Vertrag über die Auftragsverarbeitung

nach Art. 28 DSGVO · Muster für alle Vereine. Mit der Registrierung wird dieser Vertrag geschlossen; eine unterschriebene Fassung mit eurem Vereinsnamen stellen wir auf Wunsch unter „Tarif & Zahlung → Vertragsunterlagen“ bereit.

zwischen dem jeweiligen Verein (Verantwortlicher, „Auftraggeber“) und Aytunc Serin, Standwert Beratung, Ritterstr. 33, 33602 Bielefeld (Auftragsverarbeiter, „Auftragnehmer“).

Präambel

(1) Der Auftragnehmer stellt dem Auftraggeber die webbasierte Vereinsverwaltung „VereinMAP“ (www.vereinmap.de) als Software-as-a-Service zur Verfügung und verarbeitet dabei personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers.

(2) Dieser Vertrag konkretisiert die Pflichten der Parteien aus Art. 28 DSGVO. Er gilt für alle Tätigkeiten im Zusammenhang mit dem Nutzungsvertrag über VereinMAP („Hauptvertrag“), bei denen der Auftragnehmer, seine Beschäftigten oder Unterauftragnehmer mit personenbezogenen Daten des Auftraggebers in Berührung kommen.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist der Betrieb von VereinMAP: Bereitstellung, Hosting, Wartung, Datensicherung, Support und E-Mail-Versand aus der Software (z. B. Zugangsdaten, Vorabankündigungen von SEPA-Lastschriften).

(2) Die Laufzeit entspricht der des Hauptvertrages. Pflichten zur Rückgabe und Löschung (§ 10) bestehen darüber hinaus fort. Anlage 1 (technische und organisatorische Maßnahmen) und Anlage 2 (Unterauftragnehmer) sind Bestandteil dieses Vertrages.

§ 2 Art, Umfang und Zweck der Verarbeitung

(1) Datenarten: Mitgliederstammdaten (Anrede, Name, Geburtsdatum, Anschrift, Abteilung, Status, Foto), Kontaktdaten, Bank- und Zahlungsdaten (IBAN, BIC, SEPA-Mandate, Beiträge, Rücklastschriften), Finanz- und Buchungsdaten, Dokumente und Einwilligungen, Termine, Aufgaben, Mitteilungen und Protokolle, Benutzer- und Protokolldaten; bei Nutzung des Moduls Nachhilfe & BuT zusätzlich Daten geförderter Kinder, Erziehungsberechtigter, Bescheide und Leistungsnachweise; sowie alle weiteren Daten, die der Auftraggeber in VereinMAP erfasst.

(2) Betroffene: Mitglieder, ehemalige Mitglieder und Interessenten, Erziehungsberechtigte und Kontoinhaber, Vorstand, Ehrenamtliche, Übungsleiter, Lehrkräfte und sonstige Benutzer, Spender und Geschäftspartner des Auftraggebers, bei Nachhilfe & BuT geförderte Kinder und Jugendliche.

(3) Zweck ist ausschließlich die Erfüllung des Hauptvertrages; eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt. Besondere Kategorien nach Art. 9 DSGVO (z. B. Atteste) werden nur verarbeitet, soweit der Auftraggeber sie selbst erfasst.

(4) Die Verarbeitung findet ausschließlich in der Bundesrepublik Deutschland statt (Rechenzentrum: STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin). Eine Verlagerung außerhalb der EU bzw. des EWR bedarf der vorherigen Zustimmung des Auftraggebers und der Voraussetzungen der Art. 44 ff. DSGVO.

§ 3 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen für Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit (Anlage 1). Er darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; wesentliche Änderungen werden dokumentiert.

§ 4 Weisungen und Betroffenenrechte

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung. Weisungen erfolgen in der Regel durch die Bedienung der Software, im Übrigen in Textform (Support-Funktion oder E-Mail). Weisungsberechtigt sind die Admins des Vereinskontos.

(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.

(3) Berichtigung, Löschung und Einschränkung führt der Auftraggeber in der Software aus. Anfragen betroffener Personen beim Auftragnehmer werden unverzüglich weitergeleitet; der Auftragnehmer unterstützt bei der Beantwortung (Art. 12–22 DSGVO).

§ 5 Pflichten des Auftragnehmers

(1) Datenschutz-Ansprechpartner des Auftragnehmers: Aytunc Serin, info@vereinmap.de.

(2) Eingesetzte Personen sind zur Vertraulichkeit verpflichtet und mit dem Datenschutz vertraut. Zugriffe auf Vereinsdaten erfolgen nur, soweit für Betrieb, Support oder Fehlerbehebung erforderlich.

(3) Der Auftragnehmer arbeitet mit der Aufsichtsbehörde zusammen, informiert den Auftraggeber über sie betreffende Maßnahmen, unterstützt ihn bei Kontrollen und Ansprüchen, überprüft regelmäßig seine Maßnahmen und führt ein Verzeichnis nach Art. 30 Abs. 2 DSGVO.

§ 6 Unterauftragsverhältnisse

(1) Der Auftraggeber stimmt der Beauftragung der in Anlage 2 genannten Unterauftragnehmer zu. Weitere oder neue Unterauftragnehmer werden mindestens 14 Tage vorher in Textform angezeigt; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können beide Parteien den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

(2) Unterauftragnehmer werden vertraglich auf die Pflichten dieses Vertrages verpflichtet (Art. 28 Abs. 2 und 4 DSGVO). Nebenleistungen wie Telekommunikation oder Datenträgerentsorgung sind keine Unterauftragsverhältnisse.

§ 7 Kontrollrechte

Der Auftraggeber kann sich durch Auskünfte, Nachweise und – nach rechtzeitiger Anmeldung – Kontrollen vor Ort von der Einhaltung überzeugen. Nachweise können auch durch Zertifikate, genehmigte Verhaltensregeln oder Berichte unabhängiger Prüfer und der Rechenzentren erbracht werden. Für Kontrollen vor Ort, die über das gesetzlich Erforderliche hinausgehen, kann eine angemessene Aufwandsentschädigung verlangt werden.

§ 8 Meldung von Verletzungen

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer unverzüglich, möglichst innerhalb von 24 Stunden, in Textform mit Art, Umfang, betroffenen Kategorien, wahrscheinlichen Folgen und ergriffenen Maßnahmen. Der Auftraggeber entscheidet über Meldungen nach Art. 33 und 34 DSGVO; der Auftragnehmer unterstützt ihn (Art. 32–36 DSGVO).

§ 9 Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, die Information der Betroffenen und erforderliche Einwilligungen verantwortlich, ebenso für Inhalte, die er selbst einstellt (z. B. eigene Formular-Vorlagen). Er vergibt Zugänge sorgfältig und meldet Unregelmäßigkeiten unverzüglich.

§ 10 Kopien, Rückgabe und Löschung

(1) Kopien werden ohne Wissen des Auftraggebers nicht erstellt, ausgenommen Sicherungskopien und Daten mit gesetzlicher Aufbewahrungspflicht. Der Auftraggeber kann seine Daten jederzeit über die Exportfunktionen herunterladen.

(2) Nach Ende des Hauptvertrages löscht der Auftragnehmer die Daten spätestens nach 30 Tagen, soweit keine Aufbewahrungspflicht besteht; Datensicherungen nach Ablauf ihrer Aufbewahrungsfrist. Die Löschung wird auf Anforderung bestätigt.

§ 11 Haftung und Schlussbestimmungen

Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO, im Übrigen nach dem Hauptvertrag. Änderungen bedürfen der Textform. Unwirksame Bestimmungen berühren die Wirksamkeit der übrigen nicht. Es gilt deutsches Recht.

Anlage 1 – Technische und organisatorische Maßnahmen

Anlage 2 – Unterauftragnehmer