Databehandlingsaftale

Denne Databehandlingsaftale ("DPA") indgås mellem eventarrangøren ("Dataansvarlig", "du") og ChetsApp UG, der driver EventMann-platformen ("Databehandler", "vi", "os"). Denne DPA supplerer Arrangøraftalen og Servicevilkårene.

Følgende definitioner gælder i hele denne DPA:

• Dataansvarlig: Eventarrangøren, der bestemmer formålene med og midlerne til behandling af deltageres personoplysninger. Når du opretter events og indsamler deltageroplysninger via EventMann, er du Dataansvarlig.
• Databehandler: ChetsApp UG (EventMann), der behandler personoplysninger på vegne af den Dataansvarlige i forbindelse med levering af EventMann-platformtjenester.
• Registreret: En identificeret eller identificerbar fysisk person, hvis personoplysninger behandles. I EventMann-sammenhæng er Registrerede primært eventdeltagere.
• Personoplysninger: Enhver oplysning vedrørende en Registreret, herunder navne, e-mailadresser, bookingoplysninger og svar på tilpassede betalingsspørgsmål.
• Behandling: Enhver operation udført på personoplysninger, herunder indsamling, opbevaring, hentning, brug, videregivelse, kombination, sletning eller tilintetgørelse.
• Underdatabehandler: En tredjepart engageret af Databehandleren til at behandle personoplysninger på vegne af den Dataansvarlige.

Denne DPA gælder for al behandling af personoplysninger, som ChetsApp UG udfører på vegne af den Dataansvarlige i forbindelse med EventMann-platformen. Databehandleren skal kun behandle personoplysninger efter dokumenterede instruktioner fra den Dataansvarlige, undtagen hvor behandling kræves af EU-ret eller medlemsstatsret.

Behandlingen dækket af denne DPA omfatter:

• Opbevaring og administration af deltagerregistrerings- og bookingdata
• Behandling af billetkøb og betalingstransaktioner (i samarbejde med Stripe)
• Afsendelse af transaktionelle e-mails på vegne af den Dataansvarlige (bookingbekræftelser, billetlevering, eventopdateringer)
• Generering af rapporter og analyser baseret på deltager- og bookingdata
• Facilitering af check-in-processer via QR-kodevalidering
• Opbevaring og levering af svar på tilpassede betalingsspørgsmål defineret af den Dataansvarlige

Databehandleren skal ikke behandle personoplysninger til andre formål end levering af EventMann-platformtjenester som beskrevet i denne DPA og Arrangøraftalen, medmindre den Dataansvarlige eksplicit instruerer herom, eller det kræves af gældende lov.

Følgende kategorier af personoplysninger behandles under denne DPA:

Deltageridentifikationsdata:

• Fulde navn
• E-mailadresse
• Telefonnummer (hvis angivet eller krævet af den Dataansvarlige)

Booking- og transaktionsdata:

• Bookingreferencenumre
• Billettype og -antal
• Købsdato og -tidspunkt
• Betalingsstatus (bekræftet, afventende, refunderet)
• Delvise betalingsoplysninger (sidste 4 cifre af kort, kortmærke — modtaget fra Stripe)

Tilpassede datafelter:

• Svar på tilpassede betalingsspørgsmål defineret af den Dataansvarlige (f.eks. kostrestriktioner, virksomhedsnavn, tilgængelighedsbehov)

Tekniske data:

• IP-adresse på bookingtidspunktet
• Browser- og enhedsoplysninger
• QR-kode check-in tidsstempler

Særlige kategorier af data: Databehandleren indsamler eller behandler ikke bevidst særlige kategorier af personoplysninger (f.eks. sundhedsdata, biometriske data, religiøs overbevisning). Hvis den Dataansvarlige konfigurerer tilpassede betalingsspørgsmål, der fremkalder sådanne data, er den Dataansvarlige alene ansvarlig for at sikre et passende retsgrundlag og sikkerhedsforanstaltninger.

Personoplysninger behandles udelukkende til følgende formål:

• Kontraktopfyldelse: Behandling af bookinger, udstedelse af billetter, facilitering af betalinger og administration af eventdeltagelse — alt i forbindelse med kontrakten mellem den Dataansvarlige (Arrangør) og den Registrerede (Deltager).
• Kommunikation: Afsendelse af transaktionelle e-mails herunder bookingbekræftelser, billetlevering, eventopdateringer og aflysningsmeddelelser på vegne af den Dataansvarlige.
• Eventadministration: Aktivering af check-in-funktionalitet, administration af deltagerlister, behandling af refusionsanmodninger og facilitering af billetoverførsler som konfigureret af den Dataansvarlige.
• Rapportering: Generering af aggregerede og individuelle rapporter om billetsalg, deltagelse, omsætning og andre målinger til den Dataansvarliges eventadministrationsformål.
• Platformdrift: Opretholdelse af sikkerhed, tilgængelighed og ydeevne af EventMann-platformen, herunder svindelregistrering, misbrugsforebyggelse og teknisk fejlfinding.

