Vertrag über die Verarbeitung personenbezogener Daten im Auftrag
Fassung 2026-08 · nach Artikel 28 DSGVO
Verantwortlicher
Der Betrieb, der clickzauber einsetzt — Ihre Location, Ihr Eventraum, Ihr Gutshof. Sie entscheiden, welche Daten erhoben werden und wozu.
Auftragsverarbeiter
Manuel Tripi, clickzauber
Anschrift und Kontakt siehe Impressum.
1. Gegenstand und Dauer
Der Auftragsverarbeiter stellt dem Verantwortlichen ein Anfrage-Widget für dessen Website zur Verfügung. Besucher geben dort Angaben zu einer geplanten Feier ein; diese werden gespeichert, dem Verantwortlichen zugeleitet und in einer Auswertung dargestellt.
Der Vertrag läuft, solange das Abonnement besteht. Er endet mit dessen Beendigung, spätestens mit der Löschung des Kontos.
2. Art der Daten und betroffene Personen
| Datenart | Beispiele |
|---|---|
| Kontaktdaten | Name, E-Mail-Adresse, Telefonnummer |
| Angaben zur Anfrage | Wunschtermin, Ausweichtermin, Gästezahl, Menü- und Getränkewunsch, Dekoration, Musik, Freitextnachricht |
| Technische Daten | Sitzungskennung ohne Personenbezug, Zeitpunkt der Eingabe, Abbruchpunkt im Ablauf |
Betroffene Personen sind Interessenten und Gäste, die das Widget auf der Website des Verantwortlichen ausfüllen.
Der Auftragsverarbeiter setzt keine Cookies zu Werbezwecken, führt kein geräteübergreifendes Nachverfolgen durch und gibt keine Daten an Werbenetzwerke weiter.
3. Weisungsgebundenheit
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen ergeben sich aus diesem Vertrag, aus den Einstellungen im Cockpit und aus Mitteilungen in Textform.
Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung aussetzen.
4. Ort der Verarbeitung
Die Verarbeitung findet ausschließlich in der Europäischen Union statt. Datenbank und Server stehen in Frankfurt am Main. Eine Übermittlung in Drittländer findet nicht statt.
5. Vertraulichkeit
Der Auftragsverarbeiter arbeitet allein und ohne Beschäftigte. Werden künftig Personen eingesetzt, werden sie zuvor auf das Datengeheimnis verpflichtet und in ihren Pflichten unterrichtet.
6. Sicherheitsmaßnahmen nach Artikel 32
| Maßnahme | Umsetzung |
|---|---|
| Übertragung | Ausschließlich verschlüsselt über HTTPS mit aktuellen Verfahren. |
| Speicherung | Verschlüsselte Datenträger beim Rechenzentrumsbetreiber. |
| Zugriffstrennung | Jeder Datensatz trägt eine Mandantenkennung. Abfragen sind ohne diese Kennung nicht möglich; ein Kunde kann keine Daten eines anderen sehen. |
| Zugang | Anmeldung über Einmal-Code an die hinterlegte Adresse. Keine Passwörter, die verloren gehen oder mehrfach verwendet werden können. |
| Verfügbarkeit | Tägliche Sicherung durch den Datenbankbetreiber, Aufbewahrung sieben Tage. |
| Speicherbegrenzung | Anfragen werden nach der im Cockpit gewählten Frist automatisch gelöscht. Voreinstellung: 24 Monate. |
| Nachvollziehbarkeit | Export, Löschung und Vertragsabschluss werden protokolliert. |
7. Weitere Auftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz der folgenden Dienste zu. Mit jedem besteht ein eigener Auftragsverarbeitungsvertrag.
| Dienst | Aufgabe | Ort |
|---|---|---|
| Supabase | Datenbank | Frankfurt am Main |
| Vercel | Server und Auslieferung | Frankfurt am Main |
| Resend | E-Mail-Versand | Europäische Union |
| Stripe | Abrechnung des Abonnements | Europäische Union |
Ein Wechsel oder eine Ergänzung wird mindestens vier Wochen vorher in Textform angekündigt. Der Verantwortliche kann widersprechen; in diesem Fall darf er den Vertrag zum Zeitpunkt der Änderung ohne Frist beenden.
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt bei Anfragen betroffener Personen. Praktisch bedeutet das:
- Auskunft — der Verantwortliche kann jederzeit selbst alle Daten als Tabelle exportieren.
- Löschung — einzelne Anfragen lassen sich im Cockpit löschen und sind damit endgültig entfernt.
- Berichtigung — Angaben lassen sich im Cockpit ändern.
- Datenschutz-Folgenabschätzung — auf Anfrage stellt der Auftragsverarbeiter die dafür nötigen Angaben bereit.
9. Meldung von Verletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis. Die Meldung nennt Art der Verletzung, betroffene Datenarten, geschätzten Umfang und ergriffene Maßnahmen. Die Meldung an die Aufsichtsbehörde obliegt dem Verantwortlichen.
10. Nachweise und Prüfung
Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anfrage in Textform nach. Der Verantwortliche kann eine Prüfung verlangen; sie wird mit angemessener Frist vereinbart und darf den Betrieb nicht unangemessen beeinträchtigen. Über die eingesetzten weiteren Auftragsverarbeiter werden die dort verfügbaren Berichte weitergegeben.
11. Löschung nach Vertragsende
Nach Beendigung löscht der Auftragsverarbeiter alle Anfragedaten. Ausgenommen sind Rechnungsunterlagen, die nach § 147 Abgabenordnung zehn Jahre aufzubewahren sind; sie enthalten keine Daten von Gästen des Verantwortlichen.
Vor der Löschung des Kontos wird der Verantwortliche auf die Möglichkeit des Exports hingewiesen.
12. Haftung
Es gilt Artikel 82 DSGVO. Im Verhältnis der Parteien haftet jede Partei für Schäden, die auf der Verletzung ihrer eigenen Pflichten beruhen.
13. Schlussbestimmungen
Änderungen dieses Vertrags werden in Textform mitgeteilt und erhalten eine neue Fassungsbezeichnung. Der Verantwortliche wird im Cockpit auf eine neue Fassung hingewiesen und bestätigt sie dort erneut. Widerspricht er, gilt § 7 Absatz 2 entsprechend.
Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Es gilt deutsches Recht.
Anlage · Was im Widget nicht erhoben wird
Zur Klarstellung, weil danach häufig gefragt wird: Das Widget erhebt keine Gesundheitsdaten, keine Angaben zur Religion, keine Bankverbindungen und keine Ausweisdaten. Die Freitextnachricht wird dem Verantwortlichen unverändert übermittelt — bittet ein Gast dort um Berücksichtigung besonderer Umstände, verantwortet der Verantwortliche den Umgang damit.
Für die Abrechnung des Abonnements verarbeitet der Auftragsverarbeiter Daten des Verantwortlichen selbst. Das ist keine Auftragsverarbeitung, sondern eigene Verantwortlichkeit auf Grundlage des Vertragsverhältnisses.
Fassung 2026-08 · Abschluss und Nachweis im Cockpit unter Einstellungen → Datenschutz