Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Version 0.2 · Juli 2026

Dieser Vertrag liegt in deutscher und englischer Sprache vor. Maßgeblich ist die deutsche Fassung. Er ist Bestandteil der AGB zwischen dem Kunden („Verantwortlicher“) und der Sixty One GmbH, Lange-Feld-Str. 77B, 30926 Seelze („Auftragsverarbeiter“) und wird durch Annahme der AGB geschlossen.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit dies zur Bereitstellung der Charterfile-Plattform erforderlich ist. Die Dauer folgt der Laufzeit des Hauptvertrags.

2. Art und Zweck der Verarbeitung

Hosting, Speicherung, Übermittlung und Anzeige der vom Verantwortlichen eingegebenen Daten zum Zweck der Verwaltung seines Chartergeschäfts: CRM, Angebotserstellung, Dokumentenerzeugung, kundenseitige Buchungsseiten, Kommunikation und Reporting.

3. Datenkategorien und betroffene Personen

Betroffene Personen: Kunden und Interessenten des Verantwortlichen, Passagiere, eigene Mitarbeiter des Verantwortlichen sowie Geschäftspartner (Broker/Operatoren).

Datenkategorien: Kontakt- und Identifikationsdaten (Name, E-Mail, Telefon, Firma, Anschrift); Identitäts- und Reisedokumentdaten von Passagieren (Geburtsdatum, Staatsangehörigkeit, Passnummer und Gültigkeit); Buchungs- und Vorgangsdaten (Strecken, Termine, Preise); Kommunikationsinhalte und -metadaten; Einwilligungs- und Abmelde-Nachweise.

Reisedokumentdaten sind in der Praxis sensibel; der Auftragsverarbeiter speichert die in Anlage 1 genannten Felder verschlüsselt (at rest).

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter wird: (a) personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten — die Funktionen der Plattform in der vom Verantwortlichen genutzten Form gelten als solche Weisungen; (b) sicherstellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind; (c) die technischen und organisatorischen Maßnahmen der Anlage 1 umsetzen; (d) den Verantwortlichen nach Möglichkeit bei Betroffenenanfragen (Art. 12–23 DSGVO) und bei den Pflichten aus Art. 32–36 DSGVO unterstützen; (e) den Verantwortlichen unverzüglich über Verletzungen des Schutzes seiner personenbezogenen Daten unterrichten; (f) nach Ende der Leistungserbringung alle personenbezogenen Daten gemäß den AGB (§13.3) löschen oder zurückgeben, soweit keine gesetzliche Aufbewahrungspflicht besteht; (g) die zum Nachweis der Einhaltung erforderlichen Informationen bereitstellen und Prüfungen nach §7 ermöglichen.

5. Weisungen

Einzelweisungen über die Funktionalität der Plattform hinaus bedürfen der Textform. Der Auftragsverarbeiter informiert den Verantwortlichen, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.

6. Unterauftragsverarbeiter

6.1 Der Verantwortliche erteilt die allgemeine Genehmigung für die in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen im Voraus über beabsichtigte Änderungen; der Verantwortliche kann aus berechtigten datenschutzrechtlichen Gründen widersprechen. Kommt keine Einigung zustande, kann jede Partei die betroffenen Leistungen kündigen.

6.2 Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern Datenschutzpflichten auf, die den Pflichten aus diesem Vertrag entsprechen. Bei Unterauftragsverarbeitern außerhalb der EU/des EWR erfolgen Übermittlungen nur mit geeigneten Garantien (Angemessenheitsbeschluss oder Standardvertragsklauseln).

7. Prüfungen

Der Verantwortliche kann die Einhaltung durch Anforderung aussagekräftiger Unterlagen (Zertifizierungen, TOM-Zusammenfassungen, Berichte) überprüfen. Prüfungen vor Ort sind auf einmal jährlich mit angemessener Ankündigung zu Geschäftszeiten beschränkt, sofern nicht ein Vorfall oder eine Aufsichtsbehörde anderes erfordert, und erfolgen auf Kosten des Verantwortlichen.

8. Haftung

Die Haftung richtet sich nach Art. 82 DSGVO und der Haftungsregelung der AGB (§12).

Anlage 1 — Technische und organisatorische Maßnahmen (Zusammenfassung)

Anlage 2 — Genehmigte Unterauftragsverarbeiter

Die Mitteilung beabsichtigter Änderungen nach §6.1 erfolgt per E-Mail an den Kontoinhaber des Verantwortlichen.

Zur Klarstellung: Stripe Payments Europe Ltd. verarbeitet die Abrechnungsdaten des eigenen Abonnements des Kunden; insoweit ist der Auftragsverarbeiter selbst Verantwortlicher (siehe Datenschutzerklärung). Stripe verarbeitet keine Kunden- oder Passagierdaten des Verantwortlichen und ist daher kein Unterauftragsverarbeiter im Sinne dieses Vertrags. Bindet der Verantwortliche eigene Drittkonten an (sein Zahlungsdienstleister, seine Buchhaltungssoftware wie Lexware, seine Social-Media-Konten), handeln diese Anbieter im Auftrag des Verantwortlichen auf Grundlage seiner eigenen Verträge und sind keine Unterauftragsverarbeiter des Auftragsverarbeiters.