Vertrag über die Auftragsverarbeitung personenbezogener Daten nach EU-Datenschutz-Grundverordnung Hiermit schließe ich mit dem Förderverein NaU e.V. (Haldenäcker 2, 89079 Ulm / nachfolgend "Verein" genannt) diese AV-Vertrag ab. Im Nachgang werde ich als Mitglied mit "Auftragnehmer" genannt. Anrede: Auswahl Herr Frau Vor- / Nachname: Geburtsdatum: Email: Straße, Hausnr.: Ort PLZ Land Auswahl Deutschland Österreich Schweiz Telefonnummer: Mitgliedschaftsbestätigung Hiermit bestätige ich bereits als Vereinsmitglied gelistet zu sein, oder binnen der kommenden 48 Stunden einen Mitgliedsantrag zu stellen, da aufgrund der Datenschutzbestimmungen nur Vereinsmitglieder für den Förderverein NaU e.V. tätig sein dürfen. 1 Einleitung, Geltungsbereich, Definitionen a) Dieser Vertrag regelt die Rechte und Pflichten von Verein und Mitglied (im Folgenden „Parteien“ genannt) im Rahmen einer Verarbeitung von personenbezogenen Daten in der Mitwirkung der Vereinstätigkeiten. b) Dieser Vertrag findet auf alle Tätigkeiten Anwendung, bei denen das Mitglied personenbezogene Daten des Vereins in dessen Auftrag verarbeitet. c) In diesem Vertrag verwendete Begriffe sind entsprechend ihrer Definition in der EU Datenschutz-Grundverordnung zu verstehen. In diesem Sinne ist der Verein der „Verantwortliche“, das Mitglied der „Auftragsverarbeiter“. Soweit Erklärungen im Folgenden „schriftlich“ zu erfolgen haben, ist die Schriftform nach § 126 BGB gemeint. Im Übrigen können Erklärungen auch in anderer Form erfolgen, soweit eine angemessene Nachweisbarkeit gewährleistet ist. 2 Gegenstand und Dauer der Verarbeitung a) Gegenstand: Das Mitglied übernimmt folgende Tätigkeiten: b) Dauer: Die Verarbeitung erfolgt auf unbestimmte Zeit bis zur Kündigung dieses Vertrags durch eine Partei und beginnt am: 3 Art, Zweck und Betroffene der Datenverarbeitung: a) Art der Verarbeitung: Die Verarbeitung ist folgender Art: Erheben, Erfassen, Organisation, Ordnen, Speicherung, Anpassung oder Veränderung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, Abgleich oder Verknüpfung, Einschränkung, Löschen oder Vernichtung von Daten.: b.) Zweck der Verarbeitung: Die Verarbeitung dient dem Zweck der Vorstandsunterstützung des Förderverein NaU e.V. c.) Art der Daten: Es werden folgende Daten verarbeitet: Anrede, Kommunikationsdaten, Telefonnummer, Vor-und Zuname, Email Adresse, Anschrift, eventuelle Mitgliederdaten, Kontodaten (Bank-/PayPal) zur Abwicklung der Bezahlungen von Käufen/Portogebühren. Weitere Datenverarbeitungen bzw. Informationen zu den genannten Datenverarbeitungen 4 Pflichten des Auftragnehmers a) Das Mitglied verarbeitet personenbezogene Daten ausschließlich wie vertraglich vereinbart oder wie vom Verein angewiesen, es sei denn, das Mitglied ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. Sofern solche Verpflichtungen für das Mitglied bestehen, teilt der Verein diese dem Mitglied vor der Verarbeitung mit, es sei denn, die Mitteilung ist ihm gesetzlich verboten. Das Mitglied verwendet darüber hinaus die zur Verarbeitung überlassenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. b) Das Mitglied bestätigt, dass ihm die einschlägigen, allgemeinen datenschutzrechtlichen Vorschriften bekannt sind. Es beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung. c) Das Mitglied verpflichtet sich, bei der Verarbeitung die Vertraulichkeit streng zu wahren. d) Wird der Verein durch Aufsichtsbehörden oder andere Stellen einer Kontrolle unterzogen oder machen betroffene Personen ihm gegenüber Rechte geltend, verpflichtet sich das Mitglied den Verein im erforderlichen Umfang zu unterstützen, soweit die Verarbeitung im Auftrag betroffen ist. e) Auskünfte an Dritte oder den Betroffenen darf das Mitglied nur nach vorheriger Zustimmung durch den Verein erteilen. Direkt an ihn gerichtete Anfragen wird er unverzüglich an den Verein weiterleiten. 5 Sicherheit der Verarbeitung Kopien oder Duplikate werden ohne Wissen des Vereins vom Mitglied nicht erstellt. Ausgenommen sind technisch notwendige, temporäre Vervielfältigungen, soweit eine Beeinträchtigung des hier vereinbarten Datenschutzniveaus ausgeschlossen ist. 6 Regelungen zur Berichtigung, Löschung und Sperrung von Daten Im Rahmen des Auftrags verarbeitete Daten wird das Mitglied nur entsprechend der getroffenen vertraglichen Vereinbarung oder nach Weisung des Vereins berichtigen, löschen oder sperren. Den entsprechenden Weisungen des Vereins wird das Mitglied jederzeit und auch über die Beendigung dieses Vertrages hinaus Folge leisten. 