Auftragsverarbeitungsvertrag

Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch SnapParty im Auftrag einer Kundin, eines Kunden oder einer Organisation, soweit diese für die betreffende Verarbeitung Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist.

1Vertragsparteien und Geltungsbereich

Auftragsverarbeiter ist Benedikt Auer, Einzelunternehmer, Lindengasse 19, A-3383 Hürm, Österreich, E-Mail office@snapparty.at.

Auftraggeber ist die im Kundenkonto oder in der Bestellung bezeichnete natürliche oder juristische Person. Diese Vereinbarung gilt, soweit der Auftraggeber für die betreffende Verarbeitung Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist und der Auftragsverarbeiter personenbezogene Daten für ihn verarbeitet.

Die Vereinbarung ist Bestandteil des Vertrags über die Nutzung von SnapParty. Sie kann in elektronischer Form abgeschlossen werden.

Eine ausschließlich persönliche oder familiäre Nutzung begründet durch diese Vereinbarung allein keine Verantwortlichkeit des Auftraggebers nach der DSGVO. Die eigenen gesetzlichen Pflichten des Anbieters bleiben unberührt.

2Verhältnis zum Hauptvertrag

Diese Vereinbarung ergänzt den Vertrag über die Bereitstellung von SnapParty und die Allgemeinen Geschäftsbedingungen.

Bei Widersprüchen haben ihre Bestimmungen für die hier geregelte Auftragsverarbeitung Vorrang.

Die in den Punkten 15 und 16 abgegrenzten Verarbeitungen für eigene Zwecke des Anbieters werden nicht allein durch den Abschluss dieser Vereinbarung zu Auftragsverarbeitungen.

3Gegenstand und Art der Verarbeitung

Gegenstand ist die Verarbeitung personenbezogener Daten für die vom Verantwortlichen eingerichtete Feier.

Die Verarbeitung umfasst die Erhebung, Speicherung, Zuordnung, Organisation, Bereitstellung, Anzeige und Übermittlung der Veranstaltungsdaten sowie die Ausführung der ausgewählten Spiel- und Gästebuch-Funktionen.

Dazu gehören auch die Hintergrundverarbeitung, der in Punkt 20 beschriebene Fotoexport und, bei Nutzung der entsprechenden Funktion, die Zustellung von Browser-Benachrichtigungen.

Für Rückgabe und Löschung gelten Punkt 20 und die dort beschriebenen bestehenden Einschränkungen der technischen Umsetzung.

4Zwecke und Zweckbindung

Die Verarbeitung erfolgt zur Bereitstellung der für die Feier ausgewählten Funktionen. Dazu gehören Fotoaufgaben, Gastprofile, Galerie, Gästebuch, Video-Gästebuch, Teams, Punkte, Ranglisten, Zugänge und Live-Fotowand.

Punkteberechnung, Ranglisten und die automatische Zuteilung von Aufgaben dienen dem Spielablauf. Diese Spielmechaniken entfalten keine rechtliche Wirkung und beeinträchtigen betroffene Personen nicht in ähnlich erheblicher Weise im Sinne von Art. 22 DSGVO.

Im Auftrag verarbeitete Veranstaltungsdaten dürfen nicht für eigene Werbung oder eigene Profilbildung des Auftragsverarbeiters verwendet werden.

Fotos und Videos werden gespeichert, ausgeliefert und angezeigt. Es erfolgen keine Gesichtserkennung, keine biometrische Identifizierung und keine Erstellung biometrischer Profile.

Der Auftragsverarbeiter verkauft keine personenbezogenen Daten.

5Dauer und reguläre Aufbewahrung

Die Verarbeitung beginnt, sobald personenbezogene Daten für die betreffende Feier verarbeitet werden.

Für Veranstaltungsdaten gilt eine reguläre Aufbewahrungsdauer von 12 Monaten ab dem hinterlegten Tag der Feier. Die für eine Feier geltende Dauer wird bei deren Anlage festgeschrieben. Eine spätere Änderung der allgemeinen Aufbewahrungsregelung verkürzt diese Dauer nicht.

Zulässige Weisungen zur früheren Löschung und gesetzliche Löschpflichten bleiben unberührt.

Die Durchführung der Löschung, verbleibende Sicherungskopien und die bekannte Einschränkung bei älteren Mediendateien sind in Punkt 20 beschrieben. Das tatsächliche Fortbestehen solcher Daten begründet keine zusätzliche Aufbewahrungsfrist.

Die Pflichten dieser Vereinbarung gelten für noch vorhandene Auftragsdaten bis zur ordnungsgemäßen Beendigung ihrer Verarbeitung weiter.

6Kategorien betroffener Personen

Betroffen sein können die Gastgeberin oder der Gastgeber, Gäste und andere an der Feier beteiligte Personen.

Dazu gehören auch Personen, die auf Fotos oder Videos erkennbar oder in Aufnahmen hörbar sind, sowie Personen, die in Gästebuch-Texten oder anderen Veranstaltungsinhalten genannt werden.

Die Verarbeitung kann daher auch Personen betreffen, die SnapParty nicht selbst verwenden.

7Arten personenbezogener Daten

Verarbeitet werden insbesondere Anzeigenamen, freiwillige Profilbilder, Fotos, kurze Videos, Beiträge zum Video-Gästebuch, Gästebuch-Texte, Bewertungen, Punkte, Teamzuordnungen und Aufgabenstände.

Hinzu kommen die Zuordnung zur Feier, die für die Teilnahme erforderlichen Zugangsdaten und die Daten einer Push-Anmeldung. Bei Browser-Benachrichtigungen werden insbesondere der Subscription-Endpunkt und die verschlüsselte Nachricht verarbeitet.

Abhängig vom Inhalt können hochgeladene Medien oder Texte auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO enthalten. Diese Vereinbarung ersetzt keine dafür erforderliche Rechtsgrundlage.

Die Verarbeitung eigener Konto-, Zahlungs-, Rechnungs- und Sicherheitsdaten ist nach den Punkten 15 und 16 abzugrenzen.

8Weisungen

Der Auftragsverarbeiter darf Auftragsdaten nur entsprechend dokumentierten Weisungen des Verantwortlichen verarbeiten. Dies gilt auch für Übermittlungen an Empfänger außerhalb des Europäischen Wirtschaftsraums.

Die Vereinbarung, die im vereinbarten Leistungsumfang vorgenommenen Einstellungen und Aktionen des Verantwortlichen sowie dessen schriftlich oder elektronisch übermittelte Anweisungen bilden die Grundlage der Verarbeitung.

Weisungen können auch an office@snapparty.at übermittelt werden.

Verlangt das Unionsrecht oder das Recht eines Mitgliedstaats eine abweichende Verarbeitung, muss der Auftragsverarbeiter den Verantwortlichen vorab über diese Verpflichtung informieren. Dies gilt nicht, soweit das betreffende Recht eine solche Information wegen eines wichtigen öffentlichen Interesses verbietet.

Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, muss er den Verantwortlichen unverzüglich informieren. Eine rechtswidrige Weisung darf nicht ausgeführt werden.

9Pflichten des Verantwortlichen

Der Verantwortliche muss sicherstellen, dass die von ihm veranlasste Verarbeitung rechtmäßig ist.

Er ist insbesondere für die erforderlichen Informationen gegenüber betroffenen Personen, die Rechtsgrundlagen seiner Verarbeitung und gegebenenfalls notwendige Einwilligungen verantwortlich.

Dies betrifft auch die von ihm veranlasste Anzeige oder Weitergabe von Veranstaltungsinhalten und die Nutzung von Browser-Benachrichtigungen.

Die eigenen gesetzlichen Pflichten des Auftragsverarbeiters werden dadurch nicht auf den Verantwortlichen übertragen.

