Clubbuch

Vertrag zur Auftragsverarbeitung

Version 3 · Stand

Entwurf – rechtliche Prüfung ausstehend

Vertrag zur Auftragsverarbeitung nach Art. 28 der Datenschutz-Grundverordnung (DSGVO)

§ 1 Parteien

  1. Auftragsverarbeiterin ist die Winhart GmbH, Wilhelm-Fink-Str. 2a, 94526 Metten, vertreten durch die Geschäftsführung (Stefan Winhart, Martina Winhart), eingetragen beim Amtsgericht Deggendorf, HRB 3527, E-Mail info@winhart.gmbh („Auftragsverarbeiterin“).
  2. Verantwortlicher ist der Verein, für den Clubbuch genutzt wird („Verein“). Die Person, die den Verein in Clubbuch anlegt oder als erste Verwaltungsperson eingeladen wird („Gründungsperson“), schließt diesen Vertrag im Namen des Vereins ab und versichert, dazu berechtigt zu sein.
  3. Ist als Rechtsform „Lose Gruppe“ (ein Zusammenschluss ohne eigene Rechtspersönlichkeit) angegeben, schließt die Gründungsperson diesen Vertrag im eigenen Namen ab und ist selbst Verantwortliche; bei der Rechtsform „Einzelperson oder Firma“ ist es die angegebene Person oder Firma. Die Regeln für den Verein gelten dann für sie.
  4. Name, Rechtsform und Anschrift des Vereins sind die Angaben, die in Clubbuch hinterlegt sind (Einstellungen › Verein). Die Auftragsverarbeiterin speichert, wer diesen Vertrag in welcher Version und wann angenommen hat.

§ 2 Gegenstand und Dauer

  1. Gegenstand ist die Verarbeitung personenbezogener Daten durch die Auftragsverarbeiterin bei der Bereitstellung von Clubbuch nach den Allgemeinen Geschäftsbedingungen (Hauptvertrag), einschließlich des Umzugs-Service (§ 5).
  2. Dieser Vertrag läuft so lange wie der Hauptvertrag und darüber hinaus, solange die Auftragsverarbeiterin Daten des Vereins verarbeitet.
  3. In Fragen des Datenschutzes geht dieser Vertrag dem Hauptvertrag vor.

