Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (Art. 28 DSGVO)

Version 1.0 · Stand 27.10.2026

zwischen der Organisation, die ihr Konto auf CLUP.life angelegt hat („Verantwortlicher“, im Folgenden „Organisation“), und

CLUP.life GmbH, In der Dörrwies 17, 55218 Ingelheim, vertreten durch den Geschäftsführer Christian Daniel Borchert, („Auftragsverarbeiter“, im Folgenden „CLUP.life“).

Der Vertrag kommt zustande, indem die vertretungsberechtigte Person der Organisation ihn bei der Anlage der Organisation in der Anwendung annimmt und dabei erklärt, die Organisation vertreten zu dürfen (elektronische Form, Art. 28 Abs. 9 DSGVO). Zeitpunkt, Fassung des Vertrags (mit Prüfsumme), annehmende Person und deren Rolle werden als Nachweis gespeichert und sind in der Verwaltung der Organisation unter „Vertrag zur Auftragsverarbeitung“ einsehbar und druckbar. Für Organisationen, die vor der Einführung dieser Funktion angelegt wurden, und bei jeder neuen Fassung des Vertrags holt die Leitung die Annahme in der Anwendung nach. Gruppen innerhalb eines Vereins fallen unter den Vertrag des Vereins; eine eigenständige Gruppe, ein Verein, ein Verband und eine Kommune schließen den Vertrag je für sich.

1. Gegenstand, Dauer, Rollenverteilung

(1) CLUP.life stellt der Organisation eine Plattform zur Vereins- und Verbandsverwaltung bereit (siehe AGB für Organisationen). Dabei verarbeitet CLUP.life personenbezogene Daten der Mitglieder und weiterer Personen im Auftrag der Organisation.

(2) Dieser Vertrag gilt für die Vereinsdaten (Anlage 1). Für Konten, Profile, Netzwerkinhalte, Nachrichten, Meldungen und Sicherheit ist CLUP.life eigener Verantwortlicher (siehe Datenschutzerklärung). Diese Aufteilung beruht darauf, dass die Organisation Zweck und Umfang der Vereinsverwaltung bestimmt (Satzung, Beiträge, Anwesenheit), während CLUP.life ein Werkzeug stellt (vgl. EDPB-Leitlinien 07/2020 zu den Begriffen Verantwortlicher und Auftragsverarbeiter; Art. 4 Nr. 7, 8 DSGVO).

(3) Die Laufzeit entspricht der des Hauptvertrags. Vorschriften zur Löschung und Rückgabe gelten darüber hinaus bis zu deren Erledigung.

2. Weisungen

(1) CLUP.life verarbeitet die Daten nur auf dokumentierte Weisung der Organisation, auch hinsichtlich Übermittlungen in Drittländer, es sei denn, ein Gesetz verpflichtet sie anders; dann teilt sie das vorab mit, soweit zulässig (Art. 28 Abs. 3 lit. a).

(2) Weisungen sind die Einstellungen und Funktionen in der Anwendung sowie dokumentierte Anfragen in Textform an chris@clup.life. CLUP.life weist die Organisation unverzüglich darauf hin, wenn sie eine Weisung für rechtswidrig hält; sie darf die Ausführung bis zur Bestätigung aussetzen.

(3) CLUP.life nutzt die Vereinsdaten nicht für eigene Zwecke, nicht zum Training von KI und nicht für Werbung. Die Organisation bleibt für die Rechtmäßigkeit ihrer Weisungen verantwortlich (Rechtsgrundlagen, Informationspflichten, Einwilligungen, Beitrittsformular).

3. Vertraulichkeit

Personen, die mit den Daten befasst sind, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheit (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4). Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

4. Technische und organisatorische Maßnahmen

CLUP.life setzt die Maßnahmen der Anlage 2 um, prüft sie regelmäßig und passt sie dem Stand der Technik an. Wesentliche Verschlechterungen sind unzulässig. Änderungen, die das Schutzniveau nicht senken, sind ohne Zustimmung erlaubt und werden in Anlage 2 fortgeschrieben.

5. Unterauftragsverarbeiter

(1) Die Organisation erteilt eine allgemeine Genehmigung zum Einsatz der Unterauftragsverarbeiter in Anlage 3.

