Wenn du als Veranstalter über FormIQ Daten deiner Teilnehmer erhebst, bist du der Verantwortliche und FRAME°IT Media der Auftragsverarbeiter. Dieser Vertrag regelt die Zusammenarbeit und wird mit der Buchung eines Pakets Vertragsbestandteil. Du kannst ihn jederzeit hier abrufen und über „Drucken / PDF“ speichern.
1.Vertragsparteien
Verantwortlicher („Auftraggeber“): der jeweilige Veranstalter bzw. Kontoinhaber von FormIQ.
Auftragsverarbeiter („Auftragnehmer“): FRAME°IT Media, Inhaber Simon Heinemann, Birkenfeld 22a, 32479 Hille, Deutschland · contact@frame-it.media
2.Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer bei der Bereitstellung von FormIQ: Anmeldeformulare, Entgegennahme und Verwaltung von Anmeldungen, E-Mail-Versand an Teilnehmer, Warteliste, Buchungsübersicht für Teilnehmer, Nachrichten an den Veranstalter, QR-Tickets, Scanner für Einlass und Essensausgabe sowie Export.
Der Vertrag gilt, solange der Auftragnehmer Daten des Auftraggebers verarbeitet, und endet mit deren Löschung nach Ziffer 9.
3.Art der Daten und betroffene Personen
Betroffene Personen: Teilnehmer, die sich über die Formulare des Auftraggebers anmelden, von ihnen angemeldete Begleitpersonen und Kinder, angegebene Notfallkontakte sowie Helfer, die den Scanner nutzen.
Datenarten (je nach den vom Auftraggeber festgelegten Feldern): Name, E-Mail-Adresse, Telefonnummer, Anschrift, Geburtsdatum oder Alter, Angaben zu Begleitpersonen, Verpflegungs- und Optionswünsche, Notfallkontakt, Freitextangaben, Anmeldestatus und Zahlungsstatus, Ticket-Codes, Zeitpunkte von Einlass und Essensausgabe sowie Nachrichten von Teilnehmern. Fragt der Auftraggeber besondere Kategorien von Daten ab (zum Beispiel Allergien oder Unverträglichkeiten), stellt er sicher, dass dafür eine Rechtsgrundlage besteht.
4.Weisungen
Der Auftragnehmer verarbeitet die Daten nur im Rahmen dieses Vertrags und nach Weisung des Auftraggebers. Als Weisung gilt die Nutzung der Plattform, insbesondere die Gestaltung von Formularen, Feldern und E-Mails, das Einrichten von Webhooks oder Schnittstellen zur Weitergabe an vom Auftraggeber bestimmte Systeme sowie Aktionen in der Teilnehmerliste. Der Auftragnehmer informiert den Auftraggeber, wenn er eine Weisung für rechtswidrig hält.
5.Vertraulichkeit
Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorschriften vertraut sind.
6.Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verschlüsselte Übertragung aller Daten (TLS/HTTPS)
- Speicherung von Passwörtern ausschließlich als kryptografischer Hash (PBKDF2)
- Zwei-Faktor-Anmeldung optional für Veranstalter, verpflichtend für die Administration
- Sitzungen mit Ablaufzeit, Begrenzung von Anmeldeversuchen und Anfragen, getrennter Administrationsbereich
- Helfer erhalten über ein Scanner-Passwort nur Zugriff auf den Scanner, nicht auf die Teilnehmerliste
- Offline-Listen für den Scanner enthalten nur Prüfwerte der Ticket-Codes; Namen und Essenswahl sind pro Ticket verschlüsselt
- Serverstandort Deutschland, Firewall und regelmäßige Sicherheitsupdates
- Tägliche automatische Datensicherung, die nach 14 Tagen überschrieben wird
- Automatische, unwiderrufliche Löschung der Teilnehmerdaten nach Ziffer 9
- Datenminimierung: Es werden nur die vom Auftraggeber festgelegten Felder erhoben; keine Tracking- oder Analysewerkzeuge
7.Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
- netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe (Deutschland) – Server-Hosting
- Sendinblue SAS (Brevo), 106 boulevard Haussmann, 75008 Paris (Frankreich) – Versand von E-Mails
Die Verarbeitung erfolgt innerhalb der EU. Über einen Wechsel oder eine Ergänzung von Unterauftragsverarbeitern wird der Auftraggeber vorab per E-Mail informiert und kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
8.Unterstützung und Meldepflichten
Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) sowie bei Datenschutz-Folgenabschätzungen. Anfragen von Betroffenen, die beim Auftragnehmer eingehen, leitet er an den Auftraggeber weiter. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, damit dieser seine Meldepflichten erfüllen kann.
9.Löschung und Rückgabe
Die Teilnehmerdaten einer Veranstaltung werden 30 Tage nach dem späteren der beiden Zeitpunkte Ende des Anmeldezeitraums und Tag der Veranstaltung automatisch gelöscht, einschließlich Tickets, Nachrichten und Scan-Daten; im Paket Enterprise erst auf Weisung des Auftraggebers oder mit Löschung seines Kontos. Mit Löschung des Kontos werden alle Teilnehmerdaten des Auftraggebers gelöscht. Datensicherungen werden nach 14 Tagen überschrieben. Eine Rückgabe erfolgt über die Exportfunktion; der Auftraggeber ist selbst dafür verantwortlich, benötigte Daten rechtzeitig zu exportieren.
10.Nachweise und Kontrollen
Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach vorheriger Abstimmung in angemessenem Umfang.
11.Schlussbestimmungen
Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags in Bezug auf die Datenverarbeitung vor.