Vereinbarung zur Auftragsverarbeitung (Art 28 DSGVO)

zwischen dem Veranstalter — im Folgenden „Verantwortlicher" — und

Develogix Agency e.U., Inhaber Raphael Planer, Johannes-Filzer-Straße 46, 5020 Salzburg, Österreich, FN 594182 y (Landesgericht Salzburg), UID ATU78708212, E-Mail hello@feyer.io — im Folgenden „feyer" oder „Auftragsverarbeiter".

Diese Vereinbarung wird mit der Annahme der Allgemeinen Geschäftsbedingungen für Veranstalter geschlossen und ist deren Bestandteil. Stand: 12. August 2026, Version 1.0.

1. Gegenstand und Abgrenzung

1.1 feyer verarbeitet personenbezogene Daten teils als eigener Verantwortlicher, teils im Auftrag des Verantwortlichen. Diese Vereinbarung gilt ausschließlich für den zweiten Teil.

1.2 Im Auftrag verarbeitet feyer insbesondere:

• das Führen der Teilnehmer- und Gästelisten des Verantwortlichen,
• den Versand von Nachrichten des Verantwortlichen an seine Gäste (Gäste-Broadcast, Absage- und Verlegungsmitteilungen),
• die Bereitstellung von Einlasslisten und Einlassprotokollen für seine Veranstaltungen,
• die Bereitstellung von Auswertungen zu seinen Veranstaltungen.

1.3 Als eigener Verantwortlicher verarbeitet feyer insbesondere zur Bereitstellung, Sicherheit und Weiterentwicklung der Plattform, zur Abwicklung von Zahlungen, zur Erfüllung eigener steuer- und unternehmensrechtlicher Pflichten sowie zur Abwehr von Missbrauch. Diese Verarbeitungen sind nicht Gegenstand dieser Vereinbarung; sie sind in der Datenschutzerklärung von feyer beschrieben.

1.4 Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er die betroffenen Personen anschreiben und ihre Daten für seine Zwecke verwenden darf.

2. Dauer

Die Vereinbarung läuft für die Dauer des Hauptvertrags. Sie endet mit dessen Beendigung; die Pflichten nach § 10 bestehen bis zur vollständigen Rückgabe oder Löschung fort.

3. Art und Zweck der Verarbeitung

Erhebung, Speicherung, Ordnung, Auslesen, Verwendung, Übermittlung an den Verantwortlichen, Einschränkung und Löschung personenbezogener Daten zum Zweck der Durchführung von Veranstaltungen des Verantwortlichen über die Plattform feyer.

4. Art der Daten und Kreis der Betroffenen

Datenarten: Name, E-Mail-Adresse, gegebenenfalls Telefonnummer und Anschrift, Teilnehmername, Bestell- und Ticketdaten, Antworten auf Fragen des Verantwortlichen, Einlassstatus und Zeitpunkt des Einlasses, Kommunikationsverlauf zu Nachrichten des Verantwortlichen.

Betroffene: Käufer:innen und Teilnehmer:innen der Veranstaltungen des Verantwortlichen sowie Personen auf dessen Wartelisten.

Besondere Kategorien personenbezogener Daten nach Art 9 DSGVO sind nicht Gegenstand dieser Vereinbarung. Der Verantwortliche wird solche Daten nicht über die dafür nicht vorgesehenen Freitextfelder erheben.

5. Weisungen

5.1 feyer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten diese Vereinbarung, der Hauptvertrag und die Einstellungen und Aktionen, die der Verantwortliche in der Plattform vornimmt.

5.2 Einzelweisungen sind in Textform an hello@feyer.io zu richten.

5.3 Hält feyer eine Weisung für rechtswidrig, teilt feyer dies unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

5.4 Ist feyer nach Unionsrecht oder österreichischem Recht zu einer Verarbeitung verpflichtet, informiert feyer den Verantwortlichen vor der Verarbeitung, sofern das Recht dies nicht verbietet.

6. Vertraulichkeit

feyer verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff ist auf Personen beschränkt, die ihn für ihre Aufgabe benötigen.

7. Technische und organisatorische Maßnahmen (Art 32 DSGVO)

feyer trifft insbesondere folgende Maßnahmen und hält sie während der Vertragsdauer aufrecht:

Vertraulichkeit. Zugang zu den Systemen nur für benannte Personen mit persönlichen Zugangsdaten und Zwei-Faktor-Authentisierung. Rollenbasierte Rechte in der Anwendung (Inhaber, Mitarbeiter, Nur Einlass). Mandantentrennung auf Datenbankebene: Jede Abfrage ist an den jeweiligen Veranstalter gebunden; die Trennung ist durch automatisierte Tests abgesichert. Verschlüsselte Übertragung ausschließlich über TLS. Verschlüsselte Ablage von Zugangsdaten und Zahlungsvollmachten.

Integrität. Protokollierung sicherheitsrelevanter Vorgänge (Anmeldungen, Rechteänderungen, Zugriffe im Support-Modus) mit Angabe der handelnden Person. Signierte Ticket-Codes, die eine Fälschung erkennbar machen. Getrennte Umgebungen für Entwicklung und Betrieb.

