Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

Dieser Auftragsverarbeitungsvertrag (im Folgenden „AVV") wird geschlossen zwischen:

Die Parteien werden im Folgenden gemeinsam als „Parteien" oder einzeln als „Partei" bezeichnet. Der Veranstalter ist datenschutzrechtlich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO, Evoria ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.

1. Gegenstand und Dauer der Verarbeitung

Gegenstand des AVV ist die Bereitstellung der Evoria-Plattform und ihrer Module (EventHub, PartyMode, EventDesk, SnapCloud, optionale Zusatzfunktionen) einschließlich der mobilen Applikationen „evoria Service“ und „evoria Tische“ im Auftrag des Veranstalters zur Durchführung seiner jeweiligen Veranstaltung. Dazu gehören auch der Ticketverkauf und die Einlasskontrolle im Namen des Veranstalters einschließlich der mobilen Applikation „evoria Scanner“.

Die Laufzeit beginnt mit der Buchung des ersten Events durch den Veranstalter und endet mit der vollständigen Löschung aller veranstalter-bezogenen Daten. Das umfasst typischerweise:

• die aktive Eventphase (vor, während und nach dem Event),
• eine einheitliche Aufbewahrungsfrist von 90 Tagen nach Ende der Veranstaltung für alle verarbeiteten personenbezogenen Daten — Fotos/Videos, Anmelde-/RSVP-Daten (Name, E-Mail, Status), Gästebuch-Einträge und Einstellungen,
• nach Ablauf dieser Frist die vollständige, automatische Löschung der gesamten Veranstaltung samt aller genannten Daten; ein manuelles Archivieren durch den Veranstalter setzt diese Frist nicht aus.

Abweichend für Lokale mit Tischreservierung (Dauerbetrieb ohne festes Veranstaltungsende): Reservierungsdaten werden 30 Tage nach dem Reservierungstag anonymisiert (Name, E-Mail, Telefon und Notizen einschließlich der internen Notiz des Teams werden entfernt; Datum, Uhrzeit, Tisch, Personenzahl und Status bleiben für die Statistik und die Aufbewahrungspflichten des Veranstalters erhalten, ohne Name und Kontaktdaten. Die Verknüpfung zu einem Gastprofil des Gästestamms bleibt bis zur Löschung des Profils bestehen, und der Nachweis einer WhatsApp- oder SMS-Einwilligung bleibt als nicht umkehrbarer Prüfwert (HMAC) der Telefonnummer bis zu drei Jahre ab Ende des Reservierungsjahres gespeichert). Nie bestätigte Online-Anfragen werden automatisch gelöscht. Für den Gästestamm, die Warteliste und die Kartengarantie gelten die Fristen in Abschnitt 2a. Endet das Abo, gilt ab dem Ende des Lokals die oben genannte Frist von 90 Tagen.

Für Bestellungen und Geräte des Bestell-Teams gilt: Notizen zu Bestellungen und freiwillige Gastnamen werden 7 Tage nach der Bestellung gelöscht bzw. geleert. Die übrigen Bestelldaten und das Ereignisprotokoll werden bei Events 90 Tage nach Ende der Veranstaltung gelöscht, bei Lokalen im Dauerbetrieb rollierend spätestens 30 Tage nach dem jeweiligen Tag. Gerätedaten (Anzeigename, Rolle, Revier) gesperrter oder abgelaufener Geräte werden 90 Tage nach der Sperre bzw. dem Ablauf gelöscht, die Push-Adresse sofort beim Sperren.

Für das Abend-Board in der App „evoria Tische“ gilt: Das Verlaufsprotokoll über Statusänderungen an Reservierungen wird nach 30 Tagen gelöscht. Push-Zustell-Tickets (Token-IDs) werden serverseitig höchstens 24 Stunden vorgehalten. Auf den Endgeräten des Personals werden die Reservierungsdaten beim Entkoppeln, bei Sperre oder Ablauf der Kopplung sowie bei Vergehen des jeweiligen Betriebstags gelöscht und gemeinsam mit der Reservierung anonymisiert. Gerätedaten gesperrter oder abgelaufener Geräte werden 90 Tage danach gelöscht, die Push-Adresse sofort beim Sperren.

Für Ticketbestellungen gilt: Mit der Löschung der Veranstaltung (90 Tage nach ihrem Ende) werden Bestellungen ohne Zahlungseingang (abgebrochen, fehlgeschlagen, Vorkasse abgelaufen oder storniert) gelöscht. Bestellungen mit Zahlungseingang (bezahlt, erstattet) und Vorkasse-Bestellungen, deren Überweisung noch aussteht, bleiben nur als Umsatzangaben ohne Personenbezug erhalten (Beträge, Ticketkategorien, Status, Erstattungssumme, Kennungen von Rabatt-Codes und Promotern); Käufer-E-Mail, Zahlungskennung, Art der Promoter-Zuordnung (Link oder Code), Angaben zu Ticketinhabern und Begleitern sowie Angaben zu Unverträglichkeiten werden entfernt. Bei Bestellungen mit laufender oder gescheiterter Erstattung bleiben Käufer-E-Mail und Zahlungskennung bis zum Abschluss der Erstattung erhalten, damit diese zugeordnet und der Käufer benachrichtigt werden kann, höchstens 180 Tage nach der Löschung der Veranstaltung; danach werden sie ebenso entfernt. Angaben zu Allergien oder Unverträglichkeiten bei Menü-Tickets werden bereits 7 Tage nach der Veranstaltung gelöscht.

Der Veranstalter kann jederzeit die vorzeitige Löschung einzelner Daten oder des gesamten Events verlangen.

2. Art und Zweck der Verarbeitung

Evoria verarbeitet personenbezogene Daten ausschließlich zum Zweck des Betriebs der Event-Plattform und der vom Veranstalter gebuchten Module. Dies umfasst insbesondere:

• Erfassung und Verwaltung von Gast-Anmeldungen (Name, E-Mail, RSVP-Status, Menüwahl, optionale Zusatzangaben),
• Ticketverkauf und Einlass (EventHub): Annahme und Verwaltung von Ticketbestellungen im Namen des Veranstalters (Rabatt-Codes, Promoter-Zuordnung, Zahlstatus über Stripe Connect bzw. Überweisung, Erstattungen), Ausstellung und Versand digitaler Tickets mit Einlass-Code (Ticket-Mail, PDF, Ticketseite, auf Wunsch des Inhabers in Apple Wallet oder Google Wallet), Personalisierung nach den Vorgaben des Veranstalters, Weiterverkauf über die Ticketbörse, Einlösung von Goodies, bei Menü-Tickets die Angabe zu Allergien oder Unverträglichkeiten mit Einwilligung des Käufers (Abschnitt 3) sowie die Einlasskontrolle über die App „evoria Scanner“ bzw. die Scanner-Webseite einschließlich einer Offline-Gästeliste auf den Geräten des Einlasspersonals,
• Empfang, Speicherung und Auslieferung von Foto- und Video-Uploads in der Event-Galerie, bei eingeschalteter Gesichtserkennung einschließlich der Bildung von Personen-Gruppen und der Zuordnung „Das bin ich“, mit der ein Gast die eigene Gruppe sehen kann (Abschnitt 3),
• Versand von Web-Push-Benachrichtigungen an Gäste, die auf der Gästeseite eingewilligt haben (vom Veranstalter geplante oder ausgewählte Hinweise zur Veranstaltung),
• Online- und Telefon-Tischreservierungen für Lokale: Annahme, Tischzuordnung, Bestätigungs-, Änderungs- und Absagemails, Erinnerung am Vortag, Führen der Tagesliste (auch auf einem Tablet des Betriebs über einen geteilten Link oder in der App „evoria Tische“) sowie das Markieren von Ankunft und Nichterscheinen,
• für Lokale, soweit der Veranstalter die jeweilige Funktion einschaltet bzw. das Intelligence-Paket bucht: Führen eines Gästestamms (Gästekartei) mit regelbasierten Auswertungen im Intelligence-Paket, Warteliste, Kartengarantie gegen Nichterscheinen sowie Mitarbeiterkürzel im Änderungsverlauf (Einzelheiten in Abschnitt 2a),
• Benachrichtigungen per WhatsApp und SMS an Reservierungsgäste, die eingewilligt haben (Erinnerung am Vortag, je nach Einstellung Bestätigung nach der Buchung, Mitteilung über Änderung oder Absage durch den Betrieb), einschließlich der Verarbeitung von Abmeldungen und Zustellmeldungen der Versanddienstleister,
• Entgegennahme, Weiterleitung und Anzeige von Speise- und Getränkebestellungen (durch Gäste im Browser und durch das Team in der App „evoria Service“), Zuordnung zu Tisch, Revier, Gerät und Anzeigename, unveränderbares Ereignisprotokoll sowie Versand von Push-Mitteilungen an Geräte des Teams (Apps „evoria Service“ und „evoria Tische“),
• Verarbeitung von Musikwünschen, Gästebuch-Einträgen, Tisch-Plänen, Quiz-Teilnahmen und vergleichbaren Event-Inhalten; je nach Einstellung des Veranstalters zeigt die Gästeseite die neuesten freigegebenen Gästebuch-Einträge und die Quiz-Bestenliste (Spielername, Punkte) auch Besuchern ohne Anmeldung,
• Setzen und Auslesen technisch erforderlicher Cookies (Session-, Voting- und Bestätigungs-Token),
• Versand transaktionaler E-Mails (Bestätigungen, Magic Links, Erinnerungen) im Namen des Veranstalters.

