Auftragsverarbeitungsvertrag (AVV)

(1) Der Verantwortliche (Verein) nutzt TanzRaum, eine Web-App zur Organisation von Vereinen im Tanzsport (u. a. Mitglieder, Gruppen, Training, Termine, Kommunikation, Anträge, Beiträge und Dateien). Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag regelt die Rechte und Pflichten der Parteien nach Art. 28 DSGVO.

(2) Der Vertrag gilt für alle Daten, die der Verein oder in seinem Auftrag handelnde Personen (Vereinsadmins, Trainer, Betreuer) in den Vereinsbereichen von TanzRaum erfassen oder dort entstehen lassen („Vereinsdaten“). Für Daten, die TanzRaum für eigene Zwecke verarbeitet (z. B. Benutzerkonto, Anmeldung, persönliche Bereiche, Abrechnung der Lizenz, TanzRaum-Netzwerk), ist der Auftragsverarbeiter selbst verantwortlich; dafür gilt seine Datenschutzerklärung.

(3) Der Vertrag beginnt mit dem Abschluss in TanzRaum und läuft, solange der Verein TanzRaum nutzt und der Auftragsverarbeiter Vereinsdaten verarbeitet. Die Regelungen zur Löschung und Rückgabe (§ 9) gelten über das Vertragsende hinaus.

(1) Art und Zweck: Speichern, Ordnen, Anzeigen, Übermitteln (z. B. per E-Mail oder Benachrichtigung), Auswerten und Löschen von Vereinsdaten, um dem Verein die Funktionen von TanzRaum bereitzustellen. Der Auftragsverarbeiter nutzt Vereinsdaten nicht für eigene Zwecke, insbesondere nicht für Werbung, und gibt sie nicht an Dritte weiter, außer an die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Art der Daten (je nach genutzten Funktionen):

• Stammdaten: Name, Geburtsdatum, Geschlecht, Profilbild, Anschrift, Vereinszugehörigkeit, Rolle und Funktion im Verein
• Kontaktdaten: E-Mail-Adresse, Telefonnummer, Kontaktdaten von Eltern bzw. Erziehungsberechtigten
• Mitgliedschaft: Gruppen, Formationen, Ein- und Austritt, Mitgliedsanträge mit Unterschrift, Einwilligungen
• Training und Termine: Anwesenheit, Ab- und Zusagen samt Begründung, Kalender, Saison- und Startplanung, Ehrungen
• Finanzen: Beiträge, Kassenbuch, Belege, Spenden und Zuwendungsbestätigungen, Bankverbindung und SEPA-Lastschriftmandate
• Kommunikation: Vereins- und Gruppenchats, Rundschreiben, News und Umfragen
• Dateien: Dokumente, Musik, Fotos (z. B. Kostüme), Fahrgemeinschaften

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Gibt der Verein solche Daten dennoch in Freitextfeldern ein (z. B. Gesundheitsangaben als Grund einer Abmeldung), liegt die Verantwortung dafür beim Verein.

(4) Betroffene Personen: Mitglieder (auch Minderjährige), Eltern bzw. Erziehungsberechtigte, Trainer, Betreuer und Funktionsträger, Antragstellende, Spender sowie sonstige Kontaktpersonen des Vereins.

(1) Der Auftragsverarbeiter verarbeitet Vereinsdaten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der EU oder Deutschlands zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen ergeben sich aus diesem Vertrag sowie aus der Nutzung der Funktionen von TanzRaum durch den Verein (z. B. Anlegen, Ändern, Versenden, Löschen). Weitere Weisungen erteilt der Verantwortliche in Textform (z. B. per E-Mail an info@tanzraum.app).

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

(1) Der Auftragsverarbeiter gewährleistet, dass sich alle Personen, die Zugang zu Vereinsdaten haben, zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

(3) Er unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person mit einem Anliegen zu Vereinsdaten direkt an ihn, leitet er es unverzüglich an den Verantwortlichen weiter.

(4) Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation der Aufsichtsbehörde) unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen.

(5) Verletzungen des Schutzes von Vereinsdaten meldet er dem Verantwortlichen unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO.

