Vereinbarung zur Auftragsverarbeitung

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

[Vorlage zur rechtlichen Prüfung. Wird die Seite aus der Verwaltung mit ?verein=… geöffnet, werden die Daten des Vereins eingesetzt. Danach drucken oder als PDF speichern und von beiden Seiten unterschreiben.]

Vertragsparteien

Verantwortlicher (Auftraggeber):
[Name des Vereins]
ZVR-Zahl: [ZVR-Zahl]
Anschrift: [Anschrift des Vereins]
vertreten durch: [vertretungsbefugte Person(en)]
– im Folgenden „Verein“ –

Auftragsverarbeiter (Auftragnehmer):
2bit e.U. – Thomas Binderbauer
Seckauer Straße 19/3, 8720 Knittelfeld, Österreich
E-Mail: office@2bit.at, Telefon: +43 664 3554490
– im Folgenden „Auftragnehmer“ –

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Verein auf Grundlage des Vertrags über das „Vereinskassenbuch“ (Hauptvertrag) eine Online-Software zur Verwaltung der Vereinskassa zur Verfügung (Software as a Service). Dabei verarbeitet er personenbezogene Daten im Auftrag des Vereins.

(2) Diese Vereinbarung gilt für die Dauer des Hauptvertrags und darüber hinaus, bis der Auftragnehmer alle Daten gemäß § 11 gelöscht oder zurückgegeben hat.

§ 2 Art, Zweck, Daten und Betroffene

(1) Zweck: Bereitstellung, Betrieb, Wartung und Support des Vereinskassenbuchs: Erfassung, Speicherung, Auswertung und Ausgabe der Einnahmen und Ausgaben des Vereins, Ablage von Belegen, Benutzerverwaltung, Sicherung und Export.

(2) Art der Verarbeitung: Speichern, Auslesen, Abfragen, Auswerten, Übermitteln an den Verein, Sichern, Löschen.

(3) Datenarten:

• Benutzerdaten: Anmeldename, Anzeigename, Rolle und Berechtigungen, Prüfwert des Passworts (nicht das Passwort selbst), Zeitpunkte von Anmeldungen, Angaben zum Gerät (Browserkennung);
• Buchungsdaten: Datum, Betrag, Buchungstext, Belegnummer, Kategorie, Konto/Handkassa;
• Belege: hochgeladene Fotos, Scans und PDF-Dateien, die personenbezogene Daten Dritter enthalten können (z. B. Namen, Anschriften, Bankverbindungen auf Rechnungen);
• Protokolldaten: Änderungen, Korrekturen, Zeitpunkt und handelnde Person;
• Support-Meldungen und die darin enthaltenen technischen Angaben.

(4) Kreise der Betroffenen: Benutzer des Vereins (z. B. Kassier, Funktionäre), Mitglieder, Lieferanten, Spender, Sponsoren und sonstige Vertragspartner des Vereins, soweit sie in Buchungen oder Belegen vorkommen.

(5) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Verein erfasst sie nicht im Kassenbuch.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Vereins, auch hinsichtlich der Übermittlung in ein Drittland, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verein die rechtlichen Anforderungen vorab mit, sofern das Recht dies nicht verbietet.

(2) Der Hauptvertrag, diese Vereinbarung und die Bedienung der Software durch den Verein sind die Weisungen. Weitere Weisungen erteilt der Verein in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Verein unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 4 Vertraulichkeit

Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, sofern sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen. Der Auftragnehmer greift auf Inhalte des Kassenbuchs nur zu, soweit es für Betrieb, Wartung, Fehlerbehebung, Wiederherstellung oder auf Anfrage des Vereins (Support) erforderlich ist.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und entwickelt sie im Rahmen des technischen Fortschritts weiter. Das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen teilt der Auftragnehmer auf Anfrage mit.

§ 6 Unterauftragsverarbeiter

(1) Der Verein erteilt die allgemeine Genehmigung, die in Anlage 2 genannten Unterauftragsverarbeiter einzusetzen.

