Entwurf zur Ansicht. Er wird noch rechtlich geprüft, Änderungen sind vorbehalten und er ist nicht verbindlich. Verbindlich ist nur der unterschriebene Vertrag. Die Fassung zur Unterschrift bekommst du mit dem Angebot. Felder in eckigen Klammern füllen wir pro Verein aus.

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (treffer.club)

zwischen

[Name des Vereins] e. V., [Anschrift] (nachfolgend „Verantwortlicher“ oder „Verein“)

und

seventyfive media, Inhaber Mark Böhm, Lissabonner Str. 5, 97084 Würzburg, E-Mail info@seventyfivemedia.com (nachfolgend „Auftragsverarbeiter“ oder „Anbieter“)

§ 1 Gegenstand, Dauer, Art und Zweck

1. Der Anbieter betreibt für den Verein die Vereins-App treffer.club und den zugehörigen Webspace nach dem Nutzungs- und Dienstleistungsvertrag vom [Datum] (Hauptvertrag). Dabei verarbeitet er personenbezogene Daten im Auftrag des Vereins.

2. Dieser Vertrag konkretisiert die Pflichten beider Parteien zum Datenschutz. Er gilt für alle Tätigkeiten, bei denen der Anbieter oder von ihm Beauftragte mit personenbezogenen Daten des Vereins in Berührung kommen können.

3. Dauer: Der Vertrag gilt mit dem Hauptvertrag und endet mit dessen Ende, die Pflichten zu Löschung, Rückgabe und Vertraulichkeit gelten darüber hinaus.

4. Art und Zweck der Verarbeitung: Speicherung, Bereitstellung, Anzeige, Übermittlung innerhalb der App, Sicherung und Löschung von Vereinsdaten zum Zweck des Betriebs der App (Mitgliederverwaltung und Vereinskommunikation, Termine, Aufsichtsplan, Schießbuch, Dokumente, Börse, Benachrichtigungen).

5. Art der Daten und Kreis der Betroffenen: Anlage 1.

§ 2 Weisungen

1. Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Vereins, es sei denn, ein Gesetz verpflichtet ihn zu einer anderen Verarbeitung. In diesem Fall teilt er dem Verein die rechtliche Anforderung vor der Verarbeitung mit, sofern das Gesetz das nicht verbietet.

2. Der Hauptvertrag, dieser Vertrag und die Einstellungen des Vereins in der App sind die Weisungen. Einzelweisungen erteilt der Verein in Textform an info@seventyfivemedia.com.

3. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Verein unverzüglich darauf hin und darf die Ausführung aussetzen, bis der Verein sie bestätigt oder ändert.

4. Weisungsberechtigt für den Verein ist der Vorstand im Sinne des § 26 BGB sowie die dem Anbieter vom Verein benannte Ansprechperson.

§ 3 Pflichten des Anbieters

1. Vertraulichkeit: Der Anbieter und alle Personen, die für ihn tätig sind, sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO). Das gilt auch nach Vertragsende.

2. Sicherheit der Verarbeitung: Der Anbieter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und entwickelt sie nach dem Stand der Technik weiter. Wesentliche Änderungen, die das Schutzniveau senken, bedürfen der Zustimmung des Vereins.

3. Betroffenenrechte: Der Anbieter unterstützt den Verein mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen der Betroffenen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Die App bietet dafür Funktionen für Export und Löschung durch den Verein. Wendet sich ein Betroffener direkt an den Anbieter, leitet dieser die Anfrage unverzüglich an den Verein weiter und beantwortet sie nicht selbst.

4. Weitere Unterstützung: Der Anbieter unterstützt den Verein bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation der Aufsichtsbehörde) im Rahmen seiner Möglichkeiten.

5. Meldung von Verletzungen: Der Anbieter meldet dem Verein eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben, die der Verein für die eigene Meldung an die Aufsichtsbehörde (72 Stunden) braucht (Art, Umfang, wahrscheinliche Folgen, ergriffene Maßnahmen).

6. Verzeichnis: Der Anbieter führt ein Verzeichnis aller Verarbeitungstätigkeiten, die er für den Verein ausführt (Art. 30 Abs. 2 DSGVO).

7. Datenschutzbeauftragter: Der Anbieter hat keinen Datenschutzbeauftragten, weil keine Pflicht zur Benennung besteht. Ansprechpartner für Datenschutz ist Mark Böhm, info@seventyfivemedia.com.

8. Verarbeitung nur in der EU: Die Verarbeitung findet in Rechenzentren in der Europäischen Union statt (nach den Angaben des Hosters in Frankfurt am Main). Eine Übermittlung in Drittländer erfolgt nur nach Maßgabe von § 4 und nur mit den Garantien nach Kapitel V DSGVO.

§ 4 Unterauftragsverarbeiter

1. Der Verein erteilt dem Anbieter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Zum Vertragsschluss genehmigt der Verein die in Anlage 3 genannten.

