Vertrag zur Auftragsverarbeitung
Nach Art. 28 DSGVO zwischen dem registrierten Verein als Verantwortlichem und Robin Kalfhues, Grotekamp 3a, 45721 Haltern am See, der VereinsMoment als Einzelunternehmer anbietet, als Auftragsverarbeiter. Der Vertrag ist Bestandteil der Nutzungsbedingungen und wird mit der Registrierung des Vereins abgeschlossen.
1. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um VereinsMoment bereitzustellen. Der Vertrag gilt, solange der Verein VereinsMoment nutzt, einschließlich der Löschfrist nach Nr. 9.
2. Art, Zweck und Betroffene
- Zweck: Erstellen, Abstimmen, Freigeben, Planen, Speichern und Veröffentlichen von Vereinsinhalten; Verwaltung von Teamzugängen und Rechten; KI-Unterstützung auf ausdrückliche Anforderung.
- Datenarten: Namen, E-Mail-Adressen, Rollen und Rechte von Vereinsmitgliedern mit Zugang; Fotos, Videos und Texte mit abgebildeten oder genannten Personen; Termine und Veranstaltungsangaben; Kontaktanfragen über Angebotsseiten; Zugangsschlüssel verbundener Social-Media-Konten; Protokolldaten.
- Betroffene: Mitglieder, Funktionsträger, Teilnehmende, Interessierte und auf Inhalten abgebildete oder genannte Personen, auch Minderjährige.
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind die Nutzungsbedingungen, dieser Vertrag und die Einstellungen und Aktionen im Portal; weitere Weisungen erteilt der Verantwortliche per E-Mail. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
4. Vertraulichkeit
Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Mitarbeitende von VereinsMoment greifen nur zu, soweit es für Betrieb, Support oder Sicherheit nötig ist.
5. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind, und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
6. Unterauftragsverarbeiter
Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Neue oder ersetzte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 4 Wochen vorher per E-Mail an; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und die Nutzung beenden. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.
7. Unterstützung
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener (zum Beispiel durch Datenexport und Löschfunktionen im Portal), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei einer Datenschutz-Folgenabschätzung.
8. Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
9. Löschung und Rückgabe
Nach Ende der Nutzung kann der Verantwortliche seine Daten 30 Tage lang herunterladen. Danach löscht der Auftragsverarbeiter die Daten, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Sicherungskopien werden mit Ablauf ihrer Aufbewahrungsfrist gelöscht.
10. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen bereit, die zum Nachweis der Pflichten nötig sind, und ermöglicht Überprüfungen nach vorheriger Abstimmung, in der Regel durch schriftliche Auskunft.
11. Ort der Verarbeitung
Die Verarbeitung erfolgt grundsätzlich in der EU. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage des EU-US Data Privacy Framework oder von EU-Standardvertragsklauseln (siehe Anlage 2).
12. Haftung
Für die Haftung gilt Art. 82 DSGVO.
Anlage 1: Technische und organisatorische Maßnahmen
- Zutritt: Betrieb ausschließlich in zertifizierten Rechenzentren von Microsoft Azure; kein eigener Serverraum.
- Zugang: eigene Konten mit Passwort-Hash (scrypt), Prüfung gegen bekannte Datenlecks, Zwei-Faktor-Anmeldung, Begrenzung von Anmeldeversuchen, Sitzungen höchstens acht Stunden.
- Zugriff: Rechte je Verein und Abteilung, Freigaben nur durch berechtigte Personen, Mitarbeiterrechte nur nach dem Erforderlichkeitsprinzip und mit Protokoll.
- Weitergabe: Verschlüsselte Übertragung (TLS); Datenbank nur über privates Netz erreichbar; Dienste untereinander mit verwalteten Identitäten statt gespeicherter Passwörter; Schlüssel in Azure Key Vault.
- Eingabe: Protokolle zu Änderungen, Freigaben und Veröffentlichungen im Verein.
- Verfügbarkeit: automatische Datenbanksicherung mit Wiederherstellung zu einem Zeitpunkt; Virenprüfung aller Uploads vor der Übernahme.
- Trennung: Daten jedes Vereins sind logisch getrennt; Zugriff nur über die Mitgliedschaft.
- Verschlüsselung: Speicherung verschlüsselt (Azure-Standard); Zugangsschlüssel zu Postfächern und Social-Media-Konten zusätzlich verschlüsselt.
Anlage 2: Unterauftragsverarbeiter
- Microsoft Ireland Operations Ltd., One Microsoft Place, Dublin, Irland: Hosting, Datenbank, Dateispeicher (West Europe und Germany West Central), KI-Dienste Azure OpenAI, Document Intelligence und Speech, E-Mail-Versand (Datenort Europa). Bei KI-Anfragen kann die Verarbeitung auch außerhalb der EU stattfinden; Grundlage: EU-US Data Privacy Framework und EU-Standardvertragsklauseln.
- TONVI TECH S.L., Málaga, Spanien: Übermittlung freigegebener Inhalte an Social-Media-Plattformen. Server in Deutschland (Hetzner), Mediendaten in der EU; eigene Unterauftragnehmer teils in den USA, Grundlage: EU-Standardvertragsklauseln und EU-US Data Privacy Framework.
- united-domains GmbH, Starnberg, Deutschland: Postfächer für Anfragen und Support.
Die Social-Media-Plattformen, an die der Verein Inhalte veröffentlichen lässt (zum Beispiel Meta, TikTok, Google/YouTube, LinkedIn), sind keine Unterauftragsverarbeiter, sondern eigenständige Verantwortliche.
Kontakt in Datenschutzfragen
Robin Kalfhues
Grotekamp 3a
45721 Haltern am See
Deutschland
E-Mail: info@vereinsmoment.de
Stand: 28. Oktober 2026