Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („AVV“) ist eine Anlage zu den Allgemeinen Geschäftsbedingungen von Membrio und Bestandteil davon. Der Verein nimmt ihn bei der Registrierung zusammen mit den Allgemeinen Geschäftsbedingungen an. Er gilt ab dem Zeitpunkt, zu dem der Verein erstmals personenbezogene Daten in Membrio eingibt, auch während einer kostenlosen Pilotphase oder Testphase.

1. Parteien

Verantwortlicher:
Der Verein oder Verband, der den Dienst nutzt (der „Verein“)

Auftragsverarbeiter:
DeRRudi.org, handelnd unter dem Namen „Membrio“
Nieuwendijk 41
8131 CD Wijhe
Niederlande
KvK: 42136693

Begriffe, die hier nicht definiert sind, haben die Bedeutung aus den Allgemeinen Geschäftsbedingungen und der DSGVO.

2. Gegenstand und Rollen

2.1 Dieser AVV regelt die Verarbeitung personenbezogener Daten durch Membrio für den Verein bei der Erbringung des Dienstes.

2.2 Der Verein entscheidet über Zwecke und Mittel der Verarbeitung der personenbezogenen Daten seiner Mitglieder, Gäste und Administratoren in Membrio. Membrio verarbeitet diese Daten ausschließlich im Auftrag des Vereins, als Auftragsverarbeiter im Sinne von Art. 28 DSGVO.

2.3 Für die Kontodaten der Administratoren, die für ihre Konten und die Sicherheit erforderlich sind, und für die eigene Website ist Membrio selbst Verantwortlicher, wie in der Datenschutzerklärung beschrieben. Diese Verarbeitung ist nicht Gegenstand dieses AVV.

2.4 Anlage A beschreibt die Verarbeitung: Art und Zweck, Kategorien personenbezogener Daten und Kategorien betroffener Personen.

3. Dauer

Die Verarbeitung dauert so lange wie der Vertrag und endet danach mit der Rückgabe oder Löschung der Daten (Ziffer 11).

4. Weisungen

4.1 Membrio verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Vereins. Die Allgemeinen Geschäftsbedingungen, dieser AVV und die Nutzung der Funktionen von Membrio durch den Verein sind diese Weisungen.

4.2 Membrio informiert den Verein unverzüglich, wenn eine Weisung nach ihrer Auffassung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

4.3 Ist Membrio von Rechts wegen zu einer anderen Verarbeitung verpflichtet, teilt Membrio dies dem Verein vorab mit, sofern das Recht es nicht verbietet.

5. Vertraulichkeit

Membrio stellt sicher, dass alle Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, zur Verschwiegenheit verpflichtet sind. Der Zugriff ist auf Personen beschränkt, die ihn benötigen, zum Beispiel für Support, Wartung, Fehlerbehebung oder Sicherheit.

6. Sicherheit

Membrio trifft geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO). Die am Datum dieses AVV geltenden Maßnahmen stehen in Anlage B. Membrio darf sie anpassen, solange das Sicherheitsniveau nicht sinkt.

7. Unterauftragsverarbeiter

7.1 Der Verein erteilt eine allgemeine Genehmigung für den Einsatz der in Anlage C genannten Unterauftragsverarbeiter.

7.2 Membrio kündigt jede beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus per E-Mail oder in der App an. Membrio passt dann auch Anlage C und die Datenschutzerklärung an.

7.3 Der Verein kann innerhalb dieser Frist aus angemessenen, datenschutzrechtlichen Gründen widersprechen. Einigen sich die Parteien nicht, kann der Verein den Vertrag nach den Allgemeinen Geschäftsbedingungen kündigen, bevor die Änderung wirksam wird.

7.4 Membrio verpflichtet jeden Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die nicht weniger schützen als dieser AVV. Membrio bleibt gegenüber dem Verein für die Erfüllung durch den Unterauftragsverarbeiter verantwortlich.

8. Übermittlung in Drittländer

8.1 Membrio verarbeitet personenbezogene Daten innerhalb der Europäischen Union. Ausgenommen ist Firebase Cloud Messaging (Google) für Push-Benachrichtigungen (Anlage C). Über die weltweite Infrastruktur von Google können ein Geräte-Token und der Inhalt der Benachrichtigung außerhalb der EU/des EWR verarbeitet werden. Diese Übermittlung beruht auf den Auftragsverarbeitungsbedingungen von Google und den Standardvertragsklauseln der Europäischen Kommission.

8.2 Der Verein kann diese Übermittlung vermeiden, indem er keine Push-Benachrichtigungen nutzt. Mitglieder können Push-Benachrichtigungen auch auf ihrem eigenen Gerät ausschalten.

8.3 Membrio übermittelt keine anderen personenbezogenen Daten außerhalb der EU/des EWR ohne einen gültigen Übermittlungsmechanismus nach Kapitel V DSGVO.

9. Unterstützung

9.1 Membrio unterstützt den Verein durch geeignete Maßnahmen und soweit vernünftigerweise möglich bei der Beantwortung von Anträgen betroffener Personen auf Ausübung ihrer Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch).

9.2 Wendet sich eine betroffene Person direkt an Membrio wegen Daten, die für den Verein verarbeitet werden, verweist Membrio sie an den Verein, sofern das Recht nichts anderes verlangt.

9.3 Membrio unterstützt den Verein außerdem bei dessen Pflichten zu Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 32 bis 36 DSGVO).

9.4 Unterstützung, die über die Standardfunktionen von Membrio hinausgeht, darf Membrio zu einem angemessenen, vorher vereinbarten Satz in Rechnung stellen.