10Vertraulichkeit

Der Auftragsverarbeiter unterliegt dem Datengeheimnis nach § 6 DSG.

Personen dürfen nur insoweit Zugang zu Auftragsdaten erhalten, wie dies für ihre berechtigte Tätigkeit erforderlich ist. Vor einer entsprechenden Berechtigung müssen sie zur Vertraulichkeit verpflichtet sein oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Erforderliche vertragliche Vertraulichkeitsverpflichtungen müssen auch für die Zeit nach Beendigung der Tätigkeit gelten.

11Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter ist verpflichtet, die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu treffen.

Die Datenbank verwendet eine feierbezogene Zugriffstrennung durch Row-Level-Security. Derzeit bestehen 22 entsprechende Richtlinien, deren Anwendung mit FORCE erzwungen wird. Die Zuordnung erfolgt anhand einer für die Datenbanksitzung gesetzten Veranstaltungsvariable. Die Datenbank beschränkt dadurch den Zugriff der Anwendung auf die zur jeweiligen Feier gehörenden Datensätze.

Es werden zwei getrennte Datenbankrollen verwendet. Der Anwendungsrolle ist das Löschen auf Belegtabellen ausdrücklich entzogen.

Gastzugangs-Token werden in der Datenbank ausschließlich als SHA-256-Hash gespeichert. Link-Geheimnisse, die erneut angezeigt werden müssen, werden zusätzlich mit AES-GCM verschlüsselt gespeichert.

Kennwörter werden mit scrypt gehasht. In der Datenbank werden der Kennwort-Hash und der Zeitpunkt der letzten Kennwortänderung gespeichert. Klartextkennwörter werden nicht gespeichert.

Datenverbindungen sind durch TLS geschützt. Zusätzlich werden HSTS, Content-Security-Policy, nosniff und Referrer-Policy eingesetzt.

Für die Begrenzung missbräuchlicher Zugriffe wird aus der IP-Adresse ein SHA-256-Hash gebildet und auf 16 Hex-Zeichen gekürzt. Die damit verbundenen Redis-Schlüssel haben je nach Vorgang eine Ablaufzeit von 10 bis 15 Minuten und werden anschließend automatisch gelöscht. Dies ist keine Zusicherung vollständiger Anonymität.

Die Anmeldung des Betreibers erfordert eine Zwei-Faktor-Authentisierung.

Ein Support-Zugang des Betreibers setzt die Angabe eines Anlasses voraus. Er ist auf genau eine Feier und auf 60 Minuten beschränkt. Jeder über diesen Zugang erfolgende Zugriff wird protokolliert. Zur Aufbewahrung der Protokolle gilt Punkt 16.

Sicherungen entstehen auf drei Wegen. Täglich um 03:00 Uhr wird die Datenbank gesichert, einmal wöchentlich entsteht ein vollständiger Wiederherstellungspunkt einschliesslich des Bestands der Mediendateien; beide liegen auf demselben Server wie die Anwendung. Täglich um 03:30 Uhr wird zusätzlich eine verschlüsselte Sicherung an zwei räumlich getrennte Orte übertragen, die in Punkt 14 benannt sind. Die Aufbewahrungsdauer beträgt 14 Tage; ein eigener täglicher Lauf setzt diese Frist unabhängig davon durch, ob eine neue Sicherung erstellt wurde.

Die Verpflichtung zur risikogerechten Weiterentwicklung und zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen nach Art. 32 DSGVO bleibt bestehen.

12Hosting, Datenbank und eigener E-Mail-Betrieb

Die Anwendung wird auf einem Root-Server bei ANX in Klagenfurt, Österreich, betrieben.

Auf diesem Server laufen die Next.js-Anwendung, Worker für die Hintergrundverarbeitung, PostgreSQL 18, Redis 7, MinIO und Caddy als Container. Dort werden auch die in Punkt 11 beschriebenen lokalen Sicherungen gespeichert.

PostgreSQL enthält die strukturierten Anwendungsdaten. Redis wird für die Auftragswarteschlange und die Zähler der Missbrauchsbegrenzung verwendet. Eine dauerhafte Datenablage findet in Redis nicht statt.

Der E-Mail-Versand erfolgt über einen eigenen mailcow-Server auf eigener Infrastruktur. Ein externer E-Mail-Versanddienstleister wird dafür nicht eingesetzt. Als Absenderadresse wird hallo@snapparty.at verwendet.

13Objektspeicherung

Für die Speicherung von Fotos, Videos und anderen Mediendateien wird seit dem 13. September 2026 Cloudflare R2 des Anbieters Cloudflare, Inc. mit EU-Jurisdiction eingesetzt.

Die EU-Jurisdiction betrifft den Speicherort der entsprechenden R2-Objektdaten innerhalb der Europäischen Union. Sie ist keine Zusicherung, dass sämtliche Verarbeitungen des Anbieters ausschließlich im Europäischen Wirtschaftsraum stattfinden.

Daneben wird MinIO auf dem in Punkt 12 beschriebenen Server in Österreich weiterbetrieben. Dort befinden sich ältere Objekte. MinIO bleibt außerdem als technischer Rückweg für die Objektspeicherung verfügbar.

Für die bekannte Löschlücke bei älteren Objekten gilt Punkt 20.

14Unterauftragsverarbeiter und Push-Dienste

Die eingesetzten Dienste werden in dieser Vereinbarung selbst benannt. Eine gesonderte Unterauftragsverarbeiterliste ist nicht Bestandteil dieser Vereinbarung.

ANX wird für das Hosting in Klagenfurt, Österreich, eingesetzt. Dies umfasst die Infrastruktur für Anwendung, Datenbank, Redis, MinIO und lokale Sicherungen. Betroffen sind die dort gespeicherten oder verarbeiteten Veranstaltungsdaten.

Cloudflare, Inc. wird für die in Punkt 13 beschriebene Speicherung von Fotos, Videos und anderen Mediendateien in Cloudflare R2 mit EU-Jurisdiction eingesetzt.

Für die Sicherungen werden zwei weitere Dienstleister eingesetzt, beide mit Sitz in Deutschland. Die Contabo GmbH betreibt den Server, auf dem die primäre Sicherungsablage des Auftragsverarbeiters liegt. Die Hetzner Online GmbH betreibt den Nextcloud-Dienst, in den eine zweite Sicherung übertragen wird. Die Sicherungen werden vor der Übertragung verschlüsselt; der Schlüssel liegt ausschließlich beim Auftragsverarbeiter, sodass diese beiden Anbieter keine lesbaren Dateien, Dateinamen oder Verzeichnisse erhalten.

Bis zum 17. September 2026 wurde eine weitere Sicherungskopie zu Google Drive übertragen. Diese Übertragung ist eingestellt, und der dort vorhandene Bestand wurde am selben Tag endgültig gelöscht.

Bei Browser-Benachrichtigungen werden die Push-Dienste von Google, Apple oder Mozilla eingebunden. Welcher Dienst beteiligt ist, hängt vom verwendeten Browser ab. An den jeweiligen Dienst werden der Subscription-Endpunkt und die verschlüsselte Nachricht übermittelt. Dabei werden Daten teilweise außerhalb des Europäischen Wirtschaftsraums verarbeitet.

Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern für die in dieser Vereinbarung beschriebenen Verarbeitungen. Eine elektronische Erklärung ist ausreichend.

Beabsichtigte Hinzuziehungen oder Ersetzungen von Unterauftragsverarbeitern müssen dem Verantwortlichen vorab elektronisch mitgeteilt werden. Die Mitteilung muss so rechtzeitig erfolgen und die erforderlichen Informationen enthalten, dass der Verantwortliche vor dem Einsatz Gelegenheit zum Einspruch hat. Eine bloße Änderung des öffentlich abrufbaren Vertragstextes ersetzt diese Mitteilung nicht.

