Vereinbarung zur Auftragsverarbeitung

Vereinbarung nach Art. 28 Abs. 3 der Datenschutz-Grundverordnung (DSGVO).

Abschluss und Parteien

Diese Vereinbarung wird zwischen der Organisation, die in Twicehand angelegt wird (der Verantwortliche), und Daniel Brandstetter, Krautäckerstraße 28, 3370 Ybbs an der Donau, Österreich, info@twicehand.com (der Auftragsverarbeiter), geschlossen.

Sie kommt zustande, wenn eine Person für die Organisation „Organisation anlegen“ ausführt. Wer eine Organisation anlegt, bestätigt, dazu für sie befugt zu sein. Der Auftragsverarbeiter hält bei der Organisation fest, wann, in welcher Version und durch welche Person die Vereinbarung geschlossen wurde. Die Vereinbarung ist Bestandteil der Nutzungsbedingungen, wird ohne gesondertes Entgelt geschlossen und läuft, solange die Organisation Twicehand nutzt.

Twicehand ist eine standardisierte Software, deren Zwecke für die Daten einer Veranstaltung der Verantwortliche bestimmt. Eine gemeinsame Verantwortlichkeit (Art. 26 DSGVO) besteht daher nicht; für Daten, über die der Auftragsverarbeiter selbst entscheidet — das Konto, die Sicherheit der Anmeldung, das Prüfprotokoll der Plattform, die Fehlerdiagnose und die Nutzungsanalyse —, ist er nach der Datenschutzerklärung selbst Verantwortlicher. Insbesondere das Prüfprotokoll der Plattform ist eine eigene Verarbeitung des Auftragsverarbeiters und nicht Gegenstand dieser Vereinbarung. Die Nutzungsanalyse erfasst Helfer nur mit deren eigener Zustimmung und ohne Daten der Teilnehmenden; sie ist eine eigene Verarbeitung des Auftragsverarbeiters.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit diese bei der Durchführung von Veranstaltungen des Verantwortlichen in Twicehand anfallen. Zweck, Art der Daten und Kreis der betroffenen Personen beschreibt Anhang 1.

(2) Die Vereinbarung gilt, solange die Organisation in Twicehand besteht. Sie endet mit der Beendigung der Organisation; § 7 gilt darüber hinaus.

§ 2 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen erteilt der Verantwortliche durch die Nutzung der Funktionen von Twicehand; andere Weisungen per E-Mail an info@twicehand.com.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das dem Verantwortlichen unverzüglich mit und kann die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

§ 3 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der Weisungen, es sei denn, das Recht der Union oder Österreichs verpflichtet ihn zu einer anderen Verarbeitung; in diesem Fall teilt er dem Verantwortlichen diese Pflicht vorher mit, soweit das Recht es nicht verbietet.

(2) Zugang zu den Daten hat allein der Auftragsverarbeiter als natürliche Person; er beschäftigt keine Mitarbeiter. Er ist zur Vertraulichkeit verpflichtet, auch über das Ende dieser Vereinbarung hinaus.

(3) Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Anhang 2 (Art. 32 DSGVO). Er darf sie an den Stand der Technik anpassen, wenn das Schutzniveau dadurch nicht sinkt.

(4) Der Verantwortliche genehmigt die Unterauftragsverarbeiter nach Anhang 3. Der Auftragsverarbeiter kündigt jeden neuen oder ersetzten Unterauftragsverarbeiter mindestens 30 Tage im Voraus per E-Mail an. Der Verantwortliche kann aus berechtigtem Grund widersprechen; wird dem Widerspruch nicht abgeholfen, kann er diese Vereinbarung und die Nutzung von Twicehand beenden. Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter gleichwertige Datenschutzpflichten auf (Art. 28 Abs. 4 DSGVO).

(5) Der Auftragsverarbeiter unterstützt den Verantwortlichen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten. Richtet eine betroffene Person einen solchen Antrag an ihn, leitet er ihn unverzüglich an den Verantwortlichen weiter.

(6) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes der Daten des Verantwortlichen unverzüglich, spätestens 48 Stunden, nachdem sie ihm bekannt geworden ist, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen. Er unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten, bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation (Art. 32 bis 36 DSGVO).

