Parteien und Zustandekommen

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO (nachfolgend „der Veranstalter“) ist der Inhaber des Veranstalter-Kontos bei startblock. Maßgeblich sind die Stammdaten, die der Veranstalter bei der Konto-Anlage und im Onboarding hinterlegt hat: Firmierung, Rechtsform, Anschrift, Kontaktperson, Kontakt-E-Mail und Telefonnummer. Diese Angaben sind Bestandteil dieses Vertrages; der Veranstalter hält sie aktuell (§ 8 Abs. 5).

Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO (nachfolgend „startblock“) ist:

Janik Kahle (Einzelunternehmen)
Birkenwaldstraße 41
70191 Stuttgart
Deutschland
USt-IdNr.: [USt-IdNr.]
E-Mail: hallo@startblock.run · Telefon: [TELEFON]

Dieser Vertrag kommt elektronisch zustande, indem der Veranstalter ihn bei der Anlage des Veranstalter-Kontos bestätigt. Das genügt dem Schriftformerfordernis des Art. 28 Abs. 9 DSGVO, der ausdrücklich ein elektronisches Format zulässt; eine eigenhändige Unterschrift ist nicht erforderlich. startblock hält den vollständigen Text vor der Bestätigung abrufbar und speicherbar bereit und macht ihn dem Veranstalter dauerhaft im Administrationsbereich zugänglich. Die jeweils bestätigte Fassung ergibt sich aus der Fassungsnummer und dem Datum in der Kopfzeile dieses Dokuments.

Die Parteien schließen diesen Vertrag als Anlage zum Nutzungsvertrag über die Plattform startblock (Allgemeine Geschäftsbedingungen, abrufbar unter startblock.run/rechtliches/agb).

§ 1 Gegenstand, Dauer und Verhältnis zu den AGB

(1) startblock stellt dem Veranstalter eine Plattform für die Durchführung von Lauf-, Trail-, Walking- und Wanderveranstaltungen bereit: Event-Website, Online-Anmeldung, Ticketing, Ergebnis- und Urkundenverwaltung, Check-in, Helfer- und Schichtplanung, Kommunikation mit Teilnehmenden sowie Streckenplanung. Soweit startblock dabei personenbezogene Daten verarbeitet, über deren Zwecke und Mittel der Veranstalter entscheidet, geschieht dies ausschließlich im Auftrag des Veranstalters.

(2) Gegenstand, Art, Zweck und Dauer der Verarbeitung, die Art der verarbeiteten Daten und die Kategorien der betroffenen Personen sind in Anlage 1 festgelegt.

(3) Dieser Vertrag gilt für die Laufzeit des Nutzungsvertrages zwischen den Parteien. Er beginnt mit der Bestätigung nach Absatz „Parteien und Zustandekommen“ und endet mit dem Nutzungsvertrag; § 9 (Löschung und Rückgabe) und § 10 (Haftung) gelten darüber hinaus fort.

(4) Dieser Vertrag geht den AGB in allen Fragen des Datenschutzes vor. Im Übrigen gelten die AGB; die dort getroffenen Regelungen zu Leistungsumfang, Entgelten und Laufzeit bleiben unberührt.

§ 2 Konkretisierung des Auftrags

(1) Die im Auftrag durchgeführten Verarbeitungstätigkeiten, ihre Zwecke, die Datenkategorien, die Kategorien betroffener Personen und die Speicherdauern ergeben sich abschließend aus Anlage 1.

(2) Die Daten werden vorrangig in der Europäischen Union verarbeitet: Datenbank, Authentifizierung und Objektspeicher liegen in der Region eu-central-1 (Frankfurt am Main), die Serverfunktionen der Web-Anwendungen in der Region fra1 (Frankfurt am Main), der Versand der E-Mails in der Region eu-west-1 (Irland), der Support-Chat in Frankreich. Darüber hinaus findet eine Verarbeitung in Drittländern statt, soweit Anlage 3 dies ausweist — insbesondere die Speicherung von E-Mail-Inhalten, Versandprotokollen und Metadaten in den Vereinigten Staaten (30 Tage), Steuerungs- und Protokolldaten des Hostinganbieters in den Vereinigten Staaten sowie dessen Auslieferung über ein weltweites Netz; hinzu kommt der Sitz des Vertragspartners der Datenbank in einem Drittland (Singapur), weshalb auch diese Übermittlung auf Standarddatenschutzklauseln gestützt wird. Diese Übermittlungen erfolgen nur unter den Voraussetzungen des § 6 Abs. 6.

(3) Eine Änderung des Auftragsgegenstands erfolgt durch Änderung dieses Vertrages oder durch eine Weisung nach § 4.

§ 3 Abgrenzung — was nicht Auftragsverarbeitung ist

(1) Für die folgenden Verarbeitungen ist startblock selbst Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Sie sind nicht Gegenstand dieses Vertrages, und der Veranstalter erteilt insoweit keine Weisungen:

a) Teilnehmer-Konto. Das kontoübergreifende Konto der Teilnehmenden („Mein Bereich“, App-Login) mit Anmelde-E-Mail-Adressen, gespeichertem Profil, der Zusammenführung von Anmeldungen über Veranstaltungen verschiedener Veranstalter hinweg sowie Export und Löschung der Kontodaten. Grundlage ist der Vertrag zwischen startblock und der Teilnehmer:in über die Kontonutzung.

b) Veranstalter-Konto und Team. Anlage und Verwaltung des Veranstalter-Kontos, Stammdaten des Veranstalters, Benutzerkonten der Mitarbeitenden (Rollen „admin“, „orga“, „helfer“), Einladungen und Zugangsverwaltung.

c) Gebührenabrechnung. Ermittlung und Einzug der Plattformgebühr, das PRO-Abonnement und die monatliche Sammelrechnung einschließlich der zugehörigen Zahlungs- und Rechnungsdaten.

