Dieser Auftragsverarbeitungsvertrag ist integraler Bestandteil des Vertrags zwischen ZoppaBox und dem Verein.
Artikel 1 – Rollen
- Für personenbezogene Daten, die der Verein über ZoppaBox für seine eigenen Vereinsaktivitäten verarbeitet, ist grundsätzlich der Verein Verantwortlicher im Sinne der DSGVO.
- ZoppaBox verarbeitet diese personenbezogenen Daten im Namen und im Auftrag des Vereins und handelt dabei als Auftragsverarbeiter.
- Für personenbezogene Daten, die ZoppaBox für eigene Zwecke verarbeitet, darunter Kundenverwaltung, Rechnungsstellung, Sicherheit, Support und Geschäftsbetrieb, kann ZoppaBox eigenständiger Verantwortlicher sein.
Artikel 2 – Gegenstand, Art, Zweck und Dauer
- ZoppaBox verarbeitet personenbezogene Daten, soweit dies für die Bereitstellung, Wartung, Sicherung und Unterstützung der vom Verein genutzten Funktionen erforderlich ist.
- Die Verarbeitung kann unter anderem das Erheben, Erfassen, Ordnen, Speichern, Abfragen, Ändern, Bereitstellen für autorisierte Nutzer, Synchronisieren, Sichern, Exportieren und Löschen umfassen.
- Zweck der Verarbeitung ist die Unterstützung der Organisation und der Aktivitäten des Vereins.
- Die Verarbeitung dauert so lange, wie der Vertrag zwischen ZoppaBox und dem Verein besteht, und, soweit erforderlich, während der anwendbaren Lösch- und Backup-Fristen danach.
Artikel 3 – Betroffene Personen
Je nach Nutzung von ZoppaBox können personenbezogene Daten unter anderem folgender Personen verarbeitet werden:
- Mitglieder und ehemalige Mitglieder;
- Vorstandsmitglieder und Ehrenamtliche;
- Dirigenten und musikalische Leitung;
- Lehrkräfte und Schüler;
- Eltern und Erziehungsberechtigte;
- Gastmusiker;
- Spender und Kontakte;
- Besucher und Ansprechpartner;
- Veranstaltungsteilnehmer und Ticketkäufer;
- sonstige Personen, die vom Verein in ZoppaBox erfasst werden.
Artikel 4 – Personenbezogene Daten
Je nach genutzten Funktionen können unter anderem verarbeitet werden:
- Name und Kontaktdaten;
- Adressdaten;
- Geburtsdatum;
- Mitgliedschaftsdaten;
- Instrument, Gruppe, Register, Team oder Ausschuss;
- Anwesenheit und Verfügbarkeit;
- Rollen und Berechtigungen;
- Unterrichts- und Planungsdaten;
- Kontakt- und Spenderdaten;
- Veranstaltungs- und Ticketdaten;
- Fotos und Medien;
- Nachrichten und Reaktionen;
- Dokumente;
- Daten in benutzerdefinierten Feldern;
- technische Konto-, Geräte-, Protokoll- und Sicherheitsdaten;
- sonstige vom Verein oder seinen Nutzern eingegebene Daten.
Freitextfelder, Dokumente, Fotos, benutzerdefinierte Felder und andere Inhalte können besondere Kategorien personenbezogener Daten enthalten. Der Verein ist für die Rechtmäßigkeit und Erforderlichkeit ihrer Eingabe verantwortlich.
Artikel 5 – Weisungen
- ZoppaBox verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Vereins, es sei denn, ZoppaBox ist gesetzlich zur Verarbeitung verpflichtet.
- Die Nutzung und Konfiguration der vom Verein gewählten Funktionen gilt als dokumentierte Weisung.
- ZoppaBox verwendet personenbezogene Daten, die sie als Auftragsverarbeiter erhält, nicht für eigene Werbe- oder Marketingzwecke.
