Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) zwischen Bühne und TACK Events UG

Parteien

Verantwortliche: die Bühne, die über das Konto bei SlamApp.de angelegt wurde (Name und Anschrift laut Konto und Impressum der Bühne; bei Vereinen und Firmen der Rechtsträger und die vertretungsberechtigte Person laut Angabe beim Anlegen).

Auftragsverarbeiterin: TACK Events UG (haftungsbeschränkt), Wallgasse 1, 97070 Würzburg, vertreten durch die Geschäftsführerin Talia Klenk, E-Mail info@tack-events.com. Eine Datenschutzbeauftragte ist nicht benannt. Ansprechperson für Datenschutz: wie oben.

Abschnitt I: Gegenstand

1. Zweck. TACK Events verarbeitet personenbezogene Daten im Auftrag der Bühne, soweit die Bühne sie über SlamApp.de erhebt oder eintragen lässt (Anhang II). Die Anhänge I bis IV sind Teil des Vertrags.

2. Vorrang. Bei Widerspruch zwischen diesem Vertrag und anderen Vereinbarungen, zum Beispiel den AGB, gehen die Regeln dieses Vertrags zum Datenschutz vor.

3. Begriffe. Begriffe haben die Bedeutung wie in der Verordnung (EU) 2016/679. Der Vertrag ist im Licht dieser Verordnung auszulegen.

Abschnitt II: Pflichten der Parteien

4. Weisungen. TACK Events verarbeitet die Daten nur auf dokumentierte Weisung der Bühne, außer das Recht der Union oder eines Mitgliedstaats verlangt es anders; dann teilt TACK Events das vorher mit. Die Bühne erteilt Weisungen laufend durch die Nutzung der Plattform (Einstellungen, Funktionen, Löschen) und in Textform an info@tack-events.com. Hält TACK Events eine Weisung für rechtswidrig, sagt sie es unverzüglich.

5. Zweckbindung. TACK Events verarbeitet die Daten nur für den in Anhang II genannten Zweck. Die Bühne weist TACK Events an, aus ihren Daten Zahlen ohne Personenbezug für Betrieb, Sicherheit und Statistik zu bilden und die Sicherheitsprotokolle nach Datenschutzerklärung Abschnitt 3.2 und 3.3 zu führen. Für diese Protokolle ist TACK Events selbst Verantwortliche.

6. Dauer und Rückgabe. TACK Events verarbeitet die Daten für die Dauer des Vertrags über das Konto. Löscht die Bühne ihre Bühne, werden die Daten sofort und endgültig gelöscht; vorher kann die Bühne alles unter „Meine Daten“ exportieren. Endet der Vertrag auf anderem Weg (Kündigung, Sperre), gibt TACK Events auf Wunsch binnen 30 Tagen alle Daten als Datei heraus und löscht sie danach. Gesetzliche Aufbewahrungspflichten bleiben; die Daten werden dann gesperrt. Kopien in den Sicherungen werden mit der Rotation von sieben Nächten überschrieben.

7. Sicherheit. TACK Events ergreift mindestens die Maßnahmen in Anhang III, überprüft sie regelmäßig und passt sie an. Sie gewährt Personen, die Zugang haben, nur den Zugang, den sie brauchen, und verpflichtet sie zur Vertraulichkeit. Wer den Server verwaltet, kann technisch auf alle Daten zugreifen; das sind wenige Personen im Team.

8. Besondere Kategorien. Betrifft die Verarbeitung besondere Kategorien (Art. 9 DSGVO) oder Daten über Straftaten (Art. 10 DSGVO), gelten zusätzliche Garantien: Zugriff nur für die dafür vorgesehenen Rollen (Anhang III Nr. 1), kurze Löschfristen (Anhang II), Meldungen zu Vorfällen in einer eigenen Sammlung und kein Zugriff von Vertretungen auf Meldungen, die an die Awareness-Person gehen. In SlamApp.de können das sein: Notizen und Absagegründe an Lineup-Einträgen, Angaben zu Ernährung und Allergien, Merkmale, die Künstlys einer Bühne mitteilen, Meldungen zu Vorfällen bei Veranstaltungen, Hilfe-Nachrichten mit Standort. Die Bühne klärt als Verantwortliche selbst, auf welcher Grundlage sie solche Angaben verarbeitet.

