Auftragsverarbeitungsvertrag (AVV)

Präambel

Zwischen dem Verantwortlichen und dem Auftragsverarbeiter besteht ein Vertrag über die Nutzung der in Abschnitt I näher bezeichneten Software EscapeFlow (im Weiteren „Lizenzvereinbarung") des Auftragsverarbeiters durch den Verantwortlichen. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Umsetzung eigener Geschäftszwecke im Zusammenhang mit dem Dienstleistungsvertrag – eine Übertragung von Verantwortlichkeiten ist ausdrücklich nicht beabsichtigt.

I. Gegenstand und Dauer des Auftrags

1. Gegenstand des Auftrags

Gegenstand des Auftrags ist im Kern:

• die automatisierte Erfassung, Verwaltung und Abwicklung von Buchungen und Reservierungen für Escape-Room-Erlebnisse des Verantwortlichen,
• die Verarbeitung von Zahlungen und die Verwaltung von Zahlungsinformationen über angebundene Zahlungsdienstleister,
• die automatisierte Erfassung und Speicherung von Kundendaten der Endkunden des Verantwortlichen,
• der automatisierte Versand von Buchungsbestätigungen, Erinnerungen und sonstigen Benachrichtigungen an Endkunden,
• die Verwaltung von Gutscheinen und Vouchers,
• das Erfassen und Verwalten von Kundenbewertungen,
• die Bereitstellung von Analyse- und Reportingfunktionen für den Verantwortlichen sowie
• der technische Betrieb und Support der Plattform einschließlich des einbettbaren Buchungswidgets.

Der Gegenstand dieses Auftrags ergibt sich im Übrigen aus der bestehenden Lizenzvereinbarung über die jeweilige EscapeFlow-Version, auf die hier verwiesen wird.

2. Dauer der Vereinbarung

Die Laufzeit dieses Vertrages entspricht der Laufzeit der Lizenzvereinbarung.

II. Konkretisierung des Auftragsverhältnisses

1. Art und Zweck der vorgesehenen Verarbeitung von Daten

Der Zweck der EscapeFlow-Plattform ist es, Escape-Room-Betreiber bei der Durchführung ihrer Geschäftstätigkeit optimal zu unterstützen und zu entlasten. Hierbei erbringt EscapeFlow insbesondere Leistungen der Datenverarbeitung sowie andere Dienstleistungen und Nebenleistungen. Der Auftragsverarbeiter erhält dabei Zugriff auf die bei der Benutzung in den vertragsgegenständlichen Modulen gespeicherten personenbezogenen Daten und nutzt diese zum Zweck der Leistungserbringung im Auftrag des Verantwortlichen.

Folgende Datenkategorien können vom Verantwortlichen durch direkte Eingabe oder durch die Nutzung der Plattform verarbeitet werden:

Angaben zu Endkunden (Buchenden):

• Stammdaten: Name, Vorname, Anschrift
• Kontaktdaten: E-Mail-Adresse, Telefonnummer
• Buchungsdaten: Buchungsdatum, gewähltes Escape-Room-Erlebnis, Teilnehmerzahl, Uhrzeit, Preis, Buchungsstatus
• Zahlungsdaten: Zahlungsmethode, Transaktions-IDs (keine vollständigen Kartendaten)
• Kommunikationsdaten: Nachrichteninhalte im Rahmen des Buchungsprozesses
• Bewertungen und Feedbackdaten

Angaben zu Nutzern (Mitarbeitern des Verantwortlichen):

• Name, Vorname, E-Mail-Adresse
• Zeitstempel und Aktivitäten im System (Audit Log)
• Rollenbasierte Zugriffsberechtigungen

Angaben zum Unternehmen des Verantwortlichen:

• Firmenname, Adresse, Kontaktdaten
• Öffnungszeiten, Räume und Spielangebote
• Zahlungskonfigurationen und Stripe-Account-Daten
• Branding- und Darstellungseinstellungen

Technische Nutzungsdaten:

• IP-Adressen, Browser-Informationen
• Nutzungsverhalten auf der Plattform (via Google Analytics / Google Tag Manager)

Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO werden grundsätzlich nicht verarbeitet, sofern der Verantwortliche dies nicht ausdrücklich veranlasst und die hierfür erforderliche Rechtsgrundlage sichergestellt hat.