- Ist ZoppaBox der Auffassung, dass eine Weisung gegen anwendbare Datenschutzvorschriften verstößt, informiert ZoppaBox den Verein darüber, soweit gesetzlich zulässig.
Artikel 6 – Vertraulichkeit und Zugang
- Personen, die im Namen von ZoppaBox Zugang zu personenbezogenen Daten haben, sind zur Vertraulichkeit verpflichtet.
- Der Zugang ist auf Personen und Systeme beschränkt, für die er zur Bereitstellung, Wartung, Sicherung oder Unterstützung von ZoppaBox erforderlich ist.
- ZoppaBox wendet angemessene Berechtigungs- und Zugangsmaßnahmen an.
Artikel 7 – Sicherheit
- ZoppaBox trifft geeignete technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO.
- Dabei werden der Stand der Technik, die Implementierungskosten, Art und Umfang der Verarbeitung sowie die Risiken für die betroffenen Personen berücksichtigt.
- Die Maßnahmen können sich unter anderem beziehen auf:
- verschlüsselte Datenübertragung;
- Authentifizierung;
- Zwei-Faktor-Authentifizierung, sofern verfügbar oder erforderlich;
- Rollen und Berechtigungen;
- Beschränkung des Zugangs;
- Sicherheit von Cloud- und Speicherdiensten;
- Sicherheitsupdates;
- Protokollierung und Überwachung, soweit angemessen;
- Backup- und Wiederherstellungseinrichtungen;
- Verfahren für Sicherheitsvorfälle.
- Sicherheitsmaßnahmen werden bei Bedarf an technische Entwicklungen und sich ändernde Risiken angepasst.
Artikel 8 – Unterauftragsverarbeiter
- Der Verein erteilt ZoppaBox die allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter einzusetzen, die für den Dienst erforderlich sind.
- ZoppaBox hält eine aktuelle Liste der relevanten Unterauftragsverarbeiter bereit.
- ZoppaBox informiert die Vereine über wesentliche Hinzufügungen oder Ersetzungen von Unterauftragsverarbeitern.
- Der Verein kann aus berechtigten datenschutzrechtlichen Gründen Einspruch gegen einen neuen Unterauftragsverarbeiter erheben.
- ZoppaBox erlegt Unterauftragsverarbeitern angemessene Datenschutzpflichten auf.
- ZoppaBox bleibt gegenüber dem Verein für die Einhaltung der anwendbaren Pflichten durch ihre Unterauftragsverarbeiter verantwortlich, soweit die DSGVO dies vorsieht.
- Werden personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet, sorgt ZoppaBox für einen gültigen Übermittlungsmechanismus gemäß der DSGVO.
Artikel 9 – Datenpannen und Sicherheitsvorfälle
- Erhält ZoppaBox Kenntnis von einer Verletzung des Schutzes personenbezogener Daten, die im Namen des Vereins verarbeitet werden, informiert ZoppaBox den Verein unverzüglich.
- ZoppaBox stellt, soweit verfügbar, Informationen bereit über:
- die Art des Vorfalls;
- die betroffenen personenbezogenen Daten;
- die Kategorien und die Anzahl der betroffenen Personen, soweit bekannt;
- die voraussichtlichen Folgen;
- ergriffene oder geplante Maßnahmen.
- Sind nicht alle Informationen sofort verfügbar, kann ZoppaBox diese schrittweise bereitstellen.
- ZoppaBox wirkt in zumutbarem Umfang an der Bewertung des Vorfalls mit.
- Der Verein bleibt für eine etwaige Meldung an die Aufsichtsbehörde und die betroffenen Personen verantwortlich, sofern nicht schriftlich anders vereinbart.
- Eine Meldung durch ZoppaBox stellt kein Anerkenntnis einer Haftung dar.
Artikel 10 – Rechte der betroffenen Personen
- ZoppaBox unterstützt den Verein unter Berücksichtigung der Art der Verarbeitung in zumutbarem Umfang bei Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch oder Datenübertragbarkeit.
