Dieser Vertrag wird mit dem Anlegen einer Organisation geschlossen. Der Zeitpunkt, die Fassung und die Prüfsumme dieses Wortlauts werden dabei festgehalten; auf Wunsch stellen wir ihn zusätzlich in Textform bereit.

Vertrag zur Auftragsverarbeitung

Art. 28 DSGVO

Hinweis für die interne Verwendung — nicht Teil des Vertragstexts.

Dieses Dokument löst die Zusage aus den AGB ein, auf Anforderung einen Auftragsverarbeitungsvertrag in Textform bereitzustellen.

Der Vertrag ist erforderlich, weil Kunden in Advancing Buddy personenbezogene Daten Dritter eintragen: Promoter, Crew, Fahrer, Hotelgäste. Für diese Daten ist der Kunde Verantwortlicher und wir Auftragsverarbeiter — ohne diesen Vertrag ist die Nutzung durch den Kunden nicht rechtskonform, unabhängig davon, wie sauber unsere Seite ist.

⚠️ Vor der ersten Herausgabe an einen Kunden juristisch prüfen lassen. Der Text folgt den üblichen Anforderungen und den Empfehlungen der Aufsichtsbehörden, ist aber nicht anwaltlich geprüft. Die Angaben zu Subunternehmern und Maßnahmen sind gegen den Code belegt und stimmen zum genannten Stand.

Stand: 7. September 2026

---

Zwischen

Auftraggeber (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO)

Name, Anschrift und Vertretung des Kunden gemäß Bestellung — nachfolgend „Auftraggeber” —

und

Auftragnehmer (Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO)

KreuzerTec Services UG (haftungsbeschränkt) Königstraße 5, 70173 Stuttgart, Deutschland vertreten durch den Geschäftsführer Lukas Kreuzer HRB 805725, Amtsgericht Stuttgart — nachfolgend „Auftragnehmer” —

---

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber die Software „Advancing Buddy” als Software-as-a-Service bereit. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten, die der Auftraggeber dabei in die Plattform einstellt oder durch Dritte einstellen lässt.

(2) Die Einzelheiten der Leistung ergeben sich aus dem Hauptvertrag (Allgemeine Geschäftsbedingungen, abrufbar unter advancing-buddy.com/de/terms).

(3) Dieser Vertrag beginnt mit dem Hauptvertrag und endet mit ihm. Die Pflichten aus § 9 (Löschung und Rückgabe) bestehen darüber hinaus fort.

(4) Abgrenzung. Nicht Gegenstand dieses Vertrags sind die Konto-, Abrechnungs- und Sicherheitsdaten der Nutzer sowie Zugriffsdaten der Website. Für diese ist der Auftragnehmer selbst Verantwortlicher; maßgeblich ist die Datenschutzerklärung unter advancing-buddy.com/de/privacy.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Zweck: Vorbereitung und Durchführung von Shows und Veranstaltungen („Advancing”) — Abstimmung von Veranstaltungsort, Bühne, Zeitplan, Anreise, Unterkunft und Rider.

(2) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln innerhalb der Organisation des Auftraggebers, Einschränken, Löschen und Vernichten.

(3) Kategorien betroffener Personen:

• Mitglieder und Beschäftigte des Auftraggebers
• Künstlerinnen und Künstler sowie deren Begleitung (Travel Party)
• Örtliche Veranstalter (Promoter) und deren Ansprechpartner
• Crew, Technik, Fahrerinnen und Fahrer, Sicherheits- und Cateringpersonal
• Gäste in Zimmerlisten

(4) Kategorien personenbezogener Daten:

• Stammdaten: Name, Rolle, Funktion, Unternehmen
• Kontaktdaten: E-Mail, Telefon, Anschrift
• Terminbezogene Daten: Zeitpläne, Auftrittszeiten, Aufgaben und Fristen
• Reisedaten: Flug- und Zugnummern, Buchungsreferenzen, Abfahrts- und Ankunftsorte, Terminals, Fahrzeugangaben einschließlich Kennzeichen, Fahrername und -telefon
• Unterkunftsdaten: Hotel, Anschrift, Zimmerlisten mit Namen und Reservierungsnummern
• Angaben zu Einreise und Arbeitserlaubnis, soweit vom Auftraggeber erfasst
• Staatsangehörigkeiten, soweit vom Auftraggeber erfasst
• Von Nutzern hochgeladene Dokumente, einschließlich Verträgen und Rechnungen
• Freitextangaben in Notizfeldern und Nachrichten

(5) Der Auftraggeber entscheidet allein, welche Daten er einstellt. Der Auftragnehmer erhebt diese Daten nicht selbst.

Hinweis zu besonderen Kategorien. Die Plattform sieht keine Felder für Daten nach Art. 9 DSGVO vor. Freitextfelder — etwa für Verpflegung oder Anmerkungen — können solche Angaben jedoch faktisch aufnehmen. Der Auftraggeber trägt dafür Sorge, dass er dort nur Daten einträgt, für die er eine Rechtsgrundlage hat.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten dieser Vertrag, der Hauptvertrag und die Nutzung der Funktionen der Plattform durch den Auftraggeber.

(2) Einzelweisungen sind in Textform an info@advancing-buddy.com zu richten.

(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilt er dies unverzüglich mit. Er ist berechtigt, die Ausführung auszusetzen, bis der Auftraggeber sie bestätigt oder ändert.

(4) Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Der Auftragnehmer wertet die Inhalte des Auftraggebers weder aus noch nutzt er sie zum Training von Modellen; er gibt sie nicht an Dritte weiter, außer nach Maßgabe von § 7.

§ 4 Vertraulichkeit

(1) Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind.

(2) Entwicklung, Betrieb und Support erbringt der Auftragnehmer selbst. Ein externer Dienstleister mit Zugriff auf personenbezogene Daten ist nicht eingeschaltet.

(3) Zugriffe im Rahmen von Wartung und Fehlerbehebung erfolgen durch eigenes Personal, beschränkt auf das Erforderliche.

(4) Anmeldung als Nutzer. Zu diesen Zugriffen gehört die Möglichkeit, sich zur Fehleranalyse in einem Nutzerkonto anzumelden und die Anwendung in dessen Ansicht zu bedienen. Sie dient allein der Erbringung der vertraglich geschuldeten Leistung; eine Verarbeitung zu eigenen Zwecken findet auch dabei nicht statt (§ 3 Abs. 4). Es gilt:

• beschränkt auf Personen mit Verwaltungsrolle beim Auftragnehmer;
• nur nach erneuter Anmeldung der handelnden Person und Angabe eines Grundes im Klartext;
• höchstens 15 Minuten je Sitzung, nicht verlängerbar, höchstens eine offene Sitzung je Person;
• gesperrt bleiben die Löschung des Kontos, Änderungen an Zugangsmitteln und angemeldeten Geräten sowie am Abonnement;
• vollständig protokolliert: je Sitzung mit handelnder Person, betroffener Person, Grund und Dauer, je Anfrage mit Zeitpunkt, aufgerufener Adresse und Ergebnis. Inhalte werden nicht mitgeschrieben. Frist 180 Tage.

Die betroffene Person sieht den Zugriff in ihrem eigenen Sicherheitsprotokoll. Auf Anforderung weist der Auftragnehmer nach § 10 nach, ob und wann in Konten der Organisation des Auftraggebers auf diesem Weg zugegriffen wurde. Einzelheiten in Anlage 2.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO. Sie sind in Anlage 2 beschrieben.

(2) Die Maßnahmen unterliegen der technischen Entwicklung. Der Auftragnehmer darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird.

(3) Auf Anforderung stellt der Auftragnehmer die jeweils aktuelle Fassung in Textform zur Verfügung.

§ 6 Unterstützungspflichten

(1) Betroffenenrechte. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

(2) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Mitteln bei der Erfüllung der Betroffenenrechte. Die Plattform ermöglicht dem Auftraggeber, Daten selbst einzusehen, zu berichtigen, zu exportieren und zu löschen.

(3) Verletzungen des Schutzes personenbezogener Daten. Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen.

(4) Der Auftragnehmer unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen nach Art. 35 und 36 DSGVO, soweit die Informationen nur ihm vorliegen.

§ 7 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt der Beauftragung der in Anlage 1 genannten Unterauftragsverarbeiter zu.

(2) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter schriftlich auf Pflichten, die den hier vereinbarten entsprechen.

(3) Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor der Beauftragung eines weiteren oder dem Wechsel eines Unterauftragnehmers in Textform. Der Auftraggeber kann innerhalb dieser Frist aus einem datenschutzrechtlich begründeten Anlass widersprechen. Im Fall eines berechtigten Widerspruchs, dem nicht abgeholfen werden kann, kann jede Partei den Hauptvertrag zum Zeitpunkt der Umstellung kündigen.

(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikation, Post und reine Wartung ohne Zugriff auf personenbezogene Daten.

§ 8 Drittlandtransfer

(1) Die Verarbeitung findet grundsätzlich in Deutschland statt. Inhalte des Auftraggebers werden ausschließlich auf Servern in Deutschland gespeichert.

(2) Übermittlungen in Drittländer erfolgen nur in den in Anlage 1 genannten Fällen und nur auf Grundlage eines Angemessenheitsbeschlusses, von Standardvertragsklauseln oder einer Einwilligung der betroffenen Person.

(3) Verbindungen, die der Nutzer selbst herstellt — Kalender-Abonnement und Import aus Cloud-Speichern — erfolgen auf dessen Veranlassung.

§ 9 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags löscht der Auftragnehmer die verarbeiteten Daten, sofern keine gesetzliche Aufbewahrungspflicht besteht.

(2) Vor der Löschung kann der Auftraggeber 30 Tage lang einen Export anfordern.

(3) Sicherungskopien. Gelöschte Daten können bis zu 14 Tage in Sicherungen fortbestehen und werden mit deren turnusmäßiger Überschreibung entfernt. Aus Sicherungen wird nur im Wiederherstellungsfall zurückgespielt.

(4) Die Löschung wird auf Anforderung in Textform bestätigt.

§ 10 Nachweise und Kontrollen

(1) Der Auftragnehmer weist die Einhaltung auf Anforderung nach, insbesondere durch die Beschreibung in Anlage 2.

(2) Der Auftraggeber kann sich nach vorheriger Anmeldung mit angemessener Frist von der Einhaltung überzeugen. Kontrollen erfolgen zu üblichen Geschäftszeiten, ohne Betriebsablaufstörung und höchstens einmal jährlich, sofern kein besonderer Anlass besteht.

(3) Der Auftragnehmer darf die Vorlage von Nachweisen davon abhängig machen, dass die Vertraulichkeit gegenüber anderen Kunden gewahrt bleibt.

§ 11 Haftung und Schlussbestimmungen

(1) Für die Haftung gelten Art. 82 DSGVO und die Regelungen des Hauptvertrags.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit die Verarbeitung personenbezogener Daten betroffen ist.

(3) Änderungen bedürfen der Textform.

(4) Es gilt deutsches Recht. Gerichtsstand ist Stuttgart, soweit der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

(5) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

---

Anlage 1 — Unterauftragsverarbeiter

Stand: 7. September 2026

Unternehmen	Sitz	Leistung	Ort der Verarbeitung	Transfergrundlage
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen	DE	Hosting und Rechenzentrum	Deutschland	—
Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin	IE	Zahlungsabwicklung	EU	—
Spaceship, Inc., 4600 East Washington Street, Suite 300, Phoenix, AZ 85034	US	Versand transaktionaler E-Mails	USA	Standardvertragsklauseln (Beschluss 2021/914, Modul 2)

Weitere Empfänger, die keine Unterauftragsverarbeiter sind:

Empfänger	Leistung	Einordnung
OpenStreetMap Foundation, UK	Adresssuche	Der Browser des Nutzers ruft den Dienst unmittelbar auf. Angemessenheitsbeschluss für das Vereinigte Königreich, verlängert bis 27. Dezember 2031
Google, Mozilla, Apple, Microsoft	Zustellung von Push-Nachrichten	nur bei eingeschalteter Push-Funktion; der Inhalt ist Ende-zu-Ende verschlüsselt
Google, Microsoft	Anmeldung über ein bestehendes Konto	nur auf Wahl des Nutzers
Google, Dropbox, Microsoft	Import aus Cloud-Speichern	nur auf Veranlassung des Nutzers, Art. 49 Abs. 1 lit. a DSGVO
Have I Been Pwned (UK)	Abgleich neuer Passwörter gegen bekannte Datenlecks	Kein Auftragsverarbeiter und keine Übermittlung personenbezogener Daten: Es verlässt allein ein fünf Zeichen langes SHA-1-Präfix das Haus (k-Anonymität), nie das Passwort und nie eine Adresse. Der Dienst kann daraus nicht schließen, welches Passwort geprüft wurde

Zum E-Mail-Versand. Der Anbieter prüft Nachrichten automatisiert auf Spam und Schadsoftware und setzt dafür nach eigenen Angaben einen Moderationsdienst von OpenAI ein, der begrenzte Teile des Inhalts auswertet. Über die Plattform versandte Nachrichten enthalten Namen und Veranstaltungsbezüge; weitergehende Inhalte sollten nicht über die Einladungs- und Hinweisfunktionen versandt werden.

---

Anlage 2 — Technische und organisatorische Maßnahmen

Es gilt die Beschreibung in docs/legal/tom.md in der jeweils aktuellen Fassung, die dem Auftraggeber auf Anforderung in Textform bereitgestellt wird.

---

Ort, Datum

---

Auftraggeber KreuzerTec Services UG (haftungsbeschränkt)