Vertrag zur Auftragsverarbeitung

Vertragsparteien

Auftragnehmer (Betreiber des Klubmarkts): Thomas Balven, handelnd unter „Klubmarkt“, Am Scheurenpfad 43 41363 Jüchen, E-Mail: kontakt@klubmarkt.de

Auftraggeber: der Klub (z. B. Verein, Kindergarten, Schule, Förderverein, Elterninitiative oder Trödelgruppe), der sich über die Registrierung auf klubmarkt.de angemeldet hat, mit den Angaben aus der Registrierung (Name des Klubs, Anschrift, vertretungsberechtigte Person, E-Mail). Der Vertrag kommt mit dem Abschluss der Registrierung zustande, bei der der Klub ihm ausdrücklich zustimmt. Zeitpunkt, IP-Adresse und Fassung der Zustimmung werden gespeichert.

Im Folgenden „Auftragnehmer“ und „Auftraggeber“, zusammen „Parteien“. Der Auftraggeber wird auch kurz „Klub“ genannt.

1. Einleitung, Geltungsbereich, Definitionen

1.1. Dieser Vertrag regelt die Rechte und Pflichten der Parteien bei der Verarbeitung personenbezogener Daten im Auftrag im Sinne des Art. 28 der Verordnung (EU) 2016/679 (im Folgenden „DSGVO“).

1.2. Er gilt für alle Tätigkeiten, bei denen der Auftragnehmer oder durch ihn beauftragte Unterauftragnehmer (Subunternehmer) personenbezogene Daten des Auftraggebers verarbeiten.

1.3. Begriffe sind entsprechend ihrer Definition in der DSGVO zu verstehen. Erklärungen nach diesem Vertrag können in Textform (z. B. E-Mail) abgegeben werden, soweit eine angemessene Nachweisbarkeit gewährleistet ist.

2. Gegenstand und Dauer der Verarbeitung

2.1. Der Auftragnehmer betreibt für den Auftraggeber einen geschlossenen Online-Marktplatz („Klubmarkt“) für Mitglieder des Klubs. Er erhebt, speichert, stellt bereit, übermittelt und löscht dabei die in Ziffer 3 genannten Daten der Betroffenen, damit die Mitglieder Inserate einstellen, ansehen und sich Nachrichten schreiben können.

2.2. Die Verarbeitung beruht auf dem zwischen den Parteien geschlossenen Nutzungsvertrag über den Klubmarkt nach den Allgemeinen Geschäftsbedingungen des Auftragnehmers (im Folgenden „Hauptvertrag“).

2.3. Die Verarbeitung beginnt mit der Freischaltung des Klubmarkts für den Auftraggeber und erfolgt auf unbestimmte Zeit bis zur Beendigung dieses Vertrags oder des Hauptvertrags.

3. Art und Zweck der Datenverarbeitung

3.1. Der Auftragnehmer stellt dem Auftraggeber die Software und den Betrieb des Klubmarkts bereit. Er hat dabei technischen Zugriff auf die Daten, die Mitglieder des Auftraggebers im Klubmarkt speichern.

3.2. Die Verarbeitung erfolgt durch Speichern, Bereitstellen, Übermitteln, Sichern und Löschen der Daten.

3.3. Der Auftraggeber ist ein Klub (z. B. Verein, Kindergarten, Schule, Förderverein, Elterninitiative oder Trödelgruppe), der seinen Mitgliedern und deren Eltern einen klubinternen Marktplatz für gebrauchte Kleidung und Ausrüstung anbietet. Mitglieder sind bei Kindergärten, Schulen und ähnlichen Klubs die teilnehmenden Familien. Zweck der Verarbeitung ist der Betrieb dieses Marktplatzes. Interesse des Auftraggebers ist es, den Mitgliedern die Weitergabe von Kleidung und Ausrüstung (z. B. Klubkleidung und Sportausrüstung) zu erleichtern, ohne eine eigene Technik betreiben zu müssen.

