gemäß Art. 28 DSGVO
abgeschlossen zwischen
dem Verein
(Vereinsname und Anschrift)
— nachfolgend „Verantwortlicher" —
und
Matthias Fölser, Österreich
Kontakt: [email protected]
— nachfolgend „Auftragsverarbeiter" —
Gegenstand dieser Vereinbarung ist der Betrieb der SaaS-Anwendung „Vereinskasse" für den Verantwortlichen durch den Auftragsverarbeiter. Die Dauer dieser Vereinbarung entspricht der Laufzeit des Nutzungsvertrags über die Anwendung. Sie endet automatisch mit dessen Beendigung.
Der Auftragsverarbeiter speichert und verarbeitet Vereins-Finanzdaten, Belege und Benutzerkonten des Verantwortlichen. Zweck der Verarbeitung ist die Vereins-Rechnungsverwaltung: Beleg-Einreichung, Buchhaltung, Rechnungserstellung, Bankabgleich und Projektabrechnung.
Von der Verarbeitung betroffen sind Vereinsmitglieder, Funktionäre sowie Vertragspartner des Vereins (z. B. Mieter, Rechnungsempfänger, Lieferanten).
Verarbeitet werden Stammdaten (Name, E-Mail-Adresse), Bankverbindungen (IBAN), Belege und Rechnungen einschließlich Fotos und PDF-Dateien sowie Buchhaltungs- und Kontodaten des Vereins.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Anwendung durch den Verantwortlichen und seine Benutzer gilt als solche Weisung. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich.
Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Der Auftragsverarbeiter trifft insbesondere folgende technische und organisatorische Maßnahmen zum Schutz der Daten:
Der Auftragsverarbeiter darf diese Maßnahmen an den Stand der Technik anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird.
Der Verantwortliche genehmigt den Einsatz der nachfolgend genannten Subunternehmer:
| Anbieter | Zweck | Sitz |
|---|---|---|
| Hetzner Online GmbH | Hosting und Backups | Deutschland |
| Cloudflare, Inc. | DNS, Bot-Schutz (Turnstile; nur auf Login, Registrierung und Beleg-Einreichung), E-Mail-Empfang für ein optionales Banking-Postfach | USA (EU-Standardvertragsklauseln / Data Privacy Framework) |
| Google LLC | Versand von System-E-Mails wie Verifizierungen und Benachrichtigungen (Gmail-SMTP) sowie optionaler „Mit Google anmelden"-Login | USA (Data Privacy Framework) |
| Browser-Push-Dienste (Google, Mozilla, Apple) | Zustellung von Web-Push-Benachrichtigungen — nur, wenn diese aktiviert wurden | je nach Browser |
Beabsichtigt der Auftragsverarbeiter, weitere Subunternehmer einzusetzen oder bestehende zu ersetzen, informiert er den Verantwortlichen vorab. Der Verantwortliche kann binnen 30 Tagen nach dieser Information widersprechen.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen (Art. 12–23 DSGVO), soweit die Verarbeitung in der Anwendung betroffen ist. Gleiches gilt, soweit erforderlich, für die Durchführung von Datenschutz-Folgenabschätzungen, soweit sie den Auftragsverarbeiter betreffen.
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch binnen 48 Stunden nach Kenntnis. Die Meldung enthält die zur Beurteilung des Vorfalls erforderlichen Informationen, soweit sie dem Auftragsverarbeiter vorliegen.
Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter sämtliche Daten des Verantwortlichen vollständig, einschließlich der Backups nach Ablauf der rollierenden Backup-Aufbewahrung. Auf Wunsch des Verantwortlichen stellt der Auftragsverarbeiter vor der Löschung einen vollständigen Export der Daten bereit.
Der Verantwortliche kann vom Auftragsverarbeiter Auskunft über die umgesetzten technischen und organisatorischen Maßnahmen verlangen. Der Auftragsverarbeiter erbringt Nachweise z. B. durch geeignete Dokumentation. Darüber hinaus duldet und unterstützt der Auftragsverarbeiter Prüfungen durch den Verantwortlichen oder einen von diesem beauftragten Prüfer, soweit sie mit angemessener Frist angekündigt werden und den laufenden Betrieb nicht unverhältnismäßig beeinträchtigen.
Für den Verein (Verantwortlicher)
Ort, Datum
Unterschrift
Der Auftragsverarbeiter
Ort, Datum
Unterschrift