Databehandleren skal ikke bruge personoplysninger til egne markedsføringsformål, profilering eller noget formål, der ikke er relateret til levering af EventMann-platformtjenester. Anonymiserede og aggregerede data, der ikke kan knyttes til individuelle Registrerede, kan bruges af Databehandleren til platformforbedring og statistisk analyse.

Den Dataansvarlige autoriserer Databehandleren til at engagere følgende underdatabehandlere til de formål, der er beskrevet i denne DPA:

• Stripe, Inc. — Betalingsbehandling, transaktionsadministration og udbetalingsfacilitering. Stripe behandler betalingskortdata direkte og er uafhængigt PCI-DSS Level 1-certificeret. Stripes databehandlingsvilkår gælder for deres håndtering af betalingsdata. Placering: USA, med EU-databehandlingsmuligheder.
• Hostingudbyder: Infrastrukturhosting og dataopbevaring for EventMann-platformen. Alle primære data hostes i Den Europæiske Union (Tyskland). Hostingudbyderen behandler personoplysninger udelukkende med det formål at levere infrastrukturtjenester og er bundet af en databehandlingsaftale med ChetsApp UG.
• Anthropic, PBC — AI-funktioner (arrangementets assistent, anbefalinger, AI-værktøjer til arrangører), når platformens egen nøgle bruges. Modtager den tekst, der indtastes i AI-funktionen; ingen navne, e-mailadresser eller betalingsdata. Placering: USA.
• Google LLC — reCAPTCHA-spambeskyttelse på offentlige formularer. Modtager IP-adresse og browseroplysninger. Placering: EU / USA.

Databehandleren vil informere den Dataansvarlige, før der tilføjes eller udskiftes nogen underdatabehandler. Den Dataansvarlige kan gøre indsigelse mod en ny underdatabehandler inden for 14 dage efter notifikation. Hvis den Dataansvarlige gør indsigelse, og parterne ikke kan nå en løsning, kan den Dataansvarlige opsige de berørte tjenester.

Databehandleren skal sikre, at alle underdatabehandlere er bundet af databeskyttelsesforpligtelser, der ikke er mindre beskyttende end dem, der er fastsat i denne DPA. Databehandleren forbliver fuldt ansvarlig over for den Dataansvarlige for sine underdatabehandleres handlinger og undladelser.

Databehandleren implementerer følgende tekniske og organisatoriske foranstaltninger til beskyttelse af personoplysninger i overensstemmelse med artikel 32 i GDPR:

Tekniske foranstaltninger:

• Kryptering under transport med TLS 1.3 for al datakommunikation
• Kryptering i hvile for databaser indeholdende personoplysninger
• Sikker adgangskodehashing med bcrypt med passende omkostningsfaktorer
• Rollebaseret adgangskontrol (RBAC) med granulære tilladelser, der begrænser adgang til personoplysninger
• Hastighedsbegrænsning og brute-force-beskyttelse på autentificeringsendpoints
• Automatiseret sårbarhedsscanning og afhængighedsopdateringer
• Regelmæssige sikkerhedsrettelser og systemopdateringer

Organisatoriske foranstaltninger:

• Adgang til personoplysninger er begrænset til autoriseret personale på need-to-know-basis
• Alt personale med adgang til personoplysninger er bundet af fortrolighedsforpligtelser
• Auditlogning af al adgang til og ændring af personoplysninger
• Hændelsesresponsprocedurer for sikkerhedshændelser og databrud
• Regelmæssig gennemgang og test af sikkerhedsforanstaltninger
• Konsekvensanalyser for databeskyttelse for højrisikobehandlingsaktiviteter

Disse foranstaltninger gennemgås og opdateres periodisk for at afspejle ændringer i teknologi, trusler og regulatoriske krav. Den Dataansvarlige kan til enhver tid anmode om oplysninger om specifikke sikkerhedsforanstaltninger.

