Auftragsverarbeitungsvertrag

§ 1 Vertragsparteien, Gegenstand der Vereinbarung und Rangverhältnis

Dieser Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (nachfolgend „Vertrag“) wird geschlossen zwischen:

{{controller.name}}, {{controller.address}}, vertreten durch {{controller.representative}} — im Folgenden „Verantwortlicher“.

Datenschutzbeauftragte Stelle des Verantwortlichen, soweit vorhanden: {{controller.dpo}}.

und

Bernhard Götzendorfer (Einzelunternehmen), Rittingergasse 15/11, 1210 Wien, Österreich, GISA-Zahl 38550959, GLN 9110028021398, E-Mail office@gotzendorfer.at — im Folgenden „Auftragsverarbeiter“, auftretend unter der Bezeichnung EventDrop.

Der Verantwortliche nutzt die Plattform des Auftragsverarbeiters im Rahmen einer beruflichen oder wirtschaftlichen Tätigkeit. Er ist damit Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die in seinem Event verarbeiteten personenbezogenen Daten; der Auftragsverarbeiter ist insoweit Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO und verarbeitet ausschließlich weisungsgebunden.

Verantwortlicher ist die im Vertragskopf bezeichnete Organisation, nicht die für sie handelnde Person. Beschäftigte, die das Konto bedienen oder ein Event verwalten, werden dadurch nicht selbst Verantwortliche. Dieser Vertrag erfasst sämtliche Events, die dem bezeichneten Konto zugeordnet sind, soweit die Organisation über Zwecke und wesentliche Mittel der Verarbeitung entscheidet und der Auftragsverarbeiter sie für sie ausführt.

Handelt der Verantwortliche seinerseits als Auftragsverarbeiter für einen Dritten — etwa eine Agentur für ihren Kunden —, so ist die dafür erforderliche Unterauftragsverarbeitung gesondert zu vereinbaren; dieser Vertrag bildet diesen Fall nicht ab. Der Verantwortliche dokumentiert Zwecke und Rechtsgrundlagen seiner Verarbeitung, erfüllt seine Informationspflichten gegenüber den betroffenen Personen und benennt die zur Erteilung von Weisungen berechtigten Personen.

Diese Fassung des Vertrags trägt die Versionsangabe 2026-10-01.1. Version und Datum des Abschlusses werden im Konto des Verantwortlichen festgehalten und sind dort jederzeit erneut abrufbar.

Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen des Nutzungsverhältnisses geht dieser Vertrag vor, soweit die Verarbeitung personenbezogener Daten im Auftrag betroffen ist. Bei Widersprüchen zwischen dem Vertragstext und den Anlagen geht der Vertragstext vor.

§ 2 Gegenstand, Umfang und Dauer der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung einer Plattform, über die Gäste einer Veranstaltung des Verantwortlichen Bild- und Videodateien hochladen und über die diese Dateien in einem zugangsbeschränkten Album angezeigt, verwaltet, moderiert und heruntergeladen werden können.

Der Auftragsverarbeiter verarbeitet die im Auftrag verarbeiteten personenbezogenen Daten ausschließlich zur Erbringung dieser Leistung sowie zur Erfüllung der Pflichten aus diesem Vertrag. Eine Verarbeitung dieser Daten zu eigenen Zwecken des Auftragsverarbeiters, insbesondere zu Werbezwecken, zur Profilbildung, zum Training von Modellen künstlicher Intelligenz oder zur Weitergabe an Dritte zu deren eigenen Zwecken, findet nicht statt.

Davon zu unterscheiden sind Verarbeitungen, die der Auftragsverarbeiter in eigener Verantwortung vornimmt und die nicht Gegenstand dieses Auftrags sind: die Abwicklung und Abrechnung des Nutzungsverhältnisses einschließlich der dafür eingesetzten Zahlungsdienste, die Reichweiten- und Erfolgsmessung auf den eigenen Marketingseiten des Auftragsverarbeiters, gesetzliche Pflichten, die ihn als Anbieter unmittelbar treffen, sowie die Zählung der Nutzung des Dienstes je Event zur Messung und Verbesserung des Dienstes. Die Nutzungszählung erfasst Zählwerte zu Vorgängen wie Galerieaufrufen, Downloads und Aufrufen der Live-Fotowand — ohne Namen, Sitzungskennung oder IP-Adresse —, ordnet sie über das Event dem Konto des Verantwortlichen zu und wird mit dem Event gelöscht, spätestens nach einem Jahr. Diese Verarbeitungen betreffen die Vertrags-, Nutzungs- und Besucherdaten des Auftragsverarbeiters, nicht die Inhalte eines Events; sie sind in der Datenschutzerklärung des Auftragsverarbeiters beschrieben.

Die Dauer der Verarbeitung ist an das Nutzungsverhältnis zwischen den Parteien gekoppelt. Der Vertrag beginnt mit seinem Abschluss und endet automatisch mit der Beendigung des Nutzungsverhältnisses, ohne dass es einer gesonderten Kündigung bedarf. Eine eigene Mindestlaufzeit besteht nicht.

Pflichten, die ihrer Natur nach über das Vertragsende hinauswirken — insbesondere die Vertraulichkeit nach § 5, die Löschung oder Rückgabe nach § 10 und die Nachweispflichten nach § 11 —, bestehen nach Beendigung fort, bis sie erfüllt sind.

