Allgemeine Geschäftsbedingungen für HEXLE Ticket (Ticketsystem für Events) - HEXLE Development & IT Solutions e.U.

1. Leistungsumfang von HEXLE Ticket

HEXLE Ticket ist eine Softwarelösung für die Erstellung, Verwaltung und den Verkauf von Tickets für Events. Der genaue Leistungsumfang, die verfügbaren Funktionen und die Möglichkeiten der Nutzerverwaltung richten sich nach dem vom Kunden (Veranstalter) gewählten Tarif und den in der jeweiligen Leistungsbeschreibung oder dem individuellen Angebot festgelegten Spezifikationen.

Funktionen für Eventveranstalter: HEXLE Ticket ermöglicht dem Veranstalter insbesondere:

Die Erstellung und Verwaltung von Events, inklusive Datum, Uhrzeit, Ort, Beschreibung und Ticketkontingenten.
Die Definition verschiedener Ticketkategorien (z.B. Early Bird, VIP, Standard) mit individuellen Preisen und Verfügbarkeiten sowie die Festlegung von Verkaufszeiträumen.
Die Sitzplatzwahl auf Basis von Saalplänen (sofern aktiviert). Saalpläne können als Vorlage angelegt und einem konkreten Event als eigenständige, mit dem Event eingefrorene Kopie zugeordnet werden.
Die Vergabe von Rabatt- und Gutscheincodes, wahlweise als prozentualer Nachlass oder als Fixbetrag, jeweils mit konfigurierbaren Nutzungslimits.
Die Verwaltung von Ticketverkäufen, einschließlich der Erfassung von Käuferdaten und der Bereitstellung digitaler Tickets (z.B. per E-Mail, QR-Code).
Den Verkauf vor Ort über die Abendkasse (Frontdesk) mit der Zahlungsart Barzahlung sowie den Massen- bzw. Listenverkauf durch Import von Käuferlisten (Name, E-Mail).
Die Ticketpersonalisierung, je nach Konfiguration verpflichtend oder optional. Dabei werden Name und E-Mail-Adresse sowie – sofern aktiviert – das Geburtsdatum der personalisierten Person erfasst; zusätzlich kann ein Mindestalter konfiguriert und ein Einladungs-Flow genutzt werden, bei dem Dritte per E-Mail zur Personalisierung eingeladen werden.
Die Definition frei konfigurierbarer Zusatzfelder (Custom Fields) je Shop, deren Bezeichnung und Inhalt der Veranstalter selbst festlegt. Eine Typvalidierung oder inhaltliche Klassifizierung dieser Felder durch die Software erfolgt nicht.
Die Zugangskontrolle am Eventtag mittels Scanner in der Web-Anwendung oder in der HEXLE Ticket Scanner-App für Android (at.hexle.ticket) sowie mittels manueller Eingabe zur Validierung der Tickets. Die beim Scan geprüften Felder sind konfigurierbar und können – sofern aktiviert – auch eine Prüfung des Geburtsdatums (Altersnachweis beim Einlass) umfassen.
Die Gestaltung eigener PDF-Ticketvorlagen.
Den Empfang von Bestellbenachrichtigungen und Verkaufsberichten per E-Mail an eine vom Veranstalter hinterlegte Adresse.
Die Generierung von Verkaufsstatistiken und Berichten.

Saalpläne und PDF-Ticketvorlagen werden über den in die Plattform integrierten HEXLE Editor erstellt (Plan-Builder für Saalpläne, PDF-Builder für Ticketvorlagen). Auf Ticket-Dokumenten wird ein HEXLE-Logo dargestellt; dieses ist fester Bestandteil der Ticketvorlage und kann nicht entfernt werden.

Funktionen für Ticketkäufer: HEXLE Ticket ermöglicht dem Ticketkäufer insbesondere:

Tickets online auszuwählen und zu kaufen, ohne hierfür ein Benutzerkonto anlegen zu müssen.
Gekaufte Tickets digital zu erhalten.

Der Zugang für den Veranstalter und dessen Mitarbeiter erfolgt demgegenüber über ein HEXLE-Konto; die Anmeldung erfolgt über den zentralen HEXLE-Anmeldedienst (OAuth2/PKCE), optional mit Zwei-Faktor-Authentifizierung.

Es wird klargestellt, dass HEXLE in diesem Fall lediglich die technische Plattform zur Verfügung stellt. Der Vertrag über den Ticketkauf kommt direkt zwischen dem Ticketkäufer und dem jeweiligen Eventveranstalter zustande.

2. Nutzungsbedingungen

2.1 Pflichten des Kunden

Der Kunde verpflichtet sich, HEXLE Ticket ausschließlich bestimmungsgemäß und im Einklang mit den geltenden Gesetzen und diesen AGB zu nutzen. Insbesondere ist der Kunde verantwortlich für:

Der Kunde (Veranstalter) ist allein verantwortlich für die Richtigkeit, Vollständigkeit und Aktualität aller Eventdaten (z.B. Datum, Uhrzeit, Ort, Beschreibung, Preise) und Ticketinformationen, die er in HEXLE Ticket eingibt und veröffentlicht. HEXLE übernimmt keine Haftung für Fehler oder Unstimmigkeiten in diesen vom Kunden bereitgestellten Inhalten.
Die Bereitstellung korrekter und vollständiger Daten bei der Registrierung und während der Nutzung der Software.
Die Verhinderung missbräuchlicher Nutzung von HEXLE Ticket, insbesondere das Hochladen oder Speichern von rechtswidrigen Inhalten, das Ausführen von schädlichem Code oder das Stören des Betriebs der Software.
Die Einhaltung der Kompatibilitätsanforderungen für die Nutzung von HEXLE Ticket (z.B. Browserversionen, Internetverbindung). HEXLE übernimmt keine Verantwortung für Nutzungseinschränkungen, die auf einer Nichterfüllung dieser Anforderungen seitens des Kunden beruhen.

2.2 Zugangsdaten

Der Kunde ist verpflichtet, seine Zugangsdaten (Benutzernamen, Passwörter) geheim zu halten und vor dem unberechtigten Zugriff Dritter zu schützen. Er ist für alle Aktivitäten verantwortlich, die unter seinen Zugangsdaten erfolgen. Bei Verlust oder unbefugter Nutzung der Zugangsdaten hat der Kunde HEXLE unverzüglich zu informieren.

2.3 Umgang mit persönlichen Daten der Ticketkäufer

Der Kunde (Veranstalter) ist alleiniger Verantwortlicher im Sinne der DSGVO für die personenbezogenen Daten der Ticketkäufer, die über HEXLE Ticket erfasst werden. HEXLE agiert in diesem Verhältnis als Auftragsverarbeiter. Der Kunde stellt sicher, dass er die Ticketkäufer ordnungsgemäß über die Datenverarbeitung informiert und, wo notwendig, deren Einwilligung einholt. Der Kunde verpflichtet sich zur Einhaltung aller anwendbaren Datenschutzgesetze, insbesondere der DSGVO und des österreichischen Datenschutzgesetzes (DSG), im Umgang mit den Daten der Ticketkäufer. Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO zwischen HEXLE und dem Kunden ist verpflichtend und regelt die Einzelheiten der Datenverarbeitung (siehe Abschnitt 11 dieser AGB). HEXLE vermittelt die Daten (Name, Email, etc.) der Ticketkäufer an den Kunden (Veranstalter).

2.4 Zusatzfelder, Personalisierung und Altersprüfung

Der Kunde (Veranstalter) legt die frei konfigurierbaren Zusatzfelder (Custom Fields) eigenverantwortlich fest. Die Software nimmt weder eine Typvalidierung noch eine inhaltliche Klassifizierung der über diese Felder erhobenen Angaben vor. Der Kunde ist allein dafür verantwortlich, dass die über diese Felder erhobenen Daten erforderlich sind und auf einer tragfähigen Rechtsgrundlage beruhen.

Über frei definierbare Felder dürfen keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO (z.B. Gesundheitsdaten) erhoben werden, ohne dass der Kunde zuvor sichergestellt hat, dass hierfür eine Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegt.

Das Geburtsdatum sowie ein konfigurierbares Mindestalter dürfen nur erhoben bzw. konfiguriert werden, soweit dies für eine Alterskontrolle tatsächlich erforderlich ist (Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO).

Werden im Rahmen der Ticketpersonalisierung Daten Dritter erfasst – etwa wenn der Ticketkäufer weitere Personen per E-Mail zur Personalisierung einlädt –, ist der Kunde dafür verantwortlich, diese Personen gemäß Art. 13 bzw. Art. 14 DSGVO zu informieren. HEXLE stellt lediglich die technische Funktion zur Dokumentation einer Zustimmung bereit (Speicherung eines Zeitstempels) und prüft weder deren Inhalt noch deren Wirksamkeit. Eine Prüfung der rechtlichen Zulässigkeit der vom Kunden erhobenen Daten oder eine Rechtsberatung ist damit nicht verbunden.

3. Service Level Agreements (SLA)

HEXLE ist bestrebt, eine hohe Verfügbarkeit und Performance von HEXLE Ticket sicherzustellen. Die nachfolgenden Regelungen definieren die vereinbarten Service Level:

Verfügbarkeit des Ticketsystems: HEXLE gewährleistet eine durchschnittliche jährliche Verfügbarkeit der HEXLE Ticket-Dienste von 99,0%. Ausgenommen hiervon sind geplante Wartungsfenster, die dem Kunden frühzeitig mitgeteilt werden, sowie Ausfälle, die außerhalb des Verantwortungsbereichs von HEXLE liegen (z.B. höhere Gewalt, Störungen des öffentlichen Internets, Handlungen Dritter).
Spezifische Verfügbarkeit während des Verkaufs und am Eventtag: HEXLE unternimmt alle zumutbaren Anstrengungen, um die Systemverfügbarkeit während kritischer Phasen wie dem Hauptticketverkauf und insbesondere am Eventtag (für die Zugangskontrolle) zu maximieren. Im Falle einer geplanten Nichtverfügbarkeit während dieser Phasen wird der Kunde mindestens 48 Stunden im Voraus informiert.
Reaktionszeiten bei Störungen:
- Kritische Störungen (Produktionseinstellung, Kernfunktionen nicht nutzbar): Reaktion innerhalb von 2 Stunden während der Support-Zeiten.
- Wesentliche Störungen (Einschränkung der Nutzung, aber Kernfunktionen verfügbar): Reaktion innerhalb von 4 Stunden während der Support-Zeiten.
- Geringfügige Störungen (Kosmetische Fehler, kleine Funktionsfehler): Reaktion innerhalb von 12 Stunden während der Support-Zeiten.
- Lösungszeit: HEXLE wird sich bemühen, Störungen schnellstmöglich zu beheben. Es kann jedoch keine bestimmte Lösungszeit garantiert werden, da diese von der Art und Komplexität der Störung abhängt.

4. Lizenzbedingungen

HEXLE räumt dem Kunden ein nicht-ausschließliches, nicht übertragbares und zeitlich auf die Vertragslaufzeit beschränktes Recht zur Nutzung von HEXLE Ticket im Rahmen des gebuchten Tarifs und dieser AGB ein. Jegliche darüberhinausgehende Nutzung, insbesondere die Vervielfältigung, Verbreitung, öffentliche Zugänglichmachung oder Bearbeitung der Software, ist untersagt. Das Reverse Engineering oder die Dekompilierung der Software ist nicht gestattet.

5. Datenverarbeitung

HEXLE ist sich der Sensibilität der über HEXLE Ticket erfassten Daten bewusst. Die Speicherung und Verarbeitung der Daten erfolgt auf Servern in Österreich oder der Europäischen Union unter Einhaltung der Vorschriften der Datenschutz-Grundverordnung (DSGVO) und des österreichischen Datenschutzgesetzes (DSG).

