Auftragsverarbeitungsvertrag (AVV)

Parteien

Verantwortlicher (Auftraggeber): der Club bzw. Veranstalter, der LINEOPZ auf Grundlage der AGB nutzt – nachfolgend „Club“

Auftragsverarbeiter (Auftragnehmer): Tim Summer, handelnd unter LINEOPZ (Einzelunternehmen), Großer Eiderkamp 5, 24113 Molfsee, info@lineopz.com – nachfolgend „LINEOPZ“

§ 1 Gegenstand und Dauer

1. LINEOPZ stellt dem Club die Software-as-a-Service-Plattform LINEOPZ bereit. Soweit der Club darin personenbezogene Daten erfasst oder verarbeiten lässt, verarbeitet LINEOPZ diese in seinem Auftrag.
2. Nicht unter diesen Vertrag fallen Daten, für die LINEOPZ selbst verantwortlich ist: Benutzerkonten auf der Plattform, die Profile von Acts und Agenturen, die diese selbst pflegen, Angaben aus öffentlichen Quellen in der Discovery sowie die Abrechnung mit dem Club. Dafür gilt die Datenschutzerklärung von LINEOPZ.
3. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Nutzungsvertrag (AGB). Bei Widersprüchen geht dieser Vertrag vor.
4. Der Vertrag gilt für die Dauer des Nutzungsvertrags und endet automatisch mit dessen Beendigung, frühestens jedoch nach Abschluss der Löschung bzw. Rückgabe nach § 9.

§ 2 Art, Zweck, Datenarten und Betroffene

Art der Verarbeitung: Erheben, Speichern, Anzeigen, Ändern, Auswerten, Übermitteln (per System-E-Mail, Export und an die Unterauftragsverarbeiter nach § 6), Protokollieren und Löschen.

Ort der Verarbeitung: Datenbank in Frankfurt am Main (EU); Übermittlungen in Drittländer nur nach § 6.

Besondere Kategorien (Art. 9 DSGVO): Die Plattform sieht keine Erfassung von Gesundheitsdaten vor, mit einer Ausnahme: Beschäftigte können eine Schicht mit dem Grund „krank“ absagen. Der Club verarbeitet diese Angabe als Arbeitgeber nach Art. 9 Abs. 2 lit. b DSGVO. Diagnosen oder weitere Gesundheitsangaben gehören nicht in die Plattform; der Club weist sein Team darauf hin und erfasst sie nicht in Freitextfeldern (Abwesenheitsgründe, Notizen, Gästelisten, Nachrichten).

Geschlecht von Acts: Erfasst der Club das Geschlecht eines Acts selbst, stellt er sicher, dass der Act davon weiß und dem nicht widersprochen hat.

Eine Bewertung oder Rangfolge von Beschäftigten findet nicht statt. Schichtvorschläge berücksichtigen ausschließlich Positionen, Verfügbarkeiten und Abwesenheiten. KI-Vorschläge werden erst ausgeführt, wenn eine Person des Clubs sie bestätigt.

§ 3 Weisungen

1. LINEOPZ verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Clubs. Die Nutzung der Plattformfunktionen durch den Club gilt als Weisung; weitere Weisungen erfolgen in Textform (E-Mail).
2. Hält LINEOPZ eine Weisung für rechtswidrig, informiert LINEOPZ den Club unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
3. Eine Verarbeitung für eigene Zwecke von LINEOPZ findet nicht statt, ausgenommen gesetzliche Pflichten (Art. 28 Abs. 3 lit. a DSGVO). Zählungen der Nutzung einzelner Funktionen und Kostenabrechnung der KI-Nutzung erfolgen ohne Auswertung von Inhalten.
4. Ob Diktate im Command als Text gespeichert werden, legt der Club in den Einstellungen fest. Standard ist: nicht speichern.

§ 4 Vertraulichkeit

LINEOPZ setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Derzeit hat ausschließlich der Inhaber Zugriff auf die Produktivdaten; Zugriffe erfolgen nur, soweit für Betrieb, Support oder Fehlerbehebung erforderlich. Für Support kann der Inhaber einen Club höchstens eine Stunde lang lesend einsehen; jeder Zugriff wird protokolliert.

§ 5 Technische und organisatorische Maßnahmen

LINEOPZ trifft Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Verschlüsselung: TLS für alle Verbindungen; Verschlüsselung von Datenbank und Dateispeicher im Ruhezustand durch die Hosting-Anbieter
• Mandantentrennung über Row Level Security: Jeder Club sieht ausschließlich eigene Daten
• Rollen- und Rechtekonzept innerhalb des Clubs (z. B. Booking, Finanzen, Gästeliste, Team); Stundenlohn und Beschäftigungsart sind für andere Beschäftigte gesperrt
• Booking-Dateien (Rechnungen, Ticket-PDFs) in nicht öffentlichem Speicher, nur für die Beteiligten abrufbar
• Passwörter nur als Hash; Zwei-Faktor-Authentifizierung für die Admin-Zugänge von LINEOPZ bei allen Dienstleistern
• Änderungsprotokoll für Events, Bookings, Schichten, Gästelisten, Tickets, Kassen und Rollen
• Protokollierung von Anmeldungen zur Erkennung von Missbrauch
• Zählprotokolle sind nach Abschluss gegen Änderung gesperrt
• Regelmäßige Backups durch den Datenbankanbieter; automatische Löschung nach den Fristen in § 9
• An KI-Anbieter werden nur die für die jeweilige Funktion nötigen Daten übermittelt; Beschäftigtennamen, Stundenlöhne und Abwesenheiten gehen nicht an KI-Anbieter