Die Benachrichtigungen per WhatsApp und SMS werden nur versandt, solange der Veranstalter das Reservierungsmodul nutzt, den jeweiligen Kanal aktiviert hat und der Gast eingewilligt hat, und nur über die Kanäle, die dem Gast bei seiner Einwilligung angezeigt wurden. Mit dem Einschalten eines Kanals weist der Veranstalter Evoria an, dafür den in Abschnitt 7 genannten Versanddienstleister einzusetzen. Bei telefonischen oder vor Ort aufgenommenen Reservierungen darf der Betrieb die Einwilligung nur vermerken, wenn der Gast ihr ausdrücklich zugestimmt hat; Evoria zeigt dem Personal dafür einen Vorlesetext (Umfang, Versanddienstleister, Abmeldeweg) an und speichert die Einwilligung als eigene Telefon-Fassung. Für das Vorliegen und den Nachweis dieser Einwilligung (Art. 7 Abs. 1 DSGVO) ist der Veranstalter verantwortlich. Evoria speichert zu jeder Einwilligung Zeitpunkt, Fassung, Kanäle und einen Prüfwert der Telefonnummer; eine weitergehende Dokumentation obliegt dem Veranstalter. Einwilligungen in ältere Fassungen des Einwilligungstexts, die nur die Erinnerung nannten, decken nur die Erinnerung ab; an diese Gäste versendet Evoria nur Erinnerungen. Abmeldungen per „STOP"-Antwort auf WhatsApp (auch „Stopp" oder „Abmelden") oder auf Bitte gegenüber Evoria führt Evoria in einer plattformweiten Sperrliste, damit sie für alle Betriebe gelten; insoweit handelt Evoria als eigener Verantwortlicher. Die Sperre endet, wenn der Gast auf WhatsApp mit „START" antwortet (wirksam ab seiner nächsten Reservierung) oder Evoria um die Aufhebung bittet.

Gegenstand des Vertrages ist die Bereitstellung der SaaS-Plattform einschließlich der mobilen Applikation „evoria Service“. Dies umfasst die mobile Entgegennahme, Anzeige und Weiterleitung von Bestellungen (durch Gäste im Web-Browser sowie Service-Personal über die App), Zuweisung zu Tisch-, Reviers- und Personalkennungen, Bereitstellung eines unveränderbaren Ereignisprotokolls zur operativen Nachvollziehbarkeit sowie die Übermittlung betrieblicher Push-Benachrichtigungen. Verarbeitete Datenarten: Bestelldaten, Tischbezeichnungen, freiwillige Gastnamen, vom Auftraggeber vergebene Service-Anzeigenamen, Rollen, Geräte-Token (SHA-256-Prüfwerte), Push-Adressen und Ereignis-Zeitstempel.

Gegenstand der Verarbeitung ist ergänzend die Bereitstellung des mobilen Abend-Boards über die native Applikation „evoria Tische“ für autorisierte Endgeräte des Kunden. Dies beinhaltet die verschlüsselte Synchronisation von Reservierungsdaten (Gästenamen, Kontaktdaten, Buchungszeiten, Personenzahlen, Tische, Wünsche) für den Betriebstag und bis zu 14 Tage im Voraus auf Endgeräte des Personals, die Zuweisung von Zugriffsrechten nach Rollenstufen sowie die Führung eines 30-tägigen Verlaufsprotokolls über Statusänderungen (gekennzeichnet durch die jeweilige Gerätekennung).

Die betrieblichen Push-Benachrichtigungen gelten gleichermaßen für die Apps „evoria Service“ und „evoria Tische“. Mit dem Koppeln eines Geräts und dem Einschalten der Mitteilungen weist der Veranstalter Evoria an, dafür die in Abschnitt 7 genannten Dienstleister einzusetzen.

Betriebliche Push-Benachrichtigungen erfolgen standardmäßig pseudonymisiert ohne Nennung von Gastnamen. Die Übermittlung von Gastnamen im Klartext über die Unterauftragsverarbeiter Expo, Inc., Google LLC und Apple Inc. erfolgt ausschließlich auf ausdrückliche administrative Aktivierung durch den Kunden im Dashboard und vorbehaltlich der Aktivierung auf dem jeweiligen Endgerät. Push-Zustell-Tickets (Token-IDs) werden serverseitig maximal 24 Stunden vorgehalten.

Rollen bei der Bestell-App: Für Bestelldaten, Gastnamen, das Ereignisprotokoll und die personalisierten Gerätedaten (Anzeigename, Rolle, Revier) ist der Veranstalter allein Verantwortlicher; Evoria verarbeitet sie als Auftragsverarbeiter. Eigener Verantwortlicher ist Evoria nur für flüchtige Server-Verbindungslogs sowie für IP-Adressen zur Abwehr von Angriffen und zum Rate-Limiting (Art. 6 Abs. 1 lit. f DSGVO). Der Veranstalter ist dafür verantwortlich, sein Bestell-Team über die Verarbeitung zu informieren, und vergibt Tischbezeichnungen und Anzeigenamen in eigener Verantwortung; Tischbezeichnungen können in Push-Mitteilungen der App „evoria Service“ erscheinen, der Veranstalter sollte dafür keine Namen von Personen verwenden. Evoria wertet die Daten nicht aus, um die Leistung oder das Verhalten einzelner Teammitglieder zu bewerten.

Rollen beim Abend-Board in der App „evoria Tische“: Für die Reservierungsdaten der Gäste, die personalisierten Gerätedaten (Gerätename, Rolle, Rechtestufe, Einstellungen zu Mitteilungen), das Verlaufsprotokoll und die Weiterleitung von Push-Mitteilungen ist der Veranstalter allein Verantwortlicher; Evoria verarbeitet sie als Auftragsverarbeiter. Eigener Verantwortlicher ist Evoria nur für Server-Zugriffsprotokolle sowie für IP-Adressen zur Abwehr von Angriffen und zum Rate-Limiting (Art. 6 Abs. 1 lit. f DSGVO). Der Veranstalter entscheidet, ob Gastnamen in Mitteilungen erscheinen, und ist dafür verantwortlich, sein Personal über die Verarbeitung zu informieren, die Geräte mit einer Bildschirmsperre zu schützen und Geräte im Gastraum so aufzustellen, dass Gäste Reservierungsdaten nicht einsehen können. Evoria wertet das Verlaufsprotokoll nicht aus, um die Leistung oder das Verhalten einzelner Teammitglieder zu bewerten. Die Push-Mitteilungen der App „evoria Tische“ nennen keine Tischbezeichnungen.

Planung (EventDesk): Aufgabenliste mit Zuständigen und Checklisten, Budget mit Dienstleister-Kontakten und hochgeladenen Belegen, Mitbring-Liste für Gäste und Schichtplan für Helfer, die sich über einen geteilten Link eintragen; dazu eine wöchentliche Übersicht per Mail an den Veranstalter. Hochgeladene Belege sieht nur der Veranstalter; Evoria speichert sie getrennt von öffentlich erreichbaren Dateien.

Eine Verarbeitung zu anderen Zwecken — insbesondere zu eigenen Marketing- oder Profilbildungs-Zwecken von Evoria — findet nicht statt. Die Auswertungen im Gästestamm (Abschnitt 2a) erstellt Evoria ausschließlich im Auftrag und für das jeweilige Lokal des Veranstalters.

2a. Gästestamm und Auswertungen (Lokale mit Tischreservierung)

Gegenstand und Zweck. Schaltet der Veranstalter für ein Lokal den Gästestamm ein, führt Evoria in seinem Auftrag eine Gästekartei dieses Lokals. Zweck ist, Gäste bei künftigen Besuchen wiederzuerkennen, Reservierungen schneller aufzunehmen, Gäste persönlich zu betreuen und Tische passend zu vergeben. Mit dem Intelligence-Paket wertet Evoria den Besuchsverlauf im Auftrag des Veranstalters zusätzlich aus (zum Beispiel bevorzugter Tisch, Besuchsrhythmus, Häufigkeit nicht wahrgenommener Reservierungen, Sitzdauer, Anlässe) und zeigt dem Team daraus Hinweise an. Ein Gastprofil entsteht nur aus Reservierungen, die nach dem Einschalten des Gästestamms und mit dem Hinweis an den Gast gebucht wurden; bestehende Reservierungen werden nicht übernommen. Gäste werden innerhalb des Lokals über Telefonnummer oder E-Mail-Adresse wiedererkannt; ist die Zuordnung nicht eindeutig, schlägt Evoria sie nur vor.

Weisung. Das Einschalten des Gästestamms im Dashboard nach Erklärung und Bestätigung ist eine dokumentierte Weisung im Sinne von Art. 28 Abs. 3 lit. a DSGVO; Evoria speichert dazu Zeitpunkt und Nutzer der Bestätigung. Ebenso gelten das Einschalten der Warteliste, der Kartengarantie und des Mitarbeiterkürzels als Weisung. Die Buchung des Intelligence-Pakets ist die Weisung für die Funktionen, die mit dem Paket standardmäßig eingeschaltet sind: acht reine Hinweise ohne Auswertung einzelner Gäste (große Gruppen, Tagesbriefing, Doppelbuchungen, Küchenwellen, Sitzdauer, Überbuchung, Feiertage, schwache Zeiten). Der Veranstalter kann jede dieser Funktionen einzeln abschalten. Funktionen, die den Besuchsverlauf einzelner Gäste auswerten (Lieblingstisch, Besuchsrhythmus, Telefon-Vorschläge, Nichterscheinen, ausbleibende Stammgäste, Anlässe), sind standardmäßig aus, brauchen den Gästestamm, und ihr Einschalten gilt als Weisung. Schaltet der Veranstalter den Gästestamm aus, löscht Evoria nach einem Angebot zum Export alle Gastprofile und die Sperrliste des Lokals.

Verarbeitet werden zusätzlich zu Abschnitt 3:

• Gastprofil: Name, Telefonnummer, E-Mail-Adresse, vom Veranstalter vergebene Tags (zum Beispiel Kinderstuhl, Stammgast, VIP, Hausverbot mit Datum, Ablaufdatum und sachlichem Anlass), eine interne Notiz des Teams und ein etwaiger Widerspruch,
• Besuchsverlauf: je Besuch Datum, Uhrzeit, Personenzahl, Tisch und Status (einschließlich Nichterscheinen), nie die Notizen der einzelnen Reservierung,
• Ernährungs- und Mobilitätshinweise (zum Beispiel Allergien, Unverträglichkeiten, vegan, vegetarisch, halal, koscher, Rollstuhl) im Profil nur, wenn der Gast selbst ausdrücklich eingewilligt hat, mit Zeitpunkt und Fassung der Einwilligung (Abschnitt 3),
• Auswertungen des Intelligence-Pakets, die aus dem Besuchsverlauf und den Reservierungen des Lokals abgeleitet werden (zum Beispiel Stammtisch, Besuchsrhythmus, Sitzdauer je Gruppengröße und Wochentag, No-Show-Verlauf als Anzahl, Anlässe),
• Sperrliste: Prüfwerte (HMAC mit einem eigenen geheimen Schlüssel je Lokal) der Telefonnummer und E-Mail-Adresse von Gästen, die der Gästekartei widersprochen haben,
• Warteliste: Name, E-Mail-Adresse bzw. Telefonnummer, Personenzahl, Wunschzeit bzw. Zeitfenster, Anmerkung des Gastes, Status sowie Zeitpunkt und Frist eines Angebots,
• Kartengarantie: Kennungen des Zahlungsdienstes Stripe (Kunde, Zahlungsmittel, Einrichtungs- und Zahlungsvorgang), Kartenmarke, letzte vier Ziffern und Ablaufdatum der Karte, Betrag je Person und Höchstbetrag, Absagefrist, Mandatstext und Fassung der Bedingungen des Lokals, Zeitpunkt und gegebenenfalls Kürzel der Markierung als nicht erschienen sowie Status der Zahlung,
• Mitarbeiterkürzel: ein freiwillig eingegebenes Kürzel im Änderungsverlauf der Reservierung.

Zusagen von Evoria. Evoria verarbeitet die Daten des Gästestamms ausschließlich je Lokal und nur im Auftrag des Veranstalters. Evoria verknüpft Gäste nicht zwischen verschiedenen Lokalen oder Kunden, führt keinen lokalübergreifenden Gast, nutzt die Daten nicht für eigene Zwecke, nicht zum Training von Modellen und nicht für Vergleichswerte oder Statistiken über mehrere Kunden. Ein gemeinsamer Gästestamm mehrerer Standorte setzt denselben Rechtsträger voraus. Die Auswertungen sind regelbasiert und nachvollziehbar (Zählen, Mittelwerte), ohne lernende Modelle und ohne Bewertung von Gästen als Zahlenwert. Ernährungs- und Mobilitätshinweise werden nur angezeigt und nie in Auswertungen einbezogen; Bestell- und Umsatzdaten werden nicht mit dem Gastprofil verknüpft. Es werden keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO getroffen: Auswertungen sind Hinweise für das Team, eine Kartengarantie wird nur nach festen Regeln des Veranstalters (Gruppengröße, Wochentag, Uhrzeit, Zeitraum) oder auf Anforderung durch das Personal verlangt, und belastet wird erst, wenn das Personal einen Gast als nicht erschienen markiert und den Betrag bestätigt. Evoria wertet Änderungen nicht je Mitarbeiter aus.

Kartengarantie und Stripe. Für die Kartengarantie setzt der Veranstalter den Zahlungsdienst Stripe (Stripe Payments Europe, Ltd., Dublin) als eigenen, von ihm unmittelbar beauftragten Dienst ein: Die Karte wird auf dem Stripe-Connect-Konto des Lokals hinterlegt und gegebenenfalls dort belastet („Direct Charges“); der Vertrag über die Zahlungsabwicklung besteht zwischen dem Veranstalter und Stripe. Stripe ist insoweit kein Unterauftragsverarbeiter von Evoria. Die Kartendaten verarbeitet ausschließlich Stripe; Evoria übermittelt auf Weisung des Veranstalters nur die für Hinterlegung und Belastung nötigen Angaben (Name und E-Mail-Adresse des Gastes, Betrag, Termin) an das Konto des Lokals bei Stripe und speichert die oben genannten Kennungen. Evoria nimmt kein Geld entgegen und erhebt auf die Kartengarantie keine Gebühr. Für die Bedingungen gegenüber seinen Gästen (Höhe der Pauschale, Absagefrist) und die Entscheidung über eine Belastung ist der Veranstalter verantwortlich.

