Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

gemäß Art. 28 DSGVO

Stand: 6. August 2026

---

Vertragsparteien

Auftraggeber – Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO

Name des Vereins / der Organisation: [Name des Vereins / der Organisation]

Straße, Hausnummer: [Straße, Hausnummer]

PLZ, Ort: [PLZ, Ort]

Vertreten durch: [vertreten durch]

E-Mail: [E-Mail]

Telefon: [Telefon]

Kundennummer: [Kundennummer]

– nachfolgend „Auftraggeber" –

Auftragnehmer – Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO

bmp GmbH
Eichendorffstr. 14
31224 Peine
Deutschland

Telefon: 05172-9718010
E-Mail: info@spg-direkt.de

Vertreten durch die Geschäftsführer Erik Böker und Kai Magerkord
Amtsgericht Hildesheim, HRB 101372

– nachfolgend „Auftragnehmer" –

– gemeinsam die „Parteien" –

Präambel

Der Auftraggeber nutzt Leistungen des Auftragnehmers rund um die Vereinsverwaltung. Dabei kann der Auftragnehmer Zugang zu personenbezogenen Daten erhalten, für die der Auftraggeber Verantwortlicher ist. Für diese Fälle regelt dieser Vertrag die Rechte und Pflichten der Parteien nach Art. 28 DSGVO.

Der Vertrag erfasst zwei Leistungsbereiche, die einzeln oder gemeinsam beauftragt werden können. Welche Bereiche gelten, ergibt sich aus Anlage 1 Ziffer 1:

• Softwarebetreuung: Die Software SPG-Verein wird ausschließlich in der eigenen Umgebung des Auftraggebers betrieben; die damit verarbeiteten Daten verbleiben dort. Zugang zu personenbezogenen Daten entsteht nur anlassbezogen bei Fernwartung, Fehleranalyse, Datenübernahme, Datenrettung und Schulung.
• SPG-Onlineform Mitgliederantrag: Der Auftragnehmer stellt unter online.spg-direkt.de ein Antragsformular bereit, über das Aufnahmeinteressenten des Auftraggebers ihre Daten eingeben. Die Angaben werden als Datei an die vom Auftraggeber hinterlegte E-Mail-Adresse übermittelt. Hier verarbeitet der Auftragnehmer die Daten laufend und nicht nur anlassbezogen.

Dieser Vertrag ergänzt den zwischen den Parteien bestehenden Lizenz-, Wartungs- beziehungsweise Servicevertrag (nachfolgend „Hauptvertrag"). Er begründet keine eigenständige Leistungspflicht.

---

§ 1 Gegenstand und Dauer des Auftrags

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers, soweit sie im Zusammenhang mit den in Anlage 1 beschriebenen Leistungen erfolgt.

(2) Der Auftragnehmer verarbeitet die Daten ausschließlich zu den in Anlage 1 genannten Zwecken. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers – insbesondere zu Werbe-, Analyse- oder Produktentwicklungszwecken – findet nicht statt.

(3) Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Er endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.

(4) Der Auftraggeber kann diesen Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen datenschutzrechtliche Vorschriften oder gegen die Bestimmungen dieses Vertrages vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert. Der Bestand des Hauptvertrages bleibt hiervon unberührt.

(5) Die Verarbeitung findet in der Bundesrepublik Deutschland und im Übrigen innerhalb der Europäischen Union statt.

(6) Beim Versand der Anträge aus der SPG-Onlineform setzt der Auftragnehmer Microsoft 365 ein (siehe Anlage 3). Microsoft speichert und verarbeitet die Daten nach der EU-Datengrenze innerhalb der Europäischen Union. Ein Zugriff aus den Vereinigten Staaten ist im Rahmen von Support- und Wartungsvorgängen nicht vollständig auszuschließen; Grundlage hierfür sind der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (EU-U.S. Data Privacy Framework), unter dem die Microsoft Corporation zertifiziert ist, sowie ergänzend die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO als Bestandteil des Microsoft Data Protection Addendum.

