Vereinbarung zur Auftragsverarbeitung (AVV)

1. Parteien, Gegenstand und Dauer

Auftraggeber ist der in der Beta-Anfrage bezeichnete Verein, vertreten durch die zur Annahme befugte Person. Auftragnehmer ist Ralf Plaumann, Oberdorfstr. 3, 78554 Aldingen, Deutschland; Kontakt: bueroleitung@vereinsbuero24.de. Diese Vereinbarung einschließlich der folgenden Anlagen ergänzt die Beta-Nutzungsbedingungen und regelt die Verarbeitung personenbezogener Vereinsdaten nach Art. 28 DSGVO.

Gegenstand ist Bereitstellung, Betrieb, Wartung und Unterstützung der Vereinssoftware einschließlich Datenbank, Anmeldung, Dateien, Benachrichtigungen, Export und Datensicherung. Die Dauer umfasst die genehmigte Nutzung, die 30-tägige Exportfrist und die anschließende vereinbarte Rückgabe beziehungsweise Löschung. Der Verein bleibt Verantwortlicher für seine Vereinsdaten. Für eigene Bewerbungsbearbeitung und Vertragsnachweise handelt der Betreiber im jeweils angegebenen eigenen Verantwortungsbereich.

2. Weisungen und Vertraulichkeit

Die angenommene Vereinbarung, die vereinbarten Funktionen, Einstellungen und berechtigten Eingaben des Vereins bilden dokumentierte Weisungen. Weitere Weisungen erteilt eine befugte Person schriftlich oder per E-Mail. Der Betreiber verarbeitet Vereinsdaten nur auf solche Weisungen, außer eine gesetzliche Pflicht verlangt die Verarbeitung; hierüber informiert er den Verein vorab, soweit dies rechtlich zulässig ist.

Der Betreiber weist den Verein unverzüglich darauf hin, wenn eine Weisung nach seiner Einschätzung gegen Datenschutzrecht verstößt. Mit Zugriff betraute Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer entsprechenden gesetzlichen Pflicht. Vereinsdaten werden nicht zu eigenen Werbezwecken oder zum Verkauf verwendet.

3. Sicherheit und Unterstützung

Der Betreiber trifft die in Anlage 2 beschriebenen und dem Risiko angemessenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Er darf sie weiterentwickeln, ohne das vereinbarte Schutzniveau zu unterschreiten. Der Verein verantwortet die Rechtsgrundlagen, Informationen an Betroffene, seine Rollenvergabe und die Sicherheit seiner Endgeräte.

Der Betreiber unterstützt den Verein unter Berücksichtigung der Verarbeitung und der ihm verfügbaren Informationen bei Betroffenenrechten, Datensicherheit, Datenschutz-Folgenabschätzung, Vorabkonsultation und Meldungen nach Art. 32 bis 36 DSGVO. Direkt eingehende Betroffenenanfragen zu Vereinsdaten leitet er an den Verein weiter; er beantwortet sie nicht eigenständig, außer auf Weisung oder gesetzlicher Pflicht.

Datenschutzverletzungen mit Vereinsdaten meldet der Betreiber dem Verein ohne unangemessene Verzögerung. Er teilt verfügbare Angaben zu Art, betroffenen Daten und Personen, wahrscheinlichen Folgen und Abhilfemaßnahmen mit und reicht fehlende Informationen nach. Die eigene gesetzliche Bewertung und Meldung des Vereins wird dadurch nicht ersetzt.

4. Unterauftragsverarbeitung und Änderungen

Der Verein genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter und deren für die Leistung erforderliche dokumentierte Unterauftragnehmer allgemein. Der Betreiber legt den unmittelbaren Dienstleistern vergleichbare Datenschutzpflichten auf und bleibt gegenüber dem Verein für die Erfüllung seiner Pflichten verantwortlich.

Über eine geplante Hinzunahme oder wesentliche Änderung unmittelbarer Unterauftragnehmer informiert der Betreiber den Verein mindestens 30 Tage vorher. Der Verein kann aus sachlichen Datenschutzgründen innerhalb dieser Frist widersprechen. Die Parteien suchen eine angemessene Alternative; gelingt dies nicht, kann der Verein die betroffene Nutzung beenden und Rückgabe beziehungsweise Löschung verlangen. Änderungen in den weiteren Anbieterketten werden anhand deren Mitteilungen und Listen geprüft und relevante Änderungen weitergegeben.

Verarbeitung außerhalb des EWR setzt die Voraussetzungen der Art. 44 ff. DSGVO voraus. Die Garantien der eingesetzten Anbieter, insbesondere Standardvertragsklauseln und gegebenenfalls Angemessenheitsbeschlüsse, gelten entsprechend. Die Region Frankfurt für Supabase-Daten ist keine Zusicherung eines ausschließlich europäischen Gesamtbetriebs.

