Vertrag zur Auftragsverarbeitung
1. Parteien und Abschluss
Verantwortlicher ist der Kunde von Memberhafen („Auftraggeber“). Auftragsverarbeiter ist Nico Gnutzmann, Einzelunternehmer (Memberhafen), Camino Real 223B, 38355 Tacoronte (Teneriffa), Spanien, E-Mail: info@memberhafen.com („Auftragnehmer“).
Dieser Vertrag ist Teil des Abos nach unseren AGB und wird mit der Buchung geschlossen. Auf Wunsch stellen wir ihn zusätzlich als unterschriebene Fassung bereit. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor.
2. Gegenstand, Dauer, Art und Zweck
Der Auftragnehmer richtet für den Auftraggeber einen eigenen Mitgliederbereich ein und betreibt ihn. Dazu gehören Hosting, Anmeldung, Kurse, Community, Live-Termine, Benachrichtigungen, E-Mail-Versand, Freischaltungen nach Käufen und auf Wunsch eine KI-Begleitung. Die Verarbeitung dient allein dem Betrieb dieses Bereichs. Der Vertrag läuft so lange wie das Abo und endet mit ihm. Die Pflichten aus Abschnitt 11 gelten darüber hinaus.
3. Art der Daten und betroffene Personen
Betroffen sind Mitglieder, Interessenten, Käufer und Administratoren des Auftraggebers. Verarbeitet werden:
- Stammdaten: E-Mail-Adresse, Vorname, Rolle, Sprache
- Zugangsdaten: Anmeldecodes und Sitzungen (nur gehasht), Gerätetyp, Zeitpunkte der Anmeldung, zweiter Faktor für Admins
- Nutzungsdaten: Fortschritt, Merkliste, Journal und Notizen, Community-Beiträge und Meldungen, Push-Abos
- Kaufdaten: Freischaltungen und Meldungen zu Käufen, Kündigungen und Erstattungen aus dem Stripe- oder Digistore24-Konto des Auftraggebers
- Sofern der Auftraggeber sie einschaltet: Antworten auf Einstiegsfragen, Check-in-Stichworte und Fragen an die KI-Begleitung
Der Auftraggeber entscheidet, welche Fragen er stellt. Betreffen sie besondere Kategorien nach Art. 9 DSGVO, etwa Gesundheitsdaten, holt der Auftraggeber die nötigen Einwilligungen ein. Der Bereich fragt diese Einwilligung vor der ersten Antwort ab.
4. Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag, den Einstellungen im Adminbereich und Nachrichten per E-Mail. Eine Ausnahme gilt nur, wenn das Recht der EU oder eines Mitgliedstaats eine Verarbeitung verlangt. Dann informiert der Auftragnehmer vorher, sofern das Recht dies nicht verbietet. Hält der Auftragnehmer eine Weisung für rechtswidrig, sagt er das dem Auftraggeber unverzüglich und darf sie bis zur Klärung aussetzen.
5. Vertraulichkeit
Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Schweigepflicht unterliegen. Zugriff auf Daten des Auftraggebers nimmt er nur, soweit es für Betrieb, Hilfe oder Fehlersuche nötig ist.
6. Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft Maßnahmen nach Art. 32 DSGVO, die dem Risiko angemessen sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
- Trennung: eigener Worker, eigene Datenbank, eigener Dateispeicher und eigener Sicherheitsschlüssel je Auftraggeber. Datenbank und Dateien liegen im EU-Bereich von Cloudflare.
- Zugang: Anmeldung per Einmalcode, begrenzte Anmeldeversuche, Codes und Sitzungen nur gehasht gespeichert. Adminbereich nur mit zweitem Faktor.
- Übertragung: durchgehend verschlüsselt per HTTPS. Benachrichtigungen werden Ende-zu-Ende verschlüsselt an die Push-Dienste der Browser übergeben.
- Verfügbarkeit: automatische Sicherung der Inhalte mit den letzten 60 Ständen, Betrieb auf einer verteilten Plattform.
- Datensparsamkeit: keine Tracking- oder Werbedienste. Admins sehen Journal und Notizen der Mitglieder nicht. Die Ansicht als Mitglied ist zeitlich begrenzt.
- Löschung: alte Kaufmeldungen werden nach 90 Tagen automatisch gelöscht.
7. Unterauftragsverarbeiter
Der Auftraggeber genehmigt den Einsatz der folgenden Unterauftragsverarbeiter. Der Auftragnehmer verpflichtet sie vertraglich auf ein gleichwertiges Schutzniveau und haftet für sie wie für eigenes Handeln.
| Dienst | Zweck | Ort und Garantien |
|---|---|---|
| Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA | Hosting, Datenbank, Dateispeicher | Daten im EU-Bereich gespeichert, Anfragen können weltweit laufen. EU-US Data Privacy Framework und Standardvertragsklauseln. |
| Sendinblue SAS (Brevo), 106 boulevard Haussmann, 75008 Paris, Frankreich | Versand von Anmeldecodes, Willkommens- und Erinnerungsmails | EU |
| Anthropic, PBC, 548 Market St., San Francisco, CA 94104, USA | KI-Begleitung, nur wenn der Auftraggeber sie einschaltet und das Mitglied eingewilligt hat | USA, Standardvertragsklauseln |
Der Auftragnehmer informiert mindestens 30 Tage vorher per E-Mail, bevor er einen Unterauftragsverarbeiter hinzunimmt oder ersetzt. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber das Abo zum Zeitpunkt der Änderung kündigen.
Keine Unterauftragsverarbeiter sind Dienste, die der Auftraggeber selbst nutzt und mit eigenem Konto anbindet, etwa Stripe, Digistore24, Vimeo, YouTube oder Zoom. Dafür schließt der Auftraggeber selbst die nötigen Verträge.
8. Übermittlung in Drittländer
Daten werden außerhalb der EU nur verarbeitet, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss oder Standardvertragsklauseln.
9. Unterstützung des Auftraggebers
- Der Auftragnehmer unterstützt den Auftraggeber dabei, Anfragen betroffener Personen nach Art. 12 bis 22 DSGVO zu beantworten. Viele Anfragen kann der Auftraggeber im Adminbereich selbst erledigen, etwa Mitglieder ändern oder löschen. Erreicht eine Anfrage den Auftragnehmer direkt, leitet er sie unverzüglich weiter.
- Er unterstützt bei den Pflichten nach Art. 32 bis 36 DSGVO, etwa bei einer Datenschutz-Folgenabschätzung.
- Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
10. Nachweise und Kontrollen
Der Auftragnehmer stellt alle Informationen bereit, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen, und beantwortet Fragen dazu schriftlich. Kontrollen vor Ort sind nach Absprache und mit angemessener Vorankündigung möglich. Für die Infrastruktur der Unterauftragsverarbeiter gelten deren Zertifizierungen und Prüfberichte als Nachweis.
11. Ende des Vertrags
Nach Vertragsende gibt der Auftragnehmer die Daten auf Wunsch in einem gängigen Format heraus und löscht sie innerhalb von 30 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Dabei werden der Worker, die Datenbank und der Dateispeicher des Auftraggebers entfernt. Sicherungen bei den Unterauftragsverarbeitern laufen nach deren Fristen aus.
12. Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB. Änderungen dieses Vertrags bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam.