GiXn

Entwurf v1, wird anwaltlich geprüft

Vertrag über die Auftragsverarbeitung (AVV)

Version 1 · Stand [DATUM]
zwischen dir als Verantwortlichem und [NAME], [ANSCHRIFT] als Auftragsverarbeiter („wir“).

§ 1 Gegenstand, Dauer, Art und Zweck (Art. 28 Abs. 3 S. 1)

(1) Wir betreiben GiXn für dich und speichern, ordnen, zeigen, versenden und löschen dabei personenbezogene Daten, die du in GiXn verarbeitest. Zweck ist allein die Bereitstellung von GiXn nach den AGB.
(2) Dauer: so lange wie der Vertrag, danach bis zur Löschung nach § 8.
(3) Datenarten: Namen, Kontaktdaten (E-Mail, Telefon, Anschrift, Social-Media-Namen), Booking- und Veranstaltungsdaten, Rechnungs- und Zahlungsdaten deiner Kunden (auch IBAN, USt-IdNr.), Mails und Anhänge, Gästelisten, Fan-Anmeldungen mit Einwilligungsnachweis, Notizen, Dateien.
(4) Betroffene: deine Kunden und Interessenten (Veranstalter, Clubs, Agenturen), deren Ansprechpersonen, Fans, Gäste, deine Teammitglieder.
(5) Besondere Kategorien (Art. 9) sind nicht vorgesehen; speichere sie nicht.

§ 2 Weisungen (lit. a)

Wir verarbeiten nur auf deine dokumentierte Weisung. Weisungen sind dieser Vertrag, deine Einstellungen und Aktionen in GiXn sowie Anfragen in Textform. Die Übermittlung an ein Drittland erfolgt nur nach § 7. Halten wir eine Weisung für rechtswidrig, sagen wir dir das sofort (Art. 28 Abs. 3 S. 3). Gesetzliche Pflichten zur Verarbeitung teilen wir dir vorher mit, soweit erlaubt.

§ 3 Vertraulichkeit (lit. b)

Wer bei uns Zugriff hat, ist zur Vertraulichkeit verpflichtet.

§ 4 Sicherheit (lit. c, Art. 32)

Wir treffen die technischen und organisatorischen Maßnahmen der Anlage TOM und passen sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

§ 5 Unterauftragsverarbeiter (lit. d, Art. 28 Abs. 2 und 4)

(1) Du genehmigst die Unterauftragsverarbeiter der Anlage UV allgemein.
(2) Neue oder geänderte Unterauftragsverarbeiter kündigen wir mindestens 4 Wochen vorher in Textform an. Du kannst aus wichtigem datenschutzrechtlichem Grund widersprechen; finden wir keine Lösung, kannst du außerordentlich kündigen.
(3) Wir verpflichten Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten.
(4) Keine Unterauftragsverarbeiter von uns sind Anbieter, die du selbst wählst und mit denen du selbst einen Vertrag hast: dein Mail-Anbieter (SMTP/IMAP, Gmail) und dein KI-Anbieter bei eigenem Schlüssel. Wir übermitteln in deinem Auftrag an deinen Dienstleister (Weisung nach § 2). Begründung: Du wählst den Anbieter, schließt den Vertrag selbst, bestimmst die Bedingungen und kannst ihn jederzeit wechseln oder abschalten; wir haben keinen Vertrag mit ihm und keinen Einfluss auf seine Verarbeitung. Er arbeitet für dich, nicht für uns. Einen Auftragsverarbeitungsvertrag schließt du direkt mit ihm.
(5) Kopierst du Prompts selbst in einen KI-Dienst im Browser, übermitteln wir nichts.

§ 6 Zugriff durch unseren Support

Wir greifen auf deine Daten nur zu, soweit es für Betrieb, Sicherheit, Störungsbeseitigung oder auf deine Anfrage hin nötig ist. Eine Anmeldung im Workspace („als Nutzer arbeiten“) dauert höchstens 60 Minuten, ist im Workspace sichtbar und wird in deinem Protokoll vermerkt; Zahlen, Kündigen und Passkeys sind dabei gesperrt. Auf Anfrage nennen wir dir alle Zugriffe.

§ 7 Drittländer

Übermittlungen in Länder außerhalb des EWR erfolgen nur mit Garantien nach Art. 44 ff. DSGVO (Angemessenheitsbeschluss, z. B. EU-US Data Privacy Framework, oder Standardvertragsklauseln); siehe Anlage UV.

§ 8 Löschung und Rückgabe (lit. g)

(1) Du kannst deine Daten jederzeit als ZIP exportieren.
(2) Nach Vertragsende oder auf Antrag bleiben die Daten 30 Tage für den Export erhalten; danach löschen wir Datenbank und Dateien endgültig. Sicherungskopien werden nach Ablauf des Sicherungsfensters der Datenbank überschrieben.
(3) Gesetzliche Aufbewahrungspflichten für deine Rechnungen erfüllst du selbst. Behalten müssen wir nur, was das Gesetz uns selbst auferlegt (unsere eigenen Rechnungen an dich); außerdem bleibt ein Datensatz über den Workspace (Name, Status, Löschdatum) als Nachweis.

§ 9 Unterstützung (lit. e und f)

Wir unterstützen dich bei Anfragen Betroffener (Art. 12–22), vor allem durch Export, Bearbeiten und Löschen in GiXn, und bei Art. 32–36 (Sicherheit, Meldung von Datenpannen, Folgenabschätzung). Eine Verletzung des Schutzes deiner Daten melden wir dir unverzüglich, möglichst binnen 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3.

§ 10 Nachweise und Kontrollen (lit. h)

Wir stellen dir die nötigen Informationen zum Nachweis bereit (diese Anlagen, Zertifikate der Unterauftragsverarbeiter). Kontrollen vor Ort nach Anmeldung mit angemessener Frist, höchstens einmal im Jahr, außer bei konkretem Anlass; den Aufwand trägst du, wenn kein Verstoß vorliegt.

§ 11 Haftung und Rang

Für die Haftung gilt Art. 82 DSGVO; im Übrigen § 9 AGB. Bei Widersprüchen geht dieser AVV den AGB vor.

Anlage UV: Unterauftragsverarbeiter

AnbieterLeistungOrt der VerarbeitungGarantie
Vercel Inc., USAHosting, Funktionen, Dateispeicher (Blob)Frankfurt (fra1); Blob: Region laut Vercel-KonfigurationStandardvertragsklauseln bzw. EU-US Data Privacy Framework (Stand wird geprüft)
Neon Inc., USADatenbank, SicherungenAWS eu-central-1 FrankfurtStandardvertragsklauseln bzw. EU-US Data Privacy Framework (Stand wird geprüft)
Brevo SAS, FrankreichVersand deiner Mails von <name>@gixn.space, ZustellereignisseEU–
Resend, Inc., USAEmpfang der Mails an <name>@gixn.space (bis 30 Tage), Plattform-MailsVersand EU, Empfang USAStandardvertragsklauseln bzw. EU-US Data Privacy Framework (Stand wird geprüft)
Anthropic PBC, USAnur Einrichtungsassistent und Rechnungsimport ohne eigenen SchlüsselUSAStandardvertragsklauseln bzw. EU-US Data Privacy Framework (Stand wird geprüft)

Nachrichtlich, kein Unterauftragsverarbeiter: Stripe (verarbeitet nur deine eigenen Vertrags- und Zahlungsdaten, keine Daten deiner Kunden; dafür sind wir Verantwortlicher).

Anlage TOM (Kurzfassung)

Impressum · Datenschutzerklärung · AGB · AVV
Deutsch · English