10. Meldung von Datenschutzverletzungen

10.1 Membrio meldet dem Verein eine Verletzung des Schutzes personenbezogener Daten, die Daten des Vereins betrifft, unverzüglich, nachdem sie davon Kenntnis erlangt hat. Die Meldung geht per E-Mail an den Konto-Administrator des Vereins.

10.2 Die Meldung enthält, soweit bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Membrio ergänzt dies, sobald mehr bekannt ist.

10.3 Der Verein entscheidet, ob er die Aufsichtsbehörde und die betroffenen Personen benachrichtigt.

11. Rückgabe oder Löschung

11.1 Nach Vertragsende kann der Verein seine personenbezogenen Daten noch 30 Tage lang exportieren (siehe die Allgemeinen Geschäftsbedingungen).

11.2 Danach löscht Membrio die personenbezogenen Daten aus dem aktiven Dienst, ebenso vorhandene Kopien, sofern das Recht keine Speicherung verlangt. Kopien in Backups werden danach innerhalb eines begrenzten Zeitraums überschrieben.

11.3 Auf Wunsch bestätigt Membrio die Löschung schriftlich.

12. Audits und Informationen

12.1 Membrio stellt dem Verein die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, zum Beispiel indem Membrio angemessene schriftliche Fragen zu Sicherheit und Unterauftragsverarbeitern beantwortet.

12.2 Reicht das nicht aus, darf der Verein höchstens einmal jährlich ein Audit durch einen unabhängigen, zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Der Verein kündigt das Audit mindestens 30 Tage vorher schriftlich an. Das Audit findet während der üblichen Geschäftszeiten statt, stört den Betrieb von Membrio nicht unangemessen und gewährt keinen Zugriff auf Daten anderer Vereine. Die Kosten trägt der Verein.

13. Haftung

Für die Haftung nach diesem AVV gelten die Haftungsbestimmungen der Allgemeinen Geschäftsbedingungen. Die Rechte einer betroffenen Person gegenüber einer der Parteien nach Art. 82 DSGVO bleiben unberührt.

14. Rangfolge und anwendbares Recht

14.1 Widersprechen sich die Allgemeinen Geschäftsbedingungen und dieser AVV bei der Verarbeitung personenbezogener Daten, geht dieser AVV vor.

14.2 Auf diesen AVV findet niederländisches Recht Anwendung. Zuständig ist das Gericht, das die Allgemeinen Geschäftsbedingungen nennen.

14.3 Fragen zu diesem AVV und Meldungen von Sicherheitsvorfällen: info@membrio.eu und security@membrio.eu.

Anlage A: Verarbeitung

Gegenstand: die Bereitstellung der Membrio-Plattform für Mitgliederkommunikation und Mitgliederverwaltung.

Art der Verarbeitung: Speichern, Ordnen, Anzeigen, Versenden (Nachrichten, E-Mail, Push-Benachrichtigungen), Importieren, Exportieren und Löschen.

Zweck: dem Verein ermöglichen, mit seinen Mitgliedern zu kommunizieren und seine Mitgliederverwaltung zu führen.

Kategorien betroffener Personen:

• Mitglieder des Vereins, auch Minderjährige
• Gäste und Kontaktpersonen, zum Beispiel Eltern oder Erziehungsberechtigte
• Administratoren des Vereins

Kategorien personenbezogener Daten:

• Identifikationsdaten (Name, Initialen, Geschlecht, Geburtsdatum, Mitgliedsnummer)
• Kontaktdaten (E-Mail-Adresse, Telefonnummer, Postanschrift)
• Mitgliedschaftsdaten und Mitgliedschaftsverlauf, Gruppen und Labels
• Nachrichten, Veranstaltungen, Umfragen und Umfrageantworten
• Anhänge und Dokumente, die der Verein oder seine Mitglieder hochladen
• beim Import hochgeladene Mitgliederlisten
• Push-Geräte-Token (FCM) und Kalender-Feed-Token
• alle weiteren Daten, die der Verein in den von Membrio angebotenen Feldern erfasst

Besondere Kategorien: Membrio verlangt keine besonderen Kategorien personenbezogener Daten. Erfasst der Verein dennoch welche, zum Beispiel Gesundheitsdaten, tut er das als Verantwortlicher und in eigener Verantwortung.

Anlage B: Sicherheitsmaßnahmen

• verschlüsselte Verbindungen (TLS/HTTPS) für Daten bei der Übertragung
• Passwörter nur als gesalzene Hashes gespeichert, mit optionaler Zwei-Faktor-Authentifizierung
• rollenbasierter Zugriff, sodass Administratoren nur die Mitglieder erreichen, die sie verwalten
• Hosting innerhalb der EU, mit Zugriffskontrolle und Überwachung
• Zugriff für Mitarbeitende von Membrio nur, wo nötig und unter Verschwiegenheit, und wo vernünftigerweise möglich anonymisierte oder pseudonymisierte Daten für Entwicklung und Analyse
• regelmäßige Sicherheitsupdates und Backups zur Wiederherstellung
• minimale Protokollierung, die nur kurz für Sicherheit und Fehlerbehebung aufbewahrt wird

Anlage C: Unterauftragsverarbeiter

Membrio setzt zur Erbringung des Dienstes die folgenden Unterauftragsverarbeiter ein:

Alle Unterauftragsverarbeiter verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung und auf Grundlage von Verträgen, die den Anforderungen der DSGVO entsprechen.