Auftragsverarbeitungsvertrag (AVV)

01
AGB für Vereine
02
Endnutzer-Lizenzvertrag (EULA)
03
Auftragsverarbeitungsvertrag (AVV)
04
Hausregeln

Digitales Vereinsheim

Vertrag zur Auftragsverarbeitung i.S.d. Art. 28 DSGVO

Zwischen
dem Verein
– Nachstehend Verantwortlicher genannt –

Und

DFB GmbH & Co. KG
Kennedyallee 274
60528 Frankfurt am Main
– Nachstehend Auftragsverarbeiter genannt –

Präambel

Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen im Bereich der digitalen Vereinsadministration über die vom Auftragsverarbeiter betriebene Plattform „Digitales Vereinsheim". Grundlage der Leistungserbringung ist der zwischen den Parteien bestehende Nutzungsvertrag in Form der jeweils einbezogenen Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters („Hauptvertrag").

Im Rahmen der Durchführung des Hauptvertrags verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen. Die Parteien schließen daher diesen Auftragsverarbeitungsvertrag („AVV"), um die Anforderungen der Datenschutz-Grundverordnung („DSGVO"), insbesondere des Art. 28 DSGVO, umzusetzen.

Dieser AVV wird mit seinem Abschluss Bestandteil des Hauptvertrags. Die Anlagen zu diesem AVV sind Bestandteil dieses AVV.

Die Begriffe dieses AVV entsprechen den Begriffsbestimmungen der DSGVO.

1) Gegenstand, Umfang und Rangfolge

  1. Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Zusammenhang mit der Erbringung der im Hauptvertrag vereinbarten Leistungen. Die Einzelheiten der Verarbeitung, insbesondere Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1. Die Dauer der Verarbeitung richtet sich nach der Laufzeit des Hauptvertrags, soweit in diesem AVV nichts Abweichendes geregelt ist.
  2. Im Fall von Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV vor, soweit der Widerspruch datenschutzrechtliche Regelungen zur Auftragsverarbeitung betrifft. Im Übrigen bleibt der Hauptvertrag unberührt.
  3. Dieser AVV begründet keine Verpflichtung des Auftragsverarbeiters, die Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen zu prüfen. Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten verantwortlich.

2) Verantwortlichkeit und Weisungen

Der Verantwortliche ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Der Auftragsverarbeiter ist Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich nach Maßgabe dieses AVV und der dokumentierten Weisungen des Verantwortlichen, sofern der Auftragsverarbeiter nicht durch das Recht der Europäischen Union oder eines Mitgliedstaats, dem er unterliegt, zu einer Verarbeitung verpflichtet ist.

Weisungen erteilt der Verantwortliche in der Regel durch entsprechende Einstellungen und Vorgaben im Digitalen Vereinsheim. Darüber hinaus können Weisungen insbesondere über die zwischen den Parteien vereinbarten Kommunikationswege erteilt werden. Weisungsberechtigt sind die von der jeweiligen Partei benannten Personen oder Stellen, die der jeweils anderen Partei mitzuteilen sind. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung des Verantwortlichen gegen die DSGVO oder sonstige datenschutzrechtliche Vorschriften verstößt, weist der Auftragsverarbeiter den Verantwortlichen unverzüglich darauf hin. Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis der Verantwortliche die Weisung bestätigt, ändert oder zurücknimmt.

Wird der Auftragsverarbeiter durch das Recht der Europäischen Union oder eines Mitgliedstaats, dem er unterliegt, zu einer Verarbeitung personenbezogener Daten verpflichtet, informiert er den Verantwortlichen vor der Verarbeitung über diese rechtliche Anforderung, sofern das betreffende Recht eine solche Information nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3) Pflichten des Auftragsverarbeiters

