Vertrag zur Auftragsverarbeitung

Verantwortlicher ist der angemeldete Verein, mit den Angaben, die er in der Verwaltung hinterlegt hat.

Auftragsverarbeiter ist lkmedia – Lucas Kleipödszus, Felchenstraße 21, 76437 Rastatt.

Gegenstand ist der Betrieb der Vereinswebsite einschließlich Verwaltung, Speicherung und Auslieferung der dort eingestellten Inhalte. Die Verarbeitung dauert an, solange der Nutzungsvertrag besteht.

Erhebung, Speicherung, Veränderung, Auslieferung und Löschung personenbezogener Daten, ausschließlich zum Betrieb der Vereinswebsite und ausschließlich auf Weisung des Verantwortlichen. Eine Nutzung zu eigenen Zwecken findet nicht statt, insbesondere keine Auswertung und keine Weitergabe zu Werbezwecken.

Betroffene Personen: Zugangsberechtigte des Vereins, Personen, die das Kontaktformular nutzen, sowie Interessenten für eine Vermittlung.

Datenarten: Name, E-Mail-Adresse, Betreff und Nachrichtentext aus Anfragen, Benutzername und Passwort-Hash der Zugänge, IP-Adressen in Logdateien und in der Zählung fehlgeschlagener Anmeldungen.

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung. Als Weisung gilt jede Nutzung der Verwaltung durch den Verein. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das mit und darf ihre Ausführung aussetzen.

• Passwörter werden ausschließlich als scrypt-Hash gespeichert, der Vergleich läuft laufzeitunabhängig.
• Sitzungen liegen serverseitig. Im Cookie steht ein Zufallswert, gespeichert wird davon nur der SHA-256-Hash.
• Die Trennung der Vereine ist doppelt abgesichert: durch zusammengesetzte Fremdschlüssel in der Datenbank, sodass diese selbst eine Verknüpfung über Vereinsgrenzen ablehnt, und durch einen eigenen Typ im Quelltext, der außerhalb einer geprüften Sitzung nicht entstehen kann.
• Anmeldeversuche sind begrenzt auf fünf in 15 Minuten je Benutzer und IP-Adresse.
• Hochgeladene Dateien liegen je Verein in einem eigenen Verzeichnis, das Löschen prüft die Zugehörigkeit.
• Übertragung ausschließlich verschlüsselt über TLS.
• Serverbetrieb bei dem in der Subunternehmerliste genannten Anbieter.
• Tägliche verschlüsselte Sicherungen, aufbewahrt nach dem Schema 7 täglich und 4 wöchentlich.

Der Verantwortliche stimmt dem Einsatz der unter Subunternehmer genannten Unternehmen zu. Änderungen werden mindestens 30 Tage vorher mitgeteilt, der Verantwortliche kann widersprechen und in diesem Fall kündigen.

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Die Verpflichtung besteht auch nach Beendigung des Vertrags fort.

Der Auftragsverarbeiter unterstützt bei der Beantwortung von Anfragen betroffener Personen. Anfragen zu Auskunft, Herausgabe und Löschung werden über den Betreiber bearbeitet.

Bei einer Verletzung des Schutzes personenbezogener Daten informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, damit dieser seine Frist nach Art. 33 DSGVO einhalten kann.

Nach Vertragsende werden Daten nach Weisung des Verantwortlichen zurückgegeben oder gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Rückgabe wird vor der Löschung mit dem Betreiber abgestimmt. Sicherungen laufen nach ihrer regulären Aufbewahrungsfrist aus.

Der Auftragsverarbeiter weist die Einhaltung auf Anfrage in Textform nach. Der Verantwortliche kann Kontrollen nach vorheriger Ankündigung zu üblichen Geschäftszeiten durchführen oder durchführen lassen.