Auftragsverarbeitungsvertrag (AVV)

Stand: 26. August 2026

Präambel

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Auftragsverarbeitung gemäß Art. 28 der Datenschutz-Grundverordnung (DSGVO). Er gilt für alle Verarbeitungen personenbezogener Daten, die der Auftragsverarbeiter für den Verantwortlichen im Zusammenhang mit der Nutzung der Plattform eventPIXX erbringt.

Parteien

1. Gegenstand und Dauer

Gegenstand der Verarbeitung ist die Bereitstellung der Plattform eventPIXX, insbesondere das Sammeln, Speichern und Anzeigen von Fotos und Videos während einer Veranstaltung des Verantwortlichen (Event-Galerie, Live-Slideshow) sowie damit verbundene Nebenfunktionen.

Die Laufzeit dieses Vertrags entspricht der Laufzeit des zugrunde liegenden Hauptvertrags (gebuchtes eventPIXX-Paket) einschließlich der jeweiligen Speicherfrist. Er endet automatisch mit der endgültigen Löschung der Daten nach Ablauf der Speicherfrist.

2. Art, Umfang und Zweck der Verarbeitung

• Art der Verarbeitung: Erheben, Speichern, Anzeigen, Ordnen, Einschränken und Löschen.
• Zweck: Anzeige der von Gästen hochgeladenen Medien in einer zugangsbeschränkten Event-Galerie und einer Live-Slideshow sowie Bereitstellung der gebuchten Funktionen.
• Ort der Verarbeitung: ausschließlich innerhalb der Europäischen Union (EU/EWR).

3. Art der Daten und Kategorien betroffener Personen

Kategorien personenbezogener Daten:

• Bild- und Videoaufnahmen einschließlich der darauf abgebildeten Personen,
• technische Metadaten der hochgeladenen Dateien,
• eine anonyme Gast-Kennung sowie der Einwilligungszeitpunkt,
• optional freiwillig angegebene E-Mail-Adressen der Gäste (nur wenn der Verantwortliche diese Funktion aktiviert).

Kategorien betroffener Personen: Gäste und Teilnehmer der Veranstaltung sowie auf den Medien abgebildete Dritte.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und nach dokumentierten Weisungen des Verantwortlichen. Er verpflichtet sich insbesondere:

• Daten nur weisungsgebunden zu verarbeiten und den Verantwortlichen zu informieren, wenn eine Weisung gegen geltendes Datenschutzrecht verstößt;
• Personen, die zur Verarbeitung befugt sind, zur Vertraulichkeit zu verpflichten;
• geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO umzusetzen (siehe Ziffer 7);
• den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO) im Rahmen des technisch Möglichen zu unterstützen;
• den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO zu unterstützen;
• nach Wahl des Verantwortlichen alle Daten nach Abschluss der Verarbeitung zu löschen oder zurückzugeben;
• dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen bereitzustellen und Kontrollen zu ermöglichen.

5. Weisungsrecht

Der Verantwortliche behält sich ein umfassendes Weisungsrecht vor. Mündliche Weisungen werden unverzüglich in Textform bestätigt. Weisungen erfolgen über die im Vertrag genannten Kontaktwege.

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz von Unterauftragsverarbeitern zur technischen Bereitstellung der Leistung. Der Auftragsverarbeiter stellt sicher, dass diese denselben Datenschutzpflichten unterliegen. Der Verantwortliche wird über beabsichtigte Änderungen informiert und kann diesen widersprechen.

• Server-Hosting (Serverstandort innerhalb der EU) – Bereitstellung der Infrastruktur und Speicherung der Medien.

Eine jeweils aktuelle Liste der Unterauftragsverarbeiter stellen wir auf Anfrage zur Verfügung.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• verschlüsselte Übertragung (TLS/HTTPS);
• Zugriffsbeschränkung auf Events per PIN/QR-Code und Moderator-Zugang;
• rollenbasierte Zugriffsrechte und Protokollierung sicherheitsrelevanter Aktionen;
• Serverstandort innerhalb der EU;
• automatische und unwiderrufliche Löschung der Medien nach Ablauf der paketabhängigen Speicherfrist;
• Moderations- und Meldefunktion zur Entfernung unangemessener Inhalte.

8. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und unterstützt ihn bei den Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

9. Löschung und Rückgabe

Nach Ablauf der Speicherfrist werden sämtliche im Auftrag verarbeiteten Daten automatisch und unwiderruflich gelöscht. Während der Speicherfrist kann der Verantwortliche die Medien jederzeit selbst herunterladen (z. B. per ZIP-Download). Eine Wiederherstellung nach der Löschung ist ausgeschlossen.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung der vereinbarten Pflichten auf Anfrage in geeigneter Weise nach. Kontrollen des Verantwortlichen sind nach vorheriger Abstimmung und ohne Störung des Betriebsablaufs möglich.

11. Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Änderungen bedürfen der Textform.