Auftragsverarbeitungsvertrag (AVV)

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO zwischen dem Nutzer als Verantwortlichem und der TM Merch GmbH, Karl-Heinrich-Str. 8, 37235 Hessisch Lichtenau, als Auftragsverarbeiter.

1. Gegenstand und Dauer

Gegenstand ist der Betrieb der Plattform MuckerBooker, soweit dabei personenbezogene Daten verarbeitet werden, die der Nutzer als Verantwortlicher einstellt (z. B. Kontaktdaten Dritter in Gesuchen, Nachrichten oder hochgeladenen Dokumenten). Die Dauer entspricht der Kontolaufzeit.

2. Art und Zweck der Verarbeitung, Datenkategorien, betroffene Personen

Verarbeitet wird durch Speichern, Anzeigen und Übermitteln der vom Nutzer eingestellten Inhalte zum Zweck der Vermittlung von Live-Musik-Engagements. Arten personenbezogener Daten: Identitäts- und Kontaktdaten, Profil- und Teamdaten, Buchungs-, Bewerbungs- und Kommunikationsdaten, Verfügbarkeitsdaten, Medien und Dokumente einschließlich Tech-Ridern sowie Rechnungs- und Vertragsdaten — jeweils soweit der Nutzer sie als Verantwortlicher einstellt. Kategorien betroffener Personen: Teammitglieder des Nutzers, Buchungspartner, Bewerber, eingeladene Personen sowie sonstige Dritte, deren Daten der Nutzer in Nachrichten, Gesuchen oder Dokumenten einstellt.

Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung zuständig; ihm stehen die in diesem AVV geregelten Weisungs-, Auskunfts-, Kontroll- sowie Lösch- und Rückgabewahlrechte zu.

3. Unterauftragsverarbeiter

Der Nutzer erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz der folgenden Unterauftragsverarbeiter. Über beabsichtigte Änderungen informieren wir in Textform; der Nutzer kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen.

Supabase, Inc. (USA) — Datenbank, Authentifizierung, Datei-Speicher; Verarbeitung in der Region Frankfurt am Main, Deutschland.
Hostinger International Ltd. (Larnaca, Zypern) — Web-Hosting; Server im Rechenzentrum Frankfurt am Main, Deutschland.
Plus Five Five, Inc. („Resend“, San Francisco, USA) — Versand von System-, Konto- und Benachrichtigungs-E-Mails, einschließlich der über Supabase Auth per Resend-SMTP versandten Registrierungs-Bestätigungen und Passwort-Zurücksetzungen; Verarbeitung in den USA auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO), ergänzend EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Stripe Payments Europe, Ltd. (Dublin, Irland) — Abwicklung von Anzahlungen, nur bei Nutzung der Zahlungsfunktion und nur insoweit, wie Stripe personenbezogene Daten in unserem Auftrag verarbeitet; mögliche Übermittlung an Stripe, Inc. (USA) auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO), ergänzend EU-Standardvertragsklauseln. Soweit Stripe Zwecke und Mittel der Verarbeitung selbst bestimmt (etwa zur Betrugsprävention oder zur Erfüllung eigener gesetzlicher Pflichten), handelt Stripe als eigener Verantwortlicher; diese Verarbeitung ist nicht Gegenstand dieses AVV (siehe Datenschutzerklärung).
Anthropic Ireland, Limited (Dublin, Irland) — KI-Analyse von Tech-Ridern, nur wenn der Nutzer sie selbst startet; mögliche Übermittlung an Anthropic, PBC (USA) auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO), ergänzend die im Anthropic Data Processing Addendum enthaltenen EU-Standardvertragsklauseln.

Dem weiteren Auftragsverarbeiter werden vertraglich dieselben Datenschutzpflichten auferlegt wie in diesem AVV. Erfüllt dieser seine Pflichten nicht, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen vollständig für deren Einhaltung (Art. 28 Abs. 4 DSGVO). Übermittlungen in Drittländer erfolgen nur mit den Garantien nach Kapitel V DSGVO (Art. 44 ff. DSGVO).

4. Pflichten des Auftragsverarbeiters

Weisungsbindung: Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich der Übermittlung in Drittländer. Besteht eine Verarbeitungspflicht nach Unions- oder Mitgliedstaatsrecht, informieren wir den Verantwortlichen vorab über diese Pflicht, sofern das betreffende Recht eine Information nicht wegen eines wichtigen öffentlichen Interesses verbietet. Halten wir eine Weisung für datenschutzrechtswidrig, informieren wir den Verantwortlichen unverzüglich.
Vertraulichkeit: Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.
Sicherheit der Verarbeitung: Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO; die konkret eingesetzten Maßnahmen sind in Abschnitt 5 (Anlage TOM) beschrieben und Bestandteil dieses AVV. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.
Unterstützung: Wir unterstützen den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Betroffenenanträgen (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Datenschutz-Folgenabschätzung, vorherige Konsultation).
Meldung von Datenschutzverletzungen: Eine uns bekannt gewordene Verletzung des Schutzes personenbezogener Daten melden wir dem Verantwortlichen unverzüglich und stellen fortlaufend alle verfügbaren Informationen zu Art, Umfang, Folgen und Abhilfemaßnahmen bereit (Art. 33 Abs. 2 DSGVO).
Löschung oder Rückgabe: Nach Abschluss der Verarbeitungsleistungen löschen wir nach Wahl des Verantwortlichen alle personenbezogenen Daten oder geben sie zurück und löschen vorhandene Kopien, sofern nicht Unions- oder Mitgliedstaatsrecht eine weitere Speicherung verlangt.
Nachweis und Kontrollen: Wir stellen dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung und ermöglichen Überprüfungen — einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer — und tragen zu diesen bei.

5. Technische und organisatorische Maßnahmen (Anlage TOM)

Transportverschlüsselung (TLS/HTTPS) für sämtliche Verbindungen; Verschlüsselung gespeicherter Daten bei den eingesetzten Infrastruktur-Anbietern.
Zugriffskontrolle auf Datensatzebene (Row Level Security) und spaltengenaue Datenbank-Berechtigungen; serverseitige Autorisierung ausschließlich aus der Datenbank.
Rollenbasierte Administrations-Zugriffe mit Protokollierung administrativer Maßnahmen in einem Audit-Log.
Missbrauchsschutz durch Rate-Limiting mit pseudonymisierten, automatisch verfallenden Zählern; Security-Header und Content-Security-Policy ohne Fremd-Requests.
Betrieb von Anwendung und Datenbank in Rechenzentren in Frankfurt am Main; regelmäßige Datensicherungen mit Wiederherstellungs-Proben.
Datenminimierung und automatische Löschfristen (z. B. Einladungen, bearbeitete Meldungen, Missbrauchs-Zähler); Löschkonzept über die Konto-Löschfunktion.

6. Abschluss

Dieser AVV wird durch seine Einbeziehung in die Nutzungsbedingungen mit der Registrierung elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Maßgeblich ist die auf dieser Seite veröffentlichte, versionierte Fassung; sie ist dauerhaft abrufbar. Eine unterschriebene Fassung stellen wir auf Anfrage an info@tm-merch.de bereit.

Stand: 15.09.2026 · Version 2026-08-07