Interne Notizen und Mitarbeiterkürzel. Interne Notizen an Reservierungen und im Gastprofil sind nur für das Team sichtbar und werden nie in Nachrichten an Gäste übernommen. Evoria weist am Eingabefeld darauf hin, nur sachliche, belegbare Tatsachen mit Datum und keine Angaben zu Gesundheit, Religion, Weltanschauung oder Herkunft einzutragen. Das Mitarbeiterkürzel ist freiwillig; der Veranstalter informiert sein Team und beteiligt einen etwaigen Betriebsrat.

Fristen.

• Gastprofil: 24 Monate nach dem letzten Besuch, vom Veranstalter einstellbar zwischen 6 und 36 Monaten; danach wird das Profil automatisch anonymisiert. Die einzelne Reservierung wird unabhängig davon nach 30 Tagen anonymisiert (Abschnitt 1).
• Hausverbot: höchstens 24 Monate (Vorgabe 12 Monate), bei Ablauf automatisch entfernt, unabhängig von der Frist des Profils. Widerspricht ein Gast mit laufendem Hausverbot, bleibt bis zu dessen Ablauf nur ein Minimal-Datensatz (Name, Telefonnummer und E-Mail-Adresse zur Wiedererkennung, Hausverbot mit Datum, Ablauf und Anlass), weil zwingende Gründe (Hausrecht) überwiegen (Art. 21 Abs. 1 S. 2 DSGVO); alle übrigen Angaben (Besuchsverlauf, übrige Tags, Hinweise, interne Notiz, Auswertungen) löscht Evoria sofort, den Minimal-Datensatz mit Ablauf des Hausverbots. Er erhält keine neuen Besuche oder Daten.
• Ernährungs- und Mobilitätshinweise im Profil: bis zum Widerruf durch den Gast, spätestens mit dem Profil.
• Sperrliste: solange der Veranstalter den Gästestamm nutzt; gelöscht beim Ausschalten des Gästestamms oder bei Vertragsende.
• Warteliste: Löschung im nächtlichen Lauf am Tag nach dem Betriebstag.
• Kartengarantie: Ohne Belastung wird die Karte bei Stripe gelöst und werden die Kennungen gelöscht, spätestens 7 Tage nach dem Termin. Bei einer belasteten Reservierung bleibt ein Belegdatensatz (Reservierungszeitpunkt, Personenzahl, Absagefrist, Zeitpunkt und Kürzel der Markierung als nicht erschienen, Fassung von Bedingungen und Mandat, Kennung der Belastung; ohne Name und Telefonnummer) 180 Tage zur Abwehr von Rückbuchungen gespeichert (Art. 17 Abs. 3 lit. e DSGVO).
• Ende des Intelligence-Pakets: Auswertungen, Regeln der Kartengarantie und hinterlegte Karten werden 30 Tage nach dem Ende gelöscht bzw. bei Stripe gelöst, nachdem der Veranstalter Gelegenheit zum Export hatte; Belegdatensätze belasteter Reservierungen bleiben bis zum Ablauf ihrer Frist. Gästestamm, Tags und Warteliste bleiben bestehen.
• Mitarbeiterkürzel: im Änderungsverlauf nach 30 Tagen; am festgelegten Tisch (Schloss) bis zur Anonymisierung der Reservierung (spätestens 30 Tage nach dem Termin); im Belegdatensatz einer belasteten Kartengarantie 180 Tage, siehe oben.

3. Art der personenbezogenen Daten

• Identifikationsdaten: Name, ggf. Anrede/Begleitperson, E-Mail-Adresse.
• Anmelde- und Veranstaltungsdaten: RSVP-Status, Menüwahl, Allergien, Nachrichten an den Veranstalter, Tisch-Zuordnung.
• Planungsdaten (nur bei Nutzung der Planung in EventDesk): Namen der als zuständig eingetragenen Personen; Namen und Anzahl der Einträge in der Mitbring-Liste; Namen und freiwillig angegebene Telefonnummern von Helfern im Schichtplan; Kontaktdaten von Dienstleistern (Name, Ansprechperson, Telefonnummer, E-Mail-Adresse, Website); vom Veranstalter hochgeladene Angebote, Verträge und Rechnungen (PDF oder Bild), die personenbezogene Daten Dritter enthalten können; Budgetbeträge und Zahlungsstand.
• Ticket- und Einlassdaten: Name und E-Mail-Adresse des Käufers, bestellte Kategorien, Preise, Rabatt- und Promoter-Kennung, Bestell- und Zahlstatus, Erstattungen, Kennungen von Stripe (ohne Kartendaten), Ticketnummer, Einlass-Code, Sitzplatz bzw. Stehtisch; je nach Einstellung des Veranstalters Personalisierungsdaten (Vor- und Nachname, E-Mail-Adresse, bei voller Personalisierung Geburtsdatum und Anschrift) und Namensänderungen; Einlassstatus mit Zeitpunkt und Gerät; Angebote und Käufe in der Ticketbörse; Goodie-Belege und Geräte-Prüfwert; Wallet-Geräte-Kennung und Push-Token; bei Menü-Tickets die Angabe zu Allergien oder Unverträglichkeiten nur mit Einwilligung, mit Zeitpunkt und Fassung der Einwilligung.
• Push-Abo-Daten der Gäste (Web-Push): Push-Adresse (Endpoint) und Schlüssel des Browsers, Browserkennung (User-Agent), Event- und Gast-Kennung.
• Reservierungsdaten: Name, E-Mail-Adresse, Telefonnummer, Personenzahl, Datum und Uhrzeit, Bereichswunsch, freie Notiz des Gastes, interne Notiz des Teams, Tischzuordnung, Ankunfts- und No-Show-Vermerk, Tagesnotizen des Betriebs.
• Gästestamm, Warteliste und Kartengarantie (nur Lokale, nur nach Einschalten durch den Veranstalter): Gastprofil mit Tags und interner Notiz, Besuchsverlauf, Ernährungs- und Mobilitätshinweise mit Einwilligung des Gastes, Auswertungen des Intelligence-Pakets, Prüfwerte der Sperrliste, Wartelisten-Einträge, Kennungen des Zahlungsdienstes Stripe, Mitarbeiterkürzel; Einzelheiten in Abschnitt 2a.
• Benachrichtigungsdaten: Telefonnummer, Zeitpunkt und Fassung der Einwilligung, bewilligte und genutzte Kanäle (WhatsApp/SMS), Nachrichtennummer des Versanddienstleisters sowie der Nachrichteninhalt (Name des Betriebs, Datum, Uhrzeit, Personenzahl, persönlicher Link zur Verwaltung der Reservierung).
• Bestell- und Service-Daten: Bestelldaten (Artikel, Mengen, Optionen, Gang, Platz, Notizen zur Zubereitung), Tischbezeichnungen, freiwillige Gastnamen, vom Veranstalter vergebene Service-Anzeigenamen, Rollen und Reviere des Bestell-Teams, Geräte-Token (nur als SHA-256-Prüfwert), Push-Adressen, Plattform und App-Version der Geräte sowie Ereignis-Zeitstempel im Ereignisprotokoll.
• Daten der App „evoria Tische“: Reservierungsdaten (Gästenamen, Kontaktdaten, Buchungszeiten, Personenzahlen, Tische, Wünsche und Notizen) für den Betriebstag und bis zu 14 Tage im Voraus auf den Endgeräten des Personals, vom Veranstalter vergebene Gerätenamen, Rollen und Rechtestufen, Einstellungen zu Mitteilungen, Geräte-Token (nur als SHA-256-Prüfwert), Push-Adressen, Plattform und App-Version, eine zufällige Installationskennung, Push-Zustell-Tickets (Token-IDs) sowie das Verlaufsprotokoll über Statusänderungen mit Gerätekennung (ohne Gastnamen, Kontaktdaten und Notizen); an Tagen mit einer Sonderveranstaltung ab dem Recht „Nur abhaken“ und nur für heute und morgen die Gästeliste der Veranstaltung (Name, Ticketzahl, Tische, Angabe zu Unverträglichkeiten mit Einwilligung).
• Hochgeladene Inhalte: Fotos, Videos, Gästebuch-Beiträge, Musikwünsche, ggf. Foto-Metadaten (Aufnahmezeitpunkt, Dateigröße).
• Personen, die auf hochgeladenen Bildern abgebildet sind (mittelbar erkennbare Dritte).
• Gesichtsdaten (nur bei eingeschalteter Gesichtserkennung): Gesichts-Vektoren und Position erkannter Gesichter im Foto, Personen-Gruppen mit vom Veranstalter vergebenen Namen, Zuordnungen „Das bin ich“ mit Zeitpunkt und einem je Veranstaltung verschiedenen Prüfwert (SHA-256-Hash) der Gast-Kennung aus dem Cookie sc_guest.
• Technische Daten: Cookie- und Session-Identifier, IP-Adressen in Server-Logs (höchstens 7 Tage, zur Sicherheit), Browser-Informationen.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden grundsätzlich nicht verarbeitet. Ausnahme Gesichtserkennung: Aktiviert der Veranstalter die optionale KI-Gesichtserkennung in SnapCloud, werden hierbei biometrische Daten zur eindeutigen Identifizierung (Art. 9 Abs. 1 DSGVO) verarbeitet. Diese Verarbeitung erfolgt ausschließlich auf Weisung und Verantwortung des Veranstalters. Der Veranstalter ist allein dafür verantwortlich, vor der Aktivierung die ausdrückliche Einwilligung sämtlicher betroffener Gäste nach Art. 9 Abs. 2 lit. a DSGVO einzuholen, zu dokumentieren und nachzuweisen. Der Auftragsverarbeiter trifft keine eigene Entscheidung über diese Verarbeitung und stellt lediglich die technische Funktion bereit. Der Veranstalter stellt den Auftragsverarbeiter von allen Ansprüchen Dritter und Bußgeldern frei, die aus einer Verletzung dieser Pflicht resultieren. Technisch verarbeitet Evoria nur Fotos, deren Absender vor dem Hochladen ausdrücklich eingewilligt hat; ausgewertet werden alle erkennbaren Gesichter auf diesen Fotos. Die Personen-Gruppen sieht der Veranstalter vollständig, dazu je Gruppe, wann ein Gast sie mit „Das bin ich“ als die eigene zugeordnet hat, und kann solche Zuordnungen entfernen. Gäste sehen keine Personen-Gruppen außer der eigenen, und diese nur, nachdem sie auf einem Foto ihr Gesicht mit „Das bin ich“ ausgewählt haben (nur bei eingeschalteter Galerie; ausdrückliche Einwilligung des Gastes nach Art. 9 Abs. 2 lit. a DSGVO, die er durch Lösen der Zuordnung widerrufen kann). Die Zuordnung wird gelöscht, wenn der Gast sie löst, der Veranstalter sie entfernt, das betreffende Foto gelöscht oder die Gesichtserkennung ausgeschaltet oder neu gestartet wird. Schaltet der Veranstalter die Gesichtserkennung aus, löscht Evoria alle Gesichtsdaten, Personen-Gruppen und Zuordnungen des Events sofort, sonst mit der Veranstaltung (Abschnitt 1). Widersprüche und Löschverlangen abgebildeter Personen setzt Evoria auf Weisung des Veranstalters um (Abschnitt 9).

