Auftragsverarbeitungsvertrag

Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen. Der Auftragsverarbeiter erbringt für den Verantwortlichen die im Hauptvertrag beschriebenen Leistungen — insbesondere den Betrieb einer cloudbasierten Mitgliederverwaltungsplattform — und verarbeitet dabei personenbezogene Daten ausschließlich im Rahmen dieses AVV und auf dokumentierte Weisung des Verantwortlichen.

Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrages. Er endet automatisch mit Beendigung des Hauptvertrages, soweit sich aus den nachfolgenden Regelungen keine darüberhinausgehenden Pflichten ergeben.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten für folgende Zwecke:

• Verwaltung von Vereins- und Fitnessstudio-Mitgliedschaften
• Erstellung und Versand von Rechnungen sowie Mahnungen
• Abwicklung von SEPA-Lastschriften und Zahlungsverkehr
• Durchführung von QR-Code-Check-in-Prozessen
• Verwaltung von Kursplänen und Buchungen
• Versand von Vereinskommunikation und Rundschreiben per E-Mail
• Erstellung von DATEV-Exporten für steuerliche Zwecke des Verantwortlichen
• Bereitstellung eines Mitglieder-Self-Service-Portals

Die Verarbeitung erfolgt ausschließlich auf dem Gebiet der Europäischen Union sowie in Ländern mit angemessenem Datenschutzniveau gemäß Art. 45 DSGVO.

Gegenstand der Verarbeitung sind folgende Kategorien personenbezogener Daten:

• Stammdaten: Vor- und Nachname, Anschrift, Geburtsdatum, Geschlecht
• Kontaktdaten: E-Mail-Adresse, Telefonnummer
• Finanzdaten: IBAN (für SEPA-Lastschrift), Zahlungshistorie, Rechnungsbelege
• Vertragsdaten: Mitgliedschaftsstatus, Tarif, Vertragslaufzeit, Beitragsstruktur
• Check-in-Daten: Anwesenheitszeiten, Check-in-Protokolle
• Kommunikationsdaten: E-Mail-Versandprotokolle, Benachrichtigungen
• Bei Minderjährigen (unter 18 Jahren): Zusätzlich Daten der Erziehungsberechtigten / Sorgeberechtigten (Name, Kontaktdaten, Unterschriftsberechtigung)

Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO (insbesondere Gesundheitsdaten, sofern vom Verantwortlichen im Freitextfeld hinterlegt) werden nur auf ausdrückliche Eingabe durch den Verantwortlichen verarbeitet. Der Verantwortliche ist für die Rechtmäßigkeit dieser Eingabe eigenverantwortlich.

Von der Datenverarbeitung sind folgende Kategorien natürlicher Personen betroffen:

• Vereinsmitglieder und Fitnessstudio-Kunden (aktive und ehemalige)
• Trainer, Kursleiter und Mitarbeitende des Verantwortlichen
• Spenderinnen und Spender (bei gemeinnützigen Vereinen)
• Erziehungsberechtigte und Sorgeberechtigte minderjähriger Mitglieder
• Administratoren und Nutzer mit Zugang zur Verwaltungsoberfläche

Der Auftragsverarbeiter verpflichtet sich:

• Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO).
• Sicherzustellen, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.
• Alle erforderlichen technisch-organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu ergreifen (siehe § 9).
• Die Bedingungen dieses AVV einzuhalten, wenn Unterauftragsverarbeiter eingesetzt werden (siehe § 6).
• Den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO) zu unterstützen.
• Den Verantwortlichen bei der Erfüllung der Pflichten gemäß Art. 32–36 DSGVO (Sicherheit, Meldepflichten, Datenschutz-Folgenabschätzung) zu unterstützen.
• Nach Abschluss der Verarbeitungsleistungen alle personenbezogenen Daten zu löschen oder zurückzugeben und bestehende Kopien zu vernichten, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht.
• Dem Verantwortlichen alle erforderlichen Informationen zur Verfügung zu stellen, um die Einhaltung der in diesem Artikel niedergelegten Pflichten nachweisen zu können, und Überprüfungen zu ermöglichen.

Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn eine erteilte Weisung nach seiner Einschätzung gegen datenschutzrechtliche Vorschriften verstößt.

