Vertrag zur Auftragsverarbeitung (AV)

gemäß Art. 28 DSGVO – zwischen dem Nutzer (Artist) als Verantwortlichem und dem Anbieter als Auftragsverarbeiter.

§ 1 Parteien

Verantwortlicher: der jeweilige registrierte Nutzer (Artist), der über Gatekit Fan-Daten erhebt.
Auftragsverarbeiter: Noel Gruber (Einzelunternehmen), Badstraße 14, 90513 Zirndorf, Deutschland („Gatekit"). Dieser AV-Vertrag wird mit der Nutzung des Dienstes und Erhebung von Fan-Daten wirksam.

§ 2 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten von Fans, die im Auftrag des Verantwortlichen über dessen Download-Gates erhoben werden. Die Dauer entspricht der Laufzeit des Nutzungsverhältnisses.

§ 3 Art, Zweck, Datenkategorien und betroffene Personen

Zweck	Bereitstellung der Download-Gate-Funktion; Erhebung, Speicherung und Export von Leads im Auftrag des Verantwortlichen.
Art der Daten	E-Mail-Adresse, ggf. Name, Einwilligungsstatus/-text, Zeitstempel, technische Kennungen.
Betroffene Personen	Fans/Besucher, die ein Gate des Verantwortlichen durchlaufen.

§ 4 Pflichten des Auftragsverarbeiters

Verarbeitung ausschließlich nach dokumentierten Weisungen des Verantwortlichen (die Konfiguration der Gates und die Nutzung der Funktionen gelten als Weisung).
Vertraulichkeit der zur Verarbeitung befugten Personen.
Umsetzung geeigneter technischer und organisatorischer Maßnahmen (Art. 32 DSGVO), siehe § 6.
Unterstützung des Verantwortlichen bei Betroffenenanfragen sowie bei Melde-/Benachrichtigungspflichten, soweit möglich.
Nach Ende der Verarbeitung Löschung oder Rückgabe der Daten nach Wahl des Verantwortlichen, soweit keine gesetzliche Aufbewahrungspflicht besteht.
Bereitstellung der zum Nachweis erforderlichen Informationen und Ermöglichung von Überprüfungen.

§ 5 Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:

Dienst	Zweck	Ort
Vercel Inc.	Hosting & privater Dateispeicher (Blob)	USA (EU-SCC)
Upstash	Datenbank (Redis: Konten, Gates, Leads)	EU/USA (EU-SCC)
Stripe	Zahlungsabwicklung (nur Abo-bezogen)	Irland/USA (EU-SCC)

Über den Wechsel/Neueinsatz von Unterauftragsverarbeitern wird der Verantwortliche informiert und kann widersprechen.

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Verschlüsselte Übertragung (HTTPS/TLS); Passwörter nur gehasht (scrypt) gespeichert.
Zugriffstrennung pro Konto (Mandantentrennung); Download-Dateien liegen in privatem, nicht öffentlich adressierbarem Speicher; Auslieferung nur über Einmal-Tokens.
Authentifizierung über signierte Session-Cookies; serverseitige Prüfung aller Aktionen.
Rate-Limiting und Sicherheits-Header; Zugriff auf Produktivdaten nur für den Anbieter.

§ 7 Rechte des Verantwortlichen

Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung und die Einholung erforderlicher Einwilligungen der Fans verantwortlich. Er kann jederzeit Auskunft über die verarbeiteten Daten verlangen sowie deren Berichtigung, Löschung oder Herausgabe (z. B. CSV-Export) veranlassen.

Stand: 2. September 2026 · Gatekit (gatekit.pro). Dies ist eine Vorlage und ersetzt keine Rechtsberatung.