist Sven Bollwig, erreichbar unter info@bolle-events.de.
Zuständige Aufsichtsbehörde des Auftragsverarbeiters ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Der Verantwortliche hat sie zur Kenntnis genommen und hält sie für angemessen.
Die Maßnahmen dürfen an den Stand der Technik angepasst werden. Das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu.
Der Auftragsverarbeiter darf weitere Unterauftragsverarbeiter einsetzen. Er teilt dies dem Verantwortlichen mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen nach Zugang der Mitteilung aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, darf er den Vertrag außerordentlich kündigen, wenn sich keine andere Lösung findet.
Mit jedem Unterauftragsverarbeiter wird ein Vertrag geschlossen, der ihm mindestens dieselben Pflichten auferlegt, die dieser Vertrag dem Auftragsverarbeiter auferlegt.
Die in Anlage 3 genannten Anbieter haben ihren Sitz in den Vereinigten Staaten, verarbeiten die Daten dieses Vertrages aber auf Servern in Deutschland. Für den Fall eines Zugriffs aus einem Drittland gelten die Standardvertragsklauseln der Europäischen Kommission.
Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragsverarbeiter in Anspruch nimmt, etwa Telekommunikation, Post oder Reinigung.

§ 7 Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten.
Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.
Der Auftragsverarbeiter unterstützt den Verantwortlichen außerdem bei der Meldung von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen der Aufsichtsbehörde, soweit die dafür nötigen Angaben nur ihm vorliegen.

§ 8 Datenschutzverletzungen

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, per E-Mail an die oben genannte Adresse.
Die Meldung enthält, soweit bekannt: was passiert ist, welche Art von Daten und wie viele Menschen betroffen sind, welche Folgen zu erwarten sind und welche Gegenmaßnahmen ergriffen wurden. Fehlende Angaben werden unverzüglich nachgereicht.
Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO nimmt der Verantwortliche vor. Der Auftragsverarbeiter unterstützt ihn dabei.

§ 9 Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage nach, in der Regel durch Auskunft in Textform und durch Vorlage der Anlage 2 in ihrer jeweils gültigen Fassung.
Der Verantwortliche darf sich nach vorheriger Absprache und zu üblichen Geschäftszeiten selbst von der Einhaltung überzeugen. Die Kontrolle darf den Betrieb nicht unangemessen stören und soll höchstens einmal im Jahr stattfinden, es sei denn, es besteht ein besonderer Anlass.
Nachweise, die die Unterauftragsverarbeiter über ihre eigenen Zertifizierungen vorlegen, reicht der Auftragsverarbeiter weiter, soweit sie ihm zugänglich sind.

§ 10 Löschung und Rückgabe

Nach dem Ende des Vertrages löscht der Auftragsverarbeiter die Daten oder gibt sie zurück, je nachdem, was der Verantwortliche wählt.
Der Verantwortliche kann seine Daten jederzeit selbst aus der Software ausdrucken oder als Datei sichern. Auf Wunsch stellt der Auftragsverarbeiter eine Ausleitung bereit.
Löscht der Verantwortliche sein Konto, werden die zugehörigen Daten aus der Datenbank sofort entfernt. Endgültig, also einschließlich etwaiger Sicherungskopien, sind sie spätestens nach 30 Tagen verschwunden.
Bestehen gesetzliche Aufbewahrungspflichten, bleiben die betroffenen Daten bis zum Ablauf der Frist gespeichert und werden bis dahin gesperrt.

§ 11 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.
Im Verhältnis der Parteien untereinander haftet jede Partei für den Anteil des Schadens, den sie zu vertreten hat.

§ 12 Laufzeit und Kündigung

Dieser Vertrag ist an die Nutzung von Eventlotse gebunden. Er endet automatisch mit ihr.
Der Verantwortliche kann diesen Vertrag jederzeit aus wichtigem Grund kündigen, insbesondere bei einem schweren Verstoß gegen datenschutzrechtliche Vorschriften oder bei einer Weigerung, eine rechtmäßige Weisung auszuführen.

