Entwurf – noch nicht rechtlich geprüft. Gelb markierte Stellen müssen vor der Veröffentlichung geklärt werden.
Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO · Anlage zu den Allgemeinen Nutzungsbedingungen · Stand: 22. September 2026
zwischen dem Kunden (Verein bzw. Organisation) als Verantwortlichem („Auftraggeber“) und Maik Knothe, Max-Meier-Straße 9, 01734 Rabenau, E-Mail info@leem-tools.de, als Auftragsverarbeiter („Auftragnehmer“).
Dieser Vertrag wird mit der Annahme der Nutzungsbedingungen bei der Registrierung geschlossen und gilt für die gesamte Dauer des Nutzungsvertrags.
§ 1 Gegenstand, Art und Zweck
- Der Auftragnehmer betreibt für den Auftraggeber die KassenApp und die Vereins-Knoten Plattform (Kassenbetrieb bei Veranstaltungen, Abgleich der Kassendaten, Auswertungen und Berichte) sowie die Planung von Veranstaltungen einschließlich Aufgabenverteilung, Einkaufsplanung und der Benachrichtigung beteiligter Helfer. Dabei verarbeitet er personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers.
- Nicht Gegenstand dieses Vertrags sind die Daten, die der Auftragnehmer als eigener Verantwortlicher verarbeitet, insbesondere die Stammdaten des Kundenkontos zur Vertragsabwicklung und Abrechnung (siehe Datenschutzerklärung).
§ 2 Art der Daten und Kreis der Betroffenen
| Betroffene | Datenarten |
|---|---|
| Nutzer des Auftraggebers (z. B. Kassenwarte, Vorstand, Helfer) | Namen, E-Mail-Adressen, Zugangsdaten (Passwörter nur als Hash), Namen und Kennungen von Kassengeräten, Zeitpunkte von Anmeldungen und Buchungen |
| Personen, die in Kassen- und Veranstaltungsdaten genannt werden (z. B. Verantwortliche einer Veranstaltung, Begünstigte, bei Personalverzehr) | Namen und Angaben, die der Auftraggeber in Freitextfelder, Veranstaltungs- oder Kostenangaben einträgt |
| Helfer ohne eigenen Zugang, die der Auftraggeber für die Planung einer Veranstaltung erfasst | Name, Telefonnummer, E-Mail-Adresse, Status und Zeitpunkt der Einwilligung in Benachrichtigungen, zugewiesene Aufgaben, Rückmeldungen zu Aufgaben, Zeitpunkte des Aufrufs von Aufgaben-Links |
Gäste an der Kasse werden nicht erfasst; Verkäufe sind nicht personenbezogen. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen und dürfen vom Auftraggeber nicht eingegeben werden.
§ 3 Weisungen
- Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten dieser Vertrag, die Nutzungsbedingungen und die Nutzung der Funktionen des Dienstes durch den Auftraggeber. Weitere Weisungen erteilt der Auftraggeber in Textform.
- Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Auftraggeber unverzüglich darauf hin.
§ 4 Pflichten des Auftragnehmers
- Die Verarbeitung erfolgt in Deutschland; beim E-Mail-Versand über den Unterauftragsverarbeiter nach § 5 innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Eine Übermittlung in ein Drittland findet nicht statt.
- Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
- Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu unterschreiten.
- Er unterstützt den Auftraggeber bei der Erfüllung von Betroffenenrechten (Art. 12–22 DSGVO), bei Meldungen von Datenschutzverletzungen und bei einer etwaigen Datenschutz-Folgenabschätzung, soweit ihm das mit zumutbarem Aufwand möglich ist. Anfragen Betroffener, die sich an ihn richten, leitet er an den Auftraggeber weiter.
- Verletzungen des Schutzes personenbezogener Daten meldet er dem Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den ihm vorliegenden Informationen.
- Ein Datenschutzbeauftragter ist beim Auftragnehmer nicht benannt, da keine gesetzliche Pflicht besteht. Ansprechpartner ist der Auftragnehmer selbst unter der oben genannten Adresse.
§ 5 Unterauftragsverarbeiter
- Für den Versand von E-Mails setzt der Auftragnehmer die STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, ein (Versand über deren Mailserver; Verarbeitung nach dem mit STRATO geschlossenen Vertrag zur Auftragsverarbeitung innerhalb der EU bzw. des EWR). Server, Reverse-Proxy und Datenbank werden vom Auftragnehmer selbst betrieben.
- Der Auftraggeber erteilt die allgemeine Genehmigung, weitere Unterauftragsverarbeiter mit Sitz in der EU einzusetzen (z. B. einen E-Mail-Versanddienst). Der Auftragnehmer informiert den Auftraggeber vorab in Textform; der Auftraggeber kann innerhalb von vier Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen und in diesem Fall den Vertrag kündigen. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf dasselbe Schutzniveau.