Verantwortlichkeit: Der Kunde ist der Verantwortliche im Sinne der DSGVO für die über HEXLE Ticket erfassten personenbezogenen Daten der Ticketkäufer. HEXLE agiert als Auftragsverarbeiter.
Auftragsverarbeitungsvertrag (AVV): Für die Verarbeitung personenbezogener Daten im Auftrag des Kunden wird ein gesonderter Auftragsverarbeitungsvertrag (AVV) zwischen HEXLE und dem Kunden abgeschlossen. Dieser AVV ist integraler Bestandteil des Vertrages über die Nutzung von HEXLE Ticket und detailliert die Pflichten und Verantwortlichkeiten beider Parteien hinsichtlich des Datenschutzes (siehe Abschnitt 11 dieser AGB).
Verarbeitung: HEXLE verarbeitet die eingegebenen Daten ausschließlich im Rahmen der Leistungserbringung und nach Weisung des Kunden gemäß dem abgeschlossenen AVV.
Personalisierungsdaten: Ist die Ticketpersonalisierung aktiviert, werden Name und E-Mail-Adresse und – je nach Konfiguration – das Geburtsdatum der personalisierten Person verarbeitet. Erklärt die personalisierte Person im Personalisierungs-Flow ihre Zustimmung, speichert das System hierzu einen Einwilligungs-Zeitstempel. Umfang und Verpflichtungsgrad dieser Erhebung legt der Kunde fest (siehe Abschnitt 2.4).
Kameranutzung bei der Einlasskontrolle: Die Kamera wird sowohl in der Web-Anwendung als auch in der Scanner-App ausschließlich lokal im Browser bzw. auf dem Endgerät zur Erkennung und Auswertung von QR-Codes genutzt; ein externer Dienst wird hierfür nicht eingebunden. Die Kamera-Berechtigung ist als optional deklariert. Es werden keine Bild- oder Videodaten an HEXLE übertragen.
Datensicherung: HEXLE implementiert angemessene technische und organisatorische Maßnahmen zum Schutz der Daten vor Verlust, Zerstörung, unberechtigtem Zugriff oder Missbrauch. Regelmäßige Datensicherungen werden durchgeführt, um die Wiederherstellbarkeit der Daten im Falle eines technischen Fehlers zu gewährleisten. Die genauen Sicherungsintervalle und -maßnahmen sind im AVV detailliert beschrieben.

6. Zahlungsabwicklung

HEXLE Ticket bietet die Integration von Drittanbieter-Zahlungsdienstleistern zur Abwicklung von Ticketkäufen an. Als Zahlungsdienstleister stehen – je nach gebuchtem Tarif und Konfiguration – Stripe und PayPal zur Verfügung. Ergänzend kann der Verkauf über die Abendkasse als Zahlung vor Ort (Barzahlung) erfolgen. HEXLE selbst führt keine Zahlungen durch.