(2) Beabsichtigt der Auftragnehmer, weitere Unterauftragsverarbeiter einzusetzen oder zu ersetzen, informiert er den Verein mindestens 30 Tage vorher in Textform. Der Verein kann innerhalb dieser Frist aus wichtigem Grund widersprechen. Wird der Widerspruch nicht ausgeräumt, können beide Seiten den Hauptvertrag zum Zeitpunkt des geplanten Wechsels außerordentlich kündigen.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, die in dieser Vereinbarung festgelegt sind, und haftet für deren Einhaltung.

§ 7 Rechte der Betroffenen

Der Auftragnehmer unterstützt den Verein mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch) zu erfüllen. Wendet sich ein Betroffener direkt an den Auftragnehmer, leitet dieser den Antrag unverzüglich an den Verein weiter und beantwortet ihn nicht selbst.

§ 8 Unterstützung des Vereins

Der Auftragnehmer unterstützt den Verein unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

§ 9 Meldung von Verletzungen

Der Auftragnehmer meldet dem Verein eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Bekanntwerden, und übermittelt die für die Meldung an die Datenschutzbehörde erforderlichen Informationen, soweit sie ihm vorliegen.

§ 10 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Verein auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind. Der Verein kann Überprüfungen nach rechtzeitiger Anmeldung (mindestens 14 Tage), zu üblichen Geschäftszeiten und ohne Störung des Betriebs durchführen oder durchführen lassen. Der Aufwand des Auftragnehmers für Kontrollen, die über die Bereitstellung der Nachweise hinausgehen, wird nach Aufwand vergütet.

§ 11 Löschung und Rückgabe

(1) Nach Ende des Hauptvertrags stellt der Auftragnehmer dem Verein auf Wunsch eine vollständige Sicherung der Daten (Datei mit Buchungen, Kategorien und Einstellungen sowie die Belege) bereit. Der Verein kann die Daten jederzeit auch selbst exportieren.

(2) Danach löscht der Auftragnehmer die Instanz mit der gesamten Datenbank, spätestens innerhalb von 30 Tagen nach Vertragsende. Bei Unterauftragsverarbeitern können Daten aus technischen Gründen noch für einen begrenzten Zeitraum (nach derzeitigem Stand bis zu 30 Tage) in Wiederherstellungsbeständen verbleiben, bevor sie endgültig gelöscht werden. Gesetzliche Aufbewahrungspflichten des Auftragnehmers bleiben unberührt.

(3) Die Aufbewahrungspflichten des Vereins für seine Buchhaltung (z. B. nach der Bundesabgabenordnung) erfüllt der Verein selbst; der Auftragnehmer ist kein Archivdienst.

§ 12 Haftung

Für die Haftung gelten Art. 82 DSGVO und die Regelungen des Hauptvertrags. [Ggf. Haftungsbegrenzung abstimmen.]

§ 13 Schlussbestimmungen

Änderungen und Ergänzungen bedürfen der Textform. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung in datenschutzrechtlichen Fragen vor. Es gilt österreichisches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der Rest wirksam.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer betreibt kein eigenes Rechenzentrum. Die Infrastruktur (Server, Datenbank, Netzwerk) wird beim Unterauftragsverarbeiter nach Anlage 2 betrieben; für dessen physische Sicherheit gelten dessen Zertifizierungen und Maßnahmen.

