Bandbuch

Vertrag zur Auftragsverarbeitung

Version 1 · Stand

Vertrag zur Auftragsverarbeitung nach Art. 28 der Datenschutz-Grundverordnung (DSGVO)

§ 1 Parteien

  1. Auftragsverarbeiterin ist die Winhart GmbH, Wilhelm-Fink-Str. 2a, 94526 Metten, vertreten durch die Geschäftsführung (Stefan Winhart, Martina Winhart), eingetragen beim Amtsgericht Deggendorf, HRB 3527, E-Mail info@winhart.gmbh („Auftragsverarbeiterin“).
  2. Verantwortliche ist die Musikgruppe, für die Bandbuch genutzt wird („Verantwortliche“). Die Person, die die Gruppe in Bandbuch anlegt oder als erste Verwaltungsperson eingeladen wird („Gründungsperson“), schließt diesen Vertrag im Namen der Gruppe ab und versichert, dazu berechtigt zu sein.
  3. Ist die Gruppe eine lose Gruppe ohne eigene Rechtspersönlichkeit (als Rechtsform „lose Gruppe“ angegeben), schließt die Gründungsperson diesen Vertrag im eigenen Namen ab und ist selbst Verantwortliche.
  4. Name, Rechtsform und Anschrift der Verantwortlichen sind die Angaben, die bei der Gruppe in Bandbuch hinterlegt sind (Einstellungen › Gruppe). Die Auftragsverarbeiterin speichert, wer diesen Vertrag in welcher Version und wann angenommen hat.

§ 2 Gegenstand und Dauer

  1. Gegenstand ist die Verarbeitung personenbezogener Daten durch die Auftragsverarbeiterin bei der Bereitstellung von Bandbuch nach den Allgemeinen Geschäftsbedingungen (Hauptvertrag).
  2. Dieser Vertrag läuft so lange wie der Hauptvertrag und darüber hinaus, solange die Auftragsverarbeiterin Daten der Verantwortlichen verarbeitet.
  3. In Fragen des Datenschutzes geht dieser Vertrag dem Hauptvertrag vor.

§ 3 Art, Zweck und Umfang der Verarbeitung

  1. Art der Verarbeitung: Speichern, Ordnen, Anzeigen, Verändern, Übermitteln (Benachrichtigungen per E-Mail und Push, Feed für die Website der Gruppe), Sichern, Anonymisieren und Löschen von Daten.
  2. Zweck: Verwaltung der Musikgruppe mit Bandbuch, insbesondere Termine, Umfragen, Besetzung, Ersatzsuche, Benachrichtigungen, Kunden, Rechnungen, Gagen, Repertoire und GEMA-Unterlagen.
  3. Arten von Daten:
    • Stammdaten: Name, E-Mail-Adresse, Telefonnummer, Anschrift, Instrumente, Rollen und Mitgliedschaft in der Gruppe;
    • Planungsdaten: Termine, Antworten auf Umfragen, Abwesenheiten, Besetzung, Ersatzanfragen und deren Antworten;
    • Finanzdaten: Gagen, Honorare, Angebote, Rechnungen und Stornos, Angaben der Rechnungsabsender (zum Beispiel Bankverbindung und Steuernummer);
    • Kunden- und Veranstalterdaten: Name, Ansprechperson, Anschrift und Kontaktdaten;
    • Anfragen, die über das Website-Formular der Gruppe eingehen (Name, Kontaktdaten, Nachricht);
    • Repertoire, Setlists, GEMA-Nachweise und weitere Dokumente;
    • Nutzungs- und Protokolldaten: Änderungsprotokoll der Gruppendaten, Versandprotokoll der Benachrichtigungen.
  4. Kategorien betroffener Personen: Mitglieder und Verwaltungspersonen der Gruppe, Aushilfen (auch ohne eigenes Konto), Kundinnen und Kunden sowie Veranstalter und deren Ansprechpersonen, Personen, die über die Website der Gruppe anfragen, und Personen, die als Rechnungsabsender auftreten.
  5. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Die Verantwortliche stellt solche Daten nicht ein, zum Beispiel keine Gesundheitsangaben als Grund einer Abwesenheit.
  6. Nicht Gegenstand dieses Vertrags sind Konto und Anmeldung (E-Mail-Adresse, Passwort), Geräte-Kennungen für Push-Benachrichtigungen und der technische Betrieb der Plattform. Diese Daten verarbeitet die Winhart GmbH als eigene Verantwortliche nach ihrer Datenschutzerklärung.

§ 4 Weisungen

  1. Die Auftragsverarbeiterin verarbeitet die Daten nur auf dokumentierte Weisung der Verantwortlichen, auch bei Übermittlungen in ein Drittland, es sei denn, sie ist durch das Recht der Union oder eines Mitgliedstaats dazu verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt sie der Verantwortlichen diese rechtlichen Anforderungen vorher mit, sofern das Recht das nicht verbietet.
  2. Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und der Nutzung der Funktionen von Bandbuch durch die Verantwortliche und die von ihr berechtigten Personen. Weitere Weisungen erteilt die Verantwortliche in Textform.
  3. Ist die Auftragsverarbeiterin der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist sie die Verantwortliche unverzüglich darauf hin. Sie darf die Ausführung aussetzen, bis die Verantwortliche die Weisung bestätigt oder ändert.

