Auftragsverarbeitungsvertrag (AVV)

§ 1 Vertragspartner, Gegenstand und Laufzeit

(1) Dieser Vertrag gilt zwischen dem Veranstalter, für den bei TickySmart ein Workspace angelegt ist (Verantwortlicher nach Art. 4 Nr. 7 DSGVO, im Folgenden „Kunde“), und der CaterSmart GmbH, Hauptstraße 41, 95482 Gefrees, Deutschland, die TickySmart betreibt (Auftragsverarbeiter, im Folgenden „TickySmart“ oder „wir“).

(2) Gegenstand ist die Verarbeitung personenbezogener Daten, die bei der Nutzung von TickySmart im Auftrag des Kunden anfällt: Ticketshop und Widget, Dashboard, Scan-App und App, die Schnittstellen (API, Webhooks, MCP), der Versand von Bestellbestätigungen, Tickets und Rechnungen und alle weiteren Funktionen, die der Kunde nutzt. Zweck, Art der Verarbeitung, Datenarten und betroffene Personen stehen in Anlage 1.

(3) Der Vertrag ist Teil des Nutzungsvertrags über TickySmart (AGB) und kommt wie dieser mit dem Anlegen eines Workspaces zustande, für jeden Workspace gesondert. Er läuft, solange wir Daten des Kunden verarbeiten, auch über das Ende des Nutzungsvertrags hinaus bis zur vollständigen Löschung nach § 12.

(4) Widersprechen sich dieser Vertrag und der Nutzungsvertrag, geht in Fragen des Datenschutzes dieser Vertrag vor.

(5) Gilt für den Kunden das Schweizer Datenschutzgesetz (DSG) oder die UK GDPR, gilt dieser Vertrag entsprechend. Verweise auf die DSGVO meinen dann die entsprechenden Vorschriften dieser Gesetze.

§ 2 Was nicht unter diesen Vertrag fällt

(1) Für einige Daten sind wir selbst verantwortlich: die Vertrags- und Abrechnungsdaten des Kunden, die Benutzerkonten seines Teams mit Anmeldung und Sicherheit (Passwort, Zwei-Faktor-Anmeldung, Sitzungen), der Support für den Kunden und Besuche unserer Website und des Hilfe-Centers. Wie wir damit umgehen, steht in unserer Datenschutzerklärung.

(2) Verbindet der Kunde TickySmart mit Diensten, mit denen er selbst einen Vertrag hat, gehen die Daten auf seine Veranlassung dorthin. Diese Dienste sind keine Unterauftragsverarbeiter von TickySmart. Das betrifft vor allem:

• Zahlungsanbieter wie Stripe, Mollie oder PayPal, deren Konto der Kunde verbindet. Käufer geben Karten- und Kontodaten direkt beim Zahlungsanbieter ein.
• Tracking- und Werbedienste wie Meta, Google oder TikTok, die der Kunde in seinem Shop einrichtet. Sie laden nur mit Einwilligung des Käufers.
• Ziele von Webhooks und Programme, die mit einem API-Key des Kunden auf seinen Workspace zugreifen.
• KI-Assistenten wie ChatGPT oder Claude, die der Kunde über den MCP-Zugang mit seinem Workspace verbindet.

Für die Auswahl dieser Dienste, den Vertrag mit ihnen und die Information der Käufer ist der Kunde verantwortlich.

§ 3 Weisungen

(1) Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus diesem Vertrag, dem Nutzungsvertrag und daraus, wie der Kunde TickySmart einstellt und nutzt: Jede Einstellung und jede Aktion im Dashboard, in der App oder über die Schnittstellen gilt als Weisung.

(2) Weitere Weisungen erteilt der Kunde in Textform, zum Beispiel per E-Mail an support@tickysmart.io. Mündliche Weisungen bestätigt er umgehend in Textform. Braucht eine Weisung eine neue Funktion oder deutlich mehr Aufwand als vereinbart, setzen wir sie nach Absprache um.

(3) Halten wir eine Weisung für rechtswidrig, sagen wir das dem Kunden unverzüglich. Bis er sie bestätigt oder ändert, dürfen wir sie aussetzen.

(4) Verpflichtet uns das Recht der EU oder eines Mitgliedstaats zu einer Verarbeitung, etwa durch eine behördliche Anordnung, teilen wir das dem Kunden vorher mit, soweit das Gesetz es nicht verbietet.

