Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag ("AVV") legt fest, wie TicketPa personenbezogene Daten für die Unternehmen verarbeitet, die TicketPa nutzen, wie es Artikel 28 der Datenschutz-Grundverordnung (DSGVO) verlangt. Er ist Teil unserer Nutzungsbedingungen, und Sie nehmen ihn an, wenn Sie die Nutzungsbedingungen annehmen.

Zwischen wem dieser Vertrag besteht

• Sie, das Unternehmen, das TicketPa nutzt, als Verantwortlicher.
• TicketPa als Auftragsverarbeiter. Betreiber von TicketPa: der Inhaber der Bescheinigung über selbstständige Tätigkeit Nr. 777726, Vilnius, Litauen.

Er gilt für die personenbezogenen Daten Ihrer Gäste und anderer Personen, die wir bei der Bereitstellung von TicketPa für Sie verarbeiten ("Gästedaten"). Anhang 1 beschreibt diese Daten und was wir mit ihnen tun. Die personenbezogenen Daten von Ihnen und Ihren Teammitgliedern fallen stattdessen unter unsere Datenschutzerklärung, weil wir für diese Daten der Verantwortliche sind.

Wenn dieser AVV und die Nutzungsbedingungen bei personenbezogenen Daten voneinander abweichen, gilt dieser AVV.

Was wir mit Gästedaten tun

Wir verarbeiten Gästedaten nur, um Ihnen TicketPa bereitzustellen, und nur auf Ihre dokumentierte Weisung. Ihre Weisungen sind die Nutzungsbedingungen und dieser AVV sowie die Art und Weise, wie Sie TicketPa einrichten und nutzen: Ihre Einstellungen, was Sie und Ihr Team in der App tun und worum Sie uns schriftlich bitten.

Wenn wir der Ansicht sind, dass eine Weisung gegen Datenschutzrecht verstößt, teilen wir Ihnen das mit. Wenn uns das Recht der EU oder Litauens verpflichtet, Gästedaten auf andere Weise zu verarbeiten, teilen wir Ihnen das vorher mit, es sei denn, dieses Recht verbietet das.

Vertraulichkeit

Alle Personen auf unserer Seite, die auf Gästedaten zugreifen können, sind zur Vertraulichkeit verpflichtet und dürfen die Daten nur so nutzen, wie dieser AVV es erlaubt.

Sicherheit

Wir schützen Gästedaten mit den technischen und organisatorischen Maßnahmen in Anhang 2 und passen diese an die Risiken an, wenn sich TicketPa verändert. Wir können die Maßnahmen aktualisieren, solange sie dadurch nicht weniger Schutz bieten.

Unterauftragsverarbeiter

Sie gestatten uns, Unterauftragsverarbeiter einzusetzen, also die in Anhang 3 aufgeführten Dienstleister, die uns bei der Bereitstellung von TicketPa helfen. Wir erlegen jedem von ihnen vertraglich Datenschutzpflichten auf, die mindestens so streng sind wie unsere in diesem AVV, und wir bleiben Ihnen gegenüber für ihre Arbeit verantwortlich.

Mindestens 30 Tage, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informieren wir die Inhaber Ihres Unternehmens per E-Mail und aktualisieren Anhang 3. Wenn Sie nachvollziehbare datenschutzrechtliche Gründe für einen Einspruch haben, teilen Sie uns diese innerhalb dieser Frist mit. Wenn wir Ihren Einspruch nicht ausräumen können, können Sie Ihr Konto vor der Änderung schließen, und wir erstatten Ihnen alle im Voraus gezahlten Gebühren für die Zeit nach der Schließung.

Unterstützung für Sie

Wir unterstützen Sie, soweit uns das vernünftigerweise möglich ist und unter Berücksichtigung dessen, was TicketPa leistet:

• bei Anfragen Ihrer Gäste, die ihre Rechte nach der DSGVO ausüben möchten. Wenn ein Gast uns schreibt, leiten wir die Anfrage an Sie weiter und beantworten sie nicht selbst, es sei denn, Sie bitten uns darum. Viele Anfragen können Sie in TicketPa selbst erledigen; für die übrigen, etwa das Löschen der Daten eines Gastes, schreiben Sie uns, und wir erledigen das für Sie.
• bei Ihren anderen Pflichten nach den Artikeln 32 bis 36 DSGVO, etwa Sicherheit, Datenschutz-Folgenabschätzungen und die Konsultation einer Datenschutz-Aufsichtsbehörde.

