Vertrag zur Auftragsverarbeitung

Fassung vom 24.10.2026 · Vertrag nach Art. 28 Abs. 3 DSGVO

Verantwortlicher (Auftraggeber): der Verein, der diesem Vertrag in Eulenwart zustimmt
Auftragsverarbeiter (Auftragnehmer): Oliver Deppe, 2fox4 Internetdienstleistungen · Eulenwart, Schaumburger Str. 21, 31553 Sachsenhagen, hallo@eulenwart.de

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber die Software „Eulenwart“ bereit und betreibt sie (Nutzungsvertrag nach den AGB). Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers.

(2) Dieser Vertrag gilt, solange der Auftragnehmer Daten des Auftraggebers verarbeitet – einschließlich Testphase und Löschung nach Vertragsende (§ 10).

§ 2 Art und Zweck der Verarbeitung, Daten und betroffene Personen

Zweck: Vereinsverwaltung – Mitgliederverwaltung, Beiträge und SEPA-Lastschrift, Dokumentenablage, Rechnungsfreigaben, Buchhaltung (Einnahmen, Ausgaben, Belege), Finanz- und Budgetübersicht, Export für die Steuerberatung, Zuwendungsbestätigungen (Spendenquittungen), Rundmails, Abstimmungen, Termine, Mitgliederbereich, das Einlesen der vom Auftraggeber eingetragenen Vereins-Website sowie KI-gestützte Ablagevorschläge und Antworten auf Fragen.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen (auch Texterkennung aus Dokumenten), Abfragen, Übermitteln an Unterauftragsverarbeiter nach § 6, Exportieren, Löschen.

Arten von Daten:

• Stammdaten: Name, Anrede, Mitgliedsnummer
• Kontaktdaten: Anschrift, E-Mail-Adresse, Telefonnummer
• Geburtsdatum
• Mitgliedschaftsdaten: Eintritt, Austritt, Status, Gruppe, Jahresbeitrag
• Bankdaten: IBAN, BIC, Kontoinhaber, SEPA-Lastschriftmandate (Mandatsreferenz, Datum)
• Beitrags- und Zahlungsdaten: Beitragsforderungen, Zahlungsstatus, Lastschrift-Einzüge und Rückläufer
• Buchhaltungsdaten: Buchungen mit Gegenüber, Betrag, Verwendungszweck und Belegen
• Spenden: Name und Anschrift der Spender, Zuwendungen, ausgestellte Zuwendungsbestätigungen
• Rundmails: Empfänger, Inhalt, Versandzeitpunkt
• Zugangsdaten der Nutzer: E-Mail-Adresse, Passwort (nur als Prüfwert), Daten der Zwei-Faktor-Anmeldung, Zeitpunkt der letzten Anmeldung
• Protokolldaten: wer wann welche Aktion ausgeführt hat
• Inhalte hochgeladener Dokumente – sie können beliebige personenbezogene Daten enthalten (zum Beispiel Rechnungen, Verträge, Protokolle, Fotos)
• Abstimmungen und Stimmabgaben (bei geheimen Abstimmungen ohne Zuordnung der Antwort zur Person), Termine, Rechnungsfreigaben und Kommentare
• Fragen an den KI-Assistenten und die Antworten

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, zum Beispiel Gesundheitsdaten) sind nicht vorgesehen. Stellt der Auftraggeber sie dennoch ein, prüft er vorher die Zulässigkeit.

Betroffene Personen: Mitglieder und ehemalige Mitglieder, Vorstand und weitere Nutzer, Ansprechpersonen von Geschäftspartnern, Förderern und Behörden sowie sonstige Personen, die in Dokumenten genannt werden.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; dann teilt er dies vorher mit, soweit das Gesetz es nicht verbietet.

(2) Weisungen sind dieser Vertrag, die Nutzung der Funktionen von Eulenwart durch den Auftraggeber und Einzelweisungen in Textform durch den Vorstand (Verwaltung).

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragnehmer mindestens vier Wochen vorher per E-Mail an die Kontaktadresse des Vereins und in der Software. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann er den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag.

§ 7 Ort der Verarbeitung, Übermittlung in Drittländer

(1) Daten werden in Rechenzentren in Deutschland gespeichert. Eine Übermittlung in Drittländer außerhalb der EU bzw. des EWR findet nicht statt.

(2) Für die KI-Funktionen setzt der Auftragnehmer ausschließlich einen KI-Anbieter mit Sitz und Datenverarbeitung in der EU ein (Anlage 2). Der KI-Anbieter darf die Inhalte nicht zum Training von KI-Modellen verwenden.

