Zum Inhalt springen

Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag ist Bestandteil der Nutzungsbedingungen. Er legt fest, wie das Unternehmen, das Galla betreibt (der Auftragsverarbeiter), personenbezogene Daten für die Organisation (den Verantwortlichen) verarbeitet, wie es Art. 28 DSGVO verlangt. Ein Inhaber schließt ihn für die Organisation ab.

In Kraft seit Mittwoch, 21. Oktober 2026

Diese Texte sind Entwürfe, bis ein Anwalt sie geprüft hat; die Angaben in Klammern werden vor dem Start ergänzt.

1. Gegenstand und Dauer

Der Auftragsverarbeiter speichert und verarbeitet die personenbezogenen Daten, die die Organisation in Galla eingibt, solange die Organisation den Dienst nutzt und bis ihre Daten gelöscht sind.

2. Gegenstand der Verarbeitung

  • Betroffene Personen: das Team der Organisation, Gäste und die Gruppen, mit denen sie eingeladen sind, Kontaktpersonen von Dienstleistern und Sponsoren, Ticketkäufer und Personen auf Wartelisten.
  • Daten: Namen, Kontaktdaten, Antworten, Menüauswahl, Angaben zu Ernährung und Allergien (die Rückschlüsse auf Gesundheit oder Religion zulassen können), Plätze, Tickets und Zahlungen, Fotos, Nachrichten, Dateien, Supportanfragen und das Protokoll.
  • Zweck: Planung und Durchführung der Veranstaltungen der Organisation mit Galla sowie Unterstützung der Organisation auf deren Anfrage.

3. Pflichten des Auftragsverarbeiters

  • Die Daten nur auf dokumentierte Weisung der Organisation (ihre Nutzung von Galla und diese Bedingungen) verarbeiten, auch in Bezug auf Übermittlungen, sofern nicht das Recht der Europäischen Union oder eines Mitgliedstaats etwas anderes verlangt; in diesem Fall teilt er dies der Organisation vorab mit, sofern das betreffende Recht dies nicht verbietet. Die Organisation informieren, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.
  • Sicherstellen, dass alle Personen mit Zugriff zur Vertraulichkeit verpflichtet sind und dass Mitarbeitende von Galla eine Organisation nur zu deren Unterstützung öffnen und dabei einen Grund angeben, den die Inhaber im Zugriffsprotokoll einsehen können.
  • Die Daten mit den technischen und organisatorischen Maßnahmen nach Abschnitt 6 schützen.
  • Nur die auf der Seite „Unterauftragsverarbeiter“ aufgeführten Unterauftragsverarbeiter einsetzen, die die Organisation allgemein genehmigt. Eine Hinzufügung oder Ersetzung den Inhabern 30 Tage im Voraus in der Verwaltung und auf dieser Seite ankündigen. Die Organisation kann aus berechtigten datenschutzrechtlichen Gründen widersprechen; findet sich keine Lösung, kann sie den Dienst vor Wirksamwerden der Änderung beenden, nachdem sie ihre Daten heruntergeladen hat. Jeden Unterauftragsverarbeiter denselben Pflichten unterwerfen und für ihn verantwortlich bleiben.
  • Die Organisation bei der Beantwortung von Anfragen betroffener Personen unterstützen: Export und Löschung von Gästedaten, die Formulare „Ihre Daten“ für Gäste, Dienstleister und Sponsoren sowie der Export der Organisation.
  • Die Organisation unverzüglich, spätestens innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes ihrer Daten bekannt geworden ist, mit den vorliegenden Informationen (Art der Verletzung, betroffene Personen und Datensätze, wahrscheinliche Folgen, ergriffene Maßnahmen, eine Kontaktstelle) benachrichtigen und diese ergänzen, sobald mehr bekannt ist.
  • Bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen bei Bedarf unterstützen und ein Verzeichnis der für die Organisation durchgeführten Verarbeitungstätigkeiten führen.
  • Nach Vertragsende die Daten löschen (die Organisation kann sie vorher herunterladen): Sie werden 14 Tage nach der Anforderung durch den Inhaber gelöscht und verschwinden innerhalb weiterer 37 Tage aus den Sicherungskopien. Aufbewahrt wird nur, was gesetzlich vorgeschrieben ist, etwa Rechnungen.
  • Der Organisation die Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung erforderlich sind, und angemessene Überprüfungen ermöglichen.

4. Pflichten der Organisation

Die Organisation verfügt über eine Rechtsgrundlage für die von ihr erhobenen Daten (und für Angaben zu Ernährung und Allergien über eine Voraussetzung nach Art. 9 DSGVO, etwa die ausdrückliche Einwilligung der betroffenen Person), informiert die betroffenen Personen, legt fest, welche Teammitglieder sensible Angaben sehen dürfen, und beantwortet die Anfragen betroffener Personen.

5. Übermittlungen

Die Daten werden in der Europäischen Union gespeichert. Ein Unterauftragsverarbeiter darf Teile davon nur auf Grundlage einer Garantie nach Kapitel V DSGVO außerhalb der EU verarbeiten: eines Angemessenheitsbeschlusses, etwa zum EU-US Data Privacy Framework für einen zertifizierten Anbieter, oder der Standardvertragsklauseln der Europäischen Kommission. Die Seite „Unterauftragsverarbeiter“ nennt die Garantie für jeden einzelnen.

6. Technische und organisatorische Maßnahmen

  • Die Datensätze jeder Organisation werden durch die zeilenbasierte Zugriffskontrolle (Row-Level Security) der Datenbank getrennt; die Datenbankrolle der Anwendung kann diese nicht umgehen.
  • Verschlüsselung bei der Übertragung (nur HTTPS) und im Ruhezustand; Angaben zu Ernährung und Allergien sowie Mandantengeheimnisse werden von der Anwendung zusätzlich verschlüsselt.
  • Das Team meldet sich mit einem zweiten Schritt an; Rollen begrenzen, wer was sieht; Gästelinks sind zufällig, werden nur als Hashes gespeichert und nie in Logs geschrieben.
  • Änderungen an Gästen, Antworten, Plätzen und Zahlungen werden in ein Protokoll geschrieben; Supportzugriffe werden für die Inhaber protokolliert.
  • Tägliche Sicherungen in einer zweiten EU-Region, Wiederherstellung zu einem beliebigen Zeitpunkt und ein wöchentlicher Wiederherstellungstest.
  • Überwachung und Alarmierung sowie ein schriftliches Verfahren für Sicherheitsvorfälle.