Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV“) nach Art. 28 DSGVO wird zwischen dem Nutzer als Verantwortlichem und uns als Auftragsverarbeiter geschlossen. Er wird mit Abschluss des Nutzungsvertrags über DJPlayThat einbezogen und ist Bestandteil unserer Allgemeinen Geschäftsbedingungen.
Vertragsparteien
Verantwortlicher ist der Nutzer (Veranstalter, DJ oder Agentur) mit den in seinem Nutzerkonto hinterlegten Angaben.
Auftragsverarbeiter ist:
§ 1 Gegenstand, Dauer und Abgrenzung
(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten, die im Rahmen der vom Verantwortlichen angelegten Veranstaltungen anfallen – insbesondere die Entgegennahme, Speicherung und Anzeige von Musikwünschen und Abstimmungen der Gäste.
(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags.
(3) Nicht Gegenstand dieses AVV sind Verarbeitungen, für die wir selbst Verantwortlicher sind – insbesondere die Verwaltung des Nutzerkontos, die Abrechnung, die Server-Protokollierung und die Abwehr von Missbrauch. Hierfür gilt unsere Datenschutzerklärung.
§ 2 Art und Zweck der Verarbeitung
Die Verarbeitung dient ausschließlich der Durchführung der Musikwunsch- und Abstimmungsfunktion für die Veranstaltungen des Verantwortlichen. Sie umfasst das Erheben, Speichern, Anzeigen, Verändern (Statusänderungen durch den Verantwortlichen), Anonymisieren und Löschen der Daten.
Art der personenbezogenen Daten
- frei gewählter Anzeigename der Gäste
- Inhalte der Musikwünsche (Interpret, Titel, Genre, freier Kommentar)
- Abstimmungen zu Musikwünschen
- zufällig erzeugte Geräte-Kennung des Browsers
- Zeitstempel der Eingaben
Kategorien betroffener Personen
- Gäste der Veranstaltungen des Verantwortlichen
- vom Verantwortlichen eingeladene Co-Organisatoren, soweit deren Daten im Rahmen der Veranstaltung verarbeitet werden
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Verantwortliche wird die Plattform nicht für die Verarbeitung solcher Daten einsetzen.
§ 3 Weisungsbindung
(1) Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten die Einstellungen und Funktionen, die der Verantwortliche in der Anwendung nutzt, sowie dieser Vertrag. Weitergehende Weisungen sind in Textform an die oben genannte Adresse zu richten.
(2) Wir informieren den Verantwortlichen unverzüglich, wenn wir der Auffassung sind, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Wir sind berechtigt, die Ausführung einer solchen Weisung auszusetzen, bis sie bestätigt oder geändert wird.
(3) Eine Verarbeitung zu eigenen Zwecken, eine Übermittlung an Dritte oder eine Nutzung der Auftragsdaten für Werbung findet nicht statt.
§ 4 Vertraulichkeit
Zur Verarbeitung eingesetzte Personen werden zur Vertraulichkeit verpflichtet und im erforderlichen Umfang mit den datenschutzrechtlichen Anforderungen vertraut gemacht. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.
§ 5 Technische und organisatorische Maßnahmen
(1) Wir treffen die in Anhang 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und halten sie während der Vertragsdauer aufrecht.
(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Wir dürfen sie anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird.
§ 6 Unterauftragsverarbeiter
(1) Der Verantwortliche erteilt die allgemeine Genehmigung, die nachstehend genannten Unterauftragsverarbeiter einzusetzen:
| Unternehmen | Leistung | Ort der Verarbeitung |
|---|---|---|
| Derzeit setzen wir für die Verarbeitung der Auftragsdaten keine Unterauftragsverarbeiter ein. Die Plattform wird auf eigener Infrastruktur betrieben. | ||
(2) Über die Hinzuziehung eines weiteren oder den Austausch eines Unterauftragsverarbeiters informieren wir den Verantwortlichen mindestens vier Wochen vorher in Textform. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen ab Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs, dem wir nicht abhelfen können, steht beiden Seiten ein Sonderkündigungsrecht zu.
(3) Wir verpflichten Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht (Art. 28 Abs. 4 DSGVO).
(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die wir zu eigenen Zwecken in Anspruch nehmen – etwa die Zahlungsabwicklung über Stripe oder der Versand von System-E-Mails an den Verantwortlichen. Diese betreffen nicht die Daten der Gäste.
§ 7 Unterstützung des Verantwortlichen
(1) Wenden sich betroffene Personen mit Anträgen nach Art. 15 bis 22 DSGVO an uns, verweisen wir sie an den Verantwortlichen und informieren diesen unverzüglich.
(2) Wir unterstützen den Verantwortlichen im Rahmen unserer Möglichkeiten bei der Erfüllung der Betroffenenrechte sowie bei seinen Pflichten nach Art. 32 bis 36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
(3) Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, informieren wir den Verantwortlichen unverzüglich und stellen die zur Meldung nach Art. 33 DSGVO erforderlichen Informationen bereit.
§ 8 Nachweise und Kontrollrechte
(1) Wir weisen die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage in geeigneter Weise nach, insbesondere durch Auskunft in Textform.
(2) Der Verantwortliche ist berechtigt, sich nach vorheriger Absprache mit angemessener Vorlaufzeit während der üblichen Geschäftszeiten von der Einhaltung zu überzeugen. Die Kontrolle darf den Betriebsablauf nicht unangemessen beeinträchtigen. Für den Aufwand über eine einfache Auskunft hinaus können wir eine angemessene Vergütung verlangen, sofern kein konkreter Anlass für die Kontrolle besteht.