§ 3 Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung an die vom Verantwortlichen berechtigten Empfänger, Einschränken, Löschen und Vernichten — jeweils im Rahmen des Hostings und des Betriebs der Plattform.

Zweck der Verarbeitung: Bereitstellung zugangsbeschränkter Foto- und Videoalben für die Veranstaltungen des Verantwortlichen, einschließlich Moderation, Verwaltung durch die vom Verantwortlichen berechtigten Personen sowie Bereitstellung zum Download.

Art der personenbezogenen Daten:

• Bild- und Videodateien einschließlich der darauf abgebildeten Personen sowie der technischen Metadaten dieser Dateien (Dateiname, Dateityp, Dateigröße, Bildabmessungen, Aufnahmezeitpunkt, soweit in der Datei enthalten). Standortdaten aus den EXIF-Daten von Bilddateien werden beim Hochladen entfernt und nicht gespeichert.
• Freiwillig angegebene Namen von Gästen bei Uploads, Kommentaren und Reaktionen. Die Angabe ist optional; ein Upload ohne Namensangabe ist möglich und der Regelfall.
• Von Gästen verfasste Kommentartexte sowie Reaktionen auf einzelne Inhalte, soweit der Verantwortliche diese Funktionen für sein Event aktiviert hat.
• Eine technische Sitzungskennung des Gastes. Sie wird serverseitig zufällig erzeugt, in einem HttpOnly-Cookie abgelegt und dient dazu, eigene Beiträge eines Gastes zuzuordnen, Limits durchzusetzen und die Beiträge eines Gastes in der Eventauswertung des Verantwortlichen zusammenzufassen. Sie ist mit keinem Nutzerkonto verknüpft und wird dem Verantwortlichen nicht angezeigt. Sie ist ein pseudonymes, kein anonymes Merkmal: sie fasst die Beiträge desselben Geräts zusammen und ist damit personenbeziehbar.
• Meldungen zu einzelnen Inhalten einschließlich der IP-Adresse der meldenden Person sowie einer von ihr freiwillig angegebenen Kontaktadresse und Sprache, ausschließlich zur Bearbeitung der Meldung und zur Entscheidungsmitteilung nach Art. 16 Abs. 5 der Verordnung (EU) 2022/2065.
• Ergebnisse der automatisierten Bildprüfung (Bildbeschreibung, Schlagworte, Bewertung zur Vorauswahl, Kennzeichnung möglicherweise unangemessener Inhalte), soweit der Verantwortliche diese Funktion für sein Event nicht abgeschaltet hat (§ 12).
• Konto- und Kontaktdaten der Personen, die der Verantwortliche für das Event berechtigt hat (E-Mail-Adresse, Anzeigename, Spracheinstellung, Rolle).

Kategorien betroffener Personen:

• Gäste der Veranstaltung, die Inhalte hochladen, kommentieren, darauf reagieren oder das Album ansehen.
• Beschäftigte des Verantwortlichen, soweit sie an der Veranstaltung teilnehmen oder auf hochgeladenem Material abgebildet sind.
• Dritte, die auf hochgeladenem Bild- oder Videomaterial abgebildet sind, ohne selbst hochgeladen zu haben.
• Personen, die der Verantwortliche für die Verwaltung des Events berechtigt hat (Gastgeber, Co-Administratoren, Helfer).

Der Auftragsverarbeiter legt den Umfang der Eventauswertung offen, weil er über eine rein technische Kontingentkontrolle hinausgeht: Grundlage der Zählung ist der freiwillig angegebene Name, ersatzweise die Sitzungskennung. Die Auswertung weist die Zahl der Uploads je Gastkennung aus und stellt die aktivsten Gäste in einer nach Upload-Zahl sortierten Rangfolge dar. Die Beschriftung dieser Rangfolge ist eine laufende Nummer; weder der angegebene Name noch die Sitzungskennung werden dabei angezeigt. Eine Verknüpfung über mehrere Events hinweg findet nicht statt, ebenso wenig eine biometrische Identifizierung.

Es handelt sich damit um eine pseudonyme, im Einzelfall personenbeziehbare Auswertung, nicht um eine anonyme Statistik. Der Verantwortliche legt fest, ob sie für seinen Zweck erforderlich und zulässig ist, informiert die betroffenen Personen darüber und berücksichtigt bestehende Mitbestimmungsrechte, wenn Beschäftigte betroffen sind. Der Auftragsverarbeiter nimmt diese Bewertung nicht vorweg.

Der Verantwortliche kann die Rangfolge der aktivsten Gäste für jedes Event einzeln abschalten. Für ein Event mit abgeschalteter Rangfolge wird sie weder erstellt noch angezeigt, und die Zahl der Uploads je Gastkennung wird nicht ausgewiesen. Bei Events, die mit dem Anlass „Firmenfeier“ angelegt werden, ist die Rangfolge beim Anlegen voreingestellt abgeschaltet; der Verantwortliche kann diese Voreinstellung ändern.

Besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO sind nicht Zweck der Verarbeitung. Der Auftragsverarbeiter weist darauf hin, dass Bildmaterial solche Daten faktisch offenbaren kann; eine gezielte Erhebung, Auswertung oder Anreicherung solcher Daten findet nicht statt. Der Auftragsverarbeiter setzt keine Gesichtserkennung, keine biometrische Identifizierung und keine Zuordnung von Personen über mehrere Bilder hinweg ein.

§ 4 Weisungsbindung (Art. 28 Abs. 3 lit. a DSGVO)

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dies gilt auch für die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Als dokumentierte Weisung gelten: dieser Vertrag einschließlich seiner Anlagen, die vom Verantwortlichen im Nutzungsverhältnis getroffene Leistungsauswahl sowie die Einstellungen, die der Verantwortliche oder die von ihm berechtigten Personen in der Anwendung vornehmen — insbesondere Zugangsschutz, Laufzeit, Freigabe von Kommentar- und Reaktionsfunktionen sowie die Einstellungen zu den KI-gestützten Funktionen nach § 12.

Weitergehende Einzelweisungen erteilt der Verantwortliche in Textform an die in § 8 genannte Kontaktadresse. Mündlich erteilte Weisungen sind unverzüglich in Textform zu bestätigen.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die Datenschutz-Grundverordnung oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, so informiert er den Verantwortlichen unverzüglich darüber (Art. 28 Abs. 3 UAbs. 2 DSGVO). Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

Der Auftragsverarbeiter greift nicht auf die Inhalte des Events zu, es sei denn, dies ist zur Erbringung der Leistung, zur Behebung einer Störung, zur Bearbeitung einer Meldung, zur Erfüllung einer Weisung des Verantwortlichen oder zur Erfüllung einer rechtlichen Verpflichtung erforderlich.

§ 5 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit fort.

Der Auftragsverarbeiter ist ein Einzelunternehmen ohne Beschäftigte. Zur Verarbeitung befugt ist der Inhaber; er ist selbst unmittelbar zur Vertraulichkeit verpflichtet. Die von ihm benannte Vertretung ist ausschließlich im Verhinderungsfall nach § 9 zur Verarbeitung befugt, und erst, nachdem sie in Textform zur Vertraulichkeit und auf das Datengeheimnis nach § 6 DSG verpflichtet wurde; vorher erhält sie keinen Zugang zu den Systemen. Diese Angabe steht hier ausdrücklich, weil eine Formulierung, die eine Organisation mit verpflichteten Mitarbeitern nahelegt, den tatsächlichen Verhältnissen nicht entspräche.

Werden künftig Beschäftigte, freie Mitarbeiter oder Auftragnehmer eingesetzt, die Zugang zu personenbezogenen Daten des Verantwortlichen erhalten können, so werden sie vor der Aufnahme ihrer Tätigkeit in Textform zur Vertraulichkeit verpflichtet und über die sich aus diesem Vertrag ergebenden Pflichten unterrichtet.

Der Zugriff auf personenbezogene Daten ist auf das für die jeweilige Aufgabe erforderliche Maß beschränkt.

§ 6 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 (Technische und organisatorische Maßnahmen) beschrieben. Anlage 2 ist Bestandteil dieses Vertrags.

Die Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragsverarbeiter ist berechtigt, sie anzupassen; das in Anlage 2 beschriebene Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

Der Auftragsverarbeiter überprüft die Wirksamkeit der Maßnahmen anlassbezogen sowie bei wesentlichen Änderungen an der Verarbeitung.

§ 7 Weitere Auftragsverarbeiter (Art. 28 Abs. 2 und 4, Abs. 3 lit. d DSGVO)

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung im Sinne von Art. 28 Abs. 2 Satz 2 DSGVO, weitere Auftragsverarbeiter hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten weiteren Auftragsverarbeiter sind in Anlage 1 (Unterauftragsverarbeiter) einschließlich ihres Verarbeitungszwecks und ihres Verarbeitungsortes aufgeführt. Anlage 1 ist Bestandteil dieses Vertrags.

Beabsichtigt der Auftragsverarbeiter, einen weiteren Auftragsverarbeiter hinzuzuziehen oder zu ersetzen, so informiert er den Verantwortlichen darüber mindestens 30 Tage vor dem Wirksamwerden der Änderung in Textform an die im Konto des Verantwortlichen hinterlegte E-Mail-Adresse sowie, sofern angegeben, an den benannten Kontakt des Datenschutzbeauftragten, unter Angabe des Namens, des Verarbeitungszwecks und des Verarbeitungsortes.

Der Verantwortliche kann der beabsichtigten Änderung innerhalb von 14 Tagen ab Zugang der Information aus datenschutzrechtlichen Gründen widersprechen. Hat der Verantwortliche fristgerecht widersprochen, so wird die Änderung ihm gegenüber nicht vor Ablauf seiner Widerspruchsfrist wirksam; da die Widerspruchsfrist kürzer ist als die Vorlauffrist nach Absatz 2, verbleibt ihm danach bis zum Wirksamwerden mindestens die Differenz beider Fristen für eine Kündigung nach diesem Absatz. Eine darüber hinausgehende Aussetzung der Änderung für einzelne Verantwortliche oder ein Verzicht auf einen für den Betrieb des Dienstes erforderlichen Empfänger wird nicht zugesagt (Anlage 1, „Rechtsfolge des Widerspruchs"). Im Fall eines Widerspruchs suchen die Parteien bis zum geplanten Wirksamwerden der Änderung eine einvernehmliche Lösung. Kommt eine solche bis dahin nicht zustande, so ist der Verantwortliche berechtigt, das Nutzungsverhältnis und diesen Vertrag vor dem Wirksamwerden der Änderung außerordentlich mit sofortiger Wirkung zu kündigen. Bereits im Voraus gezahlte Entgelte werden für den nach der Beendigung nicht mehr nutzbaren Zeitraum anteilig erstattet. Ein Widerspruch führt nicht zu Nachteilen für den Verantwortlichen.