Ausnahme Ernährungs- und Mobilitätshinweise im Gästestamm: Hinweise wie Allergien, Unverträglichkeiten, vegan, vegetarisch, halal, koscher oder Rollstuhl können Rückschlüsse auf Gesundheit, Religion oder Weltanschauung zulassen. Ohne Einwilligung stehen sie nur an der einzelnen Reservierung und werden mit ihr nach 30 Tagen anonymisiert. In das Gastprofil gelangen sie nur, wenn der Gast selbst bei der Buchung das nicht vorausgewählte Kästchen „Auch für künftige Besuche merken“ ankreuzt oder später den Link in seiner Bestätigung nutzt (ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO); Evoria speichert dazu Zeitpunkt und Fassung des Einwilligungstexts. Das Personal trägt solche Merkmale nicht aus eigener Beobachtung in das Profil ein. Der Gast kann die Einwilligung jederzeit per Link oder gegenüber dem Personal widerrufen. Die Hinweise werden nur angezeigt und nicht ausgewertet. Für das Vorliegen und den Nachweis der Einwilligung ist der Veranstalter verantwortlich.

Ausnahme Menü-Tickets: Beim Kauf eines Tickets für eine Sonderveranstaltung mit Menü (zum Beispiel einen Menü-Abend eines Lokals) kann der Käufer freiwillig Allergien oder Unverträglichkeiten angeben. Evoria speichert die Angabe nur, wenn der Käufer dafür ein eigenes, nicht vorausgewähltes Kästchen anhakt (ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO), zusammen mit Zeitpunkt und Fassung der Einwilligung; ohne Häkchen wird nichts gespeichert. Angezeigt wird die Angabe in der Ticketliste im Dashboard und in der Gästeliste der Sonderveranstaltung auf dem Abend-Board (Browser-Link und App „evoria Tische“, dort ab dem Recht „Nur abhaken“ und nur für heute und morgen). In der Ticketbestätigung steht sie nicht. Gelöscht wird sie spätestens 7 Tage nach der Veranstaltung. Für das Vorliegen und den Nachweis der Einwilligung ist der Veranstalter verantwortlich.

Abgesehen von der Gesichtserkennung, den Ernährungs- und Mobilitätshinweisen im Gästestamm, den Angaben zu Allergien oder Unverträglichkeiten bei Menü-Tickets und den im Folgenden beschriebenen Bestellnotizen ist die systematische Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) nicht Vertragsgegenstand. Freitextfelder für Bestellnotizen dienen ausschließlich der Zubereitung. Angaben zu Allergien oder Unverträglichkeiten, die Gäste in der Notiz einer im Browser aufgegebenen Bestellung machen, verarbeitet der Kunde auf Grundlage der ausdrücklichen Einwilligung des Gastes (Art. 9 Abs. 2 lit. a DSGVO), die dieser per Kästchen erteilt: Sobald der Gast etwas in die Notiz schreibt, erscheint am Notizfeld ein nicht vorausgewähltes Kästchen; hakt der Gast es an, speichert Evoria im Auftrag des Kunden Zeitpunkt und Fassung der Einwilligung an der Bestellung, und die Notiz trägt für Küche und Bon einen Einwilligungs-Vermerk. Die Notiz kann auch ohne Häkchen abgeschickt werden: Sie wird dann nur für die Zubereitung dieser Bestellung an Küche und Bon weitergegeben, ohne Einwilligungs-Vermerk (Board und App weisen das Personal dann darauf hin, Gesundheitsangaben direkt beim Gast zu klären, der Bon trägt den Hinweis „ohne Einwilligung“); der Gast wird am Notizfeld gebeten, Gesundheitsangaben dann lieber direkt beim Personal zu machen. Schreibt ein Gast sie dennoch in die Notiz, bleibt der Kunde dafür als Verantwortlicher zuständig. Die Notiz wird in beiden Fällen nach 7 Tagen gelöscht. Der Gast kann die Einwilligung gegenüber dem Personal des Kunden widerrufen; einen eigenen Widerrufsknopf auf der Bestellseite gibt es nicht, der Vermerk verschwindet spätestens mit der Notiz nach 7 Tagen. Für das Vorliegen und den Nachweis der Einwilligung ist der Kunde verantwortlich. Soweit das Personal selbst Hinweise auf Unverträglichkeiten erfasst, die ein Gast mündlich nennt, geschieht dies zum Schutz der Gesundheit. Notizen jeder Art werden, ebenso wie ein vorhandener Einwilligungs-Vermerk, nicht in das unveränderbare Ereignisprotokoll übernommen und serverseitig nach 7 Tagen automatisiert und unwiderruflich gelöscht.

Freitextliche Notizen zu Reservierungen dürfen durch den Kunden ausschließlich für betriebliche Ablaufzwecke erfasst werden. Soweit Gäste freiwillig Angaben zu Lebensmittelunverträglichkeiten machen, werden diese Notizen ausschließlich zur organisatorischen Vorbereitung verarbeitet, nicht in das revisionssichere Ereignisprotokoll übernommen und spätestens 30 Tage nach dem Termin mit der Reservierung anonymisiert.