LINEOPZ darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

1. Der Club genehmigt den Einsatz folgender Unterauftragsverarbeiter:

   Dienstleister	Leistung	Ort
   Supabase Inc.	Datenbank, Benutzerkonten, Anmeldung	Frankfurt am Main (EU)
   Vercel Inc.	Hosting, Serverfunktionen, Dateispeicher (Blob)	Frankfurt am Main (EU), weltweite Auslieferung
   Resend Inc.	Versand von System-E-Mails	USA
   Anthropic PBC	Sprachmodell für den Command	USA
   Vercel Inc. (AI Gateway) mit OpenAI, L.L.C.	Sprachmodelle für Line-up-Vorschläge, Discovery und Erinnerungstexte	USA
   Vercel Inc. (AI Gateway) mit Perplexity AI, Inc.	Websuche in der Discovery	USA
   Google Ireland Ltd.	Orts- und Adresssuche (nur Suchbegriff)	EU / USA

2. Die Zahlungsabwicklung im Ticketshop übernimmt Stripe Payments Europe Ltd. (Irland) als eigenständig Verantwortlicher; Zahlungsdaten erhält LINEOPZ nicht.
3. Übermittlungen in die USA erfolgen auf Grundlage des EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, im Übrigen auf Grundlage der EU-Standardvertragsklauseln.
4. LINEOPZ verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau. KI-Anbieter dürfen die Daten nicht zum Training ihrer Modelle verwenden.
5. LINEOPZ informiert den Club mindestens 14 Tage vorab per E-Mail über neue oder ersetzte Unterauftragsverarbeiter. Der Club kann aus wichtigem datenschutzrechtlichen Grund widersprechen und den Vertrag in diesem Fall kündigen.

§ 7 Unterstützung und Betroffenenrechte

1. Anfragen von Betroffenen leitet LINEOPZ unverzüglich an den Club weiter. LINEOPZ unterstützt den Club bei Auskunft, Berichtigung, Löschung und Datenexport, soweit die Plattform dies nicht ohnehin als Selbstbedienungsfunktion bietet.
2. LINEOPZ unterstützt den Club bei den Pflichten nach Art. 32 bis 36 DSGVO im angemessenen Umfang, insbesondere mit Informationen für sein Verzeichnis von Verarbeitungstätigkeiten und eine etwaige Datenschutz-Folgenabschätzung.
3. LINEOPZ stellt dem Club Textbausteine für Datenschutzhinweise an sein Team, an Acts und an Gäste bereit. Für Inhalt und Bereitstellung dieser Hinweise bleibt der Club verantwortlich.

§ 8 Datenschutzverletzungen

LINEOPZ meldet dem Club eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den bis dahin bekannten Informationen nach Art. 33 Abs. 3 DSGVO.

§ 9 Löschung und Rückgabe

1. Während der Vertragslaufzeit kann der Club Daten selbst löschen, etwa beim Ausscheiden von Beschäftigten.
2. LINEOPZ löscht automatisch: Schichtdaten 24 Monate nach Ausscheiden, Gästelisten und Einlass-Check-ins 6 Monate nach dem Event, Command-Verläufe nach 12 Monaten, Einträge im Änderungsprotokoll nach 3 Jahren, abgebrochene unbezahlte Ticketbestellungen nach 30 Tagen. Der Club kann kürzere Fristen verlangen.
3. Nach Vertragsende stellt LINEOPZ auf Wunsch einen Export bereit und löscht die Daten des Clubs spätestens 30 Tage nach Vertragsende, einschließlich Backups nach deren regulärem Ablauf.
4. Gesetzliche Aufbewahrungspflichten (z. B. Arbeitszeitnachweise, Rechnungen, Kassenaufzeichnungen) liegen beim Club; dieser exportiert die Daten vor Vertragsende.

§ 10 Kontrollrechte und Haftung

1. LINEOPZ stellt dem Club alle erforderlichen Informationen zum Nachweis der Pflichten zur Verfügung. Prüfungen vor Ort erfolgen nach Anmeldung mit angemessener Frist.
2. Die Haftung richtet sich nach Art. 82 DSGVO und dem Nutzungsvertrag.
3. Änderungen bedürfen der Textform. Es gilt deutsches Recht.

Zustandekommen

Der Vertrag kommt durch Bestätigung eines Club-Admins bei der Registrierung bzw. beim ersten Login nach einer neuen Version zustande. LINEOPZ protokolliert Nutzer, Zeitpunkt, Vertragsversion und IP-Adresse. Diese Version ersetzt Version 1.0, die nur die Schicht- und Dienstplanung umfasste.