Vertragsparteien
der Projektinhaber, der im Crowdfunding-Portal Spatenstich ein Projekt einreicht (Angaben gemäß den „Angaben zum Projektinhaber“ im Mitgliederbereich) – nachfolgend „Verantwortlicher“ –
und
IQ Mediengruppe LLC, 30 N Gould St Ste N, 82801 Sheridan, WY, USA, vertreten durch Meik Frankenhauser, Bahnhofstr. 10A, 67059 Ludwigshafen, zugleich Vertreter in der Union nach Art. 27 DSGVO – nachfolgend „Auftragsverarbeiter“ –
Präambel
Der Auftragsverarbeiter stellt dem Verantwortlichen mit „Spatenstich“ eine Pitch-Seite für ein Crowdfunding-Projekt bereit. Unterstützer geben dort Daten an, um das Projekt zu unterstützen und Gegenleistungen zu erhalten. Grundlage ist die Nutzung von Spatenstich gemäß den Bedingungen für Projektinhaber. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO.
§ 1 Gegenstand, Dauer, Art und Zweck
(1) Gegenstand ist die Verarbeitung personenbezogener Daten der Unterstützer im Rahmen von Spatenstich: Entgegennahme der Unterstützungsangaben über das Formular auf der Pitch-Seite, Übergabe der Zahlungsdaten an PayPal (Betrag, Bezeichnung, Referenz, E-Mail-Adresse zur Vorbelegung), Empfang und Prüfung der Zahlungsmeldungen von PayPal, Darstellung der Unterstützerwand, Bereitstellung der Unterstützerliste und des Exports, Versand von Bestätigungs-E-Mails und – nach bestätigter Einwilligung – von Projekt-Neuigkeiten im Namen des Verantwortlichen.
(2) Art der Verarbeitung: Erheben, Speichern, Abgleichen, Übermitteln an PayPal im Rahmen der Weiterleitung, Versenden von E-Mails, Protokollieren von Bestätigungen und Einwilligungen, Bereitstellen, Anonymisieren und Löschen.
(3) Zweck: Abwicklung der Unterstützungen und Lieferung der Gegenleistungen durch den Verantwortlichen sowie Information der Unterstützer.
(4) Dauer: Der Vertrag läuft, solange der Auftragsverarbeiter Daten für Projekte des Verantwortlichen verarbeitet.
§ 2 Art der Daten und betroffene Personen
(1) Datenarten: Name, E-Mail-Adresse, Betrag, gewählte Gegenleistung, Referenznummer, bei Gegenleistungen mit Versand die Anschrift, optional Anzeigename und Nachricht für die Unterstützerwand, Einwilligung in Projekt-Neuigkeiten mit Nachweis (Zeitpunkt, IP-Adresse, Gerät, Wortlaut), Zeitpunkt, IP-Adresse und Gerät der Bestätigung der Hinweise, Zahlungsstatus, PayPal-Transaktionsnummer und E-Mail-Adresse des PayPal-Kontos, Versand- und Abmeldestatus; technisch bedingt IP-Adressen in Server-Protokollen.
(2) Betroffene: Unterstützer und Interessenten des Verantwortlichen.
(3) Die Daten werden ausschließlich für den Verantwortlichen verarbeitet. Der Auftragsverarbeiter übernimmt sie nicht in eigene Kontaktlisten oder Werbemaßnahmen und setzt auf Pitch-Seiten von Mitgliedern und Kunden keine Analyse- oder Tracking-Werkzeuge ein.
(4) PayPal (Europe) S.à r.l. et Cie, S.C.A. wickelt die Zahlung als eigener Verantwortlicher im Verhältnis zwischen Unterstützer und Verantwortlichem ab und ist kein Unterauftragsverarbeiter.
§ 3 Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen erteilt der Verantwortliche insbesondere über die Funktionen in seinem Mitgliederbereich (z. B. Gegenleistungen mit oder ohne Versand, Zahlungsbestätigung, Neuigkeiten, Export) sowie in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
§ 4 Pflichten des Auftragsverarbeiters
(1) Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
(2) Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind, und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
(3) Er unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Art. 12–23 DSGVO), bei der Meldung von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei Konsultationen der Aufsichtsbehörde (Art. 32–36 DSGVO).