d) Cookielose Reichweitenmessung aller Oberflächen — einschließlich der Veranstaltungsseiten. Die Messung der Seitenaufrufe auf startblock.run, auf admin.startblock.run und auf jeder Veranstaltungsseite. startblock entscheidet über den Einsatz, den Zweck — Überwachung des Betriebs und Auswertung der Nutzung der Plattform — und die Mittel dieser Messung allein und ist dafür Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Der Veranstalter kann die Messung weder ein- noch ausschalten, er kann sie nicht auswerten, und ihm liegen keine Daten aus ihr vor; sie ist deshalb auch auf seiner Veranstaltungsseite keine Verarbeitung im Auftrag. startblock stützt sie auf Art. 6 Abs. 1 lit. f DSGVO. Die Messung arbeitet ohne Cookie und ohne geräteübergreifende Kennung; die Besucherkennung ist ein Hashwert aus der Anfrage mit einer Lebensdauer von 24 Stunden. Besucher:innen einer Veranstaltungsseite können der Messung über den Schalter unter /rechtliches/datenschutz dieser Seite widersprechen; der Widerspruch wird im Browser gespeichert. Ein Widerspruch nach Art. 21 Abs. 1 DSGVO ist darüber hinaus jederzeit gegenüber startblock möglich (hallo@startblock.run).

e) Plattformsicherheit. Server- und Zugriffsprotokolle der eingesetzten Anbieter, Missbrauchsabwehr und die plattformweiten datenbankgestützten Zugriffszähler, die die IP-Adresse ausschließlich als HMAC-Hashwert führen; der Zähler der Konto-Zuordnung speichert zusätzlich die Kennung des betroffenen Kontos und den Ausgang des Versuchs. Dazu gehört auch die Missbrauchsabwehr an den Formularen der Veranstaltungsseite (Aufbewahrung sieben Tage, automatisiert gelöscht).

f) Betrieb der App „Startblock“. Bereitstellung und Betrieb der Anwendung selbst einschließlich der auf dem Endgerät gespeicherten Sitzungs- und Zwischenspeicherdaten und des Vertriebs über die App-Stores. Die über die App verarbeiteten Veranstaltungsdaten (Anmeldung, Ticket, Check-in, Helferplan, Chat) bleiben Auftragsverarbeitung nach Anlage 1.

Über diese Verarbeitungen informiert die Datenschutzerklärung der Plattform (abrufbar unter startblock.run/rechtliches/datenschutz).

(2) Was aus Absatz 1 lit. d für den Veranstalter folgt. Die Reichweitenmessung auf seiner Veranstaltungsseite ist keine Verarbeitung im Auftrag; Anlage 1 führt sie deshalb nicht auf, und der Veranstalter erteilt zu ihr keine Weisungen. Er hat startblock in der Datenschutzerklärung seiner Veranstaltungsseite als Verantwortlichen dieser Messung und als Empfänger der dabei erhobenen Daten zu nennen und auf die Datenschutzerklärung der Plattform (startblock.run/rechtliches/datenschutz) sowie auf den Widerspruchsschalter unter /rechtliches/datenschutz seiner Veranstaltungsseite zu verweisen; der Mustertext nach § 8 Abs. 2 enthält die Formulierung. Der Schalter ist an die Datenschutzseite der Veranstaltungsseite gebunden, weshalb der Veranstalter diese Seite veröffentlichen muss (§ 8 Abs. 2). Widersprüche betroffener Personen gegen diese Messung beantwortet startblock selbst; geht ein solcher Widerspruch beim Veranstalter ein, leitet er ihn an hallo@startblock.run weiter.

(3) Zahlungsabwicklung durch Stripe. Die Startgelder werden über ein Stripe-Konto abgewickelt, dessen Inhaber der Veranstalter ist. Der Veranstalter ist insoweit unmittelbarer Vertragspartner von Stripe (Connected Account Agreement) und Zahlungsempfänger. Stripe ist für die Zahlungs-, Betrugs- und Identifizierungsdaten eigener Verantwortlicher und deshalb kein Unterauftragsverarbeiter von startblock; Stripe steht nicht in Anlage 3. Der Veranstalter hat Stripe in seiner eigenen Datenschutzerklärung als Empfänger zu nennen. startblock verarbeitet lediglich die Zahlungsfakten zur Anmeldung (Anlage 1 Nr. 2) und zieht die Plattformgebühr ein. Im Zahlungsschritt des Anmeldeformulars lädt die Seite die Bezahlkomponente von Stripe; dabei setzt Stripe die Cookies __stripe_mid (Laufzeit ein Jahr) und __stripe_sid (30 Minuten) zur Betrugsprävention und erhebt selbst Name, E-Mail-Adresse, Anschrift, Zahlungsmitteldaten, IP-Adresse, Geräteinformationen und — als Teil der erweiterten Betrugssignale — Mausaktivität. Die Komponente wird erst geladen, wenn die anmeldende Person den Zahlungsschritt erreicht. Der Veranstalter hat dies in seiner Datenschutz- und Cookie-Information zu berücksichtigen.

(4) Freigabe an das Teilnehmer-Konto. Meldet sich eine Teilnehmer:in mit ihrer E-Mail-Adresse an einem Teilnehmer-Konto an, ordnet startblock die zu dieser Adresse gehörenden Anmeldungen dem Konto zu. Diese Zuordnung geschieht auf Wunsch der Teilnehmer:in und erstreckt sich auf Anmeldungen bei verschiedenen Veranstaltern. Das Konto entsteht dabei mit dem ersten Login über den Einmalcode; eine gesonderte Erklärung über die Zusammenführung ist damit nicht verbunden. Der Veranstalter stützt diese Offenlegung auf seine eigene Rechtsgrundlage und weist sie in seiner Datenschutzerklärung als Empfängerkategorie aus. Der Veranstalter weist startblock hiermit an, die von ihm verantworteten Anmeldedaten für diesen Zweck freizugeben und der Teilnehmer:in in ihrem Konto anzuzeigen. Die Verknüpfung selbst und die im Konto gespeicherten Profildaten sind eine eigene Verarbeitung von startblock nach Absatz 1 lit. a; die Anmeldung bleibt davon unberührt beim Veranstalter. Die Teilnehmer:in kann die Verknüpfung jederzeit lösen; die Löschung des Kontos löscht nur das Konto, nicht die Anmeldung.