Rolle von HEXLE: HEXLE stellt lediglich die technische Schnittstelle zu den ausgewählten Zahlungsdienstleistern bereit. Der Zahlungsverkehr und die Abwicklung der Transaktionen erfolgen direkt zwischen dem Ticketkäufer, dem Zahlungsdienstleister und dem Veranstalter.
Konfiguration je Mandant: Die Zugangsdaten der Zahlungsanbieter werden je Mandant zentral in HEXLE Core hinterlegt; die Anbindung der Zahlungsdienstleister wird somit pro Mandant konfiguriert. Der Kunde (Veranstalter) ist für den Abschluss und die Pflege seiner Vertragsverhältnisse mit den Zahlungsdienstleistern selbst verantwortlich.
Verarbeitung in Drittländern: Bei der Nutzung von Stripe und PayPal kann eine Verarbeitung personenbezogener Daten auch in den USA stattfinden. Der Kunde (Veranstalter) ist dafür verantwortlich, die Ticketkäufer hierüber zu informieren und die datenschutzrechtlichen Voraussetzungen der von ihm aktivierten Zahlungsdienstleister zu beachten.
Abendkasse: Bei Zahlungen an der Abendkasse erfolgt die Vereinnahmung des Entgelts ausschließlich durch den Veranstalter vor Ort. HEXLE erfasst hierbei lediglich den in der Software dokumentierten Zahlungsstatus.
Geltung der AGB Dritter: Für die Nutzung der Zahlungsdienste gelten ausschließlich die Allgemeinen Geschäftsbedingungen und Datenschutzbestimmungen des jeweiligen Zahlungsdienstleisters. Der Kunde (Veranstalter) ist dafür verantwortlich, diese Bedingungen zu akzeptieren und sicherzustellen, dass die Ticketkäufer über die Geltung dieser externen AGB informiert werden.
Zahlungsdienstleister-Gebühren: Eventuell anfallende Transaktionsgebühren der Zahlungsdienstleister werden direkt von diesen an den Veranstalter verrechnet und sind nicht Bestandteil der HEXLE-Leistung.
HEXLE-Service-/Plattformgebühr: Unabhängig von den Zahlungsdienstleister-Gebühren kann HEXLE je verkauftem Ticket eine Service- bzw. Plattformgebühr gemäß dem gewählten Tarif erheben (siehe Abschnitt 8). Diese Gebühr trägt der Veranstalter.

7. Stornierung/Rückabwicklung

Die inhaltliche und wirtschaftliche Entscheidung über Ticketstornierungen, Rückerstattungen oder Eventabsagen – ob, in welchem Umfang und zu welchen Konditionen storniert oder erstattet wird – liegt allein in der Verantwortung des Kunden (Veranstalters). HEXLE stellt hierfür konfigurierbare technische Funktionen bereit und führt Berechnungen und Auslösungen ausschließlich nach den vom Veranstalter festgelegten Regeln aus.

Veranstalter als Vertragspartner: Der Vertrag über den Ticketkauf kommt, wie bereits unter Punkt 1. erwähnt, direkt zwischen dem Ticketkäufer und dem Veranstalter zustande. HEXLE ist nicht Vertragspartner dieses Kaufvertrages.
Regelung durch Veranstalter: Der Veranstalter ist verpflichtet, in seinen eigenen Allgemeinen Geschäftsbedingungen oder in den Eventinformationen klare Regelungen für den Fall von Stornierungen durch den Ticketkäufer oder für Eventabsagen, Verschiebungen oder Änderungen durch den Veranstalter festzulegen.
Storno- und Rückerstattungsfunktion: Der Veranstalter kann insbesondere festlegen: Stornogebühren (fest, prozentual, kombiniert oder keine), Stornofristen (Cutoff vor Eventbeginn), die Zulässigkeit von Teilstornierungen sowie ob Ticketkäufer eine Selbstbedienungs-Stornierung selbst vornehmen dürfen. Nach Beginn des Events ist eine Stornierung über die Software regelmäßig ausgeschlossen. Auf Grundlage dieser Konfiguration ermittelt die Software den Erstattungsbetrag (unter Berücksichtigung von Ursprungsbetrag, Gebühren und etwaigen Stornogebühren) und löst die Stornierung technisch aus.
Finanzielle Abwicklung: Die tatsächliche Auszahlung bzw. Rückerstattung von Beträgen erfolgt nicht durch HEXLE, sondern über den jeweiligen Zahlungsdienstleister im Verhältnis zwischen Veranstalter, Zahlungsdienstleister und Ticketkäufer (siehe Abschnitt 6). HEXLE nimmt lediglich die konfigurationsbasierte Berechnung und die technische Auslösung vor; die wirtschaftliche Entscheidung, die Festlegung der Storno- und Gebührenregeln sowie die Verantwortung für die Auszahlung verbleiben beim Veranstalter.
Keine Haftung von HEXLE: HEXLE übernimmt keine Haftung für Verluste oder Schäden, die sich aus der Stornierung von Tickets, aus den vom Veranstalter konfigurierten Storno-/Gebührenregeln und den daraus berechneten Erstattungsbeträgen, aus der Absage, Verschiebung oder Änderung von Events oder aus Streitigkeiten zwischen Veranstaltern und Ticketkäufern ergeben.

