gemäß Art. 28 Abs. 3 DSGVO · Stand: Mai 2026 · Version 1.0
Thomas Stroh – DJCockpit
Lankenstraße 3, 52428 Jülich
E-Mail: info@djcockpit.de
Der im Rahmen der Registrierung auf djcockpit.de angegebene Nutzer. Die konkreten Daten ergeben sich aus dem Nutzerkonto.
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der SaaS-Plattform DJCockpit für den Auftraggeber. Der Auftraggeber nutzt DJCockpit zur Verwaltung seiner eigenen Kunden, Buchungen und Veranstaltungen und speichert dabei personenbezogene Daten Dritter in der Plattform.
Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Nutzungsvertrags gemäß den AGB von DJCockpit.
Erhebung, Speicherung, Übermittlung, Abruf, Verwendung, Abgleich, Löschung und Vernichtung personenbezogener Daten im Rahmen des Betriebs der Plattform.
Bereitstellung der vertragsgegenständlichen SaaS-Funktionen: Kundenverwaltung, Buchungsverwaltung, Rechnungserstellung, Musikwunsch-System, Buchhaltungsmodul und zugehörige Funktionen.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Plattform durch den Auftraggeber gilt als Weisung. Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke.
Der Auftragsverarbeiter stellt sicher, dass alle Personen mit Zugang zu den Daten zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
Der Auftragsverarbeiter trifft gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen (TOM) zum Schutz der verarbeiteten Daten. Diese sind in Anhang 1 konkret beschrieben.
Der Auftragsverarbeiter ist berechtigt, Unterauftragsverarbeiter einzusetzen (Anhang 2). Der Auftraggeber erteilt die allgemeine Genehmigung hierfür. Über Änderungen wird der Auftraggeber mindestens 14 Tage im Voraus per E-Mail informiert und kann Einwände erheben.
Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung von Betroffenenrechten gemäß Art. 15–22 DSGVO durch geeignete technische Maßnahmen.
Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, per E-Mail an die im Nutzerkonto hinterlegte Adresse.
Nach Beendigung des Nutzungsvertrags stellt der Auftragsverarbeiter dem Auftraggeber 30 Tage zur Verfügung, um Daten zu exportieren. Anschließend werden alle personenbezogenen Daten unwiderruflich gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Der Auftragsverarbeiter stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der DSGVO-Konformität zur Verfügung. Audits sind auf normale Geschäftszeiten mit angemessener Vorlaufzeit zu beschränken.
Der Auftraggeber ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung verantwortlich. Er ist insbesondere verpflichtet:
Alle personenbezogenen Daten werden ausschließlich auf Servern innerhalb der Europäischen Union verarbeitet und gespeichert. Serverstandorte: Firebase (Google): Frankfurt am Main, Deutschland (europe-west3); Vercel: Frankfurt am Main, Deutschland (fra1). Ein Transfer personenbezogener Daten in Drittländer findet nicht statt. Als zusätzliche Absicherung gegen mögliche behördliche Zugriffe nach US-Recht (CLOUD Act) gelten die EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO sowie das EU-US Data Privacy Framework (DPF).
Im Außenverhältnis haften Verantwortlicher und Auftragsverarbeiter gemäß Art. 82 DSGVO gesamtschuldnerisch gegenüber betroffenen Personen. Im Innenverhältnis trägt jede Partei die Haftung entsprechend ihrem Verschuldensanteil. Der Auftragsverarbeiter haftet dem Auftraggeber nur, soweit er nachweislich gegen diesen Vertrag verstoßen hat.
Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Aachen. Salvatorische Klausel: Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
Gemäß Art. 32 DSGVO eingesetzte Maßnahmen (Stand: Mai 2026):
| Maßnahmenkategorie | Konkrete Maßnahmen |
|---|---|
| Zutrittskontrolle | Keine physischen Serverräume beim Anbieter. Infrastruktur liegt bei Google Firebase und Vercel (ISO 27001-zertifizierte Rechenzentren in Frankfurt). Physischer Zugang Dritter ausgeschlossen. |
| Zugangskontrolle | Passwortgeschützte Nutzerkonten, Firebase Authentication mit sicheren Token, Passwort-Hashing durch Firebase, Brute-Force-Schutz integriert. |
| Zugriffskontrolle | Multi-Tenant-Architektur: Jeder DJ-Nutzer hat ausschließlich Zugriff auf seine eigenen Daten. Firestore Security Rules verhindern Cross-Tenant-Zugriff technisch. |
| Weitergabekontrolle | Datenübertragung ausschließlich über HTTPS/TLS-Verschlüsselung (TLS 1.2 oder höher). Keine unverschlüsselte Übertragung personenbezogener Daten. |
| Eingabekontrolle | Alle Datenbankoperationen über validierte API-Endpunkte. Firebase-Logs ermöglichen Nachvollziehbarkeit von Datenänderungen. |
| Verfügbarkeitskontrolle | Regelmäßige automatische Backups durch Firebase. Redundante Cloud-Infrastruktur. Monitoring über Vercel und Firebase Console. |
| Trennungsgebot | Strikte Datentrennung zwischen verschiedenen DJ-Nutzern durch Firestore-Datenbankstruktur (users/{uid}/...). Technisch erzwungene Isolation. |
| Verschlüsselung | Datenverschlüsselung at rest durch Firebase/Google. Verschlüsselung in transit über HTTPS/TLS. Passwort-Hashing mit sicheren Algorithmen. |
Eingesetzte Unterauftragsverarbeiter gemäß Art. 28 Abs. 2 DSGVO (Stand: Mai 2026):
| Anbieter | Zweck | Serverstandort | Rechtsgrundlage |
|---|---|---|---|
| Google LLC (Firebase) | Datenbank, Authentifizierung, Dateispeicherung, Cloud Functions | Frankfurt (europe-west3) | EU-Server; SCC + DPF |
| Vercel Inc. | Hosting, CDN, Serverless-Deployment | Frankfurt (fra1) | EU-Server; SCC + DPF |
| Resend Inc. | Transaktionaler E-Mail-Versand | USA | SCC 2021/914 |
Stand: Mai 2026 · DJCockpit.de · Thomas Stroh · Lankenstraße 3, 52428 Jülich