Vertrag zur Auftragsverarbeitung

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verein in VereinKlar einstellt oder die dort für ihn entstehen. Die Verarbeitung dient ausschließlich der Erbringung der vertraglich vereinbarten Leistungen.

Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Nach dessen Ende gilt Abschnitt 9.

2. Art, Umfang und Zweck der Verarbeitung

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln an den Verein und von ihm bestimmte Empfänger, Einschränken, Löschen und Vernichten.

Kategorien betroffener Personen:

• Mitglieder und ehemalige Mitglieder des Vereins,
• Personen, die einen Beitritt beantragt haben,
• Verwaltungsnutzer des Vereins (Vorstand, Kassenwart, Schriftführer, Nur-Lesen),
• Kassenprüferinnen und Kassenprüfer mit befristetem Zugang.

Kategorien personenbezogener Daten:

• Stammdaten: Name, Anschrift, Geburtsdatum, Kontaktdaten, Mitgliedsnummer,
• Mitgliedschaftsdaten: Eintritt, Austritt, Status, Beitragsart, Familienzuordnung,
• Zahlungsdaten: Bankverbindung, SEPA-Mandat, Forderungen, Zahlungsstände,
• Dokumente, die der Verein ablegt oder die für ihn erzeugt werden,
• Kommunikationsdaten: versendete Nachrichten mit Empfänger, Betrag und Zustellstatus,
• Protokolldaten zu konsequenten Vorgängen.

Besondere Kategorien nach Art. 9 DSGVO: Bei Religionsgemeinschaften kann bereits die Mitgliedschaft selbst ein Datum nach Art. 9 DSGVO sein. Der Auftragsverarbeiter behandelt sie entsprechend; die Maßnahmen dazu stehen in der Anlage unter „Trennung“.

3. Weisungen

Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Vereins. Die Nutzung der Anwendung durch die Verwaltungsnutzer des Vereins gilt als Weisung; darüber hinausgehende Weisungen erfolgen in Textform an kontakt@vereinklar.de.

Sind wir der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilen wir das mit und dürfen die Ausführung bis zur Klärung aussetzen.

Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Wir werten die Daten der Vereine nicht aus, verkaufen sie nicht und verwenden sie nicht zum Training von Systemen.

4. Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind auf Vertraulichkeit verpflichtet und über die einschlägigen Datenschutzvorschriften unterwiesen. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.

5. Technische und organisatorische Maßnahmen

Wir treffen die nach Art. 32 DSGVO erforderlichen Maßnahmen. Sie sind in der Anlage im Einzelnen beschrieben und werden fortlaufend an den Stand der Technik angepasst. Änderungen dürfen das Schutzniveau nicht unterschreiten.

6. Unterauftragsverarbeiter

Der Verein erteilt die allgemeine Genehmigung, die in der Anlage genannten Unterauftragsverarbeiter einzusetzen.

Beabsichtigen wir einen Wechsel oder die Hinzunahme eines weiteren Unterauftragsverarbeiters, teilen wir das mindestens vier Wochen vorher in Textform mit. Der Verein kann innerhalb von zwei Wochen aus einem wichtigen datenschutzrechtlichen Grund widersprechen; in diesem Fall kann jede Seite den Vertrag zum geplanten Wechsel kündigen.

Mit jedem Unterauftragsverarbeiter bestehen Verträge, die diesem Vertrag entsprechende Pflichten auferlegen.

7. Unterstützung des Verantwortlichen

Wir unterstützen den Verein bei:

• Anfragen betroffener Personen nach Art. 15 bis 22 DSGVO. Anfragen, die uns unmittelbar erreichen, leiten wir an den Verein weiter und beantworten sie nicht selbst.
• der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen.
• der Erfüllung von Auskunfts- und Löschbegehren durch die in der Anwendung vorhandenen Funktionen: Export, Anonymisierung nach Austritt und Löschläufe.

8. Meldung von Verletzungen

Verletzungen des Schutzes personenbezogener Daten melden wir dem Verein unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien, ungefähre Zahl der Betroffenen, wahrscheinliche Folgen und ergriffene Maßnahmen.

Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO obliegt dem Verein als Verantwortlichem. Wir unterstützen ihn dabei.

9. Rückgabe und Löschung

Nach Ende des Nutzungsvertrags bleibt der Zugang 30 Tage vollständig nutzbar, damit der Verein den Export selbst durchführen kann. Danach löschen wir die personenbezogenen Daten.

Ausgenommen sind Daten und Dokumente, für die eine gesetzliche Aufbewahrungspflicht besteht. Sie bleiben verschlossen erhalten, werden nicht weiter verarbeitet und nach Ablauf der Frist gelöscht. Auf schriftliche Anforderung geben wir sie vorher heraus.

Sicherungskopien werden im Rahmen des regulären Sicherungszyklus überschrieben.