9. Nachweise und Prüfungen. TACK Events beantwortet Anfragen der Bühne zur Verarbeitung zeitnah und stellt die Informationen zur Verfügung, die zum Nachweis nötig sind. Grundmodus sind Nachweise: Berichte und Zertifikate des Hosters und eine Auskunft von TACK Events. Eine Inspektion bei TACK Events ist möglich; die Bühne kündigt sie mindestens 14 Tage vorher an und führt sie zu üblichen Geschäftszeiten ohne Störung des Betriebs durch. Anlassprüfungen (Datenpanne, Verlangen der Aufsichtsbehörde) sind ohne Frist möglich. Im Rechenzentrum des Hosters kann TACK Events keine Inspektion gestatten. Ergebnisse sind vertraulich. Kosten trägt die Bühne nur für Prüfungen, die mehr als einen Tag Aufwand verursachen, nach vorheriger Schätzung.

10. Unterauftragsverarbeiter. Die Bühne genehmigt die in Anhang IV unter „Eingesetzt“ genannten Unterauftragsverarbeiter allgemein. TACK Events teilt mindestens 30 Tage vorher jede beabsichtigte Änderung (Hinzufügen, Ersetzen) per Mail und in Anhang IV auf der Seite Vertrag zur Auftragsverarbeitung mit. Die Bühne kann in dieser Zeit widersprechen. Bei Widerspruch bemühen sich die Parteien um eine Lösung; gelingt sie nicht, kann die Bühne den Vertrag über das Konto zum Zeitpunkt der Änderung ohne Frist kündigen. Bei einem Notwechsel (Ausfall des Hosters, Sicherheitsvorfall) darf TACK Events sofort wechseln; sie teilt es unverzüglich mit, und das Widerspruchsrecht gilt nachträglich. TACK Events schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm dieselben Pflichten auferlegt, soweit der Dienst Verträge anbietet, und haftet der Bühne für dessen Pflichterfüllung. Eine Kopie des Vertrags oder der wesentlichen Teile gibt sie auf Verlangen heraus (Geschäftsgeheimnisse dürfen geschwärzt werden).

11. Drittländer. Übermittlungen in ein Drittland erfolgen nur auf Weisung der Bühne oder wegen einer Pflicht nach Unionsrecht und nur nach Kapitel V der Verordnung. Hoster und Sicherungen liegen in der Schweiz (Infomaniak Network SA); Grundlage ist der Angemessenheitsbeschluss der Kommission für die Schweiz. Die Bühne erteilt die Weisung zur Übermittlung dorthin mit diesem Vertrag. Weitere Übermittlungen in Drittländer (Anhang IV) erfolgen nur mit einem Angemessenheitsbeschluss oder Standardvertragsklauseln.

12. Unterstützung der Bühne.

• Anfragen betroffener Personen, die bei TACK Events eingehen und eine Bühne betreffen, leitet TACK Events innerhalb von drei Werktagen weiter und antwortet nicht selbst, außer auf Weisung.
• TACK Events unterstützt bei Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch mit den Mitteln der Plattform: „Meine Daten“ (Auskunft und Export als JSON), Löschen von Einträgen und Gästen, Abmelden von Newslettern. Newsletter-Adressen enthält die Auskunft nicht; sie sind in der Newsletter-Verwaltung der Bühne einsehbar.
• TACK Events unterstützt bei den Pflichten nach Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen und stellt auf Anfrage die Angaben bereit, die die Bühne für ihr Verzeichnis (Art. 30) braucht.