4. Kategorien betroffener Personen

• Gäste der Veranstaltung (Eingeladene, Anmeldende, Mit-Anwesende),
• Käufer und Inhaber von Tickets (auch Personen, auf die ein Ticket personalisiert wird), Verkäufer und Käufer in der Ticketbörse, Promoter des Veranstalters sowie das Einlasspersonal (App „evoria Scanner“ bzw. Scanner-Webseite),
• Gäste, die auf der Gästeseite Web-Push-Benachrichtigungen einschalten,
• Gäste, die einen Tisch reservieren oder telefonisch bzw. vor Ort eingetragen werden,
• Gäste eines Lokals, die im Gästestamm geführt werden, sich auf die Warteliste setzen oder für eine Reservierung eine Karte hinterlegen,
• vom Veranstalter benannte Mit-Organisator:innen,
• Gäste, die über den Tisch-QR-Code im Browser bestellen (auch mit freiwilligem Gastnamen),
• Mitarbeitende des Betriebs, die die Tagesliste über einen geteilten Link oder die App „evoria Tische“ nutzen (auch ehrenamtlich Tätige und Aushilfen),
• Mitglieder des Bestell-Teams (Kellner, Küche, Theke, Leitung), auch ehrenamtlich Tätige und Aushilfen,
• Helferinnen und Helfer, die sich über den Team-Link in Aufgaben oder Schichten eintragen oder dort als zuständig genannt werden (auch ehrenamtlich Tätige),
• Gäste, die sich in die Mitbring-Liste eintragen,
• Dienstleister des Veranstalters und deren Ansprechpersonen sowie Personen, deren Daten in hochgeladenen Belegen stehen,
• auf Foto-/Video-Uploads erkennbare Dritte.

5. Pflichten des Auftragsverarbeiters

Evoria verpflichtet sich, gemäß Art. 28 Abs. 3 DSGVO:

• personenbezogene Daten ausschließlich auf dokumentierte Weisung des Veranstalters zu verarbeiten — die Buchung und Konfiguration der Module gilt als Weisung; ergänzende Einzelweisungen können per E-Mail an info@evoria.cloud erfolgen,
• alle mit der Datenverarbeitung befassten Personen schriftlich oder elektronisch auf Vertraulichkeit zu verpflichten,
• geeignete technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO umzusetzen (siehe Abschnitt 6),
• den Veranstalter bei der Erfüllung von Anfragen betroffener Personen (Art. 12-23 DSGVO) und bei datenschutzrechtlichen Pflichten (Art. 32-36 DSGVO) im Rahmen seiner Möglichkeiten zu unterstützen,
• personenbezogene Daten nach Beendigung der Verarbeitung entweder zu löschen oder zurückzugeben, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht,
• dem Veranstalter alle erforderlichen Informationen zur Verfügung zu stellen, um die Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten nachweisen zu können.

6. Technisch-organisatorische Maßnahmen (TOM)

Evoria setzt insbesondere folgende Maßnahmen um, um ein dem Risiko angemessenes Schutzniveau sicherzustellen:

• Transportverschlüsselung: sämtlicher Datenverkehr läuft über HTTPS/TLS,
• Passwort-Hashing: Veranstalter-Passwörter werden mit bcrypt gehasht (kein Klartext, kein reversibles Verfahren),
• Gehärtete Uploads: Dateien werden anhand der Magic-Bytes validiert, neu kodiert und EXIF-/Geo-Daten entfernt; nur erwartete Medien-Formate werden akzeptiert,
• Rate-Limiting für Anmeldung, Passwort-Reset und Magic-Link-Versand zum Schutz vor Brute-Force,
• Fail-closed Auth: bei Auth-Fehlern wird grundsätzlich verweigert statt durchgelassen; Sub-App-Calls laufen nur server-seitig mit Internal-Secret,
• Geräte-Kopplung der Apps: Kopplung nur über einen einmaligen, zeitlich begrenzten Code; Geräte-Token und Kopplungscodes werden auf dem Server nur als SHA-256-Prüfwert gespeichert; Ablage des Tokens im Schlüsselspeicher des Geräts; Geräte lassen sich einzeln sperren, die Geräteliste zeigt die letzte Nutzung; das Ereignisprotokoll ist durch die Datenbank gegen nachträgliches Ändern und Löschen einzelner Einträge gesichert,
• Abend-Board in der App „evoria Tische“: Reservierungsdaten werden nur für den Betriebstag und bis zu 14 Tage im Voraus auf das Gerät übertragen; die Zugriffsrechte sind nach Rollenstufen gestaffelt (Geräte mit dem Recht „Nur ansehen“ erhalten weder Telefonnummer noch Notiz, Geräte mit dem Recht „Nur abhaken“ erhalten beides nur für heute und morgen); beim Entkoppeln, bei Sperre und bei Ablauf der Kopplung werden die Daten, das Geräte-Token und die Installationskennung auf dem Gerät gelöscht; die lokale Datenbank der App wird auf iOS vom iCloud- und Finder-Backup ausgeschlossen, Android-Sicherungen sind für die App abgeschaltet; vergangene Betriebstage werden bei jedem Abgleich vom Gerät entfernt,
• Gästestamm und Kartengarantie: Gastprofile, Auswertungen und Sperrliste sind je Lokal getrennt; die Sperrliste enthält nur Prüfwerte (HMAC mit eigenem geheimen Schlüssel je Lokal) normalisierter Telefonnummern und E-Mail-Adressen; Kartendaten erreichen Evoria nicht, sie werden direkt im Bezahlfeld von Stripe erfasst; an Stripe gehen in Metadaten keine Namen, Telefonnummern oder E-Mail-Adressen,
• Backups: verschlüsselte Sicherungen der Datenbank und der hochgeladenen Dateien, regelmäßige Restore-Tests,
• Update-Disziplin: kontrollierter Server-Update-Prozess mit Maintenance-Overlay und Versionierung,
• Hosting: die produktiven Daten liegen bei IONOS im Rechenzentrum Hochrhein, Deutschland; Zugriffe sind auf den Anbieter und vom Anbieter benannte Administratoren beschränkt. Verschlüsselte Sicherungen der Datenbank und der hochgeladenen Dateien (z. B. Gästefotos und -videos) werden zusätzlich bei Scaleway in Paris, Frankreich, abgelegt (siehe Abschnitt 7). Bis zum Abschluss des Anbieterwechsels und für ältere Sicherungen, die danach automatisch gelöscht werden, liegen verschlüsselte Sicherungen außerdem bei Cloudflare R2 (EU-Region, siehe Abschnitte 7 und 8).
• Verschlüsselung der Sicherungen: Datenbank- und Datei-Sicherungen werden vor dem Upload vollständig verschlüsselt; der Speicheranbieter erhält ausschließlich verschlüsselte Daten. Sicherungskopien werden automatisch gelöscht; gelöschte Daten sind spätestens 100 Tage nach ihrer Löschung auch aus allen Sicherungen entfernt.

Eine detaillierte TOM-Dokumentation wird dem Veranstalter auf Anfrage als gesondertes Dokument zur Verfügung gestellt.