Der Auftragsverarbeiter erlegt jedem weiteren Auftragsverarbeiter im Wege eines Vertrages dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien dafür, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung den Anforderungen der Datenschutz-Grundverordnung entspricht. Kommt ein weiterer Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses weiteren Auftragsverarbeiters wie für eigenes Handeln (Art. 28 Abs. 4 DSGVO); der Umfang der Haftung richtet sich nach § 13.

Nicht als Hinzuziehung eines weiteren Auftragsverarbeiters im Sinne dieser Bestimmung gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt und bei denen kein Zugriff auf personenbezogene Daten des Verantwortlichen vorgesehen ist, etwa Telekommunikations- und Postdienstleistungen oder Reinigungsdienste. Der Auftragsverarbeiter trifft auch insoweit angemessene Vorkehrungen zum Schutz der Daten.

§ 8 Unterstützung bei Rechten betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO)

Der Auftragsverarbeiter unterstützt den Verantwortlichen angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer in Kapitel III der Datenschutz-Grundverordnung genannten Rechte nachzukommen.

Hierfür stehen dem Verantwortlichen die folgenden, in der Anwendung bereits umgesetzten Wege zur Verfügung:

• Löschung einzelner Bilder, Videos, Kommentare und Reaktionen durch den Verantwortlichen und die von ihm berechtigten Personen unmittelbar über die Oberfläche (Art. 17 DSGVO).
• Ausblenden einzelner Inhalte als milderes Mittel gegenüber der Löschung, etwa zur Bearbeitung eines Widerspruchs nach Art. 21 DSGVO.
• Vollständige Löschung eines Events einschließlich aller zugehörigen Datensätze und aller gespeicherten Dateien, einschließlich abgeleiteter Vorschaubilder und hochgeladener Logos.
• Export der zum Konto des Verantwortlichen gespeicherten Datensätze über die Kontoeinstellungen, als strukturierte JSON-Datei (Art. 15 und Art. 20 DSGVO). Der Export umfasst die Datensätze zu Konto, Events, Uploads, Kommentaren, Reaktionen, Berechtigungen, Meldungen und den weiteren am Konto geführten Tabellen; er enthält die Metadaten der Bild- und Videodateien, nicht die Dateien selbst. Diese werden über den nächsten Weg getrennt bereitgestellt. Der Export allein ist deshalb keine vollständige Rückgabe im Sinne von § 10.
• Herunterladen des Bildmaterials eines Events als Archivdatei. Ist dieser Weg im gebuchten Leistungsumfang nicht enthalten, stellt der Auftragsverarbeiter das Material auf Anfrage in Textform innerhalb von 14 Tagen bereit; das Recht auf Rückgabe nach § 10 besteht unabhängig vom gebuchten Leistungsumfang.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, so leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, es sei denn, er ist hierzu rechtlich verpflichtet. Kontaktadresse des Auftragsverarbeiters für alle Anliegen aus diesem Vertrag: office@gotzendorfer.at.

Die Unterstützung nach diesem Paragraphen ist im Entgelt für die Leistung enthalten. Ein Ersatz von Aufwand kommt nur für einen nachweislich außergewöhnlichen, manuellen Mehraufwand in Betracht, der nicht aus dem Verantwortungsbereich des Auftragsverarbeiters stammt, und nur, soweit er vorab in Textform vereinbart wurde. Die Einhaltung gesetzlicher Fristen darf von einer solchen Vereinbarung nicht abhängig gemacht werden.

§ 9 Unterstützung bei den Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO)

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Artikeln 32 bis 36 der Datenschutz-Grundverordnung genannten Pflichten.

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten des Verantwortlichen betrifft, so meldet er dies dem Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung. Verbindliche Kontaktadresse des Verantwortlichen für Meldungen nach diesem Paragraphen, für Mitteilungen nach § 7 und für sonstige Erklärungen aus diesem Vertrag ist die in seinem Konto hinterlegte E-Mail-Adresse; ist im Vertragskopf ein Kontakt des Datenschutzbeauftragten angegeben, so geht die Meldung zusätzlich an diesen. Der Verantwortliche hält beide Angaben aktuell; eine Änderung wirkt ab ihrer Speicherung im Konto beziehungsweise ab dokumentiertem Zugang beim Auftragsverarbeiter. Die Meldung enthält, soweit verfügbar:

1. eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der betroffenen Datensätze;
2. den Namen und die Kontaktdaten einer Anlaufstelle für weitere Informationen;
3. eine Beschreibung der wahrscheinlichen Folgen der Verletzung;
4. eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und gegebenenfalls zur Abmilderung ihrer nachteiligen Auswirkungen.

