Vertrag nach Art. 28 DSGVO · Version 2026-07. Dieser AVV wird Bestandteil des Organisationsvertrags, wenn das Angebot oder die Auftragsbestätigung auf ihn verweist und die Organisation den Auftrag annimmt.
zwischen der im Angebot bezeichneten Organisation („Verantwortlicher" oder „Auftraggeber") und PrismaWorks, Inhaber Fabien Sombrofsky, Braune-Moor-Str. 1b, 49844 Bawinkel („Auftragsverarbeiter" oder „Auftragnehmer").
Der Auftragnehmer verarbeitet personenbezogene Daten für den Auftraggeber, soweit dieser Equinora für Vereins-, Stall-, Mitglieder-, Einsteller-, Kommunikations- oder Finanzverwaltung nutzt. Gegenstand, Umfang und Dauer folgen dem Organisationsvertrag, dem gebuchten Funktionsumfang und diesem AVV. Die Verarbeitung dauert grundsätzlich für die Laufzeit der Organisationslizenz zuzüglich einer vereinbarten Export- und Löschfrist.
Zweck ist die technische Bereitstellung der Equinora-Funktionen im Auftrag des Auftraggebers. Je nach Nutzung werden insbesondere verarbeitet:
Betroffene Personen können Mitglieder, Antragsteller, Einsteller, Pferdehalter, Sorgeberechtigte, Vorstände, Beschäftigte, Helfer, Ansprechpartner, Zahlungspflichtige und sonstige Nutzer des Auftraggebers sein. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht als regulärer Verarbeitungszweck vorgesehen. Der Auftraggeber darf sie nur eingeben, wenn dies erforderlich, rechtmäßig und für die konkrete Funktion vorgesehen ist.
Der Auftragnehmer verarbeitet Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit keine gesetzliche Pflicht zur Verarbeitung besteht. Als dokumentierte Weisungen gelten der Organisationsvertrag, dieser AVV, Einstellungen und Aktionen berechtigter Administratoren sowie Weisungen in Textform an support@equinora-app.com. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, die Information der betroffenen Personen, die Datenrichtigkeit, erforderliche Einwilligungen und Mandate sowie ein angemessenes Rollen- und Berechtigungskonzept verantwortlich. Er darf Zugang nur berechtigten Personen geben, Zwei-Faktor-Schutz nach Risiko aktivieren und Zugriffe beim Ausscheiden einer Person unverzüglich entziehen. Sicherheits- oder Datenschutzvorfälle sind dem Auftragnehmer ohne schuldhaftes Zögern mitzuteilen.
Der Auftraggeber erteilt die allgemeine Genehmigung für die in Anlage 2 genannten Unterauftragsverarbeiter. Über beabsichtigte wesentliche Änderungen informiert der Auftragnehmer grundsätzlich mindestens 30 Tage vorher in Textform oder über die im Organisationskonto hinterlegte Kontaktadresse. Der Auftraggeber kann aus einem sachlichen Datenschutzgrund widersprechen. Können die Parteien keine angemessene Lösung finden, darf der Auftraggeber den betroffenen Dienst außerordentlich beenden.
Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich zu einem diesem AVV vergleichbaren Datenschutzniveau. Er bleibt gegenüber dem Auftraggeber für deren Leistung verantwortlich.
Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums erfolgt nur bei Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, geeigneter Garantien wie EU-Standardvertragsklauseln oder einer anwendbaren gesetzlichen Ausnahme. Regionale Angaben beziehen sich auf die von uns konfigurierbaren Kerndienste; einzelne Authentifizierungs-, Support-, Sicherheits- oder Metadaten können nach den Bedingungen des jeweiligen Anbieters außerhalb dieser Region verarbeitet werden.
Der Auftragnehmer stellt die zum Nachweis der Pflichten erforderlichen Informationen zur Verfügung. Der Auftraggeber kann nach angemessener Vorankündigung und höchstens einmal jährlich sowie zusätzlich bei begründetem Anlass eine Prüfung selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Prüfungen müssen verhältnismäßig sein, dürfen Sicherheit und Rechte anderer Kunden nicht beeinträchtigen und sollen vorrangig anhand vorhandener Nachweise erfolgen. Verursacht eine Prüfung unverhältnismäßigen Zusatzaufwand, kann dieser nach vorheriger Abstimmung berechnet werden.
Der Auftragnehmer berichtigt, löscht oder beschränkt Auftragsdaten nach dokumentierter Weisung, soweit der Auftraggeber dies nicht selbst über die Funktionen vornehmen kann. Nach Vertragsende kann der Auftraggeber vorhandene Exportfunktionen innerhalb der mitgeteilten Übergangsfrist nutzen. Danach werden Auftragsdaten nach Wahl des Auftraggebers gelöscht oder zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht besteht. Sicherungskopien werden im regulären Löschzyklus überschrieben und bis dahin gesperrt verarbeitet.
Der allgemeine Portal-Hilfeassistent und KI-Textvorschläge sind derzeit deaktiviert; es werden aktuell keine Daten an DeepSeek übermittelt. Eine spätere Reaktivierung oder eine künftige KI-Verarbeitung personenbezogener Auftragsdaten setzt eine erneute Datenschutzprüfung und, soweit erforderlich, eine gesonderte Vereinbarung, eine dokumentierte Weisung sowie einen nach Art. 28 und Art. 44 ff. DSGVO geeigneten Anbieter- und Transferrahmen voraus.
Für die Haftung gelten Art. 82 DSGVO und ergänzend der Organisationsvertrag. Bei Widersprüchen zu sonstigen Vertragsbedingungen hat dieser AVV für Fragen der Auftragsverarbeitung Vorrang. Zwingendes Datenschutzrecht bleibt unberührt.
Der AVV kann elektronisch abgeschlossen werden. Als Nachweis dienen insbesondere Angebot, Auftragsbestätigung, Organisations-ID, akzeptierte Version und Zeitstempel. Änderungen, die Pflichten nach Art. 28 DSGVO betreffen, werden in Textform vereinbart. Aktualisierungen rein technischer Anlagen dürfen erfolgen, wenn das Schutzniveau nicht abgesenkt wird und der Auftraggeber informiert wird.
Derzeit nicht eingesetzt: Der API-Dienst von Hangzhou DeepSeek Artificial Intelligence Co., Ltd., China, ist für KI-Hilfe und generische Textvorschläge technisch deaktiviert und erhält aktuell keine Daten. Vor einer Reaktivierung gelten die Voraussetzungen aus Abschnitt 10.