7. Unterauftragsverarbeiter

Der Veranstalter stimmt der Einbindung folgender Unterauftragsverarbeiter zu:

• IONOS SE (Elgendorfer Str. 57, 56410 Montabaur, DE) — Hosting, Datenbank, Storage und SMTP-Versand.
• Stripe Payments Europe, Ltd. (Dublin, IE) — Zahlungsabwicklung der Modul-Buchungen sowie des bezahlten Ticket-Verkaufs der Veranstalter (Stripe Connect, „Direct Charges"). Soweit Stripe die eigentliche Zahlungsabwicklung als eigenständiger Verantwortlicher erbringt, ist dies in der Datenschutzerklärung (Abschnitt „Zahlungsabwicklung") gesondert beschrieben; im Übrigen erfolgt die Verarbeitung auf Grundlage DSGVO-konformer Garantien (EU-Standardvertragsklauseln bei Drittlandtransfer). Für die Kartengarantie bei Tischreservierungen ist Stripe kein Unterauftragsverarbeiter von Evoria, sondern ein vom Veranstalter unmittelbar beauftragter Zahlungsdienst (Abschnitt 2a).
• Scaleway SAS (8 rue de la Ville l'Evêque, 75008 Paris, FR) — Speicherung der verschlüsselten Sicherungen der Datenbank und der hochgeladenen Dateien, einschließlich Gästefotos und -videos (Objektspeicher, Rechenzentren in Paris). Die Sicherungen werden bereits vor der Übertragung vollständig verschlüsselt; den Schlüssel hat ausschließlich Evoria, Scaleway erhält nur verschlüsselte Daten ohne Zugriff auf die Inhalte.
• Cloudflare, Inc. (San Francisco, USA; EU-Vertretung Cloudflare Germany GmbH, München) — Bot- und Spam-Schutz („Turnstile"). Bis zum Abschluss des Wechsels zu Scaleway und für ältere Sicherungen, die danach automatisch gelöscht werden, außerdem Speicherung verschlüsselter Sicherungen (Objektspeicher „R2", EU-Region); auch hier erhält Cloudflare nur verschlüsselte Daten ohne Zugriff auf die Inhalte.
• Meta Platforms Ireland Limited (Merrion Road, Dublin 4, IE) — Versand von Reservierungs-Benachrichtigungen über die WhatsApp-Business-Plattform (Cloud API), nur an Gäste mit Einwilligung. Meta kann verbundene Unternehmen, darunter die Meta Platforms, Inc. (USA), als weitere Unterauftragsverarbeiter einsetzen (siehe Abschnitt 8).
• seven communications GmbH & Co. KG (Willestraße 4–6, 24103 Kiel, DE) — Versand von Reservierungs-Benachrichtigungen per SMS an deutsche Mobilfunknummern, nur an Gäste mit Einwilligung, sowie Empfang von Zustellmeldungen.
• Spotify AB (Stockholm, SE) — Wiedergabe von Musikwünschen über das Spotify-Web-Playback-SDK, wenn der DJ-/PartyMode aktiviert ist.
• 650 Industries, Inc. (Expo) (USA) — Zustellung der Push-Mitteilungen der Apps „evoria Service“ und „evoria Tische“ (Expo Push Service). Expo erhält die Push-Adresse des Geräts sowie Titel, Text und technische Zusatzangaben der Mitteilung (je nach Anlass Tischbezeichnung, Artikel mit Menge, Bestellnummer, Stationsname bzw. Hinweis auf eine Reservierung, bei „evoria Tische“ Personenzahl, Datum, Uhrzeit, Bereich und eine technische Kennung) und reicht sie an Apple bzw. Google weiter. Mitteilungen der App „evoria Service“ enthalten weder Gastnamen noch Bestellnotizen. Mitteilungen der App „evoria Tische“ enthalten standardmäßig ebenfalls keine Gastnamen; Gastnamen im Klartext werden nur auf ausdrückliche administrative Aktivierung durch den Kunden im Dashboard und vorbehaltlich der Aktivierung auf dem jeweiligen Endgerät übermittelt (Abschnitt 2). Push-Zustell-Tickets (Token-IDs) werden serverseitig höchstens 24 Stunden vorgehalten.
• Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, IE; Muttergesellschaft Google LLC, USA) — Firebase Cloud Messaging für die Zustellung von Push-Mitteilungen an Android-Geräte. Evoria nutzt dafür ein eigenes Firebase-Projekt ausschließlich für die Zustellung; Google Analytics und andere Firebase-Dienste sind deaktiviert bzw. nicht eingebunden.
• Apple Inc. (One Apple Park Way, Cupertino, CA 95014, USA) — Apple Push Notification Service (APNs) für die Zustellung an iPhone und iPad. Apple wird als Übermittlungsdienstleister tätig, also als technischer Zustellweg des Geräteherstellers zwischen Expo und dem Gerät, und hier aus Gründen der Transparenz mit aufgeführt.
• Push-Dienste der Browserhersteller (zum Beispiel Google bei Chrome, Mozilla bei Firefox, Microsoft bei Edge, Apple bei Safari) — Zustellung der Web-Push-Benachrichtigungen an Gäste, die sie auf der Gästeseite eingeschaltet haben. Welcher Dienst zustellt, bestimmt der Browser des Gastes. Die Dienste werden als technischer Zustellweg tätig und sind keine Unterauftragsverarbeiter von Evoria; sie sind hier aus Gründen der Transparenz aufgeführt. Der Inhalt der Benachrichtigung ist Ende-zu-Ende verschlüsselt; der Push-Dienst erhält nur die Push-Adresse, die verschlüsselte Nachricht und technische Angaben zur Zustellung.

Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO bzw. den jeweils anwendbaren Standardvertragsklauseln. Über einen Wechsel oder die Hinzunahme eines weiteren Unterauftragsverarbeiters informiert Evoria mit einer Frist von 30 Tagen vorab per E-Mail. Der Veranstalter kann innerhalb dieser Frist Einspruch erheben; lässt sich der Einspruch nicht ausräumen, steht ihm ein Sonderkündigungsrecht zu.

8. Drittlandübermittlung

Die Kern-Verarbeitung (Hosting, Datenbank, Storage, E-Mail-Versand) findet in Deutschland (IONOS Hochrhein) statt, die verschlüsselten Sicherungen liegen in Frankreich (Scaleway, Paris). Eine Übermittlung in Drittländer beschränkt sich auf die nachfolgend genannten Dienste.

Stripe arbeitet im europäischen Raum mit Stripe Payments Europe, Ltd. (Irland); sofern Daten an die US-Muttergesellschaft Stripe, Inc. übermittelt werden, geschieht das auf Grundlage der EU-Standardvertragsklauseln (Module 2/3, Beschluss 2021/914) sowie ergänzender Maßnahmen.

Cloudflare, Inc. (USA) wird für den Bot-Schutz (Turnstile) eingesetzt sowie, bis zum Abschluss des Wechsels zu Scaleway und für ältere, danach automatisch gelöschte Sicherungen, als Objektspeicher (R2, EU-Region). Die Sicherungen sind vor der Übertragung vollständig verschlüsselt; den Schlüssel hat ausschließlich Evoria, sodass Cloudflare nur verschlüsselte Daten erhält. Für etwaige Übermittlungen stützt sich Evoria auf das EU-US Data Privacy Framework, unter dem Cloudflare zertifiziert ist, und ergänzend auf die EU-Standardvertragsklauseln (Beschluss 2021/914).

Die Zustellung der Push-Mitteilungen der Apps „evoria Service“ und „evoria Tische“ läuft über Expo (650 Industries, Inc., USA). Die Übermittlung dorthin stützt sich auf das EU-U.S. Data Privacy Framework und ergänzend auf die EU-Standardvertragsklauseln (Modul 3, Beschluss 2021/914). Bei Android-Geräten erfolgt die Zustellung über Google Firebase Cloud Messaging (Google Ireland Limited bzw. Google LLC, USA); die Übermittlung stützt sich auf das EU-U.S. Data Privacy Framework, unter dem Google zertifiziert ist, und die Firebase-Datenverarbeitungsbedingungen (Firebase Data Processing Terms). Auf iPhone und iPad übermittelt Expo die Mitteilung an Apple Inc. (USA, Apple Push Notification Service), die ebenfalls unter dem EU-U.S. Data Privacy Framework zertifiziert ist.

Für WhatsApp-Benachrichtigungen ist die Meta Platforms Ireland Limited Vertragspartner. Soweit dabei Daten an die Meta Platforms, Inc. (USA) übermittelt werden, stützt sich dies auf das EU-US Data Privacy Framework bzw. die EU-Standardvertragsklauseln. Der SMS-Versand erfolgt über die seven communications GmbH & Co. KG in Deutschland.

Web-Push-Benachrichtigungen an Gäste stellt der Push-Dienst des vom Gast genutzten Browsers zu, etwa Google LLC, Mozilla Corporation, Microsoft Corporation oder Apple Inc. (jeweils USA). Übermittelt werden nur die Push-Adresse und die verschlüsselte Nachricht; den Inhalt kann der Push-Dienst nicht lesen. Google, Microsoft und Apple sind unter dem EU-U.S. Data Privacy Framework zertifiziert.

