Vertrag zur Auftragsverarbeitung
Nach Art. 28 DSGVO, für selbst registrierte Veranstalter. Stand 29.09.2026, Version 2026-09-29
§ 1 Parteien und Gegenstand
Dieser Vertrag gilt zwischen dem Veranstalter, der sich auf backstage-software.com registriert (Verantwortlicher), und Bela Goldmann, Backstage Software, Gottschedstraße 17, 22301 Hamburg, Deutschland, E-Mail: contact@backstage-software.com (Auftragsverarbeiter, nachfolgend „Backstage“).
Gegenstand ist die Verarbeitung personenbezogener Daten durch Backstage im Auftrag des Veranstalters bei der Bereitstellung der Ticketing-Software nach den Plattform-AGB. Der Vertrag erfüllt die Anforderungen des Art. 28 DSGVO. Er gilt für die Dauer der Nutzung der Plattform.
§ 2 Art und Zweck der Verarbeitung, Art der Daten, Betroffene
Zweck ist der Verkauf von Tickets, der Versand von Ticketmails, der Einlass und die Auswertung der Verkäufe für den Veranstalter.
Arten von Daten:
- Käuferdaten: Name, E-Mail-Adresse, Telefonnummer (falls der Veranstalter sie erhebt),
- Bestelldaten: Bestellnummer, gekaufte Tickets, Beträge, Zeitpunkt, Zahlungsstatus, verwendete Aktions- oder Promotercodes (vollständige Kartendaten verarbeitet nur Stripe),
- Check-in-Daten: Zeitpunkt des Einlasses und das verwendete Gerät,
- Daten der Gästeliste, der Promoter und der Teammitglieder des Veranstalters, soweit er sie im Backstage erfasst.
Betroffen sind Ticketkäufer, Gäste, Promoter und Teammitglieder des Veranstalters.
§ 3 Weisungen
Backstage verarbeitet die Daten nur auf dokumentierte Weisung des Veranstalters. Die Einstellungen und Aktionen im Backstage gelten als Weisung. Hält Backstage eine Weisung für rechtswidrig, weist Backstage den Veranstalter unverzüglich darauf hin.
§ 4 Pflichten von Backstage
- Alle Personen, die bei Backstage Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
- Backstage unterstützt den Veranstalter bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung) und bei seinen Pflichten nach Art. 32 bis 36 DSGVO.
- Backstage meldet dem Veranstalter eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntnis, mit den Angaben, die der Veranstalter für seine eigene Meldung braucht.
- Backstage verarbeitet die Daten nicht für eigene Zwecke.
§ 5 Unterauftragnehmer
Der Veranstalter stimmt dem Einsatz der folgenden Unterauftragnehmer zu:
| Dienst | Zweck | Standort |
|---|---|---|
| Supabase Inc. | Datenbank und Anmeldung | Rechenzentrum in Frankfurt am Main (EU) |
| Vercel Inc. | Hosting der Website und des Backstage | EU und USA (EU-US Data Privacy Framework, Standardvertragsklauseln) |
| Resend (Plus Five Five, Inc.) | Versand von Ticket-, Bestell- und Anmeldemails | USA (EU-US Data Privacy Framework, Standardvertragsklauseln) |
| Apple Inc. | Apple Wallet: Aktualisierung digitaler Tickets | USA (EU-US Data Privacy Framework) |
Die Zahlungsabwicklung läuft über das eigene Stripe-Konto des Veranstalters auf Grundlage seines eigenen Vertrags mit Stripe. Stripe ist deshalb kein Unterauftragnehmer von Backstage, sondern eigener Vertragspartner des Veranstalters.
Meta (Conversions API) und Google (Analytics) werden nur eingesetzt, wenn der Veranstalter sie im Backstage selbst verbindet. Über neue oder geänderte Unterauftragnehmer informiert Backstage den Veranstalter vorab. Der Veranstalter kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
§ 6 Technische und organisatorische Maßnahmen
- Verschlüsselung: Übertragung nur über TLS, Speicherung verschlüsselt, Zugangsschlüssel zu verbundenen Diensten zusätzlich verschlüsselt,
- Mandantentrennung: jede Zeile ist einem Veranstalter zugeordnet, die Datenbank prüft den Zugriff selbst (Row Level Security),
- Zugriffsbeschränkung: Zugang zum Backstage nur mit Anmeldung, Rollen für Inhaber, Team und Einlass, Einlass auf einzelne Abende beschränkbar,
- Serverstandort: Datenbank in Frankfurt am Main (EU),
- Sicherung und Wiederherstellung durch den Datenbankanbieter.
§ 7 Löschung und Rückgabe
Nach Ende des Vertrags erhält der Veranstalter auf Wunsch einen Export seiner Daten. Danach löscht Backstage die Daten innerhalb von 30 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Einzelne Daten löscht der Veranstalter während der Laufzeit selbst im Backstage oder auf Weisung durch Backstage.
§ 8 Kontrollen
Backstage stellt dem Veranstalter die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind, und ermöglicht Überprüfungen nach vorheriger Absprache.
§ 9 Schlussbestimmungen
Im Übrigen gelten die Plattform-AGB. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt das Recht der Bundesrepublik Deutschland.