Vertrag zur Auftragsverarbeitung (Art. 28 DS-GVO)

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Software veve zur Verwaltung seiner Mitglieder, Beiträge und Zahlungen bereit und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Einzelheiten: Anlage 1.

(2) Der Vertrag gilt, solange der Verein in veve besteht.

§ 2 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und nach dokumentierten Weisungen des Verantwortlichen. Die Nutzung der Funktionen von veve durch den Verantwortlichen gilt als Weisung. Weitere Weisungen erteilt der Verantwortliche in Textform an info@veve-vereinsverwaltung.de.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit und darf sie bis zur Klärung aussetzen.

(3) Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt, es sei denn, ein Gesetz verpflichtet ihn dazu; dann informiert er den Verantwortlichen vorher, soweit das Gesetz es nicht verbietet.

(4) Verlangt eine Behörde oder ein Gericht Daten des Verantwortlichen, gibt der Auftragsverarbeiter sie nur heraus, wenn er gesetzlich dazu verpflichtet ist — etwa auf gerichtlichen Beschluss oder behördliche Anordnung. Er prüft die Rechtsgrundlage, gibt nur heraus, was danach verlangt ist, und unterrichtet den Verantwortlichen unverzüglich, nach Möglichkeit vorher, soweit das gesetzlich nicht untersagt ist. Anfragen ohne eine solche Pflicht verweist er an den Verantwortlichen.

§ 3 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter

1. verpflichtet alle Personen, die Zugang zu den Daten haben, auf Vertraulichkeit;
2. trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DS-GVO, beschrieben in Anlage 2, und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken;
3. unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Art. 12–22 DS-GVO), soweit dieser sie nicht selbst über veve erledigen kann, und leitet Anfragen, die ihn direkt erreichen, unverzüglich weiter;
4. meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DS-GVO, soweit verfügbar;
5. unterstützt bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde (Art. 35, 36 DS-GVO), soweit sie veve betreffen;
6. verarbeitet die Daten ausschließlich in der Europäischen Union.

§ 4 Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt den in Anlage 3 genannten Unterauftragsverarbeitern zu.

(2) Will der Auftragsverarbeiter einen weiteren hinzuziehen oder einen ersetzen, teilt er das mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter dieselben Pflichten auf, die dieser Vertrag ihm selbst auferlegt.

§ 5 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DS-GVO nötig sind, und ermöglicht Überprüfungen nach vorheriger Absprache mit angemessener Frist. Die Überprüfung beschränkt sich auf das, was die Daten des Verantwortlichen betrifft; Daten anderer Vereine bleiben geschützt.

§ 6 Ende des Vertrags

(1) Bei Vertragsende stellt der Auftragsverarbeiter dem Verantwortlichen auf Anforderung innerhalb von 30 Tagen dessen Daten in einem gängigen Format bereit.

(2) Danach löscht der Auftragsverarbeiter die Daten. In Sicherungskopien verbleiben sie bis zu deren regulärem Ablauf (Anlage 2, Nr. 5) und werden nicht mehr verwendet. Die Löschung wird auf Anfrage bestätigt.

§ 7 Haftung

Es gilt Art. 82 DS-GVO.

§ 8 Schlussbestimmungen

Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Es gilt deutsches Recht.

Anlage 1 — Gegenstand der Verarbeitung

Zweck: Verwaltung der Mitgliedschaften, Berechnung und Abrechnung von Beiträgen, Einzug per SEPA-Lastschrift, Rechnungsversand per E-Mail, Abgleich von Zahlungseingängen und Mahnungen; Rundmails und Begrüßungsmails des Verantwortlichen an seine Mitglieder; die Buchhaltung des Verantwortlichen; Spenden und Zuwendungsbestätigungen; auf Wunsch des Verantwortlichen die Übernahme seiner Daten aus einem bisherigen Programm (Umzugsservice).

Betroffene Personen: Mitglieder und ehemalige Mitglieder des Vereins; Kontoinhaber, soweit nicht selbst Mitglied; Personen, die über das Aufnahmeformular des Vereins einen Antrag stellen, und ihre Erziehungsberechtigten; Spender, auch wenn sie nicht Mitglied sind; Personen, die für den Verein Geld ausgelegt haben und es erstattet bekommen; Personen, denen der Verein einen Zugang zu veve gibt.