§ 6 Kontrollrechte
Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anfrage durch geeignete Unterlagen und Auskünfte nach. Darüber hinausgehende Kontrollen vor Ort sind nach rechtzeitiger Ankündigung zu üblichen Geschäftszeiten möglich, soweit sie für den Nachweis erforderlich sind und den Betrieb nicht unzumutbar stören.
§ 7 Löschung und Rückgabe
Nach Ende des Nutzungsvertrags kann der Auftraggeber seine Daten innerhalb der in den Nutzungsbedingungen genannten Frist exportieren. Danach löscht der Auftragnehmer die Daten, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen werden im Rahmen des regulären Sicherungszyklus überschrieben.
§ 8 Haftung und Schlussbestimmungen
- Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen.
- Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag in Fragen des Datenschutzes vor.
Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Zutritts- und Zugangskontrolle
- Betrieb auf eigenen Servern in Deutschland in einer virtualisierten Umgebung; getrennte Container für Anwendung und Datenbank.
- Die Server stehen in einem nicht oeffentlich zugaenglichen Wirtschaftsraum in den privaten Raeumlichkeiten des Auftragnehmers. Zutritt haben ausschliesslich der Auftragnehmer und seine Haushaltsangehoerigen; Dritte, insbesondere Besucher oder Dienstleister, haben keinen unbeaufsichtigten Zugang.
- Administrativer Zugriff auf die Server ausschließlich per SSH mit Schlüssel-Authentifizierung über einen gesonderten Benutzer.
- Zugang zur Plattform nur mit persönlichen Zugangsdaten; Passwörter werden ausschließlich als bcrypt-Hash gespeichert. Kassengeräte authentifizieren sich mit gerätespezifischen Tokens, die im Portal gesperrt und erneuert werden können.
- Helfer ohne eigenen Zugang erreichen ausschließlich die ihnen zugewiesene Aufgabe über einen persönlichen Link. Er ist bis sieben Tage nach der Veranstaltung gültig, eröffnet jeweils eine Sitzung von fünf Minuten und verfällt, sobald die Aufgabe erledigt ist. Kontaktdaten anderer Helfer werden darüber nicht angezeigt.
Zugriffskontrolle und Trennung
- Alle Daten sind einem Kundenkonto zugeordnet; jede Abfrage ist auf das Konto des angemeldeten Nutzers bzw. Geräts beschränkt (Mandantentrennung in der Anwendung).
- Getrennte Berechtigungen: Zugaenge der Kontoverwaltung und Zugaenge von Kassengeraeten sind unterschiedliche Rollen. Ein Kassengeraet kann ausschliesslich die fuer den Kassenbetrieb noetigen Schnittstellen nutzen und keine Verwaltungsfunktionen des Kontos aufrufen - es kann insbesondere keine Geraete verwalten, keine Zugaenge oder Passwoerter aendern, keine Konto- und Zahlungsdaten einsehen und keine Daten anderer Konten erreichen. Einzige Ausnahme ist das einmalige Anfordern der kostenlosen Testphase, das keine personenbezogenen Daten offenlegt.
Weitergabe- und Übertragungskontrolle
- Übertragung zwischen Geräten, Browsern und Servern ausschließlich verschlüsselt (TLS).
- Keine Einbindung externer Dienste (Schriften, Bibliotheken, Analysewerkzeuge) in die Weboberflächen; Content-Security-Policy im Portal aktiv.
Eingabekontrolle
- Buchungen werden mit Zeitpunkt, Kassengerät und fortlaufender Bon-Nummer gespeichert; Stornierungen bleiben als solche erkennbar.
- Server-Zugriffsprotokolle werden nach spätestens 7 Tagen gelöscht.
Verfügbarkeit und Belastbarkeit
- Die KassenApp speichert Buchungen zunächst auf dem Gerät und gleicht sie später ab; ein Ausfall der Plattform unterbricht den Kassenbetrieb nicht.
- Datensicherung: Die Datenbank sowie hochgeladene Dateien werden taeglich automatisch gesichert. Die Sicherung wird bereits auf dem Server verschluesselt (Verschluesselung mit oeffentlichem Schluessel; der zum Entschluesseln noetige private Schluessel liegt nicht auf dem Server) und anschliessend auf einen getrennten, ebenfalls selbst betriebenen Speicher uebertragen. Aufbewahrt werden 7 taegliche, 4 woechentliche und 6 monatliche Staende. Zusaetzlich wird vor jeder Aktualisierung der Plattform eine Sicherung erstellt. Die Wiederherstellbarkeit wird regelmaessig durch eine Testwiederherstellung geprueft.
Verfahren zur Überprüfung
- Änderungen an der Software werden versioniert, vor dem Einspielen lokal getestet, und vor jedem Update der Plattform wird eine Datensicherung erstellt.