Auftragsverarbeitungsvertrag

Vertragsparteien

Verantwortlicher (Auftraggeber): der Verein, der Clubdienst nutzt, vertreten durch seinen Vorstand. Maßgeblich sind der bei der Registrierung angegebene Vereinsname und die im Admin-Dashboard hinterlegten Admin-E-Mail-Adressen.

Auftragsverarbeiter (Anbieter):
Tom Henri Maron
Ludwig-Erhard-Straße 18
20459 Hamburg
Deutschland
E-Mail: [email protected]

1. Gegenstand und Dauer

Gegenstand des Auftrags ist die Bereitstellung der Software-as-a-Service-Anwendung „Clubdienst“ zur Organisation von Arbeitsdiensten. Der Anbieter verarbeitet dabei personenbezogene Daten ausschließlich weisungsgebunden im Auftrag des Vereins (Art. 28 DSGVO).

Der Vertrag beginnt mit der Registrierung des Vereins und läuft, solange der Verein Clubdienst nutzt. Er endet mit der Löschung des Vereinskontos.

2. Art, Zweck und Umfang der Verarbeitung

Verarbeitet werden Daten, die Mitglieder selbst auf der Aufgabenwand eingeben, sowie Daten, die der Vorstand im Admin-Dashboard anlegt.

• Kategorien betroffener Personen: Vereinsmitglieder und sonstige Helfer, die sich für Aufgaben eintragen, sowie Vorstandsmitglieder und Abteilungsleiter mit Zugang zum Dashboard.
• Kategorien personenbezogener Daten: Name des Helfers, optional E-Mail-Adresse (auf der Warteliste zwingend), Zuordnung zu Aufgaben samt Termin und geleisteten Stunden, Position auf der Warteliste; für Vorstände zusätzlich E-Mail-Adresse und Passwort-Hash sowie optional ein vom Verein hinterlegter Ansprechpartner für Absagen.
• Zweck: Anzeige der Aufgabenwand, Verwaltung von Anmeldungen und Wartelisten einschließlich des automatischen Nachrückens auf frei gewordene Plätze, Versand von Erinnerungs- und Benachrichtigungs-Mails einschließlich der Benachrichtigung des Vorstands, wenn sich ein Mitglied selbst austrägt, Führung des Stundenkontos und dessen Export.
• Besondere Datenkategorien nach Art. 9 DSGVO werden nicht verarbeitet. Der Verein stellt sicher, dass keine solchen Daten in Aufgabenbeschreibungen eingegeben werden.

3. Weisungen

Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Vereins. Als Weisung gelten insbesondere die Einstellungen, die der Vorstand im Admin-Dashboard vornimmt (z. B. Abkürzen von Nachnamen, E-Mail-Pflicht beim Eintragen, Frist für das Austragen und Benachrichtigung bei Absagen, Anlegen und Löschen von Aufgaben und Abteilungen). Weitergehende Weisungen sind in Textform an die oben genannte E-Mail-Adresse zu richten.

Hält der Anbieter eine Weisung für datenschutzrechtlich unzulässig, weist er den Verein unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

4. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Anbieter trifft die folgenden Maßnahmen zum Schutz der Daten. Es handelt sich um eine Beschreibung technischer und organisatorischer Maßnahmen im Sinne des Art. 32 DSGVO:

