Auftragsverarbeitungsvertrag

Vertragsparteien

Verantwortlicher

Der Kunde, der ein Konto in HeyEvent führt und Events anlegt (Veranstalter). Seine Angaben ergeben sich aus den Kontodaten und den bei der Buchung einer Event-Lizenz angegebenen Rechnungsdaten.

Auftragsverarbeiter

COOL Apps FlexCo, Altenberger Straße 69, 4040 Linz, Österreich, FN 643677i, support@heyevent.info

Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen (Punkt 6) und wird mit dem Vertrag über die Nutzung von HeyEvent geschlossen. Er bedarf keiner Unterschrift. Der Verantwortliche kann ihn über die Druckfunktion des Browsers ausdrucken oder als PDF speichern und zu seinen Unterlagen nehmen.

1. Gegenstand und Dauer

1. Gegenstand ist der Betrieb von HeyEvent: der Verwaltungsbereich, in dem der Verantwortliche die Inhalte seiner Veranstaltungen pflegt, und die Event-Seite, auf der diese Inhalte für Teilnehmer angezeigt werden, samt Speicherung, Sicherung und Löschung der Daten.
2. Der Vertrag gilt, solange der Verantwortliche ein Konto oder Events in HeyEvent führt. Er endet mit der Löschung des Kontos und aller zugehörigen Daten.

2. Art, Zweck und Ort der Verarbeitung

1. Der Auftragsverarbeiter speichert die vom Verantwortlichen eingepflegten Daten, zeigt sie nach der Veröffentlichung auf der Event-Seite an, überträgt sie dazu an die Browser der Teilnehmer, sichert sie und löscht sie auf Weisung.
2. Zweck ist ausschließlich die Bereitstellung der Event-Seite und des Verwaltungsbereichs für die Veranstaltungen des Verantwortlichen. Der Auftragsverarbeiter verwendet die Daten nicht für eigene Zwecke und gibt sie nicht an Dritte weiter.
3. Die Verarbeitung findet in Rechenzentren innerhalb der Europäischen Union statt.

3. Art der Daten

• Vortragende und Mitwirkende: Name, akademischer Titel, Institution, Kurzbiografie, Foto, E-Mail-Adresse, Website und die Zuordnung zu Programmpunkten.
• Ansprechpersonen von Sponsoren und Partnern: Name und Kontaktdaten, soweit der Verantwortliche sie in Beschreibungen einträgt.
• Benutzer des Verwaltungsbereichs, die der Verantwortliche einlädt: E-Mail-Adresse, Name, Organisation und Rolle.
• Personen, die in Programmbeschreibungen, Neuigkeiten und Downloads genannt werden.
• Teilnehmer: keine Kontodaten, Teilnehmer benötigen kein Konto. Beim Abruf der Event-Seite fallen in den Protokollen der Unterauftragsverarbeiter technische Zugriffsdaten an (IP-Adresse, Zeitpunkt, aufgerufene Seite). Persönliches Programm, Sprache und gelesene Neuigkeiten speichert der Browser der Teilnehmer lokal, diese Daten erreichen den Auftragsverarbeiter nicht.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind für HeyEvent nicht vorgesehen.

4. Betroffene Personen

• Vortragende, Moderierende und andere Mitwirkende der Veranstaltung
• Ansprechpersonen bei Sponsoren, Ausstellern und Partnern
• Vom Verantwortlichen eingeladene Benutzer des Verwaltungsbereichs
• Sonstige in den Inhalten genannte Personen
• Teilnehmer, soweit technische Zugriffsdaten anfallen

5. Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen erteilt der Verantwortliche in erster Linie über die Funktionen des Verwaltungsbereichs: Anlegen, Ändern, Veröffentlichen, Passwortschutz und Löschen.
2. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
3. Verpflichtet das Recht der Union oder eines Mitgliedstaats den Auftragsverarbeiter zu einer Verarbeitung, teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das Recht eine Mitteilung nicht verbietet.

