Auftragsverarbeitungsvertrag (AVV)

Version 1.3 · gültig ab 18.10.2026

Dies ist die aktuell gültige Fassung. Beim Abschluss des AVV im Rahmen der Registrierung werden [Name des Vereins] und [Adresse des Vereins] automatisch durch die Angaben Ihres Vereins ersetzt und der AVV elektronisch unterzeichnet.

Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO

Parteien

Verantwortlicher (im Sinne des Art. 4 Nr. 7 DSGVO):

[Name des Vereins], vertreten durch den Vorstand, [Adresse des Vereins] nachfolgend „Verantwortlicher" genannt.

Auftragsverarbeiter (im Sinne des Art. 4 Nr. 8 DSGVO):

Alexander Grözinger (Einzelunternehmer) Mörikestr. 53, 71299 Wimsheim nachfolgend „Auftragsverarbeiter" genannt.

§ 1 Gegenstand, Dauer und Spezifikation

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die cloudbasierte Vereinsverwaltungssoftware ClubManager als Software-as-a-Service (SaaS) zur Verfügung. Die Auftragsverarbeitung umfasst die Speicherung, Verwaltung und Verarbeitung von Vereinsdaten im Rahmen der vertraglich vereinbarten Softwarenutzung.

(2) Die Laufzeit dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages (SaaS-Nutzungsvertrag). Der AVV tritt mit Unterzeichnung in Kraft und endet automatisch mit Beendigung des Hauptvertrages, soweit keine nachwirkenden Pflichten bestehen.

§ 2 Art, Zweck, Datenkategorien und betroffene Personen

(1) Art und Zweck der Verarbeitung: Bereitstellung einer cloudbasierten Vereinsverwaltungssoftware, einschließlich:

(2) Kategorien betroffener Personen:

(3) Verarbeitete Datenkategorien:

(4) Löschfristen der Vereins-App: Für Anhänge an Beiträgen und in Chats sowie für Chat-Nachrichten gelten die vom Verantwortlichen in der Software konfigurierten Löschfristen. Sofern keine abweichende Frist eingestellt ist, werden Anhänge nach 90 Tagen und Chat-Nachrichten nach 12 Monaten automatisch gelöscht; Anhänge angehefteter Beiträge bleiben bis zum Lösen der Anheftung erhalten. Gesetzliche Aufbewahrungspflichten und die Regelungen dieses Vertrags zur Löschung und Rückgabe personenbezogener Daten bleiben unberührt.

(5) Push-Benachrichtigungen und Kalender-Abonnements: Bei aktivierten Push-Benachrichtigungen werden technische Push-Subscription-Daten an den Push-Dienst des vom Mitglied genutzten Browsers übermittelt und für die Zustellung verwendet (je nach Browser insbesondere Google, Microsoft, Apple oder Mozilla). Diese Dienste sind keine Unterauftragsverarbeiter des Auftragsverarbeiters; sie werden nur tätig, wenn ein Mitglied Push-Benachrichtigungen auf seinem Gerät ausdrücklich einschaltet. Der Inhalt der Push-Nachrichten wird nach dem eingesetzten Web-Push-Verfahren verschlüsselt. Der Push-Dienst kann dennoch technische Metadaten verarbeiten, insbesondere Verbindungs-, Geräte- und Zustellungsinformationen. Je nach Dienst können dabei auch Übermittlungen in Drittländer erfolgen; Grundlage ist, soweit vorhanden, eine Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework (Art. 45 DSGVO), andernfalls die ausdrückliche Einwilligung des Mitglieds (Art. 49 Abs. 1 lit. a DSGVO). Push-Nachrichten nennen nur die Gruppe und die Art der Neuigkeit, keine Nachrichteninhalte. Ruft ein Mitglied seine Termine über ein von ihm eingerichtetes Kalender-Abo in einem Online-Kalender ab, geschieht dies auf Veranlassung des Mitglieds; der Kalenderanbieter ist kein Unterauftragsverarbeiter.

§ 3 Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — einschließlich in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland —, es sei denn, er ist durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem er unterliegt, dazu verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen können schriftlich, per E-Mail oder im Rahmen der Systemkonfiguration durch den Verantwortlichen erteilt werden. Der Verantwortliche ist alleinig für die Rechtmäßigkeit der erteilten Weisungen verantwortlich.

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

(1) Vertraulichkeit: Sicherzustellen, dass alle zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Technisch-organisatorische Maßnahmen: Die in Anlage 1 festgelegten technisch-organisatorischen Maßnahmen gemäß Art. 32 DSGVO umzusetzen und aufrechtzuerhalten. Die in Anlage 1 beschriebenen technisch-organisatorischen Maßnahmen sind Bestandteil dieses Vertrages.

(3) Unterstützung bei Betroffenenrechten: Den Verantwortlichen bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs- und sonstigen Betroffenenrechten nach Art. 12–22 DSGVO durch geeignete technische Maßnahmen zu unterstützen.

(4) Unterstützung bei Meldepflichten: Den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Datensicherheit, Meldung von Datenpannen, Folgenabschätzung) zu unterstützen.

(5) Unterstützung bei Behördenanfragen: Den Verantwortlichen bei Anfragen von Datenschutz-Aufsichtsbehörden zu unterstützen, soweit die Verarbeitung Gegenstand dieses Vertrages ist.

(6) Löschung nach Auftragsende: Nach Wahl des Verantwortlichen alle personenbezogenen Daten entweder zu löschen oder zurückzugeben und bestehende Kopien zu löschen, es sei denn, es besteht eine gesetzliche Pflicht zur Speicherung.

(7) Kontrollinformationen: Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung zu stellen.