  1. Der Auftragsverarbeiter beachtet die gesetzlichen Bestimmungen über den Datenschutz.
  2. Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung personenbezogener Daten befugten Personen, zur Vertraulichkeit verpflichtet wurden, einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen oder einer vergleichbaren Verpflichtung unterliegen.
  3. Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die bei Abschluss dieses AVV vereinbarten Maßnahmen sind in Anlage 2 beschrieben. Der Auftragsverarbeiter ist berechtigt, die technischen und organisatorischen Maßnahmen während der Vertragslaufzeit weiterzuentwickeln, anzupassen oder durch andere Maßnahmen zu ersetzen, sofern das vereinbarte Schutzniveau dadurch nicht wesentlich unterschritten wird.
  4. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen angemessen bei der Einhaltung der datenschutzrechtlichen Pflichten des Verantwortlichen. Dies umfasst insbesondere die Unterstützung bei der Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer in Kapitel III DSGVO genannten Rechte sowie die Unterstützung des Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten.
  5. Soweit ein Betroffener sich unmittelbar an den Auftragsverarbeiter zwecks Auskunftserteilung, Berichtigung oder Löschung hinsichtlich seiner Daten wenden sollte, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten und dessen Weisungen abwarten. Der Auftragsverarbeiter wird ohne entsprechende Einzelweisung des Verantwortlichen mit der betroffenen Person nicht in Kontakt trete
  6. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Daten betrifft, die der Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet. Der Verantwortliche unterstützt den Auftragsverarbeiter in Bezug auf die Abgabe von Meldungen im Zusammenhang mit einer Verletzung des Schutzes personenbezogener Daten, sofern der Auftragsverarbeiter hierzu verpflichtet sein sollte.
  7. Soweit der Auftragsverarbeiter nach diesem AVV Unterstützungsleistungen erbringt, die nicht ausdrücklich vom Hauptvertrag umfasst sind und nicht durch ein vom Auftragsverarbeiter zu vertretendes Fehlverhalten erforderlich wurden, kann der Auftragsverarbeiter diese Leistungen nach Aufwand vergüten lassen.

4) Unterauftragsverarbeiter

  1. Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Einschaltung weiterer Auftragsverarbeiter („Unterauftragsverarbeiter").
  2. Die bei Abschluss dieses AVV eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.
  3. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mit angemessener Frist vor deren Einsatz. Die Information kann insbesondere per E-Mail erfolgen.
  4. Der Verantwortliche kann gegen die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters aus wichtigem datenschutzrechtlichem Grund Einspruch erheben. Der Einspruch ist innerhalb von 14 Kalendertagen nach Zugang der Information in Textform zu erheben und zu begründen. Ein wichtiger datenschutzrechtlicher Grund liegt insbesondere vor, wenn konkrete Tatsachen die Annahme rechtfertigen, dass der betreffende Unterauftragsverarbeiter kein angemessenes Datenschutzniveau gewährleistet oder dass durch dessen Einsatz gesetzliche Vorgaben zur Auftragsverarbeitung nicht eingehalten werden können. Im Fall eines berechtigten Einspruchs bemühen sich die Parteien um eine angemessene Lösung. Ist eine solche Lösung für den Auftragsverarbeiter technisch oder wirtschaftlich nicht zumutbar, ist der Auftragsverarbeiter berechtigt, die betroffenen Leistungen ganz oder teilweise nicht zu erbringen oder den Hauptvertrag insoweit außerordentlich zu kündigen.
  5. Der Auftragsverarbeiter schließt mit Unterauftragsverarbeitern eine Vereinbarung, die dem Unterauftragsverarbeiter im Wesentlichen vergleichbare Datenschutzpflichten auferlegt, die für den Auftragsverarbeiter nach diesem AVV gelten, soweit diese Pflichten auf die durch den Unterauftragsverarbeiter erbrachten Leistungen anwendbar sind. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Erfüllung der Datenschutzpflichten der von ihm eingesetzten Unterauftragsverarbeiter verantwortlich.

5) Ort der Datenverarbeitung

Die hier gegenständliche Verarbeitung personenbezogener Daten findet ausschließlich innerhalb der Europäischen Union, in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum und/oder in einem anderen Land unter Einhaltung der besonderen Voraussetzungen der Art. 44 ff. DSGVO statt.

