Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

Version 1.0, Stand: 30.09.2026. Anlage der Nutzungsbedingungen.

1. Parteien, Gegenstand, Dauer

1. Verantwortlicher ist der Veranstalter, der OwnTix nutzt (im Folgenden "Auftraggeber"). Auftragsverarbeiter ist die Gradient Labs UG (haftungsbeschränkt), Storlachstraße 1, 72760 Reutlingen ("OwnTix").
2. OwnTix verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um ihm die Software OwnTix bereitzustellen. Einzelheiten stehen in Anlage 1.
3. Die Laufzeit entspricht der des Hauptvertrags.
4. Dieser Vertrag kommt in elektronischer Form zustande (Art. 28 Abs. 9 DSGVO), wenn der Auftraggeber bei der Registrierung den Nutzungsbedingungen und diesem Vertrag zustimmt. Eine Unterschrift ist nicht nötig.

2. Weisungen

1. OwnTix verarbeitet die Daten nur nach dokumentierter Weisung des Auftraggebers. Die Weisungen ergeben sich aus dem Hauptvertrag, aus diesem Vertrag und aus der Bedienung der Software durch den Auftraggeber.
2. Hält OwnTix eine Weisung für rechtswidrig, weist OwnTix darauf hin und darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.
3. Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Ausgenommen sind Verarbeitungen, zu denen OwnTix gesetzlich verpflichtet ist.

3. Pflichten von OwnTix

1. OwnTix verpflichtet alle Personen mit Zugriff auf die Daten zur Vertraulichkeit.
2. OwnTix trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 und darf sie anpassen, solange das Schutzniveau nicht sinkt.
3. OwnTix unterstützt den Auftraggeber bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit), bei Datenschutz-Folgenabschätzungen und bei Meldungen an Aufsichtsbehörden. Wendet sich eine betroffene Person direkt an OwnTix, leitet OwnTix die Anfrage an den Auftraggeber weiter.
4. OwnTix meldet dem Auftraggeber Verletzungen des Schutzes seiner Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
5. Ansprechpartner für Datenschutz bei OwnTix: info@gradient-labs.de. Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen nicht vorliegen.

4. Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Information der betroffenen Personen (Art. 13, 14 DSGVO) verantwortlich.
2. Er erhebt über frei konfigurierbare Felder nur Daten, die er für den Verkauf und den Einlass braucht.

5. Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.
2. OwnTix informiert den Auftraggeber mindestens 30 Tage vorher per E-Mail über neue oder ausgetauschte Unterauftragsverarbeiter. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Lässt sich der Widerspruch nicht ausräumen, können beide Seiten den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.
3. OwnTix verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.
4. Zahlungsdienste, mit denen der Auftraggeber selbst einen Vertrag hat (Stripe, PayPal), sind keine Unterauftragsverarbeiter von OwnTix.

6. Übermittlung in Drittländer

Anwendung und Datenbank werden in Deutschland betrieben, Dokumente in einem Objektspeicher in Schweden gespeichert. Eine Übermittlung in ein Drittland erfolgt nur durch die in Anlage 3 ausdrücklich genannten Unterauftragsverarbeiter und nur auf Grundlage eines Angemessenheitsbeschlusses oder der EU-Standardvertragsklauseln. Das betrifft derzeit den Versand von E-Mails über Resend in den USA.

7. Kontrollrechte

1. OwnTix weist die Einhaltung dieses Vertrags durch geeignete Unterlagen nach (Beschreibung der Maßnahmen, Nachweise der Unterauftragsverarbeiter).
2. Reichen die Unterlagen im Einzelfall nicht aus, kann der Auftraggeber nach Ankündigung mit mindestens 14 Tagen Frist und höchstens einmal im Jahr eine Prüfung durchführen, zu üblichen Geschäftszeiten und ohne Einblick in Daten anderer Kunden.

8. Löschung und Rückgabe

1. Nach Ende des Hauptvertrags kann der Auftraggeber seine Daten 90 Tage lang exportieren. Danach löscht OwnTix die Daten, in Sicherungen spätestens nach weiteren 30 Tagen.
2. Ausgenommen sind Daten, die OwnTix oder der Auftraggeber kraft Gesetzes aufbewahren müssen. Rechnungen und die zugehörigen Bestelldaten bleiben für die Dauer der steuerlichen Aufbewahrungsfrist gesperrt gespeichert. Der Auftraggeber erhält vorher einen Gesamtexport, siehe Hauptvertrag Abschnitt 12.
3. Während der Laufzeit löscht oder anonymisiert OwnTix einzelne Käuferdaten auf Weisung des Auftraggebers, soweit keine Aufbewahrungspflicht besteht.

9. Haftung

Es gelten Art. 82 DSGVO und im Innenverhältnis die Haftungsregeln des Hauptvertrags.

Anlage 1: Gegenstand der Verarbeitung

Anlage 2: Technische und organisatorische Maßnahmen

Anlage 3: Unterauftragsverarbeiter

Keine Unterauftragsverarbeiter, sondern eigene Vertragspartner des Auftraggebers: Stripe und PayPal für die Zahlungen der Käufer. Apple und Google erhalten Daten nur, wenn ein Käufer sein Ticket selbst in die Wallet lädt.