Auftragsverarbeitungsvertrag

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten der Vereinsmitglieder in Book & Row gemäß Art. 28 DSGVO. Vertragsparteien sind der Verein, der den Dienst nutzt (Verantwortlicher), und Softeo Aleksander Rakucki, Steuernummer (NIP) 5242947071, Postanschrift: ul. Laurowa 35/5, 03-197 Warszawa (Auftragsverarbeiter, „wir“).

§ 1. Abschluss und Laufzeit

Der Verein schließt diesen Vertrag zusammen mit dem Vertrag über die Nutzung des Dienstes und bestätigt seine Annahme in elektronischer Form, zum Beispiel durch eine Nachricht der zu seiner Vertretung berechtigten Personen.

Der Vertrag gilt so lange wie der Vertrag über die Nutzung des Dienstes. In Fragen personenbezogener Daten hat er Vorrang vor den Nutzungsbedingungen.

§ 2. Gegenstand und Umfang

Wir verarbeiten die Daten ausschließlich, um dem Verein den Dienst Book & Row bereitzustellen: Wir speichern und ordnen sie, machen sie den Personen im Verein entsprechend ihren Rollen zugänglich, versenden Benachrichtigungen und löschen die Daten.

Dies betrifft die Personen, die der Verein in den Dienst einlädt: Athleten, auch Minderjährige, Trainer und Personen, die den Verein verwalten.

Arten von Daten:

• Identifikations- und Kontaktdaten: Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Foto;
• Profildaten, u. a. Geburtsjahr, Geschlecht, Größe, Gewicht und Ruderpräferenzen;
• Daten zur Vereinsaktivität: Trainings, Ausfahrten, Anmeldungen, Ergebnisse, Pläne, Mitteilungen, Schadensmeldungen und Notizen;
• Beitragsdaten: Beträge, Fälligkeiten und Zahlungsstatus;
• technische Daten: Tage der Nutzung des Dienstes, Abonnements für Push-Benachrichtigungen, IP-Adresse und Protokolle.

Der Dienst ist nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) bestimmt, etwa Gesundheitsdaten. Der Verein gibt solche Daten nicht in den Dienst ein, auch nicht in Freitextfeldern.

Technische Daten nutzen wir auch für eigene Zwecke: für Betrieb, Sicherheit und Weiterentwicklung des Dienstes. Insoweit sind wir dafür Verantwortlicher.

§ 3. Unsere Pflichten

Wir verarbeiten Daten nur auf dokumentierte Weisung des Vereins. Weisungen sind dieser Vertrag, die Nutzungsbedingungen und die Handlungen, die vom Verein berechtigte Personen im Dienst vornehmen. Würde eine Weisung gegen das Recht verstoßen, informieren wir den Verein.

Außerdem:

• Zugang zu den Daten haben nur von uns befugte und zur Vertraulichkeit verpflichtete Personen;
• wir treffen die nach Art. 32 DSGVO erforderlichen Sicherheitsmaßnahmen, darunter eine verschlüsselte Verbindung, als nicht umkehrbarer Hash gespeicherte Passwörter, die Trennung der Daten jedes Vereins, rollenbasierten Zugriff und Datensicherungen;
• wir unterstützen den Verein bei der Beantwortung von Anträgen betroffener Personen und bei der Erfüllung seiner Pflichten aus Art. 32–36 DSGVO, soweit die Art des Dienstes dies zulässt;
• wir stellen dem Verein die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.

§ 4. Unterauftragsverarbeiter

Der Verein ist damit einverstanden, dass wir Unterauftragsverarbeiter einsetzen. Derzeit ist dies ein Hosting-Anbieter mit Sitz in Polen, der Server, Datenbank, Dateien und ausgehende E-Mails betreibt. Seinen Namen nennen wir auf Anfrage des Vereins.

Wir erlegen ihnen Datenschutzpflichten auf, die nicht geringer sind als in diesem Vertrag, und haften für ihr Handeln wie für eigenes.

Über die geplante Hinzunahme oder Ersetzung eines solchen Anbieters informieren wir den Verein mindestens 14 Tage im Voraus. Der Verein kann widersprechen, indem er die Nutzung des Dienstes beendet.

Die Daten werden im Europäischen Wirtschaftsraum gespeichert. Push-Benachrichtigungen erreichen das Gerät über den Push-Dienst des Browsers, den die Person gewählt hat. Ihr Inhalt ist verschlüsselt und kann vom Browser-Anbieter nicht gelesen werden.

§ 5. Datenschutzverletzungen

Über eine Verletzung des Schutzes personenbezogener Daten informieren wir den Verein unverzüglich, nachdem sie uns bekannt geworden ist, und übermitteln die Informationen, die er für die Meldung an die Aufsichtsbehörde benötigt.

§ 6. Kontrollen

Der Verein kann überprüfen, ob wir diesen Vertrag einhalten. Zunächst beantworten wir seine Fragen schriftlich. Eine Vor-Ort-Prüfung ist mit einer Ankündigung von mindestens 14 Tagen und höchstens einmal im Jahr möglich, es sei denn, es ist eine Verletzung eingetreten. Die Kosten der Prüfung trägt der Verein.

§ 7. Ende der Verarbeitung

Nach Vertragsende löschen wir die Daten des Vereins unverzüglich. Aus Datensicherungen verschwinden sie im Zyklus ihres Überschreibens.

Verlangt der Verein dies vor Vertragsende, übergeben wir ihm zuvor seine Daten in einem gängigen elektronischen Format.

§ 8. Pflichten des Vereins

Der Verein ist dafür verantwortlich, dass er für die eingegebenen Daten eine Rechtsgrundlage hat, seine Mitglieder über die Verarbeitung ihrer Daten im Dienst informiert und, wo erforderlich, die Einwilligung der Erziehungsberechtigten einholt.

Für Schäden haften wir nach Art. 82 DSGVO, also nur, wenn wir die uns durch die DSGVO oder diesen Vertrag auferlegten Pflichten nicht erfüllt oder außerhalb oder entgegen den Weisungen des Vereins gehandelt haben.

§ 9. Änderungen und anwendbares Recht

Änderungen dieses Vertrags kündigen wir mindestens 14 Tage im Voraus an. Ein Verein, der sie nicht annimmt, kann in dieser Zeit die Nutzung des Dienstes beenden.

Für nicht geregelte Fragen gelten die DSGVO und polnisches Recht.

Anliegen zu diesem Vertrag richten Sie bitte an hello@softeo.dev.