Auftrags­verarbeitungs­vertrag

swetz technologies UG (haftungsbeschränkt)
Oelkersallee 23
22769 Hamburg
E-Mail: datenschutz@veveria.com

– nachfolgend „Auftragsverarbeiter“ –

und dem Verein, der ein Vereinsprofil auf der Plattform Veveria registriert,

– nachfolgend „Verantwortlicher“ –

schließen folgenden Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

• Der Auftragsverarbeiter stellt dem Verantwortlichen die Plattform Veveria (Web-App und Apps für iPhone und Android) zur Verfügung und verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen.
• Die Weisungen des Verantwortlichen ergeben sich aus diesem Vertrag und aus der Nutzung und Konfiguration der Plattform durch den Verantwortlichen, etwa wenn er Mitglieder anlegt, Inhalte veröffentlicht, öffentliche Seiten freischaltet oder Schnittstellen einrichtet. Weitere Weisungen erteilt er in Textform.
• Der Vertrag gilt für die Dauer des Nutzungsvertrags über Veveria. Nach dessen Ende gilt Abschnitt 11.

Die Verarbeitung dient der Bereitstellung der Plattform, insbesondere:

• Mitgliederverwaltung, Mitgliedsarten, Gruppen, Rollen und Berechtigungen
• Mitgliedsbeiträge: Beitragsläufe, Beitragsrechnungen, Zahlungsstatus, Arbeitsstunden
• Kommunikation: Chat in Gruppen und Direktnachrichten, Neuigkeiten, Kommentare, Umfragen, Push-Benachrichtigungen
• Termine und Zu- oder Absagen in der App sowie öffentliche Termin-Seiten ohne Antwortmöglichkeit
• Aufnahmeanträge und Kontaktformulare des Vereins
• Dokumente und Dateien
• Aufgaben, Inventar, Getränkeverbrauch und Zahlungsanforderungen
• Übermittlung von Terminen und Neuigkeiten an die Website des Vereins über Schnittstelle (API) und Webhooks, sofern der Verantwortliche sie einrichtet
• Entwürfe für Beiträge durch einen KI-Assistenten, sofern ein Administrator ihn aufruft
• Bearbeitung gemeldeter Inhalte sowie Export und Löschung der Vereinsdaten

Einzelheiten enthält Anlage 1.

Welche Daten verarbeitet werden, bestimmt der Verantwortliche durch seine Nutzung. Anlage 1 beschreibt die Datenkategorien und die betroffenen Personen.

Die Plattform ist nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), etwa Gesundheitsdaten, ausgelegt. Verarbeitet der Verantwortliche solche Daten dennoch, z. B. in Notizen, Dokumenten oder Nachweisen zu einem Aufnahmeantrag, trägt er dafür die Verantwortung.

Der Verantwortliche

• ist für die Rechtmäßigkeit der Verarbeitung verantwortlich und verarbeitet nur Daten, für die er eine Rechtsgrundlage hat;
• informiert die betroffenen Personen, insbesondere seine Mitglieder, über die Nutzung von Veveria;
• entscheidet über öffentliche Seiten, Schnittstellen und Webhooks und ist für die Systeme verantwortlich, an die er Daten darüber übermitteln lässt;
• bearbeitet Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung usw.);
• entscheidet, wie lange er Aufnahmeanträge und ihre Nachweise aufbewahrt, und löscht sie bei Bedarf selbst in der App, einzeln oder nur den Nachweis;
• bleibt Inhaber aller Daten, die er in Veveria verarbeitet.

Der Auftragsverarbeiter

• verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet;
• informiert den Verantwortlichen unverzüglich, wenn er eine Weisung für rechtswidrig hält;
• verpflichtet alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit;
• trifft die technischen und organisatorischen Maßnahmen nach Anlage 2;
• setzt Unterauftragsverarbeiter nur nach Abschnitt 6 ein;
• unterstützt den Verantwortlichen nach Abschnitt 8;
• löscht auf Weisung des Verantwortlichen, die dieser mit diesem Vertrag erteilt, abgelehnte Aufnahmeanträge samt Nachweis 30 Tage nach der Ablehnung sowie hochgeladene Nachweise, zu denen kein Aufnahmeantrag abgeschickt wurde, innerhalb von zwei Tagen; angenommene und offene Aufnahmeanträge löscht er nicht von sich aus;
• löscht die Daten nach Vertragsende nach Abschnitt 11.