Der Verantwortliche erteilt hiermit seine allgemeine Genehmigung für den Einsatz der nachfolgend genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder den Austausch weiterer Unterauftragsverarbeiter, wodurch dem Verantwortlichen die Möglichkeit eingeräumt wird, diesen Änderungen zu widersprechen.

Mit jedem Unterauftragsverarbeiter wird ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO abgeschlossen, der dem Unterauftragsverarbeiter dieselben Datenschutzpflichten auferlegt, die in diesem AVV für den Auftragsverarbeiter vorgesehen sind.

Soweit betroffene Personen ihre Rechte gemäß Art. 15–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch) gegenüber dem Auftragsverarbeiter geltend machen, leitet dieser die Anfragen unverzüglich an den Verantwortlichen weiter.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung dieser Anfragen im technisch möglichen Rahmen — insbesondere durch Bereitstellung von Exportfunktionen, Löschroutinen und Auskunftsmöglichkeiten über die Verwaltungsoberfläche.

Anfragen betroffener Personen leitet der Auftragsverarbeiter ohne unangemessene Verzögerung an den Verantwortlichen weiter. Der Verantwortliche bleibt alleinverantwortlich für die Erfüllung der Betroffenenrechte.

Nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten oder gibt sie zurück, sofern der Verantwortliche einen Datenexport vor Vertragsbeendigung initiiert hat.

Der Verantwortliche erhält nach Kündigung einen Zeitraum von 30 Tagen, um seine Daten über die bereitgestellten Exportfunktionen (CSV, PDF) herunterzuladen. Nach Ablauf dieser Frist werden die Daten unwiderruflich gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten (z. B. steuerrechtliche Fristen gemäß § 147 AO) dem entgegenstehen.

Die Vernichtung von Daten beim Auftragsverarbeiter und seinen Unterauftragsverarbeitern wird auf Anfrage schriftlich bestätigt.

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO):

• Verschlüsselung: Alle Daten werden bei der Übertragung mit TLS 1.2+ verschlüsselt. Datenbankdaten werden at-rest verschlüsselt (AES-256).
• Zugriffskontrolle: Row-Level Security (RLS) auf Datenbankebene erzwingt mandantensichere Datenisolierung. Jeder Tenant sieht ausschließlich eigene Daten, auch im Fehlerfall.
• Authentifizierung: Starke Passwort-Policy (mind. 8 Zeichen, Groß-/Kleinschreibung, Sonderzeichen). Magic-Link-basierter Portalzugang für Mitglieder.
• Audit-Logging: Kritische Datenoperationen (Löschungen, Exporte, Rollenwechsel) werden protokolliert und sind auditierbar.
• Mandantentrennung: Vollständige logische Trennung aller Tenants auf Datenbankebene durch tenant_id-Scoping auf jeder Tabelle.
• Verfügbarkeit: Automatisierte Backups der Datenbank durch den Infrastrukturdienstleister. Hochverfügbarkeits- Architektur über Vercel Edge Network.
• Belastbarkeit: Serverless-Architektur mit automatischer Skalierung. Kein Single Point of Failure in der Anwendungsschicht.
• Überprüfung: Regelmäßige Überprüfung der Sicherheitsmaßnahmen. Dependency-Updates und Sicherheits-Patches werden zeitnah eingespielt.

Die aktuellen TOMs können jederzeit schriftlich beim Auftragsverarbeiter angefordert werden.

Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Änderungen und Ergänzungen bedürfen der Schriftform.

Sollten einzelne Bestimmungen dieses AVV ganz oder teilweise unwirksam sein oder werden, so berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.

Im Falle von Widersprüchen zwischen den Bestimmungen dieses AVV und den Bestimmungen des Hauptvertrages haben die Regelungen dieses AVV im Hinblick auf den Schutz personenbezogener Daten Vorrang.

Mit der Registrierung bei vereinsnah und der Zustimmung zu diesem AVV im Registrierungsprozess erklärt der Verantwortliche, diesen AVV gelesen, verstanden und akzeptiert zu haben. Die Annahme wird elektronisch gespeichert (Zeitstempel der Zustimmung, IP-Adresse).