2. Der Anbieter informiert den Verein mindestens vier Wochen vor einer beabsichtigten Änderung (Hinzufügen oder Ersetzen) in Textform. Der Verein kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Wird der Widerspruch nicht ausgeräumt, steht beiden Parteien ein Sonderkündigungsrecht zu (Hauptvertrag).

3. Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten wie in diesem Vertrag, soweit sie die Verarbeitung betreffen, und haftet dem Verein für dessen Pflichtverletzungen.

4. Bei den in Anlage 3 genannten Standardleistungen großer Anbieter (Hosting, Push-Dienste) gilt das Vertragswerk des jeweiligen Anbieters, dessen Einbeziehung der Verein hiermit genehmigt, soweit es den Anforderungen des Art. 28 DSGVO genügt.

§ 5 Rechte und Pflichten des Vereins

1. Der Verein ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Betroffenenrechte verantwortlich (Rechtsgrundlagen, Informationen nach Art. 13 und 14 DSGVO, Einwilligungen, insbesondere der Eltern bei Personen unter 16 Jahren, Impressum und Datenschutzerklärung der Vereinsinstallation).

2. Der Verein prüft vor dem Abschluss, ob die Maßnahmen in Anlage 2 für seine Daten ausreichen, und meldet dem Anbieter Besonderheiten (zum Beispiel besonders sensible Daten), die zusätzliche Maßnahmen verlangen.

3. Der Verein gibt dem Anbieter unverzüglich Bescheid, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

4. Der Verein vergibt Rollen und Rechte in der App nach dem Grundsatz der Datensparsamkeit (nur so viel Zugriff wie nötig) und hält Zugangsdaten geheim.

§ 6 Kontrollrechte

1. Der Verein darf sich von der Einhaltung dieses Vertrags überzeugen. Der Anbieter stellt dem Verein auf Anfrage die nötigen Informationen bereit und weist die Einhaltung durch geeignete Nachweise nach (zum Beispiel Beschreibung der Maßnahmen, Nachweise der Unterauftragsverarbeiter, Auskünfte).

2. Eine Kontrolle vor Ort ist nach Anmeldung mit angemessener Frist von mindestens 14 Tagen während der üblichen Geschäftszeiten möglich, nicht öfter als einmal im Jahr, es sei denn, es liegt ein konkreter Anlass vor. Der Verein trägt seine Kosten, der Anbieter kann für seinen Aufwand eine Vergütung verlangen nach Aufwand.

3. Geheimhaltungsinteressen des Anbieters und Rechte anderer Kunden bleiben gewahrt.

§ 7 Löschung und Rückgabe

1. Nach Beendigung des Hauptvertrags oder früher auf Weisung des Vereins löscht der Anbieter alle Daten des Vereins, nachdem der Verein sie (auf Wunsch) exportiert hat. Frist und Ablauf regelt § 5 Absatz 3 des Hauptvertrags (Löschung spätestens 30 Tage nach Vertragsende, Sicherungen in der regulären Rotation).

2. Gesetzliche Aufbewahrungspflichten des Anbieters (zum Beispiel für Rechnungen) bleiben unberührt. Dafür verarbeitet er nur Vertrags- und Abrechnungsdaten als eigener Verantwortlicher, nicht die Daten der Vereinsmitglieder.

3. Der Anbieter bestätigt die Löschung auf Wunsch in Textform.

§ 8 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gilt § 8 des Hauptvertrags, soweit das zulässig ist; die Haftung gegenüber Betroffenen bleibt unberührt.

§ 9 Sonstiges

1. Änderungen bedürfen der Textform. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in datenschutzrechtlichen Fragen vor.

2. Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, Würzburg.

3. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Ort, Datum: ____________________

Für den Verantwortlichen: ____________________ ([Name, Funktion])

Für den Auftragsverarbeiter: ____________________ (Mark Böhm)

Anlage 1: Gegenstand, Daten und Betroffene

Betroffene Personen:

• Mitglieder des Vereins (Erwachsene)
• Jugendliche und Kinder als Mitglieder, einschließlich Eltern oder Erziehungsberechtigte, die der Verarbeitung zustimmen oder bei Nachrichten mitlesen
• Interessenten, die sich per QR-Code anmelden (bis zur Bestätigung durch den Vorstand)
• Aufsichtspersonen, Trainer, Funktionsträger
• Personen, die Börse-Inserate einstellen

Arten personenbezogener Daten:

