Data processing agreement.

Stand: 5. November 2026

Vereinbarung nach Art. 28 DSGVO zwischen dem Veranstalter („Verantwortlicher“) und Caldero Systems GmbH, Lübecker Straße 74, 22087 Hamburg („Auftragsverarbeiter“). Sie wird mit der Zustimmung beim Anlegen eines Hauses geschlossen und ergänzt die AGB. Bei Widersprüchen geht diese Vereinbarung vor.

1. Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen die Plattform artwork tickets für Kartenverkauf und Einlass bereit und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Die Vereinbarung gilt, solange der Vertrag über die Nutzung der Plattform besteht.

2. Art, Zweck und betroffene Daten

• Zwecke: Verkauf und Zustellung von Tickets, Mehrfachkarten und Abonnements, Zahlungsabwicklung, Einlasskontrolle, Kundenkonten, Auswertungen für den Verantwortlichen
• Daten: Kontakt- und Bestelldaten, Ticket- und Einlassdaten, Zahlungsstatus (keine Kartennummern), Kontodaten der Käufer
• Betroffene: Käuferinnen und Käufer, Inhaber von Mehrfachkarten und Abonnements, Beschäftigte des Verantwortlichen

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, die in der Nutzung der Plattform und ihrer Einstellungen liegt, es sei denn, das Recht der EU oder eines Mitgliedstaats verpflichtet ihn zu einer anderen Verarbeitung. Hält er eine Weisung für rechtswidrig, teilt er das unverzüglich mit.

4. Vertraulichkeit

Alle Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.

5. Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere:

• verschlüsselte Übertragung (TLS) und verschlüsselte Bankdaten
• Rechte- und Rollenkonzept, Zugriff nur soweit erforderlich
• Hosting in Deutschland, tägliche Datensicherungen

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt allgemein den Einsatz weiterer Auftragsverarbeiter. Derzeit sind das:

• Hetzner Online GmbH, Deutschland (Hosting, Dateispeicher)
• Stripe Payments Europe, Ltd., Irland (Zahlungsabwicklung)
• Microsoft Ireland Operations Limited, Irland (E-Mail-Versand, etwa Bestellbestätigungen und Tickets)

Über Änderungen informiert der Auftragsverarbeiter vorab per E-Mail; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Unterauftragsverarbeiter werden denselben Pflichten unterworfen. Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

7. Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener (Art. 12 bis 23 DSGVO) sowie bei den Pflichten aus Art. 32 bis 36 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.

8. Löschung und Rückgabe

Nach Vertragsende gibt der Auftragsverarbeiter die Daten auf Wunsch heraus und löscht sie anschließend, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.

9. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die Informationen bereit, die zum Nachweis dieser Pflichten nötig sind, und ermöglicht Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer nach angemessener Vorankündigung. Kontakt: jannik.mueller@caldero-systems.de