weddingsuite.io

zwischen

der Workspace-Inhaber gemäß den Angaben im jeweiligen Account (nachfolgend „Verantwortlicher“)

und

Maikranz GmbH
Geschäftsführer: Christian Maikranz
Nußallee 7F, 63450 Hanau
E-Mail: backoffice@maikranz-business.com
(nachfolgend „Auftragsverarbeiter“)

– gemeinsam die „Parteien“ –

Der Verantwortliche nutzt die vom Auftragsverarbeiter bereitgestellte Software-as-a-Service-Plattform weddingsuite.io zur Verwaltung von Hochzeits- und Eventplanungsprozessen, einschließlich CRM, Gästeverwaltung, Buchungen, Kommunikation und Abrechnung. Im Rahmen dieser Nutzung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Dieser Vertrag konkretisiert die Pflichten der Parteien im Hinblick auf den Datenschutz gemäß Art. 28 DSGVO und ist Bestandteil der zwischen den Parteien geschlossenen Hauptvereinbarung (Allgemeine Geschäftsbedingungen der Plattform).

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung und des Betriebs der Plattform weddingsuite.io. Einzelheiten zu Art, Umfang und Zweck der Verarbeitung sowie zu den betroffenen Datenkategorien und Personengruppen ergeben sich aus Anlage 1.

(2) Die Dauer dieser Vereinbarung entspricht der Dauer des Hauptvertrags (Nutzung der Plattform). Sie endet automatisch mit Beendigung des Hauptvertrags, unbeschadet der in § 9 geregelten nachvertraglichen Pflichten.

(1) Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten sowie die Kategorien betroffener Personen sind in Anlage 1 dieses Vertrags abschließend beschrieben.

(2) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, soweit er nicht durch das Recht der Europäischen Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO). In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht untersagt.

(3) Die durch den Verantwortlichen in der Konfiguration der Plattform (z. B. durch Eingabe von Daten in Workspace-Funktionen wie Gästeverwaltung, CRM, Formulare, Buchungen, E-Mail-Integration) erteilten Weisungen gelten als dokumentierte Weisungen im Sinne dieses Vertrags. Mündliche Weisungen sind unverzüglich schriftlich oder per E-Mail zu bestätigen.

(4) Der Verantwortliche ist berechtigt, im Rahmen der vertraglich vereinbarten Leistungsbeschreibung jederzeit weitere Weisungen zu Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Erkennt der Auftragsverarbeiter, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen.

(1) Der Auftragsverarbeiter hat die in Anlage 2 dargestellten technischen und organisatorischen Maßnahmen (TOM) gemäß Art. 32 DSGVO getroffen und dokumentiert. Diese gewährleisten ein dem Risiko angemessenes Schutzniveau hinsichtlich Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme.

(2) Der Auftragsverarbeiter ist berechtigt, die getroffenen Maßnahmen anzupassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind dem Verantwortlichen auf Anfrage mitzuteilen.

(1) Der Auftragsverarbeiter darf die Verarbeitung der personenbezogenen Daten nicht eigenmächtig berichtigen, löschen oder ihre Verarbeitung einschränken, sondern ausschließlich nach dokumentierter Weisung des Verantwortlichen. Ausgenommen sind technisch notwendige Löschungen (z. B. automatisches Löschen abgelaufener Sitzungs-Token) sowie gesetzlich zwingende Aufbewahrungspflichten.

(2) Soweit eine betroffene Person sich direkt an den Auftragsverarbeiter wendet, um ihre Rechte (Art. 15–22 DSGVO) auszuüben, leitet der Auftragsverarbeiter diese Anfrage unverzüglich an den Verantwortlichen weiter, da dieser für die in seinem Workspace verarbeiteten Daten datenschutzrechtlich Verantwortlicher ist.

(3) Der Auftragsverarbeiter stellt dem Verantwortlichen in der Plattform geeignete Funktionen zur eigenständigen Berichtigung, Löschung und Exportierung der von ihm verwalteten Daten zur Verfügung, soweit dies im Rahmen des aktuellen Funktionsumfangs technisch möglich ist.

(1) Der Auftragsverarbeiter gewährleistet, dass die mit der Verarbeitung der personenbezogenen Daten betrauten Personen vor Aufnahme ihrer Tätigkeit mit den relevanten Bestimmungen des Datenschutzes vertraut gemacht wurden und auf die Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 S. 2 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

(2) Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der Tätigkeit fort.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (Datensicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation der Aufsichtsbehörde).

(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, über Verletzungen des Schutzes personenbezogener Daten (Art. 33 DSGVO), die in seinem Verantwortungsbereich aufgetreten sind, und unterstützt ihn bei der Erfüllung etwaiger Melde- und Benachrichtigungspflichten.

