Datenschutz-Addendum
Letzte Aktualisierung: 10/06/2025
Dieser Auftragsverarbeitungsvertrag (Datenschutz-Addendum) bildet einen integralen Bestandteil des Vertrags zwischen Evnyo und dem Kunden. Er findet Anwendung auf alle Verarbeitungsvorgänge personenbezogener Daten, die Evnyo im Auftrag des Kunden im Rahmen der Nutzung der Evnyo-Services durchführt.
Dieses Dokument stellt den in die Evnyo AGB integrierten Auftragsverarbeitungsvertrag dar, gemäß Artikel 7.3 der AGB. Es formalisiert die jeweiligen Verpflichtungen des Kunden (Verantwortlicher) und von Evnyo (Auftragsverarbeiter) zum Schutz personenbezogener Daten der Gäste, in Anwendung von Artikel 28 DSGVO.
Die Parteien erkennen an, dass für diese Verarbeitungen der Kunde als Verantwortlicher fungiert und Evnyo als Auftragsverarbeiter im Sinne der anwendbaren Datenschutzbestimmungen (DSGVO und nationale Gesetze) handelt.
Dieser Vertrag hat zum Ziel, die Bedingungen zu definieren, unter denen sich Evnyo verpflichtet, personenbezogene Daten im Auftrag des Kunden zu verarbeiten, sowie die Rechte und Pflichten jeder Partei. Er wird ohne gesonderte Unterschrift geschlossen, wobei seine Annahme durch die Online-Annahme der AGB erfolgt.
Soweit in diesem Vertrag nicht anders angegeben, haben die verwendeten Begriffe die ihnen in der DSGVO gegebene Definition. Insbesondere haben „personenbezogene Daten", „betroffene Person", „Verarbeitung", „Verantwortlicher", „Auftragsverarbeiter", „Verletzung des Schutzes personenbezogener Daten" die ihnen in Artikel 4 DSGVO zugewiesene Bedeutung.
Evnyo ist berechtigt, für den Kunden die zur Erbringung der in den AGB definierten Services erforderlichen personenbezogenen Daten zu verarbeiten. Die Merkmale dieser Verarbeitungen sind in der nachstehenden Tabelle zusammengefasst, gemäß den Anforderungen von Artikel 28 DSGVO:
| Kategorien verarbeiteter personenbezogener Daten | Verarbeitungszwecke | Aufbewahrungsdauer | Autorisierte Empfänger |
|---|---|---|---|
| Identifikations- und Kontaktdaten der Gäste (zu Veranstaltungen eingeladene Personen): Name, Vorname, E-Mail-Adresse, Telefonnummer, Unternehmen/Organisation, Funktion sowie alle zusätzlichen Informationen, die der Kunde über seine Gäste bereitstellt (z.B. Gastkategorie, Antworten auf Einladungen, Kommentare). | Verwaltung der Veranstaltungsorganisation und Versendung elektronischer Einladungen. Dies umfasst das Versenden von Einladungen per E-Mail und SMS, die Verfolgung von Antworten/RSVP, die Nachfassung bei Nicht-Antwortern, die Übermittlung veranstaltungsbezogener Informationen und allgemein jeden für Evnyos Serviceleistung für die Veranstaltung notwendigen Zweck. Die Daten werden ausschließlich nach Kundenanweisungen verarbeitet und in keinem Fall von Evnyo für andere Zwecke verwendet. | Aufbewahrungsdauer: Gastdaten werden für die zur Veranstaltungsverwaltung notwendige Dauer aufbewahrt, dann binnen maximal 90 Tagen nach Veranstaltungsende oder Vertragsbeendigung gelöscht, je nachdem, was zuerst eintritt. Der Kunde kann Gastdaten jederzeit über die Plattform löschen oder extrahieren. Bei fehlender vorheriger Löschung durch den Kunden werden die Daten gemäß dem oben genannten Zeitrahmen sicher gelöscht, vorbehaltlich längerer gesetzlicher Aufbewahrungspflichten. Evnyo kann über diesen Zeitraum hinaus anonymisierte oder aggregierte Daten zu rein statistischen Zwecken und Serviceverbesserung aufbewahren (ohne identifizierbare personenbezogene Daten). | Empfänger: Die Daten sind ausschließlich zugänglich für: - Autorisiertes Evnyo-Personal, das an der Serviceleistung beteiligt ist (z.B. technisches Team für Support oder Wartung), unterliegt Vertraulichkeitsverpflichtungen. - Evnyos Unterauftragsverarbeiter (sekundäre Auftragsverarbeiter), die an der Serviceerbringung beteiligt sind, wie in Abschnitt 4.4 unten detailliert. - Gesetzlich befugte Behörden, die eine entsprechende Anfrage stellen, gemäß geltendem Recht (z.B. gerichtliche Anordnung), begrenzt auf das gesetzlich Erforderliche. Evnyo teilt Gastdaten nicht mit anderen Empfängerkategorien und erlaubt keinen vom Kunden nicht autorisierten Zugang. |
Anmerkungen: Die Kategorien der von diesen Verarbeitungen betroffenen Personen sind hauptsächlich die Gäste, die der Kunde bestimmt (berufliche oder private Kontakte, die zu seinen Veranstaltungen eingeladen werden). Der Kunde kann auch Daten zu seinen internen Benutzern (z.B. Kontaktdaten eines organisierenden Kollegen) auf der Plattform eingeben – diese Kundenbenutzerdaten beziehen sich im Allgemeinen auf das Kundenkonto selbst und werden im Rahmen des Servicebetriebs verarbeitet (z.B. Zugriffsverwaltung). Schließlich werden kundenspezifische Daten (wie Abrechnungsinformationen, Zugangsdaten) von Evnyo als Verantwortlicher im Rahmen der Verwaltung der Geschäftsbeziehung verarbeitet (vgl. Evnyo Datenschutzerklärung) und werden hier nicht detailliert, da sie außerhalb des Anwendungsbereichs dieses Vertrags liegen.