• Stammdaten: Vor- und Nachname, E-Mail-Adresse, Geburtsdatum, Rolle und Amt, Gruppenzugehörigkeit; bei Jugendlichen im Verzeichnis nur der Vorname
• Anmeldedaten: Passwort (nur als Hash), Passkey-Daten, Sitzungsdaten
• Kommunikationsdaten: Beiträge, Kommentare, Reaktionen, Chat- und Direktnachrichten mit Anhängen, Umfrageantworten, Zu- und Absagen zu Terminen, Aufsichtsdienste und -tausch
• Schießbuchdaten: Datum, Stand, Disziplin, Waffenart, Kaliber, Bestätigung durch die Aufsicht, Ergebnisse (die Waffenart und das Kaliber haben einen waffenrechtlichen Bezug und sind sensibel; es sind keine besonderen Kategorien nach Art. 9 DSGVO vorgesehen)
• Börse: Inseratstext, Fotos, Preis, Kontaktweg
• Nutzungsdaten: Push-Abonnement (Gerätekennung des Push-Dienstes), IP-Adresse und Zeitpunkt in Server-Protokollen, Protokolleinträge über Rechteänderungen
• Freitextfelder, in die Mitglieder selbst Daten eingeben können (zum Beispiel in Beiträgen und Nachrichten); der Verein weist seine Mitglieder an, dort keine besonderen Kategorien personenbezogener Daten einzustellen.

Art der Verarbeitung: Speichern, Anzeigen, Übermitteln innerhalb der App, Versand von Benachrichtigungen (Push und E-Mail), Sichern, Löschen, Export.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutrittskontrolle: Server stehen in Rechenzentren des Hosters (nach dessen Angaben in Frankfurt am Main); kein eigener Serverraum des Anbieters. Der Anbieter arbeitet als Einzelunternehmer und gibt keine Zugänge an Dritte.
• Zugangskontrolle: Zugang zur Verwaltungsoberfläche des Hosters mit persönlichem Konto.
• Zugriffskontrolle: In der App Rollen und Einzelrechte je Mitglied; Zugriff auf Gruppen, Nachrichten und Schießbuch nur nach Berechtigung; eigener Schutz für Jugendliche (Direktnachrichten mit Erwachsenen nur mit eigenem Recht, Eltern lesen mit); Änderungen an Rechten werden protokolliert. Der Anbieter greift auf Vereinsdaten nur zu, soweit es für Betrieb, Support oder Fehlerbehebung nötig ist, und nur auf Anfrage oder mit Auftrag des Vereins.
• Trennung: Jeder Verein hat eine eigene Installation mit eigener Datenbank (keine gemeinsame Plattform). Daten verschiedener Vereine liegen nicht in derselben Datenbank.
• Authentifizierung: Anmeldung per Einladungslink, Passkey (Fingerabdruck oder Gesichtserkennung), Passwort (nur als Hash mit scrypt gespeichert) oder Anmeldelink per E-Mail. Sitzungen mit geschütztem Cookie (httpOnly), Schreibzugriffe nur mit zusätzlichem Header.
• Pseudonymisierung und Verschlüsselung: Übertragung ausschließlich verschlüsselt (TLS); Passwörter nur als Hash.

2. Integrität

• Weitergabekontrolle: Übertragung nur über verschlüsselte Verbindungen; keine Weitergabe an Dritte außer den Unterauftragsverarbeitern in Anlage 3. Kein Tracking, keine Werbung, keine Google-Dienste, keine Fremdschriften oder externe Skripte in der App.
• Eingabekontrolle: Beiträge, Einträge und Rechteänderungen sind einer Person zugeordnet; Rechteänderungen und Löschungen stehen im Protokoll. Bestätigte Schießbucheinträge werden nicht geändert (Korrekturen sind neue Einträge).
• Schutz vor Missbrauch: Begrenzung von Anmeldeversuchen und Anmeldungen je IP-Adresse, Honigtopf-Feld bei der Anmeldung per QR-Code, Prüfung von Dateianhängen am Dateikopf.

3. Verfügbarkeit und Belastbarkeit

• Datensicherung: tägliche Sicherung, Aufbewahrung der Sicherungen 14 Tage. Wiederherstellung auf Anfrage.
• Schutz vor Schadsoftware und Angriffen: Abhängigkeitsprüfung bei jedem Deployment (Hoster-Scanner), zeitnahe Sicherheitsupdates, DDoS-Schutz beim Hoster.
• Wiederherstellbarkeit: Die App lässt sich aus dem Quellcode und einer Sicherung der Datenbank neu aufsetzen.

4. Verfahren zur Überprüfung und Bewertung

• Datenschutz-Management: Der Anbieter überprüft diese Maßnahmen mindestens jährlich und bei wesentlichen Änderungen.
• Auftragskontrolle: Verarbeitung nur nach Weisung (§ 2); Unterauftragsverarbeiter nach § 4.
• Datenschutz durch Technikgestaltung: Datensparsamkeit (nur nötige Pflichtfelder), Rechtekonzept, Löschfunktionen (Mitglied endgültig löschen, Gruppen löschen) und Export.

5. Organisatorisch

• Verpflichtung zur Vertraulichkeit (§ 3 Absatz 1), Weisungen nur in Textform, Meldeweg bei Datenschutzverletzungen (§ 3 Absatz 5).

Anlage 3: Genehmigte Unterauftragsverarbeiter

An den Push-Dienst werden der Nachrichtentext und eine Gerätekennung übergeben.

Angebot anfordern · Nutzungs- und Dienstleistungsvertrag · Auftragsverarbeitung