(2) CLUP.life kündigt jede beabsichtigte Hinzufügung oder Ersetzung mindestens 30 Tage vorher in Textform an. Die Organisation kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen. Bleibt ein Widerspruch ungelöst, kann sie den Hauptvertrag zum Wirksamwerden außerordentlich kündigen.

(3) CLUP.life verpflichtet Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten (Art. 28 Abs. 4) und haftet für deren Pflichten wie für eigene.

(4) Eine Verarbeitung außerhalb der EU/des EWR findet nur statt, soweit sie in Anlage 3 genannt ist (einzelne Unterauftragnehmer des E-Mail-Dienstleisters) und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (EU-Standardvertragsklauseln, EU-US Data Privacy Framework). Im Übrigen wäre sie nur mit vorheriger Zustimmung der Organisation zulässig. Änderungen der Unterauftragsverarbeiter teilt CLUP.life nach Abs. 2 vorab mit.

6. Unterstützung der Organisation

(1) Betroffenenrechte. Anfragen betroffener Personen, die die Vereinsdaten betreffen, leitet CLUP.life innerhalb von 5 Werktagen an die Organisation weiter und beantwortet sie nicht selbst, es sei denn, die Organisation weist sie dazu an. Die Anwendung stellt Auskunft, Export, Berichtigung, Einschränkung und Löschung als Funktionen bereit (Art. 28 Abs. 3 lit. e).

(2) Sicherheit, Meldepflichten, Folgenabschätzung (Art. 32 bis 36): CLUP.life unterstützt die Organisation mit den verfügbaren Informationen, zum Beispiel mit der Datenschutz-Folgenabschätzung für Kinderdaten, dem Verarbeitungsverzeichnis und den Nachweisen zu den Maßnahmen.

(3) Verletzungen des Schutzes personenbezogener Daten. CLUP.life meldet der Organisation jede Verletzung, die Vereinsdaten betrifft, unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, damit die Organisation ihre 72-Stunden-Frist (Art. 33 Abs. 1) einhalten kann. Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Daten und Personen (Kategorien, ungefähre Zahl), wahrscheinliche Folgen, ergriffene Maßnahmen und eine Kontaktperson. Informationen dürfen schrittweise nachgereicht werden. Meldungen an Aufsichtsbehörden und Betroffene für die Vereinsdaten gibt die Organisation ab, CLUP.life nur nach Weisung oder gesetzlicher Pflicht.

7. Verzeichnis, Nachweise, Kontrollen

(1) CLUP.life führt das Verzeichnis nach Art. 30 Abs. 2 und stellt der Organisation alle Informationen zum Nachweis der Pflichten bereit (Art. 28 Abs. 3 lit. h).

(2) Die Organisation darf einmal jährlich und bei begründetem Anlass (Verletzung, Aufsichtsverfahren) die Einhaltung prüfen oder durch einen zur Verschwiegenheit verpflichteten Prüfer prüfen lassen, nach Anmeldung mit 14 Tagen Vorlauf während der üblichen Geschäftszeiten und ohne Störung des Betriebs. Bevorrangt erfolgen Nachweise durch Zertifikate, Prüfberichte, das Sicherheitskonzept und Auskünfte. Kosten eigener Prüfungen trägt die Organisation; unverhältnismäßigen Aufwand von CLUP.life kann diese angemessen vergüten lassen.

8. Löschung und Rückgabe

(1) Bei Vertragsende exportiert die Organisation ihre Daten selbst (Vereinsarchiv, Mitgliederliste, Dokumente). Auf Wunsch stellt CLUP.life zusätzlich einen Export bereit.

(2) CLUP.life löscht die Vereinsdaten spätestens 30 Tage nach Vertragsende (die Organisation kann sie sofort löschen). Kopien in Sicherungen verfallen mit deren Rotation (höchstens 35 Tage). Gesetzliche Aufbewahrungspflichten von CLUP.life (zum Beispiel Rechnungen) bleiben unberührt; die Daten werden dann nur dafür gespeichert und gesperrt.

(3) Auf Verlangen bestätigt CLUP.life die Löschung in Textform.

9. Haftung

Im Außenverhältnis gilt Art. 82 DSGVO. Im Innenverhältnis haften die Parteien nach den Regeln der AGB für Organisationen; eine Haftungsbegrenzung gilt nicht, soweit sie nach Art. 82 Abs. 5 DSGVO nicht wirksam ist.

