Auftragsverarbeitungsvertrag (Muster)

zwischen
[VEREIN], [VEREIN-ANSCHRIFT]
— nachfolgend „Verantwortlicher“ —

und
[BETREIBER-NAME], [STRASSE NR], [PLZ ORT]
— nachfolgend „Auftragsverarbeiter“ —

wird folgender Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 Abs. 3 DSGVO geschlossen.

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten von Mitgliedern des Verantwortlichen durch den Auftragsverarbeiter im Rahmen der Bereitstellung der SaaS-Plattform Vereinsly (Vereinsverwaltung, insbesondere Arbeitsdienste- und Mitgliederverwaltung sowie Abrechnung) für den Verantwortlichen. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags (Nutzung von Vereinsly) zwischen den Parteien.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zum Zweck der Bereitstellung und des Betriebs der Plattform Vereinsly, insbesondere zur Verwaltung von Mitgliedschaften, Arbeitsdiensten (Anmeldungen, Stundenerfassung, Pflichtstunden), Abrechnung von Ersatzbeträgen sowie zum Versand damit verbundener System- und Benachrichtigungs-E-Mails.

Im Rahmen der Auftragsverarbeitung werden insbesondere folgende Datenkategorien verarbeitet:

• Stammdaten der Mitglieder (Name, Kontaktdaten, Mitgliedsart)
• Anmeldungen zu Diensten/Arbeitsdiensten und Wartelisteneinträge
• Stundeneinträge und Pflichtstunden-/Soll-Ist-Stände
• Abrechnungsdaten (Ersatzbeträge, Abrechnungsläufe)
• Zugangsdaten der Mitglieder-Benutzerkonten (E-Mail, Benutzername)

Mitglieder, Familienangehörige von Mitgliedern (soweit im Rahmen der Familienadministration erfasst) sowie sonstige natürliche Personen, deren Daten der Verantwortliche im Rahmen der Vereinsverwaltung in Vereinsly verarbeitet.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Europäischen Union oder der Mitgliedstaaten zu einer anderweitigen Verarbeitung verpflichtet. Die Konfiguration und Nutzung der Plattform durch den Verantwortlichen (z. B. Anlage von Mitgliedern, Diensten, Regeln) gilt als laufende Weisung im Rahmen des Hauptvertrags.

Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung befassten Personen auf die Vertraulichkeit bzw. stellt sicher, dass diese einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Der Auftragsverarbeiter trifft insbesondere folgende Maßnahmen:

• Zugriffskontrolle: rollen- und rechtebasierter Zugriff (granulare Berechtigungen je Modul und Verein); Zugriff auf Mitgliederdaten nur für berechtigte Rollen des jeweiligen Vereins.
• Verschlüsselung: Übertragung ausschließlich verschlüsselt via TLS.
• Mandantentrennung: logische Trennung der Daten je Verein (Organisation) innerhalb der Plattform.
• Verfügbarkeit: tägliche Datensicherungen (Backups) des Datenbestands.
• Protokollierung: Audit-Log für sicherheits- und verarbeitungsrelevante Änderungen (u. a. Mitglieder-, Stunden- und Abrechnungsänderungen, Rollenvergaben).

Der Verantwortliche stimmt der Beauftragung folgender Unterauftragsverarbeiter zu:

Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter; der Verantwortliche kann gegen solche Änderungen Einspruch erheben.

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO), bei der Gewährleistung der Sicherheit der Verarbeitung (Art. 32 DSGVO), bei der Meldung von Datenschutzverletzungen (Art. 33 f. DSGVO) sowie bei Datenschutz-Folgenabschätzungen (Art. 35 f. DSGVO), soweit dies mit den Mitteln der Plattform (z. B. Selbstauskunft und Datenexport im Mitgliederprofil, Audit-Log) möglich ist.

Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten, die im Auftrag des Verantwortlichen verarbeitet wurden, oder gibt sie nach Wahl des Verantwortlichen zurück, sofern nicht nach dem Recht der Europäischen Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Enthaltene Daten in Datensicherungen werden nach Ablauf der regulären Backup-Aufbewahrungsfrist überschrieben.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.

Dieser Auftragsverarbeitungsvertrag wird wie folgt geschlossen: [ABSCHLUSSWEG, z. B. Bestätigung im Admin-Bereich der Plattform durch den Verantwortlichen oder Unterschrift beider Parteien].