Vertrag über die Auftragsbearbeitung (AVV)

Dieser Vertrag gilt zwischen dem Verein, der Vereinshuus nutzt («Verein», Verantwortlicher), und Peter Müller, Vereinshuus, Burgstrasse 8, 5634 Merenschwand («Betreiber», Auftragsbearbeiter). Er ist Bestandteil der AGB und gilt mit der Registrierung als vereinbart.

1. Gegenstand

Der Betreiber bearbeitet Personendaten im Auftrag des Vereins, um die Plattform bereitzustellen (Art. 9 DSG). Betroffen sind Mitglieder, Gönner, Helferinnen und Helfer, Kontakte und weitere Personen, die der Verein erfasst. Datenarten: Namen, Kontaktangaben, Geburtsdatum, Mitgliedschaft und Funktionen, Zu- und Absagen, Präsenz, Mitteilungen, Rechnungen und Zahlungen, Buchhaltung, Dokumente und Bilder sowie alle weiteren Angaben, die der Verein erfasst.

2. Weisungen

Der Betreiber bearbeitet die Daten nur, soweit es für die Plattform nötig ist, und nach den Weisungen des Vereins. Die Weisungen ergeben sich aus den Einstellungen und Aktionen in der Plattform. Der Betreiber verwendet die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung und nicht zum Trainieren von KI-Modellen.

3. Vertraulichkeit

Der Betreiber und alle Personen, die für ihn Zugang zu den Daten haben, sind zur Verschwiegenheit verpflichtet. Zugriff auf Daten eines Vereins nimmt der Betreiber nur für Support auf Anfrage des Vereins, zur Fehlerbehebung oder wenn das Gesetz es verlangt.

4. Unterauftragsbearbeiter

Der Verein ist einverstanden, dass der Betreiber folgende Unterauftragsbearbeiter beizieht:

Die Zahlung des Abos über Stripe betrifft nur Daten des Vereins als Kunde, nicht die Daten seiner Mitglieder. Push-Nachrichten werden über den Push-Dienst des jeweiligen Browsers zugestellt und enthalten nur einen kurzen Hinweis.

Neue oder ersetzte Unterauftragsbearbeiter kündigt der Betreiber mindestens 30 Tage im Voraus per Mail an. Der Verein kann aus wichtigem Grund widersprechen und, wenn keine Einigung zustande kommt, auf den Wechsel hin kündigen; bezahlte Zeit wird anteilig zurückerstattet.

5. Technische und organisatorische Massnahmen

• Daten nur in der Schweiz, verschlüsselte Übertragung (HTTPS)
• strikte Trennung der Vereine; automatische Tests prüfen bei jeder Änderung, dass kein Verein Daten eines anderen sieht
• Rollen und Rechte im Verein; Zwei-Faktor-Anmeldung für Vorstandsrollen; Schutz vor Fehlversuchen
• Passwörter nur als Hash; Änderungsprotokoll
• Server-Zugang nur für den Betreiber, nur mit Schlüssel; regelmässige Sicherheitsupdates
• tägliche, verschlüsselte Sicherung in der Schweiz; Wiederherstellung wird regelmässig geprüft
• KI-Helfer: Namen werden vor der Übermittlung soweit möglich ersetzt; keine Speicherung beim Anbieter über die Anfrage hinaus

6. Unterstützung des Vereins

Der Betreiber unterstützt den Verein bei Auskunfts-, Berichtigungs- und Löschbegehren betroffener Personen. Die meisten Begehren kann der Verein selbst in der Plattform erledigen (Profil, Export, Löschen von Mitgliedern).

7. Verletzungen der Datensicherheit

Der Betreiber meldet dem Verein eine Verletzung der Datensicherheit, die dessen Daten betrifft, so rasch wie möglich, mit den bekannten Angaben zu Art, Umfang und Massnahmen.

8. Ende des Vertrags

Nach Ende des Abos kann der Verein seine Daten während mindestens 90 Tagen exportieren. Danach löscht der Betreiber die Daten, nach zwei Vorwarnungen. In Sicherungen werden sie spätestens nach 3 Monaten überschrieben.

9. Kontrolle

Der Betreiber gibt dem Verein auf Anfrage die Auskünfte, die er braucht, um die Einhaltung dieses Vertrags zu prüfen.