Vereinbarung zur Auftragsverarbeitung

Stand: 28. Mai 2026

Diese Vereinbarung zur Auftragsverarbeitung („AVV“) regelt die Verarbeitung personenbezogener Daten durch Pistio im Auftrag von Organisationen, die Moimio nutzen. Sie entspricht den im Rahmen der Moimio-Nutzungsbedingungen vereinbarten Regelungen zur Auftragsverarbeitung. Beide Dokumente werden inhaltlich konsistent gehalten. Für die meisten Kunden sind die bei Vertragsschluss akzeptierten Regelungen ausreichend. Organisationen, deren Compliance-Anforderungen eine gesondert unterzeichnete Vereinbarung erfordern, können auf Anfrage eine gegengezeichnete PDF-Fassung erhalten.

Diese AVV ist Bestandteil der Vereinbarung zwischen

(1) dem Kunden – der Organisation, die einen Moimio-Account führt („Verantwortlicher“), und

(2) Pistio, einem im Vereinigten Königreich registrierten Einzelunternehmen mit Sitz in 66 Paul Street, London EC2A 4NA („Auftragsverarbeiter“),

und regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Bereitstellung des Moimio-Dienstes.

1. Begriffsbestimmungen

Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ sowie „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die ihnen nach der UK GDPR, der Datenschutz-Grundverordnung (EU) 2016/679 („DSGVO“) beziehungsweise den jeweils anwendbaren Datenschutzgesetzen zukommt.

„Anwendbares Datenschutzrecht“ bezeichnet die UK GDPR, die DSGVO sowie sämtliche weiteren auf die Verarbeitung anwendbaren Datenschutzgesetze.

2. Gegenstand, Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Bereitstellung des Moimio-Dienstes. Dies umfasst insbesondere die Anmeldung von Veranstaltungsteilnehmern sowie deren Einteilung in Zimmer, Gruppen und Teams entsprechend den Vorgaben und Einstellungen des Verantwortlichen.

Die Verarbeitung erfolgt für die Dauer des Bestehens des Moimio-Accounts des Verantwortlichen.

3. Kategorien personenbezogener Daten und betroffene Personen

Die Kategorien personenbezogener Daten sowie die betroffenen Personengruppen ergeben sich aus Anlage 1.

4. Weisungen des Verantwortlichen

4.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dies umfasst insbesondere die in dieser AVV, den Moimio-Nutzungsbedingungen sowie die durch die Konfiguration und Nutzung der Software erteilten Weisungen.

4.2 Hält der Auftragsverarbeiter eine Weisung des Verantwortlichen für rechtswidrig oder für einen Verstoß gegen das Anwendbare Datenschutzrecht, wird er den Verantwortlichen hierüber unverzüglich informieren.

4.3 Der Auftragsverarbeiter verarbeitet personenbezogene Daten nicht für eigene Zwecke.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich,

1. sicherzustellen, dass zur Verarbeitung personenbezogener Daten befugte Personen einer angemessenen Vertraulichkeitsverpflichtung unterliegen;
2. die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen umzusetzen und aufrechtzuerhalten;
3. die Voraussetzungen für den Einsatz von Unterauftragsverarbeitern gemäß Abschnitt 6 einzuhalten;
4. den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen dabei zu unterstützen, Anfragen betroffener Personen zur Ausübung ihrer Rechte zu erfüllen;
5. den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter verfügbaren Informationen bei der Erfüllung seiner Pflichten hinsichtlich Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und gegebenenfalls vorheriger Konsultationen zu unterstützen;
6. nach Wahl des Verantwortlichen personenbezogene Daten nach Beendigung der Leistungserbringung zurückzugeben oder zu löschen sowie vorhandene Kopien gemäß Abschnitt 8 zu entfernen;
7. dem Verantwortlichen die zur Prüfung der Einhaltung dieser AVV erforderlichen Informationen bereitzustellen und Audits gemäß Abschnitt 9 zu ermöglichen.

6. Unterauftragsverarbeiter

6.1 Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, die in Anlage 3 aufgeführten Unterauftragsverarbeiter einzusetzen.

6.2 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den in dieser AVV festgelegten Pflichten mindestens gleichwertig sind. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die ordnungsgemäße Erfüllung der Datenschutzpflichten durch den jeweiligen Unterauftragsverarbeiter verantwortlich.

6.3 Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen hinsichtlich des Einsatzes von Unterauftragsverarbeitern, insbesondere über deren Hinzufügung oder Austausch, und räumt dem Verantwortlichen eine angemessene Frist zur Erhebung von Einwänden ein.

7. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Daten des Verantwortlichen betrifft.

Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die dieser vernünftigerweise benötigt, um seinen gesetzlichen Melde- und Benachrichtigungspflichten nachzukommen.

8. Löschung und Rückgabe personenbezogener Daten

Nach Schließung des Accounts des Verantwortlichen werden die personenbezogenen Daten der Teilnehmer für einen Zeitraum von 30 Tagen zum Export bereitgestellt. Anschließend werden die Daten entsprechend dem Moimio-Lösch- und Aufbewahrungskonzept gelöscht.