(5) Wir nutzen die Daten nicht für eigene Zwecke. Wir verkaufen sie nicht, schreiben Käufer nicht für eigene Werbung an, verknüpfen keine Daten über die Shops verschiedener Kunden hinweg und trainieren keine KI damit. Kennzahlen ohne Personenbezug, etwa die Zahl verkaufter Tickets, verwenden wir für Abrechnung und Betrieb.

(6) Geraten die Daten bei uns durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder andere Maßnahmen Dritter in Gefahr, informieren wir den Kunden unverzüglich und weisen die Beteiligten darauf hin, dass die Daten dem Kunden zustehen.

§ 4 Vertraulichkeit

(1) Mit den Daten arbeiten bei uns nur Personen, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen und die mit dem Datenschutz vertraut gemacht wurden. Die Pflicht gilt auch nach dem Ende ihrer Tätigkeit.

(2) Unsere Beschäftigten greifen auf Daten des Kunden nur zu, soweit es für Betrieb, Wartung, Sicherheit, Fehlerbehebung oder eine Anfrage des Kunden nötig ist.

(3) Einen Datenschutzbeauftragten müssen wir derzeit nicht benennen. Ansprechpartner für den Datenschutz ist die Geschäftsführung der CaterSmart GmbH, erreichbar unter support@tickysmart.io. Benennen wir später einen Datenschutzbeauftragten, steht er hier.

§ 5 Sicherheit der Verarbeitung

(1) Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 3 beschrieben sind (Technische und organisatorische Maßnahmen). Sie sind Teil dieses Vertrags.

(2) Wir entwickeln die Maßnahmen mit dem Stand der Technik weiter und dürfen sie durch gleichwertige oder bessere ersetzen. Das Schutzniveau sinkt dabei nicht. Wesentliche Änderungen dokumentieren wir und passen Anlage 3 an.

(3) Wir führen ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 6 Unterstützung des Kunden

(1) Anfragen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch beantwortet der Kunde als Verantwortlicher. TickySmart gibt ihm die Werkzeuge dafür: Im Dashboard kann er die Daten eines Käufers ansehen und exportieren, die Person anonymisieren und Löschfristen festlegen, nach denen Käuferdaten automatisch anonymisiert werden. Was sich so nicht erledigen lässt, übernehmen wir auf seine Weisung.

(2) Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage unverzüglich an den Kunden weiter und nennen ihr den Kunden als Ansprechpartner. Selbst beantworten wir sie nur auf Weisung des Kunden.

(3) Wir unterstützen den Kunden bei seinen Pflichten nach Art. 32 bis 36 DSGVO, also bei der Sicherheit der Verarbeitung, der Meldung von Datenpannen, einer Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde. Dafür geben wir ihm die Informationen, die uns vorliegen.

(4) Die Unterstützung über die Funktionen von TickySmart ist im Preis enthalten. Braucht eine einzelne Anfrage erheblichen Mehraufwand, etwa eine Suche in Datensicherungen, stimmen wir den Aufwand vorher mit dem Kunden ab und können ihn angemessen berechnen, außer der Anlass liegt bei uns.

§ 7 Datenpannen

(1) Erfahren wir von einer Verletzung des Schutzes personenbezogener Daten des Kunden, informieren wir ihn unverzüglich, spätestens innerhalb von 48 Stunden. Die Nachricht geht per E-Mail an die Teammitglieder mit der Rolle Inhaber.

(2) Die Nachricht enthält, soweit bekannt: was passiert ist, welche Arten von Daten und ungefähr wie viele Personen und Datensätze betroffen sind, welche Folgen wahrscheinlich sind, was wir dagegen unternehmen und wer bei uns Ansprechpartner ist. Was wir noch nicht wissen, reichen wir nach, sobald wir es wissen.

(3) Wir ergreifen sofort die Maßnahmen, die nötig sind, um die Daten zu sichern und Nachteile für die betroffenen Personen zu verringern, und stimmen weitere Schritte mit dem Kunden ab.

(4) Ob die Aufsichtsbehörde und die betroffenen Personen informiert werden, entscheidet der Kunde (Art. 33 und 34 DSGVO). Wir unterstützen ihn dabei. Betroffene Personen benachrichtigen wir nur auf seine Weisung.

(5) Eine Meldung nach diesem Paragrafen ist kein Anerkenntnis eines Verschuldens.

§ 8 Unterauftragsverarbeiter

(1) Der Kunde erlaubt uns, die in Anlage 2 genannten Unterauftragsverarbeiter einzusetzen (allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO).