Es ist vereinbart, dass falls der Kunde die Services zur Verarbeitung von Daten oder Datenkategorien oder für andere als die oben beschriebenen Zwecke nutzt, er dies auf eigenes Risiko tut. Evnyo kann nicht für Compliance-Verstöße haftbar gemacht werden, die aus von den Parteien nicht vorgesehenen Verarbeitungen resultieren. Der Kunde verpflichtet sich, die Plattform nur für die Zwecke zu nutzen, für die sie bestimmt ist, gemäß den AGB und dieser Tabelle.
Als Verantwortlicher verpflichtet sich der Kunde:
Der Kunde erkennt an, dass er die vollständige Verantwortung für die in seinem Auftrag verarbeiteten personenbezogenen Daten behält. Der Kunde bleibt für die Gesamtkonformität der Verarbeitung gegenüber betroffenen Personen und Behörden verantwortlich, im Rahmen seiner Verpflichtungen als Verantwortlicher. Evnyo übernimmt seine Auftragsverarbeiterverantwortung gemäß Artikel 28 DSGVO, insbesondere bezüglich Sicherheit, Vertraulichkeit und Kooperation. Bei Verstößen des Kunden gegen seine Verantwortlichenpflichten fallen die daraus resultierenden finanziellen und rechtlichen Folgen in seine Verantwortung, vorbehaltlich Evnyos eigener Verantwortung als Auftragsverarbeiter.
Als Auftragsverarbeiter verpflichtet sich Evnyo, folgende Verpflichtungen gemäß Artikel 28 DSGVO zu erfüllen:
Evnyo wird personenbezogene Gastdaten nur auf dokumentierte Kundenanweisungen und ausschließlich zum Zweck der Erbringung der im Vertrag definierten Services verarbeiten. Dies umfasst die notwendigen technischen Operationen wie Hosting, Speicherung, E-Mail-/SMS-Versand, Einladungsformatierung, Antwortverfolgung, Wartung und Support.
Evnyo wird nicht über Kundenanweisungen hinaus über Verarbeitungszwecke oder -mittel entscheiden. Evnyo wird sich insbesondere jeder Datennutzung für andere Zwecke enthalten (eigenes Marketing, Profiling usw.), jedes Verkaufs oder jeder Vermietung der Daten und jeder Verschmelzung der Gastdaten mit anderen Datenbanken, außer bei gegenteiliger gesetzlicher Verpflichtung.
Falls Evnyo eine Kundenanweisung als DSGVO-Verstoß oder Verstoß gegen andere anwendbare Bestimmungen betrachtet, wird es den Kunden umgehend informieren. Ebenso wird Evnyo den Kunden vor der Verarbeitung informieren, falls es durch Unions- oder nationales Recht zu einer über die Anweisungen hinausgehenden Verarbeitung verpflichtet ist (z.B. Offenlegung auf gerichtliche Anordnung), es sei denn, das Gesetz verbietet dies aus wichtigen öffentlichen Interesse.
Evnyo gewährleistet, dass für den Kunden verarbeitete personenbezogene Daten streng vertraulich behandelt werden. Zu diesem Zweck verpflichtet sich Evnyo:
Diese Vertraulichkeitsverpflichtung besteht auch nach Vertragsende fort.
Evnyo wird alle angemessenen technischen und organisatorischen Sicherheitsmaßnahmen implementieren, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, gemäß Artikel 32 DSGVO. Evnyo verpflichtet sich, ein dem Stand der Technik entsprechendes Sicherheitsniveau aufrechtzuerhalten. Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Datennatur ergreift Evnyo insbesondere folgende Maßnahmen:
Evnyo verpflichtet sich, dem Kunden jede Verletzung des Schutzes personenbezogener Daten (Sicherheitsvorfall, der versehentlich oder unrechtmäßig zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang zu personenbezogenen Daten führt) zu melden, von der es Kenntnis erlangt und die Kundendaten betrifft. Diese Meldung erfolgt binnen 72 Stunden nach Vorfallentdeckung. Evnyo stellt dem Kunden alle relevanten Informationen über die Verletzungsart, potentiell betroffene Daten, wahrscheinliche Folgen und ergriffene Korrekturmaßnahmen zur Verfügung, um dem Kunden bei Bedarf die Meldung dieses Vorfalls an die zuständige Datenschutzbehörde (deutsche Landesdatenschutzbehörden oder BfDI) und/oder an betroffene Personen zu ermöglichen, gemäß Artikel 33 und 34 DSGVO. Die Parteien werden bei Vorfällen in gutem Glauben kooperieren, um deren Auswirkungen zu mildern.
Der Kunde willigt ausdrücklich ein, dass Evnyo Unterauftragsverarbeiter (auch subordinierte Auftragsverarbeiter oder Drittdienstleister genannt) für spezifische Verarbeitungsaktivitäten im Kundenauftrag im Rahmen der Serviceerbringung beauftragen kann. Dies kann insbesondere folgende Kategorien umfassen: Cloud-Hosting, E-Mail- und SMS-Versanddienste, technische Analysewerkzeuge, KI-Datenkorrektur usw.
Aktuelle Unterauftragsverarbeiter, die Evnyo beauftragt, umfassen (nicht abschließende Liste):
Evnyo stellt sicher, dass alle seine Unterauftragsverarbeiter außerhalb der EU über validierte Übertragungsmechanismen (BCR, Standardvertragsklauseln, Angemessenheitsbeschluss) verfügen und ihre Standard-AVV den Anforderungen von Artikel 28 DSGVO entsprechen. Evnyo verpflichtet sich, dass jeder Unterauftragsverarbeiter ausreichende Garantien bezüglich der Implementierung angemessener technischer und organisatorischer Maßnahmen bietet, sodass die Verarbeitung DSGVO-Anforderungen entspricht und den Schutz der Rechte betroffener Personen gewährleistet. Evnyo schließt mit jedem dieser Unterauftragsverarbeiter einen schriftlichen Vertrag ab, der Datenschutzverpflichtungen auferlegt, die denen dieses Vertrags entsprechen, insbesondere bezüglich Vertraulichkeit, Sicherheit und Verletzungsmeldung.
Evnyo bleibt dem Kunden gegenüber vollständig verantwortlich für die Erfüllung der Datenschutzverpflichtungen durch seine Unterauftragsverarbeiter. Evnyo wird diese Unterauftragsverarbeiter beaufsichtigen und bleibt der einzige Ansprechpartner des Kunden.
Information und Widerspruchsrecht: Evnyo wird den Kunden über geplante Änderungen bezüglich Hinzufügung oder Ersetzung wichtiger Unterauftragsverarbeiter informieren, die Verarbeitung von Kundenpersonendaten beinhalten. Diese Information wird über eine Benachrichtigung bereitgestellt (z.B. im Kunden-Admin-Interface oder per E-Mail) mindestens 15 Tage vor der Änderung. Der Kunde kann innerhalb dieser 15-Tage-Frist begründete und berechtigte Einwände gegen diese Änderungen erheben. Ein Einwand muss gutgläubig begründet sein, beispielsweise falls der Kunde der Ansicht ist, dass ein neuer Unterauftragsverarbeiter unzureichende Compliance-Garantien bietet.
Bei ungelöstem Einwand bezüglich eines neuen Unterauftragsverarbeiters kann Evnyo nach eigenem Ermessen entweder auf die Beauftragung dieses Unterauftragsverarbeiters verzichten oder dem Kunden eine alternative Lösung vorschlagen. Wird keine akzeptable Lösung gefunden, kann der Kunde den Vertrag aufgrund dieses Einwands ohne Strafe beenden. Diese Beendigung wird als berechtigt und nicht fehlerhaft seitens Evnyo betrachtet.
Bei Ende der Vertragsbeziehung, d.h. bei Beendigung oder Ablauf der AGB, hat der Kunde die Möglichkeit, alle in seinem Auftrag verarbeiteten personenbezogenen Daten über Evnyo zu erhalten. Evnyo stellt auf Kundenanfrage die Daten in einem standardlesbaren Format zur Verfügung (z.B. CSV-Export von Gästelisten und Antworten).