(7) Eine darüber hinausgehende Verarbeitung in einem Drittland erfolgt nicht und bedürfte der vorherigen Zustimmung des Auftraggebers in Textform sowie der Einhaltung der Voraussetzungen der Art. 44 bis 49 DSGVO.

§ 2 Konkretisierung des Auftragsinhalts

Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1, die Bestandteil dieses Vertrages ist.

§ 3 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Dies gilt auch für die Übermittlung von Daten an ein Drittland oder eine internationale Organisation, es sei denn, der Auftragnehmer ist hierzu nach dem Recht der Union oder der Mitgliedstaaten verpflichtet; in diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen werden in Textform erteilt. Mündliche Weisungen – etwa im Verlauf einer Fernwartungssitzung – sind zulässig; sie sind vom Auftraggeber unverzüglich in Textform zu bestätigen. Erfolgt keine Bestätigung, dokumentiert der Auftragnehmer die Weisung selbst und teilt sie dem Auftraggeber mit.

(3) Der Auftraggeber trägt die Verantwortung für die Rechtmäßigkeit der von ihm erteilten Weisungen sowie für die Zulässigkeit der Verarbeitung insgesamt.

(4) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Auftraggeber sie bestätigt oder ändert.

(5) Weisungsberechtigt auf Seiten des Auftraggebers ist die in Anlage 1 Ziffer 8 benannte Person; weisungsempfangend sind die dort benannten Personen des Auftragnehmers. Änderungen sind der jeweils anderen Partei unverzüglich mitzuteilen.

§ 4 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich:

1. personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung des Auftraggebers zu verarbeiten;
2. innerhalb seines Verantwortungsbereichs die Sicherheit der Verarbeitung nach Art. 32 DSGVO durch die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen zu gewährleisten;
3. sicherzustellen, dass sich alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO) und über die einschlägigen Datenschutzbestimmungen unterrichtet sind;
4. den Auftraggeber unverzüglich zu informieren, wenn er einen Verstoß gegen den Schutz personenbezogener Daten des Auftraggebers feststellt (§ 8 dieses Vertrages);
5. den Auftraggeber bei der Erfüllung von Betroffenenrechten sowie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen zu unterstützen (§ 9 dieses Vertrages);
6. ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen und dem Auftraggeber auf Anforderung den ihn betreffenden Auszug zur Verfügung zu stellen;
7. dem Auftraggeber alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind. Der Auftragnehmer stellt hierfür das Dokument „Nachweise zur Auftragsverarbeitung" bereit, das den Auszug nach Nummer 6 und die Auskunft nach Art. 28 Abs. 3 lit. h DSGVO enthält und auf Anforderung in Textform übermittelt wird;
8. die Verarbeitung räumlich, organisatorisch oder logisch von Verarbeitungen für andere Auftraggeber zu trennen;
9. den Auftraggeber unverzüglich zu informieren, wenn eine Aufsichtsbehörde beim Auftragnehmer Maßnahmen ergreift, die Daten des Auftraggebers betreffen können, oder wenn Dritte – etwa Strafverfolgungsbehörden – Zugriff auf diese Daten verlangen. Der Auftragnehmer wird einem solchen Verlangen nur nachkommen, soweit er gesetzlich dazu verpflichtet ist, und den Auftraggeber – soweit rechtlich zulässig – vorab unterrichten;
10. auf Verlangen des Auftraggebers eine Kontaktperson für Datenschutzfragen zu benennen. Ein Datenschutzbeauftragter ist beim Auftragnehmer nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO in Verbindung mit § 38 BDSG nicht vorliegen. Ansprechpartner in Datenschutzfragen ist die Geschäftsführung unter info@spg-direkt.de.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die zur Sicherstellung eines dem Risiko angemessenen Schutzniveaus erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer ist berechtigt, sie anzupassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren und dem Auftraggeber auf Anforderung mitzuteilen.