Datenarten:

• Stammdaten: Anrede (auch eine persönliche für Mails, Sie oder Du), Titel, Vor- und Nachname, Firmenname, Geburtsdatum, Anschrift
• Kontaktdaten: E-Mail, Telefon, Mobil
• Mitgliedschaft: Mitgliedsnummer, Ein- und Austritt, Abteilungen, Beitragsarten, Notizen; wann das Mitglied per Mail begrüßt wurde, an welche Adresse, mit welchem Wortlaut und ob sie als unzustellbar zurückkam (mit dem Grund) — der Wortlaut, solange die Mitgliedschaft besteht; gelöscht nach dem Austritt
• Abrechnung: Forderungen, Rechnungen, Mahnungen, Zahlungen, Rücklastschriften, Zahlungsweg, eigener Verwendungszweck
• Rundmails: Betreff, Text, Anhänge (PDF, Bilder), Empfänger (E-Mail-Adresse) und Versandstatus — 12 Monate nach dem Versand gelöscht; Vorlagen für Rundmails, bis der Verein sie löscht. Am einzelnen Mitglied zusätzlich jede Rundmail oder E-Mail an es mit Wortlaut, Adresse, Namen der Anhänge und Versandstatus — als Nachweis, solange die Mitgliedschaft besteht; gelöscht nach dem Austritt
• Buchhaltung des Vereins: Konten, Buchungen mit Datum, Betrag, Buchungstext und Belegangaben; Belege als Foto oder PDF (Rechnungen, Quittungen — sie können Namen, Anschriften und Bankverbindungen enthalten); bei Umsätzen, die aus dem Kontoauszug gebucht werden, Name und IBAN der Gegenseite — aufbewahrt, solange der Verein sie nach § 147 AO aufbewahren muss (in der Regel 10 Jahre)
• Spenden: Name und Anschrift des Spenders, Betrag, Tag und Art der Zuwendung, bei Sachzuwendungen die Bezeichnung der Sache und ihre Herkunft; bei Spendern, die nicht Mitglied sind, auf Wunsch die E-Mail-Adresse für den Versand der Bestätigung; Zuwendungsbestätigungen mit ihrem vollständigen Inhalt als Doppel und wann und an wen sie per E-Mail gingen — aufbewahrt, solange der Verein sie aufbewahren muss (in der Regel 10 Jahre)
• Mittel und Ausgaben der Abteilungen: festgelegte Mittel mit Verlauf (wer, wann, alt und neu, Grund); Anträge und Ausgaben mit Datum, Betrag, Zweck, Belegen als Foto oder PDF (sie können Namen, Anschriften und Bankverbindungen enthalten), Rückfragen und Antworten, wer erfasst und wer entschieden hat; bei privat ausgelegtem Geld Name und IBAN der Person für die Erstattung — aufbewahrt wie die Belege der Buchhaltung (in der Regel 10 Jahre), abgelehnte und zurückgezogene Ausgaben 12 Monate nach der Entscheidung gelöscht
• Bankdaten: Kontoinhaber, IBAN, BIC, SEPA-Mandat (Referenz, Datum, Widerruf)
• Kontoauszüge, die der Verein zum Abgleich einliest
• Exportdateien aus dem bisherigen Programm, die der Verein für den Umzug übergibt (Mitglieder, Lastschriftmandate, Buchhaltung) — nur für die Übernahme, danach gelöscht, spätestens 30 Tage nach Eingang
• Aufnahmeanträge aus dem Aufnahmeformular mit Unterschrift (Bild) — abgelehnt sofort gelöscht, übernommen am Mitglied, solange die Mitgliedschaft besteht; gelöscht nach dem Austritt. Eine Kopie des Antrags (IBAN gekürzt) geht an die E-Mail-Adresse des Antragstellers, sobald er ihn bestätigt hat
• Mitgliederlink (wenn der Verein ihn anbietet): eine zufällige Kennung je Mitglied, Zeitpunkt der letzten Nutzung; Anträge darüber (Kündigung, Austritt aus oder Eintritt in eine Abteilung, Lastschriftmandat mit Kontoinhaber, IBAN, BIC, Unterschrift und Nachweis aus Zeitpunkt, IP-Adresse und Browser) mit Datum, Bestätigung per E-Mail und Entscheidung des Vereins; die Mandatsangaben am Antrag werden mit der Entscheidung geleert — unbestätigte nach 7 Tagen gelöscht, zurückgenommene und abgelehnte nach 12 Monaten, bestätigte am Mitglied, solange es geführt wird
• Datenschutzanfragen betroffener Personen (Name, E-Mail, Anliegen, Bearbeitungsstand), nach Erledigung drei Jahre als Nachweis; Anfragen ohne Vereinslink ordnet veve über die beim Verein hinterlegte E-Mail-Adresse zu
• Nachweis online erteilter Mandate: Unterschrift (Bild), Zeitpunkt, IP-Adresse, Browserkennung, E-Mail-Bestätigung, Wortlaut des Mandats
• Nutzer des Vereins: Name, E-Mail, Rolle, Abteilungen
• KI-Anschluss: welche Bereiche der Verantwortliche für KI-Assistenten freigibt; was ein Assistent vorbereitet hat (Rundmail-Entwurf, Abrechnungsentwurf, Buchungsvorschlag, Erinnerung) mit Zeitpunkt und Stand — erledigt, übernommen oder verworfen 90 Tage danach gelöscht. An den Assistenten gibt veve nur Zahlen, Summen und Daten ohne Namen heraus, nie Namen, Anschriften, Kontakt- oder Bankdaten einzelner Personen und keine Freitexte