9. Rechte betroffener Personen

Wendet sich eine betroffene Person mit einem Antrag nach Art. 12-23 DSGVO direkt an Evoria, leitet Evoria den Antrag unverzüglich an den Veranstalter weiter und unterstützt ihn bei der Bearbeitung. Eigene Auskünfte erteilt Evoria nur, soweit dies gesetzlich vorgeschrieben oder vom Veranstalter ausdrücklich angewiesen ist.

Einträge im Ereignisprotokoll der Bestell-App können nicht einzeln geändert oder gelöscht werden. Löschungen sind nur für das gesamte Protokoll nach Ablauf der Aufbewahrungsfrist (Abschnitt 12) möglich; Anträge auf Berichtigung oder Löschung Einzelner setzt Evoria auf Weisung des Veranstalters in diesem Rahmen um.

Für den Gästestamm stellt Evoria dem Veranstalter einen Export je Lokal (CSV/JSON), Auskunft und Löschung je Gast sowie für die Gäste einen Widerspruchslink („Nicht als Stammgast merken“) bereit. Nach einem Widerspruch löscht Evoria das Profil und nimmt Telefonnummer und E-Mail-Adresse als Prüfwert in die Sperrliste des Lokals auf, damit kein neues Profil entsteht. Ein ausgesprochenes Hausverbot bewahrt Evoria auch nach einem Widerspruch bis zu seinem Ablauf auf (höchstens 24 Monate, als Minimal-Datensatz nach Abschnitt 2a), weil zwingende Gründe (Hausrecht) überwiegen (Art. 21 Abs. 1 S. 2 DSGVO); alle übrigen Angaben löscht Evoria. Die Bestätigung an den Gast verrät nicht, ob ein Hausverbot besteht.

10. Meldung von Datenschutzverletzungen

Evoria meldet dem Veranstalter eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten (Art. 33 DSGVO) unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme. Die Meldung enthält:

• eine Beschreibung der Art der Verletzung,
• die betroffenen Kategorien und Anzahl der Personen/Datensätze,
• die wahrscheinlichen Folgen und
• die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen.

Die Meldung an die zuständige Aufsichtsbehörde obliegt dem Veranstalter; Evoria unterstützt nach Kräften.

11. Audit-Recht

Der Veranstalter ist berechtigt, die Einhaltung dieses AVV durch Evoria zu überprüfen. Vorrangig stellt Evoria dazu schriftliche Auditberichte (z. B. dokumentierte TOM, Logs, Sicherheits-Konzept) bereit. Reicht das nicht aus, kann der Veranstalter — mit einer angemessenen Vorlauffrist von 14 Tagen, während der üblichen Geschäftszeiten und ohne Beeinträchtigung des laufenden Betriebs — vor Ort prüfen oder einen unabhängigen Dritten beauftragen. Kosten eigener Audits trägt der Veranstalter; entstehen Evoria durch Audits unangemessene Aufwendungen, können diese in Rechnung gestellt werden.

12. Löschung und Rückgabe nach Vertragsende

• Die gesamte Veranstaltung mit allen personenbezogenen Daten — Fotos/Videos, Anmelde-/RSVP-Daten, Gästebuch-Einträge und Einstellungen — wird spätestens 90 Tage nach Ende der Veranstaltung automatisch und unwiderruflich gelöscht. In den verschlüsselten Sicherungskopien sind die Daten danach nur noch zur Wiederherstellung nach einem Ausfall vorhanden und werden spätestens 100 Tage nach der Löschung ebenfalls entfernt. Von Ticketbestellungen mit Zahlungseingang bleiben nur Umsatzangaben ohne Personenbezug, bei laufender Erstattung erst nach deren Abschluss, höchstens 180 Tage später (Abschnitt 1). Bleiben bei der Löschung Daten in einem Modul zurück, entfernt ein täglicher Abgleich die Daten der Module SnapCloud, PartyMode und EventDesk zu nicht mehr bestehenden Veranstaltungen, in der Regel am Folgetag. Planungsdaten einschließlich hochgeladener Dateien löscht Evoria mit der Veranstaltung; Sicherungskopien laufen mit der üblichen Frist der Datensicherung ab.
• Web-Push-Abos der Gäste werden gelöscht, sobald der Push-Dienst sie als ungültig meldet, spätestens mit der Veranstaltung. Gesichtsdaten, Personen-Gruppen und Zuordnungen „Das bin ich“ werden beim Ausschalten der Gesichtserkennung sofort gelöscht, spätestens mit der Veranstaltung.
• Bei Tischreservierungen werden Name, E-Mail-Adresse, Telefonnummer und Notiz 30 Tage nach dem Reservierungstermin entfernt. Der Nachweis der Einwilligung in WhatsApp-/SMS-Benachrichtigungen (Zeitpunkt, Fassung und Kanäle) bleibt bei den anonymisierten Reservierungsdaten; der mit geheimem Schlüssel gebildete Prüfwert der Telefonnummer wird drei Jahre nach Ende des Reservierungsjahres gelöscht; Einträge der Sperrliste bleiben bestehen, bis der Gast ihre Entfernung verlangt; nach einer Aufhebung per „START" werden sie 30 Tage später gelöscht.
• Bei der Bestell-App werden Notizen zu Bestellungen und Gastnamen 7 Tage nach der Bestellung gelöscht bzw. geleert, Gerätedaten gesperrter oder abgelaufener Geräte 90 Tage nach der Sperre bzw. dem Ablauf, die Push-Adresse eines Geräts sofort beim Sperren. Bestellungen und Ereignisprotokoll folgen der Frist der Veranstaltung (Abschnitt 1).
• Beim Abend-Board in der App „evoria Tische“ wird das Verlaufsprotokoll nach 30 Tagen gelöscht, Push-Zustell-Tickets (Token-IDs) höchstens 24 Stunden nach dem Versand, Quittungen gegen doppelte Aktionen nach 48 Stunden; Reservierungsnotizen werden spätestens 30 Tage nach dem Termin mit der Reservierung anonymisiert (Abschnitt 3).
• Beim Gästestamm, bei der Warteliste und bei der Kartengarantie gelten die Fristen aus Abschnitt 2a. Schaltet der Veranstalter den Gästestamm aus, löscht Evoria nach einem Angebot zum Export die Gastprofile und die Sperrliste des Lokals; bei Vertragsende werden sie spätestens mit dem Lokal gelöscht (Abschnitt 1).
• Ein manuelles Archivieren durch den Veranstalter blendet das Event nur aus und setzt diese Frist nicht aus — auch archivierte Events werden spätestens nach 90 Tagen gelöscht.
• Vorzeitige Löschung einzelner oder sämtlicher Daten kann der Veranstalter jederzeit per E-Mail oder über die Event-Verwaltung verlangen.
• Backups werden automatisch gelöscht; gelöschte Daten sind spätestens 100 Tage nach ihrer Löschung auch aus allen Sicherungen entfernt. Jede Sicherungskopie ist 90 Tage (Fotos und Videos 95 Tage) gegen Löschen und Überschreiben gesperrt (Schutz vor Manipulation und Verschlüsselungstrojanern). Sicherungen werden ausschließlich zur Wiederherstellung nach einem Ausfall verwendet.

13. Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO sowie den ergänzenden Regelungen des deutschen Rechts. Im Innenverhältnis haftet jede Partei für Schäden, die durch ihre eigene Pflichtverletzung verursacht wurden; bei gemeinsamer Verantwortlichkeit erfolgt der interne Ausgleich nach Maßgabe der jeweiligen Verursachungsbeiträge. Im Übrigen gelten die Haftungsregelungen der allgemeinen Nutzungsbedingungen von Evoria.

14. Schlussbestimmungen

Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle der unwirksamen Regelung tritt diejenige gesetzlich zulässige Regelung, die dem wirtschaftlichen Zweck am nächsten kommt.

Ergänzend zu diesem AVV gilt unsere Datenschutzerklärung, in der die Verarbeitung im Detail beschrieben ist.