Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag nach Art. 28 Abs. 3 DSGVO gilt zwischen dem Verein, der einen Bierkasse-Workspace anlegt (Verantwortlicher, im Folgenden „Verein“), und Torben Koch (Auftragsverarbeiter, im Folgenden „Betreiber“, Anschrift im Impressum). Er lehnt sich an die Muster-Auftragsverarbeitungsverträge von Bitkom und GDD an.

Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO), wenn die Person, die den Workspace anlegt, im Namen des Vereins zustimmt, als Vorstandsmitglied oder vom Vorstand dazu bevollmächtigt. Der Betreiber speichert dazu die Person, den Namen des Vereins, den Zeitpunkt und die Version dieses Vertrags.

Der Betreiber stellt dem Verein Bierkasse nach den AGB bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Vereins. Die Verarbeitung dauert so lange wie der Vertrag nach den AGB und endet mit der endgültigen Löschung des Workspaces.

• Zweck: Führen der Getränkekonten des Vereins: Verbrauch buchen, Guthaben und Zahlungen führen, Aufladeanweisungen anzeigen, Berichte und Exporte erstellen.
• Art der Verarbeitung: Erheben, Speichern, Anzeigen, Berechnen, Übermitteln per E-Mail, Exportieren, Pseudonymisieren und Löschen.
• Datenarten: Name, E-Mail-Adresse, Verwendungszweck und Status der Mitglieder; Verknüpfung mit dem Benutzerkonto; Buchungen (Datum, Getränke, Mengen, Beträge, Herkunft, Stornos); Zahlungen (Datum, Betrag, Notiz); Guthaben; Getränke und Preise; die Bankverbindung des Vereins für Aufladungen; die Zuordnung der Administratoren zum Workspace. Aus Verbrauchsdaten von alkoholischen Getränken lassen sich unter Umständen Rückschlüsse auf die Gesundheit ziehen; der Dienst ist deshalb bewusst sparsam: keine Ranglisten, keine Auswertungen über Personen außer für den Kassenwart.
• Betroffene: Mitglieder des Vereins, Administratoren (Kassenwarte) und weitere Personen, die der Verein erfasst.

Der Betreiber verarbeitet die Daten nur auf dokumentierte Weisung des Vereins, auch bei Übermittlungen in Drittländer, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet; dann teilt er dem Verein das vorher mit, sofern das Gesetz es nicht verbietet. Dokumentierte Weisungen sind diese Vereinbarung, die AGB und die Bedienung der Funktionen der Anwendung durch die Administratoren. Einzelweisungen erteilt ein Administrator per E-Mail.

Der Betreiber greift auf Workspace-Daten nur zu, wenn der Verein es verlangt (Support) oder soweit es nötig ist, einen technischen Fehler zu beheben, etwa beim automatischen Abgleich der Guthaben. Er ändert die Buchungen eines Vereins nie von Hand.

Hält der Betreiber eine Weisung für rechtswidrig, teilt er das dem Verein unverzüglich mit.

Der Betreiber verarbeitet die Daten selbst. Setzt er weitere Personen ein, verpflichtet er sie vorher zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.

Der Betreiber trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

Der Verein erteilt die allgemeine Genehmigung, die in Anlage 2 genannten Unterauftragsverarbeiter einzusetzen. Der Betreiber erlegt ihnen vertraglich dieselben Datenschutzpflichten auf (Art. 28 Abs. 4 DSGVO); Anlage 2 nennt dazu den tatsächlichen Stand der Verträge.

Will der Betreiber einen Unterauftragsverarbeiter hinzufügen oder ersetzen, teilt er das den Administratoren mindestens vier Wochen vorher per E-Mail mit. Der Verein kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Finden die Parteien keine Lösung, kann jede Seite den Vertrag beenden; dem Verein entstehen dadurch keine Kosten.