(3) Der Auftraggeber hat sich vor Beginn der Verarbeitung von der Angemessenheit der Maßnahmen überzeugt; mit Unterzeichnung dieses Vertrages bestätigt er dies.

(4) Der Auftragnehmer überprüft die Wirksamkeit der Maßnahmen regelmäßig.

§ 6 Unterauftragsverhältnisse

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und werden hiermit ausdrücklich genehmigt.

(2) Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Auftraggeber hierüber in Textform mit einer Frist von mindestens vier Wochen vor Beginn der Verarbeitung. Der Auftraggeber kann der Änderung innerhalb von zwei Wochen nach Zugang der Information aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen.

(3) Widerspricht der Auftraggeber und kann der Auftragnehmer die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht zu wirtschaftlich zumutbaren Bedingungen erbringen, steht beiden Parteien ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung zu.

(4) Der Auftragnehmer verpflichtet den Unterauftragsverarbeiter vertraglich auf Pflichten, die den Pflichten aus diesem Vertrag entsprechen (Art. 28 Abs. 4 DSGVO). Er wählt ihn sorgfältig aus und überzeugt sich vor Beauftragung sowie danach regelmäßig davon, dass dieser die erforderlichen technischen und organisatorischen Maßnahmen getroffen hat.

(5) Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Einhaltung wie für eigenes Handeln.

(6) Keine Unterauftragsverarbeitung im Sinne dieser Vorschrift sind Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt und die die Verarbeitung der Daten des Auftraggebers nicht zum Gegenstand haben – etwa Telekommunikationsleistungen, Postdienste, Reinigung oder die Entsorgung von Datenträgern. Auch bei solchen Leistungen hat der Auftragnehmer für die Wahrung der Vertraulichkeit zu sorgen.

§ 7 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, sich von der Einhaltung dieses Vertrages und der getroffenen technischen und organisatorischen Maßnahmen zu überzeugen.

(2) Der Nachweis erfolgt im Regelfall durch das Dokument „Nachweise zur Auftragsverarbeitung", das der Auftragnehmer auf Anforderung in Textform zur Verfügung stellt. Es enthält den Auszug aus dem Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO, die Beschreibung der technischen und organisatorischen Maßnahmen sowie die Auskunft über die Einhaltung der Pflichten aus Art. 28 DSGVO. Ergänzend stellt der Auftragnehmer auf Anforderung gegebenenfalls vorhandene Testate und Zertifikate zur Verfügung.

(3) Besteht ein konkreter Anlass – etwa ein gemeldeter Verstoß gegen den Schutz personenbezogener Daten, begründete Zweifel an der Einhaltung dieses Vertrages oder eine entsprechende Aufforderung einer Aufsichtsbehörde – kann der Auftraggeber eine Überprüfung in den Geschäftsräumen des Auftragnehmers durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Die Überprüfung ist mit einer Frist von mindestens zwei Wochen anzukündigen, findet während der üblichen Geschäftszeiten statt und darf den Betriebsablauf nicht unangemessen beeinträchtigen.

(4) Der Auftraggeber stellt sicher, dass bei der Kontrolle keine Geschäfts- und Betriebsgeheimnisse des Auftragnehmers und keine Daten anderer Kunden offengelegt werden. Ein vom Auftraggeber beauftragter Prüfer darf kein Wettbewerber des Auftragnehmers sein.

(5) Der Auftragnehmer ist verpflichtet, Auskünfte zu erteilen, soweit dies zur Durchführung einer Kontrolle im Sinne des Art. 28 Abs. 3 lit. h DSGVO erforderlich ist.

(6) Kontrollrechte einer zuständigen Aufsichtsbehörde bleiben von diesen Regelungen unberührt.

§ 8 Verletzung des Schutzes personenbezogener Daten

(1) Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten des Auftraggebers (Art. 33 Abs. 2 DSGVO).