(2) Bevor wir einen Unterauftragsverarbeiter hinzunehmen oder ersetzen, informieren wir den Kunden mindestens 30 Tage vorher per E-Mail und passen Anlage 2 an. Der Kunde kann innerhalb dieser Frist in Textform widersprechen, wenn er einen wichtigen datenschutzrechtlichen Grund hat. Finden wir keine Lösung, kann er den Nutzungsvertrag zum Zeitpunkt der Änderung außerordentlich kündigen. Bis die Frist abgelaufen ist, gehen keine Daten des Kunden an den neuen Dienst. Widerspricht er nicht, gilt die Änderung als genehmigt.

(3) Muss ein Dienst wegen einer Störung oder eines Sicherheitsproblems kurzfristig ersetzt werden, dürfen wir die Frist verkürzen. Wir informieren den Kunden dann unverzüglich, sein Widerspruchsrecht bleibt bestehen.

(4) Wir wählen jeden Unterauftragsverarbeiter sorgfältig aus, auch nach seinen Sicherheitsmaßnahmen. Wir verpflichten ihn vertraglich auf dieselben Datenschutzpflichten, die dieser Vertrag uns auferlegt, und prüfen das regelmäßig. Für ihn haften wir gegenüber dem Kunden wie für eigenes Handeln (Art. 28 Abs. 4 DSGVO).

(5) Keine Unterauftragsverarbeitung sind reine Nebenleistungen wie Telekommunikations- und Transportdienste.

§ 9 Ort der Verarbeitung

(1) Die Daten liegen in Rechenzentren in Deutschland. Server, Datenbank, Dateien und Backups betreiben wir bei der Hetzner Online GmbH.

(2) In ein Land außerhalb der EU und des Europäischen Wirtschaftsraums gelangen Daten nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind: mit einem Angemessenheitsbeschluss der EU-Kommission (etwa dem EU-US Data Privacy Framework für zertifizierte Unternehmen), mit EU-Standardvertragsklauseln oder einer anderen geeigneten Garantie. Welche Dienste das betrifft, steht in Anlage 2.

§ 10 Kontrollen

(1) Der Kunde darf prüfen, ob wir diesen Vertrag einhalten. Wir beantworten seine Fragen, stellen ihm die nötigen Informationen bereit und legen auf Wunsch Nachweise vor, zum Beispiel Zertifikate der Rechenzentren.

(2) Reicht das nicht aus, kann der Kunde eine Prüfung vor Ort durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der nicht im Wettbewerb mit uns steht. Er kündigt sie mit angemessener Frist an, in der Regel mindestens zwei Wochen vorher. Die Prüfung findet zu unseren Geschäftszeiten statt, stört den Betrieb nicht unnötig und wahrt die Vertraulichkeit der Daten anderer Kunden. Für die Rechenzentren unserer Dienstleister gelten deren Regeln und Nachweise.

(3) Jede Partei trägt ihre eigenen Kosten. Verlangt der Kunde ohne konkreten Anlass mehr als eine Prüfung vor Ort pro Jahr, können wir unseren Aufwand angemessen berechnen.

(4) Die Befugnisse der Aufsichtsbehörden bleiben unberührt. Wir arbeiten mit ihnen zusammen und informieren den Kunden über Prüfungen und Anfragen, die seine Daten betreffen, soweit wir das dürfen.

§ 11 Pflichten des Kunden

(1) Der Kunde sorgt dafür, dass er die Daten verarbeiten darf. Dazu gehören die Rechtsgrundlage, die Information der Käufer (etwa über seine Datenschutzerklärung im Shop), Einwilligungen für Tracking und Marketing und angemessene Löschfristen.

(2) Er schützt die Zugänge zu seinem Workspace, vergibt Rollen nur so weit wie nötig und entzieht Zugänge, wenn Teammitglieder oder Geräte sie nicht mehr brauchen. Wir empfehlen die Zwei-Faktor-Anmeldung für alle Konten.

(3) Für Daten, die der Kunde selbst einspielt, etwa Gästelisten oder Daten aus einem früheren Ticketsystem, ist er verantwortlich.

(4) Bemerkt der Kunde Fehler oder Unregelmäßigkeiten bei der Verarbeitung, sagt er uns das unverzüglich.

§ 12 Löschung und Rückgabe

(1) Während der Laufzeit kann der Kunde seine Daten jederzeit im Dashboard exportieren. Käuferdaten anonymisiert TickySmart nach den Löschfristen, die der Kunde einstellt.

(2) Löscht der Kunde seinen Workspace, wird er nach einer Wartezeit von 24 Stunden mit allen Daten gelöscht. Bis dahin kann der Kunde die Löschung zurücknehmen. Endet der Nutzungsvertrag auf andere Weise, löschen wir die Daten des Kunden spätestens 30 Tage nach Vertragsende. Vorher kann er sie exportieren.

