Auftragsverarbeitungsvertrag

gemäß Art. 28 DSGVO für die Nutzung von plan (plan.standwert.info)

Präambel

Dieser Auftragsverarbeitungsvertrag konkretisiert die datenschutzrechtlichen Pflichten zwischen dem Kunden (nachfolgend „Verantwortlicher“) und Othmar Fetz, Werbeagentur FETZ, Keplerstraße 2, 4550 Kremsmünster, Österreich (nachfolgend „Auftragsverarbeiter“) im Zusammenhang mit der Nutzung der Software plan.

Er ist Bestandteil des Hauptvertrags (AGB) und tritt mit dessen Wirksamkeit in Kraft.

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung und des Betriebs der Software plan zur Vergabe von Standflächen.

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Nach Beendigung gilt § 10.

§ 2 Art und Zweck der Verarbeitung

• Speicherung und Verwaltung von Aussteller- und Kontaktdaten
• Entgegennahme und Verwaltung von Standanfragen
• Reservierung, Vergabe und Freigabe von Standflächen
• Standangebote des Veranstalters samt Antwort des Ausstellers
• Bereitstellung des öffentlichen Standplans und der Besucherkarte
• Versand von System-E-Mails (Bestätigung der Anfrage, Anmeldelink, Passwort zurücksetzen)
• Speicherung hochgeladener Dateien (Hallenpläne, Logos, Banner)
• Datensicherung

Zweck ist ausschließlich die Erbringung der vertraglich vereinbarten Leistungen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

§ 3 Art der personenbezogenen Daten

Aussteller

• Firmenname
• E-Mail-Adresse
• Ansprechperson und Telefonnummer (optional)
• Branche (optional)
• Zeitpunkt und Status der Bestätigung der E-Mail-Adresse
• Angefragte, reservierte und vergebene Stände samt Anmerkungen des Veranstalters
• Angebotene Stände samt Antwort des Ausstellers (Annahme oder Ablehnung, jeweils mit Zeitpunkt und optionaler Begründung)
• Angaben für den öffentlichen Auftritt (Logo, Kurzbeschreibung, Website, Kategorie) sowie die Freigabe des Veranstalters für die Anzeige auf dem öffentlichen Plan

Mitarbeiter des Veranstalters

• Name (optional)
• E-Mail-Adresse
• Rolle und Berechtigungen
• Anmeldedaten (Passwort ausschließlich als kryptografischer Hash)

Organisationsdaten

• Name der Organisation, Logo
• Ansprechperson, E-Mail-Adresse, Telefonnummer, Website für die öffentliche Anzeige

Nicht verarbeitet werden Daten von Messebesuchern: Es gibt keine Besucherregistrierung, kein Ticketing, keinen Check-in und kein Lead-Scanning. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht verarbeitet. Besucherkarte und Standplan zählen Aufrufe ausschließlich als Summen je Stunde, ohne IP-Adresse, Kennung oder Cookie. Suchbegriffe, die keinen Treffer ergeben, werden ohne Bezug zum Suchenden gezählt; Eingaben, die wie E-Mail-Adressen oder Telefonnummern aussehen, werden verworfen.

§ 4 Kategorien betroffener Personen

• Ansprechpersonen der ausstellenden Unternehmen
• Mitarbeiter des Veranstalters mit Zugang zur Software

§ 5 Pflichten des Auftragsverarbeiters

• Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, es sei denn, eine Verarbeitung ist rechtlich vorgeschrieben.
• Sicherzustellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.
• Die nach Art. 32 DSGVO erforderlichen Maßnahmen zu ergreifen (§ 11).
• Den Verantwortlichen bei der Erfüllung von Betroffenenrechten und bei den Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen.
• Nach Beendigung des Vertrags alle personenbezogenen Daten zu löschen oder zurückzugeben, sofern keine gesetzliche Aufbewahrungspflicht besteht.
• Dem Verantwortlichen die zum Nachweis erforderlichen Informationen bereitzustellen und Überprüfungen zu ermöglichen.

§ 6 Unterauftragsverarbeiter

Mit allen genannten Dienstleistern bestehen Verträge zur Auftragsverarbeitung. Kopien stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage bereit.

Der Auftragsverarbeiter informiert den Verantwortlichen vorab über jede beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann dagegen Einspruch erheben.