(5) Eigenständige Dritte auf den Event-Sites. Bindet der Veranstalter Inhalte Dritter in seine Veranstaltungsseite ein (Videoeinbettungen, Kartenausschnitte fremder Anbieter), entscheidet er darüber selbst; die daraus folgenden Übermittlungen an diese Dritten sind nicht Gegenstand dieses Vertrages und in der Datenschutzerklärung des Veranstalters zu behandeln. Unabhängig davon lädt die von startblock gelieferte Veranstaltungsseite auf jeder Seite Schriftarten von Servern der Google LLC (USA) und auf der Streckendetailseite Kartenkacheln der Hyperknot Software Kft. (Ungarn); dabei werden die IP-Adresse und die Browserangaben der Besucher:in an diese Empfänger übermittelt. Diese Einbindung veranlasst startblock; die Empfänger handeln als eigene Verantwortliche (Anlage 3, Ausschlussliste), und der Veranstalter hat sie in seiner Datenschutzerklärung aufzuführen.

§ 4 Weisungen

(1) startblock verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Veranstalters. Das gilt auch für die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation. Ist startblock nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt startblock dem Veranstalter diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Dieser Vertrag einschließlich seiner Anlagen sowie die Nutzung der Plattformfunktionen durch den Veranstalter und seine berechtigten Mitarbeitenden sind dokumentierte Weisungen. Insbesondere gilt als Weisung, welche Veranstaltungen angelegt, welche Anmeldefelder und Optionen erhoben, welche Seiten und Listen veröffentlicht, welche Mails ausgelöst, welche Medien hochgeladen und welche Daten exportiert, berichtigt, anonymisiert oder gelöscht werden.

(3) Weisungen außerhalb der Plattformfunktionen erteilt der Veranstalter in Textform an hallo@startblock.run, und zwar durch eine Person, die im Veranstalter-Konto die Rolle „admin“ innehat oder sonst zur Vertretung berechtigt ist. startblock dokumentiert mündliche Weisungen unverzüglich in Textform und bestätigt sie dem Veranstalter.

(4) Ist startblock der Auffassung, dass eine Weisung gegen die Datenschutz-Grundverordnung oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, teilt startblock dies dem Veranstalter unverzüglich mit (Art. 28 Abs. 3 UAbs. 2 DSGVO). startblock darf die Ausführung der Weisung aussetzen, bis der Veranstalter sie bestätigt oder ändert. Hält der Veranstalter eine offensichtlich rechtswidrige Weisung aufrecht, darf startblock die Ausführung verweigern.

(5) Weisungen, die über die Plattformfunktionen hinausgehen und bei startblock einen nicht nur unerheblichen Aufwand auslösen (etwa individuelle Datenaufbereitungen, Sonderauswertungen, Migrationen), führt startblock nach Aufwand aus. startblock teilt den voraussichtlichen Aufwand vorher mit; die Ausführung setzt die Zustimmung des Veranstalters in Textform voraus. Maßnahmen, zu denen startblock nach diesem Vertrag oder nach der Datenschutz-Grundverordnung ohnehin verpflichtet ist, sind mit dem Entgelt nach den AGB abgegolten.

(6) Keine eigenen Zwecke. startblock verarbeitet die im Auftrag verarbeiteten Daten nicht für eigene Zwecke. Insbesondere nutzt startblock sie nicht zur Werbung, nicht zur Erstellung veranstalterübergreifender Auswertungen und nicht zum Training oder zur Verbesserung von Modellen künstlicher Intelligenz und gibt sie zu diesen Zwecken auch nicht an Unterauftragsverarbeiter weiter. Zulässig bleiben die Verarbeitungen, die zur Erbringung der Leistung, zur Sicherstellung des Betriebs und der Sicherheit der Plattform sowie zur Erfüllung gesetzlicher Pflichten erforderlich sind, sowie die in § 3 genannten eigenverantwortlichen Verarbeitungen.

§ 5 Pflichten von startblock

(1) Vertraulichkeit. startblock wird derzeit von Janik Kahle ohne weitere Beschäftigte betrieben. Janik Kahle verpflichtet sich hiermit persönlich zur Vertraulichkeit hinsichtlich aller im Auftrag verarbeiteten Daten; die Verpflichtung gilt über das Ende dieses Vertrages hinaus. Künftige Mitarbeitende, Auszubildende und freie Mitarbeitende werden vor der ersten Verarbeitung schriftlich oder in elektronischer Form zur Vertraulichkeit verpflichtet, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen; die Verpflichtungen werden dokumentiert und dem Veranstalter auf Anfrage nachgewiesen.

(2) Technische und organisatorische Maßnahmen. startblock trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 (Technische und organisatorische Maßnahmen) beschrieben sind. Die Maßnahmen dürfen fortentwickelt werden; das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert startblock und teilt sie dem Veranstalter auf Anfrage mit.

(3) Unterstützung bei Betroffenenrechten. startblock unterstützt den Veranstalter mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen nach Kapitel III der DSGVO nachzukommen. Dafür stehen im Administrationsbereich insbesondere zur Verfügung: Auskunft und Herausgabe über die Teilnehmerverwaltung und den Datenexport (im Tarif PRO; im Tarif FREE über die Anforderung nach § 9 Abs. 2), Berichtigung von Anmeldedaten einschließlich der E-Mail-Adresse, Übertragung einer Anmeldung auf eine andere Person sowie die Anonymisierung einer Anmeldung. Reichen die Funktionen nicht aus, unterstützt startblock auf Weisung darüber hinaus, insbesondere bei der Zusammenstellung von Daten, die die Oberfläche nicht ausgibt (Zahlungsfakten, Check-ins, Protokollzeilen des Versands und der Anmeldehistorie). startblock leitet Anträge betroffener Personen, die bei startblock eingehen und die Verarbeitung im Auftrag des Veranstalters betreffen, unverzüglich an den Veranstalter weiter und beantwortet sie nicht selbst.