Databehandleren skal bistå den Dataansvarlige med at opfylde sine forpligtelser til at besvare anmodninger fra Registrerede i henhold til artikel 15-22 i GDPR, herunder:

• Ret til indsigt (art. 15): Databehandleren skal give den Dataansvarlige mulighed for at eksportere deltagerdata i et struktureret, almindeligt anvendt, maskinlæsbart format.
• Ret til berigtigelse (art. 16): Databehandleren skal gøre det muligt for den Dataansvarlige at rette unøjagtige personoplysninger via platformens deltageradministrationsfunktioner.
• Ret til sletning (art. 17): På anmodning fra den Dataansvarlige skal Databehandleren slette personoplysninger for specifikke Registrerede, undtagen hvor opbevaring kræves ved lov (f.eks. finansielle optegnelser under tysk handelsret).
• Ret til begrænsning (art. 18): Databehandleren skal støtte den Dataansvarlige i at begrænse behandling af personoplysninger, hvor den Registrerede bestrider nøjagtigheden eller gør indsigelse mod behandling.
• Ret til dataportabilitet (art. 20): Databehandleren skal levere dataeksportfunktionalitet i CSV- og JSON-formater for at facilitere portabilitet.
• Ret til indsigelse (art. 21): Den Dataansvarlige er ansvarlig for at håndtere indsigelser mod behandling og instruere Databehandleren i overensstemmelse hermed.

Hvis Databehandleren modtager en anmodning direkte fra en Registreret, skal Databehandleren omgående underrette den Dataansvarlige og skal ikke besvare anmodningen direkte, medmindre den Dataansvarlige autoriserer det, eller det kræves ved lov.

I tilfælde af brud på personoplysninger skal Databehandleren underrette den Dataansvarlige uden unødig forsinkelse og under alle omstændigheder inden for 72 timer efter at have fået kendskab til bruddet. Denne tidslinje er i overensstemmelse med den Dataansvarliges forpligtelse til at underrette tilsynsmyndigheden i henhold til artikel 33 i GDPR.

Brudnotifikationen skal omfatte, i det omfang det er tilgængeligt:

• En beskrivelse af bruddets karakter, herunder de kategorier og det omtrentlige antal berørte Registrerede og optegnelser
• Navn og kontaktoplysninger på Databehandlerens databeskyttelseskontaktpunkt
• En beskrivelse af de sandsynlige konsekvenser af bruddet
• En beskrivelse af de foranstaltninger, der er truffet eller foreslået for at afhjælpe bruddet og mindske dets virkninger

Databehandleren skal samarbejde fuldt ud med den Dataansvarlige om at undersøge og afhjælpe bruddet, herunder:

• Levere yderligere oplysninger, efterhånden som de bliver tilgængelige
• Tage øjeblikkelige skridt til at inddæmme bruddet og forhindre yderligere uautoriseret adgang
• Bistå den Dataansvarlige med notifikationer til Registrerede, hvor det kræves i henhold til artikel 34 i GDPR
• Bevare beviser og logfiler relevante for brudundersøgelsen

Databehandleren skal dokumentere alle brud på personoplysninger, herunder omstændigheder, virkninger og afhjælpende foranstaltninger, uanset om notifikation til tilsynsmyndigheden er påkrævet.

Ved opsigelse af Arrangøraftalen eller på den Dataansvarliges skriftlige anmodning skal Databehandleren:

• Returnere data: Give den Dataansvarlige en komplet eksport af alle personoplysninger behandlet på den Dataansvarliges vegne i et struktureret, almindeligt anvendt, maskinlæsbart format (CSV eller JSON).
• Slette data: Slette alle personoplysninger fra Databehandlerens systemer inden for 30 dage efter modtagelse af returneringsanmodningen eller ved opsigelse af aftalen, alt efter hvad der kommer først.
• Bekræfte sletning: Give skriftlig bekræftelse af datasletning på den Dataansvarliges anmodning.

Undtagelser fra sletning: Databehandleren kan opbevare personoplysninger ud over slettefristen, hvor det kræves af gældende lov, herunder:

• Finansielle transaktionsoptegnelser krævet under tysk handelsret (HGB §257) — opbevaret i op til 10 år
• Skatterelevante optegnelser krævet under den tyske skattelov (AO §147) — opbevaret i op til 10 år
• Data påkrævet til etablering, udøvelse eller forsvar af retskrav

Hvor data opbevares under en juridisk forpligtelse, skal de begrænses fra yderligere behandling og beskyttes med passende sikkerhedsforanstaltninger. Databehandleren skal informere den Dataansvarlige om eventuelle juridiske opbevaringsforpligtelser, der forhindrer fuldstændig sletning.

Sikkerhedskopier indeholdende personoplysninger skal overskrives gennem den normale backup-rotationscyklus, som ikke overstiger 90 dage.

Den primære opbevaring og behandling af personoplysninger finder sted inden for Den Europæiske Union (Tyskland).

Nogle underdatabehandlere er etableret uden for EU eller kan tilgå oplysninger fra steder uden for EU. Stripe, Inc. er etableret i USA. Når personoplysninger overføres til et tredjeland, støtter Databehandleren sig på et af følgende grundlag, i denne rækkefølge:

Anthropic, PBC (AI-funktioner) og Google LLC (reCAPTCHA) er også etableret i USA.

En tilstrækkelighedsafgørelse fra Europa-Kommissionen, der omfatter modtagerlandet eller den pågældende ramme, hvor en sådan gælder for den pågældende modtager.