7 Rechte und Pflichten des Vereins Für die Beurteilung der Zulässigkeit der beauftragten Verarbeitung sowie für die Wahrung der Rechte von Betroffenen ist allein der Verein verantwortlich. Der Verein informiert das Mitglied unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Durchführung der Tätigkeit des Mitglieds feststellt. Der Verein ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen beim Mitglied in angemessenem Umfang selbst oder durch Dritte, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie sonstige Kontrollen vor Ort zu kontrollieren. Den mit der Kontrolle betrauten Personen ist vom Mitglied soweit erforderlich Zutritt und Einblick in Vereinsdokumente oder andere Vereinseigentümer zu ermöglichen. Das Mitglied ist verpflichtet, erforderliche Auskünfte zu erteilen, Abläufe zu demonstrieren und Nachweise zu führen, die zur Durchführung einer Kontrolle erforderlich sind. Kontrollen beim Mitglied haben ohne vermeidbare Störungen seiner Privatsphäre zu erfolgen. Soweit das Mitglied den Nachweis der korrekten Umsetzung der vereinbarten Datenschutzpflichten wie in diesem Vertrag vorgesehen erbringt, soll sich eine Kontrolle auf Stichproben beschränken. 8 Mitteilungspflichten Das Mitglied teilt dem Verein Verletzungen des Schutzes im Auftrag verarbeiteter personenbezogener Daten unverzüglich mit. Auch begründete Verdachtsfälle hierauf sind mitzuteilen. Die Mitteilung hat spätestens innerhalb von 24 Stunden ab Kenntnis des Mitglieds vom relevanten Ereignis an eine vom Verein benannte Adresse oder den direkten Vorstandsansprechpartner zu erfolgen. Sie muss mindestens folgende Angaben enthalten: eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der ungefähren Zahl der betroffenen Personen, der ungefähren Zahl der betroffenen personenbezogenen Datensätze; eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten; eine Beschreibung der vom Mitglied ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen Ebenfalls unverzüglich mitzuteilen sind erhebliche Störungen bei der Auftragserledigung sowie Verstöße des Mitglieds gegen datenschutzrechtliche Bestimmungen oder die in diesem Vertrag getroffenen Festlegungen. Das Mitglied informiert den Verein unverzüglich von Kontrollen oder Maßnahmen von Aufsichtsbehörden oder anderen Dritten, soweit diese Bezüge zur Auftragsverarbeitung aufweisen. Das Mitglied sichert zu, den Verein bei dessen Pflichten nach Art. 33 und 34 Datenschutz-Grundverordnung im erforderlichen Umfang zu unterstützen. 9 Weisungen Der Verein behält sich hinsichtlich der Verarbeitung im Auftrag ein umfassendes Weisungsrecht vor. Ausschließlich befugte Personen zur Erteilung von Weisungen ist der aktuelle Vorstand. Bei einem Wechsel oder einer längerfristigen Verhinderung der befugten Personen sind dem Mitglied Nachfolger bzw. Vertreter unverzüglich mitzuteilen. Das Mitglied wird den Verein unverzüglich darauf aufmerksam machen, wenn eine vom Verein erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Das Mitglied ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Verantwortlichen beim Verein bestätigt oder geändert wird. Das Mitglied hat ihm erteilte Weisungen und deren Umsetzung zu dokumentieren. 10 Beendigung des Auftrags Befinden sich bei Beendigung des Auftragsverhältnisses oder der Mitgliedschaft im Auftrag verarbeitete Daten, Kopien oder derselben noch in der Verfügungsgewalt des Mitglieds, hat dieses nach Wahl des Vereins die Daten entweder zu vernichten oder an den Verein zu übergeben. Die Wahl hat der Verein innerhalb von 2 Wochen nach entsprechender Aufforderung durch das Mitglied zu treffen. Die Vernichtung hat so zu erfolgen, dass eine Wiederherstellung auch von Restinformationen mit vertretbarem Aufwand nicht mehr möglich ist. Eine physische Vernichtung erfolgt gemäß DIN 66399. Hierbei gilt mindestens Schutzklasse 2. Das Mitglied hat den Nachweis der ordnungsgemäßen Vernichtung zu führen und dem Verein unverzüglich vorzulegen. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sind durch das Mitglied zu seiner Entlastung dem Verein zu übergeben. 