(7) Nach Ende der Verarbeitung löscht der Auftragsverarbeiter die Daten oder gibt sie zurück, nach Wahl des Verantwortlichen und nach § 7. Für die Rückgabe stehen die Funktionen von Twicehand zur Verfügung, insbesondere das Herunterladen der Abrechnung einer Veranstaltung.

(8) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Pflichten nötig sind, und ermöglicht Überprüfungen. Eine Prüfung vor Ort ist nach Ankündigung mit angemessener Frist zu üblichen Zeiten möglich; ihre Kosten trägt der Verantwortliche.

§ 4 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist dafür verantwortlich, dass die Verarbeitung rechtmäßig ist, und für die Rechte der betroffenen Personen.

(2) Er informiert die betroffenen Personen nach Art. 13 und 14 DSGVO. Verfolgt er keine eigenen Zwecke über die Funktionen von Twicehand hinaus, genügt dafür ein Hinweis auf die Datenschutzerklärung von Twicehand.

(3) Er teilt Helfer-Aufgaben und Zugänge zu seiner Organisation nur Personen zu, die in seinem Auftrag handeln, und nimmt sie zurück, wenn diese Voraussetzung wegfällt.

(4) Seine eigenen steuerlichen Pflichten und Aufbewahrungspflichten erfüllt der Verantwortliche selbst.

§ 5 Verarbeitung außerhalb der EU

Der Auftragsverarbeiter verarbeitet die Daten, die in Twicehand gespeichert sind, in der Europäischen Union. Eine Übermittlung dieser Daten in ein Drittland findet nur über Functional Software, Inc. (Sentry) statt, ein Unternehmen mit Sitz in den USA, dessen Daten in der Datenregion der EU gespeichert werden; sie stützt sich auf das EU-US Data Privacy Framework und die Standardvertragsklauseln der EU-Kommission. Eine andere Übermittlung von Daten des Verantwortlichen in ein Drittland findet nicht statt; die Nutzungsanalyse, die sich auf Amplitude, Inc. (USA, Datenregion der EU) stützt, erfasst keine Daten des Verantwortlichen und ist eine eigene Verarbeitung des Auftragsverarbeiters (siehe „Abschluss und Parteien“).

Weisungen und Anfragen, die der Verantwortliche per E-Mail an info@twicehand.com schickt, nimmt Cloudflare Email Routing (Cloudflare, Inc., USA, zertifiziert nach dem EU-US Data Privacy Framework) an und leitet sie an ein Postfach bei Google (Google Ireland Limited, mit möglicher Verarbeitung in den USA nach dem EU-US Data Privacy Framework) weiter; beide sind in Anhang 3 als Kommunikationswege aufgeführt.

§ 6 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsbestimmungen der Nutzungsbedingungen.

§ 7 Beendigung und Löschung

(1) Der Verantwortliche kann die Löschung der Daten jederzeit anweisen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Ohne Weisung werden die Daten einer Veranstaltung sieben Jahre nach Ende des Kalenderjahres, in dem die Veranstaltung abgeschlossen wurde, gelöscht.

(3) In Sicherungskopien können gelöschte Daten bis zu deren Ablauf enthalten sein, längstens 365 Tage, in der Sicherung des ganzen Servers bis zu 7 Tage länger.

§ 8 Schlussbestimmungen

Es gilt österreichisches Recht. Änderungen dieser Vereinbarung werden mit derselben Frist und in derselben Form angekündigt wie Änderungen der Nutzungsbedingungen. Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam. Bei Widersprüchen geht diese Vereinbarung den Nutzungsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht.

Anhang 1 — Gegenstand der Verarbeitung

Zwecke — die Durchführung von Veranstaltungen des Verantwortlichen in Twicehand:

Anmeldung von Verkäufern und Helfern und ihre Freigabe;
Vergabe der Verkäufernummern;
Artikel und Etiketten;
Annahme der Artikel;
Kasse;
Auszahlung;
Auszahlungsbeleg;
Abrechnung und ihr Export;
Helfer-Einteilungen und Aufgaben.