§ 3 Art, Zweck und Umfang der Verarbeitung

  1. Art der Verarbeitung: Erheben über Formulare und Importe, Speichern, Ordnen, Anzeigen, Verändern, Abgleichen, Übermitteln (Nachrichten per E-Mail und Push, Dateien für Banken und Steuerberatung, Formulare und Termine für die Webseite des Vereins), Sichern, Anonymisieren und Löschen von Daten.
  2. Zweck: Verwaltung des Vereins mit Clubbuch, insbesondere Mitglieder und Abteilungen, Beiträge und SEPA-Lastschriften, Buchhaltung, Spenden, Auslagen und Vergütungen, Termine und Mannschaften, Kommunikation und Ablage, Veranstaltungen, Kurse, Inventar, Mitgliederversammlungen und der Import aus anderen Programmen.
  3. Arten von Daten:
    • Stammdaten der Mitglieder: Name, Anschrift, Geburtsdatum, Anrede, Kontaktdaten, Mitgliedsnummer, Eintritt und Austritt, Status, Abteilungen und Mannschaften, Ämter, Rollen, Haushalte, Nachweise (zum Beispiel Lizenzen), Ehrungen, freie Felder und Dateien, die der Verein anlegt, Einwilligungen und Anträge der Mitglieder;
    • Bank- und Beitragsdaten: IBAN, BIC, Kontoinhaber, SEPA-Mandate (auch als Scan), Beitragskategorien, Forderungen, Zahlungen, Mahnungen, Lastschrift- und Überweisungsdateien, Kontoauszüge;
    • Finanz- und Steuerdaten: Buchungen, Eingangsbelege, Rechnungen, Spender und Zuwendungsbestätigungen, Auslagen, Übungsleiter- und Ehrenamtsvereinbarungen mit Abrechnungen und Erklärungen zu Freibeträgen, Kassenberichte;
    • Planungsdaten: Termine, Zu- und Absagen, Anwesenheit, Abwesenheiten, Kader und Aufstellungen, Fahrgemeinschaften, Umfragen, Helferschichten und Arbeitsstunden, Mannschaftskassen und Strafen, Belegung und Vermietung von Anlagen, Ausleihen und Schlüssel;
    • Kommunikation: Nachrichten, Chat-Nachrichten, Dokumente der Ablage;
    • Versammlungen: Teilnahme, Stimmrecht, Stimmen offener Abstimmungen, Protokolle und Beschlüsse;
    • Daten Externer: Kunden, Mieter und Sponsoren mit Ansprechpersonen, Gäste von Kursen und Veranstaltungen, Personen, die über die Webseite des Vereins einen Aufnahmeantrag stellen, eine Spende ankündigen oder Tickets reservieren;
    • Mitgliedsausweis: Name, Mitgliedsnummer und Prüfcode des Ausweises;
    • Nutzungs- und Protokolldaten: Änderungsprotokoll der Vereinsdaten, Versandprotokoll der Benachrichtigungen, Exportprotokoll der Bankdaten.
  4. Kategorien betroffener Personen: Mitglieder (auch Minderjährige) und ehemalige Mitglieder, Eltern und weitere Erziehungsberechtigte, Personen mit Amt oder Rolle im Verein, Gäste, Übungsleiterinnen und Übungsleiter, Spenderinnen und Spender, Antragstellende, Kunden, Mieter, Sponsoren und ihre Ansprechpersonen, Kurs- und Veranstaltungsgäste.
  5. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO):
    • Gesundheitsdaten bei Abwesenheiten: Der Grund einer Abwesenheit kann „krank“ sein (die übrigen Gründe sind Urlaub, beruflich und sonstiges); die freiwillige Notiz kann weitere Gesundheitsangaben enthalten. Zweck ist die Planung von Trainings, Spielen und anderen Terminen. Grund und Notiz sehen nur die Person selbst und ihre Eltern; die Leitung des Termins sieht nur den Zeitraum. Abwesenheiten werden nicht im Änderungsprotokoll festgehalten.
    • „Verletzt“ im Kader: Die Angabe „verletzt bis“ sehen nur die Leitung mit dem Recht „Kader & Aufstellung verwalten“ für die Mannschaft, die Person selbst und ihre Eltern. Zweck ist die Aufstellung der Mannschaft.
    • Angaben, die der Verein selbst festlegt: Freie Felder, Nachweisarten, Beitragskategorien (zum Beispiel eine Ermäßigung bei Schwerbehinderung) und Dateien können besondere Kategorien enthalten, wenn der Verein sie so anlegt. Dafür ist allein der Verein verantwortlich (§ 8 Abs. 2).
    • Für die Rechtsgrundlage dieser Verarbeitung (zum Beispiel die Einwilligung der Person oder ihrer Eltern) sorgt der Verein [⚑ Rechtsgrundlage für Gesundheitsangaben im Sportverein rechtlich prüfen: Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO oder ein anderer Tatbestand, zum Beispiel Art. 9 Abs. 2 lit. d oder lit. b DSGVO].
  6. Nicht Gegenstand dieses Vertrags sind Konto und Anmeldung (E-Mail-Adresse, Passwort), Geräte-Kennungen für Push-Benachrichtigungen, die Anfrage zur Gründung eines Vereins, der Tarif und die Rechnungen der Auftragsverarbeiterin an den Verein sowie der technische Betrieb der Plattform. Diese Daten verarbeitet die Winhart GmbH als eigene Verantwortliche nach ihrer Datenschutzerklärung.

§ 4 Weisungen

  1. Die Auftragsverarbeiterin verarbeitet die Daten nur auf dokumentierte Weisung des Vereins, auch bei Übermittlungen in ein Drittland, es sei denn, sie ist durch das Recht der Union oder eines Mitgliedstaats dazu verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt sie dem Verein diese rechtlichen Anforderungen vorher mit, sofern das Recht das nicht verbietet.
  2. Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und der Nutzung der Funktionen von Clubbuch durch den Verein und die von ihm berechtigten Personen. Schaltet der Verein eine zuschaltbare Funktion ein, ist das eine Weisung, die Daten dafür so zu verarbeiten, wie Anlage 2 es beschreibt; das gilt insbesondere für die Belegerkennung mit künstlicher Intelligenz und den digitalen Mitgliedsausweis. Weitere Weisungen erteilt der Verein in Textform.
  3. Ist die Auftragsverarbeiterin der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist sie den Verein unverzüglich darauf hin. Sie darf die Ausführung aussetzen, bis der Verein die Weisung bestätigt oder ändert.