Kernfunktionen von EscapeFlow werden in der EU gehostet. Für ergänzende Funktionen (z.B. Zahlungsabwicklung, E-Mail-Versand, Analysen) wird auf genehmigte Unterauftragsverarbeiter zurückgegriffen (siehe Anlage 1), die teilweise ihren Sitz außerhalb der EU/des EWR haben. Jede Verlagerung von Datenverarbeitungen in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, in der Regel auf Grundlage von EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

2. Kategorien betroffener Personen

Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen:

• Endkunden des Verantwortlichen (Buchende und Teilnehmer der Escape-Room-Erlebnisse)
• Mitarbeiter und sonstige Nutzer, die durch den Verantwortlichen zur Nutzung der Plattform freigeschaltet werden
• Kontaktpersonen des Verantwortlichen

III. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter hat die Sicherheit gem. Art. 28 Abs. 3 lit. c, 32 DSGVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DSGVO herzustellen. Die Einzelheiten sind in Anlage 2 dieses Vertrages geregelt.

Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.

IV. Berichtigung, Einschränkung und Löschung von Daten

Der Auftragsverarbeiter darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Verantwortlichen berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragsverarbeiter wendet, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten.

Der Auftragsverarbeiter wird die Daten des Verantwortlichen nach dem Ende der Lizenzvereinbarung wie folgt behandeln:

• Der Verantwortliche kann innerhalb von 30 Tagen nach Vertragsende einen vollständigen Export seiner Daten in gängigen Dateiformaten anfordern.
• Der Verantwortliche kann jederzeit die vollständige Löschung seines Kontos und der damit verbundenen Daten verlangen.
• Nach Ablauf von 30 Tagen nach Vertragsende werden alle personenbezogenen Daten unwiderruflich gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Darüber hinaus sind zusätzliche Löschkonzepte, das Recht auf Vergessenwerden, die Berichtigung und Auskunft vom Verantwortlichen sicherzustellen.

V. Qualitätssicherung und sonstige Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags gesetzliche Pflichten gemäß Art. 28 bis 33 DSGVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:

• Ansprechpartner Datenschutz: David Dunkel, EscapeFlow, Südliche Auffahrtsallee 72, 80639 München, E-Mail: info@escapeflow.de.
• Die Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DSGVO. Der Auftragsverarbeiter setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden.
• Die Umsetzung und Einhaltung aller für diesen Auftrag erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 28 Abs. 3 S. 2 lit. c, 32 DSGVO (Einzelheiten in Anlage 2).
• Der Verantwortliche und der Auftragsverarbeiter arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.
• Die unverzügliche Information des Verantwortlichen über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen.
• Der Auftragsverarbeiter kontrolliert regelmäßig die internen Prozesse sowie die technischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verarbeitung im Einklang mit den Anforderungen des geltenden Datenschutzrechts erfolgt.
• Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnahmen gegenüber dem Verantwortlichen im Rahmen seiner Kontrollbefugnisse nach Abschnitt VIII dieses Vertrages.

VI. Unterauftragsverhältnisse

Als Unterauftragsverhältnisse im Sinne dieses Vertrags sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragsverarbeiter z.B. als Telekommunikationsleistungen, Post-/Transportdienstleistungen, Wartung und Benutzerservice erbringt. Der Auftragsverarbeiter ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes auch bei ausgelagerten Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.

Die Auslagerung auf Unterauftragsverarbeiter oder der Wechsel bestehender genehmigter Unterauftragsverarbeiter sind zulässig, soweit der Auftragsverarbeiter eine solche Einschaltung dem Verantwortlichen eine angemessene Zeit vorab schriftlich oder in Textform anzeigt und der Verantwortliche nicht bis zum Zeitpunkt der Übergabe der Daten Einspruch erhebt sowie eine vertragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 2–4 DSGVO zugrunde gelegt wird.

Der Verantwortliche stimmt der Beauftragung der in Anlage 1 mitgeteilten Unterauftragsverarbeiter zu, unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2–4 DSGVO.

Erbringt der Unterauftragsverarbeiter die vereinbarte Leistung außerhalb der EU/des EWR, stellt der Auftragsverarbeiter die datenschutzrechtliche Zulässigkeit durch entsprechende Maßnahmen (insbesondere EU-Standardvertragsklauseln) sicher.

