Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Vereins beim Betrieb von Methacore nach dem Hauptvertrag.
2. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Die Pflichten aus § 10 (Löschung und Rückgabe) gelten darüber hinaus, bis sie erfüllt sind.

§ 2 Art und Zweck der Verarbeitung

Der Anbieter erhebt, speichert, ordnet, verändert, übermittelt, stellt bereit und löscht personenbezogene Daten, soweit der Verein Methacore dafür nutzt. Zwecke sind:

• Verwaltung von Mitgliedern, Mitgliedschaften, Gruppen, Abteilungen und Ämtern
• Beitragsberechnung, Rechnungen, SEPA-Lastschriften, Mahnwesen und Buchhaltung
• Termine, Anwesenheit, Kurse und Kursbuchungen
• Kommunikation mit Mitgliedern per E-Mail, Push-Nachricht und SMS
• Mitgliederbereich, Apps, öffentliche Vereinsseite und Anmeldeformulare
• Übernahme von Daten aus anderer Software, auf Wunsch Einpflegung durch den Anbieter
• Hosting, Datensicherung, Wartung und Support

§ 3 Kategorien personenbezogener Daten

• Stammdaten: Name, Geburtsdatum, Geschlecht, Anschrift
• Kontaktdaten: E-Mail-Adresse, Telefonnummer
• Mitgliedschaftsdaten: Ein- und Austritt, Beitragsgruppe, Gruppen, Abteilungen, Ämter
• Bank- und Zahlungsdaten: IBAN, BIC, Kontoinhaber, SEPA-Mandate, Beiträge, Rechnungen, Zahlungen
• Teilnahme- und Leistungsdaten: Anwesenheiten, Kursbuchungen, Abzeichen, Wettkampfergebnisse
• Kommunikationsdaten: Inhalte, Empfänger und Zustellstatus von Nachrichten
• Dokumente, Fotos und Dateien, die der Verein hochlädt
• Zugangs- und Protokolldaten: Benutzername, Anmeldezeitpunkte, IP-Adressen, Änderungsprotokoll

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), etwa Gesundheitsangaben, verarbeitet der Anbieter nur, soweit der Verein sie in Methacore erfasst. Der Verein prüft vorher, ob die Verarbeitung zulässig ist.

§ 4 Kategorien betroffener Personen

• Mitglieder, auch Minderjährige, und deren Erziehungsberechtigte
• Interessenten, Antragsteller und ehemalige Mitglieder
• Kursteilnehmende und Teilnehmende an Veranstaltungen
• Vorstand, Funktionsträger, Trainer, Übungsleiter und weitere Nutzer der Administration
• Spender, Ansprechpersonen von Dienstleistern und sonstige Kontakte des Vereins

§ 5 Weisungen

1. Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Vereins, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist durch Unionsrecht oder deutsches Recht zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verein diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und der Nutzung der Funktionen von Methacore durch den Verein. Weitere Weisungen erteilt der Verein in Textform.
3. Ist der Anbieter der Auffassung, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Verein unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis der Verein sie bestätigt oder ändert.

§ 6 Vertraulichkeit

Der Anbieter setzt für die Verarbeitung nur Personen ein, die sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Sie erhalten Zugriff nur, soweit ihre Aufgabe es erfordert.

§ 7 Technische und organisatorische Maßnahmen

Der Anbieter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen, die in Anlage 1 beschrieben sind. Er darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.

§ 8 Unterauftragsverarbeiter

1. Der Verein erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage 2 und gelten als genehmigt.
2. Über jede beabsichtigte Hinzuziehung oder Ersetzung informiert der Anbieter den Verein mindestens vier Wochen vorher in Textform. Der Verein kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Verein den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.
3. Der Anbieter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Anbieter gegenüber dem Verein für dessen Einhaltung (Art. 28 Abs. 4 DSGVO).
4. Eine Verarbeitung außerhalb der EU und des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
5. Dienste, die der Verein selbst mit Methacore verbindet (etwa ein Zahlungsdienstleister, ein eigenes E-Mail-Postfach oder Apps anderer Anbieter), sind keine Unterauftragsverarbeiter des Anbieters. Für sie schließt der Verein, soweit erforderlich, eigene Verträge.

§ 9 Unterstützung des Vereins

1. Der Anbieter unterstützt den Verein mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO zu beantworten (Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Methacore stellt dafür unter anderem die Bearbeitung von Datenanfragen, die Datenauskunft je Mitglied als Datei und Löschfristen bereit. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Verein weiter.
2. Der Anbieter unterstützt den Verein unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
3. Für Unterstützungsleistungen, die über die Funktionen von Methacore hinausgehen und nicht auf einem Verstoß des Anbieters beruhen, kann der Anbieter eine angemessene Vergütung nach Aufwand verlangen.