(3) Aus den Datensicherungen verschwinden gelöschte Daten mit deren regulärem Ablauf, spätestens nach 30 Tagen. Bis dahin nutzen wir die Sicherungen nur, um nach einem Ausfall den Betrieb wiederherzustellen.

(4) Gesetzliche Aufbewahrungspflichten, die uns selbst treffen, bleiben unberührt. Rechnungen und Belege, die der Kunde für seine eigene Buchhaltung aufbewahren muss, exportiert er vor der Löschung.

(5) Auf Wunsch bestätigen wir die Löschung mit Datum in Textform. Ein Zurückbehaltungsrecht an den Daten haben wir nicht.

§ 13 Haftung

Für die Haftung gelten die Regeln des Nutzungsvertrags. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt davon unberührt.

§ 14 Schlussbestimmungen

(1) Müssen wir diesen Vertrag ändern, weil sich die Rechtslage oder TickySmart ändert, teilen wir dem Kunden die Änderungen mindestens 30 Tage vor ihrem Inkrafttreten per E-Mail mit. Widerspricht er nicht innerhalb dieser Frist, gelten sie als vereinbart; darauf weisen wir in der Mitteilung hin. Widerspricht er, bleibt es bei der bisherigen Fassung, und jede Partei kann den Nutzungsvertrag nach dessen Regeln kündigen. Für Anlage 2 gilt § 8, für Anlage 3 gilt § 5 Abs. 2.

(2) Für Erklärungen nach diesem Vertrag genügt die Textform, zum Beispiel eine E-Mail. Der Vertrag liegt in elektronischer Form vor (Art. 28 Abs. 9 DSGVO). Wer eine unterschriebene Fassung braucht, bekommt sie auf Anfrage als PDF.

(3) Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. An ihre Stelle tritt eine Regelung, die Art. 28 DSGVO entspricht und dem Gewollten am nächsten kommt.

(4) Es gilt deutsches Recht. Für den Gerichtsstand gilt der Nutzungsvertrag.

(5) Maßgeblich ist die deutsche Fassung dieses Vertrags. Die englische Übersetzung dient nur der Information.

Anlage 1: Zweck, Daten und betroffene Personen

Zweck der Verarbeitung

TickySmart ist eine Software für den Verkauf von Tickets und die Durchführung von Veranstaltungen. Im Auftrag des Kunden verarbeiten wir Daten, um:

• Tickets, Extras und Gutscheine im Shop des Kunden zu verkaufen, Bestellungen abzuwickeln, Zahlungen mit dem Zahlungsanbieter des Kunden abzugleichen und Erstattungen auszuführen
• Bestellbestätigungen, Tickets, Wallet-Pässe, Rechnungen und weitere Nachrichten an Käufer zu senden
• den Einlass zu kontrollieren, Tickets zu scannen und Gästelisten zu führen
• Warteraum, Warteliste, Saalplan, Zeitfenster und Dauerkarten bereitzustellen
• dem Kunden Bestellungen, Kundenprofile und Statistiken zu zeigen, auch über Statistiklinks, die er für Partner freigibt
• Daten an Systeme weiterzugeben, die der Kunde anbindet (API, Webhooks, Exporte)
• KI-Funktionen auszuführen, die der Kunde oder sein Team aufruft
• den Kunden zu unterstützen, Fehler zu beheben und Daten zu sichern

Art der Verarbeitung: Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Abgleichen, Einschränken, Anonymisieren und Löschen (Art. 4 Nr. 2 DSGVO).

Betroffene Personen

• Käufer und Besteller im Shop des Kunden, einschließlich Rechnungsempfänger
• Ticketinhaber, deren Name auf einem Ticket steht
• Gäste auf Gästelisten, Personen auf Wartelisten und im Warteraum
• Empfänger von Gutscheinen
• Teammitglieder des Kunden und Personen, die für ihn Tickets scannen
• Ansprechpartner von Partnern, Vorverkaufsstellen und Sponsoren des Kunden
• Künstler und Mitwirkende, die der Kunde im Line-up nennt
• weitere Personen, deren Daten der Kunde über Import, Schnittstellen oder Freitext einbringt

