Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand, Abschluss, Dauer und Rangfolge

(1) Dieser Auftragsverarbeitungsvertrag („AVV“) konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien aus dem Vertrag über die Nutzung der Activento-Plattform (Allgemeine Geschäftsbedingungen, „AGB“). Er regelt die Verarbeitung personenbezogener Daten durch die Activento GmbH, Kolonnenstraße 8, 10827 Berlin (nachfolgend „Activento“ oder „Auftragsverarbeiter“) im Auftrag ihres Kunden, des Operators im Sinne der AGB (nachfolgend „Verantwortlicher“), gemäß Art. 28 der Verordnung (EU) 2016/679 (DSGVO).

(2) Der AVV wird zusammen mit den AGB abgeschlossen und ist Bestandteil des Vertrags (§ 15 AGB). Der Abschluss erfolgt in elektronischer Form durch die ausdrückliche Annahme im Dashboard vor der ersten Nutzung der Plattform (§ 21 Absatz 1 AGB); einer Unterschrift bedarf es nicht (Art. 28 Abs. 9 DSGVO). Die Verarbeitung personenbezogener Daten im Auftrag beginnt erst mit diesem Abschluss. Für spätere Fassungen gilt § 15 Absatz 3. Der AVV wird als Standarddokument einheitlich für alle Operatoren angeboten.

(3) Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags. Pflichten, die ihrer Natur nach über das Vertragsende hinauswirken (insbesondere Vertraulichkeit sowie Löschung und Rückgabe nach § 14), bleiben bestehen.

(4) Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV in Fragen der Verarbeitung personenbezogener Daten im Auftrag vor.

§ 2 Art, Zweck und Ort der Verarbeitung

(1) Gegenstand der Verarbeitung ist der Betrieb der Activento-Plattform für den Verantwortlichen: das Hosting, die Speicherung, Organisation, Anzeige, Übermittlung, Auswertung, Sicherung (Backups) und Löschung der Daten, die der Verantwortliche in die Plattform einbringt oder die durch deren bestimmungsgemäße Nutzung entstehen.

(2) Die Verarbeitung umfasst insbesondere folgende Vorgänge:

• Erhebung und Erfassung von Buchungs- und Bestelldaten über das Buchungs-Widget, die Storefront, den Verkauf vor Ort und angebundene Schnittstellen (einschließlich vom Verantwortlichen angebundener Vertriebskanäle),
• Speicherung und Organisation der Daten in mandantengetrennten Datenbanken,
• Erzeugung und Bereitstellung von Dokumenten (z. B. Tickets, Rechnungen, Teilnehmerlisten, Auswertungen),
• Versand transaktionaler E-Mails an Endkunden im Namen des Verantwortlichen (z. B. Buchungsbestätigungen),
• Bereitstellung von Export- und Berichtsfunktionen,
• Sperrung, Anonymisierung und Löschung nach Maßgabe dieses AVV und der Anlage 3.

(3) Die Verarbeitung erfolgt grundsätzlich in Rechenzentren in der Europäischen Union (Serverstandort Deutschland). Übermittlungen in Drittländer finden nur nach Maßgabe des § 8 in Verbindung mit Anlage 2 statt. Auf Anfrage erteilt Activento Auskunft über die Speicherorte.

(4) Activento darf Daten in irreversibel anonymisierter oder aggregierter Form, die keinen Bezug zu einer identifizierbaren Person mehr zulässt, für statistische Zwecke und zur Verbesserung der Plattform verwenden. Eine Wiederherstellung des Personenbezugs findet nicht statt.

