Dieser Vertragstext ist noch nicht anwaltlich geprüft. Er beschreibt, was die Plattform tatsächlich tut, und gilt in dieser Fassung. Ändert er sich nach der Prüfung, legen wir Ihnen die neue Fassung zur Zustimmung vor.
Diesen Vertrag schließen Sie für jede Organisation, wenn Sie sie in Advancing Buddy anlegen — mit einem Häkchen. Zeitpunkt, Fassung und Prüfsumme dieses Wortlauts halten wir dabei fest.
Was sich an der Liste der Unterauftragsverarbeiter (Anlage 1) geändert hat, steht unter Unterauftragsverarbeiter.
Art. 28 DSGVO
Stand: 9. Oktober 2026
Zwischen
Auftraggeber (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO)
die Organisation, für die der Kunde diesen Vertrag beim Anlegen in Advancing Buddy abschließt — nachfolgend „Auftraggeber” —
und
Auftragnehmer (Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO)
KreuzerTec Services UG (haftungsbeschränkt) Königstraße 5, 70173 Stuttgart, Deutschland vertreten durch den Geschäftsführer Lukas Kreuzer HRB 805725, Amtsgericht Stuttgart — nachfolgend „Auftragnehmer” —
§ 1 Gegenstand, Abschluss und Dauer
(1) Der Auftragnehmer stellt dem Auftraggeber die Software „Advancing Buddy” als Software-as-a-Service bereit. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten, die der Auftraggeber dabei in die Plattform einstellt oder durch Dritte einstellen lässt.
(2) Die Einzelheiten der Leistung ergeben sich aus dem Hauptvertrag (Allgemeine Geschäftsbedingungen, abrufbar unter advancing-buddy.com/de/terms).
(3) Abschluss. Dieser Vertrag wird für jede Organisation geschlossen, wenn sie angelegt wird: Der Kunde stimmt ihm in der angezeigten Fassung ausdrücklich zu. Der Auftragnehmer hält dabei Zeitpunkt, Fassung und Prüfsumme des Wortlauts fest. Einer Unterschrift bedarf es nicht.
(4) Dieser Vertrag beginnt mit dem Abschluss und endet mit dem Hauptvertrag. Die Pflichten aus § 9 (Löschung und Rückgabe) bestehen darüber hinaus fort.
(5) Abgrenzung. Nicht Gegenstand dieses Vertrags sind die Konto-, Abrechnungs- und Sicherheitsdaten der Nutzer sowie Zugriffsdaten der Website. Für diese ist der Auftragnehmer selbst Verantwortlicher; maßgeblich ist die Datenschutzerklärung unter advancing-buddy.com/de/privacy.
§ 2 Art, Zweck und Umfang der Verarbeitung
(1) Zweck: Vorbereitung und Durchführung von Shows und Veranstaltungen („Advancing”) — Abstimmung von Veranstaltungsort, Bühne, Zeitplan, Anreise, Unterkunft und Rider.
(2) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln innerhalb der Organisation des Auftraggebers, Einschränken, Löschen und Vernichten.
(3) Kategorien betroffener Personen:
- Mitglieder und Beschäftigte des Auftraggebers
- Künstlerinnen und Künstler sowie deren Begleitung (Travel Party)
- Örtliche Veranstalter (Promoter) und deren Ansprechpartner
- Crew, Technik, Fahrerinnen und Fahrer, Sicherheits- und Cateringpersonal
- Gäste in Zimmerlisten
- Kontakte, die der Auftraggeber in seiner Wissenssammlung („Wissen”) führt
(4) Kategorien personenbezogener Daten:
- Stammdaten: Name, Rolle, Funktion, Unternehmen
- Kontaktdaten: E-Mail, Telefon, Anschrift
- Terminbezogene Daten: Zeitpläne, Auftrittszeiten, Aufgaben und Fristen
- Reisedaten: Flug- und Zugnummern, Buchungsreferenzen, Abfahrts- und Ankunftsorte, Terminals, Fahrzeugangaben einschließlich Kennzeichen, Fahrername und -telefon
- Unterkunftsdaten: Hotel, Anschrift, Zimmerlisten mit Namen und Reservierungsnummern
- Angaben zu Einreise und Arbeitserlaubnis, soweit vom Auftraggeber erfasst
- Staatsangehörigkeiten, soweit vom Auftraggeber erfasst
- Von Nutzern hochgeladene Dokumente, einschließlich Verträgen und Rechnungen
- Freitextangaben in Notizfeldern und Nachrichten
(5) Wissen. Kontakte und Notizen in der Wissenssammlung gehören zur Organisation, nicht zu einem einzelnen Projekt. Sie bleiben deshalb erhalten, wenn ein Projekt gelöscht wird, aus dem sie stammen, und werden erst mit der Organisation oder einzeln durch den Auftraggeber gelöscht.