(4) Grenzen, die der Veranstalter kennen muss. Die Anonymisierung einer Anmeldung erhält aus Belegzwecken Startnummer, Status, gebuchte Optionen, Zahlungsfakten und Check-ins; eine bereits veröffentlichte Ergebniszeile wird davon nicht erfasst, weil sie den Namen als eigenständige Kopie führt (Anlage 1 Nr. 3, § 9 Abs. 4). Die Erinnerungsmails 7 Tage und 1 Tag vor der Veranstaltung tragen einen Abmeldekopf (List-Unsubscribe), der auf das Postfach von startblock verweist; ein Abmeldekennzeichen an der Anmeldung besteht nicht. Abmeldewünsche, die auf diesem Weg eingehen, leitet startblock nach Absatz 3 an den Veranstalter weiter und setzt sie auf dessen Weisung um — derzeit nur durch Anonymisierung oder Löschung der Anmeldung. Ein Widerspruch gegen die öffentliche Start- oder Teilnehmerliste ist nur durch Anonymisierung umsetzbar, weil es kein Opt-out-Kennzeichen gibt. startblock weist hierauf hin, damit der Veranstalter seine Antworten an betroffene Personen darauf einstellen kann; startblock arbeitet an einer Abhilfe. Der Support-Chat auf der Veranstaltungsseite wird von einem KI-Sprachmodell beantwortet. Ein Hinweis auf die KI-Natur des Systems, den Art. 50 Abs. 1 der Verordnung (EU) 2024/1689 seit dem 2. August 2026 verlangt, wird derzeit nicht angezeigt; startblock stellt ihn als Anbieter des Systems kurzfristig bereit und weist den Veranstalter darauf hin, damit er es bei den Texten seiner Veranstaltungsseite berücksichtigen kann.

(5) Verletzungen des Schutzes personenbezogener Daten. startblock meldet dem Veranstalter jede Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitete Daten betrifft, unverzüglich. Eine erste Meldung mit den bis dahin bekannten Angaben erfolgt spätestens innerhalb von 24 Stunden nach Kenntniserlangung, die vollständige Meldung spätestens innerhalb von 48 Stunden nach Kenntniserlangung. Die Meldung erfolgt in Textform an die im Veranstalter-Konto hinterlegte Kontaktadresse und enthält mindestens: eine Beschreibung der Art der Verletzung, soweit möglich mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, den Namen und die Kontaktdaten der Kontaktstelle nach Absatz 8, eine Beschreibung der wahrscheinlichen Folgen sowie eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen (Art. 33 Abs. 3 DSGVO). Lassen sich Angaben nicht gleichzeitig bereitstellen, liefert startblock sie ohne unangemessene Verzögerung nach. Die Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und die Benachrichtigung der betroffenen Personen (Art. 34 DSGVO) nimmt der Veranstalter vor; startblock unterstützt ihn dabei.

(6) Unterstützung bei Sicherheit, Folgenabschätzung und Konsultation. startblock unterstützt den Veranstalter unter Berücksichtigung der Art der Verarbeitung und der startblock zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde. Die dafür erforderlichen Angaben zu Verarbeitungsvorgängen, Unterauftragsverarbeitern und Schutzmaßnahmen stellt startblock auf Anfrage zur Verfügung.

(7) Verzeichnis. startblock führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die im Auftrag des Veranstalters ausgeführt werden (Art. 30 Abs. 2 DSGVO), und legt es der Aufsichtsbehörde auf Anforderung vor. Der Veranstalter erhält auf Anfrage den ihn betreffenden Auszug.

(8) Kontaktstelle. startblock hat keinen Datenschutzbeauftragten bestellt; nach derzeitiger Sachlage besteht keine Bestellpflicht nach Art. 37 DSGVO, § 38 BDSG (kein umfangreiches Verarbeiten besonderer Kategorien als Kerntätigkeit, keine umfangreiche regelmäßige Überwachung, weniger als zwanzig ständig mit automatisierter Verarbeitung beschäftigte Personen). Kontaktstelle für alle Datenschutzfragen aus diesem Vertrag ist hallo@startblock.run, Telefon [TELEFON].

(9) Anfragen Dritter. Erhält startblock eine Anfrage einer Aufsichtsbehörde, einer Strafverfolgungs- oder sonstigen Behörde, die im Auftrag verarbeitete Daten betrifft, informiert startblock den Veranstalter unverzüglich, soweit dies rechtlich zulässig ist. Daten des Veranstalters gibt startblock an Dritte nur heraus, wenn eine rechtsverbindliche Anordnung vorliegt oder der Veranstalter zugestimmt hat.

(10) Berichtigung, Löschung, Einschränkung. startblock berichtigt, löscht oder schränkt die Verarbeitung der im Auftrag verarbeiteten Daten nur auf Weisung des Veranstalters ein, soweit keine gesetzliche Pflicht zu einem anderen Vorgehen besteht.

§ 6 Unterauftragsverarbeiter

(1) Der Veranstalter erteilt startblock die allgemeine Genehmigung nach Art. 28 Abs. 2 Satz 2 DSGVO, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Abschluss dieses Vertrages eingesetzten Unterauftragsverarbeiter sind in Anlage 3 und ausführlich im Register der Unterauftragsverarbeiter aufgeführt und mit diesem Vertrag genehmigt.

(2) Keine Unterauftragsverarbeitung sind Nebenleistungen, die startblock ohne Zugriff auf die im Auftrag verarbeiteten Daten in Anspruch nimmt, etwa Telekommunikationsdienste, Post- und Transportleistungen oder die Wartung fremder Endgeräte. startblock stellt auch dort die Vertraulichkeit sicher.

