Auftrags­ver­arbeitungs­vertrag

Vertragsparteien

zwischen der Kundin oder dem Kunden, wie bei der Registrierung in BSTAGE angegeben,
– Verantwortliche:r, im Folgenden „Kund:in“ –

und der BSTAGE UG (haftungsbeschränkt) i. G., Unterer Ahlenbergweg 39a, 58313 Herdecke, vertreten durch die Geschäftsführung David Peters,
– Auftragsverarbeiterin, im Folgenden „BSTAGE“ –

Dieser Vertrag regelt die datenschutzrechtlichen Pflichten beider Seiten, soweit BSTAGE im Rahmen des Nutzungsvertrags nach den AGB personenbezogene Daten im Auftrag der Kund:innen verarbeitet. Er wird mit Annahme der AGB in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). In datenschutzrechtlichen Fragen geht er den AGB vor.

§ 1 Gegenstand und Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten, die Kund:innen in ihren Arbeitsbereichen in BSTAGE erfassen, hochladen oder erzeugen – etwa Gästelisten, Personalplanung, Reise- und Hotelangaben, Kontaktpersonen, Verträge, Rechnungen und Nachrichten. Einzelheiten stehen in Anlage 1.
2. Nicht Gegenstand dieses Vertrags sind die Konto-, Vertrags- und Abrechnungsdaten der Kund:innen selbst. Für diese ist BSTAGE eigenständig verantwortlich; es gilt die Datenschutzerklärung.
3. Der Vertrag läuft so lange wie der Nutzungsvertrag. Die Pflichten aus § 10 gelten über dessen Ende hinaus.

§ 2 Art, Zweck und Umfang

1. BSTAGE verarbeitet die Daten ausschließlich, um den Kund:innen die Plattform bereitzustellen. Art der Verarbeitung, Datenkategorien und Kreis der betroffenen Personen beschreibt Anlage 1.
2. BSTAGE nutzt die Daten nicht für eigene Zwecke, nicht für Werbung und gibt sie nicht an Dritte weiter, außer an die Unterauftragsverarbeiter nach § 6 und an Personen, denen Kund:innen selbst Zugriff einräumen. Ausgenommen sind zusammengefasste, nicht personenbezogene Kennzahlen zum Betrieb der Plattform.
3. Die Verarbeitung erfolgt über die Infrastruktur der in Anlage 3 genannten Unterauftragsverarbeiter. Für Übermittlungen außerhalb der EU und des EWR gilt § 7.

§ 3 Weisungen

1. BSTAGE verarbeitet die Daten nur auf dokumentierte Weisung der Kund:innen. Die Weisungen ergeben sich abschließend aus diesem Vertrag, den AGB sowie den Einstellungen und Funktionen der Plattform, die Kund:innen nutzen. Weitere Weisungen erteilen Kund:innen in Textform an contact@bstage.studio.
2. Ist BSTAGE nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt BSTAGE dies den Kund:innen vorher mit, sofern das Recht eine solche Mitteilung nicht verbietet.
3. Hält BSTAGE eine Weisung für rechtswidrig, weist BSTAGE die Kund:innen unverzüglich darauf hin und darf die Ausführung aussetzen, bis die Weisung bestätigt oder geändert wird.

§ 4 Vertraulichkeit

BSTAGE setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Sie greifen auf die Daten nur zu, soweit es für Betrieb, Support oder Fehlerbehebung erforderlich ist.

§ 5 Sicherheit der Verarbeitung

1. BSTAGE trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind.
2. BSTAGE darf die Maßnahmen an den Stand der Technik anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 6 Unter­auftrags­verarbeiter

1. Kund:innen genehmigen die in Anlage 3 genannten Unterauftragsverarbeiter.
2. Bevor BSTAGE einen Unterauftragsverarbeiter hinzuzieht oder ersetzt, informiert BSTAGE die Kund:innen mindestens vier Wochen im Voraus in Textform an die E-Mail-Adresse des Kontos. Kund:innen können innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann jede Seite den Nutzungsvertrag zum Zeitpunkt des Wechsels kündigen.
3. BSTAGE erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die dieser Vertrag vorsieht (Art. 28 Abs. 4 DSGVO).
4. Keine Unterauftragsverarbeitung sind Übermittlungen, die Kund:innen selbst veranlassen und an Empfänger ihrer Wahl richten – etwa die Synchronisierung mit dem eigenen Google Kalender oder Gastzugänge und Einladungen für Partner:innen.
5. Ebenfalls keine Unterauftragsverarbeitung ist die Prüfung von Umsatzsteuer-Identifikationsnummern bei der Europäischen Kommission (MwSt-Informationsaustauschsystem VIES). Erstellen Kund:innen eine Rechnung ins EU-Ausland ohne Umsatzsteuer (Reverse Charge), übermittelt BSTAGE dafür die USt-IdNr. der Rechnungsempfänger:in und die eigene USt-IdNr. der Kund:in. Die Kommission prüft als öffentliche Stelle, nicht im Auftrag von BSTAGE.

§ 7 Übermittlung in Drittländer

BSTAGE übermittelt Daten in Länder außerhalb der EU und des EWR nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind – insbesondere auf Grundlage eines Angemessenheitsbeschlusses wie des EU-US Data Privacy Framework für zertifizierte Empfänger oder der Standardvertragsklauseln der EU-Kommission.

§ 8 Rechte betroffener Personen

1. BSTAGE unterstützt die Kund:innen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen nach Kapitel III DSGVO zu beantworten. Kund:innen können Daten in der Plattform selbst einsehen, berichtigen, exportieren und löschen.
2. Wendet sich eine betroffene Person direkt an BSTAGE, leitet BSTAGE die Anfrage unverzüglich an die zuständigen Kund:innen weiter und beantwortet sie nicht selbst, sofern keine Weisung dazu vorliegt.

§ 9 Meldung und Unterstützung

1. BSTAGE meldet den Kund:innen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht.
2. BSTAGE unterstützt die Kund:innen unter Berücksichtigung der verfügbaren Informationen bei ihren Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Meldungen an die Aufsichtsbehörde, bei der Benachrichtigung betroffener Personen und bei Datenschutz-Folgenabschätzungen.
3. Unterstützung, die über die Funktionen der Plattform hinausgeht und nicht auf einem Verstoß von BSTAGE beruht, kann BSTAGE angemessen vergüten lassen.

§ 10 Löschung und Rückgabe

1. Kund:innen können ihre Daten jederzeit über die Exportfunktionen der Plattform abrufen. Sie exportieren Daten, die sie weiter benötigen, bevor sie einen Arbeitsbereich oder ihr Konto löschen.
2. Kund:innen löschen Daten jederzeit selbst über die Löschfunktionen der Plattform. Mit Löschung des Kontos löscht BSTAGE die Konto- und Profildaten; Inhalte der Arbeitsbereiche – Events, Bookings, Verträge, Rechnungen, Nachrichten und Dateien – bleiben erhalten, weil Geschäftspartner:innen der Kund:innen mit ihnen weiterarbeiten. Nachrichten in Chats und Booking-Verläufen löscht BSTAGE drei Jahre nach der letzten Nachricht des jeweiligen Verlaufs; Kund:innen, die sie länger benötigen, exportieren sie vorher.
3. Nach Ende des Nutzungsvertrags löscht BSTAGE auf Weisung in Textform an contact@bstage.studio auch diese Inhalte innerhalb von 30 Tagen, soweit sie nicht zugleich Geschäftspartner:innen zugeordnet sind und nicht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Zur Rückgabe dient der Export in den Kontoeinstellungen mit allen Daten und Dateien.
4. Kopien in Wiederherstellungspunkten und Sicherungskopien der Datenbank werden mit deren regulärem Ablauf gelöscht, spätestens nach 30 Tagen.

§ 11 Nachweise und Kontrollen

1. BSTAGE stellt den Kund:innen alle erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO bereit – vorrangig in Form von Dokumentation, Auskünften und Zertifikaten der Unterauftragsverarbeiter.
2. Reichen diese nicht aus, können Kund:innen Überprüfungen vor Ort durchführen oder durch zur Verschwiegenheit verpflichtete Prüfer:innen durchführen lassen. Überprüfungen sind mit einer Frist von vier Wochen anzukündigen, finden zu üblichen Geschäftszeiten statt, dürfen den Betrieb nicht unangemessen stören und sind – außer bei konkretem Anlass – auf eine im Kalenderjahr begrenzt. Die Kosten tragen die Kund:innen, sofern die Prüfung keinen Verstoß von BSTAGE ergibt.

§ 12 Pflichten der Kund:innen

1. Kund:innen sind für die Rechtmäßigkeit der Verarbeitung verantwortlich. Dazu gehört, betroffene Personen wie Gäste oder Mitarbeiter:innen nach Art. 13 und 14 DSGVO zu informieren.
2. BSTAGE ist nicht für besondere Kategorien personenbezogener Daten nach Art. 9 und 10 DSGVO ausgelegt. Kund:innen geben solche Daten nicht ein.
3. Kund:innen informieren BSTAGE unverzüglich, wenn sie Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellen.

§ 13 Haftung und Schlussbestimmungen

1. Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Im Verhältnis zwischen den Parteien gilt die Haftungsregelung der AGB (§ 12).
2. Änderungen dieses Vertrags richten sich nach § 15 der AGB.
3. Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 – Verarbeitung im Überblick

Art der Verarbeitung: Speichern, Ordnen und Anzeigen für berechtigte Nutzer:innen, Übermitteln an von Kund:innen eingeladene Partner:innen, Versand von E-Mails, Export als PDF und CSV, Prüfung von USt-IdNr. bei der Europäischen Kommission (VIES) für Rechnungen mit Reverse Charge (§ 6 Abs. 5), Löschen.

Anlage 2 – Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutritt: BSTAGE betreibt keine eigenen Server. Die Rechenzentren der Unterauftragsverarbeiter sind nach ISO/IEC 27001 zertifiziert und nach SOC 2 geprüft.
• Zugang: Passwörter werden nur als Hash gespeichert und müssen bei der Registrierung mindestens zehn Zeichen lang sein. Die E-Mail-Adresse wird bestätigt, Anmeldeversuche werden begrenzt, Sitzungen laufen nach 30 Tagen ab und lassen sich beenden. Zwei-Faktor-Authentifizierung mit Wiederherstellungscodes steht allen Konten zur Verfügung.
• Zugriff: Der Server prüft bei jeder Anfrage die Berechtigung. Dateien liegen in privatem Speicher und werden nur nach Anmeldung und Berechtigungsprüfung ausgeliefert. Zugriffstoken externer Dienste werden verschlüsselt gespeichert. Gastzugänge sind passwortgeschützt, befristet, widerrufbar und zeigen keine Finanzdaten.
• Trennung: Die Daten jedes Arbeitsbereichs sind logisch voneinander getrennt. Entwicklung und Tests laufen gegen eigene Datenbestände, nicht gegen Produktivdaten.

Integrität

• Weitergabe: Alle Verbindungen sind per TLS verschlüsselt. Zugangsdaten zur Infrastruktur liegen ausschließlich als geschützte Variablen im automatisierten Deployment.
• Eingabe: Änderungen an geteilten Events werden in einem Änderungslog festgehalten. Anwendungsprotokolle zeichnen Zugriffe und Fehler auf.

Verfügbarkeit und Belastbarkeit

• Betrieb auf verteilter Infrastruktur mit Schutz vor Überlastungsangriffen.
• Die Datenbank lässt sich auf frühere Zeitpunkte wiederherstellen.
• Datenbankänderungen werden vor jeder Veröffentlichung mit einer vollständigen Migrationsfolge getestet.

Überprüfung und Bewertung

• Jede Änderung durchläuft einen Pull Request mit automatischer Typprüfung, Tests, Sicherheitsprüfung der Abhängigkeiten und Build, bevor sie veröffentlicht wird.
• Diese Maßnahmen werden regelmäßig und bei wesentlichen Änderungen der Plattform überprüft.

Auftragskontrolle

• Unterauftragsverarbeiter werden nur mit einem Vertrag nach Art. 28 DSGVO eingesetzt.
• Weisungen der Kund:innen werden dokumentiert.

Anlage 3 – Unter­auftrags­verarbeiter