Vertrag zur Auftragsverarbeitung

Dieser Vertrag nach Art. 28 DSGVO gilt zwischen der Organisation, die FZManager nutzt (Verantwortlicher), und dem Anbieter von FZManager (Auftragsverarbeiter):

Er kommt zusammen mit den Allgemeinen Geschäftsbedingungen bei der Registrierung zustande und gilt, solange der Auftragsverarbeiter Daten für den Verantwortlichen verarbeitet.

Gegenstand ist die Bereitstellung von FZManager: Anmeldeformulare, die Verwaltung von Teilnehmenden und Mitarbeitenden und der Versand von E-Mails für die Freizeiten des Verantwortlichen.

Betroffen sind:

• Teilnehmende der Freizeiten, in der Regel Minderjährige,
• ihre Sorgeberechtigten und Notfallkontakte,
• Mitarbeitende der Freizeiten.

Verarbeitet werden die Daten, die der Verantwortliche abfragt oder einträgt:

• Name, Geburtsdatum, Anschrift, E-Mail-Adresse, Telefonnummer,
• Angaben zu Notfallkontakten,
• Angaben zur Gesundheit wie Allergien, Krankheiten, Medikamente und Ernährung (besondere Kategorien nach Art. 9 DSGVO),
• Status der Anmeldung, Zahlungsvermerk, interne Notizen,
• weitere Antworten auf Fragen, die der Verantwortliche im Formular stellt,
• Inhalt und Zustellstatus der versandten E-Mails samt Anhängen.

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten dieser Vertrag und die Bedienung von FZManager durch die Mitglieder der Organisation. Weitere Weisungen erteilt der Verantwortliche in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit. Eine Verarbeitung zu eigenen Zwecken findet nicht statt.

Der Auftragsverarbeiter und alle Personen, die für ihn Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Zugriff auf Daten des Verantwortlichen nimmt der Auftragsverarbeiter nur, soweit es für Betrieb, Fehlerbehebung oder eine Anfrage des Verantwortlichen nötig ist.

• Alle Verbindungen sind mit TLS verschlüsselt.
• Die Datenbank und gespeicherte Dateien sind auf den Servern verschlüsselt abgelegt.
• Auf die Daten einer Organisation können nur die Mitglieder dieser Organisation zugreifen; die Datenbank erzwingt das für jede Abfrage.
• Passwörter werden nur als Hash gespeichert.
• Familien erreichen ihre eigene Anmeldung über einen langen, zufälligen Link und sehen nur diese.
• Interne Notizen und Zahlungsvermerke werden Familien nicht angezeigt.
• Die Daten werden in Frankfurt am Main gespeichert.

Der Verantwortliche stimmt dem Einsatz dieser Dienstleister zu:

• Supabase, Inc.: Datenbank, Anmeldung und Dateispeicher, Serverstandort Frankfurt am Main.
• Cloudflare, Inc.: Auslieferung der Anwendung. Anfragen werden über das weltweite Netz von Cloudflare geleitet und dort nicht dauerhaft gespeichert.
• Amazon Web Services EMEA SARL: Versand von E-Mails (Amazon SES), Region Frankfurt am Main.

Mit allen bestehen Verträge zur Auftragsverarbeitung. Soweit ein Zugriff aus den USA möglich ist, stützt er sich auf das EU-US Data Privacy Framework und auf Standardvertragsklauseln.

Über einen neuen oder ausgetauschten Dienstleister informiert der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail. Der Verantwortliche kann in dieser Zeit widersprechen; lässt sich der Einwand nicht ausräumen, kann er den Vertrag beenden.

Der Auftragsverarbeiter unterstützt den Verantwortlichen dabei, Anträge auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit zu erfüllen. FZManager stellt dafür die Bearbeitung und Löschung einzelner Anmeldungen und den Export bereit. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage an den Verantwortlichen weiter.

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem er davon erfahren hat, und teilt mit, was er über Art, Umfang und Gegenmaßnahmen weiß. Er unterstützt den Verantwortlichen bei dessen Meldepflichten und bei Datenschutz-Folgenabschätzungen.

Der Verantwortliche kann Anmeldungen, Freizeiten und seine Organisation jederzeit selbst löschen; die Daten werden dabei aus der Datenbank entfernt. Nach Ende des Vertrags löscht der Auftragsverarbeiter verbliebene Daten innerhalb von 30 Tagen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Vorher kann der Verantwortliche seine Daten exportieren.

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen in angemessenem Umfang nach vorheriger Abstimmung. Anfragen gehen an info@fzmanager.de.