• Der Verantwortliche genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.
• Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen vorab in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
• Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags (Art. 28 Abs. 4 DSGVO).
• Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage des EU-U.S. Data Privacy Framework oder der EU-Standardvertragsklauseln.

Die Maßnahmen nach Art. 32 DSGVO sind in Anlage 2 beschrieben und Bestandteil dieses Vertrags. Der Auftragsverarbeiter darf sie an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht sinkt.

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei

• der Beantwortung von Anfragen betroffener Personen (Art. 12–23 DSGVO). Leitet eine betroffene Person ihre Anfrage an den Auftragsverarbeiter, gibt er sie an den Verantwortlichen weiter;
• der Meldung von Datenschutzverletzungen (Art. 33, 34 DSGVO);
• Datenschutz-Folgenabschätzungen (Art. 35, 36 DSGVO);
• der Sicherheit der Verarbeitung (Art. 32 DSGVO).

• Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 24 Stunden.
• Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.
• Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen obliegen dem Verantwortlichen.

• Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Pflichten aus diesem Vertrag erforderlichen Informationen zur Verfügung, insbesondere eine aktuelle Beschreibung der Maßnahmen nach Anlage 2.
• Kontrollen vor Ort sind nach rechtzeitiger Ankündigung zu den üblichen Geschäftszeiten möglich, soweit die vorgelegten Nachweise nicht ausreichen.
• Betriebs- und Geschäftsgeheimnisse, insbesondere Quellcode und Sicherheitskonfigurationen, müssen nicht offengelegt werden.

• Der Nutzungsvertrag endet mit Ablauf der Testphase ohne Abschluss eines Abonnements, mit dem Ende eines gekündigten Abonnements oder wenn der Verantwortliche die Löschung seines Vereins in der App beantragt.
• Rückgabe: Bis zur Löschung kann der Verantwortliche in der App einen Export seiner Daten herunterladen. Er enthält die Mitglieder, Beiträge und Beitragssätze, Gruppen, Neuigkeiten, Termine und Umfragen, Aufgaben, Aufnahmeanträge und Inventar als Tabellen (CSV), alle ausgestellten Beitragsrechnungen als PDF sowie die Dokumente und Nachweise. Chatnachrichten, Kommentare, Likes und Mitteilungen sind nicht enthalten, weil Gruppen- und Direktnachrichten nur ihren Teilnehmern zugänglich sind.
• Löschung: Der Auftragsverarbeiter benachrichtigt den Inhaber des Vereins per E-Mail über die bevorstehende Löschung und erinnert ihn sieben Tage vorher. Er löscht alle Daten des Vereins einschließlich der Dateien frühestens 21 Tage nach der ersten Benachrichtigung und spätestens 30 Tage nach Vertragsende. Einen eigenen Löschantrag kann der Verantwortliche bis zur Löschung zurücknehmen.
• Datensicherungen: Die Datenbanken lassen sich zur Wiederherstellung nach Fehlern bis zu 35 Tage zurücksetzen, und gelöschte Dateien bleiben ebenso lange als ältere Version im Dateispeicher. Gelöschte Daten sind daher bis zu 35 Tage in Sicherungen enthalten und werden danach nicht mehr vorgehalten.
• Aufbewahrungspflichten des Verantwortlichen, etwa für Beitragsrechnungen, erfüllt dieser selbst; dafür dient der Export. Der Auftragsverarbeiter bewahrt keine Daten des Vereins über die Löschung hinaus auf. Als Nachweis der Löschung behält er nur ein Protokoll ohne personenbezogene Daten (Zeitpunkt und Anzahl der gelöschten Datensätze).
• Benutzerkonten, mit denen sich Personen anmelden, verantwortet der Auftragsverarbeiter selbst; ihre Löschung regelt die Datenschutzerklärung.

Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach den AGB der Plattform Veveria.

• Dieser Vertrag ist Bestandteil des Nutzungsvertrags über Veveria. Bei Widersprüchen geht er den AGB in Fragen des Datenschutzes vor.
• Es gilt deutsches Recht. Gerichtsstand ist Hamburg, soweit gesetzlich zulässig.
• Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.