(6) Ansprechpartner für den Datenschutz beim Auftragsverarbeiter: Kai Kern, Taktmanufaktur, Jahnstraße 15, 67378 Zeiskam, E-Mail: info@tanzraum.app. Ein Datenschutzbeauftragter ist nicht benannt, da hierfür keine gesetzliche Pflicht besteht.

(7) Die Verarbeitung findet in der EU statt. Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO und wie in Anlage 2 angegeben.

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für eine Rechtsgrundlage, die Information der betroffenen Personen (Art. 13, 14 DSGVO) und – soweit erforderlich – Einwilligungen, bei Minderjährigen auch der Erziehungsberechtigten.

(2) Er vergibt Rollen und Rechte in TanzRaum (Vereinsadmin, Trainer, Betreuer) mit Sorgfalt und nur an Personen, die die Daten für ihre Aufgabe benötigen, und entzieht sie, wenn die Aufgabe endet.

(3) Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(1) Der Verantwortliche genehmigt allgemein den Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage vorher über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters (in TanzRaum und/oder per E-Mail an die Vereinsadmins). Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche die Nutzung von TanzRaum zum Zeitpunkt der Änderung beenden.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Datenschutzniveau, das diesem Vertrag entspricht (Art. 28 Abs. 4 DSGVO). Er haftet für dessen Einhaltung wie für eigenes Handeln.

(4) Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikations- oder Zustelldienste, die der Auftragsverarbeiter nicht zur Verarbeitung von Vereinsdaten einsetzt (siehe Anlage 2, Abschnitt B).

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind. Dafür können auch Nachweise und Zertifizierungen der Unterauftragsverarbeiter dienen.

(2) Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Kontrollen durchführen, nach rechtzeitiger Anmeldung (in der Regel mindestens 14 Tage), zu den üblichen Geschäftszeiten und ohne Störung des Betriebs. Kontrollen erfolgen vorrangig durch Auskünfte und Unterlagen; Rechenzentren der Unterauftragsverarbeiter werden über deren Nachweise geprüft.

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten die gesetzlichen Regelungen.

(1) Während der Nutzung kann der Verantwortliche Vereinsdaten in TanzRaum selbst löschen. Gelöschte Daten werden aus dem laufenden Bestand entfernt; in den Datensicherungen bleiben sie höchstens 14 Tage erhalten, Sicherungskopien von Dateien höchstens 30 Tage.

(2) Endet die Vereinslizenz, bleiben die Vereinsdaten zunächst gespeichert, damit der Verein die Lizenz verlängern oder seine Daten sichern kann. Auf Verlangen des Verantwortlichen gibt der Auftragsverarbeiter die Vereinsdaten in einem gängigen, maschinenlesbaren Format heraus und/oder löscht sie innerhalb von 30 Tagen.

(3) Ohne solches Verlangen löscht der Auftragsverarbeiter die Vereinsdaten spätestens 12 Monate nach Ende der Vereinslizenz, nachdem er dies den Vereinsadmins mindestens 30 Tage vorher angekündigt hat. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

(1) Der Vertrag wird elektronisch abgeschlossen (Art. 28 Abs. 9 DSGVO): durch Bestätigung in TanzRaum durch einen Vereinsadmin für den Verein. TanzRaum speichert dazu Verein, Fassung, Zeitpunkt und die abschließende Person. Die Ausfertigung kann jederzeit unter „Mein Verein“ als PDF abgerufen werden.

(2) Änderungen dieses Vertrags teilt der Auftragsverarbeiter mit einer neuen Fassung mit; sie gelten, sobald ein Vereinsadmin sie bestätigt hat. Bis dahin gilt die zuletzt bestätigte Fassung.

(3) Bei Widersprüchen gehen die Regelungen dieses Vertrags denen der Nutzungsbedingungen vor, soweit es um den Schutz von Vereinsdaten geht.

(4) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.

Vertraulichkeit – Zutritt: Die Systeme laufen ausschließlich in professionell betriebenen Rechenzentren der Unterauftragsverarbeiter (Anlage 2) in der EU mit deren Zutrittskontrollen; der Auftragsverarbeiter betreibt keine eigenen Server in Büroräumen.