Verletzungen des Schutzes personenbezogener Daten

Wenn uns eine Verletzung der Sicherheit bekannt wird, die Gästedaten betrifft, informieren wir Sie unverzüglich, spätestens innerhalb von 48 Stunden. Wir teilen Ihnen mit, was wir darüber wissen: was passiert ist, welche Arten von Daten und ungefähr wie viele Personen betroffen sind, die wahrscheinlichen Folgen und was wir dagegen unternehmen, und wir halten Sie auf dem Laufenden, sobald wir mehr erfahren. Wir ergreifen angemessene Maßnahmen, um die Verletzung einzudämmen und ihre Folgen zu verringern.

Wenn Sie TicketPa nicht mehr nutzen

Bevor Ihr Konto geschlossen wird, können Sie Ihre Buchungen herunterladen, zum Beispiel die Buchungs-CSV im Bereich Berichte (Reports). Innerhalb von 90 Tagen, nachdem Ihr Unternehmen auf TicketPa geschlossen wurde, löschen wir die Gästedaten, es sei denn, das Recht der EU oder Litauens verpflichtet uns, einen Teil davon aufzubewahren. Aus unseren Sicherungskopien verschwinden sie danach innerhalb von 30 Tagen automatisch. Auf Anfrage bestätigen wir die Löschung schriftlich.

Informationen und Audits

Wir stellen Ihnen die Informationen zur Verfügung, die Sie benötigen, um nachzuweisen, dass wir diesen AVV einhalten. Sie oder ein von Ihnen gewählter unabhängiger Prüfer, der zur Vertraulichkeit verpflichtet ist, dürfen einmal im Jahr prüfen, ob wir die Vorgaben einhalten (Audit), oder häufiger nach einer Verletzung des Schutzes personenbezogener Daten oder wenn eine Datenschutz-Aufsichtsbehörde dies verlangt. Kündigen Sie ein Audit mindestens 30 Tage vorher an. Audits erfolgen auf Ihre Kosten, während der Geschäftszeiten und ohne Zugriff auf Daten anderer Unternehmen.

Übermittlungen außerhalb des Europäischen Wirtschaftsraums

Gästedaten übermitteln wir nur dann in Länder außerhalb des Europäischen Wirtschaftsraums, wenn die Garantien vorliegen, die Kapitel V der DSGVO verlangt, etwa ein Angemessenheitsbeschluss der Europäischen Kommission oder Standardvertragsklauseln. Hostinger speichert Gästedaten in der Europäischen Union, und dort liegen auch unsere Sicherungskopien bei Cloudflare. Anfragen an TicketPa laufen jedoch durch das weltweite Netzwerk von Cloudflare, meist über das Rechenzentrum, das der Person, die TicketPa nutzt, am nächsten liegt, und das kann außerhalb des Europäischen Wirtschaftsraums sein. Cloudflare, ein US-Unternehmen, ist nach dem EU-US Data Privacy Framework zertifiziert, und sein Vertrag mit uns enthält die Standardvertragsklauseln.

Ihre Verantwortung

Sie sind verantwortlich für:

• das Vorliegen einer Rechtsgrundlage für die Gästedaten, die Sie erheben, und für die E-Mails, die Sie senden möchten, etwa Bewertungsanfragen;
• die Information Ihrer Gäste darüber, wie Sie ihre Daten nutzen, in Ihrer eigenen Datenschutzerklärung;
• die Erteilung ausschließlich rechtmäßiger Weisungen an uns;
• den Verzicht darauf, Gäste nach besonderen Kategorien personenbezogener Daten zu fragen, etwa nach Gesundheitsdaten, es sei denn, Sie benötigen sie wirklich und haben eine Rechtsgrundlage dafür;
• die Entscheidung, wer in Ihrem Team Gästedaten sehen kann, über die jeweiligen Rollen.

