AV-Vertrag Dokumentenbereich

1. Vertragspartner und Gegenstand

Auftraggeber ist der Verein, dessen Vereinsadmin diesen Vertrag im Vereinsbereich abschließt. Auftragnehmer ist Josef Fischer (ladungsfähige Anschrift siehe Impressum von vereinskalender.online), info@vereinskalender.online (Betreiber von vereinskalender.online).

Der Auftragnehmer speichert für den Auftraggeber

• im Dokumentenbereich Unterlagen des Vereins (z. B. Protokolle, Satzung, sonstige Dokumente) und stellt sie den angemeldeten Konten des Vereins bereit (Ansehen, Herunterladen, Export);
• Termine nur für Mitglieder (interne Termine) und stellt sie den angemeldeten Konten des Vereins sowie allen bereit, die den Termin-Link des Vereins haben (Seite, Kalender-Abo, Anzeige im Vereinskalender, E-Mail an bestätigte Empfänger).

Der Vertrag gilt, solange einer dieser Bereiche genutzt wird bzw. das Vereinskonto besteht.

2. Art der Daten und Betroffene

Inhalte der abgelegten Dokumente, insbesondere Namen von Mitgliedern, Anwesenheiten, Funktionen, Beschlüsse und Abstimmungsergebnisse, sowie die Angaben, welches Konto wann ein Dokument angelegt, geändert, angesehen, heruntergeladen oder gelöscht hat. Inhalte interner Termine (Datum, Uhrzeit, Titel, Ort, Beschreibung, Flyer) und die E-Mail-Adressen von Empfängern, die interne Termine per E-Mail bekommen. Betroffen sind Mitglieder, Organe und sonstige im Dokument oder Termin genannte Personen des Auftraggebers sowie die Nutzer seiner Vereinskonten. Besondere Kategorien von Daten (Art. 9 DSGVO) sollen nicht abgelegt werden.

3. Weisungen

Der Auftragnehmer verarbeitet die Daten nur nach dokumentierter Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag und aus den Aktionen der Vereinsadmins im Vereinsbereich (Anlegen, Ändern, Löschen, Sichtbarkeit). Weitere Weisungen erteilt der Auftraggeber per E-Mail an info@vereinskalender.online. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber darauf hin.

4. Pflichten des Auftragnehmers

• Er sieht die Inhalte nicht ein, außer der Auftraggeber verlangt es (z. B. zur Fehlersuche) oder es ist gesetzlich vorgeschrieben.
• Personen mit Zugang zum Server sind zur Vertraulichkeit verpflichtet.
• Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 32 DSGVO) und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
• Er unterstützt den Auftraggeber bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung) und bei seinen Pflichten nach Art. 32–36 DSGVO, soweit ihm das möglich ist.
• Er meldet eine Verletzung des Schutzes der Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, an die hinterlegte E-Mail-Adresse der Vereinsadmins.
• Er stellt die zum Nachweis nötigen Informationen bereit und ermöglicht Überprüfungen nach vorheriger Absprache; in der Regel genügt eine schriftliche Auskunft.

5. Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich (Art. 24 DSGVO). Seine Vereinsadmins handeln für ihn und sorgen insbesondere dafür, dass

• nur Unterlagen abgelegt werden, die der Verein speichern darf, und keine besonderen Kategorien von Daten (Art. 9 DSGVO, z. B. Gesundheitsangaben);
• nur Personen ein Konto erhalten, die dem Verein angehören und den Zugang für ihre Aufgabe brauchen, und Konten ausgeschiedener Personen zeitnah entfernt werden;
• nur gewählte Vorstandsmitglieder als Vorstand markiert sind, die Markierung nach Wahlen angepasst wird und vertrauliche Unterlagen mit der Sichtbarkeit „nur Vorstand“ abgelegt werden;
• Zugangsdaten nicht weitergegeben werden; bei Verdacht auf Missbrauch ändert der Vereinsadmin das Passwort und informiert den Auftragnehmer;
• der Termin-Link nur im Verein weitergegeben und erneuert wird, wenn er in falsche Hände geraten ist oder Personen mit Zugang ausgeschieden sind, und interne Termine keine Angaben enthalten, die nicht alle Inhaber des Links sehen dürfen (z. B. keine Geburtstage mit Namen, keine Gesundheitsangaben).

Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung) beantwortet der Auftraggeber; der Auftragnehmer unterstützt ihn nach Ziffer 4. Wechselt der Vereinsadmin, sorgt der Auftraggeber dafür, dass das Konto nicht bei einer ausgeschiedenen Person bleibt (E-Mail im Vereinsprofil ändern oder an info@vereinskalender.online schreiben).