(2) Die Mitteilung enthält, soweit dem Auftragnehmer bekannt:

• eine Beschreibung der Art der Verletzung, soweit möglich unter Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze,
• die wahrscheinlichen Folgen der Verletzung,
• die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung möglicher nachteiliger Auswirkungen,
• den Zeitpunkt der Feststellung sowie einen Ansprechpartner für Rückfragen.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei dessen Meldepflicht gegenüber der Aufsichtsbehörde nach Art. 33 DSGVO und bei der Benachrichtigung betroffener Personen nach Art. 34 DSGVO. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Auftraggeber; der Auftragnehmer nimmt sie nicht eigenständig vor.

(4) Der Auftragnehmer trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich hierüber mit dem Auftraggeber ab.

(5) Der Auftragnehmer dokumentiert Verletzungen des Schutzes personenbezogener Daten einschließlich der ergriffenen Abhilfemaßnahmen.

§ 9 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 12 bis 23 DSGVO) zu beantworten.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst. Er weist die betroffene Person darauf hin, dass der Auftraggeber Verantwortlicher ist.

(3) Der Auftragnehmer unterstützt den Auftraggeber ferner bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde – jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(4) Der Auftragnehmer berichtigt, löscht oder schränkt die Verarbeitung der Daten nur nach Weisung des Auftraggebers ein. Von dieser Bindung ausgenommen sind Fälle, in denen eine gesetzliche Verpflichtung des Auftragnehmers besteht.

§ 10 Vertraulichkeit

(1) Der Auftragnehmer verpflichtet die mit der Verarbeitung befassten Personen vor Aufnahme ihrer Tätigkeit schriftlich zur Vertraulichkeit und unterrichtet sie über die Besonderheiten der Datenverarbeitung im Auftrag sowie über die bestehende Weisungsbindung (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

(2) Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der Tätigkeit und nach Beendigung dieses Vertrages fort.

(3) Der Auftragnehmer beschränkt den Zugriff auf Daten des Auftraggebers auf diejenigen Personen, die ihn zur Erfüllung ihrer Aufgaben benötigen.

§ 11 Löschung nach Beendigung

(1) Der Auftragnehmer löscht Daten, die er zur Bearbeitung eines Supportfalls, einer Datenübernahme oder einer Datenrettung erhalten hat, unverzüglich nach Abschluss des jeweiligen Vorgangs einschließlich aller Kopien, Zwischenstände und Sicherungen. Einer gesonderten Aufforderung des Auftraggebers bedarf es nicht.

(1a) Nachrichten mit Anträgen aus der SPG-Onlineform werden im Postausgang des Auftragnehmers durch eine automatisierte Aufbewahrungsrichtlinie nach sieben Tagen gelöscht. Auf dem Webserver des Formulars werden Antragsdaten nicht dauerhaft gespeichert.

(2) Nach Beendigung dieses Vertrages löscht der Auftragnehmer sämtliche noch bei ihm vorhandenen personenbezogenen Daten des Auftraggebers. Eine Rückgabe nach Art. 28 Abs. 3 lit. g DSGVO kommt regelmäßig nicht in Betracht, weil der Auftragnehmer ausschließlich Kopien von Datenbeständen erhält, über die der Auftraggeber selbst verfügt. Ist bei einer Datenübernahme oder Datenrettung ein Arbeitsergebnis entstanden, das dem Auftraggeber noch nicht übergeben wurde, stellt der Auftragnehmer es ihm auf Verlangen vor der Löschung digital in einem gängigen Format bereit; die Übergabe erfolgt als verschlüsseltes, kennwortgeschütztes Archiv. Ein solches Verlangen ist spätestens mit Vertragsende in Textform mitzuteilen.

(3) Von der Löschungspflicht ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Diese Daten werden gesperrt und nach Ablauf der Aufbewahrungsfrist gelöscht. Der Auftragnehmer teilt dem Auftraggeber auf Anforderung mit, welche Daten hiervon betroffen sind und auf welcher Grundlage sie aufbewahrt werden.