13. Verletzung des Schutzes personenbezogener Daten. Bei einer Verletzung bei der Bühne unterstützt TACK Events bei der Meldung an die Aufsichtsbehörde (Art. 33) und der Benachrichtigung der Betroffenen (Art. 34). Bei einer Verletzung bei TACK Events meldet sie diese der Bühne unverzüglich, in der Regel binnen 48 Stunden nach Kenntnis. Die Meldung enthält: Art der Verletzung (Kategorien und ungefähre Zahl der Betroffenen und Datensätze), Kontaktstelle, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Fehlen Angaben, werden sie nachgereicht. Meldeweg: E-Mail an die Adresse des Kontos und an den Notfall-Kontakt der Bühne, den sie beim Anlegen angibt.

14. Verstöße und Beendigung. Verstößt TACK Events gegen diesen Vertrag, kann die Bühne sie anweisen, die Verarbeitung auszusetzen, bis der Verstoß behoben ist oder der Vertrag endet. TACK Events teilt unverzüglich mit, wenn sie den Vertrag nicht einhalten kann. Die Bühne kann kündigen, wenn die Verarbeitung ausgesetzt wurde und die Einhaltung nicht binnen eines Monats wiederhergestellt ist, bei erheblichem oder anhaltendem Verstoß oder wenn TACK Events einer verbindlichen Entscheidung eines Gerichts oder einer Aufsichtsbehörde nicht nachkommt. TACK Events kann kündigen, wenn die Bühne auf einer rechtswidrigen Weisung besteht. Nach Beendigung löscht oder gibt TACK Events die Daten zurück (Nr. 6).

Abschnitt III: Ergänzende Regeln

A. Rollen und Abgrenzung.

1. Die Bühne ist Verantwortliche für die Daten ihrer Gäste, Reservierenden, Newsletter-Abonnent*innen, Anfragenden, Eingeladenen, Teilnehmenden der offenen Liste, des Lineups ohne Konto, der Jury-Plätze, der Gästelisten und der Unterhaltungen der Bühne. Sie informiert die Betroffenen (Art. 13, 14) mit ihrer Datenschutzerklärung; die Textbausteine von TACK Events sind ein Hilfsmittel.
2. Für Daten von Künstlys mit eigenem Konto, die in ein Lineup eingetragen werden, ist TACK Events Verantwortliche für das Profil und die Bühne Verantwortliche für die Lineup-Zeile (Planung des Abends).
3. Für Meldungen zu Verhalten bei Veranstaltungen, die die Betroffene an die Awareness-Person der Bühne richtet (AGB § 13), ist die Bühne Verantwortliche. Meldungen, die an das Team von SlamApp.de gehen, gehören TACK Events. Wählt die Meldende beide, entstehen zwei getrennte Meldungen.
4. TACK Events verarbeitet Daten der Bühne nicht für eigene Zwecke, außer nach Nr. 5. Das gilt nicht für Daten, für die sie selbst Verantwortliche ist (Konto, Zahlungen, Sicherheit, Moderation).

B. Vertretungen und Support. Die Bühne kann Konten Rechte an der Bühne geben. Für deren Auswahl und Verschwiegenheit ist sie verantwortlich. Zugang durch das Team von SlamApp.de erfolgt nur mit ihrer Erlaubnis (höchstens 7 Tage) oder auf Grund einer Meldung, einer Sicherheitsstörung oder einer rechtlichen Pflicht.

C. Vergütung. Der Vertrag ist Teil des Tarifs. Zusätzliche Kosten entstehen nur nach Nr. 9.

D. Haftung. Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO. Für Ansprüche der Bühne gegen TACK Events aus diesem Vertrag gelten AGB § 15.1 und § 15.2; AGB § 15.3 gilt nicht. Der Rückgriff nach Art. 82 Abs. 5 DSGVO bleibt unberührt.

E. Laufzeit. Der Vertrag gilt, solange die Bühne bei SlamApp.de besteht, und endet mit dem Löschen der Bühne oder dem Ende des Kontos (AGB § 6).