Vertraulichkeit – Zugang:

• Anmeldung nur mit persönlichem Konto; Passwörter werden ausschließlich vom Anmeldedienst verarbeitet und nur als Hash gespeichert
• Verwaltungszugang zum Anwendungsserver nur per SSH-Schlüssel; Firewall, nur die nötigen Ports (SSH, HTTP/HTTPS) sind offen
• Zugangsdaten zu Diensten (API-Schlüssel) liegen nur auf dem Server bzw. als geschützte Geheimnisse, nie im Browser

Vertraulichkeit – Zugriff und Trennung:

• Rechteprüfung direkt in der Datenbank (Row Level Security): jede Abfrage liefert nur Daten, die der angemeldeten Person nach Rolle und Vereinszugehörigkeit zustehen
• Mandantentrennung: Vereinsdaten sind jedem Verein zugeordnet; andere Vereine haben keinen Zugriff
• Rollen im Verein (Vereinsadmin, Trainer, Betreuer, Mitglied, Eltern) mit abgestuften Rechten; Schutzregeln für Minderjährige, Kinderkonten nur mit Zustimmung der Eltern
• Zugriffe der Plattformbetreuung nur, soweit für Betrieb, Sicherheit oder Support erforderlich; Änderungen durch die Plattformverwaltung werden protokolliert

Integrität – Weitergabe und Eingabe:

• Übertragung ausschließlich verschlüsselt (HTTPS/TLS), auch zwischen den Diensten
• Push-Benachrichtigungen werden ohne Inhalt verschickt; das Gerät lädt den Text anschließend direkt und verschlüsselt von TanzRaum
• Protokolle (z. B. E-Mail-Versand, Verwaltungsaktionen) enthalten nur die nötigen Metadaten, keine E-Mail-Adressen oder Nachrichteninhalte

Verfügbarkeit und Belastbarkeit:

• Tägliche Sicherung der gesamten Datenbank, verschlüsselt (AES-256), auf dem Anwendungsserver in Deutschland getrennt vom Datenbankbetrieb; Aufbewahrung 14 Tage, danach automatische Löschung; Überwachung der Sicherungen in der Verwaltung
• Betrieb bei spezialisierten Hosting-Dienstleistern in der EU (Anlage 2); automatischer Neustart der Anwendung bei Fehlern
• Speicherkontingente je Verein und Bereich verhindern eine Überlastung
• Software-Aktualisierungen werden vorab getestet; die vorherige Version wird gesichert und kann wiederhergestellt werden

Verfahren zur Überprüfung: Datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO), automatisierte Tests der Zugriffsregeln, regelmäßige Überprüfung der Maßnahmen und der eingesetzten Dienste; Änderungen werden versioniert.

A. Eingesetzte Unterauftragsverarbeiter

• Supabase Inc., USA – Datenbank, Anmeldedienst, Dateispeicher und Serverfunktionen; Datenstandort EU (Frankfurt am Main). Für mögliche Zugriffe aus den USA gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland – Betrieb des Anwendungsservers (Web-App) und Speicherung der Datensicherungen; Standort EU.
• Sendinblue GmbH (Brevo), Berlin, Deutschland – Versand von E-Mails (z. B. Einladungen, Rundschreiben, Mitgliedsanträge, Benachrichtigungen).

B. Nicht als Unterauftragsverarbeiter für Vereinsdaten eingesetzt

• Google Ireland Limited (Google Maps): Umrechnung von Vereins- und Ortsadressen in Kartenpositionen und Anzeige von Karten; dabei werden keine Mitgliederdaten übermittelt.
• Stripe Payments Europe, Ltd. und PayPal (Europe) S.à r.l. et Cie, S.C.A.: Bezahlung der Vereinslizenz in eigener Verantwortung der Zahlungsdienstleister bzw. des Auftragsverarbeiters.
• Push-Dienste der Browser- und Gerätehersteller: Zustellung inhaltsloser Benachrichtigungen.
• Eine automatische Prüfung von Chatnachrichten durch externe KI-Dienste findet nicht statt. Eine spätere Einführung würde nach § 6 Abs. 2 vorher mitgeteilt.