Vamoo · Legal
Data Processing Agreement
Gegenstand, Dauer, Art und Zweck / Subject matter, duration, nature and purpose
Deutsch
Dieser Auftragsverarbeitungsvertrag ist Bestandteil der Veranstalterbedingungen und gilt zwischen dem Veranstalter (Verantwortlicher) und dem im Impressum genannten Betreiber von Vamoo (Auftragsverarbeiter). Ein neuer Veranstalter nimmt ihn mit den Veranstalterbedingungen an. Gegenüber einem Veranstalter, der beim Inkrafttreten dieses Vertrags bereits über Vamoo verkauft, ist Vamoo ab diesem Datum an diesen Vertrag gebunden, als eigene Verpflichtung des Auftragsverarbeiters und unabhängig davon, wann ein Inhaber die Veranstalterbedingungen annimmt. Der Vertrag läuft, solange die Veranstalterbedingungen laufen, und darüber hinaus, bis die Daten nach „Löschung und Rückgabe" gelöscht sind.
Vamoo verarbeitet personenbezogene Daten im Auftrag des Veranstalters, um ihm die Leistungen der Veranstalterbedingungen zu erbringen: Veröffentlichung seiner Veranstaltungen, Bestellvorgang und Bestellungen, Erzeugung von Tickets und Rechnungen in seinem Namen, Zustellung seiner Nachrichten, Wartelisten, Übertragungen, Einlassprüfung, Exporte und Webhooks an seine Systeme. Art der Verarbeitung: Erheben, Speichern, Ordnen, Abfragen, Übermitteln an die vom Veranstalter bestimmten Empfänger und Löschen.
Nicht Gegenstand dieses Vertrags sind die Verarbeitungen, für die Vamoo selbst Verantwortlicher ist (Konten und Anmeldung, Zustellprotokolle, Sicherheits-, Prüf- und Server-Protokolle, Datenschutzanfragen an Vamoo); sie beschreibt die Datenschutzerklärung.
English
This data processing agreement forms part of the Organizer Terms and applies between the organizer (controller) and the operator of Vamoo named in the Imprint (processor). A new organizer accepts it with the Organizer Terms. For an organizer already selling on Vamoo when this agreement takes effect, Vamoo is bound by it from that date, as the processor's own commitment and independent of when an owner accepts the Organizer Terms. The agreement runs as long as the Organizer Terms do, and beyond that until the data has been deleted under "Deletion and return".
Vamoo processes personal data on the organizer's behalf to provide the services of the Organizer Terms: publishing their events, checkout and orders, generating tickets and invoices in their name, delivering their messages, waitlists, transfers, admission checks, exports and webhooks to their systems. Nature of the processing: collection, storage, organisation, retrieval, transmission to recipients the organizer determines, and erasure.
Not covered by this agreement are the processing operations for which Vamoo is itself the controller (accounts and sign-in, delivery logs, security, audit and server logs, data protection requests to Vamoo); the Privacy notice describes them.
Datenarten und Kategorien betroffener Personen / Types of data and categories of data subjects
Deutsch
Betroffene Personen: Käufer, Ticketinhaber und Teilnehmende, Personen auf Wartelisten und eingeladene Personen, das Personal des Veranstalters.
Datenarten: Name, E-Mail-Adresse, Rechnungsanschrift und Firmenangaben, Steuernummern von Käufern, Bestell-, Ticket- und Zahlungsstatus (keine Kartendaten — diese gehen direkt an Stripe), Einlassvorgänge, Zusatzangaben, die der Veranstalter zum Ticket erfragt, Inhalte von Nachrichten an Ticketinhaber. Besondere Kategorien nach Art. 9 DSGVO verarbeitet Vamoo nur, wenn der Veranstalter sie selbst in Zusatzangaben erfragt; dafür ist er verantwortlich.
English
Data subjects: buyers, ticket holders and attendees, people on waitlists and invitees, the organizer's staff.
Types of data: name, email address, billing address and company details, buyers' tax identifiers, order, ticket and payment status (no card data — that goes directly to Stripe), admission events, additional details the organizer asks for per ticket, the content of messages to ticket holders. Vamoo processes special categories under Art. 9 GDPR only where the organizer asks for them in additional details, for which the organizer is responsible.