§ 9 Löschung und Rückgabe
(1) Die Daten der Gäste werden spätestens 90 Tage nach Ende der jeweiligen Veranstaltung automatisch anonymisiert. Dabei entfallen Anzeigename, Geräte-Kennung und Freitextangaben unwiderruflich; es verbleiben nur Angaben ohne Personenbezug.
(2) Löscht der Verantwortliche eine Veranstaltung, einen einzelnen Wunsch oder sein Konto, werden die zugehörigen Daten entfernt.
(3) Nach Beendigung des Nutzungsvertrags löschen wir die im Auftrag verarbeiteten Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Eine Herausgabe in einem bestimmten Format schulden wir nicht; der Verantwortliche kann die für ihn relevanten Angaben vor Vertragsende über die Anwendung sichern.
§ 10 Haftung und Schlussbestimmungen
(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Regelungen unserer Allgemeinen Geschäftsbedingungen.
(2) Widersprechen sich dieser AVV und die AGB hinsichtlich der Auftragsverarbeitung, geht dieser AVV vor.
(3) Es gilt deutsches Recht.
Anhang 1 – Übersicht der Verarbeitung
| Punkt | Angabe |
|---|---|
| Gegenstand | Entgegennahme und Anzeige von Musikwünschen und Abstimmungen der Gäste |
| Dauer | Laufzeit des Nutzungsvertrags; Anonymisierung nach 90 Tagen ab Veranstaltungsende |
| Art der Verarbeitung | Erheben, Speichern, Anzeigen, Ändern, Anonymisieren, Löschen |
| Zweck | Durchführung der Musikwunschfunktion bei Veranstaltungen des Verantwortlichen |
| Datenarten | Anzeigename, Wunschinhalte, Kommentare, Abstimmungen, Geräte-Kennung, Zeitstempel |
| Betroffene | Gäste der Veranstaltungen, Co-Organisatoren |
| Drittlandtransfer | Durch uns findet keine Übermittlung in Drittländer statt. Hinweis: Für die Suchvorschläge beim Eingeben eines Wunsches fragt das Gerät des Gastes unmittelbar bei Apple an; diese Verbindung stellt der Gast selbst her, die Daten laufen nicht über unsere Systeme. |
Anhang 2 – Technische und organisatorische Maßnahmen
Vertraulichkeit
- Zutrittskontrolle: Die Server stehen in nicht öffentlich zugänglichen, verschlossenen Räumlichkeiten.
- Zugangskontrolle: Zugang zur Anwendung nur über persönliche Konten mit Passwort. Passwörter werden ausschließlich als nicht rückrechenbarer Hashwert gespeichert. Mindestlänge und Komplexitätsanforderungen sind technisch erzwungen. Nach mehreren Fehlversuchen wird das Konto vorübergehend gesperrt. Die Administration der Server erfolgt ausschließlich über eine verschlüsselte VPN-Verbindung; der Datenbankzugriff ist auf dieses Netz beschränkt.
- Zugriffskontrolle: Rollen- und rechtebasierte Zugriffssteuerung. Jeder Zugriff auf eine Veranstaltung wird zentral gegen die Berechtigungen des Kontos geprüft; die Prüfung erfolgt serverseitig und nicht allein in der Benutzeroberfläche.
- Trennungskontrolle: Daten sind Arbeitsbereichen und Veranstaltungen fest zugeordnet; Abfragen erfolgen ausschließlich innerhalb dieser Zuordnung. Der Zugang der Gäste ist auf die jeweilige Veranstaltung beschränkt.
- Pseudonymisierung und Anonymisierung: Gäste geben einen frei gewählten Namen an; eine Registrierung findet nicht statt. Nach 90 Tagen werden die personenbezogenen Angaben automatisiert und unwiderruflich entfernt.
Integrität
- Weitergabekontrolle: Die Übertragung erfolgt ausschließlich verschlüsselt über HTTPS/TLS, einschließlich der Live-Verbindung zur Aktualisierung der Wunschlisten.
- Eingabekontrolle: Sicherheitsrelevante Vorgänge werden protokolliert. Änderungen an Wünschen sind der jeweiligen Veranstaltung und dem Zeitpunkt zugeordnet.
- Schutz vor Manipulation: Formulare sind gegen Cross-Site-Request-Forgery geschützt; Eingaben werden serverseitig validiert und längenbegrenzt. Gast-Aktionen sind mengenmäßig begrenzt (Schutz vor automatisierten Massenanfragen).
Verfügbarkeit und Belastbarkeit
- Datensicherung: Die Datenbank wird regelmäßig gesichert; die Wiederherstellbarkeit wird überprüft.
- Systemhärtung: Der Server ist über einen Reverse Proxy angebunden und nur über die benötigten Ports erreichbar. Betriebssystem und Anwendungskomponenten werden regelmäßig aktualisiert.
Verfahren zur Überprüfung und Bewertung
- Auftragskontrolle: Verarbeitung ausschließlich im Rahmen dieses Vertrags und der Weisungen des Verantwortlichen.
- Datenschutz durch Technikgestaltung: Es werden nur die für die Funktion erforderlichen Daten erhoben. Gäste benötigen kein Konto; der Anzeigename kann ein Pseudonym sein. Es werden keine Analyse- oder Tracking-Dienste und keine externen Inhalte eingebunden.
- Überprüfung: Die Maßnahmen werden anlassbezogen und bei wesentlichen Änderungen der Anwendung überprüft und fortgeschrieben.