§ 3 Kategorien personenbezogener Daten und betroffener Personen

(1) Gegenstand der Verarbeitung sind insbesondere folgende Datenkategorien:

• Endkundendaten: Stamm- und Kontaktdaten, Buchungs- und Bestelldaten (gebuchte Leistungen, Termine, Teilnehmerzahlen und -namen, Preise), Zahlungsstatusdaten (keine Kartendaten, Zahlungen laufen über die eigenen Zahlungsdienstleister des Verantwortlichen), Gutschein- und Ticketdaten, Kommunikationsdaten (z. B. Buchungsbestätigungen, Bewertungsanfragen),
• über Vertriebskanäle importierte Endkundendaten (z. B. Buchungen von Online-Reisebüros/OTAs), jeweils mit Angabe des Herkunftskanals,
• Kundendatenbank-/CRM-Daten des Verantwortlichen (Kontaktdaten, Buchungshistorie, Notizen),
• Beschäftigtendaten der Mitarbeiter und Beauftragten des Verantwortlichen (Stammdaten, Rollen und Berechtigungen, Einsatz- und Arbeitszeiten, Lohn- und Provisionsdaten, soweit die entsprechenden Module genutzt werden),
• Abrechnungs- und Kontaktdaten der Reseller, Affiliates und sonstigen Vertragspartner des Verantwortlichen.

(2) Kategorien betroffener Personen sind insbesondere:

• Endkunden und Interessenten des Verantwortlichen sowie Teilnehmer gebuchter Leistungen,
• Mitarbeiter und Beauftragte des Verantwortlichen,
• Reseller, Affiliates und sonstige Vertragspartner des Verantwortlichen sowie deren Kontaktpersonen.

(3) Die Plattform ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) bestimmt. Trägt der Verantwortliche solche Daten gleichwohl ein (z. B. in Freitextfeldern), ist er für die Zulässigkeit dieser Verarbeitung allein verantwortlich.

§ 4 Verantwortlichkeit und Weisungsrecht

(1) Der Verantwortliche ist im Rahmen dieses AVV für die Einhaltung der datenschutzrechtlichen Vorschriften verantwortlich, insbesondere für die Rechtmäßigkeit der Datenverarbeitung (Rechtsgrundlagen, erforderliche Einwilligungen), die Information der betroffenen Personen nach Art. 13 und 14 DSGVO, die Richtigkeit der eingebrachten Daten und die Wahrung der Rechte der betroffenen Personen.

(2) Activento verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland, sofern nicht Recht der Union oder der Mitgliedstaaten Activento zu einer Verarbeitung verpflichtet. In einem solchen Fall teilt Activento dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(3) Dieser Vertrag, die AGB und die Nutzung der Plattformfunktionen durch den Verantwortlichen (z. B. Konfiguration von Produkten und E-Mails, Auslösen von Exporten, Anbindung von Diensten und Vertriebskanälen) gelten als dokumentierte Weisungen. Darüber hinausgehende Einzelweisungen bedürfen der Textform.

(4) Ist Activento der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert Activento den Verantwortlichen unverzüglich. Activento ist berechtigt, die Ausführung der Weisung bis zu deren Bestätigung durch den Verantwortlichen auszusetzen.

(5) Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, setzt Activento im Rahmen des Zumutbaren um; hierfür kann eine angemessene Vergütung vereinbart werden, soweit gesetzliche Unterstützungspflichten dem nicht entgegenstehen.

§ 5 Vertraulichkeit

(1) Activento gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

(2) Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit und nach Vertragsende fort. Die befugten Personen werden regelmäßig zu den datenschutzrechtlichen Anforderungen unterwiesen.

§ 6 Technische und organisatorische Maßnahmen

(1) Activento trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Sie berücksichtigen den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und das Risiko für die Rechte und Freiheiten der betroffenen Personen.

(2) Activento darf die Maßnahmen fortentwickeln und durch gleichwertige oder bessere Maßnahmen ersetzen; das vereinbarte Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert und die Anlage 1 wird fortgeschrieben.

§ 7 Subunternehmer (weitere Auftragsverarbeiter)

(1) Der Verantwortliche erteilt Activento die allgemeine Genehmigung, für die Verarbeitung weitere Auftragsverarbeiter (Subunternehmer) einzusetzen (Art. 28 Abs. 2 DSGVO). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Subunternehmer ergeben sich aus Anlage 2; die jeweils aktuelle Liste veröffentlicht Activento zusätzlich auf ihrer Website.