(5) Der Auftragsverarbeiter benennt auf Anfrage einen Ansprechpartner für datenschutzrechtliche Fragestellungen im Zusammenhang mit diesem Vertrag (Kontakt: backoffice@maikranz-business.com).

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Beauftragung der in Anlage 3 aufgeführten Unterauftragsverarbeiter zu den dort genannten Zwecken. Der Auftragsverarbeiter stellt sicher, dass diesen Unterauftragsverarbeitern die gleichen Datenschutzpflichten auferlegt werden, wie sie in diesem Vertrag vereinbart sind, insbesondere hinreichende Garantien hinsichtlich technischer und organisatorischer Maßnahmen.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung weiterer Unterauftragsverarbeiter, sodass der Verantwortliche die Möglichkeit hat, gegen derartige Änderungen innerhalb von 14 Tagen nach Mitteilung Einspruch zu erheben. Erfolgt kein Einspruch innerhalb dieser Frist, gilt die Änderung als genehmigt.

(3) Erfolgt die Verarbeitung durch einen Unterauftragsverarbeiter mit Sitz außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums, stellt der Auftragsverarbeiter sicher, dass ein angemessenes Datenschutzniveau gewährleistet ist (z. B. durch EU-Standardvertragsklauseln gemäß Art. 46 DSGVO oder ein gültiges Angemessenheitsbeschluss-Rahmenwerk wie das EU-US Data Privacy Framework).

(1) Der Verantwortliche hat das Recht, sich vor Beginn der Verarbeitung und in regelmäßigen Abständen von der Einhaltung der vom Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Hierzu kann der Verantwortliche unter anderem Auskünfte einholen oder vorhandene Nachweise (z. B. Zertifizierungen, Testat- bzw. Sicherheitsdokumentationen der eingesetzten Subunternehmer wie Supabase oder Stripe) einsehen.

(2) Vor-Ort-Kontrollen oder Audits durch den Verantwortlichen oder einen von ihm benannten, nicht im Wettbewerb mit dem Auftragsverarbeiter stehenden Prüfer sind mit angemessener Vorlaufzeit (mindestens 14 Tage) anzukündigen und finden während der üblichen Geschäftszeiten statt, ohne den Betrieb des Auftragsverarbeiters unzumutbar zu beeinträchtigen.

(3) Die Kosten eigener Prüfungen trägt der Verantwortliche, soweit nicht ein Verstoß des Auftragsverarbeiters gegen diesen Vertrag festgestellt wird.

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Kräften bei der Erfüllung der in Art. 33 und 34 DSGVO genannten Pflichten, insbesondere durch unverzügliche Meldung relevanter Vorfälle, Bereitstellung verfügbarer Informationen über Art, Umfang und voraussichtliche Folgen der Verletzung sowie der bereits getroffenen oder vorgeschlagenen Abhilfemaßnahmen.

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche im Rahmen der Auftragsverarbeitung verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.

(2) Der Verantwortliche hat während eines angemessenen Zeitraums nach Vertragsende (in der Regel 30 Tage) die Möglichkeit, die in seinem Workspace gespeicherten Daten selbst zu exportieren. Nach Ablauf dieser Frist werden die Daten endgültig und unwiderruflich gelöscht.

(3) Ausgenommen von der Löschung sind Daten, deren Aufbewahrung der Auftragsverarbeiter aus eigenen gesetzlichen Gründen vornehmen muss (z. B. handels- und steuerrechtliche Aufbewahrungsfristen für Rechnungsdaten sowie E-Mail-Abmeldelisten zur dauerhaften Wahrung von Widerspruchsrechten Betroffener).

Die Haftung der Parteien richtet sich nach den gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO, sowie ergänzend nach den Haftungsregelungen des Hauptvertrags, soweit diese nicht im Widerspruch zu zwingenden datenschutzrechtlichen Vorgaben stehen.

(1) Dieser Vertrag unterliegt deutschem Recht.

(2) Sollten einzelne Teile dieses Vertrags unwirksam sein, berührt dies die Wirksamkeit des übrigen Vertrags nicht.

(3) Bei Widersprüchen zwischen diesem Vertrag und sonstigen Vereinbarungen, insbesondere den AGB des Hauptvertrags, haben die Regelungen dieses Vertrags zum Datenschutz Vorrang.

(4) Änderungen und Ergänzungen dieses Vertrags sowie aller seiner Bestandteile bedürfen einer schriftlichen oder dokumentierten elektronischen Vereinbarung.