Der Einsatz eines weiteren Auftragsverarbeiters setzt die nach Art. 28 Abs. 4 DSGVO erforderliche vertragliche Bindung voraus. Ihm müssen die für seine Tätigkeit maßgeblichen Datenschutzpflichten auferlegt werden. Die Benennung eines Dienstes in dieser Vereinbarung ersetzt diese vertragliche Bindung nicht.

Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Einhaltung der Pflichten seiner Unterauftragsverarbeiter nach Art. 28 Abs. 4 DSGVO verantwortlich.

Für Drittlandübermittlungen gelten zusätzlich die Anforderungen in Punkt 22.

15Eigene Vertragsdaten, Stripe und Google Analytics

Daten zur Bestellung, zum Gastgeberkonto, zur Zahlung und zur Abrechnung verarbeitet der Anbieter für die Durchführung seines eigenen Vertrags mit dem Auftraggeber. Diese Verarbeitung ist nicht Gegenstand der Auftragsverarbeitung von Veranstaltungsdaten.

Stripe wird für die Zahlungsabwicklung dieses Vertrags über eine Checkout-Session eingesetzt. Die Bezahlseite wird von Stripe bereitgestellt. Der Anbieter speichert Zahlungsreferenz, Betrag und Rechnungsdaten, jedoch keine Kartendaten.

Google Analytics wird ausschließlich auf der öffentlichen Verkaufsseite und nur nach Einwilligung eingesetzt. Innerhalb einer Feier wird Google Analytics nicht verwendet. Veranstaltungsdaten werden für diesen Analysezweck nicht verarbeitet.

Stripe und Google Analytics sind daher für die beschriebenen Tätigkeiten keine Unterauftragsverarbeiter nach dieser Vereinbarung.

Für diese eigenen Verarbeitungen gelten die Informationen der Datenschutzerklärung.

16Eigene Sicherheitsverarbeitung und Support-Protokolle

Soweit der Anbieter Zwecke und Mittel einer Verarbeitung von Zugriffs- oder Sicherheitsdaten eigenständig für den Schutz seiner Plattform bestimmt, handelt er für diese Verarbeitung als eigener Verantwortlicher.

Sicherheitsmaßnahmen, die zur Erfüllung der Auftragsverarbeitung erforderlich sind, bleiben davon zu unterscheiden. Die bloße Bezeichnung einer Verarbeitung als Sicherheitsmaßnahme entzieht sie nicht den Pflichten dieser Vereinbarung.

Caddy führt Zugriffsprotokolle mit der Remote-IP. Diese Protokolle rotieren nach Größe mit fünf Dateien zu jeweils 10 MB. Eine zeitabhängige Löschfrist ist dafür nicht eingerichtet. Rohe IP-Adressen werden nicht in der Anwendungsdatenbank gespeichert.

Die in Punkt 11 beschriebenen Support-Zugriffe werden protokolliert. Für diese Support-Protokolle besteht derzeit kein Löschlauf. Sie werden derzeit nicht gelöscht. Die Gültigkeitsdauer des Support-Zugangs von 60 Minuten begrenzt ihre Aufbewahrung nicht.

Diese Beschreibung des Betriebszustands begründet kein Recht zur unbegrenzten Aufbewahrung. Gesetzliche Anforderungen an Erforderlichkeit, Speicherbegrenzung und Löschung bleiben unberührt.

17Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter muss den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen nach Möglichkeit bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen unterstützen.

Dies betrifft insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit.

Geht beim Auftragsverarbeiter eine Anfrage zu Daten ein, die er für den Verantwortlichen verarbeitet, muss er sie diesem zuordnen und zur Bearbeitung weiterleiten oder die Bearbeitung mit ihm abstimmen.

Eine eigenständige inhaltliche Entscheidung trifft der Auftragsverarbeiter nur auf entsprechende Weisung oder aufgrund einer gesetzlichen Verpflichtung.

18Unterstützung bei weiteren Datenschutzpflichten

Der Auftragsverarbeiter muss den Verantwortlichen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO unterstützen.

Der Umfang richtet sich nach der Art der Verarbeitung und den dem Auftragsverarbeiter verfügbaren Informationen. Die Unterstützung umfasst insbesondere die Sicherheit der Verarbeitung, Datenschutzverletzungen sowie erforderliche Datenschutz-Folgenabschätzungen und vorherige Konsultationen.

19Verletzungen des Schutzes personenbezogener Daten

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes von Auftragsdaten bekannt, muss er den Verantwortlichen unverzüglich informieren.

Er muss die verfügbaren Angaben zur Art des Vorfalls, zu den betroffenen Daten und Personen, zu möglichen Folgen sowie zu ergriffenen oder vorgeschlagenen Gegenmaßnahmen mitteilen. Als Kontakt für weitere Informationen dient office@snapparty.at.

Informationen, die zunächst fehlen, sind ohne unangemessene weitere Verzögerung nachzureichen.

Die gesetzlichen Melde- und Dokumentationspflichten werden durch diese Vereinbarung nicht eingeschränkt.

20Rückgabe, Löschung und verbleibende Daten

Nach Abschluss der Verarbeitungsleistungen hat der Verantwortliche gemäß Art. 28 Abs. 3 lit. g DSGVO die Wahl zwischen der Löschung und der Rückgabe der Auftragsdaten. Bei einer Rückgabe sind die beim Auftragsverarbeiter verbleibenden Kopien ebenfalls zu löschen. Ausgenommen sind Daten, deren weitere Speicherung durch das Unionsrecht oder das Recht eines Mitgliedstaats vorgeschrieben ist.

Als technische Exportfunktion steht der Gastgeberin oder dem Gastgeber ein Fotoexport als Archiv zur Verfügung. Das Archiv wird durch einen Auftrag im Hintergrund erstellt. Dieser Fotoexport beschränkt das Rückgaberecht nicht auf Fotos.

Nach Ablauf der Aufbewahrungsfrist werden die der Feier zugeordneten Datensätze aus den feiergebundenen Tabellen vollständig entfernt.

Nicht Teil dieser feierbezogenen Bereinigung sind die gesonderten Plattformdaten zu Zahlungen, Rechnungen, zum Nachweis des Leistungsbeginns und zum Nachweis der Löschung. Soweit diese Daten rechtmäßig für eigene Vertrags-, Dokumentations- oder gesetzliche Aufbewahrungszwecke verarbeitet werden, unterliegen sie nicht der Löschung von Auftragsdaten. Ihre weitere Speicherung bedarf einer eigenen Rechtsgrundlage und darf nicht allein mit ihrer technischen Zuordnung zu einer Plattformtabelle begründet werden.

Die Bereinigung der feiergebundenen Tabellen bewirkt derzeit keine vollständige Löschung sämtlicher zugehöriger Mediendateien. Der bestehende Löschlauf für Objekte verwendet eine feierbezogene Kennzeichnung am Anfang des Objektnamens. Diese Kennzeichnung fehlt bei einem vorhandenen Altbestand. Solche Objekte werden vom Löschlauf nicht erfasst und bleiben bei dessen Ausführung gespeichert.

Für diese Altobjekte ist durch den bestehenden Löschlauf kein tatsächlicher Löschzeitpunkt sichergestellt. Die Einschränkung gilt unabhängig davon, dass zugehörige Datenbankeinträge bereits gelöscht wurden. Sie begründet weder eine zusätzliche Aufbewahrungsfrist noch eine Einschränkung der Rückgabe- und Löschpflichten.

Soweit Auftragsdaten in zuvor erstellten Sicherungen auf dem Anwendungsserver enthalten sind, werden diese Sicherungen nach der Aufbewahrungsdauer von 14 Tagen gelöscht oder überschrieben.