§ 13 Schlussbestimmungen

Dieser Vertrag wird elektronisch geschlossen. Der Verantwortliche nimmt ihn in seinem Konto an. Art. 28 Abs. 9 DSGVO lässt das ausdrücklich zu. Der Auftragsverarbeiter hält fest, wer wann welcher Fassung zugestimmt hat, und stellt dem Verantwortlichen sein Exemplar dauerhaft zum Abruf und Ausdruck bereit.
Ändert sich der Vertragstext inhaltlich, legt der Auftragsverarbeiter die neue Fassung vor. Bis zur Annahme gilt die bisherige Fassung weiter. Eine Unterschrift auf Papier bleibt möglich, wenn der Verantwortliche sie wünscht.
Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Aufhebung dieser Klausel.
Bei Widersprüchen zwischen diesem Vertrag und anderen Vereinbarungen der Parteien geht dieser Vertrag vor, soweit es um den Datenschutz geht.
Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem gewollten Zweck am nächsten kommt.
Es gilt deutsches Recht. Die Anlagen 1 bis 3 sind Bestandteil dieses Vertrages.

Unterschriften

Nur nötig, wenn der Vertrag auf Papier geschlossen wird. Dann erhalten beide Parteien je ein unterschriebenes Exemplar. Der übliche Weg ist die Annahme im Konto nach § 13 Abs. 1.

Verantwortlicher

Ort, Datum

Unterschrift

Name in Druckbuchstaben

Auftragsverarbeiter

Ort, Datum

Unterschrift

Sven Bollwig, Bolle-Events

Anlage 1: Welche Daten verarbeitet werden und um wen es geht

Der Verantwortliche entscheidet selbst, was er einträgt. Die Software kann folgende Angaben aufnehmen:

Gäste

Vor- und Nachname, Zu- oder Absage, Zugehörigkeit zu einem Haushalt, Anzahl der Begleitpersonen, Kind oder Erwachsener, Menüwunsch, Platz am Tisch, Notizen des Gastgebers, Einladungscode und eine freiwillige Nachricht des Gastes.

Angaben zu Allergien und Unverträglichkeiten sind Gesundheitsdaten im Sinne des Art. 9 DSGVO. Sie werden nur verarbeitet, wenn der Gast sie freiwillig selbst einträgt oder dem Gastgeber mitteilt. Die Einwilligung dafür einzuholen ist Sache des Verantwortlichen.

Dienstleister, Helfer, Sponsoren und Standbetreiber

Name des Unternehmens oder der Person, Ansprechpartner, Anschrift, E-Mail-Adresse, Telefonnummer, Webseite, vereinbarte Leistungen und Preise, bei Helfern zusätzlich Stundensatz, Arbeitszeiten und die daraus errechnete Abrechnung.

Konto des Verantwortlichen

E-Mail-Adresse, verschlüsseltes Passwort, Zeitpunkt der letzten Anmeldung sowie die Einstellungen des Kontos, etwa der Briefkopf.

Hochgeladene Dokumente

Dateien, die der Verantwortliche selbst ablegt, etwa Angebote, Verträge oder Rechnungen. Ihr Inhalt ist dem Auftragsverarbeiter nicht bekannt und wird nicht ausgewertet.

Inhalte der Gästeseite

Texte, die der Verantwortliche für seine Gäste schreibt, etwa zu Anfahrt, Dresscode, Übernachtung und Geschenken, dazu die Anschrift der Veranstaltung und die Programmpunkte, die er dafür ausdrücklich freigegeben hat. Außerdem, falls er eines hochlädt, ein Foto für den Kopf der Seite. Zu diesem Foto siehe den Hinweis in Anlage 2.

Technische Daten

Server-Protokolle mit IP-Adresse, Zeitpunkt, aufgerufener Seite und Browserkennung. Sie dienen dem Betrieb und der Sicherheit und werden nach spätestens 30 Tagen gelöscht.

Betroffene Personen

Gäste des Verantwortlichen und deren Begleitung, seine Dienstleister, Helfer, Sponsoren und Standbetreiber sowie er selbst als Nutzer des Kontos.