§ 10 Löschung und Rückgabe

1. Bis zum Ende des Hauptvertrags kann der Verein seine Daten mit den Exportfunktionen von Methacore herunterladen. Auf Wunsch stellt der Anbieter die Daten in einem gängigen maschinenlesbaren Format bereit.
2. Nach Ende des Hauptvertrags löscht der Anbieter alle personenbezogenen Daten des Vereins innerhalb eines Jahres, sofern nicht nach Unionsrecht oder deutschem Recht eine Pflicht zur Speicherung besteht. Daten in Datensicherungen werden innerhalb eines weiteren Jahres überschrieben.
3. Auf Anfrage bestätigt der Anbieter die Löschung in Textform.

§ 11 Nachweise und Kontrollen

1. Der Anbieter stellt dem Verein alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.
2. Er ermöglicht Überprüfungen einschließlich Inspektionen, die der Verein oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer durchführt, und trägt dazu bei. Inspektionen vor Ort sind mit einer Frist von mindestens zwei Wochen anzukündigen und finden zu den üblichen Geschäftszeiten statt, ohne den Betrieb unverhältnismäßig zu stören.
3. Der Anbieter informiert den Verein unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

§ 12 Meldung von Verletzungen des Schutzes personenbezogener Daten

1. Der Anbieter meldet dem Verein eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, spätestens innerhalb von 48 Stunden, damit der Verein die Frist von 72 Stunden nach Art. 33 DSGVO einhalten kann.
2. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, eine Ansprechperson, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Informationen, die noch nicht vorliegen, reicht der Anbieter nach.
3. Der Anbieter ergreift unverzüglich die Maßnahmen, die zur Sicherung der Daten und zur Minderung möglicher Folgen erforderlich sind.

§ 13 Ort der Verarbeitung

Die Daten werden auf Servern in Deutschland verarbeitet. Eine Verlagerung in ein Land außerhalb der EU oder des EWR erfolgt nur nach § 8 Abs. 4 und nach vorheriger Information des Vereins.

§ 14 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.
2. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor.
3. Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
4. Ein Datenschutzbeauftragter ist beim Anbieter nicht benannt, weil keine Benennungspflicht nach § 38 BDSG besteht. Ansprechpartner für den Datenschutz ist [email protected].

Anlage 1: Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen sind in Methacore umgesetzt oder beschreiben den Betrieb.

Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle: Die Server stehen in einem Rechenzentrum in Deutschland (Frankfurt am Main), betrieben von Prepaid-Host. Zutritt haben nur berechtigte Personen des Rechenzentrumsbetreibers; Mitarbeiter des Anbieters haben keinen physischen Zugang.
• Zugangskontrolle: persönliche Konten, Passwortrichtlinie des Vereins (Mindestlänge und Zeichenanforderungen), Anmeldung mit Passkeys, Zwei-Faktor-Authentifizierung mit Authenticator-App und Wiederherstellungscodes, die der Verein für alle Konten verpflichtend machen kann.
• Zugriffskontrolle: Rechte je Bereich mit Trennung von Lesen und Schreiben, Beschränkung von Administratoren auf Abteilungen; angebundene Anwendungen erhalten nur die freigegebenen Berechtigungen (OAuth 2.0 / OpenID Connect mit Scopes).
• Trennungskontrolle: Die Daten jedes Vereins sind logisch von denen anderer Vereine getrennt.
• Zugangsdaten zu E-Mail-Postfächern des Vereins (Absenderprofile) werden verschlüsselt gespeichert.
• Zugriff durch Mitarbeiter des Anbieters nur, soweit für Betrieb und Support erforderlich. Zugang zu den Servern nur per SSH-Schlüssel für namentlich benannte Administratoren; Zugriffe werden protokolliert.
• Verschlüsselung: Die Datenträger der Server sind verschlüsselt, die Übertragung erfolgt ausschließlich per TLS.

Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Übertragung ausschließlich verschlüsselt über HTTPS (TLS).
• Eingabekontrolle: Änderungsprotokoll über die gesamte Administration mit Zeitpunkt, Benutzer, Datensatz, Aktion und Änderung; Protokolle der Anmeldungen (mit IP-Adresse), E-Mails und Push-Nachrichten.
• Webhooks werden mit einem Geheimnis signiert, damit der Empfänger die Herkunft prüfen kann.

Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Papierkorb mit einstellbarer Frist, aus dem gelöschte Datensätze wiederhergestellt werden können.
• Tägliche Datensicherung auf einem getrennten Server beim Hosting-Anbieter in Deutschland. Sicherungen werden nach einem Jahr überschrieben.
• Überwachung der Systeme mit selbst betriebenem Monitoring und Fehlerberichten; Störungen lösen eine Benachrichtigung der Administratoren aus.

Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Datenschutzfreundliche Voreinstellungen: Löschfristen für Papierkorb, Protokolle und ausgetretene Mitglieder mit Aufräumlauf und Vorschau.
• Die Maßnahmen werden mindestens jährlich überprüft und angepasst.
• Mitarbeiter sind auf Vertraulichkeit verpflichtet und werden im Datenschutz geschult.
• Sicherheitsvorfälle werden dokumentiert und dem Verein nach § 12 unverzüglich, spätestens innerhalb von 48 Stunden gemeldet.

Anlage 2: Unterauftragsverarbeiter