Auftragsverarbeitungsvertrag mit Veranstaltern

Vertrag nach Art. 28 DSGVO zwischen dem Veranstalter (Verantwortlicher) und GoTonic (Auftragsverarbeiter). Er ist Bestandteil der AGB für Veranstalter und wird zusammen mit dem Nutzungsvertrag nach AGB § 3 Abs. 5 geschlossen. Stand: 7. November 2026

§ 1 Gegenstand und Dauer

(1) GoTonic verarbeitet personenbezogene Daten im Auftrag des Veranstalters, um die Leistungen nach den AGB zu erbringen, insbesondere Ticketverkauf, Ticketversand, Einlasskontrolle, Erstattungen, Statistiken und Support.

(2) Der Vertrag gilt für die Laufzeit des Nutzungsvertrags und darüber hinaus bis zur Löschung der Daten nach § 9.

(3) Meldet ein Mailserver eine Adresse als dauerhaft unzustellbar oder markiert ein Empfänger eine E-Mail als Spam, sperrt GoTonic die Adresse für weitere E-Mails über die Plattform, auch für andere Veranstalter. GoTonic speichert dafür einen pseudonymisierten Prüfwert der Adresse und ihre Domain, zusätzlich setzt Amazon SES die Adresse auf die Unterdrückungsliste des Kontos von GoTonic. Für diese Sperre ist GoTonic selbst verantwortlich (Datenschutzerklärung Nr. 6).

(4) Technische Kennungen, etwa die Kennung einer Bestellung, verarbeitet GoTonic im Fehlerprotokoll und in Warnmails bei kritischen Fehlern in eigener Verantwortung, um die Plattform sicher zu betreiben (Datenschutzerklärung Nr. 3). Namen, E-Mail-Adressen und IP-Adressen von Ticketkäufern gehören nicht dazu.

(5) Aus den Bestelldaten bildet GoTonic im Auftrag des Veranstalters Summen, etwa Warenkörbe und bezahlte Bestellungen je Tag, sobald verfügbar auch je Quelle, Kampagne und Gerätetyp (AGB § 2 Abs. 5). GoTonic darf diese Summen auch für eigene Zwecke nutzen, um die Plattform zu betreiben und zu verbessern und um Statistiken über mehrere Veranstalter zu erstellen, aber nur in einer Form, die keinen Rückschluss auf einzelne Käufer zulässt: Werte unter fünf fasst GoTonic zusammen, und die Summen verknüpft GoTonic nicht mit anderen Daten. Für diese Nutzung ist GoTonic selbst verantwortlich. Zahlen eines einzelnen Veranstalters gibt GoTonic nicht an Dritte weiter, Zahlen über mehrere Veranstalter veröffentlicht GoTonic nur so, dass kein einzelner Veranstalter erkennbar ist. Diese Summen bleiben nach Ende des Nutzungsvertrags erhalten.

(6) Bietet die Plattform das an, kann ein Ticketkäufer im Checkout freiwillig gegenüber GoTonic einwilligen, E-Mails von GoTonic zur Plattform und zu Veranstaltungen auf der Plattform zu erhalten, auch zu Veranstaltungen anderer Veranstalter. Die Einwilligung ist keine Voraussetzung für den Kauf. Für die Einwilligung und die E-Mail-Adresse dazu ist GoTonic selbst verantwortlich. GoTonic speichert beides getrennt von den Daten, die GoTonic im Auftrag des Veranstalters verarbeitet, und nutzt dafür keine weiteren Bestell- oder Käuferdaten, außer Zeitpunkt und Veranstaltung der letzten Einwilligung als Nachweis. Diese Angaben bleiben nach Ende des Nutzungsvertrags erhalten.

§ 2 Art der Daten und betroffene Personen

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht vorgesehen. Der Veranstalter fragt solche Daten nicht ohne vorherige Abstimmung mit GoTonic ab.

§ 3 Weisungen

(1) GoTonic verarbeitet die Daten nur auf dokumentierte Weisung des Veranstalters. Weisungen sind diese Vereinbarung, die AGB, die Einstellungen, die der Veranstalter in der Plattform vornimmt, und Einzelweisungen des Veranstalters in Textform, etwa für Hilfe zu einzelnen Bestellungen oder für eine Erstattung durch GoTonic (AGB § 7 Abs. 1).

(2) Hält GoTonic eine Weisung für rechtswidrig, informiert GoTonic den Veranstalter unverzüglich. Gesetzliche Verarbeitungspflichten bleiben unberührt.

§ 4 Vertraulichkeit

GoTonic setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Technische und organisatorische Maßnahmen

GoTonic trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. GoTonic darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Veranstalter genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Über neue oder ersetzte Unterauftragsverarbeiter informiert GoTonic mindestens vier Wochen im Voraus in Textform. Der Veranstalter kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können beide Seiten den Nutzungsvertrag kündigen.

(3) GoTonic verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau.