6) Nachweise und Kontrollrechte

  1. Der Auftragsverarbeiter stellt dem Verantwortlichen die zur Erfüllung der Nachweispflichten nach Art. 28 Abs. 3 lit. h DSGVO erforderlichen Informationen auf Anfrage bei Vertragsschluss sowie jährlich zur Verfügung. Der Nachweis kann insbesondere durch geeignete Dokumentationen, Selbstauskünfte, Sicherheitskonzepte, Zertifikate, Prüfberichte, Auditberichte, Testate oder vergleichbare Nachweise erfolgen.
  2. Der Auftragsverarbeiter lässt seine technischen und organisatorischen Maßnahmen sowie seine Datenschutz- und Sicherheitsprozesse regelmäßig durch interne oder externe Prüfungen überprüfen. Soweit externe Prüfungen erfolgen, sollen diese durch unabhängige, fachkundige Prüfer durchgeführt werden und zu einem Prüfbericht, Testat, Zertifikat oder vergleichbaren Nachweis führen. Der jeweilige Verantwortliche übt seine Kontrollrechte vorrangig durch Prüfung der vom Auftragsverarbeiter regelmäßig bereitgestellten Nachweise aus.
  3. Der jeweilige Verantwortliche kann darüber hinaus seine Kontrollrechte selbst oder durch einen Verband, Dachverband, eine sonstige zentrale Stelle oder einen unabhängigen fachkundigen Dritten im Rahmen einer Prüfung wahrnehmen lassen. Prüfungen erfolgen in der Regel gebündelt für mehrere Verantwortliche unter Berücksichtigung der berechtigten Interessen der Verantwortlichen sowie unter Einhaltung des Prinzips der Datentrennung in Absprache mit dem Auftragsverarbeiter. Eine solche individuelle Prüfung einschließlich einer Vor-Ort-Inspektion durch den jeweiligen Verantwortlichen oder einen von ihm beauftragten Prüfer bzw. im Rahmen einer gemeinsamen Prüfung ist nur zulässig, wenn die bereitgestellten Nachweise im konkreten Einzelfall nicht ausreichen und ein konkreter, nachvollziehbar begründeter datenschutzrechtlicher Anlass besteht. Solche Prüfungen sind mit angemessener Vorankündigung, in der Regel mindestens 30 Kalendertage vor dem geplanten Termin, während der üblichen Geschäftszeiten des Auftragsverarbeiters und unter Ausschluss jeglicher Beeinträchtigungen und/oder Störungen des Geschäftsbetriebs des Auftragsverarbeiters durchzuführen. Der Auftragsverarbeiter kann verlangen, dass die Prüfung durch einen unabhängigen, fachkundigen und zur Vertraulichkeit verpflichteten Dritten durchgeführt wird, der nicht im Wettbewerb mit dem Auftragsverarbeiter steht.
  4. Der jeweilige Verantwortliche trägt die Kosten einer von ihm veranlassten individuellen Prüfung einschließlich des angemessenen internen Aufwands des Auftragsverarbeiters, sofern die Prüfung keine wesentliche Pflichtverletzung des Auftragsverarbeiters bestätigt. Der Auftragsverarbeiter ist nicht verpflichtet, Informationen offenzulegen oder Prüfungen zu ermöglichen, soweit dadurch Betriebs- oder Geschäftsgeheimnisse, Sicherheitsinteressen, Rechte anderer Kunden, Vereine oder Nutzer oder gesetzliche Pflichten beeinträchtigt würden. In diesem Fall stellt der Auftragsverarbeiter angemessene alternative Nachweise bereit, soweit dies möglich und zumutbar ist.

7) Löschung und Rückgabe personenbezogener Daten

  1. Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern nicht nach dem Recht der Europäischen Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Der Verantwortliche hat seine Wahl rechtzeitig vor Beendigung des Hauptvertrags in Textform mitzuteilen. Erfolgt keine Weisung, ist der Auftragsverarbeiter berechtigt, personenbezogene Daten nach Maßgabe seiner regulären Löschroutinen zu löschen.
  2. Die Rückgabe personenbezogener Daten erfolgt in einem vom Auftragsverarbeiter unterstützten gängigen Format. Weitergehende Migrations-, Transformations- oder Exportleistungen sind gesondert zu vergüten, sofern sie nicht ausdrücklich vom Hauptvertrag umfasst sind.
  3. Dokumentationen, die dem Nachweis der ordnungsgemäßen Auftragsverarbeitung dienen, darf der Auftragsverarbeiter über das Vertragsende hinaus aufbewahren, soweit dies zur Erfüllung gesetzlicher Nachweispflichten oder zur Rechtsverteidigung erforderlich ist.