Besondere Kategorien nach Art. 9 DS-GVO (etwa Gesundheitsdaten) verarbeitet veve nicht; der Verein trägt solche Angaben auch nicht in Freitextfelder ein.

Anlage 2 — Technische und organisatorische Maßnahmen

1. Trennung der Vereine. Jeder Datensatz gehört genau einem Verein. Die Datenbank erzwingt die Trennung selbst (Row-Level Security); die Anwendung arbeitet mit einer eigenen Datenbankrolle, die diese Regeln nicht umgehen kann. Automatische Tests prüfen, dass kein Verein Daten eines anderen sieht.
2. Zugang. Anmeldung mit E-Mail und Passwort; Passwörter nur als scrypt-Abdruck, Sitzungsschlüssel nur als Abdruck gespeichert. Sitzungen laufen nach 30 Tagen ab. Fehlversuche werden je Konto und je Herkunft begrenzt.
3. Rechte im Verein. Rollen (Inhaber, Verwalter, Leser) und Beschränkung auf einzelne Abteilungen; jede Abfrage prüft sie.
4. Übertragung. Ausschließlich verschlüsselt (TLS). Datenbank und Anwendung sind aus dem Internet nicht direkt erreichbar; der Zugang führt nur über den Webserver.
5. Sicherung. Tägliche Sicherung, mit AES-256 verschlüsselt, 30 Tage aufbewahrt, Monatssicherungen 12 Monate. Eine verschlüsselte Kopie wird auf einen Rechner des Auftragsverarbeiters übertragen. Die Wiederherstellung wird monatlich erprobt. Auf Weisung des Verantwortlichen lässt sich allein sein Verein aus einer Sicherung zurückholen, ohne andere Vereine zu berühren; vorher wird eine Rettungskopie gezogen, und die Weisung wird protokolliert. Personen, die seit der Sicherung gelöscht wurden, löscht veve danach erneut (dafür werden gelöschte Personen nur mit Kennung und Zeitpunkt 400 Tage gemerkt); Anonymisierte bleiben anonymisiert.
6. Server. Rechenzentrum der netcup GmbH in Deutschland. Sicherheitsupdates werden monatlich überwacht.
7. Änderungen. Jede Änderung wird zuerst getrennt von den echten Daten entwickelt und geprüft, dann versioniert ausgeliefert; vor jeder Änderung am Datenbankaufbau wird eine Sicherung gezogen.
8. Personal. Zugang zu Server und Daten hat ausschließlich der Auftragsverarbeiter selbst.
9. Apps. Der Sitzungsschlüssel liegt verschlüsselt im Keystore bzw. Schlüsselbund des Geräts. Damit die App beim Öffnen gleich etwas zeigt, speichert sie Übersicht, Mitgliederliste und Stammdaten sowie die Abrechnung mit offenen Posten verschlüsselt auf dem Gerät — Schlüssel im Keystore, nur bei entsperrtem Gerät nutzbar, nicht in Gerätesicherungen; nie Bankdaten, Unterschriften, Inhalte von Datenschutzanfragen oder Belege. Ist etwas gespeichert, verlangt die App nach einer einstellbaren Zeit im Hintergrund (Vorgabe 5 Minuten) die Entsperrung wie beim Gerät (Fingerabdruck, Gesicht oder Geräte-PIN); in der Übersicht der zuletzt genutzten Apps zeigt sie keinen Inhalt. Gelöscht wird das Gespeicherte beim Abmelden, sobald die Anmeldung nicht mehr gilt (etwa im Web widerrufen), für Vereine ohne Zugang und nach 30 Tagen ohne Nutzung.
