Vertrag zur Auftragsverarbeitung

Stand: November 2026

zwischen dem Kunden (Verantwortlicher, nachfolgend „Auftraggeber“) und ELEVENANDEIGHT, Inhaber Lukas Hüller, [Straße und Hausnummer], [PLZ Ort] (Auftragsverarbeiter, nachfolgend „Auftragnehmer“). Dieser Vertrag ist Bestandteil jedes Vertrags über ein kostenpflichtiges Paket von everyvent (Hauptvertrag) und gilt entsprechend für Testversionen.

§ 1 Gegenstand und Dauer

Der Auftragnehmer stellt dem Auftraggeber everyvent als Software über das Internet bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Auftraggebers. Die Dauer entspricht der Laufzeit des Hauptvertrags einschließlich der Frist für Export und Löschung nach § 8.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck: Bereitstellung, Betrieb, Datensicherung und Support der Software für die Planung von Veranstaltungen, Personal und Material des Auftraggebers.

Arten der Verarbeitung: Speichern, Organisieren, Abfragen, Anzeigen, Übermitteln per E-Mail und Push-Nachricht im Auftrag der Nutzer, Sichern, Löschen.

Kategorien betroffener Personen:

• Nutzer des Auftraggebers (Beschäftigte, Mitarbeiter, Administratoren)
• Freelancer und sonstiges Personal des Auftraggebers
• Personaldienstleister des Auftraggebers und deren Ansprechpartner sowie von ihnen eingesetzte Personen
• Kunden des Auftraggebers und deren Ansprechpartner

Kategorien personenbezogener Daten:

• Nutzer: Name, Spitzname, E-Mail-Adresse, Rolle, Benachrichtigungseinstellungen, Zeitpunkt der letzten Anmeldung, aufgerufene Seiten, Geräte- und Browserangaben für Push-Benachrichtigungen
• Freelancer und Personal: Name, E-Mail-Adresse, Telefonnummer, Tagessatz, Positionen, Notizen, Einsätze, Anfragen und Antworten mit Kommentaren, Buchungsnummern
• Personaldienstleister: Firma, Ansprechpartner mit Name, E-Mail-Adresse und Telefonnummer, angebotene Positionen mit Tagessätzen, Namen der eingesetzten Personen
• Kunden und Ansprechpartner: Firma, Name, E-Mail-Adresse, Telefonnummer, Anschrift, Umsatzsteuer-Identifikationsnummer, Notizen
• Online-Annahme von Angeboten: Name, Firma und E-Mail-Adresse der annehmenden Person, Zeitpunkt, IP-Adresse und Browserkennung als Nachweis, unterschriebene Kopie des Angebots
• Dokumente: erzeugte PDFs (z. B. Angebote, Personallisten, Buchungsbestätigungen) und hochgeladene Dateien
• Unternehmensdaten des Auftraggebers mit Bankverbindung und Zugangsdaten zu dessen Mailserver (verschlüsselt)

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen; der Auftraggeber erfasst solche Daten nicht.

§ 3 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind der Hauptvertrag, dieser Vertrag und die Nutzung der Software durch den Auftraggeber und seine Nutzer. Weitere Weisungen erteilt der Auftraggeber in Textform an support@11and8.com.
2. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.
3. Eine Verarbeitung ohne Weisung erfolgt nur, wenn der Auftragnehmer gesetzlich dazu verpflichtet ist; in diesem Fall unterrichtet er den Auftraggeber vorher, sofern das Gesetz dies nicht verbietet.

§ 4 Pflichten des Auftragnehmers

1. Der Auftragnehmer verpflichtet alle Personen mit Zugriff auf die Daten zur Vertraulichkeit.
2. Er trifft die technischen und organisatorischen Maßnahmen der Anlage A und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
3. Er unterstützt den Auftraggeber bei Anfragen betroffener Personen. Die Software stellt dafür Funktionen zum Anzeigen, Ändern, Exportieren und Löschen bereit; darüber hinaus hilft der Auftragnehmer auf Anfrage.
4. Er meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
5. Er unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde.
6. Er speichert und verarbeitet die Daten in Rechenzentren in Deutschland. Ausgenommen sind Benachrichtigungen über den Messenger Telegram nach Anlage B, die in ein Drittland übermittelt werden.

§ 5 Support-Zugriff

Zur Analyse und Behebung von Fehlern darf der Auftragnehmer mit den Rechten eines Nutzers in der Umgebung des Auftraggebers arbeiten. Jeder Zugriff erfordert die Angabe eines Grundes, ist auf 60 Minuten begrenzt, wird mit allen Änderungen protokolliert und ist für Administratoren des Auftraggebers einsehbar. Der Auftraggeber kann Support-Zugriffe in seinen Einstellungen jederzeit abschalten.