Der Workspace und die darin enthaltenen Daten, einschließlich regulärer Sicherungskopien, werden innerhalb von 44 Tagen nach Schließung des Accounts dauerhaft gelöscht.

Soweit sich Daten in routinemäßigen Sicherungskopien befinden, werden diese im Rahmen der jeweiligen Sicherungs- und Aufbewahrungsfristen entfernt. Bei einzeln gelöschten Veranstaltungen erfolgt die Entfernung spätestens innerhalb von sechs Monaten.

9. Auditrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung dieser AVV nachzuweisen.

Der Verantwortliche ist berechtigt, nach angemessener Vorankündigung und unter Wahrung angemessener Vertraulichkeitsanforderungen Audits oder Inspektionen selbst oder durch einen von ihm beauftragten Prüfer durchführen zu lassen. Der Auftragsverarbeiter wird solche Prüfungen in angemessenem Umfang unterstützen.

10. Internationale Datenübermittlungen

Personenbezogene Daten werden innerhalb der Europäischen Union, insbesondere in Deutschland, gehostet und verarbeitet.

Der Auftragsverarbeiter, Pistio, hat seinen Sitz im Vereinigten Königreich und greift von dort aus auf personenbezogene Daten zu, soweit dies für den Betrieb und die Unterstützung des Dienstes erforderlich ist.

Daher können personenbezogene Daten zwischen dem Vereinigten Königreich und dem Europäischen Wirtschaftsraum übertragen werden. Diese Übermittlungen beruhen auf dem Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich sowie auf der Anerkennung des Europäischen Wirtschaftsraums durch das Vereinigte Königreich. Zusätzliche Garantien für diese Datenübermittlungen sind daher nicht erforderlich.

Eine Übermittlung personenbezogener Daten in andere Staaten außerhalb des Vereinigten Königreichs oder des Europäischen Wirtschaftsraums erfolgt nur, soweit dies nach dem Anwendbaren Datenschutzrecht zulässig ist und geeignete Garantien bestehen.

11. EU- und UK-Vertreter

Für sämtliche datenschutzrechtlichen Fragen im Zusammenhang mit dieser AVV, einschließlich der Benennung oder Tätigkeit eines Vertreters nach Artikel 27 DSGVO, soweit ein solcher erforderlich ist, kann Kontakt über [email protected] aufgenommen werden.

12. Haftung und anwendbares Recht

12.1 Die Haftung der Parteien im Rahmen dieser AVV richtet sich nach den Haftungsregelungen der Moimio-Nutzungsbedingungen.

12.2 Diese AVV unterliegt dem Recht von England und Wales.

12.3 Im Falle von Abweichungen zwischen verschiedenen Sprachfassungen dieser AVV ist die englische Fassung maßgeblich.

Anlage 1 – Kategorien personenbezogener Daten und betroffene Personen

Betroffene Personen:

Teilnehmer von Veranstaltungen, die vom Verantwortlichen organisiert werden, insbesondere Teilnehmer von Freizeiten, Konferenzen, Camps oder vergleichbaren Veranstaltungen.

Kategorien personenbezogener Daten:

Der Auftragsverarbeiter kann im Auftrag des Verantwortlichen folgende Kategorien personenbezogener Daten verarbeiten:

• Name und sonstige Identifikationsdaten
• Kontaktdaten, insbesondere E-Mail-Adressen
• Angaben zu Zimmer-, Gruppen- und Teameinteilungen
• Ernährungsangaben, Allergien oder Barrierefreiheitsanforderungen, soweit diese vom Verantwortlichen erfasst werden
• Sonstige Informationen, die der Verantwortliche über Teilnehmer in Moimio speichert

Angaben zu Ernährung, Allergien oder Barrierefreiheitsanforderungen können besondere Kategorien personenbezogener Daten im Sinne von Artikel 9 DSGVO darstellen. Der Verantwortliche ist dafür verantwortlich sicherzustellen, dass für die Verarbeitung solcher Daten eine geeignete Rechtsgrundlage besteht.

Anlage 2 – Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter setzt insbesondere folgende technische und organisatorische Maßnahmen um:

• Hosting innerhalb der Europäischen Union (Deutschland)
• Mandantentrennung durch isolierte Container und getrennte Datenbanken je Verantwortlichem
• Zugriffsbeschränkungen für autorisierte Personen
• Verschlüsselung der Datenübertragung mittels HTTPS/TLS
• Regelmäßige verschlüsselte Sicherungskopien mit definierten Aufbewahrungs- und Löschfristen
• Logische Trennung der Daten jedes Verantwortlichen von den Daten anderer Verantwortlicher

Die Maßnahmen werden regelmäßig überprüft und können weiterentwickelt werden, sofern das Sicherheitsniveau nicht verringert wird.

Anlage 3 – Unterauftragsverarbeiter

Der Auftragsverarbeiter kann weitere Unterauftragsverarbeiter gemäß Abschnitt 6 dieser Vereinbarung einsetzen.

Eine gegengezeichnete PDF-Fassung dieser Vereinbarung wird auf Anfrage bereitgestellt. Anfragen können an [email protected] gerichtet werden.