Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

1. Gegenstand und Dauer

Der Kunde (Verantwortlicher) beauftragt [Betreiber eintragen] (Auftragsverarbeiter) mit der Verarbeitung personenbezogener Daten im Rahmen der Nutzung von „Uniteti“. Der Vertrag gilt für die Dauer der Nutzung des Dienstes.

2. Art, Zweck und Umfang

• Zweck: Bereitstellung der Vereinsverwaltung (Mitgliederverwaltung, Beiträge, Zahlungen, Kassabuch, Kommunikation).
• Arten von Daten: Stammdaten (Name, Anrede, Geburtsdatum), Kontaktdaten, Adressdaten, Bankdaten (IBAN, BIC, SEPA-Mandat), Mitgliedschafts- und Zahlungsdaten, Notizen.
• Betroffene: Mitglieder, Interessenten, Spender sowie Benutzer des Kunden.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Bedienung des Dienstes durch den Kunden gilt als Weisung.

4. Vertraulichkeit

Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (TLS), Zugriff nur über persönliche Benutzerkonten, Passwörter mit Argon2id gehasht.
• Strikte Trennung der Daten je Verein, zusätzlich abgesichert durch Row-Level-Security in der Datenbank.
• Rollen- und Berechtigungskonzept, Protokollierung von Änderungen (Audit-Log).
• Tägliche Datensicherung, Wiederherstellung wird regelmäßig geprüft.

6. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Hosting: eigener Server des Anbieters (Standort eintragen)
• Cloudflare, Inc. (Netzwerk, Schutz vor Angriffen; Übermittlung auf Grundlage des EU-US Data Privacy Framework)
• Stripe Payments Europe, Ltd. (Zahlungsabwicklung des Abos; nur Daten des Vereins, keine Mitgliederdaten)
• E-Mail-Versand (Anbieter eintragen)

Über beabsichtigte Änderungen wird der Kunde vorab informiert und kann widersprechen.

7. Rechte der Betroffenen

Der Auftragsverarbeiter unterstützt den Kunden bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit). Der Dienst stellt dafür Funktionen bereit, etwa die Datenauskunft und die Anonymisierung von Mitgliedern.

8. Meldepflichten

Der Auftragsverarbeiter informiert den Kunden unverzüglich über Verletzungen des Schutzes personenbezogener Daten.

9. Löschung und Rückgabe

Nach Vertragsende kann der Kunde seine Daten exportieren. Danach werden die Daten gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.

10. Kontrollrechte

Der Kunde kann sich nach vorheriger Abstimmung von der Einhaltung dieses Vertrags überzeugen. Der Auftragsverarbeiter stellt die erforderlichen Informationen zur Verfügung.

Fassung vom 2026-10-13