Aktives AVV-Paket

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

EVUSION Event Solutions UG (haftungsbeschränkt)

Stand: 11. Juli 2026

---

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend "AVV") ergänzt den Hauptvertrag zwischen dem Verantwortlichen (nachfolgend "Auftraggeber") und der EVUSION Event Solutions UG (haftungsbeschränkt), Torf 10, 59581 Warstein (nachfolgend "Auftragsverarbeiter" oder "EVUSION") über die Nutzung der EVUSION-Plattform. Er konkretisiert die Pflichten der Vertragsparteien gemäß Art. 28 DSGVO und ergänzenden Vorgaben des BDSG.

§ 1 Gegenstand, Dauer und Verarbeitungsort

1. Gegenstand des AVV ist die Verarbeitung personenbezogener Daten durch EVUSION im Auftrag des Auftraggebers im Rahmen der Bereitstellung der EVUSION-Plattform für Event-Management, Teilnehmer- und Gästemanagement, Kommunikation, Check-in sowie optional aktivierbare Ticketing-, Assistenz- und Zahlungsfunktionen.
2. Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags. Pflichten aus diesem AVV, die nach Vertragsende fortgelten (insbesondere Vertraulichkeit, Löschung, Rückgabe), bleiben hiervon unberührt.
3. Die Verarbeitung erfolgt grundsätzlich in Rechenzentren innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (EU/EWR). Übermittlungen in Drittländer sind nur unter den Voraussetzungen der Art. 44 ff. DSGVO und insbesondere auf Grundlage der Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 sowie – soweit anwendbar – des EU-US Data Privacy Framework zulässig.

§ 2 Umfang, Art und Zweck der Verarbeitung; Datenkategorien; Betroffene

2.1 Umfang und Zweck

Umfang und Zweck der Verarbeitung ergeben sich aus dem Hauptvertrag sowie den dort vereinbarten Leistungsbeschreibungen. Sie umfassen insbesondere:

• Event-Erstellung, Sitzplatz-, Gäste- und Teilnehmerverwaltung,
• Versand transaktionaler Nachrichten per E-Mail und In-App-Benachrichtigungen,
• Check-in, Zutritts- und Anwesenheitsverwaltung,
• Reporting, Statistik, Support und Plattform-Administration,
• optional aktivierte Assistenzfunktionen sowie Ticketing- und Zahlungsfunktionen.

2.2 Art der Verarbeitung

Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Verknüpfen, Einschränken, Löschen und Vernichten – soweit dies zur Leistungserbringung erforderlich ist.

2.3 Datenkategorien

• Stamm- und Kontaktdaten (Name, E-Mail, Telefon, Anschrift),
• Account- und Login-Daten,
• Event-, Teilnahme-, Anwesenheits- und Kommunikationsdaten,
• Eingaben und maschinell unterstützte Inhalte, soweit der Auftraggeber Assistenzfunktionen aktiviert,
• Protokoll-, Sicherheits- und Nutzungsdaten,
• Buchungs- und Transaktionsdaten bei aktivierten Zahlungsfunktionen,
• in begrenztem Umfang besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, soweit Betroffene diese freiwillig im Rahmen einer Veranstaltung angeben (z. B. Allergien, Barrierefreiheitsbedarf).

2.4 Betroffene Personen

• Veranstalter und deren Mitarbeitende,
• Teilnehmende, Gäste und Ticketkäufer,
• Dienstleister, Aussteller, Sponsoren und Lieferanten,
• sonstige im Event-Kontext erfasste Kontaktpersonen.