Arten von Daten — Identifikationsdaten (Name, Verkäufernummer); Kontaktdaten (E-Mail-Adresse, Telefonnummer); Anschrift; IBAN, wo der Verantwortliche sie verlangt; Teilnahmedaten (Status, Art der Teilnahme, Aufgaben); Artikel und Preise; Verkäufe, Rückgaben und Auszahlungen.

Betroffene Personen — Verkäufer, Helfer, Personen, deren E-Mail-Adresse der Verantwortliche für eine Einladung eingibt, und Mitglieder der Organisation.

Anhang 2 — Technische und organisatorische Maßnahmen

Übertragung: Verbindungen zur Anwendung sind mit TLS verschlüsselt (Let's Encrypt), der Browser wird per HSTS auf HTTPS festgelegt.
Trennung der Organisationen: Jeder Datensatz ist einer Organisation zugeordnet; jede Abfrage wird auf die Organisation der angemeldeten Person beschränkt, und Zugriffsrichtlinien prüfen jede Aktion.
Zugriff nach Rolle: Veranstalter-Funktionen stehen nur Mitgliedern der Organisation offen, Helfer-Funktionen nur Personen mit einer aktiven Aufgabe in der jeweiligen Veranstaltung.
Anmeldung: Passwörter werden nur als Hash (bcrypt) gespeichert; die Anmeldung ohne Passwort erfolgt über Einmal-Links; Registrierung und Anforderung eines Einmal-Links sind durch einen Schutz vor automatisierten Anfragen gesichert; Anfragen sind je Zweck in ihrer Häufigkeit begrenzt.
Sitzungen: Sitzungen werden auf dem Server gehalten und laufen nach 12 Stunden ohne Aktivität ab, sofern nicht „Angemeldet bleiben“ gewählt wurde (dann bis zu 400 Tage).
Nachvollziehbarkeit: Ein Prüfprotokoll hält Änderungen mit handelnder Person, Zeitpunkt und IP-Adresse fest; seine Einträge können über die Anwendung nicht geändert oder gelöscht werden.
Verfügbarkeit und Wiederherstellung: Die Datenbank wird täglich auf dem Server gesichert; tägliche Sicherungen werden 30 Tage, monatliche 365 Tage aufbewahrt. Der ganze Server einschließlich dieser Sicherungen wird täglich von Hetzner gesichert; diese Sicherungen werden rollierend bis zu 7 Tage aufbewahrt. Die Wiederherstellung aus einer Sicherung ist beschrieben und wird geprüft.
Server: Die Server stehen in Deutschland; eine Firewall lässt nur die nötigen Ports zu. Die Anwendung wird automatisiert gebaut und ausgeliefert.
Fehlerdiagnose: Die Fehlermeldungen an Sentry enthalten keine Anfrageinhalte, keine Cookies, keine Kopfzeilen der Anfrage und keine Funktionsargumente.

Nicht zugesichert werden eine Verschlüsselung der gespeicherten Daten auf dem Datenträger und eine Zwei-Faktor-Anmeldung für Nutzerinnen und Nutzer; beides ist derzeit nicht eingerichtet.

Anhang 3 — Unterauftragsverarbeiter

Unterauftragsverarbeiter	Sitz	Leistung	Ort der Verarbeitung
Hetzner Online GmbH	Gunzenhausen, Deutschland	Server, Datenbank, Sicherungen	EU (Deutschland)
Scaleway SAS	Paris, Frankreich	Versand der E-Mails	EU
Functional Software, Inc. (Sentry)	San Francisco, USA	Fehlerdiagnose	Datenregion EU (Deutschland)

Kommunikationswege für E-Mails an info@twicehand.com (§ 5), keine Verarbeitung der Daten in der Anwendung:

Anbieter	Sitz	Leistung	Ort der Verarbeitung
Cloudflare, Inc.	San Francisco, USA	Annahme und Weiterleitung der E-Mail (Email Routing)	USA (EU-US Data Privacy Framework)
Google Ireland Limited	Dublin, Irland	Postfach	EU, mögliche Verarbeitung in den USA (EU-US Data Privacy Framework)

Stand: 02.10.2026