Vereinbarung zur Auftragsverarbeitung

Anlage zu den Allgemeinen Geschäftsbedingungen der RHINEC UG (haftungsbeschränkt). Stand: 24. August 2026.

Präambel und Geltungsbereich

Diese Vereinbarung zur Auftragsverarbeitung (nachfolgend „Vereinbarung") ist Anlage zu den Allgemeinen Geschäftsbedingungen (AGB) der RHINEC UG (haftungsbeschränkt) und wird mit deren Annahme wirksam. Sie konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 der Datenschutz-Grundverordnung (DSGVO), soweit der Kunde einen Dienst von RHINEC nutzt und dabei personenbezogene Daten Dritter als Verantwortlicher verarbeitet, die RHINEC in seinem Auftrag verarbeitet. Die hiervon konkret erfassten Verarbeitungen sind in Anlage 1 aufgeführt (derzeit die Gästedaten in der EventApp).

• Verantwortlicher ist der Kunde, der über Zwecke und Mittel der Verarbeitung entscheidet (bei der EventApp: der Nutzer bzw. Gastgeber).
• Auftragsverarbeiter ist die RHINEC UG (haftungsbeschränkt), Hauptstraße 57, 99192 Nesse-Apfelstädt (nachfolgend „RHINEC").

Nutzt der Kunde einen Dienst ausschließlich zu persönlichen oder familiären Zwecken (Haushaltsausnahme, Art. 2 Abs. 2 lit. c DSGVO), ist er nicht Verantwortlicher im Sinne der DSGVO; diese Vereinbarung läuft dann leer.

Nicht Gegenstand dieser Vereinbarung sind Verarbeitungen, für die RHINEC selbst Verantwortlicher ist (Konto, Abrechnung, Sicherheit, Bereitstellung der Plattform, KI-Assistent). Hierüber informiert die Datenschutzerklärung.

1. Gegenstand und Dauer

1.1 Gegenstand ist die Verarbeitung der Gästedaten durch RHINEC im Auftrag des Verantwortlichen im Rahmen der in Anlage 1 beschriebenen Dienste.

1.2 Die Vereinbarung läuft für die Dauer der Nutzung des jeweiligen Dienstes durch den Verantwortlichen. Sie endet mit der Beendigung des zugrunde liegenden Vertragsverhältnisses; die Pflichten zur Löschung (Ziffer 8) bleiben davon unberührt.

2. Art, Zweck und Umfang der Verarbeitung

Art, Zweck und Umfang der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1. Eine Verarbeitung der Gästedaten zu eigenen Zwecken von RHINEC findet nicht statt.

3. Weisungsbindung

3.1 RHINEC verarbeitet die Gästedaten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Drittlandübermittlungen, soweit nicht eine Rechtsvorschrift der EU oder eines Mitgliedstaats RHINEC hierzu verpflichtet.

3.2 Die Konfiguration und Nutzung des Dienstes durch den Verantwortlichen (bei der EventApp etwa das Erstellen von Einladungen, das Festlegen der Rückmeldefelder und das Löschen einzelner Rückmeldungen) gilt als seine Weisung.

3.3 Ist RHINEC der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert RHINEC den Verantwortlichen unverzüglich.

4. Vertraulichkeit

RHINEC stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass der Zugriff auf die Gästedaten auf das Erforderliche beschränkt ist. Der Zugriff auf die Rückmeldungen einer Einladung ist technisch auf den jeweiligen Verantwortlichen (Gastgeber) beschränkt.

5. Technisch-organisatorische Maßnahmen

RHINEC trifft die zur Sicherheit der Verarbeitung erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Diese sind in Anlage 3 beschrieben und werden dem Stand der Technik entsprechend fortlaufend angepasst.

6. Unterauftragsverarbeiter

6.1 Der Verantwortliche erteilt RHINEC die allgemeine Genehmigung, die in Anlage 2 genannten Unterauftragsverarbeiter einzusetzen.

6.2 RHINEC informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) durch Aktualisierung der Anlage 2 mit angemessener Vorankündigung. Der Verantwortliche kann einer Änderung binnen 14 Tagen aus wichtigem, datenschutzrechtlichem Grund widersprechen; in diesem Fall sind die Parteien um eine einvernehmliche Lösung bemüht, andernfalls kann der Verantwortliche den betroffenen Dienst kündigen.

6.3 RHINEC verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten dieser Vereinbarung entsprechen, und bleibt dem Verantwortlichen gegenüber für deren Einhaltung verantwortlich.

7. Unterstützung des Verantwortlichen

7.1 RHINEC unterstützt den Verantwortlichen im Rahmen des technisch Möglichen bei der Erfüllung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Bei der EventApp kann der Verantwortliche einzelne Rückmeldungen zudem jederzeit selbst löschen.

7.2 RHINEC unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung) unter Berücksichtigung der Art der Verarbeitung und der RHINEC vorliegenden Informationen.