8. Preise

Die Preise für die Nutzung von HEXLE Ticket richten sich nach dem vom Kunden (Veranstalter) gewählten Tarifmodell. Die jeweils gültigen Preise sind in der aktuellen Preisliste auf der HEXLE Website (https://ticket.hexle.at) oder im individuellen Angebot aufgeführt. Alle Preise verstehen sich in Euro (€) und, soweit nicht anders angegeben, zuzüglich der gesetzlichen Umsatzsteuer. Das Entgelt kann insbesondere eine je verkauftem Ticket anfallende Service-/Plattformgebühr umfassen; diese trägt der Veranstalter (siehe Abschnitt 6). Abweichungen von den allgemeinen Regelungen zu Preisen und Zahlung in den Rahmen-AGB sind gesondert in der Leistungsbeschreibung oder dem individuellen Angebot zu regeln.

9. Gewährleistung

Gegenüber Verbrauchern gelten die gesetzlichen Gewährleistungsbestimmungen des Verbrauchergewährleistungsgesetzes (VGG) für digitale Leistungen. Die Gewährleistungsfrist beträgt 2 Jahre. Innerhalb von zwei Jahren ab Bereitstellung wird vermutet, dass ein Mangel bereits bei Bereitstellung vorhanden war (Beweislastumkehr gemäß § 11 VGG).

HEXLE ist verpflichtet, notwendige Aktualisierungen (insbesondere Sicherheitsupdates) für HEXLE Ticket für den gesetzlich vorgesehenen Zeitraum bereitzustellen (§§ 6, 7 VGG).

Der Verbraucher hat bei Mängeln zunächst das Wahlrecht zwischen Verbesserung und Herstellung des vertragsgemäßen Zustands. Ist dies unmöglich oder für HEXLE mit unverhältnismäßigem Aufwand verbunden, kann der Verbraucher Preisminderung verlangen oder vom Vertrag zurücktreten (§§ 12–15 VGG).

Gegenüber Unternehmern wird die Beweislastumkehr des § 924 ABGB ausgeschlossen.

10. Wechsel von Datenverarbeitungsdiensten (Data Act)

HEXLE Ticket ist ein Datenverarbeitungsdienst im Sinne der Verordnung (EU) 2023/2854 (Data Act). Für den Wechsel zu einem anderen Anbieter, die Übertragbarkeit der exportierbaren Daten sowie die hierfür geltenden Kündigungs- und Übergangsfristen einschließlich der Unterstützungspflichten von HEXLE gelten die Regelungen in Abschnitt 13 der Rahmen-AGB.

11. Auftragsverarbeitungsvertrag (AVV) für HEXLE Ticket

nach Art. 28 der Datenschutz-Grundverordnung (DSGVO)

11.1 Gegenstand, Dauer und Leistungsumfang des Auftrags

Gegenstand: Die vorliegende Vereinbarung regelt die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Erbringung der Dienstleistung HEXLE Ticket (Ticketsystem für Events) durch den Auftragnehmer (HEXLE) für den Auftraggeber. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich nach dokumentierter Weisung des Auftraggebers.
Leistungsumfang: Die Verarbeitung umfasst alle Tätigkeiten, die zur Bereitstellung, Wartung und Pflege der Softwarelösung HEXLE Ticket zum digitalen Ticketverkauf und Eventmanagement des Auftraggebers notwendig sind.
Dauer: Diese Vereinbarung tritt mit Vertragsabschluss in Kraft und endet automatisch mit Beendigung der Leistungsvereinbarung (Hauptvertrag) über die Nutzung von HEXLE Ticket.