8) Vergütung zusätzlicher Leistungen

  1. Unterstützungsleistungen des Auftragsverarbeiters nach diesem AVV, die nicht ausdrücklich vom Hauptvertrag umfasst sind und nicht durch ein vom Auftragsverarbeiter zu vertretendes Fehlverhalten erforderlich wurden, kann der Auftragsverarbeiter nach Aufwand zu seinen jeweils geltenden Vergütungssätzen abrechnen.
  2. Dies gilt insbesondere für umfangreiche Betroffenenanfragen, Sonderauswertungen, Datenexporte, Audits, Unterstützung bei Datenschutz-Folgenabschätzungen, Unterstützung bei behördlichen Verfahren, kundenspezifische Sicherheitsanforderungen und außerordentliche Weisungen.

9) Schlussbestimmungen

  1. Änderungen und Ergänzungen dieses AVV bedürfen der Textform, sofern nicht zwingendes Recht eine strengere Form verlangt.
  2. Der Abschluss dieses AVV kann schriftlich, elektronisch oder in sonstiger nach Art. 28 Abs. 9 DSGVO zulässiger Form erfolgen.
  3. Sollte eine Bestimmung dieses AVV unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden die unwirksame oder undurchführbare Bestimmung durch eine wirksame und durchführbare Bestimmung ersetzen, die dem Zweck der ursprünglichen Bestimmung möglichst nahekommt.
  4. Im Übrigen gelten die Regelungen des Hauptvertrags, insbesondere zu anwendbarem Recht, Gerichtsstand, und Haftung.

Anlage 1

1. Gegenstand der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Bereitstellung und zum Betrieb der Plattform „Digitales Vereinsheim" sowie zur Erbringung der damit verbundenen Leistungen im Bereich der digitalen Vereinsadministration.

Die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung der Login-Funktionalität „mein.DFB" (SSO) sowie der Mitgliederdatenexport aus DFB-Net (Passabgleich) sind nicht Gegenstand dieser AVV.

Die Leistungen können insbesondere umfassen:

  • a) Bereitstellung, Betrieb und Wartung der Plattform; u.a.
    • 1) technische Bereitstellung, Sicherheit, Verfügbarkeit und Integrität der Plattform;
    • 2) Support, Wartung und Fehlerbehebung;
    • 3) Datensicherung und Wiederherstellung;
  • c) Einrichtung und Verwaltung von Nutzerkonten;
  • d) Bereitstellung von Funktionen zur Erfüllung gesetzlicher und satzungsgemäßer Vereinsaufgaben, insbesondere
    • 1) digitale Mitgliederverwaltung;
    • 2) Verwaltung von Vereins-, Kontakt-, Kommunikations- und Organisationsdaten;
    • 3) Bereitstellung von Funktionen zur Kommunikation innerhalb des Vereins oder mit Mitgliedern;
    • 4) Beitragsverwaltung;
  • e) Bereitstellung von Funktionen zum Angebot, der Verwaltung, Abwicklung und Zahlung von Leistungen der Vereine an Mitglieder und Dritte;
  • f) Dokumentation der Nutzung, soweit für Betrieb, Sicherheit oder Nachvollziehbarkeit erforderlich; sowie
  • g) Aggregieren insbesondere von Mitgliedschaftsdaten, Veranstaltungs- und Teilnahmedaten sowie Nutzungsdaten zur Plattform zur weiteren Verarbeitung (anonymisiert).

Die konkrete Nutzung einzelner Funktionen richtet sich nach dem Hauptvertrag und der tatsächlichen Konfiguration durch den Verantwortlichen.

2. Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des Hauptvertrags. Nach Beendigung des Hauptvertrags werden personenbezogene Daten nach Maßgabe von Ziffer 7 des AVV gelöscht oder zurückgegeben, sofern keine gesetzlichen Speicherpflichten oder berechtigten Aufbewahrungsgründe entgegenstehen.

