Der Verein („Verantwortlicher") nutzt die SaaS-Plattform WingVu zur Buchung von Schnupperflügen, Rundflug-Events und Helfer-Planung. WingVu („Auftragsverarbeiter") verarbeitet dabei personenbezogene Daten der Vereinsmitglieder, Gäste, Piloten und Helfer im Auftrag des Verantwortlichen. Beide Parteien schließen daher den folgenden Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Mit Annahme der AGB bei Registrierung gilt dieser AVV als geschlossen.
(1) Gegenstand der Verarbeitung ist die Bereitstellung der WingVu-Plattform-Dienste an den Verein.
(2) Die Dauer der Verarbeitung entspricht der Vertragslaufzeit. Nach Vertragsende verfahren die Parteien nach § 8.
(1) Art: Speichern, Strukturieren, Anzeigen, Übermitteln an autorisierte Empfänger (Vereinsadmins, Piloten, Flugleiter, Helfer), Backup, Pseudonymisierung.
(2) Zweck:
| Datenkategorie | Beispiel-Felder | Quelle |
|---|---|---|
| Stammdaten | Name, E-Mail, Telefon, Anschrift | Selbst eingegeben |
| Buchungsdaten | Event-Datum, Slot, Flugzeug, Preis, Stornoinformation | Verein / Endkunde |
| Passagier-Detaildaten | Vor- und Nachname, Körpergewicht (Pflicht nach § 27c LuftVG für MTOW-Berechnung), Kind-Status | Endkunde im Buchungsformular |
| Helfer- und Pilotendaten | Pilotenlizenznr., Verfügbarkeitszeitfenster, Schichtzuteilung | Verein |
| Zahlungsmetadaten | Provider-Referenz (z.B. PayPal Subscription-ID), Status, Beträge | Externer Zahlungsanbieter |
| Technische Daten | Login-Zeitpunkt, IP-Adresse, Session-ID | System |
Hinweis: Kontodaten oder vollständige Kreditkartennummern werden zu keiner Zeit von WingVu verarbeitet — diese liegen ausschließlich beim externen Zahlungsanbieter (PayPal/Stripe).
(1) WingVu verarbeitet personenbezogene Daten ausschließlich auf dokumentierter Weisung des Verantwortlichen. Dokumentierte Weisung sind im Regelfall die innerhalb der Plattform-Funktionalität durchgeführten Aktionen des Verantwortlichen; ergänzende individuelle Weisungen sind per E-Mail an support@wingvu.com zu richten.
(2) WingVu stellt sicher, dass alle zur Datenverarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
(3) WingVu trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOMs); diese sind in Anlage 1 (TOMs) beschrieben.
(4) WingVu unterstützt den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen nach Art. 12–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) sowie bei der Erfüllung der Pflichten aus Art. 32–36 DSGVO. Hierfür kann WingVu einen angemessenen Aufwand in Rechnung stellen, sofern die Anfrage nicht durch ein Verschulden von WingVu veranlasst ist.
(5) WingVu informiert den Verantwortlichen unverzüglich, spätestens jedoch binnen 24 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten (Art. 33 DSGVO). Benachrichtigung erfolgt an die im System hinterlegte Kontakt-E-Mail-Adresse.
(6) WingVu unterstützt den Verantwortlichen auf Anfrage bei der Erstellung einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO).
(7) Nach Beendigung der Auftragsverarbeitung löscht WingVu die personenbezogenen Daten oder gibt sie zurück (vgl. § 8).
(1) Der Verantwortliche stimmt der Einschaltung folgender Sub-Auftragsverarbeiter zu:
| Sub-Auftragsverarbeiter | Sitz | Zweck |
|---|---|---|
| Hetzner Online GmbH | Gunzenhausen, DE | Hosting der Plattform-Server (Falkenstein) |
| Hostinger International Ltd. | Kaunas, LT | Versand transaktionaler E-Mails (SMTP) |
| Mistral AI | Paris, FR | LLM für den optionalen Hilfe-Chatbot |
| Twilio Ireland Ltd. | Dublin, IE | SMS-Verifikation bei Tenant-Registration |
(2) Die externen Zahlungsanbieter PayPal Europe S.à r.l. (Luxemburg) und ggf. Stripe Payments Europe Ltd. (Irland) sind nicht Sub-Auftragsverarbeiter von WingVu, sondern eigenständige Verantwortliche für die Zahlungsabwicklung. Der Verein schließt mit dem jeweiligen Zahlungsanbieter einen eigenen Vertrag.
(3) WingVu informiert den Verantwortlichen mindestens 30 Tage vor Hinzunahme weiterer Sub-Auftragsverarbeiter oder Ersatz bestehender per E-Mail. Der Verantwortliche kann der Änderung innerhalb von 30 Tagen widersprechen; bei Widerspruch ist WingVu berechtigt, das Vertragsverhältnis außerordentlich zu kündigen.
(4) WingVu schließt mit jedem Sub-Auftragsverarbeiter einen den DSGVO-Anforderungen entsprechenden Vertrag ab.
(1) Der Verantwortliche ist allein verantwortlich für die Rechtmäßigkeit der Datenverarbeitung gemäß Art. 5 ff. DSGVO. Er stellt sicher, dass für die in die Plattform eingestellten personenbezogenen Daten Dritter eine gültige Rechtsgrundlage (Art. 6 DSGVO) vorliegt.
(2) Der Verantwortliche erfüllt eigenverantwortlich die Informationspflichten nach Art. 13/14 DSGVO gegenüber den Betroffenen (Mitglieder, Gäste, Piloten, Helfer). Er weist seine Datenschutzerklärung darauf hin, dass für die Buchungs- und Helferverwaltung WingVu als Auftragsverarbeiter eingesetzt wird.
(3) Der Verantwortliche nimmt WingVu als Auftragsverarbeiter in sein Verzeichnis von Verarbeitungstätigkeiten auf (Art. 30 DSGVO).
(4) Der Verantwortliche trifft auf eigener Seite angemessene TOMs (insb. starke Admin-Passwörter, sorgfältige Vergabe von Admin-Rollen, regelmäßige Account-Reviews, sichere Endgeräte).
(1) Nach Beendigung des Hauptvertrags löscht WingVu alle personenbezogenen Daten des Verantwortlichen innerhalb von 30 Tagen aus den Live-Systemen.
(2) Backups, in denen die Daten redundant gespeichert sind, werden im Rahmen ihrer regulären Rotation überschrieben (max. 90 Tage nach Beendigung).
(3) Innerhalb der 30-Tage-Frist kann der Verantwortliche einen Daten-Export anfordern. Format: JSON oder CSV, kostenfrei einmalig.
(1) Der Verantwortliche hat das Recht, sich von der Einhaltung dieses AVV durch WingVu zu überzeugen. WingVu stellt hierfür auf Anfrage geeignete Nachweise (z.B. aktuelle TOM-Dokumentation, ISO-Zertifikate sofern vorhanden) zur Verfügung.
(2) Vor-Ort-Audits sind mit angemessener Vorlaufzeit (mind. 4 Wochen) und nicht häufiger als einmal jährlich möglich. Kosten trägt der Verantwortliche, soweit der Audit keine wesentlichen Verstöße ergibt.