Vereinbarung zur Auftragsverarbeitung (AVV)

zwischen dem Verein bzw. der Gruppe, die Klubheft nutzt (Verantwortlicher), und Hasan Bekar, Çamlık Mh., Selçuklu Cd. No 20C, 34912 Pendik, İstanbul, Türkei (Auftragsverarbeiter). Diese Vereinbarung wird mit Zustimmung zu den AGB Vertragsbestandteil (Art. 28 DSGVO).

1. Gegenstand und Dauer

Gegenstand ist der Betrieb der Web-Anwendung Klubheft zur Vereinsverwaltung. Die Dauer entspricht der Nutzungsvereinbarung; sie endet mit Löschung des Vereins oder des Kontos.

2. Art, Zweck und betroffene Personen

• Datenarten: Stammdaten der Mitglieder (Name, Kontaktdaten, Geburtsdatum, Kontaktperson), Beitrags- und Zahlungsstatus, Anwesenheitsdaten, Freitext-Notizen, Einwilligungs-Dokumentation.
• Betroffene: Vereinsmitglieder (auch Minderjährige), deren Kontaktpersonen, Vereinsfunktionäre.
• Zweck: Mitglieder-, Beitrags-, Termin- und Anwesenheitsverwaltung des Vereins.

3. Weisungen

Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Vereins — die Weisungen ergeben sich aus der Nutzung der Software-Funktionen (Anlegen, Ändern, Exportieren, Löschen).

4. Vertraulichkeit und technisch-organisatorische Maßnahmen

• Zugriff nur über verschlüsselte Verbindungen (TLS).
• Passwörter werden ausschließlich als Hash (bcrypt) gespeichert.
• Mandantentrennung: jede Datenbankabfrage ist an den jeweiligen Verein gebunden.
• Rollenmodell (Admin / Kassierer / Trainer) mit abgestuften Rechten.
• Regelmäßige, verschlüsselt gelagerte Backups; Hosting in Deutschland.
• Zur Vertraulichkeit verpflichtetes Personal (Einzelbetreiber).

5. Unterauftragsverarbeiter

Derzeit eingesetzte Unterauftragsverarbeiter:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Hosting
• Migadu-Mail Sagl, Schweiz — transaktionale E-Mails (z. B. Passwort-Zurücksetzen)

Über geplante Änderungen informieren wir vorab per E-Mail; der Verein kann aus wichtigem Grund widersprechen.

6. Unterstützung des Verantwortlichen

Wir unterstützen den Verein bei Betroffenenrechten (Auskunft, Löschung — weitgehend als Selbstbedienung in der App: CSV-Export, Mitglieds- und Vereinslöschung) und bei Meldepflichten nach Art. 33/34 DSGVO. Datenschutzverletzungen melden wir dem Verein unverzüglich.

7. Löschung und Rückgabe

Nach Vertragsende bzw. auf Weisung löschen wir alle personenbezogenen Daten des Vereins (Backups spätestens nach 30 Tagen). Der Export der Daten ist jederzeit vorab per CSV möglich.

8. Nachweise und Kontrollen

Wir stellen auf Anfrage die zur Prüfung der Pflichten nach Art. 28 DSGVO erforderlichen Informationen zur Verfügung.