10. Umzugsservice. Die Exportdatei übergibt der Verein in veve selbst (Einstellungen → Datenschutz und Vertrag → Umzug zu veve, nur Inhaber und Verwaltung des ganzen Vereins) oder über einen passwortgeschützten Hochladelink auf dem Server des Auftragsverarbeiters, nicht per E-Mail. Sie wird nur für die Übernahme verwendet und auf dem Server aufbereitet. Eine Mitgliederliste ordnet der Verein selbst zu, mit einer Vorschau nur für ihn — oder der Auftragsverarbeiter ohne Einblick: Er sieht dabei nur Spaltenköpfe, Anzahlen und von veve erfundene Beispielwerte, die Prüfung meldet Zeilennummern statt Inhalten. Öffnen darf der Auftragsverarbeiter eine Datei nur, wenn der Inhaber die Einsicht in veve freigibt — befristet auf höchstens 7 Tage, jederzeit zu beenden —, und nur selbst, nie mithilfe einer KI; jedes Öffnen hält veve im Protokoll fest, das der Verein sieht. Die Daten werden nur in einen Bereich eingespielt, der noch leer ist: Mitglieder in einen Verein ohne Mitglieder, ein Kontenrahmen in eine Buchhaltung ohne Buchungen. Danach wird sie überall gelöscht, spätestens 30 Tage nach Eingang (in veve von selbst); der Verein erhält eine Bestätigung. Für die Übernahme beauftragt der Inhaber den Umzugsservice in veve; der Auftragsverarbeiter erhält dann für 30 Tage Zugang zum Verein mit den Rechten der Verwaltung, um Abteilungen und Beitragsarten einzurichten und die Daten einzuspielen. Der Zugang steht unter Einstellungen → Zusammenarbeit → Zugänge, endet von selbst und lässt sich jederzeit beenden; verlängern kann ihn nur der Inhaber, jeweils um 30 Tage. Beauftragung, Verlängerung und Ende hält veve fest. Rückfragen und To-dos stellt der Auftragsverarbeiter in veve, Nachrichten des Vereins beantwortet er dort; über eine neue Nachricht erhält er eine E-Mail ohne deren Inhalt. All das wird 30 Tage nach dem Ende des Auftrags gelöscht, ohne Auftrag 30 Tage nach Eingang.
11. Überführung eines Abteilungsbereichs. Hat eine Abteilung veve in einem eigenen Bereich genutzt, überträgt der Auftragsverarbeiter ihre Mitglieder nur auf Weisung beider Seiten — Anfrage der einen, Zustimmung der anderen in veve, beides wird festgehalten — als Abteilung in den Hauptverein: Stammdaten, Abteilung, bei gleicher Gläubiger-ID die Lastschriftmandate. Er arbeitet dabei mit befristetem Zugang zu beiden Vereinen und sieht nur Anzahlen. Beiträge, Forderungen und Buchhaltung bleiben im Bereich; er ist danach nur noch lesbar und wird 90 Tage später gelöscht, auf Wunsch seines Inhabers früher.

Anlage 3 — Unterauftragsverarbeiter

E-Mails verschickt veve über einen eigenen Mailserver auf demselben Server; kein weiterer Dienstleister ist beteiligt.