Auftragsverarbeitungsvertrag – Muster (Art. 28 DSGVO)

§ 1 Gegenstand und Dauer der Verarbeitung (1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Auftragsverarbeitung gemäß § 29 KDG. (2) Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages / der Geschäftsbeziehung. Dieser Vertrag endet automatisch mit Beendigung des Hauptvertrages. (3) Verantwortlicher (Kunde): Name/Organisation: Musterverein e.V. Anschrift: Musterstraße 1, 12345 Musterstadt Kontakt-E-Mail: kontakt@musterverein.de Hinweis: Die vorgenannten Felder werden zum Zeitpunkt der elektronischen Unterzeichnung aus den bei der Plattform hinterlegten Organisationsdaten befüllt und in dieser Urkunde unveränderlich festgeschrieben. (4) Auftragsverarbeiter: Name: Julian Müller — DeSourCeDev (Einzelunternehmen) Anschrift: Eisenbahnstraße 42, 79423 Heitersheim, Deutschland E-Mail: info@desourcedev.de --- § 2 Art und Zweck der Verarbeitung (1) Art der Verarbeitung: Hosting der Webapplikation; lokale biometrische Gesichtserkennung zur Foto-Zuordnung (sofern von der Organisation aktiviert und von den betroffenen Personen eingewilligt); Bereitstellung und Betrieb der Jugendfreizeitverwaltungsplattform jugendcampplaner.de. (2) Zweck der Verarbeitung: Bereitstellung der Jugendfreizeitverwaltung — einschließlich Teilnehmer- und Betreuerverwaltung, Anwesenheitskontrolle, Ausgehvorgänge, Krisenmanagement gemäß § 8a SGB VIII, Abrechnungen sowie optionaler Fotozuordnung über lokale Gesichtserkennung. --- § 3 Art der personenbezogenen Daten Folgende Arten personenbezogener Daten sind Gegenstand der Verarbeitung: - Stammdaten (Name, Geburtsdatum, Geschlecht, Adresse) - Kontaktdaten (E-Mail, Telefonnummer) - Gesundheitsdaten (Allergien, Medikamente, gesundheitliche Besonderheiten) - Biometrische Daten (Face Embeddings) — ausschließlich sofern von der Organisation aktiviert und von den betroffenen Personen oder deren gesetzlichen Vertretern eingewilligt; Verarbeitung erfolgt lokal auf dem Server des Auftragsverarbeiters, keine Übermittlung an Dritte, unverzügliche Löschung nach Laufende - Nutzungsdaten (Anmeldungen, Protokolldaten) - Bilddaten (Teilnehmerfotos, Freizeitfotos) --- § 4 Kategorien betroffener Personen - Teilnehmer an Jugendfreizeiten (einschließlich Minderjährige) - Betreuer und Mitarbeiter der Organisation - Kontaktpersonen und Erziehungsberechtigte - Gäste und Besucher --- § 5 Pflichten des Auftragsverarbeiters (1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, dass der Auftragsverarbeiter nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet ist. (2) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. (3) Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen zur Sicherheit der Verarbeitung (siehe auch § 8 dieses Vertrages). (4) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei der Erfüllung der Pflichten gemäß Art. 32 bis 36 DSGVO. (5) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 lit. h DSGVO). (6) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 33 DSGVO. --- § 6 Unterauftragsverarbeiter (1) Der Auftragsverarbeiter darf ohne vorherige schriftliche Genehmigung des Verantwortlichen keinen Unterauftragsverarbeiter einsetzen, der auf personenbezogene Daten des Verantwortlichen zugreift. (2) Folgende Unterauftragsverarbeiter sind zum Zeitpunkt des Vertragsschlusses genehmigt: | Unterauftragsverarbeiter | Leistung | Standort | |--------------------------|----------|----------| | netcup GmbH (Daimlerstraße 25, 76185 Karlsruhe, Deutschland; Rechenzentrum Nürnberg) | Hosting des Applikationsservers (VPS) und E-Mail-Versand (SMTP mxe830.netcup.net) | Deutschland / Europäische Union | (3) Nicht als Unterauftragsverarbeiter im Sinne dieses Vertrages gelistet: a) Stripe (Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland): Stripe verarbeitet ausschließlich die Zahlung des Kunden an den Anbieter für die SaaS-Nutzung der Plattform jugendcampplaner.de (gemäß AGB § 5). Stripe verarbeitet zu keinem Zeitpunkt Teilnehmerdaten, Gesundheitsdaten, biometrische Daten oder sonstige personenbezogene Daten, die Gegenstand dieses AVV sind. Stripe