§ 5 Umzugs-Service

  1. Beauftragt der Verein ein Paket des Umzugs-Service, lädt er Dateien aus seinem bisherigen Programm in einen Auftrag hoch und willigt für genau diesen Auftrag in die Einsicht der Auftragsverarbeiterin ein (auftragsbezogene Einwilligung). Mit dem Senden des Auftrags erteilt der Verein die dokumentierte Weisung, die Dateien des Auftrags einzusehen und den Import vorzubereiten. Clubbuch speichert zu jedem Auftrag die Version der Einwilligung, den Zeitpunkt und die Person, die sie erteilt hat.
  2. Die Einsicht umfasst nur die Dateien dieses Auftrags, die Import-Entwürfe des Vereins und für den Abgleich im Probelauf die Daten der Mitglieder, die der Verein schon in Clubbuch führt. Sie ist auf die Person beschränkt, die den Auftrag bei der Auftragsverarbeiterin übernimmt, endet mit „Zur Freigabe geben“, mit dem Abbruch des Auftrags durch den Verein und spätestens 30 Tage nach der Übernahme (je Übernahme) und erlaubt keinen Zugriff auf andere Daten des Vereins. Endet die Frist ohne Import-Entwurf, geht der Auftrag zurück an die Auftragsverarbeiterin und kann erneut übernommen werden; die Frist beginnt dann neu, ohne dass der Verein erneut einwilligt [⚑ ob eine erneute Übernahme ohne neue Einwilligung zulässig ist oder die Einsicht insgesamt begrenzt werden muss, rechtlich prüfen].
  3. Die Auftragsverarbeiterin legt nur Import-Entwürfe an und bearbeitet sie. Ausführen und zurücknehmen kann den Import nur der Verein; eine Person, die den Auftrag bearbeitet hat, kann ihn nicht ausführen, auch wenn sie zugleich Mitglied des Vereins ist.
  4. Jeder Zugriff wird in einem Protokoll des Auftrags festgehalten (wer, wann, was, ohne Inhalte), das die Verwaltung des Vereins einsehen kann.
  5. Nach dem Abschluss oder Abbruch des Auftrags löscht die Auftragsverarbeiterin die hochgeladenen Dateien und ihre Kopien für den Import. Der Verein sieht im Auftrag einen Löschnachweis (Anzahl und Prüfsummen der Dateien, Zeitpunkt, Person), der keine Namen aus den Dateien enthält. Ein Auftrag ohne Bewegung endet nach 60 Tagen von selbst.
  6. [⚑ ob die auftragsbezogene Einwilligung zusammen mit dieser Weisung genügt oder der Vertrag weitere Regeln braucht, rechtlich prüfen.]

§ 6 Pflichten der Auftragsverarbeiterin

  1. Die Auftragsverarbeiterin verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
  2. Sie trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Sie darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.
  3. Sie unterstützt den Verein bei der Erfüllung der Rechte betroffener Personen (Kapitel III DSGVO). Clubbuch bietet dafür Funktionen, insbesondere Auskunft über die eigenen Daten, Berichtigung im Profil und über Änderungsanträge, Löschen des Kontos, Widerruf von Einwilligungen und Anonymisieren von Personen. Wendet sich eine betroffene Person mit einem Anliegen zu Daten des Vereins an die Auftragsverarbeiterin, leitet sie es unverzüglich an den Verein weiter.
  4. Sie unterstützt den Verein bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit ihr die nötigen Informationen vorliegen.
  5. Sie meldet dem Verein eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihr bekannt geworden ist, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihr vorliegen.
  6. Die Daten werden in der Europäischen Union verarbeitet. Eine Übermittlung in ein Drittland findet nur nach Anlage 2 und nur unter den Voraussetzungen der Art. 44 ff. DSGVO statt.
  7. Die Auftragsverarbeiterin sieht Daten des Vereins nur, soweit es für den Betrieb, die Fehlerbehebung oder den Umzugs-Service (§ 5) nötig ist, und dann über eigene, protokollierte Funktionen; Namen, Anschriften und Inhalte sieht der Betrieb grundsätzlich nicht.
  8. Ansprechpartner für den Datenschutz ist die Geschäftsführung (Stefan Winhart, Martina Winhart), erreichbar unter info@winhart.gmbh [⚑ ob die Auftragsverarbeiterin einen Datenschutzbeauftragten benennen muss (Art. 37 DSGVO, § 38 BDSG), rechtlich prüfen; vom Anbieter zu ergänzen: gegebenenfalls Name und Kontakt].