6. Pflichten des Auftragsverarbeiters

1. Vertraulichkeit: Zugriff auf die Daten haben nur Personen, die ihn für ihre Aufgabe benötigen und zur Vertraulichkeit verpflichtet sind. Die Verpflichtung besteht nach dem Ende der Tätigkeit fort.
2. Sicherheit: Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, das Schutzniveau darf dabei nicht sinken.
3. Betroffenenrechte: Der Verantwortliche kann Daten im Verwaltungsbereich selbst einsehen, berichtigen und löschen. Wendet sich eine betroffene Person an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und unterstützt ihn mit den nötigen Informationen.
4. Datenschutzverletzungen: Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, in der Regel innerhalb von 48 Stunden, mit Art der Verletzung, betroffenen Daten und Personen soweit bekannt, voraussichtlichen Folgen und ergriffenen Maßnahmen. Er unterstützt den Verantwortlichen bei der Meldung an die Aufsichtsbehörde und bei der Benachrichtigung der betroffenen Personen.
5. Folgenabschätzung: Der Auftragsverarbeiter unterstützt den Verantwortlichen mit den ihm vorliegenden Informationen bei Datenschutz-Folgenabschätzungen und bei der Konsultation der Aufsichtsbehörde (Art. 35 und 36 DSGVO).
6. Nachweise: Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, in erster Linie durch diese Dokumentation und Auskünfte per E-Mail. Überprüfungen vor Ort sind nach Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten möglich, ohne konkreten Anlass höchstens einmal im Jahr.
7. Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO. Er ist nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet. Ansprechstelle für den Datenschutz ist support@heyevent.info.

7. Unterauftragsverarbeiter

1. Der Verantwortliche stimmt dem Einsatz der derzeit eingesetzten Unterauftragsverarbeiter zu. Eine aktuelle Liste mit Leistung und Standort ist in der Datenschutzerklärung unter heyevent.info/privacy abrufbar.
2. Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter dem Verantwortlichen vorab an. Widerspricht der Verantwortliche nicht innerhalb von 30 Tagen aus datenschutzrechtlichen Gründen, gilt die Änderung als genehmigt. Bei Widerspruch kann er den Vertrag über die Nutzung von HeyEvent beenden.
3. Mit jedem Unterauftragsverarbeiter besteht ein Vertrag nach Art. 28 Abs. 4 DSGVO, der ihm im Wesentlichen dieselben Pflichten auferlegt wie dieser Vertrag dem Auftragsverarbeiter.
4. Die Verarbeitung findet in der Europäischen Union statt. Soweit ein Unterauftragsverarbeiter zu einem Unternehmen mit Sitz außerhalb des EWR gehört und ein Zugriff aus einem Drittland nicht ausgeschlossen werden kann, ist dies durch die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) abgesichert.

8. Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage und für die Information der betroffenen Personen nach Art. 13 und 14 DSGVO, etwa der Vortragenden, deren Daten auf der Event-Seite veröffentlicht werden.
2. Er pflegt nur Daten ein, die für den Zweck der Event-Seite erforderlich sind.
3. Er verwaltet die Zugriffe seiner Benutzer selbst und entfernt Besitzer und Bearbeiter, die den Zugriff nicht mehr benötigen.
4. Er teilt dem Auftragsverarbeiter unverzüglich mit, wenn er Fehler oder Unregelmäßigkeiten in der Verarbeitung bemerkt.

9. Löschung und Rückgabe

1. Der Verantwortliche löscht Daten jederzeit selbst über den Verwaltungsbereich, einzelne Einträge oder ganze Events. Die Löschung seines Kontos verlangt er per E-Mail.
2. Nach dem Ende des Vertrags löscht der Auftragsverarbeiter alle verbleibenden Daten des Verantwortlichen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Bestell- und Rechnungsdaten bleiben für die Dauer der gesetzlichen Aufbewahrungsfristen gespeichert.
3. Gelöschte Daten verschwinden aus Sicherungskopien mit deren turnusmäßiger Überschreibung, spätestens nach 30 Tagen. Bis dahin werden sie nicht wiederhergestellt, außer um einen Datenverlust zu beheben.
4. Auf Wunsch stellt der Auftragsverarbeiter dem Verantwortlichen vor der Löschung eine Kopie seiner Daten in einem gängigen, maschinenlesbaren Format zur Verfügung.

10. Haftung

1. Es gelten die Haftungsregelungen der Allgemeinen Geschäftsbedingungen.
2. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.

11. Schlussbestimmungen

1. Es gilt österreichisches Recht. Gerichtsstand ist das sachlich zuständige Gericht in Linz. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.

Anlage 1: Technische und organisatorische Maßnahmen

Stand: Oktober 2026