(4) Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.
(5) Für Prüfungen der Projekte und die Bearbeitung von Meldungen darf der Auftragsverarbeiter Einsicht in die Projektdaten nehmen; dies gehört zur vereinbarten Leistung.
§ 5 Unterauftragsverarbeiter
(1) Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.
(2) Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens 30 Tage vorher in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag dann außerordentlich kündigen.
(3) Unterauftragsverarbeitern werden dieselben Datenschutzpflichten auferlegt wie in diesem Vertrag.
§ 6 Übermittlung in Drittländer
Die Speicherung erfolgt in der Europäischen Union (Rechenzentrum Frankfurt am Main). Der Auftragsverarbeiter hat seinen Sitz in den USA; soweit dadurch ein Zugriff aus einem Drittland möglich ist, gelten die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Modul 2) als vereinbart; sie gehen diesem Vertrag im Konfliktfall vor.
§ 7 Kontrollen
Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage durch geeignete Unterlagen nach. Der Verantwortliche kann nach rechtzeitiger Ankündigung und zu üblichen Geschäftszeiten Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen.
§ 8 Löschung und Rückgabe
Der Verantwortliche kann die Unterstützerliste jederzeit exportieren. Nicht bezahlte und stornierte Vormerkungen werden 90 Tage nach ihrer Anlage gelöscht. Die Angaben zu Unterstützern werden nach Ablauf der im Portal eingestellten Frist nach Projektende (derzeit 24 Monate) automatisch anonymisiert; erhalten bleiben nur Betrag, Gegenleistung und Status. Nach Ende der Nutzung löscht der Auftragsverarbeiter alle übrigen Daten des Verantwortlichen innerhalb von 30 Tagen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht; auf Wunsch stellt er sie vorher als Datei bereit.
§ 9 Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO. Änderungen bedürfen der Textform. Es gilt deutsches Recht; Gerichtsstand ist, soweit zulässig, Ludwigshafen am Rhein. Sollte eine Bestimmung unwirksam sein, bleibt der Rest wirksam. Der Vertrag kann elektronisch abgeschlossen werden.
Anlage 1 – Technische und organisatorische Maßnahmen
- Vertraulichkeit: Zugriff nur mit persönlicher Anmeldung; Zeilen-Zugriffsregeln in der Datenbank trennen die Unterstützerdaten jedes Verantwortlichen; Administrationszugänge mit starken Passwörtern und Zwei-Faktor-Anmeldung.
- Datensparsamkeit: Anschrift nur bei Gegenleistungen mit Versand; öffentliche Anzeige nur mit selbst gewähltem Anzeigenamen, sonst anonym; Beträge einzelner Unterstützer werden nicht öffentlich gezeigt; keine Cookies und kein Tracking auf den Pitch-Seiten.
- Integrität: verschlüsselte Übertragung (TLS); Zahlungsmeldungen werden nur verbucht, wenn PayPal sie auf Rückfrage bestätigt und Empfänger, Betrag und Währung übereinstimmen; Schutz vor automatisierten Eingaben und Begrenzung der Anfragen.
- Verfügbarkeit: Betrieb in einem Rechenzentrum mit redundanter Infrastruktur und regelmäßigen Sicherungen.
- Löschung: automatische Fristen für nicht bezahlte Vormerkungen (90 Tage) und Anonymisierung nach Projektende; Abmeldung von Neuigkeiten mit einem Klick.
- Überprüfung: regelmäßige Kontrolle und Anpassung der Maßnahmen.
Anlage 2 – Unterauftragsverarbeiter
Supabase Inc., 970 Toa Payoh North #07-04, Singapur – Datenbank, Dateispeicher und Server, Speicherort: EU (Frankfurt am Main); Standardvertragsklauseln vereinbart
1blu AG, Riedemannweg 60, 13627 Berlin – Webhosting der Pitch-Seiten sowie E-Mail-Versand über das Postfach der Fundament-Allianz
Abschluss
Der Vertrag wird mit dem Einreichen eines Projekts geschlossen, bei dem der Verantwortliche diesen Vertrag ausdrücklich bestätigt. Auf Wunsch senden wir ihn zusätzlich zur elektronischen Unterschrift. Fassung 2026-10.