Der Auftragsverarbeiter hält eine dauerhaft erreichbare Anlaufstelle für Meldungen nach diesem Paragraphen sowie für Anfragen nach § 8 und § 10 bereit. Er hat eine Vertretung benannt. Im Verhinderungsfall erhält die Vertretung Zugang zu den erforderlichen Systemen und Auskünften, nachdem sie nach § 5 in Textform zur Vertraulichkeit verpflichtet wurde; die Fristen dieses Vertrags gelten unabhängig von der Erreichbarkeit einer einzelnen Person. Die Anlaufstelle wird im Vertragskopf genannt; die Person der Vertretung wird dem Verantwortlichen auf Anfrage mitgeteilt.

Stehen nicht alle Angaben sofort zur Verfügung, so meldet der Auftragsverarbeiter zunächst die vorhandenen Angaben und ergänzt sie unverzüglich. Er stellt klar: die Meldefrist von 72 Stunden nach Art. 33 Abs. 1 DSGVO trifft den Verantwortlichen. Die Meldepflicht nach diesem Absatz besteht gerade deshalb, damit der Verantwortliche diese Frist überhaupt einhalten kann.

Der Auftragsverarbeiter nimmt gegenüber der Aufsichtsbehörde oder gegenüber betroffenen Personen keine Meldung im Namen des Verantwortlichen vor, sofern der Verantwortliche ihn nicht ausdrücklich damit beauftragt.

Der Auftragsverarbeiter unterstützt den Verantwortlichen auf Anfrage bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und einer vorherigen Konsultation nach Art. 36 DSGVO, indem er die bei ihm vorhandenen Informationen zur Verarbeitung zur Verfügung stellt, insbesondere Anlage 1 und Anlage 2 in der jeweils gültigen Fassung.

§ 10 Löschung oder Rückgabe nach Abschluss der Erbringung (Art. 28 Abs. 3 lit. g DSGVO)

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht.

Der Verantwortliche teilt seine Wahl in Textform mit. Teilt er innerhalb von 30 Tagen nach Beendigung nichts mit, so wird gelöscht. Die Löschung ist die Vorgabe, weil sie das datenschutzfreundlichere Ergebnis ist.

Umgesetzte Wege:

• Jedes Event trägt ein Ablaufdatum. Nach Ablauf werden die Inhalte nicht mehr ausgeliefert; nach weiteren 30 Tagen werden die Datensätze und die gespeicherten Dateien automatisiert gelöscht.
• Der Verantwortliche kann ein Event jederzeit selbst löschen. Die Löschung erfasst die zugehörigen Datensätze über alle beteiligten Tabellen hinweg sowie die gespeicherten Dateien einschließlich abgeleiteter Vorschaubilder und hochgeladener Logos.
• Löscht der Verantwortliche sein Konto, so beginnt eine Frist von 30 Tagen, innerhalb derer die Löschung noch abgewendet werden kann; danach werden das Konto und alle zugehörigen Events endgültig gelöscht.
• Vor jeder Löschung stehen dem Verantwortlichen die in § 8 genannten Wege zur Rückgabe offen (Export der Kontodaten, Herunterladen des Bildmaterials).

Von der Löschung ausgenommen sind ausschließlich Unterlagen, die der Auftragsverarbeiter aufgrund einer gesetzlichen Aufbewahrungspflicht aufbewahren muss, insbesondere Zahlungs- und Buchungsbelege nach § 132 BAO, sowie der minimierte Nachweis des Abschlusses dieses Vertrags nach § 14. Diese Unterlagen betreffen das Vertragsverhältnis zwischen den Parteien, nicht die im Event verarbeiteten Inhalte; Bild- und Videodateien, Kommentare, Namen von Gästen und Sitzungskennungen unterliegen keiner Aufbewahrungspflicht und werden vollständig gelöscht. Die ausgenommenen Unterlagen werden für die Dauer der Aufbewahrungsfrist in der Verarbeitung eingeschränkt.

Geht dem Auftragsverarbeiter ein Rückgabeverlangen in Textform vor dem Ablauf der jeweiligen Löschfrist zu, so schließt er die Rückgabe vor der endgültigen Löschung der betroffenen Daten ab. Der Auftragsverarbeiter weist ausdrücklich darauf hin, dass dies ein manuell geführter Vorgang ist: die automatisierten Löschläufe kennen kein Aussetzen je Event. Er stellt den Vorrang des Rückgabeverlangens dadurch sicher, dass er die betroffenen Daten nach Zugang des Verlangens bereitstellt oder — wo die Frist dafür nicht ausreicht — die Laufzeit des betroffenen Events bis zum Abschluss der Rückgabe verlängert, längstens jedoch für 30 Tage ab Zugang des Verlangens. Der Verantwortliche erhält den Abschluss der Rückgabe in Textform bestätigt.

Der Auftragsverarbeiter weist die Löschung auf Anfrage in Textform nach.

§ 11 Nachweise und Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO)

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.

Auf Anfrage stellt der Auftragsverarbeiter insbesondere zur Verfügung:

• Anlage 1 und Anlage 2 in der jeweils gültigen Fassung;
• Auskunft über die Verarbeitungsorte der eingesetzten weiteren Auftragsverarbeiter;
• Auskunft über den Stand der mit weiteren Auftragsverarbeitern geschlossenen Verträge;
• Auskunft über die Umsetzung der in Anlage 2 beschriebenen Maßnahmen.