Standardkontraktbestemmelser vedtaget af Europa-Kommissionen (gennemførelsesafgørelse (EU) 2021/914), indgået med modtageren, sammen med en konsekvensanalyse af overførslen og de supplerende tekniske og organisatoriske foranstaltninger, som analysen viser er nødvendige.

Ingen overførsel til et tredjeland finder sted, uden at en af disse garantier er på plads. Databehandleren oplyser efter anmodning den Dataansvarlige om, hvilken mekanisme der anvendes for en given underdatabehandler, og udleverer en kopi af de relevante bestemmelser, kun redigeret i det omfang forretningshemmeligheder kræver det.

Hvis en mekanisme, som Databehandleren støtter sig på, kendes ugyldig eller ophører med at være tilgængelig, underretter Databehandleren uden unødig forsinkelse den Dataansvarlige og indfører enten en alternativ garanti eller suspenderer overførslen.

I overensstemmelse med databeskyttelsesforordningens artikel 28, stk. 3, litra h), stiller Databehandleren alle oplysninger, der er nødvendige for at påvise overholdelsen af de forpligtelser, der er fastsat i denne Databehandleraftale, til rådighed for den Dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den Dataansvarlige eller en revisor, som den Dataansvarlige har bemyndiget.

Sådan fungerer det i praksis. Databehandleren vil først imødekomme en anmodning om revision ved at fremlægge dokumentation: en beskrivelse af sine tekniske og organisatoriske foranstaltninger, sin aktuelle liste over underdatabehandlere, fortegnelser over de kategorier af behandling, der udføres på den Dataansvarliges vegne, samt enhver tredjepartscertificering eller revisionserklæring, som Databehandleren er i besiddelse af. I de fleste tilfælde er dette tilstrækkeligt til at påvise overholdelse.

Inspektioner på stedet og på afstand. Hvor dokumentationen ikke er tilstrækkelig, kan den Dataansvarlige gennemføre eller lade gennemføre en inspektion. Den Dataansvarlige skal give mindst 30 dages skriftligt varsel, begrænse inspektionen til oplysninger, der behandles på dennes vegne, og gennemføre den inden for normal arbejdstid på en måde, der ikke forstyrrer Databehandlerens drift eller fortroligheden af andre dataansvarliges oplysninger. Inspektioner er begrænset til én inden for enhver periode på tolv måneder, medmindre der er sket et brud på persondatasikkerheden, en tilsynsmyndighed kræver det, eller en tidligere inspektion har afdækket mangler, der kræver opfølgning.

Revisorer og fortrolighed. En revisor, som den Dataansvarlige bemyndiger, må ikke være konkurrent til Databehandleren og skal være underlagt fortrolighedsforpligtelser, der ikke er mindre beskyttende end dem i denne Databehandleraftale.

Omkostninger. Hver part bærer sine egne omkostninger. Kræver en inspektion mere end én arbejdsdag af Databehandlerens tid, kan Databehandleren opkræve sine rimelige udgifter, aftalt med den Dataansvarlige på forhånd.

Databehandleren underretter straks den Dataansvarlige, hvis en instruks fra den Dataansvarlige efter Databehandlerens opfattelse er i strid med databeskyttelsesforordningen eller andre EU-retlige eller nationale databeskyttelsesbestemmelser.

Denne Databehandlingsaftale reguleres af og fortolkes i overensstemmelse med bestemmelserne i EU's Generelle Databeskyttelsesforordning (forordning (EU) 2016/679), navnlig artikel 28, som fastsætter kravene til databehandlingsaftaler mellem dataansvarlige og databehandlere.

I det omfang GDPR ikke adresserer et bestemt spørgsmål, reguleres denne DPA af lovgivningen i Forbundsrepublikken Tyskland, herunder den tyske føderale databeskyttelseslov (BDSG). Eventuelle tvister som følge af denne DPA skal være underlagt den eksklusive jurisdiktion af domstolene i München (München), Tyskland.

Hvis en bestemmelse i denne DPA findes ugyldig eller uhåndhævelig, forbliver de resterende bestemmelser i fuld kraft og virkning. Den ugyldige bestemmelse erstattes af en gyldig bestemmelse, der opnår det oprindelige formål så tæt som muligt.

Denne DPA er gældende fra den dato, den Dataansvarlige opretter en arrangørkonto på EventMann, og forbliver i kraft i Arrangøraftalens varighed plus eventuelle gældende dataopbevaringsperioder. Denne DPA kan ændres af Databehandleren med 30 dages forudgående varsel til den Dataansvarlige. Fortsat brug af platformen efter varselsperioden udgør accept af de ændrede vilkår.

ChetsApp UG
Pecserstr 55, 70736 Fellbach, Tyskland