Quittix

Vertragsparteien

Dieser Vertrag wird geschlossen zwischen dem Verein bzw. der Organisation, für die in Quittix ein Vereinskonto geführt wird und deren vertretungsberechtigte Person diesen Vertrag annimmt (Name und Anschrift ergeben sich aus den Stammdaten des Vereinskontos) – nachfolgend „Verantwortlicher“ oder „Verein“ –

und der friendworx gruppe UG (haftungsbeschränkt), Marktplatz 15, 93413 Cham, vertreten durch den Geschäftsführer Albert Fischer, eingetragen im Handelsregister des Amtsgerichts Regensburg unter HRB 12966, USt-IdNr. DE281511496, E-Mail service@friendworx.com, Telefon 09971-8899995 – nachfolgend „Auftragsverarbeiter“ oder „Anbieter“.

Der Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus der Nutzung der Vereinsverwaltung „Quittix“ (www.quittix.de) gemäß Art. 28 DSGVO.

Vertragsschluss: Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO), indem eine vertretungsberechtigte Person des Vereins ihn bei der Registrierung oder in der Anwendung annimmt. Quittix protokolliert dabei Dokument, Version, Zeitpunkt und annehmende Person. Vereins-Administratoren können den Nachweis und diesen Vertrag mit den Daten ihres Vereins jederzeit unter „Einstellungen → Datenschutz (DSGVO) → Vertragsunterlagen“ abrufen und ausdrucken.

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung und des Betriebs der webbasierten Vereinsverwaltung „Quittix“ (Software as a Service) nach Maßgabe der Nutzungsbedingungen (nachfolgend „Hauptvertrag“).

(2) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet mit Beendigung des Hauptvertrags, ohne dass es einer gesonderten Kündigung bedarf; Regelungen, die ihrer Natur nach fortwirken (insbesondere § 11), bleiben unberührt.

(3) Bei Widersprüchen gehen die Regelungen dieses Vertrags denen des Hauptvertrags vor, soweit es um den Schutz personenbezogener Daten geht.

§ 2 Art und Zweck der Verarbeitung

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen eine Software zur Vereinsverwaltung zur Verfügung und verarbeitet dabei die vom Verantwortlichen und dessen Benutzern eingegebenen Daten. Die Verarbeitung umfasst insbesondere das Erheben, Erfassen, Speichern, Organisieren, Anzeigen, Übermitteln (z. B. per E-Mail), Sichern, Wiederherstellen und Löschen von Daten.

(2) Zwecke der Verarbeitung sind die Bereitstellung folgender Funktionen für den Verein: Verwaltung von Mitgliedern und Kontakten; Rechnungen, wiederkehrende Rechnungen, E-Rechnungen und Beitragsabrechnungen; SEPA-Lastschriftdateien und Vorabankündigungen; Zuwendungsbestätigungen; Kassenbuch; Exporte (z. B. für das Steuerbüro); Sponsorenverwaltung; Dokumentenablage und Satzung; Termine und Veranstaltungen einschließlich Kalender-Abo und öffentlichem Terminkalender; Fotogalerie einschließlich Einwilligungs- und Entfernungsverwaltung; Ehrungen; Aufgaben; Module für Schützenvereine (u. a. Schießbücher, Schießnachweise, Aufsichtspersonen und Standdienst, Einwilligungen von Sorgeberechtigten, Schießstand-Prüfungen und Bücher, Königsschießen, Altersklassen, Startrecht, Böllergruppe); Mannschaften, Gruppen, Abteilungen und Kurse mit Terminen, Zu- und Absagen, Anwesenheit, Fahrgemeinschaften, Anmeldungen und Wartelisten; Elternkonten (Handeln von Erziehungsberechtigten für ihre Kinder); Kegelclub (Ergebnisse, Strafen, Club- und Ausflugskasse); Qualifikationen und Fristen; Arbeitsstunden; Schiedsrichterwesen (Register, Spielleitungen, Schiedsrichter-Soll); Spartenbeiträge und Übersichten für die Abteilungsleitung; Vergabe von Plätzen (z. B. Liegeplätze, Winterlager, Spinde) mit Wartelisten und Objektregister; Inventar und Ausleihe; Buchung von Anlagen durch Mitglieder; Zählerstände und Verbrauchsabrechnung je Parzelle; Fangbuch, Erlaubnisscheine, Besatz und Fangstatistik; Kartenreservierung für Veranstaltungen; Pferderegister mit Impf- und Pflegeterminen; Häs-Verwaltung mit Leihhäs, Häskauf und Häsabnahme; Narrenfahrplan mit Anmeldung zu Ausfahrten; Plakettenverkauf; Benachrichtigungen in der Anwendung; Nachrichten; Mitglieder-Selfservice-Portal und Mitglieder-App; Anmeldung per Passwort, Einmalcode und Zwei-Faktor-Anmeldung; Datenexport und Löschfunktionen; Versand systembezogener E-Mails; Datensicherung; technische Wartung, Fehleranalyse und Support.