6. Unterauftragnehmer

Der Auftraggeber stimmt den Unterauftragnehmern in Anlage 2 zu. Über neue oder geänderte Unterauftragnehmer informiert der Auftragnehmer vorab durch eine neue Fassung dieses Vertrags; der Auftraggeber kann widersprechen, indem er den Vereinsbereich-Teil nicht weiter nutzt und seine Dokumente und internen Termine löscht. Unterauftragnehmer werden vertraglich auf dasselbe Schutzniveau verpflichtet.

7. Löschung und Rückgabe

Der Auftraggeber kann jederzeit alle Dokumente herunterladen und löschen, ebenso interne Termine. Gelöschte Dokumente und Termine sind sofort entfernt und aus den Sicherungen nach spätestens 30 Tagen. Wird das Vereinskonto gelöscht, werden alle Dokumente und internen Termine mitgelöscht. Eine Pflicht zur Aufbewahrung über das Vertragsende hinaus übernimmt der Auftragnehmer nicht.

8. Haftung, Schluss

Es gilt Art. 82 DSGVO. Ein Anspruch auf dauerhafte Aufbewahrung besteht nicht (siehe Nutzungsbedingungen). Abschluss in elektronischer Form (Art. 28 Abs. 9 DSGVO): Der Vereinsadmin bestätigt den Vertrag im Vereinsbereich; Zeitpunkt, Fassung und Konto werden gespeichert. Eine neue Fassung muss erneut bestätigt werden, bevor neue Dokumente oder interne Termine angelegt werden können.

Anlage 1 – Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung: nur HTTPS (TLS 1.2/1.3), HSTS.
• Zugang: Anmeldung mit E-Mail und Passwort (bcrypt-Hash), Sperre nach 5 Fehlversuchen für 15 Minuten, Sitzungen höchstens 8 Stunden, freiwillig zweite Stufe per Code (E-Mail oder Authenticator-App), Cookies Secure/HttpOnly, Schutz gegen gefälschte Formularaufrufe (CSRF).
• Trennung: Jede Abfrage ist an den Verein der Sitzung gebunden; Dokumente anderer Vereine sind nicht erreichbar (automatisch getestet).
• Rechte: Anlegen, Ändern, Löschen nur durch Vereinsadmins; Mitglieder lesen. Abgeschlossene Dokumente lassen sich nicht mehr ändern, nur noch löschen. Dokumente „nur Vorstand“ sehen nur Vereinsadmins und als Vorstand markierte Mitglieder. Dateien werden nur nach Anmeldung ausgeliefert, ohne öffentlichen Link, nicht im Browser-Cache gespeichert.
• Interne Termine: stehen nie im öffentlichen Kalender, Feed oder Export (getrennte Speicherung, automatisch getestet); in Planungsrunden erscheinen sie nur als „Interner Termin“ ohne Titel und Ort. Der Termin-Link ist ein Zufallscode (192 Bit), lässt sich jederzeit erneuern (der alte wird ungültig), die Seiten dazu werden nicht von Suchmaschinen erfasst, nicht zwischengespeichert und geben ihre Adresse nicht an fremde Seiten weiter; Abrufe sind gebremst.
• Protokollierung: Anlegen, Ändern, Ansehen, Herunterladen, Export und Löschen werden mit Konto und Zeitpunkt protokolliert, Aufbewahrung 12 Monate.
• Server: Rechenzentrum der Hetzner Online GmbH in Helsinki (Finnland, EU); Server-Zugang nur per SSH-Schlüssel, Firewall, automatische Sperre bei Angriffsversuchen (fail2ban); Betriebssystem-Updates werden täglich automatisch eingespielt (überwachter Wartungsjob), die Python-Pakete wöchentlich auf bekannte Sicherheitslücken geprüft.
• Sicherung: nächtliche Sicherung, mit GPG verschlüsselt, 21 Tage auf dem Server und 30 Tage bei Dropbox; Dropbox erhält nur die verschlüsselte Datei.
• Prüfung der Uploads: Dateityp wird am Inhalt erkannt, nur PDF, Bilder und Office-Formate, höchstens 3 MB je Verein.
• Nicht umgesetzt: Die Festplatte des Servers ist nicht zusätzlich verschlüsselt.

Anlage 2 – Unterauftragnehmer

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Server und Speicherung, Rechenzentrum Helsinki (Finnland, EU).
• Dropbox International Unlimited Company, Dublin (Irland) – Ablage der verschlüsselten nächtlichen Sicherung (Dropbox kann die Inhalte nicht lesen) und Ablage von Flyern an Terminen, auch an internen; ein Flyer ist über einen nicht erratbaren Link abrufbar.
• Sinch Mailjet SAS, Paris (Frankreich) – Versand von E-Mails an die Vereinskonten (enthalten keine Dokumentinhalte) und an bestätigte Empfänger interner Termine (enthalten diese Termine).