(3) startblock informiert den Veranstalter über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens vier Wochen vorher in Textform per E-Mail an die im Veranstalter-Konto hinterlegte Kontaktadresse. Die Information nennt den Dienst, den Rechtsträger, den Sitz, die Leistung, den Verarbeitungsort und die Garantie für eine etwaige Drittlandübermittlung. Wird startblock ein Wechsel mit kürzerer Vorlauffrist aufgezwungen — insbesondere weil ein Unterauftragsverarbeiter oder dessen eigener Dienstleister die Leistung einstellt oder kündigt — oder ist der Wechsel zur Abwehr einer erheblichen und unmittelbaren Gefahr für die Sicherheit oder die Verfügbarkeit der Plattform oder der im Auftrag verarbeiteten Daten erforderlich, so kann startblock ihn vor Ablauf der Frist aus Satz 1 vornehmen. In diesen Fällen informiert startblock den Veranstalter unverzüglich, im Fall der Gefahrenabwehr spätestens innerhalb von 48 Stunden nach dem Wechsel, in Textform mit den Angaben nach Satz 2; die Maßnahme bleibt auf das zur Gefahrenabwehr Erforderliche beschränkt. Satz 1 gilt dann nicht; das Widerspruchs- und Sonderkündigungsrecht nach Absatz 4 bleibt unberührt und besteht auch dann, wenn der Wechsel bereits vollzogen ist.

(4) Der Veranstalter kann der Änderung innerhalb von zwei Wochen nach Zugang der Information in Textform widersprechen. Der Widerspruch ist zu begründen; als Grund genügt ein nachvollziehbarer datenschutzrechtlicher Einwand. Halten die Parteien nicht binnen zwei weiterer Wochen eine einvernehmliche Lösung fest, kann der Veranstalter den Nutzungsvertrag und diesen Vertrag zum Zeitpunkt des geplanten Wechsels außerordentlich kündigen; § 8 Abs. 3 der AGB (keine anteilige Erstattung bereits gezahlter Entgelte) bleibt unberührt. Erhebt der Veranstalter innerhalb der Frist keinen Widerspruch, gilt die Änderung als genehmigt; startblock weist in der Information nach Absatz 3 ausdrücklich auf die Frist und auf diese Bedeutung des Schweigens hin.

(5) startblock verpflichtet jeden Unterauftragsverarbeiter vertraglich auf im Wesentlichen dieselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet startblock gegenüber dem Veranstalter für dessen Verhalten wie für eigenes.

(6) Eine Übermittlung an Unterauftragsverarbeiter in Drittländern erfolgt nur, wenn die Voraussetzungen des Kapitels V der DSGVO erfüllt sind. startblock stützt diese Übermittlungen auf die Standarddatenschutzklauseln der Kommission (Durchführungsbeschluss (EU) 2021/914) in Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter); soweit ein Anbieter zusätzlich nach dem EU-US Data Privacy Framework zertifiziert ist, tritt diese Zertifizierung neben die Standarddatenschutzklauseln, ersetzt sie aber nicht. startblock dokumentiert je Drittlandsdienst eine kurze Beurteilung der Übermittlungsfolgen und stellt sie dem Veranstalter auf Anfrage zur Verfügung. startblock schließt die Standarddatenschutzklauseln als Datenexporteur in eigenem Namen ab. Soweit ein Unterauftragsverarbeiter den Abschluss von Modul 2 (Verantwortlicher an Auftragsverarbeiter) oder die Beteiligung des Verantwortlichen verlangt, bevollmächtigt der Veranstalter startblock hiermit, die Standarddatenschutzklauseln in seinem Namen abzuschließen; startblock weist die abgeschlossenen Klauseln auf Anfrage nach.

(7) Anlage 3 gibt den Stand bei Vertragsschluss wieder. Änderungen werden nur nach dem Verfahren der Absätze 3 und 4 wirksam; die fortgeschriebene Liste im Register der Unterauftragsverarbeiter bildet den jeweils erreichten Stand ab und ersetzt dieses Verfahren nicht.

§ 7 Kontroll- und Nachweisrechte

(1) startblock stellt dem Veranstalter alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Veranstalter oder einen von ihm beauftragten Prüfer und trägt zu diesen bei (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis erfolgt vorrangig durch Auskünfte in Textform, durch die Anlagen 2 und 3 dieses Vertrages, durch aktuelle Zertifikate, Testate und Prüfberichte der Unterauftragsverarbeiter (etwa SOC-2-Berichte) sowie durch die Protokolle der automatisierten Prüfläufe, mit denen startblock die Mandantentrennung und die Zugriffsregeln der Datenbank nach jeder Änderung überprüft (derzeit 311 Prüffälle, Sollquote 311 von 311). startblock beantwortet Anfragen nach diesem Absatz innerhalb von vier Wochen.

(3) Genügen die Nachweise nach Absatz 2 nicht, kann der Veranstalter eine Überprüfung vor Ort oder per Fernzugriff verlangen. Sie findet einmal je Kalenderjahr ohne besonderen Anlass statt, nach Ankündigung mit einer Frist von vier Wochen in Textform, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und ohne Zugriff auf Daten anderer Veranstalter. Bei einem konkreten Anlass — insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder auf Anordnung einer Aufsichtsbehörde — ist eine Überprüfung auch außerhalb dieses Turnus und kurzfristig möglich.

(4) Beauftragt der Veranstalter einen Dritten mit der Überprüfung, darf dieser kein Wettbewerber von startblock sein und ist zur Verschwiegenheit zu verpflichten. Die Kosten des Prüfers trägt der Veranstalter. Den eigenen Aufwand trägt startblock, soweit die Überprüfung einmal jährlich stattfindet; darüber hinausgehende Überprüfungen ohne Anlass vergütet der Veranstalter nach Aufwand gemäß § 4 Abs. 5.

(5) startblock duldet Kontrollen der zuständigen Aufsichtsbehörden und wirkt an ihnen mit. Ordnet eine Aufsichtsbehörde gegenüber dem Veranstalter eine Prüfung an, die die Verarbeitung im Auftrag betrifft, unterstützt startblock ihn.

§ 8 Pflichten des Veranstalters

(1) Der Veranstalter ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage nach Art. 6 DSGVO und — soweit einschlägig — Art. 9 DSGVO, sowie für die Wahrung der Rechte der betroffenen Personen.