VII. Drittanbieter

EscapeFlow bietet Integrationen mit externen Partnern und Drittanbieter-Diensten an (Details siehe AGB). Soweit der Verantwortliche solche Integrationen aktiviert und der Datenübertragung zustimmt, schließt der Verantwortliche mit diesen Partnern direkt die erforderlichen Vereinbarungen (z.B. Nutzungsbedingungen, eigene AVV) ab. EscapeFlow übermittelt in diesem Fall die erforderlichen Daten an den jeweiligen Drittanbieter auf Grundlage der Zustimmung des Verantwortlichen. EscapeFlow haftet nicht für die Datenschutzpraktiken solcher Drittanbieter.

VIII. Kontrollrechte des Verantwortlichen

Der Verantwortliche hat nach Vorankündigung das Recht, die Einhaltung der datenschutzrechtlichen Prozesse und der vertraglichen Vereinbarung durch den Auftragsverarbeiter zu kontrollieren. Dies kann entweder durch die Einholung von Auskünften oder die Vorlage von aktuellen Testaten, Berichten oder Berichtsauszügen unabhängiger Instanzen oder durch ein geeignetes Datenschutz- oder IT-Sicherheitsaudit erfolgen.

Der Auftragsverarbeiter verpflichtet sich, dem Verantwortlichen auf Anforderung die zur Wahrung seiner Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte zu geben und die entsprechenden Nachweise verfügbar zu machen. Inspektionen vor Ort sind mit einer Vorankündigungsfrist von mindestens zwei Wochen anzumelden, auf das erforderliche Maß zu beschränken und dürfen den laufenden Betrieb nicht unverhältnismäßig beeinträchtigen. Die damit verbundenen Kosten trägt der Verantwortliche.

IX. Mitteilung bei Verstößen des Auftragsverarbeiters

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen. Hierzu gehören:

• die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen,
• die Verpflichtung, Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Bekanntwerden, an den Verantwortlichen zu melden,
• die Verpflichtung, den Verantwortlichen im Rahmen seiner Informationspflicht gegenüber betroffenen Personen zu unterstützen und ihm in diesem Zusammenhang sämtliche relevanten Informationen unverzüglich zur Verfügung zu stellen,
• die Unterstützung des Verantwortlichen für dessen Datenschutz-Folgenabschätzung,
• die Unterstützung des Verantwortlichen im Rahmen vorheriger Konsultationen mit der Aufsichtsbehörde.

Für Unterstützungsleistungen, die nicht in der Leistungsbeschreibung enthalten oder nicht auf ein Fehlverhalten des Auftragsverarbeiters zurückzuführen sind, kann der Auftragsverarbeiter eine Vergütung beanspruchen.

X. Weisungsbefugnis des Verantwortlichen

Mündliche Weisungen bestätigt der Verantwortliche unverzüglich (mindestens Textform).

Der Auftragsverarbeiter hat den Verantwortlichen unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen Datenschutzvorschriften. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen bestätigt oder geändert wird.

XI. Löschung und Rückgabe von personenbezogenen Daten

Kopien oder Duplikate der Daten werden ohne Wissen des Verantwortlichen nicht erstellt. Hiervon ausgenommen sind Sicherungskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

Nach Abschluss der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung durch den Verantwortlichen – spätestens mit Beendigung der Leistungsvereinbarung – hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Verantwortlichen auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Das Protokoll der Löschung ist auf Anforderung vorzulegen.

Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragsverarbeiter entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren.

XII. Haftung

Verantwortlicher und Auftragsverarbeiter haften gegenüber betroffenen Personen nach Maßgabe des Art. 82 DSGVO. Im Innenverhältnis zwischen Verantwortlichem und Auftragsverarbeiter gilt: Soweit eine Datenschutzverletzung auf eine nachweislich dem Auftragsverarbeiter zuzurechnende Pflichtverletzung zurückzuführen ist, haftet der Auftragsverarbeiter dem Verantwortlichen für den daraus entstandenen Schaden.

Die Haftung des Auftragsverarbeiters ist der Höhe nach auf die in einem Zeitraum von zwölf Monaten vor dem schädigenden Ereignis vom Verantwortlichen an den Auftragsverarbeiter gezahlten Entgelte begrenzt, es sei denn, der Schaden beruht auf Vorsatz oder grober Fahrlässigkeit des Auftragsverarbeiters.