Die Anwendung gibt dem Verein die nötigen Werkzeuge an die Hand: Daten einsehen und berichtigen, alle Daten exportieren, Mitglieder archivieren und pseudonymisieren. Wenden sich Betroffene wegen Workspace-Daten an den Betreiber, leitet er die Anfrage unverzüglich an den Verein weiter und beantwortet sie nicht selbst.

Der Betreiber meldet dem Verein eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt wird (Art. 33 Abs. 2 DSGVO), per E-Mail an die Administratoren, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen. Die Frist von 72 Stunden für die Meldung an die Aufsichtsbehörde läuft beim Verein. Der Betreiber unterstützt den Verein außerdem bei Datenschutz-Folgenabschätzungen und Konsultationen (Art. 35, 36 DSGVO), soweit nötig.

Der Verein kann jederzeit kostenlos einen vollständigen Export aller Workspace-Daten herunterladen. Dieser Export ist die Rückgabe der Daten. Nach Vertragsende, also nach der endgültigen Löschung des Workspaces, löscht der Betreiber alle Workspace-Daten; aus den Datensicherungen verschwinden sie spätestens 30 Tage später. Eine längere Speicherung erfolgt nur, wenn eine gesetzliche Pflicht sie verlangt. Aufbewahrungspflichten des Vereins erfüllt der Verein mit seinem Export, nicht der Betreiber.

Der Betreiber stellt dem Verein auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, in erster Linie schriftlich. Überprüfungen vor Ort sind nach angemessener Vorankündigung möglich, höchstens einmal im Jahr, es sei denn, ein konkreter Anlass rechtfertigt mehr; die Kosten trägt der Verein.

Die Parteien vereinbaren ausdrücklich:

• Statistik: Der Betreiber darf aus den Workspace-Daten zusammengefasste, nicht personenbezogene Kennzahlen bilden (zum Beispiel Zahl der Workspaces, der aktiven Mitglieder und der Buchungen je Zeitraum), um den Dienst zu betreiben und weiterzuentwickeln. Für diese Auswertung ist er selbst Verantwortlicher; sie verlässt keine Daten über einzelne Personen.
• Löschung bei Inaktivität: Ist ein Workspace zwölf Monate lang inaktiv (keine Buchung, keine Zahlung, keine Anmeldung eines Administrators), erinnert der Betreiber die Administratoren per E-Mail und löscht den Workspace, wenn er danach 30 Tage lang nicht genutzt wird (§ 9 Abs. 3 AGB). Der Verein weist diese Löschung hiermit an.
• Missbrauch: Sperrung und Löschung nach § 7 der AGB.

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die AGB. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor. Maßgeblich ist die deutsche Fassung.

• Standort und physische Sicherheit: Anwendung und Datenbank laufen in Rechenzentren in Frankfurt am Main (Vercel fra1, AWS eu-central-1); Zutritt und physischen Schutz stellen die Anbieter sicher.
• Verschlüsselung: Übertragung ausschließlich per HTTPS (TLS); die Datenbank ist verschlüsselt gespeichert; Datensicherungen werden vor dem Speichern mit einem Schlüssel verschlüsselt, den nur der Betreiber offline verwahrt.
• Zugang: Passwörter nur als Hash; Anmeldung erst nach bestätigter E-Mail-Adresse; signierte, nur per HTTP lesbare Sitzungs-Cookies mit begrenzter Laufzeit; Konto-Löschung nur mit Passwort.
• Zugriff und Trennung: Jede Abfrage ist auf den Workspace des angemeldeten Administrators oder Mitglieds beschränkt; Rollen für Administratoren und Mitglieder; die Trennung der Workspaces wird automatisiert getestet.
• Betreiberkonten: Zwei-Faktor-Anmeldung bei allen Dienstleistern; Geheimnisse liegen nur in deren Konfiguration, nicht im Quellcode.
• Integrität: Buchungen werden nie geändert oder gelöscht, sondern durch Gegenbuchungen korrigiert; ein nächtlicher Abgleich prüft alle Guthaben gegen die Buchungen und meldet Abweichungen an den Betreiber.
• Verfügbarkeit: Nächtliche verschlüsselte Datensicherung in der EU; jede Sicherung wird nach spätestens 30 Tagen gelöscht; die Wiederherstellung wird vor dem Start und danach jedes Semester geprobt.
• Datensparsamkeit: Kein Tracking, keine Analyse- oder Werbedienste; abgelaufene Sitzungen werden nächtlich gelöscht.
• Wartung: Sicherheitsupdates der verwendeten Software werden regelmäßig eingespielt; bekannte kritische Schwachstellen verhindern eine Veröffentlichung.