(2) Der Veranstalter erfüllt die Informationspflichten nach Art. 13 und Art. 14 DSGVO gegenüber Teilnehmenden, Käufer:innen, Helfer:innen und sonstigen betroffenen Personen. Das gilt auch dort, wo eine Person die Daten einer anderen Person eingibt, etwa beim Kauf eines Tickets für Dritte. startblock stellt dem Veranstalter Mustertexte für Impressum, Datenschutzerklärung und Teilnahmebedingungen zur Verfügung. Diese Muster sind eine unverbindliche Arbeitshilfe ohne Rechtsberatung; der Veranstalter prüft, ergänzt und verantwortet die auf seiner Veranstaltungsseite veröffentlichten Texte selbst. Der Widerspruchsschalter gegen die Reichweitenmessung, für die startblock selbst Verantwortlicher ist (§ 3 Abs. 1 lit. d), ist an die Datenschutzseite der Veranstaltungsseite gebunden; der Veranstalter muss sie deshalb veröffentlichen, damit Besucher:innen ihn erreichen, und startblock dort nach § 3 Abs. 2 als Verantwortlichen der Messung nennen.

(3) Der Veranstalter entscheidet, welche Angaben im Anmeldeformular erhoben werden, welche Listen und Seiten er veröffentlicht, welche Felder sein Kontaktformular enthält und welche Medien er hochlädt. Er trägt dafür Sorge, dass

a) für die Veröffentlichung von Start-, Teilnehmer- und Ergebnislisten eine Rechtsgrundlage besteht, die betroffenen Personen darüber informiert sind und ein Widerspruch nach Art. 21 DSGVO bearbeitet wird; er beachtet dabei, dass die Teilnehmerliste auch noch nicht bezahlte Anmeldungen ausweist und die Ergebnisliste dauerhaft öffentlich bleibt (Anlage 1 Nr. 3); er prüft außerdem, ob die dauerhafte, namentlich durchsuchbare Veröffentlichung der Ergebnisse, die Teilnehmerliste ohne Widerspruchsmöglichkeit und die ohne Zugangsschutz über die Startnummer abrufbaren Urkunden bei ihm eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO auslösen; startblock unterstützt ihn dabei nach § 5 Abs. 6;

b) für die Veröffentlichung von Fotos, auf denen Personen erkennbar sind, eine Rechtsgrundlage besteht; der Anmeldevorgang der Plattform erhebt keine Einwilligung in die Anfertigung oder Veröffentlichung von Fotos, sondern ausschließlich die Bestätigung der Teilnahmebedingungen. Der Objektspeicher für Medien ist öffentlich lesbar; hochgeladene Dateien sind über ihre Adresse ohne Anmeldung abrufbar;

c) Einwilligungen, Widersprüche und Widerrufe dokumentiert und umgesetzt werden; die Plattform führt keine Einwilligungshistorie.

(4) Weisungen nach § 4 Abs. 3 erteilt der Veranstalter nachvollziehbar und dokumentiert sie für die eigene Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO).

(5) Der Veranstalter hält die im Veranstalter-Konto hinterlegte Kontaktadresse aktuell und stellt sicher, dass dort eingehende Nachrichten zeitnah bearbeitet werden. An diese Adresse richtet startblock die Informationen nach § 6 Abs. 3 und die Meldungen nach § 5 Abs. 5; an sie gehen außerdem die Nachrichten aus dem Kontaktformular der Veranstaltungsseite.

(6) Der Veranstalter benennt die Personen, die für sein Konto zugriffsberechtigt sind, vergibt die Rollen sorgfältig und entzieht sie unverzüglich, wenn die Berechtigung entfällt. Er hält seine Zugangsdaten geheim.

(7) Minderjährige. Werden Minderjährige zur Veranstaltung angemeldet, stellt der Veranstalter sicher, dass die Anmeldung durch die Erziehungsberechtigten erfolgt oder von ihnen genehmigt ist und dass diese über die Verarbeitung — insbesondere über die Veröffentlichung in Start-, Teilnehmer- und Ergebnislisten und über Fotoveröffentlichungen — informiert sind. Erklärungen zu Einwilligung, Widerspruch und Löschung nimmt der Veranstalter von den Erziehungsberechtigten entgegen und setzt sie um. Die Plattform prüft das Alter nicht und unterscheidet nicht zwischen Anmeldungen durch die betroffene Person selbst und durch Dritte.

§ 9 Löschung und Rückgabe

(1) Nach Beendigung dieses Vertrages löscht startblock die im Auftrag verarbeiteten Daten oder gibt sie zurück — nach Wahl des Veranstalters. Der Veranstalter teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende in Textform mit. Trifft er keine Wahl, löscht startblock die Daten nach Absatz 3.

(2) Herausgabe. Der Veranstalter kann seine Daten jederzeit während der Vertragslaufzeit und innerhalb von 30 Tagen nach Vertragsende herausverlangen. Im Administrationsbereich steht Veranstaltern des Tarifs PRO ein Selbstbedienungs-Export zur Verfügung. Unabhängig vom gebuchten Tarif stellt startblock die Daten auf ein Verlangen in Textform innerhalb von 14 Tagen in einem gängigen, maschinenlesbaren Format (CSV) bereit (AGB § 9 Abs. 4).

(3) Löschung. startblock löscht die im Auftrag verarbeiteten Daten einschließlich bestehender Kopien spätestens 90 Tage nach Ende dieses Vertrages, im Übrigen auf Weisung des Veranstalters. Die Löschung wird dem Veranstalter auf Anfrage in Textform bestätigt.