1. Vertraulichkeit

• Zugangskontrolle: individuelle Zugänge je Person mit Anmeldename und Passwort (mindestens 10 Zeichen). Das Passwort verlässt das Gerät nie: Es wird im Browser mit PBKDF2-SHA-256 (600.000 Runden, eigenes Salz) zu einem Schlüssel verarbeitet, nur dieser wird übertragen, und der Server speichert davon nur einen SHA-256-Prüfwert. Nach 10 Fehlversuchen wird der Zugang für 15 Minuten gesperrt. Sitzungen sind an ein zufälliges Sitzungsmerkmal gebunden (nur als Prüfwert gespeichert, Cookie mit HttpOnly, Secure und SameSite=Strict), laufen ab und lassen sich von der Person auf allen Geräten widerrufen. Einladungslinks gelten einmalig und 7 Tage.
• Zugriffskontrolle: Rollenkonzept (Verwalter, Erfasser, Nur Ansicht). Das Ändern oder Löschen bestehender Buchungen ist eine eigene Berechtigung und verlangt Passwortbestätigung und eine Begründung. Der Verwalter des Vereins vergibt und entzieht Zugänge.
• Zugriff des Auftragnehmers: nur über die Verwaltungsschnittstelle der Instanz mit einem geheimen, je Verein eigenen Schlüssel und über die Konten bei Cloudflare mit starker Authentifizierung. Zugriffe auf Vereinsdaten erfolgen nur nach Maßgabe von § 4.
• Trennungskontrolle: Jeder Verein hat eine eigene Instanz mit eigenem Programm, eigener Datenbank und eigenem Schlüssel (keine gemeinsame Datenbank mehrerer Vereine). Die Datenbanken werden mit Standortvorgabe „EU“ (Jurisdiktion) angelegt.
• Pseudonymisierung/Minimierung: Es werden nur Daten gespeichert, die für den Zweck erforderlich sind. Passwörter werden nicht gespeichert. Die Software verwendet keine Tracking-, Werbe- oder Analysedienste und keine Drittanbieter-Skripte.

2. Integrität

• Weitergabekontrolle: Übertragung ausschließlich verschlüsselt (HTTPS/TLS). Sicherheits-Header (u. a. Content-Security-Policy, X-Content-Type-Options, Referrer-Policy) schränken die Ausführung fremder Inhalte ein. Schreibende Anfragen erfordern ein Merkmal gegen fremde Seitenaufrufe (CSRF-Schutz).
• Eingabekontrolle: Änderungen, Korrekturen und Löschungen werden in einem Protokoll mit Zeitpunkt, handelnder Person und altem Stand festgehalten. Das Protokoll ist datenbankseitig gegen Änderung und Löschung geschützt. Abgeschlossene Saisonen sind gesperrt und lassen sich nur mit Passwort und Begründung wieder öffnen.
• Dateien: Hochgeladene Belege werden nach Dateiart geprüft (Foto/PDF), in der Größe begrenzt und nur nach Anmeldung ausgeliefert.

3. Verfügbarkeit und Belastbarkeit

• Betrieb auf der global verteilten Infrastruktur des Unterauftragsverarbeiters.
• Automatische Sicherung am Monatsende (die letzten 36 bleiben erhalten), jederzeit manuelle Sicherung, Export als Datei (JSON, CSV) und Download der Belege. Wiederherstellung durch Einspielen der Sicherung; zusätzlich bietet der Datenbankdienst des Unterauftragsverarbeiters eine zeitpunktbezogene Wiederherstellung.
• Updates erfolgen über einen kontrollierten Veröffentlichungsprozess (Versionsnummer, Datenbank-Migrationen mit Nachweis, Prüfung der Erreichbarkeit nach dem Update).

4. Verfahren zur regelmäßigen Überprüfung

• Sicherheitsrelevante Änderungen werden vor der Veröffentlichung getestet. Der Auftragnehmer verfolgt Sicherheitshinweise zu den eingesetzten Komponenten.
• Der Auftragnehmer kann einen Verein bei einem Sicherheitsvorfall unverzüglich sperren; die Daten bleiben dabei unverändert.
• Auftragskontrolle: Weisungen werden in Textform dokumentiert. Der Auftragnehmer ist Einzelunternehmer; weitere Personen mit Zugang werden schriftlich zur Vertraulichkeit verpflichtet.

Anlage 2 – Unterauftragsverarbeiter

Weitere Unterauftragsverarbeiter werden derzeit nicht eingesetzt. [Prüfen: Ändert sich das, z. B. durch einen E-Mail-Versanddienst, hier ergänzen und die Vereine nach § 6 informieren. Aktuellen Stand der Cloudflare-Zertifizierung vor Verwendung prüfen.]

Startseite · Impressum · Datenschutz · Allgemeine Bedingungen