(6) Der Auftraggeber entscheidet allein, welche Daten er einstellt. Der Auftragnehmer erhebt diese Daten nicht selbst.
Hinweis zu besonderen Kategorien. Die Plattform sieht keine Felder für Daten nach Art. 9 DSGVO vor. Freitextfelder — etwa für Verpflegung oder Anmerkungen — können solche Angaben jedoch faktisch aufnehmen. Der Auftraggeber trägt dafür Sorge, dass er dort nur Daten einträgt, für die er eine Rechtsgrundlage hat.
§ 3 Weisungen
(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten dieser Vertrag, der Hauptvertrag und die Nutzung der Funktionen der Plattform durch den Auftraggeber.
(2) Einzelweisungen sind in Textform an info@advancing-buddy.com zu richten.
(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilt er dies unverzüglich mit. Er ist berechtigt, die Ausführung auszusetzen, bis der Auftraggeber sie bestätigt oder ändert.
(4) Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Der Auftragnehmer wertet die Inhalte des Auftraggebers weder aus noch nutzt er sie zum Training von Modellen; er gibt sie nicht an Dritte weiter, außer nach Maßgabe von § 7.
§ 4 Vertraulichkeit und Zugriffe des Auftragnehmers
(1) Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind.
(2) Entwicklung, Betrieb und Support erbringt der Auftragnehmer selbst. Ein externer Dienstleister mit Zugriff auf personenbezogene Daten ist nicht eingeschaltet.
(3) Zugriffe im Rahmen von Wartung und Fehlerbehebung erfolgen durch eigenes Personal, beschränkt auf das Erforderliche.
(4) Anmeldung als Nutzer. Zu diesen Zugriffen gehört die Möglichkeit, sich zur Fehleranalyse in einem Nutzerkonto anzumelden und die Anwendung in dessen Ansicht zu bedienen. Der Auftraggeber stimmt diesem Zugriff mit diesem Vertrag zu; er dient allein der Erbringung der vertraglich geschuldeten Leistung, eine Verarbeitung zu eigenen Zwecken findet auch dabei nicht statt (§ 3 Abs. 4). Es gilt:
- beschränkt auf Personen mit Verwaltungsrolle beim Auftragnehmer, nicht anwendbar auf Konten mit Verwaltungsrechten;
- nur nach erneuter Anmeldung der handelnden Person und Angabe eines Grundes im Klartext;
- höchstens 15 Minuten je Sitzung, nicht verlängerbar, höchstens eine offene Sitzung je Person;
- gesperrt bleiben die Löschung des Kontos, Änderungen an Zugangsmitteln und angemeldeten Geräten, Bestellungen und Änderungen am Abonnement, Zustimmungen zu Vertragsbedingungen und das Anlegen von Organisationen;
- vollständig protokolliert: je Sitzung mit handelnder Person, betroffener Person, Grund und Dauer, je Anfrage mit Zeitpunkt, aufgerufener Adresse und Ergebnis. Inhalte werden nicht mitgeschrieben. Frist 180 Tage.
Die betroffene Person sieht den Zugriff in ihrem eigenen Sicherheitsprotokoll. Auf Anforderung weist der Auftragnehmer nach § 10 nach, ob und wann in Konten der Organisation des Auftraggebers auf diesem Weg zugegriffen wurde.
(5) Mitsehen und Steuerung. Den Bildschirm eines Nutzers sieht der Auftragnehmer nur, wenn dieser Nutzer es im Einzelfall erlaubt. Es gilt:
- jede Sitzung beginnt mit einer Frage an den Nutzer, die er ablehnen kann; ohne Antwort verfällt sie nach 90 Sekunden. Vor der Erlaubnis wird nichts übertragen;
- übertragen wird nur das Browserfenster der Anwendung, nicht der Bildschirm und keine anderen Programme oder Reiter; Eingaben in Formularfeldern sind verdeckt, solange der Nutzer sie nicht ausdrücklich zeigt; Passwörter, Einmalcodes, Kartendaten und gesperrte Bereiche bleiben immer verdeckt;
- es wird kein Bild aufgezeichnet oder gespeichert;
- der Nutzer kann das Mitsehen jederzeit beenden; nach höchstens 30 Minuten endet es von selbst;
- für den Nutzer zu klicken oder zu tippen (Steuerung) bedarf einer zweiten, eigenen Zustimmung des Nutzers und endet nach höchstens 10 Minuten;
- protokolliert werden je Sitzung zusehende und betroffene Person, Grund, Einwilligung, Beginn, Ende und Endgrund sowie jede Steuerungsaktion. Frist 180 Tage.