(4) Ausnahmen, die der Veranstalter kennen muss.

a) Von der Löschung ausgenommen sind Daten, für die startblock selbst einer Aufbewahrungspflicht nach Unionsrecht oder dem Recht eines Mitgliedstaats unterliegt; das betrifft die Belege der eigenen Gebührenabrechnung (§ 147 AO, § 257 HGB, zehn Jahre), die nicht Gegenstand dieses Vertrages sind (§ 3 Abs. 1 lit. c). Soweit der Veranstalter selbst zur Aufbewahrung von Zahlungsbelegen und der zugehörigen Anmeldedaten verpflichtet ist, erhält er diese Daten nach Absatz 2 heraus; auf seine Weisung hält startblock sie stattdessen für die Dauer der Aufbewahrungsfrist vor und beschränkt den Zugriff auf den Belegzweck, danach werden sie gelöscht. Trifft der Veranstalter keine Weisung, gilt Absatz 3. Eine technische Verarbeitungssperre im Sinne von Art. 18 DSGVO besteht derzeit nicht, ebenso wenig ein automatisierter Löschlauf nach Fristablauf; die Löschung erfolgt auf Weisung oder im manuellen Durchlauf (Absatz 5). Aus technischen Gründen entfernt das Löschen einer Anmeldung zugleich die zugehörigen Zahlungsfakten; für den Belegerhalt ist deshalb die Anonymisierung der richtige Weg.

b) Ergebnislisten bleiben nach der Weisung des Veranstalters dauerhaft öffentlich abrufbar, bis der Veranstalter die Löschung der Ergebnisse oder der Veranstaltung anweist. Die veröffentlichte Ergebniszeile führt Name, Verein, Kategorie, Geschlecht und Zeit als eigenständige Kopie; sie wird von der Anonymisierung einer Anmeldung und von der Löschung eines Teilnehmer-Kontos nicht erfasst. Will der Veranstalter einem Löschverlangen einer betroffenen Person nachkommen, muss er die Ergebniszeile gesondert anweisen.

c) Sicherungskopien werden nicht gesondert gelöscht; sie laufen nach den Fristen der Unterauftragsverarbeiter aus (Anlage 3, Fristen im Register der Unterauftragsverarbeiter). Das gilt ebenso für die Kopien versandter E-Mails beim Versanddienstleister, der Inhalte und Protokolle 30 Tage vorhält. Während dieser Zeit sind die Daten von der Verarbeitung ausgenommen und werden nicht wiederhergestellt, außer zur Wiederherstellung des Betriebs nach einem Ausfall.

(5) Automatisiert und zeitgesteuert gelöscht werden allein die Zähler der Missbrauchsabwehr (täglich, Aufbewahrung sieben Tage); sie sind eine eigene Verarbeitung von startblock nach § 3 Abs. 1 lit. e. Der Aufrufzähler des Routing-Dienstes (Anlage 1 Nr. 14) enthält keinen Personenbezug (Veranstaltung, Tag, Anzahl) und wird bei jedem Aufruf um Einträge älter als 30 Tage bereinigt. Alle übrigen Speicherdauern in Anlage 1 setzt startblock auf Weisung oder in regelmäßigen manuellen Durchläufen um. startblock benennt diese Grenze ausdrücklich, damit der Veranstalter sie in seiner eigenen Rechenschaftspflicht berücksichtigen kann.

§ 10 Haftung

(1) Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO und kann durch diesen Vertrag nicht abbedungen werden. Die nachfolgenden Regelungen betreffen ausschließlich das Innenverhältnis der Parteien.

(2) Im Innenverhältnis trägt jede Partei den Anteil am Schaden, der ihrem Verantwortungsbeitrag entspricht. Wird eine Partei von einer betroffenen Person oder einer Aufsichtsbehörde in Anspruch genommen, obwohl die andere Partei den Verstoß zu vertreten hat, kann sie von dieser Ausgleich verlangen (Art. 82 Abs. 5 DSGVO).

(3) Der Veranstalter stellt startblock von Ansprüchen Dritter frei, soweit der Schaden darauf beruht, dass startblock eine Weisung des Veranstalters ausgeführt hat, auf deren mögliche Rechtswidrigkeit startblock nach § 4 Abs. 4 hingewiesen hatte und die der Veranstalter aufrechterhalten hat, oder darauf, dass der Veranstalter seine Pflichten aus § 8 verletzt hat.

(4) Im Übrigen gilt die Haftungsregelung der AGB (§ 12) einschließlich der dortigen Begrenzung auf den vorhersehbaren, vertragstypischen Schaden bei einfach fahrlässiger Verletzung wesentlicher Vertragspflichten. Unberührt bleibt die Haftung für Vorsatz und grobe Fahrlässigkeit, für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit sowie nach zwingendem Recht, insbesondere nach Art. 82 DSGVO.

(5) Geldbußen der Aufsichtsbehörden trägt die Partei, gegen die sie verhängt werden; eine pauschale Abwälzung findet nicht statt.

§ 11 Laufzeit und Beendigung

(1) Dieser Vertrag ist untrennbar mit dem Nutzungsvertrag verbunden. Er beginnt und endet mit ihm.

(2) Eine gesonderte Kündigung dieses Vertrages ist ausgeschlossen; die Kündigung des Nutzungsvertrages erfasst diesen Vertrag. Unberührt bleibt das Sonderkündigungsrecht nach § 6 Abs. 4.

(3) Kommt startblock seinen Pflichten aus diesem Vertrag trotz angemessener Fristsetzung nicht nach, kann der Veranstalter den Nutzungsvertrag und damit diesen Vertrag aus wichtigem Grund außerordentlich kündigen.

§ 12 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform; das gilt auch für die Aufhebung dieses Formerfordernisses. Die Fortschreibung der Anlagen nach § 5 Abs. 2 und § 6 Abs. 7 bleibt davon unberührt.

(2) startblock kann diesen Vertrag ändern, soweit dies zur Anpassung an eine geänderte Rechtslage, an Entscheidungen oder Vorgaben der Aufsichtsbehörden oder an eine Änderung der eingesetzten Technik erforderlich ist und die Änderung den Veranstalter nicht unangemessen benachteiligt; das Gleichgewicht von Leistung und Gegenleistung bleibt unberührt. startblock teilt die Änderung mindestens sechs Wochen vor ihrem Wirksamwerden in Textform mit und weist dabei auf die Widerspruchsfrist und die Bedeutung des Schweigens hin. Der Veranstalter kann der Änderung innerhalb von vier Wochen ohne Angabe von Gründen in Textform widersprechen; in diesem Fall kann jede Partei den Nutzungsvertrag und damit diesen Vertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.

(3) Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen in Datenschutzfragen die Regelungen dieses Vertrages vor; bei Widersprüchen zwischen diesem Vertrag und einer Weisung des Veranstalters gilt § 4 Abs. 4.