Arten von Daten

• Kontaktdaten: Vor- und Nachname, E-Mail-Adresse, bei Rechnungen auch Firma, Anschrift und Umsatzsteuer-Identifikationsnummer
• Bestelldaten: Bestellnummer, Zeitpunkt, Tickets, Plätze, Extras, Preise, Steuern, Gebühren, Rabattcodes, Gutscheine, Erstattungen, Sprache und die akzeptierten Bedingungen
• Zahlungsdaten: Zahlungsart, Status und Kennung der Zahlung beim Zahlungsanbieter. Karten- und Kontodaten speichert TickySmart nicht.
• Ticketdaten: Ticketcode, signierter QR-Code, Name auf dem Ticket, Termin, Bereich und Gültigkeit
• Einlassdaten: Zeitpunkt und Ergebnis von Scans, Eingang und Gerät; für den Einlass ohne Netz außerdem eine Kopie der Ticketliste auf den Einlassgeräten des Kunden (Ticketcode, Ticketart, Name auf dem Ticket, Bestellnummer, bisherige Scans), bis das Gerät oder das Konto abgemeldet wird
• Kommunikationsdaten: versendete Nachrichten und ihr Zustellstatus
• Einwilligungen und Herkunft: Einwilligungen für Tracking und Marketing, Partnerlink oder Kampagne, über die eine Bestellung kam
• Technische Daten: IP-Adresse, Browser und Zeitpunkte, soweit für Sicherheit, Missbrauchsschutz und Fehlersuche nötig, Gerätekennungen für die Aktualisierung von Wallet-Pässen und Kennungen der Einlassgeräte
• Daten des Teams: Name, E-Mail-Adresse, Rolle, freigegebene Events und protokollierte Änderungen (Audit-Log)
• Künstlerdaten: Name, Foto, Kurzbiografie und Links

Altersgrenzen prüft TickySmart ohne Geburtsdatum: Der Käufer bestätigt nur, dass er alt genug ist.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), etwa Gesundheitsdaten, sind nicht vorgesehen. Fragt der Kunde solche Angaben ab, zum Beispiel für Rollstuhlplätze, sorgt er für die Rechtsgrundlage.

Anlage 2: Unterauftragsverarbeiter

Stand: 26. Oktober 2026. Neue oder ersetzte Unterauftragsverarbeiter kündigen wir nach § 8 an.

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland
  Rechenzentren: Server, Datenbank, Dateien und Backups
  Ort: Deutschland
• Mailgun Technologies, Inc., USA
  Versand von E-Mails wie Bestellbestätigungen, Tickets und Benachrichtigungen
  Ort: EU-Region von Mailgun; Zugriffe aus den USA sind möglich und durch EU-Standardvertragsklauseln abgesichert
• OpenAI Ireland Ltd, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland
  KI-Funktionen (Texte schreiben und übersetzen, Events prüfen, Event aus Plakat, Übernahme von Website und Ticketshop, Chat-Assistent), nur wenn der Kunde sie nutzt; keine Verwendung der Daten zum Training
  Ort: Verarbeitung in den USA möglich, abgesichert durch EU-Standardvertragsklauseln und das EU-US Data Privacy Framework
• Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA
  KI-Funktionen wie bei OpenAI, wenn wir dafür ein Modell von Anthropic einsetzen; keine Verwendung der Daten zum Training
  Ort: USA, abgesichert durch EU-Standardvertragsklauseln
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
  Google Wallet, nur wenn ein Käufer sein Ticket dort speichert (Event, Termin, Ticketart, Name auf dem Ticket, QR-Code)
  Ort: EU, Verarbeitung in den USA möglich, abgesichert durch EU-Standardvertragsklauseln und das EU-US Data Privacy Framework
• Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland
  Apple Push Notification Service: Hinweis an das Gerät, wenn sich ein Ticket in Apple Wallet ändert (nur Gerätekennung, kein Ticketinhalt)
  Ort: EU, Verarbeitung in den USA möglich, abgesichert durch EU-Standardvertragsklauseln und das EU-US Data Privacy Framework

Dienste, die der Kunde selbst verbindet (§ 2 Abs. 2), sind keine Unterauftragsverarbeiter. Für die Künstler-Infos fragen wir öffentliche Verzeichnisse wie MusicBrainz und Wikipedia nur mit dem Namen des Künstlers ab; Daten von Käufern gehen dabei nicht hinaus. Für Updates der TickySmart-App nutzen wir EAS Update von Expo (650 Industries, Inc., USA); dabei gehen nur IP-Adresse, Plattform, App-Version und eine zufällige Kennung der Installation hinaus, keine Daten von Käufern.

Anlage 3: Technische und organisatorische Maßnahmen

Die Maßnahmen stehen auf einer eigenen Seite: Technische und organisatorische Maßnahmen (TOMs).