§ 5 Unterauftragsverhältnisse

(1) Allgemeine Genehmigung: Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, Unterauftragsverarbeiter einzubinden. Der Auftragsverarbeiter informiert den Verantwortlichen über geplante Änderungen (Hinzufügung oder Austausch) mit einer Ankündigungsfrist von mindestens 30 Tagen per E-Mail. Dem Verantwortlichen steht das Recht zu, innerhalb dieser Frist Einwände zu erheben.

(2) Aktuell eingesetzte Unterauftragsverarbeiter:

Unternehmen

Adresse

Zweck

Neue Medien Münnich GmbH (all-inkl.com)

Hauptstraße 68, 02742 Friedersdorf, DE

Server-Hosting, Datenbank, E-Mail-Versand, Datensicherung (ausschließlich in Deutschland)

(3) Der Auftragsverarbeiter stellt durch vertragliche Vereinbarungen sicher, dass alle Unterauftragsverarbeiter dieselben Datenschutzpflichten erfüllen wie dieser Vertrag.

§ 6 Betroffenenrechte

(1) Soweit Betroffene ihre Rechte (Auskunft, Berichtigung, Löschung, Datenportabilität etc.) direkt gegenüber dem Auftragsverarbeiter geltend machen, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

(2) Der Verantwortliche ist alleinig für die inhaltliche Beantwortung und fristgerechte Erledigung von Betroffenenrechten verantwortlich. Der Auftragsverarbeiter unterstützt technisch, soweit dies im Rahmen des Systems möglich ist.

§ 7 Löschung und Datenrückgabe nach Vertragsende

(1) Nach Beendigung des Vertragsverhältnisses oder auf Weisung des Verantwortlichen erfolgt die Löschung der personenbezogenen Daten über die hierfür vorgesehenen Funktionen der Software oder durch den Auftragsverarbeiter. Die Löschung erfolgt unverzüglich aus der primären Datenbank.

(2) Personenbezogene Daten können bis zur automatischen Überschreibung für bis zu 10 Tage in Backup-Systemen verbleiben. Während dieser Zeit werden sie nicht mehr produktiv verarbeitet und sind ausschließlich zu Wiederherstellungszwecken zugänglich. Die Überschreibung erfolgt automatisch durch das rollierende Backup-System des Hosters.

(3) Der Auftragsverarbeiter bestätigt dem Verantwortlichen die vollständige Löschung auf Anfrage schriftlich.

(4) Gesetzliche Aufbewahrungspflichten (z.B. steuerrechtliche) bleiben unberührt, soweit sie den Auftragsverarbeiter selbst betreffen (z.B. Rechnungsdaten).

§ 8 Datenpannen und Meldepflicht

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden, um die Einhaltung der 72-Stunden-Frist des Art. 33 DSGVO zu ermöglichen.

(2) Die Meldung enthält mindestens:

(3) Meldungen sind per E-Mail an die im Nutzungsvertrag hinterlegte Administratoren-Adresse des Verantwortlichen zu richten.

(4) Betroffene Vereine werden nach abgeschlossener Analyse durch den Auftragsverarbeiter über eine Rundmail an alle Administratoren des jeweiligen Vereins informiert.

§ 9 Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche hat das Recht, die Einhaltung der datenschutzrechtlichen Anforderungen beim Auftragsverarbeiter zu überprüfen. Der Auftragsverarbeiter stellt zu diesem Zweck die erforderlichen Informationen und Nachweise zur Verfügung. Der Nachweis kann insbesondere durch geeignete Dokumentationen, Zertifizierungen oder Selbstauskünfte erfolgen.

(2) Kontrollen vor Ort sind nach vorheriger schriftlicher Ankündigung mit angemessener Frist (mindestens 14 Tage) möglich und dürfen den Betrieb nicht unverhältnismäßig beeinträchtigen.

§ 10 Haftung

Die Haftung der Parteien für Schäden im Zusammenhang mit Datenschutzverstößen richtet sich nach den Bestimmungen der DSGVO sowie des Hauptvertrages.

§ 11 Schlussbestimmungen

(1) Dieser Vertrag ist Bestandteil des Hauptvertrages (SaaS-Nutzungsvertrag) und ergänzt diesen.

(2) Änderungen und Ergänzungen bedürfen der Textform.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1: Technisch-organisatorische Maßnahmen (TOMs)

gemäß Art. 32 DSGVO — Stand: Juni 2026

1. Vertraulichkeit

1.1 Zutrittskontrolle (physischer Zutritt zu Serverinfrastruktur)

Das Hosting erfolgt ausschließlich in den Rechenzentren der Neue Medien Münnich GmbH (all-inkl.com) in Deutschland. Physischer Zutritt ist durch den Hoster mittels Sicherheitsdiensten, Zugangskontrollsystemen und Videoüberwachung geschützt. Der Auftragsverarbeiter selbst hat keinen physischen Zugang zu den Serverräumen.

1.2 Zugangskontrolle (Systemzugang)

1.3 Zugriffskontrolle (Datenzugang innerhalb der Anwendung)

1.4 Trennungskontrolle (Mandantentrennung)

1.5 Verschlüsselung sensibler Daten

2. Integrität

2.1 Eingabe- und Änderungskontrolle

2.2 Weitergabekontrolle

3. Verfügbarkeit und Belastbarkeit

3.1 Datensicherung (Backups)

3.2 Wiederherstellung

3.3 Netzwerkverfügbarkeit

4. Verfahren zur regelmäßigen Überprüfung und Evaluierung

4.1 Software-Updates und Patch-Management

4.2 Überprüfung der TOMs

Stand: Oktober 2026 — Alexander Grözinger, Mörikestr. 53, 71299 Wimsheim