(2) Über die Aufnahme neuer oder die Ersetzung bestehender Subunternehmer informiert Activento den Verantwortlichen mindestens 30 Tage vor dem geplanten Einsatz in Textform (E-Mail an die hinterlegte Adresse oder Ankündigung im Dashboard). Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt im Fall eines Widerspruchs keine zumutbare Lösung zustande, ist jede Partei berechtigt, den Hauptvertrag zum Zeitpunkt des geplanten Einsatzes des neuen Subunternehmers zu beenden.

(3) Activento erlegt jedem Subunternehmer durch Vertrag die gleichen Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Subunternehmer seinen Datenschutzpflichten nicht nach, haftet Activento gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Subunternehmers.

(4) Keine Subunternehmer von Activento sind Dienste, die der Verantwortliche selbst auswählt, beauftragt und über die Plattform anbindet, insbesondere die eigenen Konten des Verantwortlichen bei Zahlungsdienstleistern, Buchhaltungsanbindungen, eigene Cloud-Speicher-Ziele, vom Verantwortlichen konfigurierte ausgehende Webhooks sowie angebundene Vertriebskanäle. Insoweit übermittelt Activento Daten ausschließlich auf Weisung des Verantwortlichen; das Rechtsverhältnis zu diesen Diensten ist allein Sache des Verantwortlichen.

§ 8 Übermittlungen in Drittländer

(1) Eine Verarbeitung in einem Land außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums findet nur statt, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder der EU-Standardvertragsklauseln, ergänzt um zusätzliche Maßnahmen, soweit erforderlich.

(2) Die Subunternehmer mit Drittlandbezug und die jeweilige Übermittlungsgrundlage sind in Anlage 2 ausgewiesen. Activento bewertet die Rechtslage bei Drittlandübermittlungen fortlaufend und dokumentiert die Bewertung (Transfer Impact Assessment), soweit erforderlich.

(3) Wird ein genutzter Übermittlungsmechanismus durch Gesetzgebung, Behörden- oder Gerichtsentscheidung ungültig, stellt Activento die betroffene Übermittlung unverzüglich auf einen zulässigen Ersatzmechanismus um oder setzt sie aus, bis ein solcher verfügbar ist.

§ 9 Unterstützung bei Betroffenenrechten

(1) Activento unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, seinen Pflichten zur Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO) nachzukommen (Art. 28 Abs. 3 lit. e DSGVO). Die Plattform stellt hierfür insbesondere Auskunfts-, Export-, Berichtigungs- und Löschfunktionen als Selbstbedienungsfunktionen bereit.

(2) Wendet sich eine betroffene Person aus dem Verantwortungsbereich des Verantwortlichen (z. B. ein Endkunde) unmittelbar an Activento, leitet Activento den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, sofern keine eigene rechtliche Verpflichtung besteht. Die Beantwortung obliegt dem Verantwortlichen.

§ 10 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Activento meldet dem Verantwortlichen unverzüglich, nachdem Activento eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die im Auftrag verarbeitete Daten betrifft. Die Meldung enthält, soweit zum Zeitpunkt der Meldung verfügbar, die Informationen nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, betroffene Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen); nicht verfügbare Informationen werden ohne unangemessene Verzögerung nachgereicht.

(2) Activento unterstützt den Verantwortlichen bei der Erfüllung seiner Melde- und Benachrichtigungspflichten aus Art. 33 und 34 DSGVO (Art. 28 Abs. 3 lit. f DSGVO), dokumentiert Verletzungen einschließlich der Umstände, Auswirkungen und Abhilfemaßnahmen, stellt dem Verantwortlichen diese Dokumentation auf Anfrage zur Verfügung, soweit sie dessen Daten betrifft, und ergreift unverzüglich angemessene Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen.

(3) Meldungen an Aufsichtsbehörden oder Benachrichtigungen betroffener Personen im Verantwortungsbereich des Verantwortlichen nimmt Activento nicht ohne dessen Weisung vor, sofern keine eigene rechtliche Verpflichtung besteht.

§ 11 Datenschutz-Folgenabschätzung und weitere Unterstützungspflichten

(1) Activento unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der Activento zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der Aufsichtsbehörde (Art. 28 Abs. 3 lit. f DSGVO), sowie in zumutbarem Umfang bei der Beantwortung von Anfragen der Aufsichtsbehörden, die die Verarbeitung im Auftrag betreffen.