3.4. Folgende Kategorien personenbezogener Daten werden verarbeitet:

• Kontodaten: Name, E-Mail-Adresse, Passwort (nur als Hash gespeichert), Rolle im Klubmarkt
• Optionale Angaben: Telefonnummer, Abteilung, Zeiten, zu denen das Mitglied vor Ort anzutreffen ist
• Inhaltsdaten: Inserate (Titel, Beschreibung, Preis, Größe, Fotos), Nachrichten zwischen Mitgliedern, Merklisten, Meldungen zu Inseraten
• Nutzungs- und Protokolldaten: IP-Adresse, Zeitpunkte von Anmeldungen, technische Protokolle des Servers

3.5. Von der Verarbeitung betroffen sind Mitglieder des Auftraggebers und deren Eltern oder Sorgeberechtigte sowie sonstige Personen, die der Klub zur Nutzung des Klubmarkts zulässt (z. B. Trainer, Betreuer). Kinder sind nicht ausdrücklich Gegenstand der Verarbeitung, es werden keine Namen von Kindern abgefragt. Eigene Konten sind ab 18 Jahren vorgesehen. Minderjährige nutzen den Klubmarkt über das Konto einer sorgeberechtigten Person.

3.6. Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO (z. B. Gesundheitsdaten) sollen nicht verarbeitet werden. Der Auftraggeber weist seine Mitglieder in den Spielregeln darauf hin, solche Daten nicht in Inseraten oder Nachrichten anzugeben.

4. Pflichten des Auftragnehmers

4.1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich wie vertraglich vereinbart oder wie vom Auftraggeber angewiesen, es sei denn, er ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. Besteht eine solche Verpflichtung, teilt er sie dem Auftraggeber vor der Verarbeitung mit, es sei denn, die Mitteilung ist ihm gesetzlich verboten. Er verwendet die Daten nicht für eigene Zwecke. Davon unberührt bleibt die Prüfung gemeldeter Inhalte nach Ziffer 4.11.

4.2. Der Auftragnehmer bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind. Er beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung.

4.3. Der Auftragnehmer wahrt bei der Verarbeitung die Vertraulichkeit.

4.4. Personen, die Kenntnis von den im Auftrag verarbeiteten Daten erhalten können, verpflichten sich zur Vertraulichkeit, soweit sie nicht bereits gesetzlich zur Verschwiegenheit verpflichtet sind. Zurzeit hat nur der Auftragnehmer selbst Zugriff auf die Daten.

4.5. Der Auftragnehmer stellt sicher, dass die bei ihm zur Verarbeitung eingesetzten Personen mit den Bestimmungen des Datenschutzes und dieses Vertrags vertraut sind.

4.6. Der Auftragnehmer unterstützt den Auftraggeber bei der Erstellung und Fortschreibung des Verzeichnisses von Verarbeitungstätigkeiten und bei Datenschutz-Folgenabschätzungen, soweit sie die Verarbeitung im Auftrag betreffen.

4.7. Wird der Auftraggeber durch Aufsichtsbehörden oder andere Stellen kontrolliert oder machen betroffene Personen ihm gegenüber Rechte geltend, unterstützt der Auftragnehmer ihn im erforderlichen Umfang, soweit die Verarbeitung im Auftrag betroffen ist.

4.8. Auskünfte an Dritte oder Betroffene erteilt der Auftragnehmer nur nach vorheriger Zustimmung des Auftraggebers. Direkt an ihn gerichtete Anfragen leitet er unverzüglich an den Auftraggeber weiter.

4.9. Datenschutzbeauftragter: Nach derzeitiger Einschätzung ist der Auftragnehmer nicht zur Benennung eines Datenschutzbeauftragten verpflichtet. Ansprechpartner ist Thomas Balven, handelnd unter „Klubmarkt“, kontakt@klubmarkt.de.

4.10. Die Verarbeitung erfolgt innerhalb der EU, des EWR oder in Staaten, für die ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO gilt. Eine Verlagerung in ein Drittland erfolgt nur mit Zustimmung des Auftraggebers und unter den Bedingungen von Kapitel V DSGVO.