§ 7 Einbettung des öffentlichen Plans

Der Verantwortliche kann den öffentlichen Standplan und die Besucherkarte auf eigenen Websites einbetten oder verlinken. Dabei gilt:

• Die Inhalte werden technisch vom Auftragsverarbeiter ausgeliefert und in einem eigenen Rahmen dargestellt. Eingaben werden unmittelbar an den Auftragsverarbeiter übermittelt und nicht auf dem Webserver des Verantwortlichen verarbeitet.
• Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO bleibt der Veranstalter; der Auftragsverarbeiter verarbeitet weiterhin ausschließlich weisungsgebunden.
• Beim Aufruf werden IP-Adresse und Browserdaten an den Auftragsverarbeiter und die eingesetzten Unterauftragsverarbeiter übermittelt. Der Verantwortliche informiert darüber in seiner eigenen Datenschutzerklärung.
• Für Inhalt und Rechtmäßigkeit der einbettenden Website bleibt der Verantwortliche selbst verantwortlich.

§ 8 Datenübermittlung in Drittländer

Eine Übermittlung in Drittländer außerhalb des EWR findet nur statt, sofern ein angemessenes Datenschutzniveau gewährleistet ist. Die Übermittlung an Unterauftragsverarbeiter mit Sitz in den USA — insbesondere Vercel Inc. — wird durch die EU-Standardvertragsklauseln nach Art. 46 DSGVO abgesichert. Datenbank, Objektspeicher und E-Mail-Versand sind so konfiguriert, dass die Daten in der EU verbleiben.

§ 9 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird. Die Meldung enthält mindestens:

• Beschreibung der Art der Verletzung
• Kategorien und ungefähre Anzahl der betroffenen Personen
• Kategorien und ungefähre Anzahl der betroffenen Datensätze
• Beschreibung der wahrscheinlichen Folgen
• Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen

§ 10 Kontrollrechte, Beendigung und Löschung

Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrags durch Auskünfte oder Audits zu überprüfen. Inspektionen sind mit angemessener Vorlaufzeit anzukündigen und dürfen den Betrieb nicht unverhältnismäßig beeinträchtigen.

Nach Beendigung des Hauptvertrags hat der Verantwortliche 30 Tage Zeit, die Herausgabe seiner Daten zu verlangen. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten unwiderruflich, es sei denn, eine Aufbewahrung ist gesetzlich erforderlich. Die Löschung wird auf Anfrage schriftlich bestätigt.

§ 11 Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen nach Art. 32 DSGVO sind Bestandteil dieses Vertrags.

Vertraulichkeit

• Zugriff auf Daten ausschließlich über persönliche Konten mit E-Mail und Passwort; Passwörter werden nur als kryptografischer Hash gespeichert.
• Mandantentrennung auf Datenbankebene: Row-Level-Security stellt sicher, dass ein Veranstalter ausschließlich Daten seiner eigenen Organisation lesen und schreiben kann. Die Trennung wird in der Datenbank durchgesetzt, nicht erst in der Anwendung.
• Auf dem öffentlichen Plan erscheinen Firmennamen nur, wenn der Veranstalter sie einzeln freigegeben hat; ohne Freigabe ist lediglich der Belegungsstatus sichtbar. Voreingestellt ist „nicht sichtbar“.
• Zugriff durch den Auftragsverarbeiter nur, soweit für Betrieb und Support nötig.

Integrität

• Verschlüsselte Übertragung ausschließlich über HTTPS (TLS).
• Verschlüsselte Speicherung der Daten bei den eingesetzten Dienstleistern.
• Die Datenbank verhindert Doppelbelegungen technisch, sodass ein Stand nicht zwei Ausstellern gleichzeitig zugeordnet werden kann.

Verfügbarkeit

• Betrieb auf Infrastruktur etablierter Anbieter mit redundanter Auslegung.
• Regelmäßige Sicherung der Datenbank nach Maßgabe des eingesetzten Dienstes.

Belastbarkeit und Überprüfung

• Trennung von Entwicklungs- und Produktivumgebung.
• Änderungen am Datenmodell erfolgen ausschließlich über versionierte Migrationen.
• Regelmäßige Aktualisierung der eingesetzten Softwarekomponenten.

Stand: September 2026 · Version 1.3