Vertrag zur Auftragsverarbeitung

zwischen dem Kunden von InfinityPaidia (Verein oder Organisation, nachfolgend „Verantwortlicher“) und der MD Baukonzept UG (haftungsbeschränkt), St.-Anton-Str. 116, 47798 Krefeld, vertreten durch den Geschäftsführer Marco Dahm (nachfolgend „Auftragsverarbeiter“).

Dieser Vertrag ist Bestandteil der AGB und gilt mit der Registrierung als geschlossen. Auf Wunsch stellen wir ihn als unterzeichnetes PDF bereit: info@infinitypaidia.com.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Software InfinityPaidia zur Vereinsverwaltung bereit und verarbeitet dabei personenbezogene Daten im Auftrag.

(2) Der Vertrag gilt für die Dauer der Nutzung von InfinityPaidia, einschließlich Testphase, und endet mit der Löschung der Daten nach § 9.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck

Speichern, Anzeigen, Ändern, Auswerten, Exportieren und Löschen von Daten zur Verwaltung der Mitglieder, Finanzen, Spenden, Termine und Korrespondenz des Verantwortlichen.

Betroffene Personen

• Mitglieder, ehemalige Mitglieder und Antragsteller
• Familienangehörige und gesetzliche Vertreter von Mitgliedern
• Spender, Interessenten, Kontoinhaber von SEPA-Mandaten
• Vorstand, Mitarbeitende und andere Nutzer des Vereins
• Ansprechpartner von Lieferanten und Partnern

Datenarten

• Stammdaten: Name, Anschrift, Geburtsdatum, Mitgliedsnummer, Eintritt, Austritt, Status
• Kontaktdaten: E-Mail-Adresse, Telefonnummer
• Bank- und Zahlungsdaten: IBAN, BIC, Kontoinhaber, Mandatsreferenz, Beiträge, offene Posten, Kontoumsätze
• Spendendaten: Beträge, Daten, Zuwendungsbestätigungen
• Teilnahme an Terminen und Versammlungen, Rückmeldungen, Anwesenheit
• Korrespondenz, Briefe, hochgeladene Dokumente und Belege, Notizen, vom Verein angelegte eigene Felder
• Protokolldaten über Änderungen (wer hat wann was geändert)

Besondere Kategorien nach Art. 9 DSGVO (etwa Gesundheitsdaten oder religiöse Überzeugungen) sind nicht vorgesehen. Speichert der Verantwortliche solche Daten, etwa in Notizen oder eigenen Feldern, stellt er die Zulässigkeit sicher.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind die Einstellungen und Aktionen des Verantwortlichen in der Software sowie Weisungen in Textform.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin.

(3) Eine Verarbeitung für eigene Zwecke, zu Werbung oder zum Training von KI-Modellen findet nicht statt.

§ 4 Pflichten des Auftragsverarbeiters

• Er verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.
• Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
• Er unterstützt den Verantwortlichen bei Anfragen Betroffener (Art. 15 bis 22 DSGVO), insbesondere durch Export-, Berichtigungs- und Anonymisierungsfunktionen in der Software.
• Er unterstützt bei Datenschutz-Folgenabschätzungen und bei Meldungen an Aufsichtsbehörden (Art. 32 bis 36 DSGVO).
• Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO.
• Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 5 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Information der Betroffenen verantwortlich. Er vergibt Zugänge und Rollen in der Software so, dass Personen nur die Daten sehen, die sie für ihre Aufgabe brauchen.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.

(2) Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; besteht keine Einigung, kann er den Vertrag zum Wirksamwerden der Änderung kündigen.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau. Übermittlungen in Drittländer erfolgen nur mit geeigneten Garantien nach Art. 44 ff. DSGVO.

§ 7 Ort der Verarbeitung

Die Datenbank mit den Vereinsdaten wird in der Europäischen Union betrieben (Amsterdam), die Anwendung in Frankfurt am Main. Die Anbieter haben ihren Sitz teilweise in den USA; siehe Anlage 2.

§ 8 Kontrollen

Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage durch geeignete Unterlagen nach. Vor-Ort-Kontrollen sind nach rechtzeitiger Anmeldung während der Geschäftszeiten möglich; der Verantwortliche trägt seine Kosten selbst.

§ 9 Rückgabe und Löschung

Nach Vertragsende kann der Verantwortliche seine Daten 30 Tage lang exportieren. Danach löscht der Auftragsverarbeiter sie einschließlich der Kopien, soweit keine gesetzliche Pflicht zur Speicherung besteht. Datensicherungen werden im Rahmen ihres regulären Zyklus überschrieben.

§ 10 Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und den AGB. Bei Widersprüchen geht dieser Vertrag den AGB in Datenschutzfragen vor. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutritt: Die Server werden ausschließlich in Rechenzentren der Hosting-Anbieter betrieben (Anlage 2), mit deren physischen Schutzmaßnahmen. Beim Auftragsverarbeiter stehen keine Server.
• Zugang: Anmeldung über Clerk mit Passwort (mindestens 10 Zeichen, Abgleich mit bekannten Datenlecks) oder Google, E-Mail-Bestätigung bei Registrierung, Zugang zu Hosting-Konten nur für den Geschäftsführer.
• Zugriff: Rollenmodell je Verein (Vereinsadministrator, Vorstand, Kassenwart, Sachbearbeiter, Mitglied). Jede Datenbankabfrage ist auf den Verein beschränkt (Mandantentrennung), automatisiert getestet.
• Trennung: Eigene Datenbank für InfinityPaidia, keine gemeinsame Nutzung mit anderen Produkten des Auftragsverarbeiters.
• Zugangsdaten der Infrastruktur liegen nicht im Quellcode.

Integrität

• Weitergabe: Alle Verbindungen sind per TLS (HTTPS) verschlüsselt.
• Eingabe: Änderungen an Mitgliedern, Kündigungen, Spenden, Beitragsläufen und Briefen werden mit Person und Zeitpunkt protokolliert.
• Vier-Augen-Prinzip: Beitragseinzüge, Kündigungsbestätigungen, Briefe und Zuwendungsbestätigungen erfordern eine ausdrückliche Freigabe.

Verfügbarkeit und Belastbarkeit

• Betrieb bei spezialisierten Hosting-Anbietern mit redundanter Infrastruktur.
• Regelmäßige Datensicherung der Datenbank.
• Jede Änderung der Software durchläuft vor der Veröffentlichung automatisierte Tests und einen vollständigen Build.

Überprüfung

• Regelmäßige Überprüfung der Maßnahmen und der Unterauftragsverarbeiter, mindestens jährlich.
• Datenschutzfreundliche Voreinstellungen: keine Analyse- oder Werbe-Cookies, keine Weitergabe an Dritte.

Anlage 2: Unterauftragsverarbeiter