Anlage 2: Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Vertraulichkeit

Der Zugang zur Software erfordert eine Anmeldung mit E-Mail und Passwort. Passwörter werden nur als kryptografischer Hashwert gespeichert, im Klartext liegen sie nirgends vor.
Die Datenbank prüft bei jedem einzelnen Zugriff, ob die anfragende Person Eigentümerin des Events ist (Row Level Security). Ein Fehler in der Anwendung könnte fremde Daten deshalb nicht sichtbar machen, weil die Datenbank sie gar nicht erst herausgibt.
Hochgeladene Dokumente und Briefkopf-Logos liegen in nicht öffentlichen Speicherbereichen. Sie sind nur über zeitlich begrenzte, persönliche Links erreichbar.
Eine Ausnahme davon ist das Foto, das ein Gastgeber freiwillig für den Kopf seiner Gästeseite hochladen kann. Es liegt in einem öffentlich lesbaren Speicherbereich, weil ein nicht angemeldeter Gast es sonst nicht sehen könnte. Wer die vollständige Adresse kennt, kann es also ohne Einladungscode abrufen. Die Adresse besteht aus zwei zufälligen Kennungen und ist weder zu erraten noch aufzulisten. Der Gastgeber wird darauf unmittelbar am Hochladen-Knopf hingewiesen und kann darauf verzichten.
Die Gästeseite ist ohne Anmeldung erreichbar, aber nur mit einem achtstelligen Einladungscode. Es gibt rund 850 Milliarden mögliche Codes, sie enthalten keine verwechselbaren Zeichen und sind nicht auflistbar. Der Zugriff läuft über zwei fest umrissene Datenbankfunktionen, die ausschließlich die Daten der jeweiligen Einladung zurückgeben.
Die Konten des Auftragsverarbeiters bei den in Anlage 3 genannten Anbietern sind mit Zwei-Faktor-Authentifizierung gesichert.

Integrität

Der gesamte Verkehr zwischen Browser und Server ist mit TLS verschlüsselt. Aufrufe über HTTP werden auf HTTPS umgeleitet.
Die Daten sind auf den Servern der Anbieter im Ruhezustand verschlüsselt gespeichert.
Eingaben werden serverseitig geprüft, bevor sie gespeichert werden. Beziehungen zwischen den Daten sind in der Datenbank festgelegt, sodass keine verwaisten Einträge entstehen.

Verfügbarkeit

Die Datenbank läuft auf verwalteten Servern, deren Speicher mehrfach ausgelegt ist. Eine zusätzliche tägliche Sicherung mit Rückspielpunkt ist im derzeit genutzten Tarif nicht enthalten und für den Ausbau vorgesehen. Sobald sie besteht, wird diese Anlage nach § 5 Abs. 2 angepasst.
Der Quellcode der Anwendung liegt in einer Versionsverwaltung. Jede Änderung ist nachvollziehbar und lässt sich zurücknehmen.
Vor jeder Veröffentlichung wird der Stand in einer getrennten Testumgebung geprüft. Erst danach geht er auf die Adresse, die Kunden und Gäste benutzen.

Belastbarkeit und Wiederherstellbarkeit

Die Server werden von den in Anlage 3 genannten Anbietern betrieben und laufen redundant. Ein Ausfall einzelner Maschinen führt nicht zum Verlust von Daten.
Der Verantwortliche kann seine Daten jederzeit selbst aus der Software heraus ausdrucken oder als Datei sichern und behält so unabhängig von uns eine eigene Kopie.

Organisation

Auf die Daten der Kunden hat allein der Inhaber Zugriff. Mitarbeiter gibt es nicht. Sollte sich das ändern, werden die betreffenden Personen vorher schriftlich zur Vertraulichkeit verpflichtet.
Zugriffe auf die Verwaltungsoberflächen der Anbieter erfolgen über persönliche Konten mit Zwei-Faktor-Authentifizierung, nie über geteilte Zugangsdaten.
Zugangsdaten und Schlüssel stehen nicht im Quellcode, sondern in getrennten Umgebungsvariablen.
Diese Maßnahmen werden mindestens einmal jährlich sowie bei jeder größeren Änderung der Software überprüft.

Anlage 3: Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt folgende Dienste ein. Mit beiden bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO einschließlich der Standardvertragsklauseln der Europäischen Kommission.

Supabase, Inc.

San Francisco, Vereinigte Staaten

Leistung: Datenbank, Anmeldung und Dateispeicher.
Ort der Verarbeitung: Region eu-central-1, Frankfurt am Main, Deutschland.

Vercel, Inc.

San Francisco, Vereinigte Staaten

Leistung: Betrieb der Server, auf denen die Anwendung ausgeführt und ausgeliefert wird.
Ort der Verarbeitung: Region fra1, Frankfurt am Main, Deutschland.

Weitere Unterauftragsverarbeiter werden nach § 6 Abs. 2 dieses Vertrages angekündigt.

Fassung 1.1 vom 26. August 2026. Ergänzend gilt die Datenschutzerklärung.