4.11. Gemeldete Inhalte: Meldet jemand einen Inhalt als rechtswidrig (z. B. über das Meldeformular auf klubmarkt.de), informiert der Auftragnehmer zunächst den Klub und bittet um Zustimmung, den gemeldeten Inhalt (Inserat, Text, Fotos) ansehen und prüfen zu dürfen. Der Klub kann die Meldung auch selbst prüfen und den Inhalt entfernen. Ohne Zustimmung darf der Auftragnehmer den gemeldeten Inhalt nur ansehen, prüfen und den Zugriff darauf einschränken, wenn die Rechtswidrigkeit offensichtlich ist, wenn Gefahr im Verzug besteht oder wenn er dazu gesetzlich oder behördlich verpflichtet ist (z. B. als Anbieter eines Hostingdienstes). In diesen Fällen informiert er den Klub unverzüglich. Der Auftragnehmer protokolliert jeden Zugriff, das Protokoll ist für den Klub sichtbar. Eine anlasslose, dauerhafte Durchsicht der Inhalte und ein Lesen privater Nachrichten ohne konkreten Anlass finden nicht statt.

5. Technische und organisatorische Maßnahmen

5.1. Die in Anlage 1 beschriebenen Maßnahmen gelten als verbindlich. Sie definieren das vom Auftragnehmer geschuldete Minimum.

5.2. Die Maßnahmen dürfen der technischen Weiterentwicklung entsprechend angepasst werden, solange das vereinbarte Niveau nicht unterschritten wird. Zur Aufrechterhaltung der Informationssicherheit erforderliche Änderungen setzt der Auftragnehmer unverzüglich um. Wesentliche Änderungen teilt er dem Auftraggeber mit.

5.3. Genügen die Sicherheitsmaßnahmen den Anforderungen des Auftraggebers nicht mehr, benachrichtigt der Auftragnehmer den Auftraggeber unverzüglich.

5.4. Die Daten verschiedener Auftraggeber werden voneinander getrennt verarbeitet (Mandantentrennung, siehe Anlage 1).

5.5. Kopien der Daten werden nicht ohne Wissen des Auftraggebers erstellt. Ausgenommen sind technisch notwendige temporäre Kopien und Datensicherungen nach Anlage 1.

5.6. Die Verarbeitung erfolgt auf Servern im Rechenzentrum des Unterauftragnehmers nach Anlage 2. Der Zugriff des Auftragnehmers erfolgt über gesicherte, verschlüsselte Verbindungen von einem durch ihn kontrollierten Arbeitsgerät. Auch bei ortsunabhängigem Arbeiten gelten die Maßnahmen nach Anlage 1.

5.7. Der Auftraggeber darf die Einhaltung dieses Vertrags und der Maßnahmen nach Anlage 1 überprüfen. Er tut das in der Regel durch Auskünfte und Nachweise des Auftragnehmers (z. B. Beschreibung der Maßnahmen, Zertifikate und Nachweise des Unterauftragnehmers). Kontrollen vor Ort sind beim Auftragnehmer nach angemessener Vorankündigung und zu den üblichen Geschäftszeiten möglich, bei den Rechenzentren des Unterauftragnehmers nur im Rahmen dessen Vorgaben. Sie erfolgen höchstens alle 12 Monate, es sei denn, es liegen dringende, dokumentierte Gründe vor.

6. Berichtigung, Löschung und Sperrung von Daten

6.1. Der Auftragnehmer berichtigt, löscht oder sperrt die im Auftrag verarbeiteten Daten nur entsprechend der vertraglichen Vereinbarung oder nach Weisung des Auftraggebers. Die Mitglieder können ihre eigenen Angaben und Inserate im Klubmarkt selbst ändern oder löschen, die Admins des Auftraggebers können Mitglieder sperren und Inserate entfernen.

6.2. Entsprechenden Weisungen folgt der Auftragnehmer jederzeit und auch über die Beendigung dieses Vertrags hinaus, solange er die Daten noch verarbeitet.

7. Unterauftragsverhältnisse

7.1. Der Auftragnehmer darf Subunternehmer einsetzen. Auf Verlangen des Auftraggebers erteilt er Auskunft über die gegenwärtig und in der Vergangenheit eingesetzten Subunternehmer und gewährt Einsicht in die mit ihnen geschlossenen Verträge über die Datenverarbeitung im Auftrag (die Vergütung kann geschwärzt werden).

7.2. Beabsichtigt der Auftragnehmer, einen weiteren Subunternehmer einzusetzen oder einen bestehenden zu ersetzen, informiert er den Auftraggeber mindestens 14 Tage vorher in Textform (z. B. durch E-Mail an die Adresse des Klubs). Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann der Auftraggeber den Vertrag zum Zeitpunkt des Wechsels außerordentlich kündigen.

7.3. Die Verantwortlichkeiten von Auftragnehmer und Subunternehmer sind eindeutig voneinander abzugrenzen. Weitere Unterbeauftragungen durch den Subunternehmer sind nach Maßgabe dieser Ziffer zulässig.

7.4. Der Auftragnehmer wählt Subunternehmer sorgfältig aus, besonders mit Blick auf deren technische und organisatorische Maßnahmen.

7.5. Subunternehmer, die nicht ausschließlich in der EU, im EWR oder in Staaten mit Angemessenheitsbeschluss verarbeiten, dürfen nur unter den Bedingungen der Ziffer 4.10 eingesetzt werden. Der Auftragnehmer teilt dem Auftraggeber mit, welche Garantien der Subunternehmer bietet und wie ein Nachweis erlangt werden kann.

7.6. Der Auftragnehmer überprüft regelmäßig und angemessen die Einhaltung der Pflichten durch den Subunternehmer, dokumentiert die Ergebnisse und legt sie dem Auftraggeber auf Verlangen vor.

7.7. Kommt der Subunternehmer seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer dem Auftraggeber dafür nach Maßgabe von Ziffer 13.

7.8. Zurzeit sind die in Anlage 2 genannten Subunternehmer mit der Verarbeitung betraut.

7.9. Unterauftragsverhältnisse im Sinne dieses Vertrags sind nur Leistungen mit direktem Zusammenhang zur Hauptleistung. Nebenleistungen wie Transport, Wartung, Reinigung oder die Inanspruchnahme von Telekommunikationsdiensten sind nicht erfasst. Die Pflicht, auch dort Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt.

8. Rechte und Pflichten des Auftraggebers

8.1. Für die Beurteilung der Zulässigkeit der Verarbeitung und für die Wahrung der Rechte der Betroffenen ist allein der Auftraggeber verantwortlich. Er informiert seine Mitglieder über die Verarbeitung (Datenschutzerklärung des Klubs) und stellt sicher, dass er die Daten seiner Mitglieder rechtmäßig erhebt und im Klubmarkt verarbeiten lassen darf.

8.2. Der Auftraggeber erteilt Weisungen dokumentiert. Dies kann über den Admin-Bereich des Klubmarkts oder in Textform geschehen. In Eilfällen sind mündliche Weisungen möglich, die er unverzüglich dokumentiert bestätigt.

8.3. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

8.4. Der Auftraggeber ist berechtigt, die Einhaltung der datenschutzrechtlichen Vorschriften und dieses Vertrags nach Ziffer 5.7 zu überprüfen. Der Auftragnehmer erteilt die erforderlichen Auskünfte und führt die erforderlichen Nachweise.

8.5. Kontrollen erfolgen ohne vermeidbare Störungen des Geschäftsbetriebs des Auftragnehmers.

9. Mitteilungspflichten

9.1. Der Auftragnehmer teilt dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich mit, möglichst innerhalb von 48 Stunden ab Kenntnis, an die zuletzt vom Auftraggeber angegebene E-Mail-Adresse. Auch begründete Verdachtsfälle sind mitzuteilen. Die Mitteilung enthält mindestens:

• eine Beschreibung der Art der Verletzung, soweit möglich mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze,
• den Namen und die Kontaktdaten einer Anlaufstelle für weitere Informationen,
• eine Beschreibung der wahrscheinlichen Folgen,
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung.

9.2. Ebenfalls unverzüglich mitzuteilen sind erhebliche Störungen bei der Auftragserledigung sowie Verstöße des Auftragnehmers gegen datenschutzrechtliche Bestimmungen oder diesen Vertrag.

9.3. Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollen oder Maßnahmen von Aufsichtsbehörden, soweit sie Bezug zur Auftragsverarbeitung haben.

9.4. Der Auftragnehmer unterstützt den Auftraggeber bei dessen Pflichten nach Art. 33 und 34 DSGVO im erforderlichen Umfang.

10. Weisungen

10.1. Der Auftraggeber behält sich hinsichtlich der Verarbeitung im Auftrag ein umfassendes Weisungsrecht vor.

10.2. Die zur Erteilung und Annahme von Weisungen befugten Personen sind in Anlage 3 benannt. Bei Wechsel oder längerer Verhinderung teilen die Parteien einander Nachfolger oder Vertreter unverzüglich mit.

10.3. Der Auftragnehmer weist den Auftraggeber unverzüglich darauf hin, wenn eine Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt oder zu einer Haftung des Auftragnehmers führen kann. Er darf die Ausführung aussetzen, bis die Weisung bestätigt oder geändert ist. Zu einer materiell-rechtlichen Prüfung von Weisungen ist er nicht verpflichtet.

11. Beendigung des Auftrags, Rückgabe und Löschung

11.1. Bei Beendigung des Hauptvertrags stellt der Auftragnehmer dem Auftraggeber die im Auftrag verarbeiteten Daten zum Abruf bereit (Datenexport in einem gängigen, maschinenlesbaren Format). Der Auftraggeber kann sie innerhalb von 30 Kalendertagen abrufen. Die Einzelheiten richten sich nach Ziffer 20.7 der Nutzungsbedingungen des Auftragnehmers. Der Datenexport (ZIP-Datei mit allen Mitgliedern, Inseraten, Nachrichten und Fotos) steht dem Admin im Admin-Bereich bereit.

11.2. Danach löscht der Auftragnehmer die Daten des Auftraggebers einschließlich Kopien, spätestens 14 Tage nach Ablauf der Abruffrist; der Auftraggeber wird 14 und 3 Tage vorher per E-Mail an die Kontaktadresse erinnert. Datensicherungen werden im Rahmen ihres regelmäßigen Wechsels überschrieben, spätestens nach 7 Tagen. Der Auftraggeber kann jederzeit die sofortige Löschung verlangen, wenn er auf die Rückgabe verzichtet. Eine Aufbewahrung über das Vertragsende hinaus erfolgt nur, soweit der Auftragnehmer dazu gesetzlich verpflichtet ist (z. B. für Rechnungen), und dann nur für die geforderte Dauer.

11.3. Der Auftragnehmer sorgt dafür, dass auch Unterauftragnehmer die Daten zurückgeben oder löschen, und bestätigt dem Auftraggeber auf Verlangen die Löschung.

11.4. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, bewahrt der Auftragnehmer entsprechend den Aufbewahrungsfristen auch über das Vertragsende hinaus auf.

12. Vergütung

Die Vergütung des Auftragnehmers ist abschließend im Hauptvertrag geregelt. Eine gesonderte Vergütung für diesen Vertrag erfolgt nicht.

13. Haftung

13.1. Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, gelten die gesetzlichen Regelungen (Art. 82 DSGVO).

13.2. Im Verhältnis der Parteien zueinander haftet der Auftragnehmer nur, soweit er seine Pflichten aus diesem Vertrag oder aus der DSGVO verletzt oder rechtmäßige Weisungen des Auftraggebers nicht beachtet hat. Soweit der Schaden auf einer Weisung des Auftraggebers oder auf Daten und Inhalten beruht, für die der Auftraggeber verantwortlich ist, stellt der Auftraggeber den Auftragnehmer im Innenverhältnis nach dem Maß seiner Verantwortung frei (Art. 82 Abs. 5 DSGVO). Im Übrigen gelten für Ansprüche zwischen den Parteien die Haftungsregelungen der Nutzungsbedingungen. Die Parteien informieren sich unverzüglich über geltend gemachte Ansprüche Betroffener und stimmen die Verteidigung ab.

14. Sonderkündigungsrecht

14.1. Der Auftraggeber kann den Hauptvertrag und diesen Vertrag jederzeit ohne Einhaltung einer Frist außerordentlich kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder diesen Vertrag vorliegt, der Auftragnehmer eine rechtmäßige Weisung nicht ausführen kann oder will oder Kontrollrechte des Auftraggebers vertragswidrig verweigert.