Für Inspektionen vor Ort oder im Wege des Fernzugriffs gelten die folgenden Bedingungen. Sie dienen der Ordnung des Ablaufs und schließen das Prüfungsrecht nicht aus und schränken es nicht ein:

• Ankündigung in Textform mit einer Frist von in der Regel 14 Tagen. Besteht ein konkreter Anlass, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder auf Verlangen einer Aufsichtsbehörde, ist die Prüfung unverzüglich und ohne Einhaltung dieser Frist zu ermöglichen.
• Durchführung während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebsablaufs.
• Der Prüfer ist zur Vertraulichkeit verpflichtet und steht nicht im Wettbewerb zum Auftragsverarbeiter. Ein behaupteter Interessenkonflikt ist vom Auftragsverarbeiter konkret zu begründen; die Auswahl eines geeigneten unabhängigen Prüfers verbleibt beim Verantwortlichen.
• In der Regel einmal je Kalenderjahr. Bei konkretem Anlass im Sinne des ersten Spiegelstrichs besteht diese Begrenzung nicht.

Jede Partei trägt die ihr durch eine Prüfung entstehenden eigenen Kosten. Ein Aufwandsersatz kommt nur für wiederholte Prüfungen innerhalb eines Kalenderjahres in Betracht, die ohne konkreten Anlass verlangt werden; er wird vorab in Textform vereinbart, ist der Höhe nach angemessen und darf die wirksame Ausübung des Prüfungsrechts nicht erschweren. Eine anlassbezogene Prüfung sowie die Einhaltung gesetzlicher Fristen werden durch Kosten- oder Auswahlfragen nicht verzögert.

Der Auftragsverarbeiter legt offen: Es besteht keine Zertifizierung nach Art. 42 DSGVO und kein Testat nach einem anerkannten Prüfstandard. Wo andere Anbieter ein solches Dokument vorlegen, treten hier die Auskünfte nach Absatz 2 und die Beschreibung in Anlage 2 an dessen Stelle. Diese Offenlegung steht hier ausdrücklich, damit der Verantwortliche sie bei seiner Auswahlentscheidung nach Art. 28 Abs. 1 DSGVO berücksichtigen kann, statt sie erst bei einer Prüfung zu bemerken.

§ 12 Verarbeitungsorte und Übermittlung in Drittländer

Die Verarbeitungsorte sind je weiterem Auftragsverarbeiter in Anlage 1 ausgewiesen. Eine pauschale Zusage, dass sämtliche Verarbeitungen ausschließlich in der Europäischen Union oder im Europäischen Wirtschaftsraum stattfinden, wird ausdrücklich nicht gegeben. Diese Klarstellung steht hier, weil eine solche Zusage im Verhältnis zu einzelnen eingesetzten Dienstleistern nicht zuträfe; die Angabe je Dienstleister in Anlage 1 ist belastbar, eine Pauschalaussage wäre es nicht.

Der Auftragsverarbeiter setzt für die KI-gestützten Funktionen Google LLC, Vereinigte Staaten von Amerika, als weiteren Auftragsverarbeiter ein. Betroffen sind die automatisierte Bildprüfung, der Vorschlag eines Einladungstextes, die Vorschläge beim Anlegen eines Events sowie der Support-Chat. Bei aktivierter Bildprüfung wird das jeweilige Bild zur Prüfung an Google übermittelt.

Grundlage der Übermittlung ist der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework nach Art. 45 DSGVO; Google LLC ist unter diesem Rahmenwerk zertifiziert.

Entfällt dieser Angemessenheitsbeschluss oder die Zertifizierung des Empfängers, so stützt der Auftragsverarbeiter die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO nebst erforderlichen ergänzenden Maßnahmen und informiert den Verantwortlichen vorab über die dann herangezogene Grundlage. Lässt sich keine tragfähige Grundlage herstellen, so wird die Übermittlung eingestellt; in diesem Fall entfällt die betreffende Funktion, nicht dieser Vertrag.

Der Verantwortliche kann die eventbezogenen KI-Funktionen für sein Event abschalten. Es sind zwei getrennt schaltbare Funktionen: die automatisierte Bildprüfung einschließlich Bildbeschreibung und Vorauswahl sowie der Vorschlag eines Einladungstextes. Ist die Bildprüfung abgeschaltet, so werden die hochgeladenen Bilder dieses Events nicht zu dieser Analyse an Google übermittelt; ist der Einladungstextvorschlag abgeschaltet, so werden die Angaben dieses Events nicht zu diesem Zweck übermittelt.

Der Auftragsverarbeiter weist auf die Grenze dieser Abwahl ausdrücklich hin: die Schalter am Event beenden nicht jede Übermittlung von Eventdaten an Google. Zwei weitere KI-gestützte Funktionen sind kontobezogen und nicht eventbezogen — die Vorschläge beim Anlegen eines Events und der Support-Chat. Ein Schalter am Event erreicht sie nicht.