Verfügbarkeit und Belastbarkeit. Tägliche Sicherung von Datenbank und Dokumenten mit verschlüsselter Ablage getrennt vom Produktivsystem. Wiederherstellung erprobt und dokumentiert. Überwachung der zentralen Abläufe mit Alarmierung.

Verfahren zur Überprüfung. Automatisierte Tests der Mandantentrennung und der Zugriffsrechte bei jeder Änderung. Regelmäßige Aktualisierung eingesetzter Komponenten.

Datenminimierung. Im Bestellprozess werden nur die Daten erhoben, die für die Durchführung erforderlich sind. Die Käuferseiten kommen ohne Cookies und ohne Reichweitenmessung aus. E-Mails enthalten keine Zählpixel.

Die Maßnahmen unterliegen der technischen Fortentwicklung. feyer darf sie ändern, sofern das Schutzniveau nicht unterschritten wird.

8. Weitere Auftragsverarbeiter

8.1 Der Verantwortliche stimmt der Beauftragung folgender weiterer Auftragsverarbeiter zu:

8.2 feyer hat mit diesen Unternehmen Verträge geschlossen, die den Anforderungen des Art 28 DSGVO entsprechen, und wählt sie sorgfältig aus.

8.3 feyer informiert den Verantwortlichen mindestens vier Wochen vor der Beauftragung eines weiteren Auftragsverarbeiters oder dem Wechsel eines bestehenden in Textform. Der Verantwortliche kann aus wichtigem, datenschutzbezogenem Grund binnen zwei Wochen widersprechen. Widerspricht er, kann feyer den Hauptvertrag zum geplanten Wechselzeitpunkt kündigen, wenn die Leistung ohne den Wechsel nicht erbracht werden kann.

8.4 Die Zahlungsdienstleister Stripe Payments Europe, Limited und Mollie B.V. sind keine Auftragsverarbeiter von feyer, sondern verarbeiten Zahlungsdaten als eigenständig Verantwortliche.

9. Unterstützung des Verantwortlichen

9.1 Betroffenenrechte. Wendet sich eine betroffene Person mit einem Antrag nach Art 15 bis 22 DSGVO an feyer, der die Verarbeitung im Auftrag betrifft, leitet feyer ihn unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst. feyer unterstützt den Verantwortlichen bei der Beantwortung mit geeigneten technischen Mitteln, insbesondere durch Auskunfts-, Export- und Löschfunktionen in der Plattform.

9.2 Datenschutzverletzungen. feyer meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, mit den zur Meldung nach Art 33 DSGVO erforderlichen Angaben. Die Meldung an die Aufsichtsbehörde obliegt dem Verantwortlichen.

9.3 feyer unterstützt den Verantwortlichen im erforderlichen Umfang bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen nach Art 35 und 36 DSGVO.

10. Löschung und Rückgabe

10.1 Der Verantwortliche kann die von ihm verarbeiteten Daten jederzeit über die Plattform exportieren.

10.2 Nach Beendigung des Hauptvertrags löscht feyer die im Auftrag verarbeiteten Daten binnen 90 Tagen, sofern der Verantwortliche nicht zuvor die Herausgabe verlangt.

10.3 Von der Löschung ausgenommen sind Daten, die feyer aufgrund gesetzlicher Aufbewahrungspflichten weiter vorhalten muss, insbesondere Rechnungs- und Buchhaltungsdaten nach § 132 BAO. Diese werden in der Verarbeitung eingeschränkt und nach Ablauf der Frist gelöscht.

10.4 Sicherungskopien werden im Rahmen der üblichen Aufbewahrungszyklen überschrieben; eine gezielte Löschung aus bestehenden Sicherungen erfolgt nicht, die Daten werden aber nicht wiederhergestellt.

11. Nachweise und Überprüfung

11.1 feyer stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung, insbesondere eine aktuelle Beschreibung der Maßnahmen nach § 7.

11.2 Der Verantwortliche kann sich nach vorheriger Ankündigung mit angemessener Frist von der Einhaltung überzeugen. Überprüfungen erfolgen zu üblichen Geschäftszeiten, ohne den Betrieb zu stören, und nicht häufiger als einmal jährlich, sofern kein besonderer Anlass besteht. Personen, die für einen Wettbewerber tätig sind, sind ausgeschlossen.

12. Haftung

Die Haftungsregelungen des Hauptvertrags gelten entsprechend. Art 82 DSGVO bleibt unberührt.

13. Schlussbestimmungen

13.1 Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung vor, soweit die Verarbeitung im Auftrag betroffen ist.

13.2 Es gilt österreichisches Recht. Gerichtsstand ist Salzburg, soweit der Verantwortliche Unternehmer ist.

13.3 Ist eine Bestimmung unwirksam, bleibt die Vereinbarung im Übrigen wirksam.

Auftragsverarbeitung · Version 1.0 · Stand 12. August 2026