14.2. Ein schwerwiegender Verstoß liegt insbesondere vor, wenn der Auftragnehmer die in diesem Vertrag bestimmten Pflichten, besonders die Maßnahmen nach Anlage 1, in erheblichem Maße nicht erfüllt.

14.3. Bei unerheblichen Verstößen setzt der Auftraggeber dem Auftragnehmer eine angemessene Frist zur Abhilfe. Erfolgt die Abhilfe nicht rechtzeitig, ist er zur außerordentlichen Kündigung berechtigt.

15. Sonstiges

15.1. Beide Parteien behandeln Geschäftsgeheimnisse und Datensicherheitsmaßnahmen der jeweils anderen Partei auch über das Vertragsende hinaus vertraulich.

15.2. Wird Eigentum des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (z. B. Pfändung oder Beschlagnahme) oder ein Insolvenzverfahren gefährdet, informiert der Auftragnehmer den Auftraggeber unverzüglich.

15.3. Nebenabreden bedürfen der Textform.

15.4. Ein Zurückbehaltungsrecht des Auftragnehmers an den im Auftrag verarbeiteten Daten ist ausgeschlossen.

15.5. Sollten einzelne Teile dieser Vereinbarung unwirksam sein, berührt dies die Wirksamkeit im Übrigen nicht.

15.6. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

Diese Maßnahmen beschreiben den tatsächlichen Stand des Klubmarkts.

1. Zutrittskontrolle

• Die Daten liegen nicht in Räumen des Auftragnehmers, sondern auf einem gemieteten Server im Rechenzentrum des Unterauftragnehmers (Anlage 2). Zutritt zu den Servern regelt der Unterauftragnehmer. Der Unterauftragnehmer IONOS weist in seinem Auftragsverarbeitungsvertrag eine Zertifizierung nach ISO 27001 aus.

2. Zugangskontrolle

• Serverzugang nur per SSH-Schlüssel. Kein Passwort-Login, kein Root-Login, nur ein berechtigter Benutzer.
• Der private SSH-Schlüssel ist mit einer Passphrase geschützt.
• Firewall: nur die Ports 22 (SSH), 80 und 443 (Web) sind offen. Fail2ban sperrt wiederholte Fehlversuche.
• Automatische Sicherheitsupdates des Betriebssystems sind aktiviert.
• Die Datenbank ist nur lokal auf dem Server erreichbar, nicht aus dem Internet.
• Das Arbeitsgerät des Auftragnehmers ist passwortgeschützt, die Festplatte ist vollständig verschlüsselt (FileVault).

3. Zugriffskontrolle

• Im Klubmarkt gibt es Rollen: Mitglied, Admin des Klubs. Mitglieder sehen nur die Inhalte ihres Klubs, Admins verwalten nur ihren eigenen Klub.
• Der Zugriff auf das Betreiber-Verwaltungsfeld ist zusätzlich geschützt. Nur der Auftragnehmer hat Zugriff.
• Fotos liegen nicht öffentlich im Webverzeichnis. Sie werden nur an angemeldete Mitglieder desselben Klubs ausgeliefert.
• Passwörter werden nur als Hash gespeichert, nicht im Klartext.

4. Weitergabe- und Transportkontrolle

• Die Übertragung zwischen Browser und Server ist per HTTPS (TLS) verschlüsselt, mit Zertifikaten von Let's Encrypt.
• Der Versand von E-Mails (Bestätigung, Passwort zurücksetzen, Benachrichtigungen) erfolgt verschlüsselt (TLS) über den Versanddienst Brevo (Anlage 2).
• Die Anwendung setzt Sicherheits-Header (u. a. Content-Security-Policy), CSRF-Schutz und Begrenzungen bei Anmeldungen und Formularen ein.

5. Eingabekontrolle

• Inserate und Nachrichten sind dem jeweiligen Mitglied zugeordnet. Zeitpunkte von Änderungen werden gespeichert.
• Einsichten des Auftragnehmers in einzelne Inserate über die Verwaltung werden immer protokolliert (Zeitpunkt, Klub, Inserat, Grund, Ticket-Nummer, ohne Inhalte) und sind im Protokoll des Klubs sichtbar.