Für die beiden in Punkt 14 benannten ausgelagerten Ablagen ist eine solche Frist derzeit nicht eingerichtet. Die dort abgelegten verschlüsselten Sicherungsstände werden bislang nicht automatisch entfernt. Auftragsdaten können dadurch auch nach ihrer Löschung aus dem Produktivsystem und nach Ablauf der Sicherungsfrist in diesen Ablagen enthalten bleiben. Diese technische Einschränkung begründet keine zusätzliche Aufbewahrungsbefugnis und schränkt die Löschpflichten nach dieser Vereinbarung nicht ein. Diese Sicherungsfrist gilt nicht für Altobjekte, die weiterhin im produktiven Objektspeicher liegen.

Für die separat gespeicherten Support-Protokolle gilt der in Punkt 16 beschriebene Zustand. Ihr tatsächlicher Fortbestand wird durch eine feierbezogene Datenbanklöschung nicht als vollständige Löschung solcher Protokolldaten behandelt.

Ein vorhandener Löschnachweis darf nur den tatsächlich durchgeführten Löschumfang bestätigen. Er ist kein Nachweis einer vollständigen Löschung, soweit noch zu löschende Auftragsdaten vorhanden sind.

21Nachweise und Kontrollen

Der Auftragsverarbeiter muss dem Verantwortlichen die zur Prüfung der Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung stellen.

Er muss Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von diesem beauftragten Prüfer ermöglichen und daran mitwirken.

Soweit mit dem Prüfzweck vereinbar, sind Kontrollen vorher abzustimmen. Die Rechte anderer betroffener Personen und die Sicherheit anderer Kundendaten sind zu berücksichtigen.

Gesetzliche Kontrollrechte dürfen dadurch nicht ausgeschlossen oder praktisch vereitelt werden. Befugnisse der Aufsichtsbehörden bleiben unberührt.

22Übermittlungen außerhalb des Europäischen Wirtschaftsraums

Übermittlungen von Auftragsdaten an Empfänger außerhalb des Europäischen Wirtschaftsraums dürfen nur im Rahmen dokumentierter Weisungen und unter Einhaltung von Kapitel V DSGVO erfolgen.

Die Genehmigung eines Unterauftragsverarbeiters ersetzt keine erforderliche Grundlage für eine Drittlandübermittlung. Auch die Verschlüsselung einer Push-Nachricht ersetzt diese Prüfung nicht.

Der Auftragsverarbeiter muss für jede einschlägige Übermittlung die tatsächlich anwendbare Rechtsgrundlage und die erforderlichen Schutzmaßnahmen feststellen und nachweisen können. Die hierzu erforderlichen Informationen sind dem Verantwortlichen zur Verfügung zu stellen.

Die EU-Jurisdiction der R2-Objektspeicherung erlaubt keine pauschale Aussage, dass sämtliche Vorgänge bei beteiligten externen Diensten innerhalb des Europäischen Wirtschaftsraums stattfinden.

23Beendigung und fortgeltende Pflichten

Die Beendigung des Hauptvertrags hebt Pflichten bezüglich noch vorhandener Auftragsdaten nicht auf.

Insbesondere gelten die Vertraulichkeits-, Schutz-, Unterstützungs-, Rückgabe- und Löschpflichten fort, solange entsprechende Daten noch verarbeitet werden.

Dies betrifft auch verbleibende Sicherungen und die in Punkt 20 beschriebenen Altobjekte. Die Löschung einer Feier in der Anwendung beendet diese Pflichten nicht automatisch.

24Schlussbestimmungen

Änderungen dieser Vereinbarung müssen schriftlich festgehalten werden. Die elektronische Form ist ausreichend.

Zwingende Vorschriften der DSGVO und des anwendbaren österreichischen Datenschutzrechts bleiben unberührt.

Für nicht datenschutzrechtlich geregelte Fragen gilt die im Hauptvertrag vereinbarte Rechtsordnung.

Stand dieser Vereinbarung ist der 18. September 2026.