10. Nachweise und Kontrollen

Wir weisen die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach, in der Regel durch Auskunft in Textform und durch diese Anlage. Reicht das im Einzelfall nicht aus, kann der Verein nach Ankündigung mit angemessener Frist eine Kontrolle durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen.

Kontrollen erfolgen zu üblichen Geschäftszeiten und ohne Störung des Betriebs. Die Rechte anderer Vereine bleiben dabei unberührt — Einsicht in deren Daten wird nicht gewährt.

11. Anlage: TOM im Einzelnen

Vertraulichkeit — Zutritt

Die Server stehen in Rechenzentren von Contabo GmbH in Nürnberg, Deutschland. Zutritt haben ausschließlich Beschäftigte des Betreibers nach Zutrittskontrolle; wir selbst haben keinen physischen Zugang zur Hardware.

Vertraulichkeit — Zugang

• Anmeldung mit E-Mail-Adresse und Passwort; Passwörter nur als Prüfsumme gespeichert.
• Prüfung auf Mindestlänge und bekannte, häufig verwendete Passwörter.
• Portal-Zugang ohne Passwort über einen kurzlebigen, einmal verwendbaren Link an die hinterlegte Adresse.
• Administrativer Zugang nur für den Betreiber, nie für Vereinsnutzer.
• Übertragung ausschließlich über TLS.

Vertraulichkeit — Zugriff

• Fünf feste Rollen mit festem Rechteumfang: Vorstand, Kassenwart, Schriftführer, Nur-Lesen, Kassenprüfer. Rollen sind nicht frei konfigurierbar.
• Der Kassenprüfer hat einen befristeten Lesezugang ohne Anschriften, Bankverbindungen und Kontaktdaten; sein Zugang erlischt automatisch.
• Dokumente sind nicht öffentlich abrufbar. Jeder Zugriff läuft über einen Verweis, der wenige Minuten gültig ist und erst nach der Prüfung der Zugehörigkeit erzeugt wird.

Trennung

• Jeder Datensatz ist einem Verein zugeordnet. Eine Abfrage ohne zugeordneten Verein liefert einen Fehler und keine Daten. Die Trennung ist im Kern der Anwendung durchgesetzt und nicht der einzelnen Programmstelle überlassen.
• Die Trennung gilt auch außerhalb der Datenbank: Zwischenspeicher, Hintergrundaufgaben und Dateiablage tragen die Vereinskennung im Schlüssel beziehungsweise im Pfad.
• Für jedes vereinsgebundene Datenobjekt besteht ein automatischer Test, der nachweist, dass ein Verein die Daten eines anderen nicht sehen kann.
• Personenbezogene Daten hängen an der Mitgliedschaft, nicht an der plattformweiten Person. Aus der Verwaltung eines Vereins führt kein Weg zu den übrigen Mitgliedschaften derselben Person.

Integrität — Eingabe und Weitergabe

• Konsequente Vorgänge — Beitragsläufe, Löschungen, Massenversand, Rechteänderungen — werden vor der Ausführung protokolliert: wer, wann, was, vorher, nachher. Das Protokoll ist nur ergänzbar, nicht änderbar.
• Vor jedem konsequenten Vorgang steht eine Vorschau ohne Schreibzugriff; wo eine Rücknahme technisch möglich ist, wird sie angeboten.
• Beitragsläufe sind idempotent: zweimal ausgelöst erzeugt keinen zweiten Einzug.
• Bankverbindungen werden bei der Eingabe formal geprüft; SEPA-Dateien entstehen nur mit eigener Gläubiger-Identifikationsnummer des Vereins.

Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung der Datenbank und der Dateiablage.
• Sicherungen sind je Verein wiederherstellbar, nicht nur als Gesamtbestand. Die Wiederherstellung wird geprüft und nicht nur eingerichtet.
• Getrennte Aufbewahrung der Sicherungen vom Produktivsystem.
• Überwachung des Betriebs mit Benachrichtigung bei Störungen.

Verfahren zur Überprüfung

• Datenschutz durch Voreinstellung: neue Funktionen erhalten die restriktive Einstellung, Dokumente eine ausdrückliche Aufbewahrungsklasse.
• Fehlerberichte an unsere eigenen Werkzeuge enthalten keine Nutzdaten; Protokolle enthalten die Vereinskennung, aber keine personenbezogenen Daten.
• Automatisierte Tests prüfen bei jeder Änderung die Trennung der Vereine, die Sichtbarkeit im Portal und die Einhaltung der Aufbewahrungsklassen.
• Kein Einsatz von Analysewerkzeugen oder Werbekennungen.

12. Anlage: Unterauftragsverarbeiter

Eine Übermittlung in Drittländer außerhalb der Europäischen Union findet nicht statt.