(2) Activento führt ein Verzeichnis zu allen Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO und stellt dem Verantwortlichen auf Anfrage die für dessen eigenes Verzeichnis (Art. 30 Abs. 1 DSGVO) erforderlichen Angaben zur Verfügung.

§ 12 Nachweis- und Kontrollrechte

(1) Activento stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis erfolgt im Regelfall durch geeignete Dokumentation, insbesondere durch die Beschreibung der technischen und organisatorischen Maßnahmen (Anlage 1), aktuelle Testate und Zertifizierungen der eingesetzten Rechenzentrums- und Infrastrukturanbieter (z. B. ISO/IEC 27001), Prüfberichte sowie Selbstauskünfte.

(2) Reichen die Nachweise nach Absatz 1 im Einzelfall begründeterweise nicht aus, kann der Verantwortliche eine Überprüfung, auch in Form einer Inspektion, durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb zu Activento stehenden Prüfer durchführen lassen. Inspektionen erfolgen nach vorheriger Ankündigung mit angemessener Frist (im Regelfall mindestens 14 Tage), während der üblichen Geschäftszeiten, ohne unverhältnismäßige Störung des Betriebs und ohne Zugriff auf Daten anderer Kunden von Activento.

(3) Jede Partei trägt die ihr durch eine Kontrolle entstehenden Kosten selbst. Für mehr als eine anlasslose Kontrolle pro Kalenderjahr kann Activento eine angemessene Aufwandserstattung verlangen; Kontrollen aus konkretem Anlass (z. B. nach einer Datenpanne oder auf behördliche Anordnung) bleiben hiervon unberührt.

§ 13 Zugriff durch Activento-Personal (Support und Störungsbeseitigung)

(1) Mitarbeiter von Activento können zur Störungsbeseitigung, zur Bearbeitung von Support-Anfragen und zur Gewährleistung des sicheren Betriebs anlassbezogen auf Daten des Kontos des Verantwortlichen zugreifen. Solche Zugriffe sind Verarbeitungen im Auftrag im Rahmen dieses AVV.

(2) Der Zugriff wird technisch kontrolliert vergeben: Er erfordert eine individuelle, serverseitig geprüfte Freigabe, ist an Zwei-Faktor-Authentisierung gebunden und wird protokolliert. Ein dauerhafter, anlassloser Vollzugriff des Support-Personals auf Kundendaten besteht nicht.

(3) Für Verläufe von Activento KI (KI-Assistent im Hilfe-Chat) sind zwei Fälle zu unterscheiden. Erstens: Fragen zur Bedienung der Plattform und die dazu geführten Verläufe sind Support-Daten, die Activento als eigener Verantwortlicher verarbeitet (Ziffer 12 der Datenschutzerklärung). Zweitens: Hat der Kontoinhaber des Verantwortlichen die Datenabfrage durch Activento KI freigegeben, schlägt der Assistent auf Frage eines Nutzers Buchungs-, Bestell- und Kundendaten des Verantwortlichen nach, und zwar nur im Umfang der Rechte des fragenden Nutzers. Diese Daten und die Teile eines Verlaufs, die sie enthalten, verarbeitet Activento im Auftrag des Verantwortlichen nach diesem AVV; die Freigabe ist eine Weisung im Sinne von § 4. Der Kontoinhaber kann die Freigabe jederzeit in den Einstellungen zurücknehmen; ab der nächsten Nachricht schlägt der Assistent keine Daten mehr nach. In beiden Fällen gilt: Jeder lesende Einzelzugriff des Activento-Personals auf einen Verlauf wird protokolliert (wer, wann, welcher Verlauf), und die Verläufe werden 7 Tage nach Beginn der Unterhaltung automatisch und endgültig gelöscht (Anlage 3). Übergibt ein Nutzer einen Verlauf an das Support-Team, wird er Teil des daraus entstehenden Support-Vorgangs und bleibt mit diesem gespeichert.

§ 14 Löschung und Rückgabe nach Ende der Verarbeitung

(1) Die Rückgabe der Daten erfolgt über die Exportfunktionen der Plattform: Der Verantwortliche kann seine Daten während der gesamten Vertragslaufzeit sowie nach Vertragsende während des Nur-Lese-Zeitraums von 30 Kalendertagen (auf rechtzeitiges Verlangen einmalig um bis zu 30 weitere Kalendertage verlängert, § 19 AGB) jederzeit selbst in strukturierten, gängigen und maschinenlesbaren Formaten exportieren.

(2) Nach Ablauf des Export-/Abrufzeitraums löscht bzw. anonymisiert Activento die im Auftrag verarbeiteten personenbezogenen Daten in den Produktivsystemen (Art. 28 Abs. 3 lit. g DSGVO). Im Fall einer Inaktivitätskündigung kostenloser Zugänge gilt die Karenzfrist von 90 Tagen nach § 18 Abs. 4 AGB. Die Fristen im Einzelnen fasst Anlage 3 zusammen.

(3) Datensicherungen (Backups) werden rollierend geführt und nach 30 Tagen automatisch gelöscht. Aus den Produktivsystemen gelöschte Daten sind damit spätestens 30 Tage nach der Löschung auch aus den Sicherungen entfernt. Bis dahin werden Sicherungen ausschließlich zur Wiederherstellung nach Störungen verwendet; eine gezielte Wiederherstellung gelöschter Daten zu anderen Zwecken findet nicht statt.

(4) Auf Anforderung bestätigt Activento die Löschung in Textform.

(5) Gesetzliche Aufbewahrungspflichten von Activento (z. B. für eigene Abrechnungsunterlagen gegenüber dem Verantwortlichen) bleiben unberührt; insoweit werden die Daten gesperrt aufbewahrt und nach Fristablauf gelöscht. Für die Erfüllung seiner eigenen handels- und steuerrechtlichen Aufbewahrungspflichten (z. B. §§ 238, 257 HGB, § 147 AO) ist der Verantwortliche selbst verantwortlich; ihm obliegt der rechtzeitige Export vor Ablauf der Fristen nach Absatz 1 und 2.

§ 15 Haftung und Schlussbestimmungen

(1) Für die Haftung der Parteien untereinander gelten die Haftungsregelungen der AGB (§ 14 AGB). Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.

(2) Es gilt das Recht der Bundesrepublik Deutschland. Für Gerichtsstand und Streitigkeiten gilt § 22 AGB entsprechend.

(3) Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Für Änderungen durch Activento gilt das Verfahren nach § 21 AGB entsprechend: Eine neue Fassung wird dem Verantwortlichen in Textform mitgeteilt und im Dashboard zur ausdrücklichen Zustimmung vorgelegt; sie wird nur mit dieser Zustimmung wirksam, eine Zustimmungsfiktion durch Schweigen oder fortgesetzte Nutzung ist nicht vorgesehen. Bis zu einer Zustimmung, auch nach Ablauf der Entscheidungsfrist nach § 21 Absatz 4 AGB, gilt die zuletzt vom Verantwortlichen angenommene Fassung unverändert fort und bildet die Grundlage der Verarbeitung nach Art. 28 Absatz 3 DSGVO; der Zugang zur Plattform wird wegen einer ausstehenden Zustimmung weder eingeschränkt noch gesperrt. Erweitert eine neue Fassung den Umfang der Verarbeitung, insbesondere um neue Verarbeitungszwecke, neue Kategorien personenbezogener Daten oder betroffener Personen oder längere Speicherfristen, so verarbeitet Activento bis zur Zustimmung ausschließlich im Umfang der zuletzt angenommenen Fassung; die betreffenden Funktionen werden für den Verantwortlichen erst mit seiner Zustimmung freigeschaltet. Die Aufnahme oder Ersetzung von Subunternehmern richtet sich ausschließlich nach § 7 Absatz 2, die Fortentwicklung der technischen und organisatorischen Maßnahmen ausschließlich nach § 6 Absatz 2; beides löst kein Verfahren nach diesem Absatz aus. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Mitteilungen nach diesem AVV erfolgen in Textform: an den Verantwortlichen an die im Konto hinterlegte E-Mail-Adresse oder per Ankündigung im Dashboard, an Activento über die im Impressum genannten Kontaktwege.

(5) Übersetzungen dieses AVV dienen nur der Information. Maßgeblich ist allein die deutsche Fassung.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die folgenden Maßnahmen beschreiben den tatsächlichen Stand der Activento-Infrastruktur. Sie werden fortlaufend weiterentwickelt (§ 6 Abs. 2 AVV).

1. Vertraulichkeit, Zutritts- und Zugangskontrolle:

• Betrieb in Rechenzentren der Hetzner Online GmbH in Deutschland; die Rechenzentren sind nach ISO/IEC 27001 zertifiziert und physisch gesichert (Zutrittskontrollsysteme, Videoüberwachung, Sicherheitspersonal des Betreibers),
• administrativer Serverzugang nur über verschlüsselte Verbindungen mit schlüsselbasierter Authentisierung, beschränkt auf einen eng begrenzten Personenkreis,
• personalisierte Benutzerkonten; Passwörter werden ausschließlich als kryptografische Hashes gespeichert; Zwei-Faktor-Authentisierung ist für alle Plattform-Konten einschließlich des Activento-Personals verpflichtend und wird beim ersten Login eingerichtet, bevor das Konto genutzt werden kann,
• zentrale, zugriffsbeschränkte Verwaltung von Zugangsdaten und Geheimnissen (Secrets); keine Zugangsdaten im Quellcode.

2. Vertraulichkeit, Zugriffs- und Trennungskontrolle:

• rollenbasiertes Berechtigungskonzept (RBAC) mit granularen Rechten je Nutzer und Funktion,
• strikte Mandantentrennung: jede Datenbankabfrage ist auf den jeweiligen Mandanten (Tenant) beschränkt; die Trennung wird auf Anwendungsebene erzwungen und durch automatisierte Prüfungen in der Entwicklungs-Pipeline laufend kontrolliert,
• Zugriffe des Activento-Personals auf Kundendaten nur anlassbezogen über individuell erteilte, serverseitig geprüfte und protokollierte Freigaben mit Zwei-Faktor-Pflicht (§ 13 AVV),
• Pseudonymisierung, wo möglich: IP-Adressen werden nur dort gespeichert, wo es für Sicherheit und Nachweis nötig ist (Anlage 3); für Missbrauchs- und Ratenbegrenzung nur kurzlebig mit automatischem Verfall; Statistikfunktionen arbeiten mit täglich wechselnden, nicht rückrechenbaren Kennungen statt IP-Adressen; Fehlerberichte durchlaufen eine automatische Entfernung personenbezogener Daten.

3. Integrität, Übertragungs- und Eingabekontrolle:

• Transportverschlüsselung (TLS) für alle externen Verbindungen; sämtliche Datensicherungen (Datenbank-Backups und die Sicherungskopie des Dateispeichers) werden verschlüsselt gespeichert,
• keine personenbezogenen Daten in URL-Parametern; Selbstbedienungs-Links (z. B. „Meine Buchung“) verwenden zufällige, nicht erratbare Token,
• personenbezogene Downloads und Dashboard-Endpunkte werden mit Cache-Unterdrückung ausgeliefert (kein Zwischenspeichern in vorgelagerten Systemen),
• strukturierte, inhaltsarme Protokollierung: keine E-Mail-Inhalte, Passwörter oder Tokens in Protokollen; Änderungen an Daten sind über die Anwendung nachvollziehbar.

4. Verfügbarkeit und Belastbarkeit:

• tägliche automatisierte Datenbanksicherungen auf getrennten Objektspeicher in der EU mit 30-tägiger Aufbewahrung und dokumentiertem, getestetem Wiederherstellungsverfahren,
• kontinuierliche technische Überwachung (Monitoring, Alarmierung) auf eigener Infrastruktur,
• Schutz gegen Überlast- und Angriffsverkehr durch die DDoS-Abwehr im Rechenzentrumsnetz des Hosting-Anbieters,
• Härtung der Systeme, zeitnahe Sicherheitsupdates, Begrenzung öffentlich erreichbarer Dienste.

5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung:

• automatisierte Sicherheitsprüfungen in der Entwicklungs-Pipeline vor jeder Auslieferung (u. a. Geheimnis-Scanning, Abhängigkeitsprüfungen, statische Prüfungen der Mandantentrennung) sowie wöchentliche Schwachstellenprüfungen der Container-Basisimages,
• Vier-Augen-Prinzip (Code-Review) für Änderungen an der Plattform,
• definierter Prozess für Sicherheitsvorfälle einschließlich Dokumentation (§ 10 AVV),
• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen, u. a. gelebte Speicherbegrenzung (automatische Löschkonzepte nach Anlage 3).

Anlage 2: Subunternehmer (Stand: Oktober 2026)

Folgende Subunternehmer setzt Activento zum Zeitpunkt des Vertragsschlusses ein. Änderungen richten sich nach § 7 AVV; die jeweils aktuelle Liste wird auf der Activento-Website veröffentlicht.

• Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland: Hosting der Plattform, Datenbanken und Objektspeicher (Dokumente, Medien, Backups); Serverstandort Deutschland/EU.
• Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA: Namensauflösung (DNS) für die Domains der Plattform. Cloudflare beantwortet nur DNS-Anfragen und verarbeitet dabei den angefragten Domainnamen und die IP-Adresse des anfragenden DNS-Resolvers; Anfragen an die Plattform und Inhaltsdaten laufen nicht über Cloudflare. Bei der Prüfung einer vom Verantwortlichen verbundenen eigenen Domain fragt die Plattform außerdem den öffentlichen DNS-Resolver von Cloudflare ab; übermittelt wird dabei nur der Domainname. Übermittlungsgrundlage: EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework.
• Brevo SAS (vormals Sendinblue), 7 rue de Madrid, 75008 Paris, Frankreich: Versand transaktionaler E-Mails (z. B. Buchungsbestätigungen an Endkunden, Konto-E-Mails) und Empfang der an Activento gerichteten Support-E-Mails; Verarbeitung in der EU.
• Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande: technische Zahlungsanbindung (Mollie Connect) und Abwicklung der Plattformentgelte. Für die Zahlungsabwicklung des Verantwortlichen gegenüber seinen Endkunden besteht ein eigener Vertrag des Verantwortlichen mit Mollie; insoweit ist Mollie nicht Subunternehmer von Activento.
• Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland: technische Zahlungsanbindung (Stripe Connect) für Verantwortliche, die ihr Stripe-Konto verbinden: Bestellbezug, Betrag und Währung der über Stripe bezahlten Bestellungen; ihre Zahlungsdaten geben Endkunden direkt bei Stripe ein. Verarbeitung in der EU; eine Übermittlung in die USA (Stripe, LLC) ist möglich auf Grundlage der EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework. Für die Zahlungsabwicklung des Verantwortlichen gegenüber seinen Endkunden besteht ein eigener Vertrag des Verantwortlichen mit Stripe; insoweit ist Stripe nicht Subunternehmer von Activento.
• Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich: KI-gestützter Support-Assistent Activento KI (Verarbeitung von Support-Konversationen sowie, bei aktivierter Datenabfrage, von Kunden- und Buchungsdaten des Verantwortlichen, die der Assistent zur Beantwortung einer Frage nachschlägt) sowie maschinelle Übersetzung von Texten des Verantwortlichen auf dessen Anstoß (Ticket-Vorlagen, Textbausteine für Angebote, Website-Texte, Texte der Übersetzungszentrale, Sitzpläne); Verarbeitung in der EU.
• Expo (650 Industries, Inc.), 624 University Avenue, Palo Alto, CA 94301, USA: Zustellung von Push-Benachrichtigungen an Geräte der Nutzer des Verantwortlichen (mobile App). Push-Inhalte werden auf das erforderliche Minimum beschränkt und enthalten keine Kontaktdaten von Endkunden. Übermittlungsgrundlage: EU-US Data Privacy Framework sowie ergänzend EU-Standardvertragsklauseln.
• fiskaly GmbH, Franz-Josefs-Kai 33, 1010 Wien, Österreich: technische Sicherheitseinrichtung (Cloud-TSE) nach KassenSichV für Kassen in Deutschland sowie Signaturerstellungseinheit und Kassenregistrierung nach RKSV (fiskaly SIGN AT, Meldung an FinanzOnline) für Kassen in Österreich: Activento legt je Verantwortlichem eine verwaltete fiskaly-Organisation an und betreibt sie; verarbeitet werden Firmierung, Anschrift und Steuernummer/USt-IdNr. des Verantwortlichen sowie signierte Kassenvorgänge (Belegdaten ohne Endkunden-Kontaktdaten) und, für österreichische Kassen, die vom Verantwortlichen eingegebenen Zugangsdaten des FinanzOnline-Webservice-Benutzers (Teilnehmer-ID, Benutzer-ID, PIN), die Activento an fiskaly durchreicht und nicht speichert. Verarbeitung in der EU; das Sicherheitsmodul (SMAERS) läuft bei Google Cloud EMEA Limited (Irland) in der Region Frankfurt.

Keine Subunternehmer sind die vom Verantwortlichen selbst angebundenen Dienste (§ 7 Abs. 4 AVV), insbesondere dessen eigene Konten bei Zahlungsdienstleistern (z. B. Mollie, PayPal, Stripe), Buchhaltungs-Anbindungen (z. B. Lexware Office), über sein eigenes Konto angebundene Dienste für die elektronische Unterschrift von Angeboten (z. B. Yousign), eigene Cloud-Speicher-Ziele, selbst konfigurierte ausgehende Webhooks sowie angebundene Vertriebskanäle (OTAs).

Anlage 3: Lösch- und Aufbewahrungsfristen

• Vertragsende (Kündigung): 30 Kalendertage Nur-Lese-Zugang mit vollem Exportzugriff, auf rechtzeitiges Verlangen einmalig um bis zu 30 weitere Kalendertage verlängert (§ 19 AGB); danach Löschung bzw. Anonymisierung der Daten des Verantwortlichen.
• Inaktivitätskündigung kostenloser Zugänge (§ 18 Abs. 4 AGB): Ankündigung 30 und 7 Tage vorher; nach Deaktivierung 90 Tage Karenzfrist mit Exportmöglichkeit; danach endgültige Löschung.
• Ticket-PDF-Dateien: automatische Löschung 18 Monate nach Erstellung; bei erneutem Abruf wird das Dokument aus den fortbestehenden Buchungsdaten neu erzeugt (Speicherbegrenzung; kein Informationsverlust).
• Verläufe von Activento KI (Hilfe-Chat): automatische, endgültige Löschung 7 Tage nach Beginn der Unterhaltung; jeder lesende Einzelzugriff des Activento-Personals wird protokolliert (§ 13 Abs. 3 AVV). Aus einer Übergabe an das Support-Team entstandene Support-Vorgänge bleiben hiervon unberührt.
• Datensicherungen (Backups): rollierende Aufbewahrung von 30 Tagen; gelöschte Daten sind spätestens 30 Tage nach der Löschung aus den Produktivsystemen auch aus den Sicherungen entfernt (§ 14 Abs. 3 AVV).
• IP-Adressen: für Missbrauchs- und Ratenbegrenzung nur kurzlebig mit automatischem Verfall. Darüber hinaus speichert Activento IP-Adressen in den Sitzungsdaten der Nutzerkonten (Löschung 90 Tage nach Ablauf oder Widerruf der Sitzung), im Nutzungsprotokoll der Nutzerkonten für Anmeldevorgänge (12 Monate, nur für Activento-Personal lesbar), als Nachweis der Vertragsannahme (für die Dauer des Vertrags) und in zentralen System-Logs (höchstens 30 Tage). Bewertungs-Elemente auf Websites des Verantwortlichen speichern bei eingeschalteter Einmal-Abstimmung einen aus der IP-Adresse abgeleiteten Prüfwert, solange das Element veröffentlicht ist.
• Eigene Unterlagen von Activento mit gesetzlicher Aufbewahrungspflicht (z. B. Abrechnungen gegenüber dem Verantwortlichen): gesperrte Aufbewahrung für die Dauer der gesetzlichen Fristen, danach Löschung. Insoweit handelt Activento als eigener Verantwortlicher, nicht als Auftragsverarbeiter.