5. Nachweise und Kontrollen

Der Betreiber stellt dem Verein die Informationen zur Verfügung, die zum Nachweis der Erfüllung dieser Vereinbarung erforderlich sind, und ermöglicht angemessene Kontrollen einschließlich Inspektionen durch den Verein oder einen zur Vertraulichkeit verpflichteten geeigneten Prüfer. Umfang und Termin werden grundsätzlich vorab abgestimmt; berechtigte dringliche oder gesetzlich erforderliche Kontrollen bleiben möglich. Rechte anderer Vereine und die Systemsicherheit sind dabei zu schützen.

Anbietermaßnahmen werden durch verfügbare Verträge, Dokumentation und geeignete Nachweise belegt. Eine eigene ISO-Zertifizierung, vollständige Rechtsprüfung oder eine jederzeit uneingeschränkt physische Prüfung aller Cloud-Rechenzentren wird nicht behauptet.

Anlage 1: Verarbeitung, Datenarten und Personen

Betroffene Personen: Nutzer in Vorstand, Ausschüssen und Projektteams; Ansprechpersonen des Vereins; Personen, deren Daten der Verein in Dokumenten, Aufgaben, Protokollen oder Fotos verarbeitet. Keine pauschale Aufnahme sämtlicher Vereinsmitglieder erforderlich.

Konto- und Berechtigungsdaten: Name, E-Mail-Adresse, gegebenenfalls erforderliches Geburtsdatum, Kennwort-Hash, Status des Kontos, Vereins- und Ausschusszuordnung, Position, Rolle, individuelle Berechtigungen, Sitzungskennung, Einladungs- und Wiederherstellungskennungen. Kontopasswörter werden nicht als Klartext gespeichert.

Arbeitsinhalte: Ideen, Tagesordnungen, Sitzungen, Teilnehmerangaben, Protokolle, Beschlüsse, Aufgaben, Zuständigkeiten, Fristen, Checklisten, Termine, Jahresabläufe, Erfahrungswissen, Festplanung und Preislisten, Schriftführerbuch, Bilder, Anhänge, Archive und Übergabeinformationen.

Technische Daten: Zugriffs- und Änderungsprotokolle, Zeitpunkte, Versionsstände, Benachrichtigungen, Push-Abonnementdaten und kryptografische Schlüssel, Zustellinformationen sowie auf dem Gerät gespeicherte Offline-Inhalte und Synchronisationsaufträge.

Verarbeitungstätigkeiten: Speicherung, strukturierte Bereitstellung, Zugriff nach Vereins- und Ausschussrechten, Bearbeitung, Verknüpfung, Suche, Benachrichtigung, Export, Datensicherung, Wiederherstellung und Löschung nach dokumentierten Weisungen. Unterstützung durch den Betreiber nur im vereinbarten und erforderlichen Umfang.

Besondere Kategorien nach Art. 9 DSGVO sind nicht als allgemeiner Pflichtbestandteil vorgesehen. Der Verein darf solche Inhalte nur nach Prüfung der eigenen Rechtsgrundlage, Erforderlichkeit und ausreichender Schutzmaßnahmen verarbeiten. Unnötige sensible Daten gehören nicht in Freitext oder Anhänge.

Anlage 2: technische und organisatorische Maßnahmen

Individuelle Konten, kennwortbasierte Anmeldung über Supabase, kontrollierte persönliche Einladungen, 48 Stunden gültige Aktivierung und einmalige, eine Stunde gültige Wiederherstellung. Neue Konten benötigen kein Geburtsdatum. Kennwörter werden als geschützte Hashes beziehungsweise im Authentifizierungsdienst verarbeitet. Passwortänderung entzieht alte App-Sitzungen; Datenzugriff alter Anbieter-Tokens wird zusätzlich gesperrt.

Serverseitige Vereins- und Ausschusszuordnung, Rollen und Einzelrechte; Datenbank-Zugriffsregeln; private Dateiablage mit geschützten Downloadwegen. Der vollständige Backendschlüssel verbleibt im Server. Nutzer und öffentliche Bewerber erhalten ihn nicht. Betreiberzugriff ist auf die vorgesehenen Betreiber- und Supportfunktionen begrenzt.

HTTPS; Secure-, HttpOnly- und SameSite-Sitzungscookies; höchstens 90 Tage erneuerbare App-Sitzung und höchstens 30 Tage öffentliche Anfragekennung. Herkunftsprüfung, Eingabeprüfung, vorbereitete feste Datenbankoperationen und Missbrauchsbegrenzung schützen Schreibzugriffe. Vertragsversion, Prüfsumme, Kopie und Annahme werden dokumentiert.