§ 5 Pflichten der Auftragsverarbeiterin

  1. Die Auftragsverarbeiterin verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
  2. Sie trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Sie darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.
  3. Sie unterstützt die Verantwortliche bei der Erfüllung der Rechte betroffener Personen (Kapitel III DSGVO). Bandbuch bietet dafür Funktionen, insbesondere Auskunft über die eigenen Daten, Berichtigung im Profil, Löschen des Kontos und Anonymisieren von Personen ohne Konto. Wendet sich eine betroffene Person mit einem Anliegen zu Gruppendaten an die Auftragsverarbeiterin, leitet sie es unverzüglich an die Verantwortliche weiter.
  4. Sie unterstützt die Verantwortliche bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit ihr die nötigen Informationen vorliegen.
  5. Sie meldet der Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihr bekannt geworden ist, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihr vorliegen.
  6. Die Daten werden in der Europäischen Union verarbeitet. Eine Übermittlung in ein Drittland findet nur nach Anlage 2 und nur unter den Voraussetzungen der Art. 44 ff. DSGVO statt.
  7. Eine Pflicht zur Benennung eines Datenschutzbeauftragten besteht bei der Auftragsverarbeiterin nicht. Ansprechpartner für den Datenschutz ist der Geschäftsführer Stefan Winhart, Martina Winhart, erreichbar unter info@winhart.gmbh.

§ 6 Unterauftragsverarbeiter

  1. Die Verantwortliche erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage 2 und gelten als genehmigt.
  2. Will die Auftragsverarbeiterin einen Unterauftragsverarbeiter hinzuziehen oder ersetzen, informiert sie die Verantwortliche mindestens vier Wochen vorher in Textform. Die Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann die Verantwortliche den Hauptvertrag und diesen Vertrag fristlos kündigen.
  3. Die Auftragsverarbeiterin legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO).
  4. Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikation oder Postdienste, bei denen kein Zugriff auf die Daten der Verantwortlichen besteht.

§ 7 Nachweise und Kontrollen

  1. Die Auftragsverarbeiterin stellt der Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind (Art. 28 Abs. 3 lit. h DSGVO).
  2. Sie ermöglicht Überprüfungen einschließlich Inspektionen durch die Verantwortliche oder einen von ihr beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist. Prüfungen sind mit angemessener Frist anzukündigen, finden während der Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Die Rechte der Aufsichtsbehörden bleiben unberührt.

§ 8 Pflichten der Verantwortlichen

  1. Die Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Sie informiert die betroffenen Personen nach Art. 13 und 14 DSGVO.
  2. Sie vergibt Rollen und Berechtigungen in Bandbuch so, dass nur befugte Personen Daten sehen und ändern.
  3. Sie informiert die Auftragsverarbeiterin unverzüglich, wenn sie Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 9 Löschung und Rückgabe

  1. Nach dem Ende des Hauptvertrags kann die Verantwortliche ihre Daten nach § 10 der AGB herunterladen oder einen Export anfordern.
  2. Danach löscht die Auftragsverarbeiterin die Daten der Verantwortlichen vorbehaltlich Abs. 3, spätestens 60 Tage nach Vertragsende, soweit nicht das Recht der Union oder eines Mitgliedstaats eine Speicherung vorschreibt (Art. 28 Abs. 3 lit. g DSGVO). Auf Anfrage bestätigt sie die Löschung in Textform.
  3. Ausgenommen sind festgeschriebene Belege (Rechnungen, Stornos, Honorarrechnungen) einschließlich ihrer PDF-Dateien, die nach dem Festschreiben nicht mehr verändert oder gelöscht werden können. Die Verantwortliche erhält vor der Löschung der übrigen Daten auf Anfrage einen Export dieser Belege. Die Auftragsverarbeiterin bewahrt sie bis zum Ende der gesetzlichen Aufbewahrungsfrist (10 Jahre) gesperrt auf, verarbeitet sie in dieser Zeit nicht weiter, außer auf Weisung der Verantwortlichen oder wenn eine gesetzliche Pflicht es verlangt, und löscht sie danach.
  4. Verschlüsselte Sicherungen werden nicht einzeln bereinigt. Sie laufen nach dem Sicherungsplan in Anlage 1 ab, werden bis dahin nur zur Wiederherstellung nach einem Ausfall verwendet und sind ohne den Schlüssel der Auftragsverarbeiterin nicht lesbar.

§ 10 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.

§ 11 Schlussbestimmungen

  1. Änderungen dieses Vertrags teilt die Auftragsverarbeiterin wie Änderungen der AGB mit (§ 12 AGB); sie gelten erst nach Annahme durch die Verantwortliche.
  2. Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen

Maßnahmen der Auftragsverarbeiterin nach Art. 32 DSGVO, Stand dieses Vertrags.

Vertraulichkeit

Integrität

Verfügbarkeit und Belastbarkeit

Überprüfung

Anlage 2: Unterauftragsverarbeiter

Bei Vertragsschluss genehmigte Unterauftragsverarbeiter:

Nur wenn die Fehlerberichte eingeschaltet sind (derzeit nicht der Fall): Functional Software, Inc. (Sentry), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA, Datenregion Europäische Union, abgesichert über Standardvertragsklauseln. Leistung: Fehlerberichte ohne Namen, Adressen und Links. Vor dem Einschalten informiert die Auftragsverarbeiterin die Verantwortliche nach § 6 Abs. 2.