Auftragsverarbeitungsvertrag

Nach Art. 28 DSGVO. Gilt zwischen Ihnen als Verantwortlichem und Wowasist als Auftragsverarbeiter, sobald Sie ein Konto anlegen.

Zwei Verträge, ein Dienst. Dieser Vertrag regelt den Teil, in dem wir in Ihrem Auftrag arbeiten — Anzeige der Veranstaltungen auf Ihrer Website und in Ihrem Haus. Für den Teil, in dem wir eigene Zwecke verfolgen (das mandantenübergreifende Empfehlungsmodell), gilt die Vereinbarung über gemeinsame Verantwortlichkeit. Beide gehören zusammen.

1. Parteien

Verantwortlicher: der Gastgeber, wie bei der Anmeldung angegeben.
Auftragsverarbeiter: Peter Behninger, Anschrift siehe Impressum.

2. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen des Betriebs der Wowasist-Plattform für den Verantwortlichen. Die Verarbeitung beginnt mit der Anmeldung und endet mit dem Ende des Nutzungsverhältnisses.

3. Art und Zweck der Verarbeitung

Bereitstellung des Empfehlungs-Widgets auf der Website des Verantwortlichen
Bereitstellung der Kiosk-Ansicht für Bildschirme in dessen Räumen
Auswahl und Sortierung der Veranstaltungen für dessen Gäste
Auswertungen, die dem Verantwortlichen im Dashboard angezeigt werden

4. Art der personenbezogenen Daten

Datum	Zweck
Pseudonyme Sitzungskennung	Wiedererkennung innerhalb einer Sitzung
Veranstaltungskennung	welche Veranstaltung angezeigt oder geklickt wurde
Art der Interaktion, Verweildauer	Stärke des Signals
Herkunft (Widget, Kiosk, App)	Einordnung des Zusammenhangs
Kontaktdaten des Verantwortlichen	Vertragsabwicklung

Nicht erhoben werden IP-Adresse und Browsertyp der Gäste — auch nicht in gehashter Form. Bis August 2026 wurden sie gehasht mitgeschrieben; sie wurden ersatzlos entfernt, weil sie für den Zweck nicht gebraucht wurden.

5. Kategorien betroffener Personen

Gäste und Besucher, die Widget, Kiosk oder App benutzen
Beschäftigte des Verantwortlichen, die das Dashboard benutzen

6. Pflichten des Auftragsverarbeiters

Verarbeitung ausschließlich auf dokumentierte Weisung. Diese Vereinbarung samt Leistungsbeschreibung gilt als solche Weisung.
Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit.
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO — siehe Abschnitt 8.
Unterstützung des Verantwortlichen bei Anfragen betroffener Personen. Auskunft, Berichtigung, Löschung und Widerspruch sind über die Plattform selbst ausführbar.
Unterrichtung des Verantwortlichen binnen 24 Stunden nach Kenntnis einer Verletzung des Schutzes personenbezogener Daten.
Löschung oder Rückgabe aller Daten nach Ende des Vertrags — siehe Abschnitt 9.
Bereitstellung aller Informationen, die zum Nachweis der Einhaltung nötig sind.

7. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Anbieter	Sitz	Zweck
Hetzner Online GmbH	Deutschland (Rechenzentrum Helsinki, Finnland, EU)	Hosting, Sicherungen
Brevo (Sendinblue)	Frankreich	Transaktions-E-Mails
Stripe Payments Europe Ltd.	Irland	Zahlungsabwicklung, sobald kostenpflichtig

Soweit ein Konzernunternehmen eines Unterauftragsverarbeiters in den USA beteiligt ist (Stripe), stützt sich die Übermittlung auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO und das EU-US Data Privacy Framework. Der Auftragsverarbeiter informiert über beabsichtigte Änderungen mit einer Frist von 30 Tagen; der Verantwortliche kann widersprechen.

Kein Gästebrowser lädt Ressourcen von Dritten. Schriften, Bibliotheken und Veranstaltungsbilder kommen seit August 2026 ausschließlich vom eigenen Server. Seit 29.09.2026 gilt das auch für den Bot-Schutz (eigene Rechenaufgabe statt Cloudflare Turnstile, nur auf den Anmeldewegen des Dashboards) und die Kartenkacheln im Dashboard (über den eigenen Server von OpenStreetMap abgerufen und zwischengespeichert; OpenStreetMap erhält dabei keine Daten über Nutzer).

8. Technische und organisatorische Maßnahmen

Verschlüsselte Übertragung ausschließlich über TLS
Verschlüsselung sensibler Datenbankspalten im Ruhezustand
Zugangsschlüssel werden nur als Hash gespeichert, niemals im Klartext
Getrennte Datenbankrollen für Betrieb und Schemaänderungen
Verschlüsselte, tägliche Sicherungen
Getrennte Testumgebung, die niemals echte Kundendaten enthält
Automatische Prüfung auf Sicherheitslücken bei jeder Änderung
Automatisch erzwungene Löschfristen

Die vollständige Aufstellung wird auf Anforderung übermittelt.

9. Löschung nach Vertragsende

Nach Ende des Vertrags werden die dem Verantwortlichen zuzuordnenden Daten binnen 30 Tagen gelöscht. Der Verantwortliche kann sie vorher über den Kontobereich exportieren. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Bereits in das Empfehlungsmodell eingeflossene Gewichte lassen sich nicht einzelnen Sitzungen zuordnen und nicht zurückrechnen; ein Anspruch auf Neutraining des Modells besteht nicht. Näheres in der Vereinbarung über gemeinsame Verantwortlichkeit.

10. Kontrollrechte

Der Verantwortliche kann sich von der Einhaltung überzeugen. Der Auftragsverarbeiter erteilt dazu Auskunft und stellt Nachweise bereit. Eine Prüfung vor Ort ist nach Ankündigung mit angemessener Frist und während der üblichen Geschäftszeiten möglich.

11. Ort der Verarbeitung

Server und Datenbank stehen in einem Rechenzentrum der Hetzner Online GmbH in Helsinki, Finnland (EU). Eine Verarbeitung außerhalb der EU findet nur im Umfang des Abschnitts 7 statt.

12. Zustandekommen

Dieser Vertrag kommt mit dem Anhaken bei der Anmeldung zustande. Gespeichert werden die zugestimmte Fassung und der Zeitpunkt. Auf Wunsch wird eine unterschriebene Ausfertigung nachgereicht.