§ 7 Unterstützung des Veranstalters

(1) GoTonic unterstützt den Veranstalter bei Anfragen betroffener Personen nach Art. 12 bis 23 DSGVO. Anfragen, die bei GoTonic eingehen, leitet GoTonic unverzüglich weiter.

(2) GoTonic unterstützt den Veranstalter außerdem bei seinen Pflichten nach Art. 32 bis 36 DSGVO.

§ 8 Verletzungen des Schutzes personenbezogener Daten

GoTonic meldet dem Veranstalter Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

§ 9 Löschung und Rückgabe

(1) Der Veranstalter kann die Daten seiner Veranstaltungen jederzeit exportieren. Für seine eigenen Aufbewahrungspflichten ist er selbst verantwortlich und exportiert die benötigten Daten rechtzeitig.

(2) Nach Wahl des Veranstalters stellt GoTonic die Daten zum Export bereit oder löscht sie. Ohne Wahl löscht GoTonic die Daten von Ticketkäufern, Gästen und Teilnehmenden an Gruppenkäufen spätestens zwölf Monate nach dem Ende der jeweiligen Veranstaltung, spätestens jedoch 30 Tage nach Ende des Nutzungsvertrags, soweit keine gesetzliche Speicherpflicht besteht.

(3) In den täglichen Datensicherungen des Datenbankanbieters bleiben gelöschte Daten noch bis zu sieben Tage erhalten.

§ 10 Nachweise und Kontrollen

GoTonic stellt dem Veranstalter auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind. Kontrollen vor Ort sind nach rechtzeitiger Ankündigung zu üblichen Geschäftszeiten möglich, in der Regel höchstens einmal jährlich und auf Kosten des Veranstalters.

§ 11 Ort der Verarbeitung

Die Daten werden in der Europäischen Union gespeichert. Eine Verarbeitung in Drittländern oder eine Übermittlung dorthin erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch das EU-US Data Privacy Framework oder Standardvertragsklauseln.

§ 12 Haftung und Vorrang

(1) Für die Haftung gilt Art. 82 DSGVO, im Übrigen die Haftungsregelung der AGB.

(2) Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Hosting und Datenbank in Rechenzentren in Frankfurt am Main
• Verschlüsselte Übertragung per TLS, verschlüsselte Speicherung durch den Datenbankanbieter
• Zugriffsschutz auf Datenebene durch Row Level Security und getrennte Datenbankrollen
• Strikte Trennung von Käufer-, Veranstalter- und Administrationsrechten
• Administrationsansicht der Plattform mit schreibenden Funktionen nur für den Betrieb; jede schreibende Aktion wird protokolliert; direkter Datenbankzugriff nur für Wartung und Migrationen
• Sobald die Administrationsansicht Bestellungen und Käuferdaten zeigt oder Erstattungen ausführt: Käuferdaten nur für die Zwecke nach AGB § 12a, Erstattungen nur auf Weisung des Veranstalters nach AGB § 7 Abs. 1, jeder Aufruf von Käuferdaten und jede Erstattung wird protokolliert
• Zwei-Faktor-Anmeldung für alle Administrationskonten bei Dienstleistern
• Schutz von Anmeldung und Registrierung vor automatisierten Zugriffen durch Cloudflare Turnstile
• Statistik ohne Cookies und ohne Speicher auf Endgeräten, ohne IP-Adressen oder Browserkennungen zu speichern; sobald Quelle, Kampagne und Gerätetyp erfasst werden, bei Seitenaufrufen nur als Tageszähler und bei Bestellungen nur an der Bestellung selbst, Werte unter fünf in der Aufteilung nicht einzeln

Integrität

• Schreibgeschützte Datenbankrolle für lesende Zugriffe
• Serverseitige Prüfung von Preisen, Rabatten und Kontingenten
• Getrennte Umgebungen für Test und Produktion mit eigenen Datenbanken
• Geheime Schlüssel nur in geschützten Umgebungsvariablen, nicht im Quellcode

Verfügbarkeit und Belastbarkeit

• Tägliche Datensicherungen durch den Datenbankanbieter mit sieben Tagen Aufbewahrung
• Begrenzung der Anfragen pro Zeiteinheit zum Schutz vor Überlastung und Missbrauch
• Sperrliste für dauerhaft unzustellbare Adressen und Spam-Beschwerden, in der Datenbank von GoTonic nur als pseudonymisierter Prüfwert
• Export der Gästeliste für den Einlass bei Störungen
• Fehlerprotokoll ohne IP-Adressen und ohne Inhalte von Anfragen, Warnmails bei kritischen Fehlern nur mit Fehlerart, Zeitpunkt und technischen Kennungen

Überprüfung

• Regelmäßige Überprüfung der Zugriffsregeln und Sicherheitsmaßnahmen, zuletzt durch eine Sicherheitsüberprüfung im Oktober 2026

Anlage 2: Unterauftragsverarbeiter

Stripe ist kein Unterauftragsverarbeiter. Stripe handelt in eigener Verantwortung auf Grundlage eines eigenen Vertrags mit dem Veranstalter.