Bedingungen der Auftragsverarbeitung

Ein Verein, der Clubify zur Verwaltung seiner Mitglieder, Mannschaften, Dokumente und Kommunikation nutzt, entscheidet allein darüber, was er erhebt und wozu. Er ist der Verantwortliche. Clubify stellt das Werkzeug bereit, das diese Daten hostet und betreibt, und handelt insoweit als Auftragsverarbeiter.

Diese Bedingungen beschreiben, was Clubify mit diesen Daten zu tun und zu unterlassen verpflichtet ist. Der Verein nimmt sie zusammen mit den Allgemeinen Geschäftsbedingungen an; beide bilden eine Einheit.

Für eigene Verarbeitungen handelt Clubify dagegen als Verantwortlicher, namentlich für die Verwaltung des Kundenkontos, die Rechnungsstellung, die Sicherheit der Plattform und die Geschäftsbeziehung. Diese Verarbeitungen richten sich nach der Datenschutzerklärung und nicht nach diesen Bedingungen.

• Kunde: der Verein, die Vereinigung, das Unternehmen oder die Einrichtung, die den Dienst abonniert und die Zwecke der Verarbeitung festlegt.
• Dienst: die Plattform Clubify sowie ihre Web-, Mobil- und Desktopanwendungen.
• Kundendaten: die personenbezogenen Daten, die der Kunde, seine Mitglieder oder seine Nutzer in den Dienst einstellen oder die durch dessen Nutzung entstehen.
• Betroffene Personen: die natürlichen Personen, auf die sich diese Daten beziehen, insbesondere Vereinsmitglieder, deren gesetzliche Vertreter, Betreuer und eingeladene Nutzer.
• Unterauftragsverarbeiter: ein Dienstleister, dem Clubify einen Teil der Verarbeitung zur Erbringung des Dienstes überträgt.

Gegenstand und Art. Hosting, Speicherung, Organisation, Einsichtnahme, Bereitstellung, Sicherung und Löschung der Kundendaten, ausschließlich zur Erbringung des abonnierten Dienstes.

Zweck. Dem Kunden die Führung seiner Tätigkeit zu ermöglichen: Mitglieder und Kader, Mannschaften und Saisons, Kalender und Anwesenheiten, Dokumente und Verträge, interne Kommunikation, Beiträge und Finanzen sowie die von ihm aktivierten Module.

Dauer. Die Verarbeitung dauert so lange wie der Vertrag, verlängert um die in Abschnitt 11 beschriebenen Aufbewahrungs- und Archivierungsfristen.

Datenkategorien. Je nach den vom Kunden aktivierten Modulen:

• Identifikationsdaten: Vorname, Name, Geburtsdatum, E-Mail-Adresse, Telefonnummer, Lichtbild;
• Daten des Vereinslebens: Funktionen, Mannschaften, Lizenzen, Anwesenheiten, Aufgebote, sportliche Ergebnisse;
• Dokumente und Dateien, die der Kunde im Drive ablegt, einschließlich Verträgen und Verwaltungsunterlagen;
• Kommunikationsdaten: Nachrichten, Benachrichtigungen und deren Metadaten;
• Finanzdaten des Vereins: Beiträge, Transaktionen, Zahlungspläne;
• unbedingt erforderliche technische Daten: Verbindungsprotokolle, IP-Adresse, Gerätekennungen.

Kategorien betroffener Personen. Vereinsmitglieder, Betreuer und Ehrenamtliche, Vorstandsmitglieder, gesetzliche Vertreter minderjähriger Mitglieder sowie vom Kunden eingeladene Personen.

Über die Erforderlichkeit der eingestellten Daten entscheidet allein der Kunde. Er hat es zu unterlassen, im Dienst Daten zu erfassen, die für seine Verwaltung nicht erforderlich sind, insbesondere Gesundheitsdaten außerhalb der ausdrücklich dafür vorgesehenen Bereiche.

Clubify verarbeitet die Kundendaten ausschließlich auf dokumentierte Weisung des Kunden. Die Nutzung des Dienstes, die vom Kunden gewählte Konfiguration und die vorliegenden Bedingungen stellen diese Weisungen dar.