ist daher kein Unterauftragsverarbeiter im Sinne dieses Vertrages. (Entscheidung des Plattformbetreibers, corroborated through AGB § 5.) b) Gesichtserkennungsdienst (face-detection): Der lokale Gesichtserkennungsdienst wird first-party self-hosted auf dem eigenen Server des Auftragsverarbeiters betrieben (127.0.0.1:8002 — ausschließlich localhost, kein externer Zugriff). Es handelt sich dabei nicht um einen externen Unterauftragsverarbeiter, sondern um eine interne Systemkomponente des Auftragsverarbeiters. (4) Bei Wechsel oder Hinzufügung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen rechtzeitig im Voraus, um diesem die Möglichkeit zu geben, Einspruch gegen diese Veränderungen zu erheben. --- § 7 Betroffenenrechte (1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Anträgen auf Ausübung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person (Art. 15–22 DSGVO) durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist. (2) Richtet eine betroffene Person Ansprüche direkt an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter. Der Auftragsverarbeiter beantwortet entsprechende Anfragen nicht selbst, sofern er vom Verantwortlichen dazu nicht ausdrücklich bevollmächtigt ist. (3) Die betroffene Person hat das Recht, sich bei die zuständige Katholische Datenschutzaufsicht (KDA) Ihrer Diözese (§ 48 KDG) zu beschweren, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen datenschutzrechtliche Bestimmungen verstößt. --- § 8 Technische und organisatorische Maßnahmen (TOMs) — Anlage Der Auftragsverarbeiter setzt folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um. Die nachstehenden Maßnahmen spiegeln den tatsächlich implementierten Stand der Plattform wider (Phase 82 — DSFA / TOM-Implementierung): 1. VERTRAULICHKEIT — Zugangs- und Zugriffskontrollen 1.1 Verschlüsselung sensibler Felder (AES-256-GCM): Personenbezogene Daten in den Kategorien Adressdaten, Gesundheitsdaten (Allergien, Medikamente, Besonderheiten) und Krisendaten werden mit AES-256-GCM verschlüsselt in der Datenbank gespeichert (rails-attr_encrypted / lockbox). Der Schlüssel liegt ausschließlich in der Server-Konfiguration (Rails Credentials) und ist nicht im Quellcode enthalten. 1.2 Rollenbasierte Zugriffskontrolle (RBAC): Zugriff auf personenbezogene Daten ist auf Betreuer der jeweils zugehörigen Organisation beschränkt. Organisationsübergreifender Zugriff ist systemseitig ausgeschlossen (Action Policy, owner/admin/user-Rollen). Jede API- und Controller-Aktion ist durch eine dedizierte Policy abgesichert. 1.3 Authentifizierung und Session-Management: Authentifizierung über Devise (bcrypt-Passwort-Hashing). Zwei-Faktor-Authentifizierung optional verfügbar. Sessions werden serverseitig verwaltet; CSRF-Schutz ist systemweit aktiv. 2. INTEGRITÄT — Eingabe- und Auftragskontrolle 2.1 Unveränderlicher Audit-Trail (AuditLog): Alle sicherheitsrelevanten Aktionen (Rollenwechsel, Freizeit-Lifecycle, Krisenvorgang, AVV-Unterzeichnung) werden in einem unveränderlichen AuditLog protokolliert. AuditLog-Einträge sind readonly nach Persistierung (readonly? = persisted?); eine Löschung löst eine ActiveRecord::ReadOnlyRecord-Exception aus (before_destroy-Guard). Kein Datensatz kann nachträglich geändert oder entfernt werden. 2.2 Weisungsbindung: Datenverarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen gemäß § 5 dieses Vertrages. 3. VERFÜGBARKEIT — Backup und Wiederherstellbarkeit 3.1 Backup-Konzept (pgBackRest PITR): Die PostgreSQL-Produktionsdatenbank wird durch pgBackRest mit Point-in-Time-Recovery (PITR) gesichert. Vollbackups und WAL-Archivierung werden auf einem separaten Backup-Storage abgelegt. Backups sind AES-256-CBC verschlüsselt (pgBackRest cipher-type=aes-256-cbc). Restore-Drills werden regelmäßig durchgeführt. 3.2 Hosting-Standort: Der Produktionsserver läuft bei netcup GmbH (Rechenzentrum Nürnberg, Deutschland) innerhalb der Europäischen Union. Keine Datentransfers in Drittländer gemäß Art. 44 ff. DSGVO. 