Auftragsverarbeitungsvertrag (AVV)

Stand: September 2026

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

zwischen dem Kunden von eventwulf (Hotel, Veranstaltungsort oder sonstiger Betrieb), im Folgenden Auftraggeber,

und Wolfgang Heis, MSc, Vorgartenstraße 200/8, 1020 Wien, Österreich, support@eventwulf.at, im Folgenden Auftragnehmer.

Dieser Vertrag wird mit der Registrierung bzw. dem Abschluss des Nutzungsvertrags über eventwulf geschlossen und ist Bestandteil der Allgemeinen Geschäftsbedingungen.

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um ihm die Software eventwulf bereitzustellen. Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Der Vertrag gilt für die Dauer des Nutzungsvertrags über eventwulf und endet automatisch mit diesem.

§ 2 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vorher mit, soweit das Gesetz dies nicht verbietet.

(2) Weisungen erteilt der Auftraggeber durch die Nutzung der Funktionen von eventwulf (etwa Anlegen, Bearbeiten und Löschen von Anfragen) sowie per E-Mail an support@eventwulf.at.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Auftraggeber unverzüglich darauf hin.

§ 3 Vertraulichkeit

Der Auftragnehmer stellt sicher, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 4 Sicherheit der Verarbeitung

(1) Der Auftragnehmer trifft die in Anlage 3 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen dürfen an den technischen Fortschritt angepasst werden, sofern das Schutzniveau nicht sinkt.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

(2) Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragnehmer den Auftraggeber mindestens 30 Tage vorher per E-Mail. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann der Auftraggeber den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen.

§ 6 Rechte der betroffenen Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Die Software stellt dafür Funktionen zum Einsehen, Bearbeiten und Löschen von Anfragen bereit.

(2) Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

§ 7 Weitere Unterstützungspflichten

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der ihm vorliegenden Informationen bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei der Meldung von Datenschutzverletzungen und einer allfälligen Datenschutz-Folgenabschätzung.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die im Kundenkonto hinterlegte Adresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO und wird ergänzt, sobald weitere Informationen vorliegen.

§ 9 Löschung und Rückgabe

(1) Nach Ende des Nutzungsvertrags stellt der Auftragnehmer dem Auftraggeber auf Anfrage innerhalb von 30 Tagen einen Export seiner Daten zur Verfügung.

(2) Anschließend, spätestens 60 Tage nach Vertragsende, löscht der Auftragnehmer die Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht. Kopien in Datensicherungen werden im Rahmen der regulären Sicherungszyklen gelöscht.

§ 10 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.

(2) Der Auftraggeber kann Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, nach Anmeldung mit mindestens 30 Tagen Vorlauf, höchstens einmal pro Kalenderjahr und auf eigene Kosten, es sei denn, ein konkreter Anlass rechtfertigt eine frühere Prüfung. Für die Unterauftragsverarbeiter können deren Zertifizierungen und Prüfberichte als Nachweis dienen.

§ 11 Übermittlung in Drittländer

Eine Übermittlung in Staaten außerhalb des Europäischen Wirtschaftsraums erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO. Die jeweilige Grundlage ist in Anlage 2 angegeben.

§ 12 Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der Allgemeinen Geschäftsbedingungen.

§ 13 Schlussbestimmungen

(1) Es gilt österreichisches Recht. Gerichtsstand ist Wien.

(2) Bei Widersprüchen zwischen diesem Vertrag und anderen Vereinbarungen gehen in Fragen des Datenschutzes die Regelungen dieses Vertrags vor.

(3) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

(4) Änderungen dieses Vertrags teilt der Auftragnehmer dem Auftraggeber mindestens 30 Tage vorher per E-Mail mit.

Anlage 1: Gegenstand der Verarbeitung

Gegenstand und Zweck: Der Auftragnehmer stellt dem Auftraggeber die Software eventwulf als Online-Dienst bereit. Damit nimmt der Auftraggeber Event- und Raumanfragen seiner Gäste über ein Anfrageformular auf seiner Website entgegen, verwaltet sie, erstellt Angebote und kommuniziert per E-Mail mit den Gästen.

Art der Verarbeitung: Erheben über das Anfrageformular, Speichern, Anzeigen im Verwaltungsbereich, Versand von Bestätigungs-, Angebots-, Erinnerungs- und Stornomails, Löschen.