(4) Der Auftragnehmer bestätigt die Löschung dem Auftraggeber auf Anforderung in Textform.

(5) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, darf der Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.

§ 12 Vergütung

(1) Die Erfüllung der Pflichten aus diesem Vertrag ist mit der Vergütung aus dem Hauptvertrag abgegolten, soweit nachfolgend nichts Abweichendes bestimmt ist.

(2) Die Unterstützung bei einzelnen Anfragen betroffener Personen sowie die Bereitstellung der Nachweise nach § 7 Abs. 2 erfolgen für den Auftraggeber kostenfrei.

(3) Über den üblichen Umfang hinausgehende Mitwirkungsleistungen – insbesondere die Begleitung einer Vor-Ort-Kontrolle nach § 7 Abs. 3, umfangreiche Zuarbeit zu einer Datenschutz-Folgenabschätzung sowie die Wiederherstellung von Daten, deren Verlust nicht vom Auftragnehmer zu vertreten ist – werden nach dem tatsächlichen Aufwand gemäß der jeweils gültigen Preisliste des Auftragnehmers vergütet. Der Auftragnehmer weist den Auftraggeber vor Beginn solcher Leistungen auf die Kostenpflicht hin und stimmt den voraussichtlichen Umfang mit ihm ab.

(4) Ergibt eine Kontrolle nach § 7 Abs. 3, dass der Auftragnehmer gegen diesen Vertrag oder datenschutzrechtliche Vorschriften verstoßen hat, trägt er die Kosten der Kontrolle selbst.

§ 13 Haftung

(1) Für die Haftung der Parteien untereinander gelten die Regelungen des Hauptvertrages, soweit nachfolgend nichts Abweichendes bestimmt ist.

(2) Im Außenverhältnis gegenüber betroffenen Personen gilt Art. 82 DSGVO.

(3) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich. Der Auftragnehmer haftet für Schäden nur, soweit er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder unter Nichtbeachtung beziehungsweise entgegen den rechtmäßig erteilten Weisungen des Auftraggebers gehandelt hat.

§ 14 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages einschließlich seiner Anlagen bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.

(1a) Elektronischer Abschluss: Dieser Vertrag wird nach Art. 28 Abs. 9 DSGVO ausschließlich in elektronischem Format geschlossen. Er kommt zustande, indem der Auftraggeber im Bestellvorgang des Auftragnehmers ausdrücklich seinen Abschluss bestätigt; einer eigenhändigen Unterzeichnung bedarf es nicht. Der Auftragnehmer stellt dem Auftraggeber den vollständigen Vertragstext einschließlich der Anlagen und der ihn betreffenden Angaben unverzüglich in Textform zur Verfügung und hält ihn im Kundenbereich dauerhaft zum Abruf bereit.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages vor, soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht.

(3) Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine wirksame zu ersetzen, die dem wirtschaftlichen Zweck am nächsten kommt.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

(5) Ist der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Gerichtsstand für alle Streitigkeiten aus diesem Vertrag der Sitz des Auftragnehmers. Der Auftragnehmer ist auch berechtigt, am allgemeinen Gerichtsstand des Auftraggebers zu klagen.

(6) Bestandteil dieses Vertrages sind die Anlagen 1 bis 3.

---

Abschluss des Vertrages

Dieser Vertrag wird nach Art. 28 Abs. 9 DSGVO in elektronischem Format geschlossen. Eine Unterzeichnung findet nicht statt; der Abschluss wird wie folgt dokumentiert:

Der Auftragnehmer hat diesen Vertrag mit Bereitstellung im Bestellvorgang angeboten; der Auftraggeber hat ihn mit der vorstehend dokumentierten Bestätigung angenommen.