6. Auftragskontrolle

• Der Auftragnehmer verarbeitet Daten nur nach diesem Vertrag und den Weisungen des Auftraggebers.
• Die eingesetzten Unterauftragnehmer sind vertraglich zum Datenschutz verpflichtet. Mit IONOS besteht ein Auftragsverarbeitungsvertrag (abgeschlossen am 07.04.2026). Mit Brevo besteht ein Auftragsverarbeitungsvertrag, der Teil der Nutzungsbedingungen von Brevo ist (Anhang 3).

7. Verfügbarkeitskontrolle

• Täglich um 03:30 Uhr wird der gesamte Server (Anwendung, Datenbank, Fotos) verschlüsselt auf einen Cloud-Speicher des Unterauftragnehmers IONOS außerhalb des Servers gesichert (IONOS Cloud Backup). Zuvor wird die Datenbank um 02:30 Uhr in eine Sicherungsdatei geschrieben. Es werden die letzten 7 Sicherungen aufbewahrt, ältere werden überschrieben. Die Wiederherstellung aus der Sicherung wurde stichprobenartig getestet (Rückholen einer Datei und Prüfung auf Übereinstimmung).
• Der Server läuft als virtuelle Maschine im Rechenzentrum des Unterauftragnehmers. Der Unterauftragnehmer sagt für den Server eine Verfügbarkeit von 99 % zu.
• Änderungen an der Anwendung werden vor dem Einspielen mit automatisierten Tests geprüft. Die Datenbank wird täglich gesichert (siehe oben), sodass bei einem Fehler beim Einspielen der Stand des Vortags zur Verfügung steht.

8. Trennungsgebot

• Die Daten aller Klubs liegen in einer Datenbank, sind aber logisch getrennt: Jede Zeile gehört zu genau einem Klub, jede Abfrage ist darauf beschränkt. Fehlt der Klub im Zugriff, liefert die Anwendung keine Daten.
• Jeder Klub hat eine eigene Adresse (Subdomain). Hochgeladene Dateien liegen in getrennten Ordnern je Klub.

9. Vernichtung von Daten

• Gelöschte Inserate, Konten und Fotos werden aus der Datenbank und vom Speicher entfernt. Sicherungen werden nach dem Ablauf ihrer Rotation überschrieben (siehe Ziffer 11.2).
• Die Entsorgung und Löschung der Datenträger im Rechenzentrum erfolgt durch den Unterauftragnehmer.

10. Fernwartung

• Es erfolgt keine Fernwartung durch andere Unternehmen. Der Auftragnehmer wartet den Server selbst über SSH.

11. Datenminimierung

• Von Fotos werden beim Hochladen Metadaten (z. B. Standort) entfernt.
• Telefonnummer und Abteilung sind freiwillig.

Anlage 2: Gegenwärtige Subunternehmer

Stripe (Zahlungsabwicklung für das Abonnement des Klubs) verarbeitet die Zahlungsdaten des Klubs in eigener Verantwortung und ist kein Unterauftragnehmer dieses Vertrags. Daten der Mitglieder werden nicht an Stripe übermittelt.

Anlage 3: Weisungsberechtigte Personen

1. Weisungserteilung (Auftraggeber): die vertretungsberechtigte Person des Klubs sowie die Admins des Klubs im Klubmarkt (Rolle „Admin“). Weisungen können im Admin-Bereich (z. B. Mitglieder sperren, Inserate entfernen, Daten ändern) oder in Textform erteilt werden.

2. Weisungsentgegennahme (Auftragnehmer): Thomas Balven, handelnd unter „Klubmarkt“, kontakt@klubmarkt.de.

Stand: Entwurf vom 12.10.2026, aufbauend auf dem Muster-AV-Vertrag der IT-Recht Kanzlei (für Auftragsverarbeiter). Anpassungen für den Klubmarkt durch den Betreiber.

Fassung: AVV Stand 29.10.2026, gültig seit 29.10.2026