3. Art der Verarbeitung

Die Verarbeitung kann insbesondere folgende Vorgänge umfassen:

Erheben, erfassen, organisieren, speichern, anpassen, ändern, auslesen, abfragen, verwenden, übermitteln, bereitstellen, abgleichen, verknüpfen, einschränken, löschen und vernichten personenbezogener Daten sowie die Sicherung und Wiederherstellung dieser Daten im Rahmen des Betriebs der Anwendung.

4. Zweck der Verarbeitung

Die Verarbeitung dient der Erbringung der im Hauptvertrag vereinbarten Leistungen gegenüber dem Verantwortlichen.

Zwecke der Verarbeitung sind insbesondere:

  • a) digitale Verwaltung des Vereins und seiner Organisationsstrukturen;
  • b) Verwaltung von Mitgliedern, Funktionsträgern, Ansprechpartnern, Nutzern und sonstigen Personen im Vereinskontext (Mäzene, Sponsoren, Erziehungsberechtigte von minderjährigen Mitgliedern);
  • c) Erhebung und Verwaltung von Mitgliedsbeiträgen;
  • d) Verwaltung von Zahlungsdaten zur Zahlungsabwicklung;
  • e) Bereitstellung von Kommunikations-, Verwaltungs- und Organisationsfunktionen;
  • f) Kommunikation mit Mitgliedern, Erziehungsberechtigten, Interessenten und Funktionsträgern;
  • g) Organisation und Durchführung von Vereinsveranstaltungen, Kursen und Versammlungen, Buchung und Bezahlung;
  • h) Bereitstellung und Administration von Benutzerkonten für berechtigte Vereinsvertreter und Personen;
  • i) Dokumentation vereinsbezogener Vorgänge;
  • j) technische Bereitstellung, Sicherheit, Verfügbarkeit und Integrität der Plattform;
  • k) Support, Wartung und Fehlerbehebung;
  • l) Datensicherung und Wiederherstellung;
  • m) Dokumentation der Nutzung, soweit für Betrieb, Sicherheit oder Nachvollziehbarkeit erforderlich.

5. Kategorien personenbezogener Daten

Je nach Nutzung der Plattform durch den Verantwortlichen können insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden:

  • Stammdaten:
    • Name
    • Vorname
    • Geschlecht
    • Geburtsdatum
    • Mitgliedsnummer
  • Kontaktdaten:
    • Anschrift
    • E-Mail-Adresse
    • Telefonnummer
  • Mitgliedschaftsdaten:
    • Eintrittsdatum
    • Mitgliedsstatus
    • Abteilungs- oder Gruppenzugehörigkeit
    • Vereinsfunktionen und Ämter
  • Beitrags- und Zahlungsdaten:
    • Beitragshöhe
    • Zahlungsstatus
    • Bankverbindung (IBAN, Kontoinhaber)
    • Lastschriftmandate
  • Kommunikationsdaten:
    • Korrespondenz mit Mitgliedern
    • Versandhistorien
    • Nachrichten über die Vereinsplattform
  • Benutzer- und Zugriffsdaten:
    • User ID zur Zuordnung im DVH
    • Login-Zeitpunkte
    • Protokolldaten (Logfiles)
  • Veranstaltungs- und Teilnahmedaten:
    • Anmeldungen zu Veranstaltungen
    • Anwesenheits- oder Teilnehmerlisten
    • Bilder/Fotos von Veranstaltungen
    • Berichte
  • Nutzerdaten:
    • Nutzungsdaten zur Plattform
    • Inhaltsdaten von Nutzern einschließlich Kommentare und andere nutzergenerierte Inhalte

6. Kategorien betroffener Personen

Je nach Nutzung der Plattform durch den Verantwortlichen können insbesondere folgende Kategorien betroffener Personen betroffen sein:

  • Vereinsmitglieder
  • Fördermitglieder
  • Ehemalige Mitglieder
  • Mitgliedsanwärter und Interessenten
  • Ehrenamtliche und Funktionsträger (z. B. Vorstand, Kassenwart, Übungsleiter)
  • Erziehungsberechtigte Personen minderjähriger Mitglieder
  • Kursteilnehmer und Veranstaltungsteilnehmer
  • Spender, Mäzene und Sponsoren der Vereine
  • Ansprechpartner von Geschäftspartnern und Kooperationspartnern der Vereine
  • Nutzer der Anwendung (Administratoren und weitere berechtigte Benutzer)

Anlage 2

Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter unterhält technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen werden risikobasiert ausgestaltet und fortentwickelt.