Haftung und Laufzeit

Die Haftung jeder Seite nach diesem AVV richtet sich nach den Nutzungsbedingungen, soweit das Datenschutzrecht dies zulässt. Dieser AVV gilt, solange wir Gästedaten für Sie verarbeiten, auch nach der Schließung Ihres Kontos, bis die Gästedaten gelöscht sind.

Anhang 1: Einzelheiten der Verarbeitung

Anhang 2: Sicherheitsmaßnahmen

• Verschlüsselung bei der Übertragung: Jede Seite und jede Anfrage wird über HTTPS ausgeliefert.
• Schutz vor Angriffen: Der gesamte Datenverkehr zu TicketPa läuft über Cloudflare, das Angriffe wie massenhafte Anfragen abfängt, bevor sie die Server erreichen. Auch die Verbindung von Cloudflare zu den Servern ist verschlüsselt.
• Konten: Passwörter werden nur als sichere Hashes gespeichert, die Zwei-Faktor-Authentifizierung steht für jedes Konto zur Verfügung, und die Zahl der Anmeldeversuche ist begrenzt.
• Verschlüsselung gespeicherter Geheimnisse: Zwei-Faktor-Geheimnisse, Wiederherstellungscodes und Geheimnisse von Zahlungssitzungen werden verschlüsselt in der Datenbank gespeichert.
• Trennung zwischen Unternehmen: Jeder Datensatz gehört zu einem Unternehmen, und TicketPa prüft bei jeder Anfrage, ob die angemeldete Person Mitglied dieses Unternehmens ist. Automatisierte Tests prüfen, dass ein Unternehmen nicht auf die Daten eines anderen Unternehmens zugreifen kann.
• Rollen innerhalb Ihres Unternehmens: Inhaber, Manager und Hosts (Guides) sehen Unterschiedliches. Hosts sehen weder Berichte noch Zahlungseinstellungen.
• Unser eigener Zugriff: Nur die Personen, die TicketPa betreiben, können auf die Server und das Admin-Panel zugreifen. Für die Anmeldung an den Servern ist ein SSH-Schlüssel nötig, da Passwörter abgeschaltet sind, und Adressen mit wiederholten Fehlversuchen werden automatisch gesperrt.
• Hosting: Die Server stehen in einem Rechenzentrum in der Europäischen Union, hinter einer Firewall, die nur die Verbindungen zulässt, die TicketPa benötigt. Sicherheitsupdates für das Betriebssystem werden automatisch installiert.
• Sicherungskopien: Die Datenbank wird alle 6 Stunden in einem privaten, verschlüsselten Speicher in der Europäischen Union gesichert, getrennt von den Servern. Jede Sicherungskopie wird nach 30 Tagen automatisch gelöscht. Hochgeladene Fotos und Logos werden täglich am selben Ort gesichert und 7 Tage lang aufbewahrt.
• Zahlungen: Kartendaten werden ausschließlich von Stripe verarbeitet, das nach PCI DSS zertifiziert ist. TicketPa speichert Zahlungs-IDs und Beträge, nie Kartennummern.
• Datenminimierung: Hochgeladene Fotos und Logos werden neu kodiert, wodurch versteckte Daten wie der GPS-Standort entfernt werden; Stripe-Ereignisdatensätze und fehlgeschlagene Hintergrundaufgaben, die Gästedaten enthalten können, werden nach 30 Tagen gelöscht; abgelaufene Einladungen werden gelöscht.

Anhang 3: Unterauftragsverarbeiter

Dienste, die Sie selbst verbinden. Wenn Sie Online-Zahlungen aktivieren, gehen die Zahlungsdaten Ihrer Gäste an Ihr eigenes Stripe-Konto, nach Ihrem Vertrag mit Stripe. Stripe ist dafür nicht unser Unterauftragsverarbeiter.

Fragen zu diesem AVV: hello@ticketpa.com.