Auftragsverarbeitungsvertrag

Dieser Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO gilt zwischen dem Veranstalter, der ein Usetix-Konto nutzt („Verantwortlicher“), und der Screen Island GmbH als Betreiberin von Usetix („Usetix“). Er ist Bestandteil der Allgemeinen Geschäftsbedingungen und wird mit deren Annahme bei der Registrierung oder bei der Einrichtung eines Veranstalterkontos geschlossen. Einer gesonderten Unterschrift bedarf es nicht; die elektronische Form genügt (Art. 28 Abs. 9 DSGVO).

Wie Usetix Daten in eigener Verantwortung verarbeitet, etwa die Konten und Abrechnungsdaten der Veranstalter, beschreibt die Datenschutzerklärung.

1. Gegenstand und Dauer

Usetix stellt dem Verantwortlichen eine Ticketing-Plattform bereit: Shop, Verkauf und Versand von Tickets, Einlass, Gästelisten, Gutscheine, Lounge-Buchungen, E-Mails an Käufer einschließlich Newslettern, Auswertungen, Integrationen, KI-Funktionen und Support. Dabei verarbeitet Usetix personenbezogene Daten im Auftrag des Verantwortlichen.

Der Vertrag gilt, solange der Verantwortliche ein Usetix-Konto nutzt, und endet mit dessen Löschung (Ziffer 10).

2. Art und Zweck der Verarbeitung, Datenarten und Betroffene

Art der Verarbeitung: Erheben, Speichern, Ordnen, Anzeigen, Übermitteln (etwa der Versand von Tickets per E-Mail), Auswerten und Löschen.

Zweck: die Erbringung der vereinbarten Leistungen gegenüber dem Verantwortlichen.

Betroffene: Ticketkäufer und Gäste, Personen auf Gästelisten und mit Lounge-Buchungen, Käufer und Inhaber von Gutscheinen, Promoter und Bewerber, Personen, die sich über Formulare des Verantwortlichen anmelden, sowie Teammitglieder des Verantwortlichen.

Datenarten:

• Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer, soweit erhoben
• Rechnungsdaten: Firma, Anschrift, Umsatzsteuer-Identifikationsnummer
• Bestell-, Ticket- und Zahlungsstatusdaten; Karten- und Kontodaten verarbeiten ausschließlich die Zahlungsanbieter
• Einlass- und Check-in-Daten
• Antworten auf Fragen, die der Verantwortliche stellt
• Gutschein- und Buchungsdaten
• Kommunikationsdaten: E-Mails an Käufer und ihr Zustellstatus
• Einwilligungen, etwa in Marketing-E-Mails
• Newsletter: Empfänger, Zustellstatus, Abmeldungen, Öffnungen und Klicks
• Shop-Statistiken, nur mit Einwilligung der Besucher
• Namen, E-Mail-Adressen und Rollen von Teammitgliedern sowie das Aktivitätsprotokoll des Kontos
• Promoter-Programme: Bewerbungen mit Antworten und Bild, Gästelisten der Promoter mit Kanal und Einlass, tägliche Serien, Aufrufzahlen der Gästelisten-Links, Ranglisten und Nachrichten an die Crew

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen. Erhebt der Verantwortliche solche Daten über eigene Fragen, tut er dies in eigener Verantwortung.

Die Sperrliste für dauerhaft unzustellbare Adressen und Spam-Beschwerden aus Newslettern führt Usetix kontoübergreifend in eigener Verantwortung (Datenschutzerklärung, Abschnitt 3.8): Eine dort gesperrte Adresse erhält von keinem Veranstalter mehr Newsletter.

Den Usetix-Zugang der Promoter mit Profilbild, Social-Media-Angaben und den Geräten für Push-Benachrichtigungen führt Usetix in eigener Verantwortung, weil Promoter ihn bei mehreren Veranstaltern nutzen (Datenschutzerklärung, Abschnitt 3.9).

3. Weisungen

Usetix verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich der Übermittlung in Drittländer, es sei denn, Usetix ist gesetzlich zur Verarbeitung verpflichtet. In diesem Fall teilt Usetix dem Verantwortlichen diese Pflicht vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet.

Weisungen sind dieser Vertrag, die AGB sowie die Einstellungen und Aktionen des Verantwortlichen in Usetix, ob im Dashboard, über die API, über Integrationen oder über den KI-Assistenten. Einzelne Weisungen erteilt der Verantwortliche in Textform, etwa per E-Mail an support@usetix.io. Hält Usetix eine Weisung für rechtswidrig, informiert Usetix den Verantwortlichen unverzüglich.

4. Vertraulichkeit

Usetix setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Der Usetix-Support öffnet ein Veranstalterkonto nur, um zu helfen, und mit eingeschränkten Rechten: Abrechnung, Auszahlungen, Erstattungen, das Team und Integrationen bleiben beim Verantwortlichen. Jeder Besuch wird protokolliert und dem Verantwortlichen unter Einstellungen → Usetix-Support angezeigt; Änderungen des Supports erscheinen im Aktivitätsprotokoll.