- Wendet sich eine betroffene Person direkt an ZoppaBox bezüglich Daten, für die der Verein Verantwortlicher ist, leitet ZoppaBox die Anfrage gegebenenfalls an den Verein weiter.
Artikel 11 – Sonstige Unterstützung
ZoppaBox leistet unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen angemessene Unterstützung bei:
- Sicherheitspflichten;
- Untersuchung und Meldung von Datenpannen;
- Datenschutz-Folgenabschätzungen (DSFA);
- einer etwaigen vorherigen Konsultation einer Aufsichtsbehörde.
Artikel 12 – Informationen und Audits
- ZoppaBox stellt Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung von Artikel 28 DSGVO nachzuweisen.
- Reichen diese Informationen nicht aus, kann der Verein ein Audit verlangen.
- Ein Audit wird vorab angekündigt und findet grundsätzlich während der üblichen Geschäftszeiten statt.
- Ein Audit beschränkt sich auf Systeme und Prozesse, die für die Verarbeitung im Namen des Vereins relevant sind, und darf die Sicherheit oder Vertraulichkeit anderer Kunden nicht beeinträchtigen.
- Nach Möglichkeit werden zunächst verfügbare Dokumentationen, Erklärungen, Zertifizierungen oder Auditberichte genutzt.
- Angemessene Kosten eines vom Verein ausdrücklich verlangten Audits trägt grundsätzlich der Verein, es sei denn, es ergibt ein wesentliches Versäumnis von ZoppaBox.
Artikel 13 – Beendigung, Rückgabe und Löschung
- Nach Beendigung der Leistungserbringung erhält der Verein 30 Tage Gelegenheit, dafür geeignete Daten zu exportieren und eigene Dateien herunterzuladen, soweit technisch verfügbar.
- Auf Verlangen des Vereins löscht ZoppaBox die personenbezogenen Daten oder stellt sie dem Verein, soweit technisch zumutbar möglich, zur Verfügung.
- Nach Ablauf der anwendbaren Frist darf ZoppaBox personenbezogene Daten aus der aktiven Umgebung löschen.
- Daten können danach höchstens 30 Tage in technischen Backups verbleiben, bis diese gemäß dem regulären Aufbewahrungszyklus gelöscht oder überschrieben werden.
- Daten in solchen Backups werden nicht für andere Zwecke als Sicherheit, technische Wiederherstellung oder gesetzliche Pflichten verwendet.
- Eine gesetzliche Aufbewahrungspflicht kann die Löschung bestimmter Daten verhindern.
Artikel 14 – Pflichten des Vereins
Der Verein:
- verfügt über eine gültige Rechtsgrundlage für seine Verarbeitung;
- informiert betroffene Personen, soweit dies gesetzlich vorgeschrieben ist;
- verarbeitet ausschließlich Daten, die erforderlich und rechtmäßig sind;
- verwaltet Rollen und Berechtigungen sorgfältig;
- beschränkt bei Bedarf den Zugang zu besonderen Kategorien personenbezogener Daten;
- informiert ZoppaBox über Sicherheitsvorfälle auf seiner Seite, die Auswirkungen auf den Dienst haben können.
Artikel 15 – Haftung
Für die Haftung zwischen ZoppaBox und dem Verein gelten die Haftungsbestimmungen der Allgemeinen Geschäftsbedingungen von ZoppaBox, soweit dies nicht im Widerspruch zu zwingendem Recht steht.
Artikel 16 – Laufzeit und Rangfolge
- Dieser Auftragsverarbeitungsvertrag gilt, solange ZoppaBox personenbezogene Daten im Namen des Vereins verarbeitet.
- Pflichten, die ihrer Natur nach fortbestehen, darunter die Vertraulichkeit, bleiben nach Beendigung in Kraft.
- Bei Widersprüchen zwischen diesem Auftragsverarbeitungsvertrag und den Allgemeinen Geschäftsbedingungen hat dieser Auftragsverarbeitungsvertrag in Bezug auf die Verarbeitung personenbezogener Daten Vorrang.