§ 7 Unterauftragsverarbeiter

  1. Der Verein erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage 2 und gelten als genehmigt. Ein Unterauftragsverarbeiter, der in Anlage 2 als optional gekennzeichnet ist, wird nur unter der dort genannten Bedingung eingesetzt.
  2. Will die Auftragsverarbeiterin einen Unterauftragsverarbeiter hinzuziehen oder ersetzen oder einen optionalen Unterauftragsverarbeiter erstmals für alle Vereine einsetzen, informiert sie den Verein mindestens vier Wochen vorher in Textform. Der Verein kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Verein den Hauptvertrag und diesen Vertrag fristlos kündigen.
  3. Die Auftragsverarbeiterin legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO).
  4. Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikation oder Postdienste, bei denen kein Zugriff auf die Daten des Vereins besteht, sowie die Banken und Steuerberatungen, an die der Verein selbst Dateien aus Clubbuch übergibt.

§ 8 Pflichten des Vereins

  1. Der Verein ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er informiert die betroffenen Personen nach Art. 13 und 14 DSGVO, auch über die zuschaltbaren Funktionen, die er einschaltet.
  2. Für besondere Kategorien personenbezogener Daten (§ 3 Abs. 5) und für Daten von Minderjährigen sorgt der Verein für eine Rechtsgrundlage, zum Beispiel für die Einwilligung der Person oder ihrer Eltern. Er legt freie Felder, Nachweisarten, Beitragskategorien und Dateien mit besonderen Kategorien nur an, wenn er sie braucht.
  3. Er vergibt Rollen und Berechtigungen in Clubbuch so, dass nur befugte Personen Daten sehen und ändern.
  4. Er informiert die Auftragsverarbeiterin unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 9 Nachweise und Kontrollen

  1. Die Auftragsverarbeiterin stellt dem Verein auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind (Art. 28 Abs. 3 lit. h DSGVO).
  2. Sie ermöglicht Überprüfungen einschließlich Inspektionen durch den Verein oder einen von ihm beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist. Prüfungen sind mit angemessener Frist anzukündigen, finden während der Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Die Rechte der Aufsichtsbehörden bleiben unberührt.

§ 10 Löschung und Rückgabe

  1. Nach dem Ende des Hauptvertrags kann der Verein seine Daten nach § 13 der AGB herunterladen oder einen Export anfordern.
  2. Danach löscht die Auftragsverarbeiterin die Daten des Vereins vorbehaltlich Abs. 3, spätestens 60 Tage nach Vertragsende, soweit nicht das Recht der Union oder eines Mitgliedstaats eine Speicherung vorschreibt (Art. 28 Abs. 3 lit. g DSGVO). Auf Anfrage bestätigt sie die Löschung in Textform.
  3. Ausgenommen sind Daten, die nach dem Festschreiben nicht mehr verändert oder gelöscht werden können und gesetzlichen Aufbewahrungsfristen unterliegen: gebuchte Buchungen und ihre Belege, gestellte Rechnungen und Stornos, Forderungen, Zahlungen und Mahnungen der Beiträge, Lastschrift- und Überweisungsdateien, Zuwendungsbestätigungen samt Doppel, Abrechnungen von Vergütungen mit den Erklärungen zu Freibeträgen. Der Verein erhält vor der Löschung der übrigen Daten auf Anfrage einen Export dieser Daten. Die Auftragsverarbeiterin bewahrt sie bis zum Ende der gesetzlichen Aufbewahrungsfrist (je nach Art 8 oder 10 Jahre) gesperrt auf, verarbeitet sie in dieser Zeit nicht weiter, außer auf Weisung des Vereins oder wenn eine gesetzliche Pflicht es verlangt, und löscht sie danach [⚑ Aufbewahrung durch die Auftragsverarbeiterin nach Vertragsende und Fristen je Datenart rechtlich prüfen].
  4. Verschlüsselte Sicherungen werden nicht einzeln bereinigt. Sie laufen nach dem Sicherungsplan in Anlage 1 ab, werden bis dahin nur zur Wiederherstellung nach einem Ausfall verwendet und sind ohne den Schlüssel der Auftragsverarbeiterin nicht lesbar.

§ 11 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.

§ 12 Schlussbestimmungen

  1. Änderungen dieses Vertrags teilt die Auftragsverarbeiterin wie Änderungen der AGB mit (§ 14 AGB); sie gelten erst nach Annahme durch den Verein. Für neue Unterauftragsverarbeiter gilt § 7 Abs. 2.
  2. Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen

Maßnahmen der Auftragsverarbeiterin nach Art. 32 DSGVO, Stand dieses Vertrags.

Vertraulichkeit

Integrität

Verfügbarkeit und Belastbarkeit

Überprüfung

Anlage 2: Unterauftragsverarbeiter

Bei Vertragsschluss genehmigte Unterauftragsverarbeiter: