Auftragsverarbeitungsvertrag

Stand: 18. August 2026 · Version 1.0

Dieser Auftragsverarbeitungsvertrag („AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Sinne von Art. 28 DSGVO. Er gilt für die Nutzung der Plattform Vereinskladde (https://portal.vereinskladde.de) durch einen Verein oder eine vergleichbare Organisation („Kunde“ / „Verantwortlicher“).

Der Vertrag kommt elektronisch zustande, sobald eine vertretungsberechtigte Person des Kunden (in der Regel die registrierende Administratorin bzw. der registrierende Administrator) die aktuelle Fassung bei der Registrierung oder in der Anwendung akzeptiert. Zeitpunkt, Fassung und die Benutzerkennung der annehmenden Person werden beim Vereinsdatensatz gespeichert.

1. Parteien und Rollen

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Kunde (der Verein), der Vereinskladde zur Verwaltung seines Schießbetriebs einsetzt.

Auftragsverarbeiter im Sinne von Art. 4 Nr. 8, Art. 28 DSGVO ist:

Jens Voss IT-Service Unterbach
Inhaber: Jens Voss
Vennstraße 98
40627 Düsseldorf
Deutschland
Telefon: 0211 17803272
E-Mail: info@it-service-unterbach.de
Internet: https://portal.vereinskladde.de

Soweit der Auftragsverarbeiter personenbezogene Daten der Plattform selbst als Verantwortlicher verarbeitet (Konto der Administratorin bzw. des Administrators, Abrechnung, Sicherheit), gilt die Datenschutzerklärung und nicht dieser AVV.

2. Gegenstand, Dauer und Art der Verarbeitung

Gegenstand ist die weisungsgebundene technische Bereitstellung der Software Vereinskladde als Software-as-a-Service, insbesondere:

• Hosting und Speicherung der vom Kunden eingegebenen Vereinsdaten
• Mitgliederverwaltung, Einladungen und Rollen
• Dokumentation von Hallen, Ständen, Standaufsichten und Buchungen
• Erfassung von Gästebuchungen ohne eigenes Benutzerkonto
• Störungsmeldungen, Freigaben, Auswertungen und PDF-/CSV-Exporte
• Versand transaktionaler E-Mails im Auftrag des Kunden (z. B. Mitgliedereinladungen)
• Technische Sicherung, Fehlerbehebung und Support, soweit dafür ein Zugriff nötig ist

Die Verarbeitung erfolgt elektronisch in Datenbanken, Objektspeichern und Rechenfunktionen. Dieser AVV gilt für die Dauer des Nutzungsvertrags und der sich daran anschließenden Lösch- bzw. Aufbewahrungsfristen.

3. Zweck

Zweck ist ausschließlich die Erbringung der vertraglich geschuldeten Leistungen an den Kunden. Eine Verarbeitung zu eigenen Werbezwecken, zur Profilbildung gegenüber Vereinsmitgliedern oder zur Überlassung an unbeteiligte Dritte findet nicht statt.

4. Kategorien betroffener Personen

• Mitglieder, Administratorinnen/Administratoren und Standaufsichten des Kunden
• eingeladene Personen, die noch kein Konto aktiviert haben
• Gäste, die ohne Benutzerkonto einen Schießstand buchen
• sonstige Personen, deren Daten der Kunde in Freitextfeldern (z. B. Meldungen) erfasst

5. Arten personenbezogener Daten

Je nach Nutzung durch den Kunden können insbesondere verarbeitet werden:

• Identitäts- und Kontaktdaten (Name, E-Mail, Mitgliedsnummer, Rolle, Status)
• Authentifizierungsdaten (Passwort-Hash beim Kontoanbieter, gehashter Buchungs-PIN)
• Schießbetriebsdaten (Halle, Stand, Zeiten, Waffenart, optional Kaliber, Disziplin, Schusszahl, Waffenbezeichnung)
• Aufsichts- und Freigabeprotokolle
• Störungsmeldungen einschließlich Beschreibung und meldender Person
• Vereinsstammdaten und Vereinslogo
• technische Nutzungsdaten, soweit sie einem Vorgang zugeordnet werden können

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht vorgesehen. Der Kunde darf solche Daten nicht in Freitextfeldern ablegen.

6. Weisungen des Kunden

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten dazu verpflichtet (Art. 28 Abs. 3 lit. a DSGVO).

Dokumentierte Weisungen ergeben sich aus diesem AVV, dem Nutzungsvertrag, der Konfiguration in der Anwendung (z. B. Mitglieder anlegen, Buchungsregeln, Löschung des Vereins) sowie aus schriftlichen Einzelweisungen per E-Mail an info@vereinskladde.de. Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform.

Der Auftragsverarbeiter informiert den Kunden unverzüglich, wenn er der Auffassung ist, eine Weisung verstoße gegen die DSGVO oder gegen andere Datenschutzvorschriften (Art. 28 Abs. 3 Satz 3 DSGVO).

7. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

• personenbezogene Daten ausschließlich zum vertraglichen Zweck und nach Weisung zu verarbeiten
• die Vertraulichkeit zu wahren und nur Personen Zugang zu gewähren, die ihn benötigen und auf Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO)
• geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO umzusetzen (Anlage 1)
• den Kunden bei der Beantwortung von Betroffenenrechten nach Art. 15–22 DSGVO im Rahmen des Zumutbaren zu unterstützen
• den Kunden bei der Einhaltung der Art. 32–36 DSGVO zu unterstützen (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung)
• nach Ende der Verarbeitungstätigkeit Daten nach Wahl des Kunden zu löschen oder zurückzugeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht
• dem Kunden die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen bereitzustellen und Überprüfungen zu ermöglichen (Ziffer 11)

8. Pflichten des Kunden

Der Kunde ist und bleibt Verantwortlicher für die von ihm in die Plattform eingegebenen Vereinsdaten. Er gewährleistet insbesondere:

• dass eine Rechtsgrundlage für die Erhebung und Nutzung der Daten seiner Mitglieder und Gäste besteht
• dass betroffene Personen in dem nach Art. 13, 14 DSGVO erforderlichen Umfang informiert werden (ergänzend zur Datenschutzerklärung der Plattform)
• dass nur befugte Personen Administrationsrechte erhalten und Einladungslinks nicht unbefugt weitergegeben werden
• dass er die in der Anwendung öffentlich sichtbaren Daten kennt (aktive Standbelegung mit Vor- und Nachname, Name der Standaufsicht, Vereinsstammdaten) und seine Mitglieder sowie Gäste darauf hinweist
• dass Exporte (PDF, CSV) auf seinen Endgeräten datenschutzgerecht gespeichert, weitergegeben und gelöscht werden
• dass die annehmende Person berechtigt ist, den Verein zu verpflichten

9. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung im Sinne von Art. 28 Abs. 2 DSGVO, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) einzusetzen, soweit der Auftragsverarbeiter:

• eine Liste der jeweils eingesetzten Unterauftragsverarbeiter führt (Anlage 2)
• dem Kunden beabsichtigte Änderungen (Hinzufügen oder Ersetzen) rechtzeitig mitteilt, in der Regel durch Hinweis in der Anwendung oder per E-Mail, mindestens 14 Tage vor dem Wirksamwerden
• dem Kunden die Möglichkeit gibt, der Änderung aus wichtigem datenschutzrechtlichem Grund zu widersprechen
• mit Unterauftragsverarbeitern eine Vereinbarung schließt, die denselben Datenschutzpflichten unterliegt wie dieser AVV

Widerspricht der Kunde einer Änderung und kann keine einvernehmliche Lösung gefunden werden, kann der Kunde den Nutzungsvertrag ordentlich kündigen. Die zum Zeitpunkt dieses AVV eingesetzten Unterauftragsverarbeiter gelten als genehmigt.

Zahlungsdienstleister (derzeit Mollie B.V.) handeln hinsichtlich der Zahlungsmitteldaten in der Regel als eigenständige Verantwortliche. Soweit der Auftragsverarbeiter dem Zahlungsdienstleister Abrechnungsdaten des Kunden übermittelt, erfolgt dies zur Vertragserfüllung des Nutzungsvertrags und nicht als Unterauftragsverarbeitung im Sinne dieses AVV.

10. Ort der Verarbeitung und Drittlandtransfer

Fachliche Vereinsdaten in Cloud Firestore werden in der Region europe-west3 (Frankfurt am Main) gespeichert. Serverfunktionen laufen in europe-west1 (Belgien). Gleichwohl können einzelne Firebase-/Google-Cloud-Dienste (insbesondere Authentifizierung, globales Hosting/CDN, Objektspeicher) zu Übermittlungen in Drittländer, namentlich die USA, führen.

Soweit ein Drittlandtransfer stattfindet, stellt der Auftragsverarbeiter sicher, dass geeignete Garantien nach Art. 46 DSGVO bestehen (insbesondere Standardvertragsklauseln) oder ein Angemessenheitsbeschluss nach Art. 45 DSGVO vorliegt. Einzelheiten stehen in der Datenschutzerklärung.

11. Nachweis und Kontrollrechte

Der Auftragsverarbeiter weist die Einhaltung dieses AVV durch aktuelle Auskünfte, Beschreibungen der technischen und organisatorischen Maßnahmen sowie – soweit verfügbar – Zertifikate oder Prüfberichte seiner Unterauftragsverarbeiter nach (z. B. ISO-27001- oder SOC-Berichte von Google).

Vor-Ort- oder Remote-Audits beim Auftragsverarbeiter oder bei Unterauftragsverarbeitern sind mit angemessener Frist, in der Regel 30 Tage, anzukündigen, dürfen den Betrieb nicht unverhältnismäßig stören und finden höchstens einmal jährlich statt, es sei denn, ein konkreter Anlass (insbesondere eine Datenschutzverletzung) rechtfertigt eine zusätzliche Prüfung. Vertraulichkeit und Betriebsgeheimnisse sind zu wahren. Kosten eines anlasslosen Audits trägt der Kunde, Kosten eines anlassbezogenen Audits bei nachgewiesenem Pflichtverstoß der Auftragsverarbeiter.

12. Unterstützung bei Betroffenenrechten und Verletzungen

Anfragen betroffener Personen, die den Auftragsverarbeiter erreichen und den Kunden als Verantwortlichen betreffen, leitet der Auftragsverarbeiter unverzüglich an den Kunden weiter. Soweit die Anwendung dem Kunden Selbstbedienung ermöglicht (Berichtigung von Namen, Export von Schießnachweisen, Deaktivierung oder Löschung von Mitgliedern, Löschung des Vereins), nutzt der Kunde diese Funktionen vorrangig.

Eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 33, 34 DSGVO teilt der Auftragsverarbeiter dem Kunden unverzüglich nach Bekanntwerden mit, soweit sie Daten betrifft, die dieser AVV unterfallen. Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO verfügbaren Informationen.

13. Löschung und Rückgabe

Der Kunde kann Daten während der Vertragslaufzeit in der Anwendung berichtigen, exportieren und – im Rahmen der vorgesehenen Funktionen – löschen. Mit der Funktion „Verein löschen“ werden die Vereinsdaten unwiderruflich entfernt, einschließlich Mitgliedskonten, Buchungen, Aufsichten, Meldungen, Hallen/Stände, Einladungen und Vereinslogo.

Endet der Nutzungsvertrag ohne vorherige Vereinslöschung, löscht der Auftragsverarbeiter die Auftragsdaten innerhalb von 90 Tagen, nachdem der Kunde Gelegenheit zum Export hatte, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (insbesondere rechnungsrelevante Daten des Auftragsverarbeiters in seiner Rolle als Verantwortlicher).

Datenträger im Sinne physischer Übergabe fallen bei einer reinen Online-Plattform nicht an. „Rückgabe“ erfolgt durch vom Kunden angestoßene Exporte (CSV/PDF) bzw. durch Bereitstellung eines Datenexports auf Anfrage, soweit technisch zumutbar.

14. Haftung

Die Haftung der Parteien gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei nur für den Schaden, der auf einer von ihr zu vertretenden Verletzung der DSGVO beruht. Im Übrigen gelten die Haftungsregelungen der Allgemeinen Geschäftsbedingungen.

15. Vertraulichkeit

Beide Parteien behandeln Informationen aus der Auftragsverarbeitung vertraulich. Die Pflicht besteht über das Vertragsende hinaus fort. Gesetzliche Auskunftspflichten bleiben unberührt.

16. Änderungen dieses AVV

Der Auftragsverarbeiter kann diesen AVV anpassen, wenn sich die Plattform, eingesetzte Unterauftragsverarbeiter oder die Rechtslage ändern. Wesentliche Änderungen werden als neue Versionsnummer veröffentlicht. Der Kunde muss die neue Fassung in der Anwendung akzeptieren, bevor die Administration fortgesetzt werden kann. Widerspricht der Kunde, endet die Berechtigung zur weiteren Nutzung; Ziffer 13 gilt entsprechend.

17. Schlussbestimmungen

Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters.

Anlage 1 (TOM) und Anlage 2 (Unterauftragsverarbeiter) sind Bestandteil dieses AVV.

Anlage 1 – Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter setzt insbesondere folgende Maßnahmen um:

• Zutritts- und Zugangskontrolle: Betrieb in Rechenzentren von Google Cloud / Firebase mit deren physischen und logischen Zugangskontrollen; Zugriff auf die Produktionsumgebung nur für befugte Personen des Auftragsverarbeiters
• Zugriffskontrolle: Authentifizierung, rollenbasierte Berechtigungen (Custom Claims), Firestore- und Storage-Sicherheitsregeln, Trennung der Vereine über Vereins-IDs
• Weitergabekontrolle: Transportverschlüsselung (HTTPS/TLS); keine unverschlüsselte Übermittlung von Passwörtern
• Eingabekontrolle: Protokollierung wesentlicher Vorgänge über Zeitstempel und handelnde Benutzerkennungen in den Fachdaten (z. B. Freigaben, Meldungen, Aufsicht)
• Auftragskontrolle: weisungsgebundene Verarbeitung, dokumentierter AVV, Unterauftragsverarbeiter mit entsprechenden Verträgen
• Verfügbarkeit: Nutzung der Hochverfügbarkeits- und Backup-Infrastruktur von Google Cloud; Möglichkeit der vollständigen Vereinslöschung
• Trennung: logische Mandantentrennung je Verein; produktive Firestore-Datenbank in der EU (Frankfurt)
• Pseudonymisierung / Geheimnisse: Passwörter nur als Hash bei Firebase Auth; Buchungs-PIN nur als PBKDF2-Hash; Rate-Limiting bei PIN und Passwort-Reset

Der Kunde ist für die Sicherheit seiner Endgeräte, Passwörter, PINs und der von ihm vergebenen Administrationsrechte verantwortlich.

Anlage 2 – Unterauftragsverarbeiter

Zum Stand dieser Fassung werden folgende Unterauftragsverarbeiter eingesetzt:

Dienst	Anbieter	Zweck / Ort
Firebase Hosting, Authentication, Cloud Firestore, Cloud Functions, Cloud Storage, Trigger Email	Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; ggf. Google LLC, USA	Hosting, Konten, Datenbank (europe-west3, Frankfurt), Functions (europe-west1, Belgien), Dateispeicher, E-Mail-Auslösung; einzelne Dienste mit möglichem Drittlandtransfer

Der konkrete E-Mail-Transport (SMTP oder Versand-API hinter der Firebase-Extension „Trigger Email“) erfolgt über den jeweils konfigurierten Versanddienstleister. Eine aktuelle Bezeichnung dieses Dienstleisters teilt der Auftragsverarbeiter auf Anfrage mit und aktualisiert diese Anlage bei einem Wechsel nach Ziffer 9.

Fragen zu diesem AVV: info@it-service-unterbach.de.