Für mittelbare Schäden, entgangenen Gewinn und Folgeschäden haftet der Auftragsverarbeiter nur bei Vorsatz oder grober Fahrlässigkeit. Die vorstehenden Haftungsbeschränkungen gelten nicht, soweit zwingende gesetzliche Regelungen entgegenstehen.

Der Verantwortliche ist verpflichtet, entstandene Schäden unverzüglich zu melden und zumutbare Maßnahmen zur Schadensminderung zu ergreifen.

XIII. Schlussbestimmungen

Diese Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO tritt mit Vertragsschluss der Lizenzvereinbarung in Kraft und ersetzt alle zuvor geschlossenen Vereinbarungen zur Auftragsverarbeitung.

Sollten einzelne Bestimmungen dieses AVV ganz oder teilweise unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist, soweit gesetzlich zulässig, München. Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Datenschutzfragen vor.

Anlage 1: Unterauftragsverarbeiter

Der Verantwortliche stimmt der Beauftragung der nachfolgenden Unterauftragsverarbeiter zu, unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2–4 DSGVO. Stand: Juni 2025.

Anlage 2: Technische und organisatorische Maßnahmen

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zugangskontrolle

• Passwortschutz für alle Systemzugänge mit Vorgaben zur Passwortkomplexität
• Unterstützung von Zwei-Faktor-Authentifizierung (2FA) für Benutzerkonten
• Automatische Sitzungsabmeldung nach Inaktivität
• Protokollierung von Anmeldeversuchen und fehlgeschlagenen Logins

1.2 Zugriffskontrolle

• Rollenbasiertes Zugriffsberechtigungsmodell (RBAC); jeder Nutzer erhält eine eindeutige ID
• Prinzip der Minimalberechtigung: Nutzer erhalten nur die für ihre Tätigkeit erforderlichen Zugriffsrechte
• Zugriff auf Produktivsysteme ist auf einen kleinen Kreis von Systemadministratoren beschränkt
• Alle Zugriffe auf Produktivsysteme werden protokolliert (User-ID, Zeitstempel)
• Einsatz von Firewallsystemen und Intrusion-Detection-Maßnahmen
• Alle Serversysteme speichern Daten ausschließlich auf verschlüsselten Datenträgern

1.3 Weitergabekontrolle

• Verschlüsselung aller Datenübertragungen via TLS/HTTPS (mindestens TLS 1.2)
• Keine Weitergabe von Daten an Dritte ohne Rechtsgrundlage oder dokumentierte Weisung
• Datenabrufe und Übermittlungsaktivitäten werden protokolliert

1.4 Trennungskontrolle

• Mandantenfähige Architektur: Datensätze verschiedener Kunden werden durch eindeutige Mandanten-IDs strikt getrennt
• Test- und Produktivdaten sind in unabhängigen Systemen getrennt

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Eingabekontrolle

• Protokollierung von Datenzugriffen und -änderungen (Audit Log)
• Nachvollziehbarkeit, wer Daten eingegeben, geändert oder gelöscht hat

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

3.1 Verfügbarkeitskontrolle

• Regelmäßige automatische Sicherungskopien (Backups) aller Kundendaten
• Redundante Datenspeicherung über mehrere Serversysteme
• Monitoring und Alarmierung bei Systemausfällen
• Notfall- und Wiederherstellungskonzept mit definierten Verantwortlichkeiten

3.2 Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

• Backups werden regelmäßig auf Wiedereinspielbarkeit geprüft
• Mehrfach-redundante Auslegung von Serversystemen und Datenbanken

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Regelmäßige Schulung und Sensibilisierung von Mitarbeitern zu Datenschutz und IT-Sicherheit
• Verpflichtung aller Mitarbeiter zur Vertraulichkeit
• Dokumentiertes Verfahren zur Erkennung und Behandlung von Datenschutzverletzungen
• Regelmäßige Überprüfung und Aktualisierung der Sicherheitsmaßnahmen entsprechend dem Stand der Technik
• Auftragskontrolle: Verarbeitung personenbezogener Daten ausschließlich gemäß den dokumentierten Weisungen des Verantwortlichen; vertragliche Bindung aller Unterauftragsverarbeiter an gleichwertige Datenschutzbedingungen

Stand: Juni 2025