§ 3 Pflichten des Auftragsverarbeiters

EVUSION verpflichtet sich insbesondere zu:

1. Verarbeitung ausschließlich auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO); abweichende gesetzliche Verpflichtungen werden vorab mitgeteilt, soweit dies rechtlich zulässig ist.
2. Vertraulichkeit: schriftliche oder elektronisch nachweisbare Verpflichtung aller zur Verarbeitung befugten Personen zur Vertraulichkeit oder Bindung an eine angemessene gesetzliche Verschwiegenheitspflicht.
3. Umsetzung und Aufrechterhaltung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe § 7).
4. Unterstützung des Auftraggebers bei der Erfüllung von Betroffenenrechten, Datenschutzfolgenabschätzungen (Art. 35, 36 DSGVO) sowie bei Meldungen nach Art. 33 und 34 DSGVO.
5. Information des Auftraggebers, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen Datenschutzrecht verstößt.
6. Bereitstellung aller erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten.
7. Benennung eines Ansprechpartners für Datenschutzfragen; ein etwaiger Datenschutzbeauftragter wird auf Anfrage benannt.

§ 4 Pflichten des Auftraggebers

1. Der Auftraggeber ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung sowie die Wahrung der Rechte der Betroffenen verantwortlich.
2. Er erteilt Weisungen grundsätzlich in Textform; mündliche Weisungen werden unverzüglich dokumentiert.
3. Er informiert die betroffenen Personen nach Art. 13 und 14 DSGVO und stellt die erforderlichen Rechtsgrundlagen sicher.
4. Er benennt einen Ansprechpartner für Datenschutzfragen.

§ 5 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt EVUSION eine allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern im Sinne von Art. 28 Abs. 2 DSGVO. EVUSION informiert den Auftraggeber mindestens 30 Tage vor einer beabsichtigten Hinzuziehung oder Ersetzung in Textform; der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen.
2. EVUSION verpflichtet die Unterauftragsverarbeiter zu denselben Datenschutzpflichten, die dieser AVV vorsieht.
3. Aktuelle Unterauftragsverarbeiter (Stand: 11. Juli 2026):

4. Eigenbetriebene Plattformkomponenten – einschließlich einer selbst betriebenen Signaturkomponente, soweit aktiviert – werden auf kontrollierter Infrastruktur betrieben und stellen keine separaten externen Unterauftragsverarbeiter dar. Informationen zu Schutzmaßnahmen und Datenflüssen werden berechtigten Vertragspartnern im Rahmen der Vertrags- und Datenschutzunterlagen bereitgestellt.
5. Stripe Payments Europe Ltd. (Irland) ist bei aktivierten Zahlungsfunktionen eigenständig Verantwortlicher im Sinne der DSGVO für die Zahlungsabwicklung und Betrugsprävention. Soweit eine Übermittlung an Stripe Inc. (USA) erfolgt, geschieht dies auf Grundlage der Standardvertragsklauseln und – soweit zertifiziert – des EU-US Data Privacy Framework.

§ 6 Betroffenenrechte

1. Anfragen Betroffener sind grundsätzlich gegenüber dem Auftraggeber geltend zu machen.
2. EVUSION unterstützt den Auftraggeber durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Rechte aus Art. 15 bis 22 DSGVO.
3. Wendet sich eine betroffene Person unmittelbar an EVUSION, leitet EVUSION die Anfrage unverzüglich an den Auftraggeber weiter.

§ 7 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

EVUSION setzt risikoorientiert geeignete technische und organisatorische Maßnahmen ein und entwickelt diese nach dem jeweiligen technischen und organisatorischen Betriebsstand fort. Die Maßnahmen umfassen insbesondere:

• Zutritts-, Zugangs- und Zugriffskontrollen,
• Schutz bei Übertragung, Eingabe und Weitergabe von Daten,
• Verfügbarkeits-, Wiederherstellungs- und Sicherheitsvorfallmaßnahmen,
• Maßnahmen zur Vertraulichkeit, Integrität und Mandantentrennung,
• Auftragskontrolle bei der Einbindung von Unterauftragsverarbeitern sowie
• Datenschutzmanagement und Nachweisverfahren.