7.3 Wendet sich eine betroffene Person unmittelbar an RHINEC, leitet RHINEC das Anliegen unverzüglich an den Verantwortlichen weiter.

8. Meldung von Verletzungen des Schutzes personenbezogener Daten

RHINEC benachrichtigt den Verantwortlichen unverzüglich, nachdem RHINEC eine Verletzung des Schutzes der Gästedaten bekannt geworden ist, und stellt die zur Erfüllung der Melde- und Benachrichtigungspflichten des Verantwortlichen (Art. 33, 34 DSGVO) erforderlichen Informationen bereit.

9. Löschung und Rückgabe

9.1 Die Gästedaten werden nach den in der Anwendung festgelegten Fristen automatisch gelöscht (insbesondere Rückmeldungen und Anwesenheitsdaten eine Woche nach dem Veranstaltungsdatum). Der Verantwortliche kann Rückmeldungen, einzelne Einladungen oder sein gesamtes Konto jederzeit löschen.

9.2 Nach Beendigung der Verarbeitung löscht RHINEC die Gästedaten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

10. Nachweise und Kontrollen

10.1 RHINEC stellt dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung.

10.2 Der Verantwortliche kann sich von der Einhaltung überzeugen, vorrangig durch Einholung entsprechender Auskünfte und Nachweise. Weitergehende Überprüfungen erfolgen mit angemessener Vorankündigung, ohne den Betrieb unverhältnismäßig zu beeinträchtigen und ohne die Sicherheit anderer Nutzer zu gefährden.

11. Haftung

Für die Haftung gelten die gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO, sowie die Haftungsregelungen der AGB.

12. Schlussbestimmungen

12.1 Bei Widersprüchen zwischen dieser Vereinbarung und den AGB gehen in datenschutzrechtlichen Fragen die Regelungen dieser Vereinbarung vor.

12.2 Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Anlage 1 – Beschreibung der Verarbeitung

Diese Anlage listet die von dieser Vereinbarung erfassten Verarbeitungen auf. Derzeit betrifft dies die folgende Verarbeitung:

EventApp – Gästedaten

• Gegenstand: Verarbeitung der Rückmeldungen und Anwesenheitsdaten von Gästen im Rahmen der Einladungs- und Einlassfunktionen der EventApp.
• Art und Zweck: Entgegennahme und Speicherung von Gästerückmeldungen zu einer Einladung, Bereitstellung dieser Rückmeldungen für den Gastgeber, sowie – bei Nutzung der Einlasskontrolle – Erfassung der Anwesenheit vor Ort.
• Dauer: für die Dauer der Nutzung; automatische Löschung eine Woche nach dem Veranstaltungsdatum.
• Art der personenbezogenen Daten: Name des Gastes, Rückmeldestatus (Zusage/Absage/Vielleicht), Anzahl der Begleitpersonen, optionaler Freitext-Kommentar, Check-in-Token und Check-in-Zeitpunkt.
• Kategorien betroffener Personen: vom Verantwortlichen eingeladene Gäste.
• Besondere Kategorien personenbezogener Daten: nicht vorgesehen; der Verantwortliche stellt sicher, dass er keine besonderen Kategorien (Art. 9 DSGVO) über die Freitextfelder erhebt, für die keine Rechtsgrundlage besteht.

Anlage 2 – Unterauftragsverarbeiter

Für die in Anlage 1 beschriebenen Verarbeitungen werden folgende Unterauftragsverarbeiter eingesetzt (derzeit für die EventApp-Gästedaten):

Weitere von RHINEC eingesetzte Dienste (Auth0, Stripe, Objektspeicher, KI-Dienst, Apple Wallet) verarbeiten keine Gästedaten und sind daher nicht Teil dieser Liste.

Anlage 3 – Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

• Zugriffskontrolle: Zugriff auf Rückmeldungen ausschließlich für den jeweiligen Gastgeber; Authentifizierung über signierte Token (JWT); administrative Zugriffe rollenbasiert und beschränkt.
• Nicht-erratbare Zugriffsschlüssel: zufällige, nicht ableitbare Tokens für Einladungslinks und Check-in (keine fortlaufenden oder aus Zeitstempeln ableitbaren Kennungen).
• Übertragungssicherheit: durchgehende TLS-Verschlüsselung.
• Datentrennung und Löschung: automatische, fristgebundene Löschung der Rückmeldungen (Datenbank-TTL); vollständige Löschketten bei Löschung von Karte oder Konto.
• Datensparsamkeit bei Protokollen: Server-Protokolle ohne Klartext-E-Mail-Adressen und ohne Besucher-IP-Adressen; Aufbewahrung 7 Tage.
• Verfügbarkeit und Belastbarkeit: Ratenbegrenzung zur Missbrauchsabwehr; Betrieb in gesicherten Rechenzentren der eingesetzten Unterauftragsverarbeiter.
• Überprüfung: regelmäßige Überprüfung und Anpassung der Maßnahmen an den Stand der Technik.