10. Sonstiges

Bei Widersprüchen geht dieser Vertrag den AGB im Bereich Datenschutz vor. Änderungen bedürfen der Textform. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 — Gegenstand der Verarbeitung

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Ausführlich: Sicherheitskonzept von CLUP.life (auf Anfrage). Stand 27.10.2026.

1. Vertraulichkeit

2. Integrität

3. Verfügbarkeit und Belastbarkeit

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d, Art. 25)

Automatisierte Sicherheits- und Datenschutztests (Zugriffsrechte, Fuzzing aller Routen, Verschlüsselungsprüfung), Abhängigkeitsprüfung, Löschläufe mit Protokoll, jährliche Notfallübung, Datenschutz durch Voreinstellung (Kinderkonten, Auffindbarkeit aus, Datensparsamkeit).

5. Organisation

Datenschutzbeauftragter: Christian Borchert (Geschäftsführer und Inhaber), E-Mail chris@clup.life, Anschrift wie oben (In der Dörrwies 17, 55218 Ingelheim). Verpflichtung der Beschäftigten auf Vertraulichkeit, Schulung, Zugriff auf Produktivdaten nur im Störungsfall und protokolliert.

Externer Penetrationstest: Ein externer Penetrationstest durch einen unabhängigen Dienstleister wird vor Aufnahme des Regelbetriebs mit Kommunen, spätestens innerhalb von zwölf Monaten nach Aufnahme des Betriebs, durchgeführt. Bis dahin finden interne Sicherheitsprüfungen statt (automatisierte Sicherheitsprüfung gegen echte Datensätze, Fuzzing aller Routen, Abhängigkeitsprüfung mit npm audit); sie ersetzen den externen Test nicht.

Vier-Augen-Prinzip: Üblich ist es für die Freigabe von Releases, den Zugriff auf Produktivdaten und die Löschung von Organisationen. CLUP.life beschäftigt derzeit eine Person, ein personelles Vier-Augen-Prinzip ist daher nicht möglich. Stattdessen gelten folgende Ersatzmaßnahmen: Produktion wird nur aus geschützten Release-Tags ausgerollt, die ein automatisiertes Prüfverfahren (CI) durchlaufen; Sicherung vor Migrationen; Audit-Log mit Hashkette; Zugriffe auf Produktivdaten nur im Störungsfall und protokolliert; Löschläufe mit Protokoll. Sobald eine zweite Person im Team ist, wird das Vier-Augen-Prinzip für diese drei Vorgänge eingeführt.

Anlage 3 — Unterauftragsverarbeiter

Nicht Unterauftragsverarbeiter, sondern Wahl der Organisation: Mastodon- und Bluesky-Server für die Verteilung öffentlicher Beiträge (Anlage der Verbindung und Veröffentlichung entscheidet die Leitung der Organisation).

Anlage 4 — Vereinbarung über gemeinsame Verantwortlichkeit (Art. 26 DSGVO), soweit anwendbar

Soweit die Organisation und CLUP.life gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden (zum Beispiel Mitgliederverzeichnis mit Netzwerkprofilen, Sichtbarkeit von Mitgliedern gegenüber anderen Mitgliedern, Moderation), gilt:

1. Zuständigkeit. CLUP.life erfüllt die Informationspflichten für Konto und Netzwerkfunktionen (Datenschutzerklärung), betreibt Sicherheit und Löschläufe und ist Anlaufstelle für Betroffene. Die Organisation erfüllt die Informationspflichten für Vereinsdaten und Mitgliedschaft (Art. 13/14) und bestimmt, welche Mitgliederdaten sie erfasst.
2. Betroffenenrechte. Betroffene können sich an jede Seite wenden (Art. 26 Abs. 3). Beide leiten Anfragen unverzüglich an die zuständige Seite weiter, die antwortet.
3. Verletzungen. Die Seite, in deren Bereich die Verletzung entdeckt wird, informiert die andere unverzüglich (CLUP.life spätestens binnen 24 Stunden) und meldet die Aufsichtsbehörde, soweit ihr Bereich betroffen ist.
4. Wesentlicher Inhalt. Betroffene können den wesentlichen Inhalt dieser Anlage über die Datenschutzerklärung erfahren.
5. Verhältnis zu Anlage 1. Wird eine Verarbeitung als Auftragsverarbeitung eingestuft, geht der Vertrag oben vor.