Arten personenbezogener Daten:

• Kontaktdaten: Name der Ansprechperson bzw. Gruppenleitung, E-Mail-Adresse, Telefonnummer
• Anfragedaten: gewünschter Zeitraum, Teilnehmerzahl, Art der Veranstaltung, gewählter Raum oder gewähltes Event, Budget, Anreise, Wünsche zu Verpflegung, Zimmern und Rahmenprogramm, Sprache der Gruppe
• Freitext- und Zusatzfelder, die der Auftraggeber selbst definiert
• Angaben zu besonderen Bedürfnissen (Feld „Barrierefreiheit"). Diese können Gesundheitsdaten nach Art. 9 DSGVO enthalten.
• Angebotsdaten: Positionen, Preise, Status
• Technische Daten: gekürzte Prüfwerte (Hash) von IP-Adressen zum Schutz vor Missbrauch, Daten des Bot-Schutzes

Kategorien betroffener Personen: Gäste und Interessenten des Auftraggebers, die eine Anfrage stellen, sowie Mitarbeitende des Auftraggebers mit Zugang zum Verwaltungsbereich.

Dauer: für die Laufzeit des Nutzungsvertrags über eventwulf. Nach Vertragsende werden die Daten nach Wahl des Auftraggebers zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Anlage 2: Unterauftragsverarbeiter

Der Auftraggeber genehmigt den Einsatz folgender Unterauftragsverarbeiter. Mit allen besteht ein Vertrag nach Art. 28 Abs. 4 DSGVO.

Stripe wird nur für die Abrechnung zwischen Auftragnehmer und Auftraggeber eingesetzt und verarbeitet keine Daten der Gäste. Stripe ist daher kein Unterauftragsverarbeiter im Rahmen dieses Vertrags.

Anlage 3: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutritt: Der Betrieb erfolgt ausschließlich in Rechenzentren der Unterauftragsverarbeiter (Anlage 2), die nach ISO 27001 bzw. SOC 2 zertifiziert sind. Der Auftragnehmer betreibt keine eigenen Server.
• Zugang: Anmeldung nur mit E-Mail und Passwort. Passwörter werden ausschließlich als bcrypt-Hash gespeichert und bei der Vergabe gegen bekannte Datenlecks geprüft. Anmeldeversuche sind begrenzt. Sitzungen laufen nach spätestens 7 Tagen ab und werden bei Passwortänderung ungültig. Zugänge zu den Dienstleister-Konten sind mit individuellen, starken Passwörtern geschützt.
• Zugriff: Jeder Auftraggeber sieht ausschließlich seine eigenen Daten (Mandantentrennung auf Datenbankebene bei jeder Abfrage). Die Trennung wird durch automatisierte Tests abgesichert. Zugangsdaten zu Drittdiensten werden nie an den Browser übertragen.
• Trennung: Test- und Entwicklungsumgebungen nutzen eine eigene Datenbank ohne Echtdaten und eigene Zugangsdaten.

Integrität

• Weitergabe: Alle Verbindungen sind verschlüsselt (HTTPS mit HSTS). Die Verbindung zur Datenbank ist verschlüsselt, das Zertifikat wird vollständig geprüft. E-Mails werden, sofern der Empfänger es unterstützt, verschlüsselt übertragen. Bestätigungsmails an Gäste enthalten nur die nötigsten Angaben, keine Freitexte.
• Eingabe: Eingaben werden serverseitig geprüft und beim Anzeigen maskiert. Das Anfrageformular ist durch Bot-Schutz und Mengenbegrenzungen gegen Missbrauch gesichert.
• Protokollierung: Fehler und Ausfälle werden automatisch überwacht. Ein durchgehendes Änderungsprotokoll für Verwaltungsaktionen ist geplant, aber noch nicht umgesetzt.

Verfügbarkeit und Belastbarkeit

• Die Datenbank wird fortlaufend gesichert. Eine Wiederherstellung ist für die letzten 6 Stunden möglich, zusätzlich bestehen Sicherungspunkte (Snapshots). Eine Wiederherstellung wurde am 28.09.2026 erfolgreich getestet.
• Erreichbarkeit der Anwendung und regelmäßige Hintergrundprozesse werden laufend überwacht, Fehler lösen eine Benachrichtigung aus.
• Anwendung und Datenbank laufen in der EU (Frankfurt).

Verfahren zur regelmäßigen Überprüfung

• Sicherheits- und Datenschutzprüfungen des Codes am 10.09., 22.09. und 26.09.2026. Gefundene Schwachstellen mit hoher Priorität wurden behoben.
• Jede Änderung durchläuft vor der Veröffentlichung eine automatisierte Testsuite (derzeit rund 350 Tests), inklusive Tests zur Mandantentrennung und Sicherheit.
• Abhängigkeiten werden auf bekannte Sicherheitslücken geprüft.

Datenschutz durch Technikgestaltung

• Keine Analyse- oder Tracking-Werkzeuge, keine Werbe-Cookies, keine von Drittanbietern geladenen Schriften.
• Fehlerberichte werden ohne IP-Adressen, Cookies, Formularinhalte und Nutzerdaten erfasst.
• Gekürzte Prüfwerte zum Missbrauchsschutz werden nach spätestens 8 Tagen gelöscht.
• Anfragen können vom Auftraggeber einzeln gelöscht werden. Eine automatische Löschung nach frei wählbarer Frist ist geplant.