§ 5 Technische und organisatorische Maßnahmen
(1) Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO. Sie sind in Anlage 2 beschrieben.
(2) Die Maßnahmen unterliegen der technischen Entwicklung. Der Auftragnehmer darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird.
(3) Auf Anforderung stellt der Auftragnehmer die jeweils aktuelle Fassung in Textform zur Verfügung.
§ 6 Unterstützungspflichten
(1) Betroffenenrechte. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.
(2) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Mitteln bei der Erfüllung der Betroffenenrechte. Die Plattform ermöglicht dem Auftraggeber, Daten selbst einzusehen, zu berichtigen, zu exportieren und zu löschen.
(3) Verletzungen des Schutzes personenbezogener Daten. Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen.
(4) Der Auftragnehmer unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen nach Art. 35 und 36 DSGVO, soweit die Informationen nur ihm vorliegen.
§ 7 Unterauftragsverarbeiter
(1) Der Auftraggeber stimmt der Beauftragung der in Anlage 1 genannten Unterauftragsverarbeiter zu.
(2) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter schriftlich auf Pflichten, die den hier vereinbarten entsprechen.
(3) Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor der Beauftragung eines weiteren oder dem Wechsel eines Unterauftragnehmers in Textform. Der Auftraggeber kann innerhalb dieser Frist aus einem datenschutzrechtlich begründeten Anlass widersprechen. Im Fall eines berechtigten Widerspruchs, dem nicht abgeholfen werden kann, kann jede Partei den Hauptvertrag zum Zeitpunkt der Umstellung kündigen.
(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikation, Post und reine Wartung ohne Zugriff auf personenbezogene Daten.
§ 8 Drittlandtransfer
(1) Die Verarbeitung findet in der Europäischen Union statt. Inhalte des Auftraggebers werden auf Servern im Rechenzentrum der Hetzner Online GmbH in Falkenstein (Vogtland), Deutschland, gespeichert und verarbeitet. Sicherungskopien legt der Auftragnehmer verschlüsselt in einem Speicher derselben Hetzner Online GmbH in Helsinki, Finnland, ab; den Schlüssel hält allein der Auftragnehmer. Für die Sicherungskopien gilt § 9 Abs. 4.
(2) Übermittlungen in Drittländer erfolgen nur in den in Anlage 1 genannten Fällen und nur auf Grundlage eines Angemessenheitsbeschlusses, von Standardvertragsklauseln oder einer Einwilligung der betroffenen Person.
(3) Verbindungen, die der Nutzer selbst herstellt — Kalender-Abonnement und Import aus Cloud-Speichern — erfolgen auf dessen Veranlassung.
§ 9 Löschung und Rückgabe
(1) Endet der Hauptvertrag — auch, weil die Testphase ohne Buchung endet —, sperrt der Auftragnehmer die Organisation. Bevor er sie löscht, teilt er den Owners des Auftraggebers, ersatzweise dessen Administratoren, per E-Mail den Tag der Löschung mit.
(2) Rückgabe. Der Auftraggeber kann alle Daten der Organisation jederzeit selbst exportieren, auch während der Sperre: als maschinenlesbare Datei mit den Inhalten und mit Download-Links zu allen gespeicherten Dateien. Zwischen der Mitteilung nach Absatz 1 und der Löschung liegen mindestens 60 Tage.
(3) Nach Ablauf dieser Frist löscht der Auftragnehmer die verarbeiteten Daten einschließlich aller Dateien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Bucht der Auftraggeber vorher einen Tarif, entfällt die Löschung.
(4) Sicherungskopien. Gelöschte Daten können bis zu 14 Tage in Sicherungen fortbestehen und werden mit deren turnusmäßiger Löschung entfernt. Aus Sicherungen wird nur im Wiederherstellungsfall zurückgespielt.
(5) Die Löschung wird auf Anforderung in Textform bestätigt.
