Dies ist unsere Datenverarbeitungsvereinbarung
Bitte lesen Sie dieses juristische Dokument sorgfältig durch. Wir sind zuversichtlich, dass Sie keine unerwarteten Überraschungen erleben werden – TIXATOR gibt Daten nur an technische Dienste weiter, die in unserem Betrieb eingesetzt werden. Kein Weiterverkauf, keine Datenweitergabe, kein Tracking.
─ Matthias Boller, CEO PLANIS
Erstellungsdatum: 2025-11-11
Version: 1.0
Datenverarbeitungsvereinbarung (DPA) gemäß Art. 28 DSGVO – Deutsche Übersetzung
Zwischen
Verantwortlicher („Kunde“)
und
PLANIS E3 Empathy Engineering GmbH, Am Kiel‑Kanal 2, 24106 Kiel, Deutschland, HRB 23630 (Amtsgericht Kiel), USt-ID DE346711843, E-Mail: hallo@planis.de – Auftragsverarbeiter („PLANIS“).
§1 Gegenstand, Laufzeit, Ort der Verarbeitung
(1) Gegenstand. Verarbeitung personenbezogener Daten zur Bereitstellung von TIXATOR (Shopify Event-Ticketing-App einschließlich Scanner-App und Web-Dashboard).
(2) Laufzeit. Dauer des Hauptvertrags (Nutzungsbedingungen) zuzüglich Lösch-/Rückgabefristen gemäß §10.
(3) Standorte. EU/EWR und, für Unterauftragsverarbeiter, Drittländer mit geeigneten Schutzmaßnahmen gemäß §8.
§2 Anweisungen
(1) PLANIS verarbeitet Daten ausschließlich auf dokumentierte Anweisungen des Kunden, Art. 28(3)(a) DSGVO. Anweisungen werden über App-Einstellungen, Admin-UI, API-Konfigurationen oder schriftlich per E-Mail an support@tixator.com erteilt.
(2) PLANIS wird unklare oder rechtswidrige Anweisungen ablehnen und Anweisungsänderungen dokumentieren.
§3 Vertraulichkeit
(1) PLANIS verpflichtet alle Mitarbeiter zur Vertraulichkeit.
(2) Vertrauliche Informationen werden nur offengelegt, wenn dies gesetzlich vorgeschrieben oder zur Erfüllung dieser DPA erforderlich ist.
§4 Sicherheit der Verarbeitung
(1) PLANIS implementiert geeignete technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO; siehe Anhang 2.
(2) TOMs können an den technischen Fortschritt angepasst werden, sofern das Schutzniveau nicht reduziert wird.
§5 Unterstützung
PLANIS unterstützt den Kunden bei:
a) Rechten betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch),
b) Sicherheitsmaßnahmen,
c) Meldung und Behandlung von Verletzungen des Schutzes personenbezogener Daten,
d) DSFA und Konsultationen, wo angemessen. Kosten werden zeitabhängig berechnet, es sei denn, PLANIS hat das Problem verursacht.
§6 Verletzungen des Schutzes personenbezogener Daten
(1) PLANIS benachrichtigt den Kunden unverzüglich und spätestens [BreachNotifyHours] Stunden nach Kenntnisnahme einer Verletzung unter [SecurityEmail] oder dem registrierten Kontakt des Kunden.
(2) Die Benachrichtigung umfasst: Art der Verletzung, betroffene Datenkategorien, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen; PLANIS wird Aktualisierungen bereitstellen, sobald Informationen verfügbar werden.
§7 Unterauftragsverarbeitung
(1) Allgemeine Genehmigung. PLANIS kann Unterauftragsverarbeiter einsetzen. Derzeit haben wir keine Unterauftragsverarbeiter. Wenn wir welche haben, finden Sie diese unter https://tixator.com/legal/subprocessors
(2) PLANIS wird Änderungen mit angemessener Frist ankündigen; der Kunde kann aus wichtigem Grund Widerspruch einlegen. Wenn keine Lösung gefunden wird, hat der Kunde ein Sonderkündigungsrecht für den betroffenen Dienst.
(3) PLANIS beauftragt Unterauftragsverarbeiter mit Verpflichtungen, die mindestens dieser DPA entsprechen, einschließlich TOMs und, falls relevant, SCCs gemäß §8.
§8 Drittlandtransfers
(1) Für Drittlandtransfers stellt PLANIS im Voraus geeignete Schutzmaßnahmen sicher.
(2) Die EU-Standardvertragsklauseln (SCC) 2021/914 gelten automatisch, wenn personenbezogene Daten an einen Drittlandimporteur übertragen werden:
Modul 2 (Verantwortlicher→Auftragsverarbeiter) und Modul 3 (Auftragsverarbeiter→Auftragsverarbeiter), mit [SCC_GoverningLaw] als anwendbarem Recht und [SupervisoryAuthority] als zuständiger Behörde. Anhangzuordnungen sind in Anhang 1 und 2 aufgeführt.
§9 Audits
(1) Auf Anfrage stellt PLANIS angemessene Informationen zur Verfügung, einschließlich Auszüge aus dem Sicherheitskonzept, Protokolle und unabhängige Berichte, sofern verfügbar.
(2) Audits: einmal alle 12 Monate mit 365 Tagen Vorankündigung (remote oder vor Ort). Vertraulichkeit, Sicherheit und Betrieb müssen gewahrt bleiben; es gelten die Geschäftszeiten. Der Kunde trägt die Auditkosten, es sei denn, es werden wesentliche Verstöße festgestellt.
§10 Löschung und Rückgabe
(1) Bei Beendigung oder Anweisung löscht oder gibt PLANIS alle personenbezogenen Daten zurück.
(2) PLANIS stellt verfügbare Exportfunktionen für 24 Tage nach Beendigung zur Verfügung; danach werden Daten gelöscht oder anonymisiert, es sei denn, es gelten gesetzliche Aufbewahrungspflichten.
(3) Backups werden in routinemäßigen Zyklen überschrieben.
§11 Haftung und Rangfolge
(1) Die Haftung richtet sich nach dem Hauptvertrag; zwingende Bestimmungen der DSGVO bleiben unberührt.
(2) Im Falle eines Konflikts gilt: (a) SCCs (falls zutreffend), (b) diese DPA, (c) Hauptvertrag/ToS.
§12 Sonstiges
(1) Die Abtretung bedarf der Zustimmung; PLANIS kann verbundene Unternehmen und qualifizierte Unterauftragsverarbeiter einsetzen.
(2) Geltendes Recht / Gerichtsstand: Deutsches Recht; Gerichtsstand Kiel, soweit zulässig..