  1. Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Der Auftragnehmer hat die Sicherheit dem Art. 28 Abs. 3 lit. c, 32 DSGVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DSGVO herzustellen und aufrechtzuerhalten. Dies bedeutet, dass in Abstimmung mit dem Auftraggeber solche Maßnahmen zu treffen sind, die die Datensicherheit und ein dem Risiko angemessenes Schutzniveau hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme gewährleisten.Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen. Dies beinhaltet insbesonderedie Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)
    • a) Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen die personenbezogenen Daten verarbeitet und genutzt werden, zu verwehren (Zutrittskontrolle): Dies wird dadurch gewährleistet, dass die Verarbeitungssysteme (Server und Datenspeicher) in einem mit Zutrittskontrollsystemen ausgestatteten Rechenzentrum betrieben werden.
    • b) zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können (Zugangskontrolle): Der Zugang zu den Daten erfolgt mit einem durch Kennung und Kennwort geschütztes Zugangsverfahren. Mit einer Kennung sind Rollen und Datenrechte verbunden. Der Anwender kann nur im Rahmen dieser Rechte auf die Daten zugreifen, Administratoren können ebenfalls nur kennwortgeschützt auf die Verarbeitungssysteme zugreifen. Für die Kennungsvergabe an Mitarbeiter des Auftraggebers ist der Auftraggeber verantwortlich.
    • c) dafür Sorge zu tragen, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle): Die Rollen und Rechteverwaltung erfolgt über die Benutzerverwaltung der jeweiligen Anwendung. Anwender haben nur im Rahmen ihrer Rolle Zugriff auf die Daten. Verpflichtung der Bearbeiter auf das Datenschutzgesetz und datenschutzrechtliche Belehrung. Übertragungen zum Standort des Auftraggebers bzw. der Mitarbeiter des Vereins erfolgen verschlüsselt (https).
    • d) dafür Sorge zu tragen, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können (Trennungskontrolle): Auf die Daten kann nur im Rahmen der definierten Rollen und Rechte mit Kennung und Passwort zugegriffen werden.
    • e) die Daten, soweit möglich pseudonym zu verarbeiten.
    Die Integrität (Art. 32 Abs. 1 lit. b DS-GVO)
    • f) dafür Sorge zu tragen, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist (Weitergabekontrolle): Übertragungen zum Standort des Vereins bzw. der Mitarbeiter des Vereins erfolgen verschlüsselt (https).
    • g) dafür Sorge zu tragen, dass nachträglich geprüft und festgestellt werden kann, ob und von wem relevante personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle): Wesentliche Datenveränderungen und Eingaben werden protokolliert.
    • h) dafür Sorge zu tragen, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Vereins verarbeitet werden können (Auftragskontrolle): Die Verarbeitung erfolgt durch den Auftraggeber selbst über einen internetbasierten Zugriff (https). Mitarbeiter des Auftragnehmers sind angewiesen nur im Auftrag des Auftraggebers tätig zu werden.
    Die Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)
    • i) dafür Sorge zu tragen, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle): Die Daten werden durch regelmäßige Datensicherungen geschützt und auf gesicherten Online-Storagesystemen (Raid) gespeichert.
  2. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.

Anlage 3

Genehmigte Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz der nachfolgend genannten Unterauftragsverarbeiter.

  • coach better AG
    Maurerstrasse 8, 8500 Frauenfeld (Schweiz)
  • TTMS Switzerland / TTMS Schweiz AG
    Vulkanstraße 130i, 8048 Zürich, Switzerland
  • Hetzner Online GmbH
    Industriestr. 25, 91710 Gunzenhausen (Deutschland)
  • Amazon Web Services (AWS) / Amazon Web Services EMEA SARL
    38 Avenue John F. Kennedy, L-1855 Luxemburg (Luxemburg)
  • Payrexx AG
    Burgstraße 20, 3600 Thun (Schweiz)
  • rsync.net
    769 Center Blvd., Suite 303, Fairfax, CA 94930 (USA)

‍