Weisungen und Vertraulichkeit / Instructions and confidentiality
Deutsch
Vamoo verarbeitet die Daten nur auf dokumentierte Weisung des Veranstalters (Art. 28 Abs. 3 lit. a DSGVO). Die Weisungen sind dieser Vertrag, die Veranstalterbedingungen und die Einstellungen und Aktionen, die der Veranstalter und sein Personal im Dashboard vornehmen; weitere Weisungen erteilt er in Textform. In Drittländer übermittelt Vamoo Daten nur an die unten genannten Unterauftragsverarbeiter, unter den Garantien, die die Datenschutzerklärung nennt. Ist Vamoo gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt Vamoo dies vorher mit, soweit das Gesetz es nicht verbietet. Hält Vamoo eine Weisung für rechtswidrig, weist Vamoo unverzüglich darauf hin.
Die Speicherfristen der Datenschutzerklärung wendet Vamoo für jeden Veranstalter einheitlich an; sie sind Teil der Weisungen.
Zugriff auf die Daten hat bei Vamoo nur der Betreiber; er ist zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Vamoo greift auf die Daten eines Veranstalters nur zu, soweit es für Betrieb, Fehlerbehebung oder Support nötig ist.
English
Vamoo processes the data only on the organizer's documented instructions (Art. 28(3)(a) GDPR). The instructions are this agreement, the Organizer Terms and the settings and actions the organizer and their staff take in the dashboard; further instructions are given in text form. Vamoo transfers data to third countries only to the sub-processors listed below, under the safeguards the Privacy notice names. Where Vamoo is required by law to process otherwise, it says so beforehand unless the law prohibits that. Where Vamoo considers an instruction unlawful, it says so immediately.
Vamoo applies the retention periods of the Privacy notice uniformly for every organizer; they are part of the instructions.
At Vamoo only the operator has access to the data, and is bound to confidentiality (Art. 28(3)(b) GDPR). Vamoo accesses an organizer's data only as far as operation, troubleshooting or support require.
Sicherheit der Verarbeitung / Security of processing
Deutsch
Vamoo trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, insbesondere:
- jede Verbindung ist mit TLS verschlüsselt; die Datenbank liegt bei Convex in Irland, die Server-Funktionen laufen bei Vercel in Frankfurt;
- Zugriff auf die Daten eines Veranstalters erhält nur, wer sich angemeldet hat und Mitglied dieses Veranstalters ist, mit den Rechten seiner Rolle; jede Abfrage prüft das serverseitig;
- Aktionen des Personals an Bestellungen und Tickets werden protokolliert;
- Ticket-Links und Zugangscodes sind zufällig, nur für den einen Zweck gültig und widerrufbar; besonders schutzwürdige Werte werden auf Anwendungsebene verschlüsselt gespeichert;
- Zahlungskartendaten erreichen Vamoo nie;
- Zugangsdaten zu den Diensten sind auf den Betreiber beschränkt und mit Zwei-Faktor-Anmeldung geschützt.
English
Vamoo takes the technical and organisational measures of Art. 32 GDPR, in particular:
- every connection is encrypted with TLS; the database is stored at Convex in Ireland, and the server functions run at Vercel in Frankfurt;
- only a signed-in member of an organizer, with the permissions of their role, can reach that organizer's data; every query checks this on the server;
- staff actions on orders and tickets are logged;
- ticket links and access codes are random, valid for their one purpose only and revocable; particularly sensitive values are stored encrypted at application level;
- payment card data never reaches Vamoo;
- credentials for the services are limited to the operator and protected by two-factor sign-in.
Unterauftragsverarbeiter / Sub-processors
Deutsch
Der Veranstalter genehmigt allgemein (Art. 28 Abs. 2 DSGVO), dass Vamoo die unten aufgeführten Unterauftragsverarbeiter einsetzt. Vamoo hat mit jedem einen Vertrag nach Art. 28 Abs. 4 DSGVO geschlossen. Die Liste nennt je Dienst seine Aufgabe, den Ort der Verarbeitung und die Grundlage einer Übermittlung in Drittländer; jeder verarbeitet die oben genannten Datenarten nur, soweit seine Aufgabe es erfordert. Die übrigen Dienste der Datenschutzerklärung sind keine Unterauftragsverarbeiter, weil sie nur Daten verarbeiten, für die Vamoo selbst Verantwortlicher ist. Auch Stripe ist nicht Unterauftragsverarbeiter von Vamoo: Der Veranstalter nutzt Stripe über sein eigenes, verbundenes Stripe-Konto und schließt mit Stripe selbst ab. Einen neuen oder ersetzten Unterauftragsverarbeiter teilt Vamoo dem Veranstalter mindestens 15 Tage vorher per E-Mail mit; der Veranstalter kann aus berechtigtem datenschutzrechtlichem Grund widersprechen und, wenn keine Lösung gefunden wird, kündigen.
Die Liste wird aus dem Programmcode erzeugt und ist deshalb in englischer Sprache.
English
The organizer gives general authorisation (Art. 28(2) GDPR) for Vamoo to engage the sub-processors listed below. Vamoo has a contract under Art. 28(4) GDPR with each. The list gives each service's task, where it processes the data and the basis of any transfer to a third country; each processes the types of data above only as far as its task requires. The other services in the Privacy notice are not sub-processors, because they process only data for which Vamoo is itself the controller. Nor is Stripe Vamoo's sub-processor: the organizer uses Stripe through their own connected Stripe account and contracts with Stripe themselves. Vamoo announces a new or replaced sub-processor to the organizer at least 15 days in advance by email; the organizer may object on reasonable data protection grounds and, if no solution is found, terminate.
Vercel
Convex
Resend
Unterstützung / Assistance
Deutsch
Der Veranstalter weist Vamoo an, Anfragen betroffener Personen nach Art. 15 bis 22 DSGVO zu seinen Käufern, Ticketinhabern und Teilnehmenden so zu beantworten, wie es die Datenschutzerklärung unter „Ihre Rechte" beschreibt: Käufer und Ticketinhaber rufen ihre Datenauskunft selbst in ihrem Ticketkonto ab; Löschung, Berichtigung und die übrigen Anfragen führt Vamoo auf Anfrage von Hand durch. Die Anfrage und die Korrespondenz dazu sind eigene Unterlagen von Vamoo als Verantwortlicher; als Auftragsverarbeiter handelt Vamoo nur bei der Löschung oder Berichtigung, die es an den Bestelldaten vornimmt. Vamoo informiert den Veranstalter über jede solche Anfrage und ihre Erledigung. Richtet eine betroffene Person ihre Anfrage an den Veranstalter, unterstützt Vamoo ihn bei der Beantwortung. Vamoo unterstützt ihn außerdem bei den Pflichten der Art. 32 bis 36 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten meldet Vamoo dem Veranstalter unverzüglich, spätestens 48 Stunden, nachdem Vamoo davon Kenntnis erlangt hat, mit den Angaben des Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.
English
The organizer instructs Vamoo to answer data subject requests under Art. 15 to 22 GDPR about their buyers, ticket holders and attendees as the Privacy notice describes under "Your rights": buyers and ticket holders fetch their data export themselves in their ticket account; erasure, rectification and the other requests are carried out by Vamoo by hand on request. The request and its correspondence are Vamoo's own records as controller; Vamoo acts as processor only in the erasure or rectification it applies to the order data. Vamoo informs the organizer of each such request and how it was handled. Where a data subject addresses their request to the organizer, Vamoo assists the organizer in answering it. Vamoo also assists with the obligations of Art. 32 to 36 GDPR. Vamoo notifies the organizer of a personal data breach without undue delay and at the latest 48 hours after becoming aware of it, with the information of Art. 33(3) GDPR as far as it is available.
Löschung und Rückgabe / Deletion and return
Deutsch
Nach Ende der Veranstalterbedingungen kann der Veranstalter seine Daten 30 Tage lang exportieren. Danach löscht Vamoo sie, soweit nicht eine gesetzliche Aufbewahrungspflicht entgegensteht (insbesondere für Rechnungen und Zahlungsbelege); solche Daten werden bis zum Ablauf der Frist nur noch für diesen Zweck aufbewahrt und dann gelöscht (Art. 28 Abs. 3 lit. g DSGVO).
English
After the Organizer Terms end, the organizer can export their data for 30 days. Vamoo then deletes it unless a statutory retention duty applies (in particular to invoices and payment records); such data is kept only for that purpose until the period ends, then deleted (Art. 28(3)(g) GDPR).
Nachweise und Audits / Information and audits
Deutsch
Vamoo stellt dem Veranstalter die Informationen zur Verfügung, die zum Nachweis der Pflichten dieses Vertrags nötig sind, und ermöglicht Überprüfungen durch ihn oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer (Art. 28 Abs. 3 lit. h DSGVO). Eine Überprüfung ist mit angemessener Frist anzukündigen und erfolgt vorrangig durch schriftliche Auskunft; jede Partei trägt ihre eigenen Kosten.
English
Vamoo makes available to the organizer the information needed to demonstrate compliance with this agreement and allows audits by them or an auditor they appoint who is bound to confidentiality (Art. 28(3)(h) GDPR). An audit is announced with reasonable notice and is conducted primarily through written information; each party bears its own costs.