11.2 Art und Zweck der Verarbeitung, Kategorien betroffener Personen und Daten

Zweck: Erfassung, Verwaltung, Speicherung und Auswertung von Personendaten der Ticketkäufer und Verkaufsdaten zur Erfüllung von:
- Abrechnungszwecken (Rechnungslegung, Verkauf),
- Bestätigungsversand und -verwaltung (Ticketversand, Erinnerungen),
- Zugangskontrolle am Eventtag,
- Statistiken zur Auswertung der Events,
- Support und Wartung (Der Auftragsverarbeiter darf zur Bearbeitung von Supportfällen Einsicht in personenbezogene Daten nehmen, sofern dies zur Behebung technischer Probleme erforderlich ist).
Kategorien betroffener Personen:
- Ticketkäufer/Eventbesucher des Auftraggebers.
- Gegebenenfalls: Mitarbeiter, Helfer des Auftraggebers.
Kategorien personenbezogener Daten:
- Identifikationsdaten: Name, Kontaktdaten (E-Mail), Zahlungsdaten, Benutzerkennung.
- Ticketdaten: Ticketkategorie, Ticketnummer, QR-Code, gegebenenfalls zugewiesener Sitzplatz.
- Personalisierungsdaten: Name und E-Mail-Adresse der personalisierten Person sowie – sofern die Alterskontrolle aktiviert ist – deren Geburtsdatum.
- Einwilligungs-Zeitstempel: Zeitpunkt der von der personalisierten Person im Personalisierungs-Flow erklärten Zustimmung.
- Verkaufsdaten: Verkaufszahlen, Einnahmen.
- Zahlungsstatus- und Transaktionsdaten: Zahlungsart (einschließlich Abendkasse), Zahlungsstatus, Transaktions- und Referenznummern der eingesetzten Zahlungsdienstleister sowie Storno- und Erstattungsvorgänge.
- Frei konfigurierbare Zusatzfelder (Custom Fields): Der Auftraggeber kann über frei definierbare Eingabefelder weitere, von ihm selbst festgelegte Datenkategorien erheben. Der Auftraggeber entscheidet allein über Art und Umfang der über diese Felder erhobenen Daten und ist allein für deren Inhalt, deren Rechtmäßigkeit und das Vorliegen einer entsprechenden Rechtsgrundlage verantwortlich (siehe Abschnitt 2.4).
- Organisationsdaten: Details über das Event / den Veranstalter (Name, Unternehmen/Organisation, Anschrift etc.).

11.3 Pflichten und Weisungsrecht des Auftraggebers (Verantwortlicher)

Der Auftraggeber ist für die Einhaltung der gesetzlichen Bestimmungen der DSGVO, insbesondere hinsichtlich der Rechtmäßigkeit der Verarbeitung (z.B. Vorliegen einer Rechtsgrundlage gemäß Art. 6 DSGVO) und der Wahrung der Rechte der betroffenen Personen, verantwortlich. Er hat insbesondere:

Die Überprüfung der Rechtmäßigkeit der Verarbeitung, inkl. Informationspflichten (Art. 12 ff. DSGVO) sicherzustellen.
Alle Weisungen zu erteilen und zu dokumentieren.
Den Auftragnehmer unverzüglich bei Fehlern oder Unregelmäßigkeiten zu informieren.

11.4 Pflichten des Auftragnehmers (Auftragsverarbeiter)

Der Auftragnehmer verpflichtet sich insbesondere:

Verarbeitung nur auf Weisung: Daten nur auf dokumentierte Weisung des Auftraggebers zu verarbeiten, es sei denn, eine gesetzliche Verpflichtung zwingt ihn dazu (Art. 28 Abs. 3 lit. a DSGVO).
Informationspflicht bei rechtswidrigen Weisungen: Den Auftraggeber unverzüglich zu informieren, falls eine Weisung nach Auffassung des Auftragnehmers gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).
Vertraulichkeit: Sicherzustellen, dass zur Verarbeitung der Daten befugte Personen zur Vertraulichkeit verpflichtet wurden (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).
Sicherheit der Verarbeitung (TOMs): Geeignete technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO zu treffen. Die konkreten Maßnahmen sind unter TOM (Technische und organisatorische Maßnahmen) detailliert festgehalten (z.B. Verschlüsselung, Zugangskontrolle, Pseudonymisierung).
Unterauftragsverhältnisse (Subunternehmer):
- Der Auftragnehmer ist berechtigt, die unter Genehmigte Unterauftragsverarbeiter gelisteten Unternehmen, insbesondere für Hosting- und Wartungsleistungen, als Subunternehmer (weitere Auftragsverarbeiter) hinzuzuziehen. Die Beauftragung dieser gelisteten Unternehmen gilt mit Abschluss dieses Vertrages als genehmigt.
- Der Auftragnehmer hat Subunternehmer vertraglich zur Einhaltung der gleichen Datenschutzpflichten zu verpflichten, die zwischen dem Auftraggeber und dem Auftragnehmer gelten (Art. 28 Abs. 4 DSGVO).
- Beabsichtigt der Auftragnehmer, einen neuen Subunternehmer hinzuzuziehen oder einen bestehenden zu ersetzen, muss er dies dem Auftraggeber 14 Tage vor der beabsichtigten Hinzuziehung schriftlich oder in Textform anzeigen. Der Auftraggeber hat das Recht, innerhalb dieser Frist begründeten Einspruch zu erheben (Art. 28 Abs. 2 DSGVO). Erhebt der Auftraggeber begründeten Einspruch, wird HEXLE den betreffenden Unterauftragsverarbeiter nicht einsetzen. Können sich die Parteien nicht auf eine alternative Lösung einigen, steht dem Auftraggeber ein Sonderkündigungsrecht für den betroffenen Dienst zu.
- Der Auftragnehmer haftet gegenüber dem Auftraggeber für die Einhaltung der Bestimmungen dieses Vertrages durch seine Subunternehmer.
Unterstützungspflichten:
- Unterstützung des Auftraggebers bei der Beantwortung von Anträgen Betroffener (Art. 12-22 DSGVO).
- Unterstützung bei der Einhaltung der Pflichten gem. Art. 32-36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
Meldepflicht bei Datenschutzverletzungen: Unverzügliche Meldung, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden, von Verletzungen des Schutzes personenbezogener Daten des Auftraggebers an diesen (Art. 33, 34 DSGVO).
Löschung und Rückgabe: Nach Beendigung des Vertrages die Daten innerhalb von 90 Tagen nach Wahl des Auftraggebers zu löschen oder zurückzugeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 28 Abs. 3 lit. g DSGVO).
Drittlandtransfer: Eine Verarbeitung personenbezogener Daten in Drittländern außerhalb der EU/des EWR erfolgt nur, sofern die Voraussetzungen der Art. 44–49 DSGVO erfüllt sind (insbesondere Angemessenheitsbeschluss oder Standardvertragsklauseln). Die aktuell genehmigten Unterauftragsverarbeiter und deren Drittlandsgarantien sind unter Genehmigte Unterauftragsverarbeiter einsehbar.

11.5 Kontrollrechte des Auftraggebers

Kontrollrecht: Der Auftraggeber hat das Recht, die Einhaltung dieser Vereinbarung und der getroffenen TOMs in angemessenem Umfang zu überprüfen, etwa durch Audits oder die Einsichtnahme in Nachweise des Auftragnehmers (Art. 28 Abs. 3 lit. h DSGVO).
Nachweispflicht: Der Auftragnehmer verpflichtet sich, dem Auftraggeber alle zur Einhaltung seiner Pflichten notwendigen Informationen zur Verfügung zu stellen und Nachweise zu erbringen.

11.6 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Jede Partei haftet gegenüber betroffenen Personen für den gesamten Schaden, der durch eine nicht DSGVO-konforme Verarbeitung verursacht wurde (Art. 82 Abs. 2 DSGVO). Im Innenverhältnis trägt jede Partei den Anteil am Schaden, der ihrem Verschulden entspricht. Der Auftragnehmer haftet insbesondere für Schäden, die aus einer Verarbeitung resultieren, die nicht den Weisungen des Auftraggebers oder seinen eigenen Pflichten aus der DSGVO entspricht.

Stand: September 2026