4. BIOMETRISCHE DATEN — BSI-konforme Löschung 4.1 Einmalige Verarbeitung (Single-Run Lifecycle): Face Embeddings (biometrische Templates) werden ausschließlich im Rahmen eines einzelnen Erkennungslaufes verarbeitet: Erkennung → Zuordnung → sofortige Löschung. Eine dauerhaft persistierte Speicherung von biometrischen Merkmalen findet nicht statt. 4.2 BSI-konforme Mehrfach-Überschreibung: Beim Löschen biometrischer Daten wird eine mehrfache Überschreibung (Mehrfach-Wipe) gemäß BSI-Empfehlungen angewendet, um eine Wiederherstellung der biometrischen Templates zu verhindern. Dies ist in der Applikationsschicht implementiert (BiometrischeLöschung-Service). 4.3 Technische Isolation: Der Gesichtserkennungsdienst ist ausschließlich über localhost (127.0.0.1:8002) erreichbar. Externer Netzwerkzugriff auf den Dienst ist durch Firewall-Regeln blockiert. 5. BELASTBARKEIT — Systemresilienz 5.1 Fehlerbehandlung und Monitoring: Unerwartete Fehler werden serverseitig protokolliert. Systemzustand und Backup-Status werden regelmäßig überprüft. 5.2 Datenschutz-Management: Der Auftragsverarbeiter überprüft die technischen und organisatorischen Maßnahmen regelmäßig und passt sie bei Bedarf an (Art. 32 Abs. 1 lit. d DSGVO — Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung). --- § 9 Löschung und Rückgabe personenbezogener Daten (1) Nach Beendigung des Auftrags und vollständiger Abwicklung aller Verarbeitungstätigkeiten löscht der Auftragsverarbeiter sämtliche personenbezogene Daten des Verantwortlichen, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht oder der Verantwortliche vorher einen Export seiner Daten vorgenommen hat. (2) Der Auftragsverarbeiter bestätigt dem Verantwortlichen auf Verlangen die vollständige Löschung schriftlich. (3) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen (insbesondere AuditLog-Einträge und dieser AVV), sind über das Vertragsende hinaus entsprechend den gesetzlichen Aufbewahrungsfristen aufzubewahren. --- § 10 Kontrollrechte und Nachweise (1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in § 29 KDG niedergelegten Pflichten zur Verfügung, insbesondere durch Zugang zu Audit-Trail-Daten und technischer Dokumentation. (2) Der Auftragsverarbeiter ermöglicht und unterstützt Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden. Der Prüfer ist zur Vertraulichkeit zu verpflichten. (3) Vor-Ort-Überprüfungen finden nur statt, soweit der Auftragsverarbeiter seine Nachweispflicht nicht bereits durch geeignete Dokumentation, Zertifizierungen oder Testate erfüllen kann. Überprüfungen sind mit angemessener Vorlaufzeit (mindestens 14 Tage) anzukündigen, auf höchstens einmal jährlich — außer bei konkretem Anlass (z. B. einer Datenschutzverletzung) — sowie auf das erforderliche Maß zu begrenzen und so durchzuführen, dass der laufende Betrieb nicht unverhältnismäßig beeinträchtigt wird. Der Verantwortliche trägt seine eigenen Kosten; den über die Bereitstellung der Standard-Dokumentation hinausgehenden Aufwand des Auftragsverarbeiters für die Unterstützung von Vor-Ort-Prüfungen kann dieser nach seinem üblichen Stundensatz in Rechnung stellen. --- § 11 Schlussbestimmungen und Unterschriften (1) Dieser Vertrag wird in Textform gemäß § 126b BGB geschlossen. Die elektronische Unterzeichnung durch den Verantwortlichen (Absenden des Signaturformulars mit authentifiziertem Nutzerkonto, Zeitstempel, SHA-256-Content-Hash und Protokollierung im unveränderlichen AuditLog) stellt eine rechtswirksame Erklärung im Sinne von Art. 28 Abs. 9 DSGVO dar. (2) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. (3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, München. Unterschriften: Verantwortlicher (Kunde): Ort / Datum: Musterstadt, TT.MM.JJJJ Name / Funktion: Max Mustermann, Inhaber/Vorstand Hinweis: Die vorstehenden Felder werden zum Zeitpunkt der elektronischen Unterzeichnung aus den authentifizierten Sitzungsdaten (Nutzername, Serverzeit) befüllt und unveränderlich in der Unterzeichnungs-Urkunde festgeschrieben. Auftragsverarbeiter: Name / Funktion: Julian Müller, Inhaber DeSourCeDev --- Dieses Dokument ist AvvVorlage Version 1 (jugendcampplaner.de). Inhalt-SHA-256 wird automatisch beim Speichern berechnet. Stand: June 2026.