§ 10 Nachweise und Kontrollen
(1) Der Auftragnehmer weist die Einhaltung auf Anforderung nach, insbesondere durch die Beschreibung in Anlage 2.
(2) Der Auftraggeber kann sich nach vorheriger Anmeldung mit angemessener Frist von der Einhaltung überzeugen. Kontrollen erfolgen zu üblichen Geschäftszeiten, ohne Betriebsablaufstörung und höchstens einmal jährlich, sofern kein besonderer Anlass besteht.
(3) Der Auftragnehmer darf die Vorlage von Nachweisen davon abhängig machen, dass die Vertraulichkeit gegenüber anderen Kunden gewahrt bleibt.
§ 11 Änderungen, Haftung und Schlussbestimmungen
(1) Für die Haftung gelten Art. 82 DSGVO und die Regelungen des Hauptvertrags.
(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit die Verarbeitung personenbezogener Daten betroffen ist.
(3) Änderungen. Eine neue Fassung dieses Vertrags legt der Auftragnehmer den Owners jeder Organisation beim nächsten Anmelden zur Zustimmung vor und teilt sie ihnen in Textform mit. Sie gilt, sobald ein Owner ihr für die Organisation zustimmt; Schweigen gilt nicht als Zustimmung. Bis dahin gilt die bisherige Fassung weiter, und die Owner können die Plattform erst nach der Zustimmung wieder nutzen; Export, Löschung und Kündigung bleiben jederzeit möglich. Im Übrigen bedürfen Änderungen der Textform.
(4) Es gilt deutsches Recht. Gerichtsstand ist Stuttgart, soweit der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.
(5) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.
Anlage 1 — Unterauftragsverarbeiter
Stand: 9. Oktober 2026
| Unternehmen | Sitz | Leistung | Ort der Verarbeitung | Transfergrundlage |
|---|---|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | DE | Hosting und Rechenzentrum; Speicher für verschlüsselte Sicherungskopien | Deutschland (Falkenstein); Sicherungskopien Finnland (Helsinki) | — (EU) |
| Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin | IE | Zahlungsabwicklung | EU; Teile bei Stripe, Inc., USA | EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln |
| Spaceship, Inc., 4600 East Washington Street, Suite 300, Phoenix, AZ 85034 | US | Versand transaktionaler E-Mails | USA | Standardvertragsklauseln (Beschluss 2021/914, Modul 3) |
Weitere Empfänger, die keine Unterauftragsverarbeiter sind:
| Empfänger | Leistung | Einordnung |
|---|---|---|
| OpenStreetMap Foundation, UK | Adresssuche | Der Browser des Nutzers ruft den Dienst unmittelbar auf. Angemessenheitsbeschluss für das Vereinigte Königreich, verlängert bis 27. Dezember 2031 |
| Google, Mozilla, Apple, Microsoft | Zustellung von Push-Nachrichten | nur bei eingeschalteter Push-Funktion; der Inhalt ist Ende-zu-Ende verschlüsselt |
| Google, Microsoft | Anmeldung über ein bestehendes Konto | nur auf Wahl des Nutzers |
| Google, Dropbox, Microsoft | Import aus Cloud-Speichern | nur auf Veranlassung des Nutzers, Art. 49 Abs. 1 lit. a DSGVO |
| Have I Been Pwned (Australien; ausgeliefert über Cloudflare) | Abgleich neuer Passwörter gegen bekannte Datenlecks | Kein Auftragsverarbeiter und keine Übermittlung personenbezogener Daten: Es verlässt allein ein fünf Zeichen langes SHA-1-Präfix das Haus (k-Anonymität), nie das Passwort und nie eine Adresse. Der Dienst kann daraus nicht schließen, welches Passwort geprüft wurde |
Zum E-Mail-Versand. Der Anbieter prüft Nachrichten automatisiert auf Spam und Schadsoftware und setzt dafür nach eigenen Angaben einen Moderationsdienst von OpenAI ein, der begrenzte Teile des Inhalts auswertet. Über die Plattform versandte Nachrichten enthalten Namen und Veranstaltungsbezüge; weitergehende Inhalte sollten nicht über die Einladungs- und Hinweisfunktionen versandt werden.
Anlage 2 — Technische und organisatorische Maßnahmen
Es gilt die Beschreibung der technischen und organisatorischen Maßnahmen des Auftragnehmers in der jeweils aktuellen Fassung, die dem Auftraggeber auf Anforderung in Textform bereitgestellt wird.