• Vercel Inc., USA – Hosting und Ausführung der Anwendung. Ort: Frankfurt (fra1), Auslieferung über ein weltweites Netzwerk. Übermittlung: EU-US Data Privacy Framework und Standardvertragsklauseln. Vertragsstand: Vercels Auftragsverarbeitungsvertrag gilt nach seinem Wortlaut für die Tarife Pro und Enterprise; ob er den derzeit genutzten Tarif Hobby abdeckt, ist nicht eindeutig. Bestätigt Vercel das nicht schriftlich, wechselt der Betreiber spätestens vor dem öffentlichen Start in einen abgedeckten Tarif.
• Databricks, Inc. (Neon), USA – PostgreSQL-Datenbank. Ort: Frankfurt (AWS eu-central-1). Übermittlung: EU-US Data Privacy Framework. Vertragsstand: Der Auftragsverarbeitungsvertrag ist über die Vertragsbedingungen von Databricks einbezogen; ob er den kostenlosen Tarif abdeckt, lässt der Betreiber sich vor dem Start schriftlich bestätigen, andernfalls nutzt er einen kostenpflichtigen Tarif.
• Resend, Inc., USA – Versand der E-Mails zur Kontobestätigung und zum Zurücksetzen des Passworts. Ort: Versand aus der EU (Irland); Kontodaten, Metadaten und Logs in den USA. Übermittlung: EU-US Data Privacy Framework und Standardvertragsklauseln. Vertragsstand: Der Auftragsverarbeitungsvertrag gilt für alle Tarife.
• GitHub, Inc., USA – Erstellung der nächtlichen Datensicherung (GitHub Actions). Ort: Server von GitHub, auch in den USA; die Datenbank wird dort nur für die Dauer des Ablaufs verarbeitet und verschlüsselt, bevor sie den Server verlässt. Übermittlung: EU-US Data Privacy Framework. Vertragsstand: GitHubs Auftragsverarbeitungsvertrag ist Teil des GitHub Customer Agreement; ob er für das genutzte Konto gilt, klärt der Betreiber vor dem Start, andernfalls stellt er das Konto auf einen Vertrag um, der ihn einschließt.
• Cloudflare, Inc., USA – (1) Speicherung der verschlüsselten Datensicherungen (Cloudflare R2); den Schlüssel hat Cloudflare nicht. Ort: EU (Speicher mit EU-Jurisdiktion). (2) Weiterleitung der E-Mails an die Kontaktadresse des Betreibers (Cloudflare Email Routing). Darüber gehen auch Weisungen und Support-Anfragen der Administratoren sowie Anfragen von Betroffenen ein (§§ 3, 7), die Workspace-Daten enthalten können. Ort: weltweites Netzwerk von Cloudflare; nach eigenen Angaben speichert Cloudflare die Nachrichten nicht, sondern leitet sie sofort weiter. Übermittlung: EU-US Data Privacy Framework und Standardvertragsklauseln. Vertragsstand: Der Auftragsverarbeitungsvertrag ist Teil der Self-Serve-Vertragsbedingungen von Cloudflare und gilt damit auch im kostenlosen Tarif. Cloudflare betreibt außerdem die Nameserver (DNS) der Domain; dabei werden keine Workspace-Daten verarbeitet.