(3) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zu den vorgenannten Zwecken und nicht für eigene Zwecke, insbesondere nicht zu Werbe- oder Analysezwecken.

(4) Die Speicherung der Daten (Anwendung, Datenbank, Dateien, Datensicherungen) erfolgt ausschließlich in Deutschland. Beim E-Mail-Versand und bei der Support-Kommunikation per E-Mail kann eine Verarbeitung durch Unterauftragsverarbeiter auch in Drittländern erfolgen; dies richtet sich nach § 7, Anlage 2 und Art. 44 ff. DSGVO.

§ 3 Art der Daten und Kategorien betroffener Personen

(1) Arten personenbezogener Daten:

• Stammdaten (z. B. Name, Vorname, Anrede, Mitgliedsnummer, Eintritts-/Austrittsdatum, Mitgliedsstatus)
• Kontaktdaten (z. B. Anschrift, E-Mail-Adresse, Telefonnummer)
• Geburtsdaten
• Bank- und Beitragsdaten (z. B. IBAN, BIC, Kontoinhaber, SEPA-Mandatsdaten, Beitragshöhe, Zahlungsstatus)
• Spendendaten (z. B. Betrag, Datum, Art der Zuwendung, Zuwendungsbestätigungen)
• Rechnungs-, Lastschrift- und Kassendaten
• Funktionen und Ämter im Verein, Ehrungen
• Angaben zu Schießleistungen und Trainings (Module für Schützenvereine); soweit freigeschaltet, Angaben zu Waffen und Munition; Schießnachweise; Angaben zu Aufsichtspersonen (Sachkunde, Eignung für die Jugendarbeit, Anzeige bzw. Registrierung); Einwilligungen von Sorgeberechtigten für das Schießen Minderjähriger; Einträge in Bücher am Schießstand einschließlich Verbandbuch (siehe § 4); Ergebnisse und Titel beim Königsschießen; Startrechte (Disziplin, Erst- bzw. Zweitverein, Schützenausweis-Nummer); Angaben der Böllergruppe (Erlaubnis nach § 27 SprengG mit Nummer, Behörde und Gültigkeit, Haftpflichtnachweis, Böller mit Beschussfristen, Erwerb und Verbrauch von Schwarzpulver, Auftritte mit Teilnehmenden und Anzeige an Polizei und Gemeinde)
• Zugehörigkeit zu Mannschaften, Gruppen, Abteilungen und Kursen (Rolle, Rückennummer, Position, Fachverband), Termine, Zu- und Absagen mit Bemerkung, Anwesenheit, Fahrgemeinschaften (Fahrer, Abfahrtsort und -zeit, Mitfahrende), Kursanmeldungen, Wartelistenplätze und Zahlungsstatus von Teilnahmegebühren
• Verknüpfung von Kindern mit ihren Erziehungsberechtigten (Elternkonten)
• Qualifikationen und Nachweise (z. B. Lizenzen, Erste-Hilfe-Nachweise, Scheine, Versicherungen, Spielberechtigungen mit Nummer und Gültigkeit) sowie Vermerke über die Einsichtnahme in erweiterte Führungszeugnisse (siehe § 4)
• Arbeitsstunden (Tätigkeit, Datum, Dauer, Bestätigungsstatus, Befreiungen, berechnetes Ersatzgeld)
• Schiedsrichtertätigkeit (Lizenz- bzw. Ausweisnummer, Stufe, Beginn, Datum und Anzahl der Spielleitungen)
• Platzvergaben (z. B. Liegeplatz, Winterlager, Spind) mit Saison und Gebühr, Wartelisten, Objekte von Mitgliedern (z. B. Boote mit Typ, Kennzeichen bzw. Segelnummer, Maßen, Versicherer und Versicherungsablauf)
• Inventar und Ausleihen (Gegenstand, Ausleihende Person oder Gruppe, Ausgabe- und Rückgabedatum)
• Buchungen von Anlagen (Anlage, Zeitraum, Mitspielende, Name von Gästen, Gastgebühr)
• Zählerstände und Verbräuche je Parzelle; Fänge (Datum, Gewässer, Fischart, Anzahl, Länge, Gewicht), Erlaubnisscheine und Besatz; Kartenreservierungen (Name, ggf. Telefon und E-Mail, Anzahl, Kategorie, Preis, Bezahl- und Abholstatus, Tisch); Pferde von Mitgliedern (Name, Rasse, Geschlecht, Geburtsjahr, Lebens- und Transpondernummer, Box, Versicherungsablauf, Impf-, Wurmkur- und Hufschmiedtermine)
• Häs (Figur, Häs- und Maskennummer, Größe, Eigentum, Träger, Kaufpreis, Zahlungen), Leihhäs je Saison (Gebühr, Kaution, Ausgabe, Rückgabe), Ergebnis der Häsabnahme; Anmeldungen zu Ausfahrten (Teilnehmergruppe, Gebühr, Anreise, Zustieg, Bus, Bezahl- und Teilnahmestatus, Minderjährigkeit, Einverständnis der Eltern mit Zeitpunkt, Name und Telefon einer Aufsichtsperson, Name von Gästen); Ausgabe und Abrechnung von Plaketten (Verkäufer oder Verkaufsstelle, Anzahl, Betrag)
• Kegelergebnisse, Strafen und Kassenbuchungen je Mitglied
• Benachrichtigungen in der Anwendung
• Fotos und Bildaufnahmen einschließlich Personenmarkierungen, Foto-Einwilligungen und Anträgen auf Entfernung
• Einwilligungen und deren Verlauf
• Dokumente und deren Inhalte
• Termine, Teilnahmen, Aufgaben; Sponsoren- und Vertragsdaten (Ansprechpartner, Vertragsinhalte, Zahlungen, Kontaktverlauf)
• Nachrichteninhalte
• Zugangs- und Nutzungsdaten (z. B. Benutzerkennung, Passwort-Hash, Zwei-Faktor-Kennung, Passkeys (öffentlicher Schlüssel, Kennung, Bezeichnung, Zeitpunkt der letzten Nutzung), Einmalcodes einschließlich IP-Adresse und Browserkennung, Anmeldezeitpunkte, Änderungsprotokolle, Kalender-Abo-Schlüssel, Nachweise über angenommene Vertragsversionen, technische Fehlerprotokolle)

(2) Kategorien betroffener Personen:

• Mitglieder (aktive, passive, ehemalige) sowie Interessenten
• minderjährige Mitglieder und deren gesetzliche Vertreter (einschließlich Erziehungsberechtigter mit Elternkonto)
• Trainer, Übungsleiter, Betreuer, Aufsichtspersonen und sonstige ehrenamtlich Tätige
• Teilnehmende an Kursen und Fahrten, Gäste bei Platzbuchungen und Ausfahrten, Aufsichtspersonen minderjähriger Teilnehmender, Besteller von Eintrittskarten, Plakettenverkaufsstellen sowie externe Ausleihende
• Vorstands- und Funktionsträger sowie sonstige Benutzer des Vereins
• Spender und Förderer
• Kunden und sonstige Kontakte (z. B. Lieferanten, Sponsoren, Ansprechpartner anderer Vereine/Verbände)
• auf Fotos und in Dokumenten abgebildete oder genannte Personen

§ 4 Besonders schutzbedürftige Daten

(1) Soweit der Verantwortliche Module für Schützenvereine nutzt, in denen Angaben zum Waffenbesitz erfasst werden können, sind diese wegen des Missbrauchsrisikos als besonders schutzbedürftig zu behandeln. Der Verantwortliche erfasst dort nur die erforderlichen Angaben, beschränkt den Zugriff über die Rollen- und Rechteverwaltung auf die zuständigen Funktionsträger und speichert keine Angaben zu Aufbewahrungsorten von Waffen und Munition.

(2) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Gesundheitsdaten) sind nicht Gegenstand der vorgesehenen Verarbeitung. Erfasst der Verantwortliche solche Daten dennoch (z. B. in Freitextfeldern oder Dokumenten), stellt er die Rechtmäßigkeit sicher und informiert den Auftragsverarbeiter, damit erforderliche zusätzliche Maßnahmen abgestimmt werden können.

(2a) Verbandbuch: Im Schützen-Modul können Erste-Hilfe-Leistungen dokumentiert werden (Verbandbuch). Diese Einträge können Gesundheitsdaten (Art. 9 DSGVO) enthalten. Sie sind nur für Benutzer mit Bearbeitungsrecht im Modul sichtbar. Der Verantwortliche stellt die Rechtsgrundlage sicher und beschränkt die Einträge auf das Erforderliche (Zeitpunkt, Hergang, Art der Verletzung, Erste-Hilfe-Maßnahme, Ersthelfer, Zeugen).

(2b) Erweitertes Führungszeugnis: Die Anwendung dokumentiert ausschließlich die Einsichtnahme nach § 72a Abs. 5 SGB VIII (Datum der Einsichtnahme, Ausstellungsdatum des Zeugnisses, einsehende Person, Wiedervorlage, Ende der Tätigkeit). Kopien und Inhalte des Zeugnisses werden nicht gespeichert. Der Vermerk ist nur für Benutzer mit Bearbeitungsrecht im Modul „Qualifikationen & Fristen“ sowie für die betroffene Person sichtbar und wird spätestens sechs Monate nach dem eingetragenen Ende der Tätigkeit automatisch gelöscht.

(3) Die Daten minderjähriger Mitglieder werden mit besonderer Sorgfalt behandelt; der Verantwortliche stellt sicher, dass erforderliche Einwilligungen der gesetzlichen Vertreter vorliegen (insbesondere für Fotos und das Schießen Minderjähriger). Erziehungsberechtigte mit Elternkonto sehen nur die Termine, Gruppen, Anmeldungen und Nachweise ihrer verknüpften Kinder. Die Anwendung bietet hierfür eine Einwilligungsverwaltung einschließlich Erfassung von Einwilligungen in Papierform.

§ 5 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in ein Drittland, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats hierzu verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Die Weisungen werden durch den Hauptvertrag, diesen Vertrag und die Nutzung der in der Software bereitgestellten Funktionen durch den Verantwortlichen (z. B. Anlegen, Ändern, Löschen, Exportieren von Daten, Versand von Nachrichten) erteilt. Darüber hinausgehende Weisungen erteilen die in Anlage 3 genannten Personen in Textform (z. B. E-Mail).

(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Durchführung der Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

§ 6 Pflichten des Auftragsverarbeiters, Vertraulichkeit, Sicherheit

(1) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Zugriff auf die Daten seitens des Auftragsverarbeiters hat derzeit ausschließlich dessen Geschäftsführer. Werden weitere Personen eingesetzt, werden diese vor Aufnahme ihrer Tätigkeit zur Vertraulichkeit verpflichtet.

(2) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen gemäß Anlage 1. Die Maßnahmen unterliegen dem technischen Fortschritt; der Auftragsverarbeiter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und in Anlage 1 veröffentlicht.

(3) Der Auftragsverarbeiter stellt die Trennung der Daten des Verantwortlichen von den Daten anderer Kunden (Mandantentrennung) sicher.

(4) Der Auftragsverarbeiter fertigt Kopien der Daten nur an, soweit dies zur ordnungsgemäßen Leistungserbringung (z. B. Datensicherung) oder aufgrund gesetzlicher Pflichten erforderlich ist.

(5) Ansprechpartner für Datenschutzfragen ist Albert Fischer, service@friendworx.com, Telefon 09971-8899995. Ein Datenschutzbeauftragter ist beim Auftragsverarbeiter nicht benannt, da die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nicht vorliegen.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt seine allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Unterauftragsverarbeiter). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vorab in Textform (E-Mail an die Vereins-Administratoren und Hinweis in der Anwendung) über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann keine Einigung erzielt werden, ist der Verantwortliche berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung zu kündigen.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Bei Unterauftragsverarbeitern außerhalb der EU/des EWR stellt er sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(4) Keine Unterauftragsverarbeitung sind Nebenleistungen, bei denen keine personenbezogenen Inhaltsdaten des Verantwortlichen verarbeitet werden, insbesondere die reine DNS-Auflösung der Domain durch Cloudflare, Inc. (keine Weiterleitung des Datenverkehrs). Sie werden in Anlage 2 der Transparenz halber gesondert aufgeführt.

(5) Hinterlegt der Verantwortliche einen eigenen SMTP-Server für den E-Mail-Versand, ist dessen Betreiber kein Unterauftragsverarbeiter des Auftragsverarbeiters; Auswahl und vertragliche Einbindung obliegen dem Verantwortlichen.

§ 8 Unterstützungspflichten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO). Dies geschieht vorrangig über die Funktionen der Software (z. B. Anzeige, Berichtigung, Export und Löschung von Datensätzen, Auskunftsexport).

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, sofern nicht anders vereinbart.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(4) Unterstützungsleistungen sind während der unentgeltlichen Beta-Phase kostenfrei. Danach kann der Auftragsverarbeiter für Leistungen, die über die Funktionen der Software hinausgehen, eine angemessene Vergütung verlangen, sofern er dies vorab ankündigt und die Leistung nicht durch einen Verstoß des Auftragsverarbeiters veranlasst ist.

§ 9 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO). Die Meldung erfolgt an die im Vereinskonto hinterlegte E-Mail-Adresse bzw. an die Vereins-Administratoren.

(2) Die Meldung enthält, soweit bekannt, insbesondere eine Beschreibung der Art der Verletzung, der Kategorien und ungefähren Zahl der betroffenen Personen und Datensätze, der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Maßnahmen. Informationen, die nicht zeitgleich bereitgestellt werden können, werden unverzüglich nachgereicht.

(3) Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich hierzu mit dem Verantwortlichen ab. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen dem Verantwortlichen.

§ 10 Kontrollrechte des Verantwortlichen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von diesem beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchgeführt werden (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis kann vorrangig durch Selbstauskünfte, die Dokumentation der technischen und organisatorischen Maßnahmen (Anlage 1) sowie Nachweise der Unterauftragsverarbeiter (z. B. Zertifikate des Rechenzentrumsbetreibers) erbracht werden. Vor-Ort-Kontrollen sind mit einer Vorlaufzeit von mindestens vier Wochen anzukündigen und während der üblichen Geschäftszeiten ohne vermeidbare Störung des Betriebs durchzuführen. Eine Inspektion der Rechenzentren der Unterauftragsverarbeiter richtet sich nach deren Bedingungen.

(3) Jede Partei trägt die ihr durch eine Kontrolle entstehenden Kosten selbst. Für mehr als eine Vor-Ort-Kontrolle pro Kalenderjahr kann der Auftragsverarbeiter einen angemessenen Ausgleich seines Aufwands verlangen, es sei denn, die Kontrolle ist durch einen konkreten Verdacht eines Verstoßes veranlasst.

§ 11 Löschung und Rückgabe nach Vertragsende

(1) Der Verantwortliche kann seine Daten jederzeit, auch innerhalb von 30 Tagen nach Beendigung des Hauptvertrags, vollständig exportieren (Gesamtexport im JSON-Format oder als ZIP-Archiv mit CSV-Dateien sowie Exporte einzelner Bereiche, z. B. Belege als PDF und E-Rechnung).

(2) Nach Ablauf dieser Frist löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Verantwortlichen, sofern nicht nach dem Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Daten in Datensicherungen werden im Rahmen des regulären Sicherungszyklus automatisch gelöscht (auf dem Server nach 14 Tagen, in der verschlüsselten externen Sicherung nach 30 Tagen). Beauftragt der Verantwortliche in der Anwendung die Löschung seines Vereins, werden die Daten nach einer Wiederherstellungsfrist von 30 Tagen endgültig gelöscht; die Löschung wird protokolliert.

(3) Der Auftragsverarbeiter bestätigt dem Verantwortlichen die Löschung auf Anfrage in Textform.

(4) Auf Weisung des Verantwortlichen werden Daten auch während der Vertragslaufzeit gelöscht, soweit die Software hierfür keine eigene Funktion vorsieht.

§ 12 Haftung

(1) Für die Haftung der Parteien gegenüber betroffenen Personen gilt Art. 82 DSGVO; sie wird durch diesen Vertrag und den Hauptvertrag nicht beschränkt.

(2) Im Innenverhältnis haftet jede Partei für Schäden, die auf einer ihr zuzurechnenden Verletzung dieses Vertrags oder datenschutzrechtlicher Vorschriften beruhen (vgl. Art. 82 Abs. 5 DSGVO). Im Übrigen gelten im Innenverhältnis die Haftungsregelungen des Hauptvertrags.

§ 13 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, einschließlich der Zulässigkeit der Erhebung und Eingabe der Daten, sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er informiert die betroffenen Personen gemäß Art. 13, 14 DSGVO über die Verarbeitung; ein Mustertext für die Mitgliederinformation ist beim Anbieter erhältlich.

(2) Der Verantwortliche vergibt Zugänge und Rechte in der Software nach dem Grundsatz der Erforderlichkeit und hält Zugangsdaten geheim.

(3) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 14 Schlussbestimmungen

(1) Änderungen dieses Vertrags werden dem Verantwortlichen mindestens sechs Wochen vor ihrem Inkrafttreten in Textform mitgeteilt und in der Anwendung zur Annahme vorgelegt; sie werden mit der Annahme wirksam. Änderungen der Anlagen 1 und 2 richten sich nach § 6 Abs. 2 und § 7 Abs. 2.

(2) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt die gesetzliche Regelung, insbesondere Art. 28 DSGVO.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Ist der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Gerichtsstand der Sitz des Auftragsverarbeiters (Cham); im Übrigen gelten die gesetzlichen Gerichtsstände.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Systemüberblick: Virtueller Server bei der Hetzner Online GmbH im Rechenzentrum Falkenstein (Deutschland); verschlüsselte Datensicherungen zusätzlich auf einem getrennten Speicher (Hetzner Storage Box, Deutschland). Die Software Supabase (Open Source; PostgreSQL-Datenbank, Authentifizierung, Dateispeicher) wird selbst auf diesem Server betrieben; es findet keine Datenübermittlung an deren Hersteller statt. DNS über Cloudflare ohne Weiterleitung des Datenverkehrs. E-Mail-Versand über Hostinger per SMTP mit TLS oder über einen vereinseigenen SMTP-Server.

1. Vertraulichkeit – Zutrittskontrolle:

• Physische Sicherung der Server durch den Rechenzentrumsbetreiber Hetzner gemäß dessen Sicherheitskonzept (Zutrittsregelungen, Überwachung).
• Keine eigenen Serverräume; personenbezogene Daten der Vereine werden nicht auf lokalen Geräten des Anbieters gespeichert.

2. Vertraulichkeit – Zugangskontrolle:

• Firewall: von außen sind ausschließlich die Ports für SSH (22) und HTTP/HTTPS (80/443) erreichbar; Datenbank und Verwaltungsoberflächen sind nicht öffentlich erreichbar.
• Administrativer Serverzugang ausschließlich per SSH-Schlüssel; Passwort-Anmeldung deaktiviert; automatische Sperre nach wiederholten Fehlversuchen (fail2ban).
• Benutzerpasswörter werden ausschließlich als bcrypt-Hash gespeichert; Mindestlänge 10 Zeichen.
• Anmeldung per Passkey (WebAuthn/FIDO2): Auf dem Server wird nur der öffentliche Schlüssel gespeichert; der private Schlüssel verbleibt auf dem Gerät bzw. im Passwortmanager des Benutzers. Passkeys sind an die Domain quittix.de gebunden und dadurch gegen Phishing geschützt.
• Zwei-Faktor-Anmeldung (TOTP) für alle Benutzer der Vereinsverwaltung verfügbar; ist sie aktiviert, wird sie auch auf Datenbankebene durchgesetzt.
• Mitglieder-Anmeldung per Einmalcode: 10 Minuten gültig, nach 5 Fehlversuchen ungültig, höchstens 3 Codes je E-Mail-Adresse in 15 Minuten; gespeichert wird nur ein Hash.
• Automatische Sicherheitsupdates des Betriebssystems; Updates der Anwendungsdienste nach Prüfung und vorheriger Datensicherung.

3. Vertraulichkeit – Zugriffskontrolle und Trennung:

• Rollen- und Rechtekonzept je Verein (z. B. Administrator, Kassenwart, Mitglied); Mitglieder sehen im Selfservice-Portal nur die für sie freigegebenen Daten.
• Mandantentrennung durch Row-Level-Security der Datenbank: Jede Abfrage wird serverseitig auf die Daten des eigenen Vereins beschränkt; regelmäßige automatisierte Prüfung, dass keine Tabelle oder Ansicht diese Regeln umgeht.
• Administrativer Zugriff des Anbieters auf Server und Datenbank ausschließlich durch den Geschäftsführer und nur, soweit für Betrieb, Fehlerbehebung oder auf Weisung erforderlich.
• Content-Security-Policy und weitere Sicherheits-Header im Browser; keine Einbindung von Drittanbieter-Diensten, keine Tracking- oder Werbe-Cookies.

4. Integrität – Weitergabe- und Eingabekontrolle:

• Sämtliche Verbindungen ausschließlich verschlüsselt über HTTPS/TLS (Let’s Encrypt); HSTS aktiv.
• E-Mail-Versand per SMTP mit TLS.
• Änderungsprotokolle für Kontakte, Belege, Kassenbuch, Rechte und Finanzzugriffe (wer, wann, was); IP-Adressen im Kontakt-Änderungsprotokoll werden nach 30 Tagen entfernt, Protokolle nach 3 Jahren gelöscht.
• Datensparsame Anzeige: Mitglieder sehen in Gruppen nur die Namen der anderen Gruppenmitglieder, bei Platzbuchungen anderer Mitglieder nur Vorname und Anfangsbuchstaben des Nachnamens; Geburtsdaten sind nur für Trainer und Verwaltung sichtbar.
• Festschreibung versendeter, gedruckter oder bezahlter Belege sowie geprüfter Kassenbuchbuchungen; Korrekturen nur per Storno.
• Persönliche Zugänge, sodass Änderungen einer Person zugeordnet werden können.
• Technische Fehlermeldungen aus dem Browser werden ohne Inhaltsdaten (E-Mail-Adressen, IBAN, Telefonnummern werden entfernt) gespeichert und nach 90 Tagen gelöscht.

5. Verfügbarkeit, Belastbarkeit und Wiederherstellbarkeit:

• Tägliche Sicherung von Datenbank, Dateien und Konfiguration mit automatischer Lesbarkeitsprüfung; Aufbewahrung auf dem Server 14 Tage.
• Zusätzliche, vor der Übertragung mit AES-256 verschlüsselte Sicherung auf einem getrennten Speicher in Deutschland; Aufbewahrung 30 Tage.
• Monatlicher automatischer Wiederherstellungstest der externen Sicherung.
• Überwachung alle 10 Minuten (Erreichbarkeit, Dienste, Speicherplatz, Alter der Sicherung, Fehlerhäufung) mit Alarmierung per E-Mail; nächtlicher automatischer Funktionstest der Anwendung.
• Maximaler Datenverlust bei Wiederherstellung: Daten seit der letzten Sicherung (höchstens 24 Stunden).
• Vereine können ihre Daten jederzeit vollständig exportieren.

6. Verfahren zur regelmäßigen Überprüfung:

• Überprüfung und Aktualisierung dieser Maßnahmen mindestens jährlich sowie bei wesentlichen technischen Änderungen; zuletzt umfassende Sicherheitsprüfung am 14.10.2026.
• Prüfung der vertraglichen Grundlagen und Drittlandgarantien der Unterauftragsverarbeiter vor Beauftragung und bei Änderungen.
• Festgelegter Ablauf bei Sicherheitsvorfällen: Eindämmung, Bewertung, unverzügliche Information der betroffenen Vereine, Dokumentation.

7. Organisatorische Maßnahmen:

• Minimaler Personenkreis: Zugriff auf Systeme mit personenbezogenen Daten hat seitens des Anbieters ausschließlich der Geschäftsführer.
• Weitere Personen werden vor Aufnahme der Tätigkeit zur Vertraulichkeit verpflichtet und erhalten nur die erforderlichen Rechte.
• Unterauftragsverarbeiter werden nur auf Grundlage eines Vertrags nach Art. 28 DSGVO eingesetzt (Anlage 2).

Anlage 2 – Unterauftragsverarbeiter und sonstige Dienstleister

A. Unterauftragsverarbeiter:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Bereitstellung des Servers (Hosting) für Anwendung, Datenbank und Dateien sowie eines getrennten Speichers für verschlüsselte Datensicherungen; betrifft alle in § 3 genannten Daten. Ort der Verarbeitung: Rechenzentrum Falkenstein, Deutschland.
• Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern – Versand von E-Mails aus der Anwendung (z. B. Einmalcodes, Rechnungen, Lastschrift-Vorabankündigungen, Benachrichtigungen, Nachrichten des Vereins): Empfängeradresse, Name, Betreff, Inhalt und Anhänge, Versand-Metadaten. Ort: EU; Hostinger setzt eigene Unterauftragsverarbeiter auch außerhalb der EU ein, abgesichert durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Rahmen der Auftragsverarbeitungsvereinbarung von Hostinger. Entfällt, wenn der Verein einen eigenen SMTP-Server nutzt.
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Google Workspace) – E-Mail-Postfach service@friendworx.com für Support-Anfragen; betrifft nur Daten, die der Verein dem Support per E-Mail übermittelt. Ort: EU und USA; abgesichert durch die Datenverarbeitungsbedingungen von Google, EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework (Art. 45 DSGVO).
• Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA – nur bei Nutzung des optionalen KI-Hilfeassistenten: Beantwortung von Bedienfragen. Verarbeitet werden die von Benutzern eingegebenen Fragen und der Gesprächsverlauf sowie die aufgerufene Seite; Datenbestände des Vereins (z. B. Mitgliederlisten) werden nicht übermittelt. Ort: USA; Speicherung beim Anbieter nach dessen Angaben bis zu 30 Tage, keine Nutzung zum Training. Abgesichert durch die Auftragsverarbeitungsbedingungen (Data Processing Addendum) des Anbieters mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Benutzer werden im Assistenten darauf hingewiesen, keine personenbezogenen Daten Dritter einzugeben; der Assistent kann vom Anbieter abgeschaltet werden.

B. Sonstige Dienstleister ohne Verarbeitung personenbezogener Inhaltsdaten:

• Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA – DNS-Auflösung der Domain quittix.de. Keine Proxy- oder CDN-Weiterleitung des Datenverkehrs; keine Inhaltsdaten des Vereins.

Anlage 3 – Weisungsberechtigte Personen und Ansprechpartner

• Weisungsberechtigt für den Verein: die vertretungsberechtigten Personen des Vereins sowie die in Quittix als Administrator des Vereins eingetragenen Benutzer.
• Weisungsempfänger und Ansprechpartner beim Auftragsverarbeiter: Albert Fischer (Geschäftsführer), service@friendworx.com, Telefon 09971-8899995.