Als dokumentierte Weisungen des Kunden gelten insbesondere, ohne dass es einer weiteren Anfrage bedarf:

• die Ausführung der Funktionen des Dienstes so, wie der Kunde sie konfiguriert und nutzt;
• Hosting, Sicherung, Wiederherstellung und technische Überwachung;
• der rein lesende Zugriff auf die Kundendaten durch befugtes Personal von Clubify zu Zwecken der Unterstützung, der Fehlerbehebung, der Sicherheit und der Verbesserung des Dienstes;
• die zur Reaktion auf einen Sicherheitsvorfall oder zur Wahrung der Integrität der Plattform erforderlichen Maßnahmen.

Nachvollziehbarkeit des Supportzugriffs. Jeder Zugriff auf Kundendaten durch Personal von Clubify wird protokolliert: Identität der zugreifenden Person, Datum und Uhrzeit, betroffener Verein und Grund des Zugriffs. Der Zugriff erfolgt rein lesend und erlaubt keinerlei Änderung der Kundendaten. Diese Protokolle werden zwölf Monate aufbewahrt. Der Kunde kann den ihn betreffenden Auszug auf einfache Anfrage erhalten.

Hält Clubify eine Weisung des Kunden für einen Verstoß gegen geltendes Recht, teilt sie dies dem Kunden unverzüglich mit und kann die Ausführung der Weisung aussetzen.

Clubify stellt sicher, dass die zur Verarbeitung der Kundendaten befugten Personen einer vertraglichen oder gesetzlichen Verschwiegenheitspflicht unterliegen und die für den Schutz dieser Daten erforderliche Schulung erhalten.

Der Zugriff auf Kundendaten ist auf diejenigen beschränkt, die ihn zur Erfüllung ihrer Aufgaben benötigen, nach dem Grundsatz der geringsten Rechte. Diese Berechtigung wird bei jedem Funktionswechsel überprüft und beim Ausscheiden der Person entzogen.

Clubify trifft geeignete technische und organisatorische Maßnahmen im Sinne des Artikels 32 der Verordnung, unter Berücksichtigung des Stands der Technik, der Kosten und der Art der Verarbeitung.

Diese Maßnahmen umfassen insbesondere:

• die Verschlüsselung der Kommunikation bei der Übertragung sowie die Verschlüsselung der Sicherungen;
• eine Zugriffskontrolle nach Rolle und Geltungsbereich, die die Daten jedes Vereins voneinander trennt;
• eine Authentifizierung der Nutzer und eine Sitzungsverwaltung;
• die Protokollierung von Zugriffen und sicherheitsrelevanten Vorgängen;
• regelmäßige Sicherungen und Wiederherstellungstests;
• eine Virenprüfung der in den Dienst eingestellten Dateien;
• eine Beobachtung von Schwachstellen der eingesetzten Komponenten.

Diese Maßnahmen entwickeln sich mit dem Dienst weiter. Clubify darf sie ändern, sofern das Schutzniveau der Kundendaten dadurch nicht verringert wird.

Der Kunde genehmigt den Einsatz der auf der Seite Unterauftragsverarbeiter aufgeführten Unterauftragsverarbeiter; diese Seite ist Bestandteil dieser Bedingungen. Jeder von ihnen ist vertraglich zu Schutzpflichten verpflichtet, die denen dieser Bedingungen gleichwertig sind.

Clubify unterrichtet den Kunden über jede Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters mindestens dreißig Tage vor deren Wirksamwerden. Der Kunde kann aus einem berechtigten, den Datenschutz betreffenden Grund widersprechen; kommt keine Einigung zustande, kann er den betroffenen Teil des Dienstes ohne Vertragsstrafe kündigen.

Betroffene Personen machen ihre Rechte gegenüber dem Kunden geltend, der als Verantwortlicher der natürliche Adressat ist.

Clubify unterstützt den Kunden dabei durch integrierte Funktionen, mit denen Daten im Dienst eingesehen, berichtigt, exportiert und gelöscht werden können. Reichen diese Funktionen nicht aus, leistet Clubify angemessene Unterstützung innerhalb einer Frist, die mit der dem Kunden gesetzten Frist vereinbar ist.

Wendet sich eine betroffene Person unmittelbar an Clubify, verweist Clubify sie an den Kunden und unterrichtet diesen ohne unangemessene Verzögerung, ohne dem Antrag selbst nachzukommen.

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, unterrichtet Clubify den Kunden ohne unangemessene Verzögerung nach Kenntniserlangung, spätestens jedoch innerhalb von achtundvierzig Stunden.

Diese Unterrichtung umfasst, soweit verfügbar, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Sie wird mit dem Fortschritt der Analyse ergänzt.

Die Meldung an die Aufsichtsbehörde und gegebenenfalls an die betroffenen Personen obliegt dem Kunden. Clubify stellt ihm die erforderlichen technischen Angaben zur Verfügung.

Clubify unterstützt den Kunden ferner, im Rahmen der ihr vorliegenden Informationen, bei der Durchführung einer Datenschutz-Folgenabschätzung und bei der vorherigen Konsultation der Aufsichtsbehörde, soweit diese erforderlich sind.

Die Kundendaten werden innerhalb der Europäischen Union gehostet.

Einige der in Abschnitt 7 aufgeführten Unterauftragsverarbeiter gehören zu Gesellschaften mit Sitz außerhalb der Europäischen Union. Soweit sich daraus eine Übermittlung ergeben kann, erfolgt sie auf der Grundlage der von der Europäischen Kommission erlassenen Standardvertragsklauseln oder eines anderen als geeignete Garantie anerkannten Mechanismus.

Clubify teilt dem Kunden auf Anfrage die für eine bestimmte Übermittlung bestehenden Garantien mit.

Bei Vertragsende hat der Kunde dreißig Tage Zeit, seine Daten aus dem Dienst zu exportieren.

Nach Ablauf dieser Frist löscht oder anonymisiert Clubify die Kundendaten, mit Ausnahme der Daten, zu deren Aufbewahrung sie gesetzlich verpflichtet ist, insbesondere der Buchhaltungsunterlagen zur Rechnungsstellung, sowie der in den Sicherungen enthaltenen Daten.

Die Sicherungen folgen ihrem eigenen Zyklus und werden innerhalb von neunzig Tagen überschrieben. Eine gezielte Wiederherstellung zur Entnahme von Daten nach Vertragsende erfolgt nicht, sofern keine gesetzliche Pflicht besteht.

Die während der Vertragslaufzeit geltenden Aufbewahrungsfristen sind in der Datenschutzerklärung im Einzelnen dargestellt.

Clubify stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Artikel 28 der Verordnung vorgesehenen Pflichten erforderlich sind, insbesondere die Beschreibung der Sicherheitsmaßnahmen, die aktuelle Liste der Unterauftragsverarbeiter und den ihn betreffenden Auszug der Zugriffsprotokolle.

Der Kunde kann einmal in zwölf Monaten eine Überprüfung verlangen, außer bei einem nachgewiesenen Sicherheitsvorfall. Die Überprüfung erfolgt anhand von Unterlagen, auf seine Kosten, mit angemessener Vorankündigung, während der Geschäftszeiten und ohne die Sicherheit oder Vertraulichkeit der Daten anderer Kunden zu beeinträchtigen. Die Parteien vereinbaren die Modalitäten vor ihrer Durchführung.

Der Kunde sichert zu, über eine Rechtsgrundlage für die von ihm durchgeführten Verarbeitungen zu verfügen, die betroffenen Personen informiert und, soweit erforderlich, deren Einwilligung oder die ihrer gesetzlichen Vertreter eingeholt zu haben.

Der Kunde ist für die Konfiguration der Zugriffe verantwortlich, die er innerhalb seines Vereins gewährt, sowie für die Erforderlichkeit und Richtigkeit der von ihm erfassten Daten.

Clubify haftet für eigene Verstöße gegen diese Bedingungen sowie für Verstöße ihrer Unterauftragsverarbeiter, innerhalb der in den Allgemeinen Geschäftsbedingungen vorgesehenen Grenzen.

Diese Bedingungen gelten, solange Clubify Kundendaten verarbeitet, und enden mit der Erfüllung der in Abschnitt 11 vorgesehenen Pflichten.

Clubify kann sie ändern, um einer Rechtsänderung, einer Weiterentwicklung des Dienstes oder einem Wechsel von Unterauftragsverarbeitern Rechnung zu tragen. Jede wesentliche Änderung wird dem Kunden mindestens dreißig Tage vor ihrem Inkrafttreten mitgeteilt.

Bei Widersprüchen zwischen diesen Bedingungen und den Allgemeinen Geschäftsbedingungen hinsichtlich der Verarbeitung personenbezogener Daten gehen diese Bedingungen vor.

Maßgeblich ist die französische Fassung. Die übrigen Sprachfassungen dienen der Information.

Fragen zu diesen Bedingungen können über die Seite Kontakt gestellt werden.