11 Haftung Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, haften Verein und Mitglied als Gesamtschuldner. Das Mitglied trägt die Beweislast dafür, dass ein Schaden nicht Folge eines von ihm zu vertretenden Umstandes ist, soweit die relevanten Daten von ihm unter dieser Vereinbarung verarbeitet wurden. Solange dieser Beweis nicht erbracht wurde, stellt das Mitglied den Verein auf erste Anforderung von allen Ansprüchen frei, die im Zusammenhang mit der Auftragsverarbeitung gegen den Verein erhoben werden. Unter diesen Voraussetzungen ersetzt das Mitglied dem Verein ebenfalls sämtliche entstandenen Kosten der Rechtsverteidigung. Das Mitglied haftet dem Verein für Schäden, die das Mitglied im Zusammenhang mit der Erbringung der beauftragten vertraglichen Leistung schuldhaft verursacht hat. Nummern 11(b.) und 11(c.) gelten nicht, soweit der Schaden durch die korrekte Umsetzung der beauftragten Dienstleistung oder einer vom Auftraggeber erteilten Weisung entstanden ist 12 Vertragsstrafe Das Mitglied verwirkt bei schuldhaften Verstößen gegen seine Pflichten aus diesem Vertrag eine dem Verstoß angemessene Vertragsstrafe. Die Vertragsstrafe wird insbesondere bei Mängeln in der Umsetzung der vereinbarten technischen und organisatorischen Maßnahmen verwirkt. Bei dauerhaften Verstößen gilt jeder Kalendermonat, in dem der Verstoß ganz oder teilweise vorliegt, als Einzelfall. Die Einrede des Fortsetzungszusammenhangs ist ausgeschlossen. Die Höhe der Vertragsstrafe bestimmt der Verein nach billigem Ermessen. Entspricht sie nicht der Billigkeit, so wird die Bestimmung durch Urteil getroffen. Die Vertragsstrafe wird mit Erklärung ihrer Höhe gegenüber dem Mitglied fällig. Die Vertragsstrafe hat keinen Einfluss auf andere Ansprüche des Vereins. 13 Sonderkündigungsrecht Der Verein kann diese Vereinbarung jederzeit ohne Einhaltung einer Frist kündigen („außerordentliche Kündigung“), wenn ein schwerwiegender Verstoß des Mitglieds gegen Datenschutzvorschriften oder die Bestimmungen dieser Vereinbarung vorliegt, das Mitglied eine rechtmäßige Weisung des Vereins nicht ausführen kann oder will oder das Mitglied Kontrollrechte des Vereins vertragswidrig verweigert. Ein schwerwiegender Verstoß liegt insbesondere vor, wenn das Mitglied die in dieser Vereinbarung bestimmten Pflichten, insbesondere die vereinbarten technischen und organisatorischen Maßnahmen in erheblichem Maße nicht erfüllt oder nicht erfüllt hat. Bei unerheblichen Verstößen setzt der Verein dem Mitglied eine angemessene Frist zur Abhilfe. Erfolgt die Abhilfe nicht rechtzeitig, so ist der Verein zur außerordentlichen Kündigung wie in diesem Abschnitt beschrieben berechtigt. 14 Sonstiges Beide Parteien sind verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangte Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der jeweils anderen Partei auch über die Beendigung des Vertrages vertraulich zu behandeln. Bestehen Zweifel, ob eine Information der Geheimhaltungspflicht unterliegt, ist sie bis zur schriftlichen Freigabe durch die andere Partei als vertraulich zu behandeln. Für Nebenabreden ist die Schriftform und die ausdrückliche Bezugnahme auf diese Vereinbarung erforderlich. Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der im Auftrag verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen. Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht. Einwilligungserklärung Datenschutz / Satzung / AV-Vertrag Ich habe die Informationen zum Datenschutz bei Erhebung, Verarbeitung und Speicherung personenbezogener Daten unter https://foerderverein-nau.de/datenschutz/ gelesen und erkenne diese durch Absenden der Veranstaltungsanmeldung an. Die Satzung des Förderverein NaU e.V. erkenne ich an. Mir ist die postalische Einholung bzw. das Einsehen unter https://foerderverein-nau.de/satzung/ bekannt. Mir ist bewusst, dass ich durch das Absenden dieses Formulares die oben beschriebenen Bedingungen des AV-Vertrages bestätige und versichere dadurch ebenfalls, meiner Vereinsarbeit für den Förderverein NaU e.V. gewissenhaft nachzugehen. Bestätigung angegebener Daten Zudem bestätige ich die Richtigkeit und Vollständigkeit meiner angegebenen Daten. Ich nehme zur Kenntnis, dass im Falle von falschen Angaben dieser AV-Vertrag durch den Förderverein NaU e.V. abgelehnt wird. Zudem bestätige ich hiermit meine Volljährigkeit. Vereinstätigkeiten von Minderjährigen sind beim Förderverein NaU e.V. nur mit dem Einverständnis der Erziehungsberechtigten möglich. Senden