Beide verarbeiten kein Bildmaterial. Beim Support-Chat werden jedoch über den selbst eingegebenen Text hinaus automatisch die E-Mail-Adresse des angemeldeten Kontos sowie zu bis zu fünf zuletzt angelegten Events deren Titel, Tarif, Aktivitätszustand, belegter Speicher und Ablaufdatum an Google übermittelt, damit die Auskunft zum Konto passt. Der Vorschlag beim Anlegen eines Events betrifft ausschließlich die dort eingegebenen Angaben, etwa einen Eventtitel. Wer diese Übermittlungen ausschließen möchte, verwendet die beiden Funktionen nicht; ein gesonderter Schalter besteht für sie nicht.

§ 13 Haftung und Haftungsbegrenzung, Beendigung, Form, anwendbares Recht

Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Diese Haftung wird durch diesen Vertrag weder ausgeschlossen noch beschränkt. Die folgenden Absätze regeln ausschließlich das Verhältnis der Parteien zueinander.

Im Verhältnis der Parteien zueinander trägt jede Partei den Schaden, den sie zu vertreten hat. Für Ansprüche einer Partei gegen die andere auf Schadenersatz oder auf Ersatz von Aufwendungen, die aus diesem Vertrag oder aus der Verarbeitung personenbezogener Daten im Auftrag entstehen, gilt dieser Paragraph, gleich auf welchen Rechtsgrund der Anspruch gestützt wird — auch auf das Nutzungsverhältnis, auf eine unerlaubte Handlung oder auf den Ausgleich nach Art. 82 Abs. 5 DSGVO. Die Haftungsregeln der Allgemeinen Geschäftsbedingungen des Nutzungsverhältnisses gelten für diese Ansprüche nicht. Haben die Parteien Standardvertragsklauseln der Europäischen Kommission vereinbart, so gehen diese im Fall eines Widerspruchs vor.

Jede Partei haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, für Schäden aus der Verletzung von Leben, Körper oder Gesundheit und nach dem Produkthaftungsgesetz.

Bei leichter Fahrlässigkeit haftet jede Partei für alle Schadensfälle eines Kalenderjahres zusammen höchstens bis zum höheren der beiden folgenden Beträge: 10.000 Euro oder die Summe der Entgelte, die für den Dienst über das Konto des Verantwortlichen in den zwölf Monaten vor dem ersten Schadensfall dieses Kalenderjahres gezahlt und nicht erstattet wurden. Ein Schadensfall zählt zu dem Kalenderjahr, in dem das schadensbegründende Ereignis eingetreten ist. Mehrere Schäden aus derselben Ursache bilden einen einzigen Schadensfall; er zählt zum Kalenderjahr des ersten Ereignisses. Entgangener Gewinn wird bei leichter Fahrlässigkeit nicht ersetzt. Die Parteien vereinbaren diese Begrenzung mit Rücksicht auf das Verhältnis zwischen dem Entgelt für den Dienst und dem möglichen Schaden.

Die Begrenzung erfasst alle Schäden und Aufwendungen eines Schadensfalls, unter welcher Bezeichnung auch immer sie geltend gemacht werden, insbesondere Kosten für die Untersuchung und Eindämmung einer Verletzung des Schutzes personenbezogener Daten, für die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen, für Rechtsberatung und Rechtsverfolgung und für die Wiederherstellung von Daten, ferner Zahlungen an betroffene Personen und Geldbußen. Ob ein solcher Posten überhaupt zu ersetzen ist, richtet sich nach dem Gesetz; dieser Absatz begründet keinen Anspruch.

Für weitere Auftragsverarbeiter haftet der Auftragsverarbeiter dem Verantwortlichen wie für eigenes Handeln (Art. 28 Abs. 4 DSGVO): ihr Verschulden wird ihm zugerechnet, und es gelten dieselben Regeln wie für eigenes Verschulden, einschließlich der Begrenzung bei leichter Fahrlässigkeit. Die Pflichten aus diesem Vertrag und seinen Anlagen sind verbindlich; eine verschuldensunabhängige Einstandspflicht über das Gesetz hinaus begründen sie nicht. Wörter wie „gewährleisten“ oder „sicherstellen“ bezeichnen die jeweilige Pflicht, keine Garantie.

Anlage 2 legt offen, dass für den Dateispeicher der Bild- und Videodateien keine Sicherung besteht. Material, das der Verantwortliche dauerhaft oder unabhängig vom Dienst benötigt, sichert er über die Wege nach § 8 selbst. Unterlässt er das, obwohl es ihm möglich und zumutbar war, so wird dies bei einem Verlust als Mitverschulden berücksichtigt.

Wird eine Partei von einer betroffenen Person oder einem anderen Dritten in Anspruch genommen oder von einer Aufsichtsbehörde mit einer Geldbuße belegt und will sie deshalb bei der anderen Partei Rückgriff nehmen, so teilt sie ihr das unverzüglich in Textform mit und gibt ihr Gelegenheit, sich an der Abwehr zu beteiligen. Ein Anerkenntnis oder Vergleich ohne Zustimmung der anderen Partei bindet diese nicht; sie kann einwenden, dass der Anspruch nicht oder nicht in dieser Höhe bestand.

Die Laufzeit ergibt sich aus § 2. Der Verantwortliche kann diesen Vertrag und das Nutzungsverhältnis darüber hinaus außerordentlich mit sofortiger Wirkung kündigen, wenn er einer Änderung bei den weiteren Auftragsverarbeitern nach § 7 widerspricht und keine einvernehmliche Lösung zustande kommt, oder wenn der Auftragsverarbeiter schwerwiegend gegen Pflichten aus diesem Vertrag verstößt und den Verstoß trotz Aufforderung nicht innerhalb einer angemessenen Frist abstellt.

Änderungen und Ergänzungen dieses Vertrags bedürfen der Zustimmung beider Parteien in Textform; das gilt auch für die Änderung dieses Formerfordernisses. Die Übermittlung per E-Mail genügt. Die Veröffentlichung einer geänderten Fassung und die weitere Nutzung der Leistung genügen nicht; eine Zustimmungsfiktion durch Weiternutzung, wie sie die Allgemeinen Geschäftsbedingungen des Nutzungsverhältnisses vorsehen, gilt für diesen Vertrag nicht. Aktualisierungen der Anlagen 1 und 2 erfolgen nach dem in § 6 und § 7 geregelten Verfahren und bedürfen keiner gesonderten Vertragsänderung.

Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts und unter Ausschluss des UN-Kaufrechts. Die Datenschutz-Grundverordnung und die zwingenden datenschutzrechtlichen Bestimmungen, denen der Verantwortliche an seinem Sitz unterliegt, bleiben unberührt.

Ist der Verantwortliche Unternehmer im Sinne des Unternehmensgesetzbuchs, so ist ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag Wien, Österreich. Zwingende gesetzliche Gerichtsstände bleiben unberührt.

Sollte eine Bestimmung dieses Vertrags unwirksam oder undurchführbar sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Das gilt auch innerhalb der Haftungsregeln dieses Paragraphen: die Begrenzung auf einen Höchstbetrag, der Ausschluss entgangenen Gewinns, die Regel zur Datensicherung und die Regeln zum Rückgriff sind voneinander unabhängig. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame Regelung, die dem wirtschaftlichen und datenschutzrechtlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

§ 14 Anlagenverzeichnis

Die folgenden Anlagen sind Bestandteil dieses Vertrags:

1. Anlage 1 — Weitere Auftragsverarbeiter (Unterauftragsverarbeiter) mit Verarbeitungszweck, Verarbeitungsort und Grundlage einer etwaigen Drittlandübermittlung.
2. Anlage 2 — Technische und organisatorische Maßnahmen nach Art. 32 DSGVO.

Änderungen der Anlage 1 richten sich ausschließlich nach § 7. Gleichwertige oder verbessernde technische Anpassungen der Anlage 2 sind zulässig; wesentliche Änderungen teilt der Auftragsverarbeiter dem Verantwortlichen aktiv mit. Zweck und Datenumfang dürfen dadurch nicht erweitert und das vereinbarte Schutzniveau nicht abgesenkt werden.

Der Auftragsverarbeiter hält den Wortlaut jeder abschließbaren Fassung dieses Vertrags einschließlich beider Anlagen unverändert vor und ordnet ihn der Versionskennung zu, unter der abgeschlossen wurde. Eine spätere Textänderung erzeugt eine neue Versionskennung und ersetzt einen bereits geschlossenen Nachweis nicht. Der vollständige Abschlussnachweis (Firmendaten, vertretungsbefugte Person, Kontakt des Datenschutzbeauftragten) besteht so lange wie das Konto des Verantwortlichen; so lange stellt der Auftragsverarbeiter das Vertragsdokument auf Anfrage in Textform erneut bereit. Löscht der Verantwortliche sein Konto, so bewahrt der Auftragsverarbeiter einen minimierten Nachweis auf — Firmenname, Sitzstaat, Versionskennung und Sprachfassung, Zeitpunkt des Abschlusses und der Kontolöschung sowie einen Prüfwert der Kontokennung, ohne Personenangaben und ohne Anschrift — und löscht ihn 3 Jahre nach dem Ende des Kalenderjahres der Kontolöschung. Dieser Nachweis dient ausschließlich dem Beleg des Vertragsschlusses bei Rechtsansprüchen oder Anfragen einer Aufsichtsbehörde. Wer das vollständige Vertragsdokument darüber hinaus benötigt, ruft es vor der Kontolöschung ab.

Maßgeblich ist die zum Zeitpunkt des Abschlusses gültige, mit einer Versionskennung bezeichnete Fassung der Anlagen. Sie ist Teil des erzeugten Vertragsdokuments und wird gemeinsam mit der Versionsangabe 2026-10-01.1 im Konto des Verantwortlichen festgehalten. Die jeweils aktuelle Fassung ist zusätzlich jederzeit abrufbar.

Anlage 1 — Weitere Auftragsverarbeiter (Unterauftragsverarbeiter)

Stand der Anlage: 2026-10-01 · Stand der laufend gepflegten Liste: 2026-09-30 (/datenschutz)

Die laufend gepflegte Fassung dieser Liste steht in der Datenschutzerklärung. Maßgeblich für deinen Abschluss ist der Stand, der unten genannt ist.

Anlage 2 — Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Stand der Anlage: 2026-09-30

Jede Maßnahme hier ist im Code belegbar. Was nicht gebaut ist, steht nicht drin.