• Verschlüsselte Übertragung: Der gesamte Datenverkehr läuft über HTTPS/TLS.
• Zugangskontrolle: Der Zugang zur Aufgabenwand, zum Admin-Dashboard und zu Abteilungen erfolgt über zufällig erzeugte, nicht erratbare Links. Für jeden Zugriff auf das Admin-Dashboard ist zusätzlich eine angemeldete Sitzung erforderlich (Anmeldung mit E-Mail-Adresse und Passwort); eine Sitzung gilt nur für den eigenen Verein.
• Passwortsicherheit: Vorstands-Passwörter werden ausschließlich als bcrypt-Hash gespeichert, nie im Klartext.
• Schutz vor Missbrauch: Registrierung, Login, Zugangs-Wiederherstellung, Anmeldungen und Wartelisten-Eintragungen sind pro IP-Adresse mengenmäßig begrenzt (Brute-Force- und Massenmissbrauchsschutz).
• Datenminimierung: Die E-Mail-Angabe der Mitglieder ist standardmäßig freiwillig; Nachnamen werden auf der öffentlichen Aufgabenwand standardmäßig abgekürzt.
• Sitzungssicherheit: Das Sitzungs-Cookie ist als HttpOnly und SameSite=Lax gesetzt, über HTTPS zusätzlich als Secure.
• Selbstbestimmte Löschung: Jedes Mitglied kann seine Anmeldung ohne Login über einen persönlichen Austrage-Link zurücknehmen, solange eine vom Verein festgelegte Frist für das Austragen nicht abgelaufen ist. Danach entfernt der Verein die Anmeldung auf Wunsch des Mitglieds im Admin-Dashboard.
• Trennungskontrolle: Die Daten jedes Vereins sind über einen eigenen, nicht erratbaren Zugangsschlüssel getrennt adressierbar.

5. Unterauftragsverarbeiter

Der Verein stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Der Anbieter hat mit ihnen jeweils Verträge nach Art. 28 DSGVO geschlossen:

• Hosting:Railway Corporation, Serverstandort Niederlande.
• Datenbank:Supabase, Serverstandort Deutschland.
• E-Mail-Versand:Brevo (Sendinblue GmbH).
• Zahlungsabwicklung und Rechnungsstellung: Stripe Payments Europe, Ltd., Dublin, Irland – nur bei einem kostenpflichtigen Tarif. Stripe verarbeitet ausschließlich Vertrags- und Rechnungsdaten des Vereins (Name, Rechnungsadresse, E-Mail des Vorstands) und hat keinen Zugriff auf Aufgaben-, Anmelde- oder Mitgliederdaten. Diese Verarbeitung ist damit nicht Gegenstand dieses Vertrags, sondern eigene Verarbeitung des Anbieters als Vertragspartner des Vereins.

Eine Änderung dieser Liste teilt der Anbieter dem Verein vorab an die hinterlegten Admin-E-Mail-Adressen mit. Der Verein kann der Änderung aus wichtigem Grund widersprechen; in diesem Fall kann jede Partei den Vertrag kündigen.

6. Unterstützung des Vereins

Der Anbieter unterstützt den Verein bei der Beantwortung von Betroffenenanfragen (Art. 15 bis 22 DSGVO), bei der Meldung von Datenschutzverletzungen (Art. 33, 34 DSGVO) sowie – soweit erforderlich – bei einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO). Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Verein weiter.

Der Anbieter meldet dem Verein eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

7. Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Ein Zugriff auf Vereinsdaten erfolgt nur, soweit er für Betrieb, Fehlerbehebung oder Support erforderlich ist.

8. Kontrollrechte

Der Verein hat das Recht, die Einhaltung dieses Vertrags zu überprüfen. Der Anbieter erteilt dazu auf Anfrage in Textform Auskunft. Vor-Ort-Kontrollen sind nach angemessener Vorankündigung und während der üblichen Geschäftszeiten möglich.

9. Löschung und Rückgabe

Nach Beendigung der Nutzung löscht der Anbieter die Daten des Vereins. Vor der Löschung kann der Vorstand jederzeit selbst einen vollständigen Export der Anmeldungen und des Stundenkontos als CSV-Datei herunterladen.

Nach einer Kündigung des Abonnements bleiben bestehende Aufgaben noch 30 Tage erhalten und werden anschließend entfernt. Ein Verein ohne gebuchten Tarif, der zwölf Monate lang nicht genutzt wurde, wird samt aller Daten gelöscht; etwa 30 Tage vorher erhält der Verein eine Vorwarnung per E-Mail.