5. Technische und organisatorische Maßnahmen

Usetix trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen, insbesondere:

• Hosting in Rechenzentren in Deutschland (Hetzner, Falkenstein); Datenbanken, Dateien und Sicherungen liegen dort
• Verschlüsselte Übertragung (TLS); Zugangsdaten zu Zahlungsanbietern und Integrationen werden verschlüsselt, Zugriffs-Tokens nur als Hashwert gespeichert
• Passwortlose Anmeldung mit zeitlich begrenzten Anmeldelinks oder Passkeys; Anmeldungen enden nach 90 Tagen ohne Nutzung
• Logische Trennung der Daten jedes Veranstalterkontos; Rollen und Rechte für Inhaber, Manager, Co-Organisatoren, Scanner und Promoter; API-Tokens und Integrationen mit beschränkten Rechten
• Aktivitätsprotokoll der Änderungen im Konto und protokollierte Support-Zugriffe
• Stündliche Datensicherungen mit rotierender Aufbewahrung von sieben Tagen und eine Sicherung vor jeder Aktualisierung
• Regelmäßige Sicherheitsupdates und automatisierte Sicherheitsprüfungen des Codes und seiner Abhängigkeiten
• Feste Lösch- und Aufbewahrungsfristen (Ziffer 10 und Datenschutzerklärung)

Usetix darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Server, Datenbank, Datei- und Sicherungsspeicher sowie E-Mail-Versand, Rechenzentrum in Falkenstein, Deutschland
• Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA: Netzwerk- und Sicherheitsdienste (Schutz vor Angriffen, TLS, eigene Domains der Shops); alle Aufrufe von Shop und Dashboard laufen über Cloudflare
• xAI, USA: Sprachmodell für die KI-Funktionen im Dashboard (Assistent, Events aus Flyern, Saalplan-Import, Werbevorschläge, Bildbeschreibungen); übermittelt werden nur die Inhalte, die Nutzer des Verantwortlichen dabei angeben, und die Daten, die für die jeweilige Aufgabe abgerufen werden, und nur, wenn diese Funktionen genutzt werden
• Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg: Versand von Newslettern (Amazon Simple Email Service), Rechenzentrum in Stockholm, Schweden; übermittelt werden Adresse und Name des Empfängers sowie der Inhalt der E-Mail, und nur, wenn der Verantwortliche E-Mail-Marketing nutzt. Angekündigt am 5. Oktober 2026, Einsatz ab dem 4. November 2026

Für Übermittlungen in die USA bestehen geeignete Garantien nach Kapitel V DSGVO, insbesondere das EU-U.S. Data Privacy Framework, soweit der Anbieter zertifiziert ist, oder Standardvertragsklauseln der EU-Kommission.

Usetix verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die diesem Vertrag entsprechen. Über neue oder ersetzte Unterauftragsverarbeiter informiert Usetix mindestens 30 Tage vorher auf dieser Seite und per E-Mail an die Inhaber der Konten. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Verantwortliche sein Konto löschen.

Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind Dienste, die der Verantwortliche selbst wählt und die Daten in eigener Verantwortung verarbeiten: die Zahlungsanbieter Stripe und PayPal, Werbe- und Analysedienste, die der Verantwortliche im Shop aktiviert, sowie KI-Apps und Automationen, die er über MCP, die API oder Integrationen wie Zapier, n8n oder Make verbindet. Push-Benachrichtigungen werden verschlüsselt über die Push-Dienste der Browser- und Gerätehersteller zugestellt, die keine lesbaren Inhalte erhalten.

7. Unterstützung des Verantwortlichen

Usetix unterstützt den Verantwortlichen bei Anfragen betroffener Personen, insbesondere durch Exporte und Bearbeitungsfunktionen im Dashboard und, wo diese nicht ausreichen, auf Anfrage an support@usetix.io. Wenden sich Betroffene direkt an Usetix, leitet Usetix die Anfrage an den Verantwortlichen weiter. Usetix unterstützt den Verantwortlichen außerdem bei seinen Pflichten nach Art. 32 bis 36 DSGVO, soweit es die Informationen hat, die er dafür braucht.

8. Verletzungen des Schutzes personenbezogener Daten

Usetix meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, per E-Mail an die Inhaber des Kontos. Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht Usetix nach.

9. Nachweise und Kontrollen

Usetix stellt dem Verantwortlichen die Informationen zur Verfügung, die er zum Nachweis der Einhaltung dieses Vertrags braucht. Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Kontrollen durchführen: nach Anmeldung mit angemessener Frist, während der üblichen Geschäftszeiten, ohne den Betrieb zu stören und unter Wahrung der Vertraulichkeit der Daten anderer Kunden, in der Regel höchstens einmal im Jahr, es sei denn, es gibt einen konkreten Anlass.

10. Löschung und Rückgabe

Der Verantwortliche kann seine Daten vor dem Ende des Vertrags über die Exporte in Usetix sichern. Plant ein Inhaber die Löschung des Kontos, endet der Zugriff sofort. Nach einer Wiederherstellungsfrist von 30 Tagen löscht Usetix das Konto und seine Daten aus den aktiven Systemen; Sicherungskopien laufen innerhalb weiterer sieben Tage aus. Ausgenommen sind Daten, zu deren Aufbewahrung Usetix gesetzlich verpflichtet ist.

Während der Laufzeit gelten die Löschfristen der Datenschutzerklärung, etwa zwölf Monate für das Aktivitätsprotokoll.

11. Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO, im Übrigen gelten die Haftungsregeln der AGB. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor. Usetix kann diesen Vertrag anpassen, soweit dies erforderlich ist, etwa bei neuen Unterauftragsverarbeitern oder einer geänderten Rechtslage, und informiert die Inhaber der Konten darüber per E-Mail. Es gilt deutsches Recht. Maßgeblich ist die deutsche Fassung; Übersetzungen dienen der Information.

Screen Island GmbH
Kontaktdaten im Impressum · support@usetix.io