(4) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Zwingende Vorschriften des Unionsrechts bleiben unberührt.

(5) Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt. Dasselbe gilt für Regelungslücken.

(6) Zuständige Aufsichtsbehörde für startblock ist [AUFSICHTSBEHÖRDE].

Anlage 1 — Gegenstand, Art und Zweck der Verarbeitung, Datenarten, Betroffenenkreise, Dauer

Gegenstand: Betrieb der Veranstaltungswebsite, Online-Anmeldung und Ticketing, Ergebnis- und Urkundenverwaltung, Einlass- und Kontrollpunkte, Helfer- und Schichtplanung, Kommunikation mit Teilnehmenden und Helfer:innen sowie Streckenplanung für die Veranstaltungen des Veranstalters.

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung (an die vom Veranstalter bestimmten Empfänger und, soweit vom Veranstalter veröffentlicht, an die Öffentlichkeit), Löschen und Vernichten — automatisiert in der von startblock betriebenen Plattform.

Betroffene Personen: Teilnehmende (einschließlich Minderjähriger — das Geburtsdatum wird für die Wertungsklasse erhoben, Kinderläufe sind ein Regelfall), Käufer:innen, die ein Ticket für eine andere Person erwerben, Helfer:innen, Mitarbeitende des Veranstalters, Besucher:innen der Veranstaltungsseite, Absender:innen von Kontaktformular und Support-Chat sowie Personen, die auf vom Veranstalter hochgeladenen Fotos erkennbar sind.

Besondere Kategorien nach Art. 9 DSGVO werden nicht planmäßig verarbeitet. Der Veranstalter darf Angaben zu Gesundheit, Weltanschauung oder Ähnlichem nur erheben, wenn er dafür eine Rechtsgrundlage hat und dies startblock vorher in Textform mitteilt.

Hinweis zur Umsetzung der Speicherdauern: Automatisiert und zeitgesteuert gelöscht werden allein die Zähler der Missbrauchsabwehr (täglich, Aufbewahrung sieben Tage). Der Aufrufzähler des Routing-Dienstes (Nr. 14) enthält keinen Personenbezug (Veranstaltung, Tag, Anzahl) und wird bei jedem Aufruf um Einträge älter als 30 Tage bereinigt. Alle übrigen Fristen setzt startblock manuell oder auf Weisung des Veranstalters um (§ 9 Abs. 5). Das Löschen einer Anmeldung entfernt aus technischen Gründen zugleich die zugehörigen Zahlungsfakten; solange die Aufbewahrungsfrist nach Nr. 2 läuft, ist deshalb die Anonymisierung und nicht die Löschung der richtige Weg.

Nicht Gegenstand dieses Vertrages sind zwei Verarbeitungen, die startblock in eigener Verantwortung durchführt und die deshalb in dieser Tabelle nicht mehr geführt werden; die Nummerierung der übrigen Zeilen bleibt unverändert:

• die Missbrauchsabwehr an den Formularen der Veranstaltungsseite (plattformweite Zähler mit ausschließlich einem HMAC-Hashwert der IP-Adresse, Aufbewahrung sieben Tage, automatisiert gelöscht) — § 3 Abs. 1 lit. e; frühere Nr. 15 dieser Tabelle;
• die cookielose Reichweitenmessung der Veranstaltungsseite (Seitenaufruf ohne Abfrageparameter, dynamische Route, Verweisquelle, Zeitpunkt, Land/Region/Stadt, Gerätetyp, Betriebssystem, Browser, Besucherkennung als Hashwert aus der Anfrage für 24 Stunden, ohne Cookie und ohne geräteübergreifende Kennung) — § 3 Abs. 1 lit. d; frühere Nr. 13 dieser Tabelle. Die Schwärzung personenbezogener Pfade greift nur in der Anwendung der Veranstaltungsseiten. Verantwortlicher ist startblock; der Veranstalter erhält aus dieser Messung keine Daten und erteilt zu ihr keine Weisungen (§ 3 Abs. 2).

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Maßgeblich ist die Fassung der technischen und organisatorischen Maßnahmen, die startblock dem Veranstalter im Administrationsbereich abrufbar hält; sie ist Bestandteil dieses Vertrages. Fortentwicklungen richten sich nach § 5 Abs. 2 und dürfen das Schutzniveau nicht unterschreiten; wesentliche Änderungen teilt startblock auf Anfrage mit. Die folgende Übersicht fasst die Kategorien zusammen.

startblock benennt diese Lücken bewusst; sie sind Gegenstand der laufenden Weiterentwicklung.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

Stand: 18. September 2026 — der Stand bei Vertragsschluss (§ 6 Abs. 7). Maßgeblich und fortgeschrieben wird das Register der Unterauftragsverarbeiter; dort stehen auch die Aufbewahrungsfristen der einzelnen Anbieter, die Fassungen und Abschlussdaten der Verträge und die Nachweise. Änderungen richten sich nach § 6 Abs. 3 und 4.

Die Aufbewahrungsfristen der einzelnen Anbieter und das Datum, zu dem der jeweilige Vertrag nach Art. 28 DSGVO abgeschlossen wurde, führt startblock im Register der Unterauftragsverarbeiter und weist sie dem Veranstalter auf Anfrage nach (§ 7 Abs. 2).

Nicht in diesem Verzeichnis geführt werden Empfänger, die als eigene Verantwortliche handeln und über die die Datenschutzerklärungen zu informieren haben: Stripe (Zahlungsabwicklung; der Veranstalter ist selbst Vertragspartner, § 3 Abs. 3), Google LLC (Schriftarten, die zur Laufzeit geladen werden; Wallet-Pässe auf Klick), Apple Distribution International Ltd. und Google Ireland Ltd. als Vertriebspartner der App, Hyperknot Software Kft., Ungarn (Kartenkacheln), sowie YouTube, Vimeo und die OpenStreetMap Foundation, soweit der Veranstalter entsprechende Einbettungen setzt. Ohne Bezug zu Daten betroffener Personen und deshalb ebenfalls nicht aufgeführt ist die Quellcodeverwaltung.

Änderungshistorie