Vereinbarung nach Art. 28 DSGVO zur Verarbeitung personenbezogener Daten im Auftrag. Stand Oktober 2026.
Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch Christopher Rohde, Hans-Löscher-Str. 21, 39108 Magdeburg, E-Mail hello@luxstage.app („Auftragsverarbeiter“) im Auftrag des Kunden („Verantwortlicher“) bei Nutzung von LuxStage nach Art. 28 DSGVO.
Sie wird mit der Anlage eines Teams durch den Inhaber im Namen des Kunden wirksam, ersetzt in diesem Moment die Textform nach Art. 28 Abs. 9 DSGVO und gilt, solange der Auftragsverarbeiter Daten des Kunden verarbeitet.
Art und Zweck: Speicherung, Bereitstellung, Synchronisation und Sicherung von Show- und Teamdaten, damit der Kunde LuxStage nutzen kann.
Betroffene Personen sind die Nutzer des Kunden (Beschäftigte, freie Mitarbeitende, Gäste) sowie Personen, die der Kunde in seinen Inhalten erwähnt. Besondere Kategorien personenbezogener Daten sind nicht Gegenstand der Verarbeitung. Der Kunde trägt solche Daten nicht ein.
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind der Vertrag, diese Vereinbarung und die Nutzung der Funktionen des Dienstes durch den Kunden. Weitere Weisungen erteilt der Kunde in Textform an hello@luxstage.app.
Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen darauf hin und darf die Ausführung bis zur Klärung aussetzen.
Der Auftragsverarbeiter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit. Zugriff auf Inhalte der Teams erfolgt nur, soweit er für Betrieb, Support auf Anfrage oder Fehlerbehebung erforderlich ist.
Der Auftragsverarbeiter trifft die in Anhang 1 beschriebenen Maßnahmen und entwickelt sie im Rahmen des Stands der Technik weiter. Wesentliche Verschlechterungen des Schutzniveaus sind unzulässig.
Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anhang 2 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter verpflichtet sie vertraglich auf ein gleichwertiges Datenschutzniveau.
Über beabsichtigte Änderungen informiert der Auftragsverarbeiter den Verantwortlichen mindestens 30 Tage vorher in Textform. Der Verantwortliche kann aus wichtigem Datenschutzgrund widersprechen. Bei fortbestehendem Widerspruch können beide Parteien den Vertrag zum Ende des laufenden Abrechnungszeitraums kündigen.
Daten werden grundsätzlich in der Europäischen Union verarbeitet. Eine Übermittlung in Drittländer findet nur statt, soweit Anhang 2 sie ausweist, und nur mit geeigneten Garantien nach Kapitel V DSGVO (Angemessenheitsbeschluss oder Standardvertragsklauseln).
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen. Anfragen, die ihn direkt erreichen, leitet er unverzüglich weiter.
Er unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen, Konsultationen der Aufsichtsbehörde und der Sicherheit der Verarbeitung, soweit dies erforderlich und angemessen ist.
Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO.
Der Auftragsverarbeiter stellt dem Verantwortlichen auf Verlangen die erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung. Kontrollen vor Ort erfolgen nach rechtzeitiger Anmeldung (mindestens 14 Tage), zu üblichen Geschäftszeiten und ohne Störung des Betriebs. Der Aufwand wird angemessen vergütet, soweit er über die Bereitstellung der Informationen hinausgeht.
Der Verantwortliche kann seine Daten jederzeit in der Web-App exportieren, auch im Lesemodus. Nach Ende des Vertrags oder auf Antrag („Team löschen“) löscht der Auftragsverarbeiter alle Daten des Teams einschließlich der Sicherungen spätestens innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht (zum Beispiel für Rechnungsdaten).
Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten die Haftungsregeln des Hauptvertrags, soweit das Gesetz nichts anderes zwingend vorschreibt.
Bei Widersprüchen geht diese Vereinbarung den AGB im Hinblick auf den Datenschutz vor. Es gilt deutsches Recht.
Stand: Oktober 2026.
Stripe Payments Europe Ltd. (Dublin, Irland) verarbeitet Zahlungsdaten als eigener Verantwortlicher für die Zahlungsabwicklung und ist kein Unterauftragsverarbeiter dieser Vereinbarung.