Der Kunde muss diese Rückgabeoption vor dem Vertragsende oder spätestens binnen 15 Tagen danach ausüben. Darüber hinaus wird Evnyo zur vollständigen Löschung der noch in seinem Besitz befindlichen Kundenpersonendaten gemäß folgendem Zeitplan schreiten:
Falls der Kunde eine Datenrückgabe vor Löschung wünscht, kann Evnyo unterstützen (dieser Service kann bei erheblichen Kosten berechnet werden). In jedem Fall behält Evnyo keine Kundenpersonendaten über den genannten Zeitraum hinaus, außer bei längerer gesetzlicher Aufbewahrungspflicht. Beispielsweise kann Evnyo Verbindungs- oder Transaktionsprotokolle aufbewahren, die nebenbei personenbezogene Daten enthalten, falls das Gesetz dies vorschreibt, aber in diesem Fall bleiben diese Daten geschützt und getrennt archiviert.
Evnyos Vertraulichkeits- und Sicherheitsverpflichtungen gelten weiter, solange Evnyo die Daten aufbewahrt.
Bei Notfallbeendigung (sofortige Sperrung wegen schwerwiegenden Verstoßes) hat der Kunde 7 Tage, um seine Daten über automatisierten Export von seinem Interface zu erhalten. Nach dieser Frist gilt das normale Löschungsverfahren (maximal 90 Tage gemäß oben definierten Modalitäten).
Für Fragen oder Anweisungen zum Schutz personenbezogener Daten im Rahmen dieses Vertrags kann der Kunde Evnyos Datenschutzreferenten kontaktieren. Dieser Referent hat nicht den Status eines DSB im Sinne von Artikel 37 DSGVO. Die Kontaktdaten sind in der Datenschutzerklärung und/oder auf der Evnyo-Website angegeben (z.B. eine dedizierte E-Mail-Adresse wie privacy@evnyo.com).
Evnyo verpflichtet sich, jede Kundenanfrage zu diesem Vertrag unverzüglich zu bearbeiten.
Dieser Vertrag ist Teil der AGB. Bei Widersprüchen zwischen AGB-Bestimmungen und Vertragsbestimmungen bezüglich personenbezogenen Datenschutzes haben die Vertragsbestimmungen Vorrang. Bei Konflikten zwischen Vertragsdokumenten und zwingenden gesetzlichen Verpflichtungen haben letztere automatisch Vorrang. Die anderen AGB-Bestimmungen bleiben für alles, was nicht im Vertrag behandelt wird, vollständig anwendbar.
Evnyos Auftragsverarbeiterverpflichtungen unter diesem Vertrag gelten während der gesamten Dauer der Serviceleistung, die Verarbeitung personenbezogener Daten im Kundenauftrag beinhaltet, und bis zur Datenlöschung. Verpflichtungen, die naturgemäß fortbestehen (Vertraulichkeit, Unterstützung usw.), überleben so lange wie nötig nach Vertragsende.
Dieser Vertrag unterliegt demselben Recht wie die AGB (siehe Artikel 9 der AGB), mit zwingender Anwendung der DSGVO, des BDSG und des TTDSG. Streitigkeiten bezüglich Ausführung oder Auslegung werden gemäß den in den AGB vorgesehenen Streitbeilegungsmodalitäten geregelt. Bei datenschutzspezifischen Streitigkeiten werden die Parteien jedoch in gutem Glauben kooperieren, um eine rechtsconforme Lösung zu finden und bei Bedarf die zuständige Aufsichtsbehörde (z.B. deutsche Landesdatenschutzbehörden oder BfDI) um Rat fragen.
Dieser Vertrag stellt die vollständige Vereinbarung der Parteien bezüglich Datenschutz für Evnyo-Services dar. Er kann durch eine von beiden Parteien unterzeichnete Schrift ergänzt oder geändert werden (einschließlich ausdrücklicher elektronischer Einwilligung). Evnyo behält sich das Recht vor, Vertragsanpassungen bei regulatorischen oder Service-Entwicklungen vorzuschlagen, nach denselben Modalitäten wie AGB-Änderungen. Der Kunde wird über wesentliche Änderungen informiert und kann sie vor Implementierung durch Servicebeendigung ablehnen, falls sie ihm schaden.
Bei gerichtlicher Nichtigkeitserklärung einer Klausel verpflichten sich die Parteien, in gutem Glauben deren Ersatz durch eine gleichwertige und rechtmäßige Klausel zu verhandeln.
Durch Unterzeichnung oder elektronische Annahme der AGB erkennen Kunde und Evnyo an, diesen Vertrag gelesen und verstanden zu haben, und verpflichten sich zur Einhaltung aller Bestimmungen.
Letzte Aktualisierung: Juni 2025 Anwendbares Recht: Französisches Recht mit zwingenden deutschen Bestimmungen Gerichtsstand: Französische Gerichte mit zwingender deutscher Zuständigkeit Compliance: DSGVO, BDSG, TTDSG