Datenübernahme ist gesichert und auf Übereinstimmung überprüft. Supabase Pro stellt tägliche Datenbanksicherungen bereit; im Pro-Tarif sind nach Anbieterangaben sieben Tage verfügbar. Datenbanksicherungen enthalten die Metadaten, nicht automatisch die Originaldateien des Dateispeichers. Der Betreiber muss Originaldateien gesondert sichern und Rücksicherung prüfen. Es wird kein bereits dauerhaft automatisierter, vollständiger Datei-Backupdienst zugesichert.

Auf Endgeräten können für die angebotene Offlinefunktion lokale Inhalte liegen. Nutzer melden sich auf gemeinsam genutzten Geräten ab und entfernen lokale Appdaten. Push setzt Gerätefreigabe voraus; die zuständigen Browser-/Betriebssystemdienste erhalten die für die Zustellung erforderlichen Daten. E-Mail-Benachrichtigungen werden über den geschützten Versanddienst mit STRATO übertragen; Zustellfehler werden erfasst.

Anlage 3: eingesetzte Dienstleister und Orte

OpenAI Ireland Ltd., Irland: ChatGPT Sites für Hosting, Laufzeit und Betrieb von Homepage und App. Grundlage ist die einbezogene ChatGPT Sites Data Processing Addendum. Infrastruktur und weitere Verarbeitung können die in der OpenAI-Unterauftragnehmerliste genannten Länder einschließlich USA betreffen. https://openai.com/policies/chatgpt-sites-data-processing-addendum/ und https://openai.com/policies/sub-processor-list/ Cloudflare wird als Bestandteil dieser Hostingkette eingesetzt, nicht als vom Betreiber zusätzlich abgeschlossener eigenständiger Hostingvertrag.

Supabase Pte. Ltd., Singapur: PostgreSQL-Datenbank, Authentifizierung, privater Dateispeicher und serverseitiger Maildienst. Projektregion Frankfurt, Deutschland, eu-central-1. Betriebs- und Supportverarbeitung sowie weitere Anbieter sind nach DPA und Unterauftragnehmerliste geregelt: https://supabase.com/legal/customer-resources/data-processing-addendum und https://supabase.com/legal/subprocessors

STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland: Domain und E-Mail. Die seit Juli 2022 in neue Verträge einbezogene AVV ist unter https://www.strato.de/agb/avv/ einsehbar. STRATO nennt für seinen Mail-/Hostingbetrieb Rechenzentren in Deutschland. Die Domainanbindung verlagert den Appbetrieb nicht zu STRATO.

Anlage 4: Rückgabe, Löschung und Sicherungskopien

Während der Nutzung und für 30 Tage nach Beta-Ende kann der Verein die jeweils zugänglichen Daten strukturiert exportieren und die Originaldateien separat herunterladen. Der Betreiber unterstützt auf schriftliche Anfrage einen vollständigen Vereinsexport über alle Ausschüsse. Der Verein entscheidet anschließend über Rückgabe oder Löschung. Ohne abweichende Weisung entfernt der Betreiber Vereinsdaten innerhalb von 30 Tagen nach der Exportfrist aus aktiven Speichern und dokumentiert die Durchführung. Eine frühere Löschweisung ist möglich, soweit keine gesetzliche Pflicht entgegensteht.

Dateikopien, Migrationssicherungen, Papierkorb und noch vorhandene Altspeicher werden in den Löschauftrag einbezogen. Gesicherte Daten werden nicht weiter produktiv verarbeitet; eine Wiederherstellung muss bereits ausgeführte Löschweisungen erneut berücksichtigen. Supabase-Datenbanksicherungen laufen nach der tariflichen Sicherungsfrist aus. Weitere Anbieter-Sicherungs- und Protokollkopien werden nach den einschlägigen Anbieterregeln beziehungsweise einer erforderlichen Löschanweisung behandelt; eine bereits automatisierte vollständige Löschung aller Kopien wird nicht zugesichert.

Gesetzlich aufzubewahrende Daten werden nach Zweck getrennt, geschützt und nach Ablauf der Pflicht gelöscht. Der Verein wird über verbleibende Pflichtdaten und erforderliche Ausnahmen informiert. Auf Anfrage bestätigt der Betreiber die durchgeführten Löschschritte.

6. Elektronische Annahme

Die befugte Person nimmt diese Vereinbarung einschließlich der Anlagen für den in der Anfrage genannten Verein elektronisch an und erklärt ihre Vertretungsbefugnis. Der Betreiber speichert Verein, Person, E-Mail, Zeitpunkt, Dokumentversion, Prüfsumme und Kopie als Nachweis. Eine technische Administratorrolle allein verleiht keine Vertretungsmacht. Frühere Entwurfsnachweise bleiben Entwürfe und erfordern eine neue Annahme. Diese Fassung wird bei persönlicher Genehmigung der Beta-Anfrage Bestandteil der Vereinbarung. Gesetzliche Rechte und zwingende Haftungsregeln bleiben unberührt.

Weiterführende Grundlagen

§ 5 DDG · DSGVO · § 25 TDDDG · BFSG · WCAG 2.2