F. Änderungen. Änderungen dieses Vertrags, auch der Fristen in Anhang II, erfolgen nur mit Zustimmung der Bühne nach AGB § 16.

G. Recht und Gerichtsstand. Es gilt deutsches Recht. Ist die Bühne Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Gerichtsstand Würzburg.

Anhang I: Liste der Parteien

Anhang II: Beschreibung der Verarbeitung

Betroffene Personen

• Besucher*innen und Gäste, die reservieren, auf eine Gästeliste kommen, per QR-Code abstimmen oder sich mit Name und Mail eintragen,
• Newsletter-Abonnent*innen der Bühne,
• Personen, die der Bühne über Kontaktformular oder Anfrage-Formular schreiben,
• Teilnehmende der offenen Liste und Warteliste,
• Eingeladene ohne Konto und Gäste im Lineup (auch Minderjährige, zum Beispiel Schulworkshops),
• Künstlys, Helfende, Awareness-Personen, Technik, Moderation und Einlass im Lineup einer Bühne (Planung des Abends),
• Jury-Plätze,
• Personen, die auf Fotos, Folien, Videos, Bildern der Bühne erscheinen,
• Personen, die Meldungen zu Verhalten bei Veranstaltungen über den Awareness-Weg der Bühne machen oder in ihnen genannt werden.

Kategorien personenbezogener Daten

Besondere Kategorien: Gesundheit (Allergien; freiwillig von Künstlys geschriebene Absagegründe), mögliche Rückschlüsse auf Religion oder Gesundheit (Kostform), Merkmale, die Künstlys mitteilen, Inhalte von Vorfallmeldungen (Sexualleben, Herkunft, Religion, Gesundheit, auch Angaben zu Straftatverdacht möglich), Fotos mit Rückschluss auf Herkunft oder Religion. Verantwortlich bleibt die Bühne, soweit sie die Daten einträgt oder die Betroffene sie ihr mitteilt.

Art der Verarbeitung: Erheben (Formulare), Speichern, Anzeigen für berechtigte Rollen, Versenden von Mails (Bestätigung, Erinnerung, Newsletter, Lineup), Weiterleiten, Exportieren, Sperren, Löschen, Sichern, Statistik als Zahl.

Zweck: Betrieb der Plattform für die Bühne: Organisation von Veranstaltungen, Reservierung, Einlass, Kommunikation mit Lineup und Publikum, Abrechnung, Website, Wertung.

Dauer und Löschfristen (Weisung der Bühne; Änderung nur nach Abschnitt III F):

Anhang III: Technische und organisatorische Maßnahmen

Anhang IV: Unterauftragsverarbeiter

Stand: 1. November 2026. Die aktuelle Liste steht hier und auf der Seite Vertrag zur Auftragsverarbeitung.

Eingesetzt (genehmigt nach Nr. 10)

Vorbehalten (wird erst nach 30 Tagen Mitteilung eingesetzt)

Empfänger und eigene Verantwortliche, keine Unterauftragsverarbeiter: OpenStreetMap Foundation (Nominatim; erhält Adressen von Veranstaltungsorten und Orts- und Postleitzahl-Eingaben von Besucher*innen), Let's Encrypt (erhält die Domainnamen der Bühnen-Websites), Mollie B.V. (Zahlungen an TACK Events, nicht Daten der Bühne).

Dienste der Bühne selbst: Ticket-Anbieter (Reservix, Eventfrog, Eventbrite), Lexware (Lexoffice), eigene Mailserver der Bühne, Ziele von Webhooks, Einbettungen Dritter (Video, Podcast, Ticket-Fenster, HTML-Block). Dafür schließt die Bühne ihre Verträge selbst.

Nicht Teil dieses Vertrags: Feedback, das du uns schickst, und das Kontaktformular von SlamApp.de (Datenschutzerklärung Abschnitt 14).

Zuordnung zu Art. 28 Abs. 3 DSGVO