Die Maßnahmen werden risikoorientiert fortentwickelt. Eine aktuelle TOM-Fassung mit den für den jeweiligen Auftrag erforderlichen Details wird berechtigten Auftraggebern auf Anfrage bereitgestellt.

§ 8 Kontrollrechte

1. Der Auftraggeber kann die Einhaltung der Pflichten durch geeignete Nachweise, insbesondere durch Vorlage des aktuellen TOM-Dokuments sowie ggf. durch Zertifikate oder Prüfberichte unabhängiger Dritter, überprüfen.
2. Soweit dies nicht ausreichend ist, kann der Auftraggeber nach angemessener Vorankündigung (in der Regel mindestens 30 Tage) und während üblicher Geschäftszeiten eine Vor-Ort-Kontrolle durchführen. Die Kontrolle hat die betrieblichen Abläufe und Sicherheitsinteressen von EVUSION zu wahren.
3. Die Kosten einer Vor-Ort-Kontrolle trägt der Auftraggeber, sofern die Kontrolle nicht durch einen begründeten Verdacht auf einen Verstoß durch EVUSION veranlasst ist.

§ 9 Datenschutzverletzungen

1. EVUSION meldet Datenschutzverletzungen im Sinne von Art. 4 Nr. 12 DSGVO, die personenbezogene Daten des Auftraggebers betreffen, unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, an den Auftraggeber.
2. Die Meldung enthält mindestens die Informationen nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
3. EVUSION unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gegenüber Aufsichtsbehörden (Art. 33 DSGVO) und Betroffenen (Art. 34 DSGVO) sowie bei der Dokumentation, Eindämmung und Aufarbeitung des Vorfalls.

§ 10 Löschung und Rückgabe

1. Nach Beendigung des Hauptvertrags löscht EVUSION sämtliche personenbezogenen Daten des Auftraggebers nach Wahl des Auftraggebers oder gibt sie zurück, sofern und soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
2. Der Auftraggeber kann innerhalb einer angemessenen Frist (in der Regel 30 Tage) einen strukturierten Export der Daten in einem gängigen, maschinenlesbaren Format anfordern.
3. Anschließend werden die Daten gemäß einem dokumentierten Löschkonzept gelöscht. Backup- und Object-Lock-Sicherungen werden ausschließlich für Wiederherstellung und Nachweiszwecke vorgehalten und gemäß dokumentiertem Backup-Zyklus sowie konfigurierten Object-Lock-Fristen überschrieben oder gelöscht; bis dahin werden die Daten gegen weitere Verarbeitung gesperrt.
4. Daten, die aufgrund handels- oder steuerrechtlicher Pflichten weiter aufbewahrt werden müssen, werden bis zum Ablauf der gesetzlichen Fristen ausschließlich zu Aufbewahrungszwecken eingeschränkt verarbeitet.

§ 11 Haftung

1. Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und den ergänzenden Regelungen des Hauptvertrags.
2. EVUSION haftet nach Art. 82 Abs. 2 Satz 2 DSGVO insbesondere bei Verstößen gegen speziell an Auftragsverarbeiter gerichtete Pflichten der DSGVO oder bei Verarbeitung entgegen rechtmäßiger Weisungen des Auftraggebers.

§ 12 Schlussbestimmungen

1. Änderungen und Ergänzungen dieses AVV bedürfen der Textform und sind als solche zu kennzeichnen. Die Annahme des AVV wird bei Vertragsschluss oder Aktivierung der auftragsverarbeitenden Funktionen versioniert dokumentiert.
2. Bei Widersprüchen zwischen diesem AVV und den Regelungen des Hauptvertrags gehen die Regelungen dieses AVV in datenschutzrechtlicher Hinsicht vor.
3. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
4. Es gilt deutsches Recht. Gerichtsstand ist – soweit gesetzlich zulässig – Arnsberg.

Kontakt

Fragen zur Auftragsverarbeitung richten Sie bitte an privacy@evusion.com oder an die im Impressum genannten Adressen.

Stand: 11. Juli 2026