(3) Übermittelt wird nur, was die jeweilige Funktion braucht: beim Ablegen eines Dokuments Dateiname, ein Textauszug und die Ordnerliste – bei Fotos und gescannten Dokumenten ohne lesbaren Text das verkleinerte Bild bzw. die PDF-Datei, damit die KI den Text erkennen kann; bei Fragen an den Assistenten die Frage, Kennzahlen des Vereins (für den Vorstand auch Namen bei anstehenden Geburtstagen und Jubiläen) sowie Auszüge passender Dokumente, Mitgliederangaben, Vereinswissen und Inhalte der Vereins-Website, die die fragende Person sehen darf; beim Einlesen der Vereins-Website deren öffentliche Texte, um Angaben für das Vereinsprofil vorzuschlagen. Die in Eulenwart gespeicherten Bankdaten (IBAN, Mandate) werden nicht an den KI-Anbieter übermittelt.

(4) Der Auftraggeber kann die KI-Funktionen in den Einstellungen abschalten. Dann werden keine Daten an den KI-Anbieter übermittelt.

§ 8 Rechte der betroffenen Personen

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei Anfragen betroffener Personen (Art. 12 bis 22 DSGVO). Eulenwart bietet dafür Funktionen zum Anzeigen, Ändern, Exportieren und Löschen. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

§ 9 Unterstützung und Meldung von Datenschutzverletzungen

(1) Der Auftragnehmer unterstützt den Auftraggeber bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(2) Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

§ 10 Löschung und Rückgabe

(1) Bis zum Vertragsende kann der Auftraggeber seine Daten exportieren; danach bleibt der Export der Mitgliederliste noch 30 Tage möglich (§ 7 AGB).

(2) Anschließend löscht der Auftragnehmer die Daten des Auftraggebers innerhalb von 30 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Kopien in Datensicherungen werden mit dem regulären Ablauf der Sicherungen gelöscht. Auf Wunsch bestätigt der Auftragnehmer die Löschung in Textform.

§ 11 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind. Er ermöglicht Überprüfungen durch den Auftraggeber oder einen beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist – nach Anmeldung mit angemessener Frist (in der Regel 14 Tage), zu Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs.

§ 12 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die AGB.

(2) Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor.

(3) Der Vertrag wird elektronisch abgeschlossen, indem der Auftraggeber ihm in Eulenwart zustimmt (Art. 28 Abs. 9 DSGVO). Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutritt: Server in Rechenzentren des Hosters ALL-INKL.COM in Dresden (Deutschland) mit Zutrittsbeschränkung durch den Hoster; kein physischer Zugang des Auftragnehmers nötig.
• Zugang: Anmeldung mit E-Mail-Adresse und Passwort (mindestens 10 Zeichen mit Buchstaben und Zahlen); Zwei-Faktor-Anmeldung für alle Nutzer verfügbar, dem Vorstand empfohlen und für den Betreiberzugang Pflicht; Begrenzung von Anmeldeversuchen; Serververwaltung nur über verschlüsselte Verbindungen (SSH).
• Zugriff: Rollen (Vorstand (Verwaltung), Vorstand, Kasse, Mitglied) und Sichtbarkeitsstufen je Ordner und Dokument; Mitglieder sehen nur freigegebene Inhalte; Dateien liegen außerhalb des öffentlich erreichbaren Bereichs und werden nur nach Rechteprüfung ausgeliefert.
• Trennung: strikte Trennung der Vereine auf Datenbankebene (Mandantentrennung, durch automatisierte Tests abgesichert); Vorführungen nur mit erfundenen Daten.
• Verschlüsselung: alle Verbindungen ausschließlich verschlüsselt (HTTPS mit HSTS); Sitzungsdaten verschlüsselt; Passwörter nur als Hash; Schlüssel der Zwei-Faktor-Anmeldung, IBANs und Zugangsdaten eigener Postfächer verschlüsselt gespeichert.

Integrität

• Eingabekontrolle: Protokoll wichtiger Aktionen mit Person und Zeitpunkt; Vier-Augen-Freigabe für Rechnungen.
• Weitergabekontrolle: Übertragung nur verschlüsselt; Exporte nur für berechtigte Rollen; Prüfung von Dateityp und Größe beim Hochladen.

Verfügbarkeit und Belastbarkeit

• Tägliche Datensicherung von Datenbank und Dateien, bis zu acht Wochen aufbewahrt; zusätzliche Sicherung vor größeren Änderungen.
• Zeitnahe Sicherheitsupdates von Betriebssystem, PHP und Programmbibliotheken.

Regelmäßige Überprüfung

• Automatisierte Tests bei jeder Änderung (unter anderem Mandantentrennung, Rechte, Vier-Augen-Prinzip).
• Regelmäßige Sicherheitsprüfungen der Anwendung; datenschutzfreundliche Voreinstellungen (keine Tracker, nur technisch notwendige Cookies).

Anlage 2 – Unterauftragsverarbeiter