§ 6 Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt die in Anlage B genannten Unterauftragsverarbeiter.
2. Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher in Textform über die Hinzuziehung oder den Austausch eines Unterauftragsverarbeiters. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen; kommt keine Einigung zustande, kann er den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
3. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten.
4. Keine Unterauftragsverarbeiter sind Dienste, die der Auftraggeber selbst einbindet oder seine Nutzer selbst auslösen: der Mailserver des Auftraggebers, WhatsApp-Links und die Push-Dienste der Browserhersteller, die Benachrichtigungen Ende-zu-Ende verschlüsselt zustellen.

§ 7 Kontrollrechte

Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anfrage durch geeignete Unterlagen nach. Der Auftraggeber kann nach rechtzeitiger Ankündigung, in der Regel mit vier Wochen Vorlauf, während der Geschäftszeiten selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren, ohne den Betrieb für andere Kunden zu stören.

§ 8 Rückgabe und Löschung

Nach Ende des Hauptvertrags stellt der Auftragnehmer dem Auftraggeber auf Anforderung, die innerhalb von 30 Tagen eingehen muss, einen vollständigen Export der Daten bereit. Danach löscht er die Datenbank des Auftraggebers sowie die Zugänge der Nutzer, die zu keiner anderen Umgebung gehören. Datensicherungen verfallen nach 30 Tagen. Testversionen werden 30 Tage nach ihrem Ablauf gelöscht.

§ 9 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln des Hauptvertrags. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor. Es gilt deutsches Recht; Gerichtsstand ist Potsdam.

Anlage A: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutritt: Betrieb in Rechenzentren von Hetzner Online GmbH in Deutschland mit deren physischen Sicherungsmaßnahmen; der Auftragnehmer betreibt keine eigenen Server in Geschäftsräumen.
• Zugang: Passwörter nur als bcrypt-Hash; Zwei-Faktor-Anmeldung (Passkey oder Authenticator-App) für Administratoren verpflichtend, für alle Nutzer auf Wunsch des Auftraggebers; Begrenzung von Anmeldeversuchen; Sitzungen serverseitig gespeichert und widerrufbar; Cookies nur für die jeweilige Adresse, nur über HTTPS; automatische Abmeldung bei Inaktivität.
• Zugriff: Rollen je Umgebung (Admin, Mitarbeiter, Eingeschränkt); Zugriff des Betreibers nur über protokollierte, zeitlich begrenzte Support-Zugriffe; Plattform-Administratoren nur mit zweitem Faktor.
• Trennung: Jede Umgebung hat eine eigene Datenbank; Zugriffe ohne eindeutige Zuordnung zu einer Umgebung werden abgewiesen.
• Verschlüsselung: Übertragung ausschließlich per TLS; Zugangsdaten zum Mailserver des Auftraggebers mit AES-256-GCM verschlüsselt gespeichert; geheime Schlüssel der Zwei-Faktor-Anmeldung verschlüsselt gespeichert.

Integrität

• Weitergabe: Versand von E-Mails über den Mailserver des Auftraggebers; Push-Nachrichten Ende-zu-Ende verschlüsselt; Benachrichtigungen an den Betriebskanal nur über die verschlüsselte Schnittstelle von Telegram (HTTPS).
• Eingabekontrolle: Prüfprotokoll sicherheitsrelevanter Vorgänge und aller Änderungen während Support-Zugriffen mit Zeitpunkt, handelnder Person und IP-Adresse (12 Monate); Änderungsverlauf an Jobs.

Verfügbarkeit und Belastbarkeit

• Tägliche Datensicherung aller Datenbanken mit Prüfung der Archive, Aufbewahrung 30 Tage, Ablage getrennt vom Server; Wiederherstellung einzelner Umgebungen ohne Auswirkung auf andere.
• Statusprüfung des Dienstes und der Datenbank; Begrenzung rechenintensiver Vorgänge je Umgebung.

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Tests der Zugriffsregeln aller Schnittstellen in jeder Version; regelmäßige Aktualisierung der eingesetzten Software-Bibliotheken.
• Löschfristen werden von der Datenbank automatisch durchgesetzt (Nutzungsprotokoll 90 Tage, abgelaufene Sitzungen sofort).

Anlage B: Unterauftragsverarbeiter

Für die Vereinigten Arabischen Emirate besteht kein Angemessenheitsbeschluss der EU-Kommission; ein dem EU-Recht vergleichbares Datenschutzniveau ist dort nicht sichergestellt. Mit Abschluss dieses Vertrags genehmigt der Auftraggeber die Übermittlung der genannten Benachrichtigungen dorthin.