Vereinbarung zur Auftragsverarbeitung
zwischen dem in der Bestellbestätigung bezeichneten Verein oder der Organisation („Verantwortlicher“) und BLUCA – Software · Hardware · Digital Solutions, Inhaberin Jessica Gerstner („Auftragsverarbeiter“).
1. Gegenstand und Dauer
BLuCa verarbeitet personenbezogene Daten zur Bereitstellung, Wartung, Sicherung und Unterstützung von BLuCaTeamHub nach dokumentierter Weisung des Verantwortlichen. Diese AVV gilt für die Dauer des Hauptvertrags und bis zur Rückgabe oder Löschung der Auftragsdaten.
2. Art und Zweck der Verarbeitung
Erheben, Erfassen, Ordnen, Speichern, Anpassen, Abrufen, Abfragen, Verwenden, Übermitteln innerhalb berechtigter Vereinsrollen, Einschränken, Sichern, Exportieren und Löschen. Zwecke sind Vereinsverwaltung, Mitglieder- und Rollenverwaltung, Training, Kurse, Kommunikation, Anwesenheit, DigiPass-Verknüpfungen, Arbeitszeit, Schutz- und freiwillige Wohlbefindensfunktionen sowie die vom Verantwortlichen aktivierten Module.
3. Daten und betroffene Personen
| Betroffene | Mitglieder, Kinder, Eltern, Trainer, Kursleiter, Helfer, Beschäftigte, Ehrenamtliche, Interessenten, Vereinsadministratoren und Kontakte. |
|---|---|
| Datenarten | Stamm- und Kontaktdaten, Mitglieds- und Rollenangaben, Termine, Kurs- und Trainingsdaten, Anwesenheiten, Kommunikation, Arbeitszeiten, Nachweise, Dateien, Protokoll- und Nutzungsdaten. |
| Besondere Kategorien | Je nach aktivierter Funktion können Gesundheits- oder Wohlbefindensangaben verarbeitet werden. Der Verantwortliche muss hierfür eine geeignete Rechtsgrundlage, besondere Zugriffsbeschränkungen und Löschregeln festlegen. |
4. Weisungen
BLuCa verarbeitet Daten nur auf dokumentierte Weisung, soweit keine gesetzliche Verpflichtung besteht. Konfiguration, Rollenvergabe und Nutzung der Funktionen gelten als Weisungen im Rahmen des Hauptvertrags. Hält BLuCa eine Weisung für rechtswidrig, wird der Verantwortliche unverzüglich informiert und die Ausführung darf bis zur Klärung ausgesetzt werden.
5. Pflichten von BLuCa
- Vertraulichkeitsverpflichtung aller zugriffsberechtigten Personen,
- geeignete technische und organisatorische Maßnahmen,
- Unterstützung bei Betroffenenrechten, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Behördenanfragen,
- unverzügliche Information über bekannt gewordene Verletzungen des Schutzes personenbezogener Daten,
- Nachweis der Einhaltung und Ermöglichung angemessener Prüfungen,
- Trennung der Vereine und Sparten nach dem umgesetzten Berechtigungsmodell.
6. Pflichten des Verantwortlichen
Der Verantwortliche stellt Rechtsgrundlagen und Informationspflichten sicher, prüft Weisungen, verwaltet Rollen, beschränkt besondere Daten, bearbeitet Betroffenenanfragen und legt Aufbewahrungs- und Löschfristen fest. Er nutzt keine Demo- oder Testumgebung für echte personenbezogene Daten.
7. Unterauftragsverarbeiter
BLuCa darf die nachfolgend bezeichneten Unterauftragsverarbeiter einsetzen und über Änderungen in Textform oder innerhalb des Administrationsbereichs informieren. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen.
| Dienst | Zweck | Ort/Transfer |
|---|---|---|
| IONOS SE | Hosting, Infrastruktur und gegebenenfalls E-Mail-Versand | Deutschland/EU nach aktueller Konfiguration |
| OpenAI – nur bei aktivierter KI-Funktion | Verarbeitung ausdrücklich an die KI übermittelter Eingaben | Gemäß der bei Aktivierung geltenden Vereinbarung, Region und Transfergarantie |
Mollie verarbeitet Zahlungsdaten grundsätzlich als eigenständiger Zahlungsdienstleister und nicht als Unterauftragsverarbeiter für Vereinsmitgliederdaten. Es werden nur die für Zahlung und Zuordnung erforderlichen Vertrags- und Zahlungsdaten übermittelt.
8. Technische und organisatorische Maßnahmen
- HTTPS-verschlüsselte Übertragung und sichere Proxy-Konfiguration,
- Passwort-Hashing, Sitzungs- und Cookie-Schutz,
- rollen- und vereinsbezogene Zugriffssteuerung sowie Spartenkontext,
- Protokollierung sicherheitsrelevanter Änderungen und Zugriffe,
- geschützte Dateiablage, Dateityp- und Größenkontrollen,
- Backups, Wiederherstellungsverfahren und getrennte Produktionskonfiguration,
- Patch-, Änderungs- und Berechtigungsmanagement,
- Datenminimierung, Lösch- und Exportmöglichkeiten.
Die Maßnahmen werden risikoorientiert weiterentwickelt. Eine Verringerung des vereinbarten Schutzniveaus ist unzulässig.
9. Drittlandübermittlungen
Übermittlungen außerhalb EU/EWR erfolgen nur bei zulässiger Rechtsgrundlage und geeigneten Garantien, insbesondere Angemessenheitsbeschluss oder Standardvertragsklauseln samt erforderlicher Zusatzmaßnahmen. Nicht benötigte Drittlandübermittlungen werden vermieden.
10. Löschung und Rückgabe
Nach Vertragsende gibt BLuCa Auftragsdaten nach Vereinbarung zurück oder stellt einen Export bereit und löscht verbleibende Kopien nach Ablauf des vereinbarten Übergangszeitraums, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden im regulären Überschreibzyklus gelöscht und bis dahin gesperrt.
11. Nachweise und Kontrollen
BLuCa stellt erforderliche Informationen bereit. Vor-Ort-Prüfungen sind mit angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Schutz anderer Kunden durchzuführen. Nachweise unabhängiger Prüfungen können gleichwertig berücksichtigt werden.
12. Schlussbestimmungen
Bei Widersprüchen geht diese AVV hinsichtlich der Auftragsverarbeitung dem Hauptvertrag vor. Änderungen und Nebenabreden bedürfen Textform. Die Haftungsregelungen des Hauptvertrags bleiben unberührt.