Vereinbarung nach Art. 28 DSGVO für die Nutzung der Software „Dein Eventplaner“

Stand: September 2026

Parteien

Dieser Auftragsverarbeitungsvertrag („Vertrag“) wird geschlossen zwischen

dem Kunden, der die Software „Dein Eventplaner“ nutzt (Firma und Anschrift gemäß den Angaben bei der Registrierung bzw. im Kundenkonto)
– nachfolgend „Verantwortlicher“ –

und

Frankfurter Haus
Darmstädter Landstraße 741, 63263 Neu-Isenburg
Vertreten durch den Geschäftsführer Constantin von Bienenstamm
Handelsregister: HRB 125386, Amtsgericht Frankfurt am Main
Telefon: 06102 7197890, E-Mail: info@deineventplaner.com

– nachfolgend „Auftragsverarbeiter“ –

Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung der Software „Dein Eventplaner“ und gilt ergänzend zum jeweiligen Hauptvertrag (AGB/SaaS-Vertrag). Der Vertrag wird mit Abschluss des Hauptvertrags wirksam.

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen (Bereitstellung und Betrieb der mandantenfähigen SaaS-Lösung „Dein Eventplaner“). Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

Art und Zweck: Speicherung, Organisation und Verarbeitung von Veranstaltungs-, Angebots- und Kontaktdaten im Rahmen der Funktionen der Software (Angebote, Function Sheets, Kunden/CRM, Kalender, Rechnungsübersicht, Auswertungen, PDF- und E-Mail-Versand).

Kategorien personenbezogener Daten:

• Stammdaten von Kunden und Geschäftspartnern des Verantwortlichen (Firma, Ansprechpartner, Anschrift),
• Kontaktdaten (E-Mail, Telefon),
• Vertrags- und Veranstaltungsdaten (Termine, Leistungen, Preise, Notizen),
• sonstige Daten, die der Verantwortliche im Rahmen der Nutzung in die Software eingibt.

Kategorien betroffener Personen: Kunden, Ansprechpartner und Gäste des Verantwortlichen sowie dessen Beschäftigte, soweit deren Daten im System verarbeitet werden.

§ 3 Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Weisungen werden grundsätzlich über die Funktionen der Software erteilt; darüber hinausgehende Weisungen erfolgen in Textform. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, informiert er den Verantwortlichen.

§ 4 Pflichten des Auftragsverarbeiters

• Vertraulichkeit: Einsatz nur von Personen, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
• Sicherheit: Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (Anlage 1).
• Unterstützung: Unterstützung des Verantwortlichen bei der Beantwortung von Betroffenenanfragen sowie bei Pflichten nach Art. 32–36 DSGVO, soweit möglich und angemessen (vgl. § 7 sowie das Dokument „Funktionen für Betroffenenrechte“).
• Information: unverzügliche Mitteilung von Verletzungen des Schutzes personenbezogener Daten (siehe § 8).
• Mitwirkung: Bereitstellung der zur Einhaltung des Art. 28 DSGVO erforderlichen Informationen.

§ 5 Technisch-organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen. Er darf diese im Lauf des Vertrags weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) vorab; der Verantwortliche kann begründet widersprechen. Mit jedem Unterauftragsverarbeiter werden die Pflichten dieses Vertrags vertraglich vereinbart.

§ 7 Rechte betroffener Personen

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter. Der Auftragsverarbeiter stellt im Rahmen seiner Möglichkeiten Funktionen bereit (Auskunft, Berichtigung, Löschung/Archivierung, Export als CSV/Excel), mit denen der Verantwortliche Betroffenenrechte erfüllen kann. Einzelheiten und Zuordnung der Rechte zu den App-Funktionen regelt das Dokument „Funktionen für Betroffenenrechte“.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und unterstützt ihn bei dessen Melde- und Benachrichtigungspflichten nach Art. 33, 34 DSGVO.

§ 9 Kontroll- und Nachweisrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht angemessene Überprüfungen – vorrangig durch Bereitstellung geeigneter Nachweise (z. B. Dokumentation der Maßnahmen, ggf. Zertifikate), bei Bedarf durch Vor-Ort-Prüfungen mit angemessener Ankündigung.

§ 10 Löschung und Rückgabe nach Beendigung

Nach Beendigung des Vertrags löscht der Auftragsverarbeiter die verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück (z. B. per Export), sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Frist hierfür beträgt 30 Tage nach Vertragsende. Die Löschung wird auch in Sicherungskopien (Backups) im Rahmen des regulären Backup-Zyklus wirksam.

§ 11 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO sowie nach den Regelungen des Hauptvertrags. Im Innenverhältnis gilt die Haftungsverteilung des Art. 82 DSGVO.

§ 12 Schlussbestimmungen

Änderungen bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrags vor. Es gilt deutsches Recht.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Betrieb in gesicherten Rechenzentren des Hosting-Anbieters (Raidboxes GmbH, Deutschland); physische Zutrittssicherung durch den Rechenzentrumsbetreiber.
• Zugangskontrolle: individuelle Benutzerkonten, sichere Authentifizierung, Passwortrichtlinie, Schutz gegen automatisierte Angriffe (Brute-Force-Schutz), Sicherheits-HTTP-Header.
• Zugriffskontrolle: rollenbasiertes Berechtigungskonzept (Super-Admin, Admin, Nutzer mit konfigurierbaren Rechten), Beschränkung auf das Erforderliche (Least Privilege).
• Trennungskontrolle: mandantengetrennte Verarbeitung (Multi-Tenancy mit Tenant-Scoping); strikte Trennung der Daten je Betrieb, mandantenspezifische Upload-Verzeichnisse; automatisierte Tests der Mandantentrennung im Deployment-Prozess.

Integrität

• Weitergabekontrolle: Verschlüsselung der Übertragung (TLS/HTTPS).
• Eingabekontrolle: Protokollierung relevanter Zugriffe und Änderungen; Versionierung und Soft-Delete von Datensätzen (Nachvollziehbarkeit, Wiederherstellbarkeit).
• Eingabevalidierung: serverseitige Validierung von Eingaben zum Schutz vor fehlerhaften oder schädlichen Daten.

Verfügbarkeit und Belastbarkeit

• Datensicherung: regelmäßige Backups und Wiederherstellungstests; Schutzmaßnahmen gegen Datenverlust.
• Belastbarkeit: CI/CD-Pipeline mit automatisierten Tests vor jedem Deployment (u. a. Mandantentrennung, Preisberechnung, Authentifizierung).

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Update- und Patch-Management sowie regelmäßige Überprüfung der Wirksamkeit der Maßnahmen.
• Auftragskontrolle: Einsatz von Unterauftragsverarbeitern nur mit vertraglicher Verpflichtung auf ein angemessenes Schutzniveau (Anlage 2).

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Die folgenden Unterauftragsverarbeiter verarbeiten im Auftrag Inhaltsdaten des Verantwortlichen bzw. ermöglichen deren Verarbeitung:

Dienstleister	Sitz / Land	Zweck
Raidboxes GmbH	Hafenstraße 32, 48153 Münster, Deutschland	Hosting und Serverbetrieb, Datenbank, Datei-Uploads
IONOS SE	Elgendorfer Str. 57, 56410 Montabaur, Deutschland	Domain und E-Mail; Versand von Angeboten, Benachrichtigungen und System-E-Mails

Drittlandtransfer: Die genannten Unterauftragsverarbeiter haben ihren Sitz in Deutschland. Sollten künftig Unterauftragsverarbeiter außerhalb der EU bzw. des EWR eingesetzt werden, stellt der Auftragsverarbeiter geeignete Garantien sicher (Angemessenheitsbeschluss, EU-US Data Privacy Framework oder Standardvertragsklauseln zuzüglich Transfer Impact Assessment) und informiert den Verantwortlichen gemäß § 6.

Abgrenzung: Zahlungsdienstleister (Stripe)

Der für die Abo-Abrechnung eingesetzte Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., Irland) ist in dieser Anlage bewusst nicht als Unterauftragsverarbeiter der Inhaltsdaten geführt. Er verarbeitet die Zahlungs- und Abrechnungsdaten der Vertragsbeziehung zwischen Anbieter und Kunde. Hierfür ist der Anbieter selbst Verantwortlicher; diese Verarbeitung ist in der Datenschutzerklärung der Plattform dargestellt und über einen gesonderten Vertrag zwischen Anbieter und Zahlungsdienstleister geregelt. Inhaltsdaten des Verantwortlichen (z. B. Gäste- oder Veranstaltungsdaten) werden nicht an den Zahlungsdienstleister übermittelt.

Stand: September 2026