Auftragsverarbeitungsvertrag (AVV)

Fassung 1.0 · Stand 22. September 2026

gemäß Art. 28 Abs. 3 DSGVO zwischen Ihnen als Organisation, die Eventium nutzt (nachfolgend „Verantwortlicher“), und der Aller Ende Anfang UG (haftungsbeschränkt), Mollstraße 1a, 10178 Berlin, vertreten durch Jason Salomon Rinnert (nachfolgend „Auftragsverarbeiter“ oder „Eventium“).

Diesen Vertrag können Sie innerhalb Ihrer Organisation unter Einstellungen → Organisation mit einem Klick abschließen. Eventium speichert dabei Fassung, Zeitpunkt und die annehmende Person als Nachweis.

1. Gegenstand und Dauer der Verarbeitung

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der Software-as-a-Service-Lösung Eventium. Die Dauer der Verarbeitung entspricht der Dauer des zwischen den Parteien bestehenden Nutzungsvertrags (Hauptvertrag/AGB). Mit Beendigung des Hauptvertrags endet auch dieser AVV, unbeschadet der Löschungs- und Rückgabepflichten nach Ziffer 9.

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten, die der Verantwortliche im Rahmen der Nutzung von Eventium einstellt, hochlädt oder erzeugt — insbesondere im Zusammenhang mit CRM/Kundenverwaltung, Projekt- und Angebotsverwaltung, Rechnungsstellung, Terminplanung, Kommunikation (Chat/E-Mail), Dateiverwaltung, dem Kundenportal sowie optionalen KI-gestützten Funktionen. Zweck der Verarbeitung ist ausschließlich die Erbringung der vertraglich geschuldeten Leistung gegenüber dem Verantwortlichen; eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

3. Art der personenbezogenen Daten

• Kontaktdaten (Name, E-Mail, Telefon, Adresse)
• Firmen- und Ansprechpartnerdaten von Kunden/Lieferanten
• Projekt-, Angebots- und Rechnungsdaten inklusive Zahlungsinformationen (ohne vollständige Kartendaten, siehe Ziffer 5)
• Kommunikationsinhalte (Nachrichten, Notizen, Kommentare)
• Nutzungs- und Protokolldaten (Zugriffszeiten, Aktivitäten)
• bei aktivierten KI-Funktionen: Inhalte, die zur Verarbeitung an KI-Anbieter übermittelt werden (siehe Datenschutzerklärung Ziffer 6.3)

4. Kategorien betroffener Personen

Mitarbeitende des Verantwortlichen, dessen Kunden und deren Ansprechpartner, Lieferanten/Dienstleister und deren Ansprechpartner sowie sonstige Personen, deren Daten der Verantwortliche im Rahmen der Nutzung von Eventium verarbeitet (z. B. Gäste, Teilnehmer von Veranstaltungen).

5. Rechte und Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung der von ihm eingestellten Daten sowie für die Wahrung der Rechte betroffener Personen im Verhältnis zu diesen verantwortlich. Der Verantwortliche ist berechtigt, dem Auftragsverarbeiter Weisungen zur Art und Weise der Verarbeitung zu erteilen; Weisungen erfolgen grundsätzlich über die von Eventium bereitgestellten Konfigurationsmöglichkeiten (z. B. Einstellungen je Organisation) oder schriftlich per E-Mail an datenschutz@eventium.app. Kreditkartendaten werden ausschließlich vom Zahlungsdienstleister Stripe verarbeitet und gespeichert; der Auftragsverarbeiter hat hierauf keinen Zugriff.

6. Weisungsgebundenheit des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — einschließlich in Bezug auf Übermittlungen personenbezogener Daten an ein Drittland oder eine internationale Organisation —, sofern er nicht durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

7. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

8. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen, insbesondere:

• Verschlüsselte Datenübertragung (TLS/SSL)
• Passwörter werden ausschließlich gehasht gespeichert
• Mandantentrennung auf Datenbankebene (Row-Level-Security je Organisation)
• Zugriffsbeschränkungen nach dem Need-to-know-Prinzip
• Regelmäßige Sicherheitsupdates
• Datenbank-Hosting in einem EU-Rechenzentrum (Frankfurt)

Details und Aktualisierungen finden Sie in der Datenschutzerklärung, Ziffer 11.

9. Unterauftragsverarbeiter

Der Verantwortliche erteilt seine allgemeine Genehmigung zum Einsatz der folgenden Unterauftragsverarbeiter (Anlage). Der Auftragsverarbeiter informiert den Verantwortlichen vor der Hinzuziehung neuer oder dem Ersatz bestehender Unterauftragsverarbeiter; der Verantwortliche kann gegen eine solche Änderung aus wichtigem Grund Einspruch erheben.

Aktuelle Unterauftragsverarbeiter (siehe Datenschutzerklärung, Ziffer 6, für den jeweils aktuellen Stand):

• Supabase Inc. (USA) — Datenbank, Authentifizierung, Dateispeicherung; Datenbank-Region Frankfurt (EU)
• Stripe Payments Europe, Ltd. (Dublin, Irland) — Zahlungsabwicklung
• Anthropic PBC (USA), OpenAI Ireland Ltd. (Irland), Google (Gemini-Modelle) — optionale KI-Funktionen, teils über das Vercel AI Gateway geroutet
• Vercel Inc. (USA) — Hosting, Ausspielung, Analytics
• Resend (Plus Five Five, Inc., USA) — Transaktions-E-Mails (Fallback)

10. Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Art. 12–22 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung). Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem ihm diese bekannt geworden ist.

11. Löschung und Rückgabe

Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten, sofern nicht eine gesetzliche Pflicht zur Speicherung nach dem Recht der Europäischen Union oder der Mitgliedstaaten besteht (z. B. handels- und steuerrechtliche Aufbewahrungspflichten für Rechnungsdaten). Details zu Fristen und dem technischen Ablauf regelt das interne Löschkonzept des Auftragsverarbeiters; auf Anfrage informiert der Auftragsverarbeiter den Verantwortlichen über den Ablauf.

12. Nachweise und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei. Der Verantwortliche kündigt Kontrollen mit angemessenem zeitlichen Vorlauf an und nimmt auf den laufenden Geschäftsbetrieb des Auftragsverarbeiters Rücksicht.

13. Haftung

Die Haftung der Parteien richtet sich nach den gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO, sowie ergänzend nach den Haftungsregelungen der zwischen den Parteien geltenden Allgemeinen Geschäftsbedingungen.