---

Anlage 1 – Beschreibung der Verarbeitung

1. Beauftragte Leistungsbereiche

Beauftragt sind: [siehe Bestellung]

Bereich A – Softwarebetreuung ist in den Ziffern 2 bis 4 beschrieben, Bereich B – SPG-Onlineform Mitgliederantrag in den Ziffern 5 bis 7. Es gelten ausschließlich die vorstehend genannten Bereiche. Beauftragt der Auftraggeber später eine weitere Leistung, erweitert sich dieser Vertrag entsprechend; der Auftragnehmer stellt ihm die aktualisierte Fassung in Textform zur Verfügung.

---

Bereich A – Softwarebetreuung

2. Gegenstand und Art der Verarbeitung

Betreuung, Wartung und Instandhaltung der beim Auftraggeber eingesetzten Software SPG-Verein einschließlich der damit zusammenhängenden Dienstleistungen.

Der Auftragnehmer erhält in diesem Bereich ausschließlich in den folgenden Fällen Zugang zu personenbezogenen Daten des Auftraggebers:

Im laufenden Betrieb der Software findet keine Verarbeitung personenbezogener Daten des Auftraggebers durch den Auftragnehmer statt. Die Software überträgt keine Inhaltsdaten an den Auftragnehmer.

3. Zweck der Verarbeitung

Analyse und Behebung von Störungen, Wiederherstellung der Funktionsfähigkeit der Software, Überführung von Datenbeständen sowie Einweisung und Schulung von Anwendern.

4. Art der personenbezogenen Daten

Je nach Anlass können folgende Datenarten betroffen sein:

• Stammdaten der Mitglieder: Anrede, Name, Geburtsdatum, Anschrift, Telefonnummer, E-Mail-Adresse
• Mitgliedschaftsdaten: Eintritts- und Austrittsdatum, Mitgliedsnummer, Beitragsklasse, Abteilungs- und Gruppenzugehörigkeit, Funktionen und Ämter
• Zahlungs- und Buchhaltungsdaten: Bankverbindung (IBAN, BIC, Kontoinhaber), SEPA-Mandatsdaten, Beitragsbuchungen, offene Posten, Spendenbescheinigungen
• Kommunikationsdaten: Schriftverkehr, Vermerke, Notizen
• Ehrungs- und Jubiläumsdaten
• Daten zu Lizenzen, Qualifikationen und Übungsleitertätigkeiten, soweit vom Auftraggeber erfasst
• gegebenenfalls weitere vom Auftraggeber in der Software erfasste Felder, einschließlich freier Zusatzfelder

Hinweis: Der Auftraggeber ist dafür verantwortlich, welche Daten er in der Software erfasst. Erfasst er besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO – etwa Gesundheitsdaten oder Angaben zur Religionszugehörigkeit im Zusammenhang mit der Kirchensteuer –, teilt er dies dem Auftragnehmer vor der Übermittlung von Datenbeständen mit.

Kategorien betroffener Personen in Bereich A:

• Mitglieder des Auftraggebers, einschließlich ehemaliger Mitglieder
• gesetzliche Vertreter minderjähriger Mitglieder
• Vorstandsmitglieder, Übungsleiter, Trainer und sonstige Funktionsträger
• Beschäftigte und ehrenamtlich Tätige des Auftraggebers
• Spender, Sponsoren und Geschäftspartner des Auftraggebers
• Interessenten und sonstige Kontakte, soweit vom Auftraggeber erfasst

Dauer der Verarbeitung in Bereich A: Die Verarbeitung ist auf die Dauer des jeweiligen Vorgangs beschränkt. Nach dessen Abschluss werden die Daten gemäß § 11 Abs. 1 dieses Vertrages gelöscht.

---

Bereich B – SPG-Onlineform Mitgliederantrag

5. Gegenstand und Art der Verarbeitung

Der Auftragnehmer stellt dem Auftraggeber unter online.spg-direkt.de ein Online-Antragsformular zur Verfügung. Der Auftraggeber gestaltet die abgefragten Felder und verlinkt das Formular auf seinen eigenen Kanälen.

Eine dauerhafte Speicherung der Antragsdaten auf dem Webserver findet nicht statt. Eine Kopie der Versandnachricht verbleibt im Postausgang des Auftragnehmers und wird dort nach Ziffer 7 automatisiert gelöscht.

6. Art der personenbezogenen Daten und betroffene Personen

Betroffen sind die Personen, die einen Aufnahmeantrag stellen, sowie deren gesetzliche Vertreter bei minderjährigen Antragstellern.

Erfasst werden die vom Auftraggeber im Formular vorgesehenen Felder, insbesondere:

• Stammdaten: Anrede, Name, Geburtsdatum, Anschrift, Telefonnummer, E-Mail-Adresse
• Zahlungsdaten: Bankverbindung (IBAN, Kontoinhaber) sowie die Erteilung eines SEPA-Lastschriftmandats
• Angaben zur gewünschten Mitgliedschaft: Abteilung, Sparte, Beitragsklasse, Eintrittswunsch
• vom Auftraggeber vorgesehene Einwilligungen, etwa zur Veröffentlichung von Fotos oder zum Newsletterbezug

Hinweis: Der Auftraggeber entscheidet, welche Felder das Formular abfragt. Er ist dafür verantwortlich, dass die Abfrage erforderlich und die Verarbeitung rechtmäßig ist. Sieht er Felder vor, über die besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO erhoben werden können, teilt er dies dem Auftragnehmer vor der Freischaltung mit.

Informationspflicht: Der Auftraggeber hinterlegt im Formular den Datenschutzhinweis nach Art. 13 DSGVO für die Antragsteller. Er ist insoweit Verantwortlicher; der Auftragnehmer stellt lediglich das Eingabefeld bereit und prüft den Inhalt nicht.

7. Dauer der Verarbeitung in Bereich B

Ein erneuter Versand der Antragsdatei findet nicht statt.

---

8. Weisungsberechtigte und weisungsempfangende Personen

Weisungsberechtigt auf Seiten des Auftraggebers:

[im Kundenbereich zu hinterlegen]

Weisungsberechtigt ist die im Kundenkonto des Auftraggebers hinterlegte Person. Der Auftraggeber kann sie dort jederzeit selbst austauschen; maßgeblich ist der jeweils aktuelle Eintrag, einer Änderung dieses Vertrages bedarf es dafür nicht. Der Auftraggeber hält den Eintrag aktuell, insbesondere beim Wechsel von Vorstandsämtern.

Weisungsempfangend auf Seiten des Auftragnehmers:

Geschäftsführung der bmp GmbH sowie die von ihr benannten Mitarbeitenden des Supports
E-Mail: info@spg-direkt.de, Telefon: 05172-9718010

---

Anlage 2 – Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Diese Anlage beschreibt die technischen und organisatorischen Maßnahmen, die der Auftragnehmer zum Zeitpunkt des Vertragsschlusses getroffen hat. Sie sind Gegenstand seiner Zusage nach § 5 dieses Vertrages.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle – Verhinderung des Zutritts Unbefugter zu Datenverarbeitungsanlagen:

• Die Geschäftsräume sind abschließbar und werden außerhalb der Geschäftszeiten verschlossen gehalten.
• Besucher werden nicht unbeaufsichtigt in Räumen mit Datenverarbeitungsanlagen gelassen.

Zugangskontrolle – Verhinderung der Nutzung von Systemen durch Unbefugte:

• Jede mit der Verarbeitung befasste Person nutzt ein persönliches Benutzerkonto mit eigenem Kennwort; Sammelkonten werden nicht verwendet.
• Für Kennwörter bestehen Vorgaben zu Mindestlänge, Komplexität und Wechsel.
• Arbeitsplätze sperren sich nach einer Zeit ohne Eingabe automatisch.
• Firewall und Virenschutz sind im Einsatz; Betriebssysteme und Anwendungen werden durch regelmäßige Sicherheitsupdates aktuell gehalten.
• Zugriffe von außerhalb des Firmennetzes erfolgen über einen gesicherten VPN-Zugang.
• Für Zugriffe von außen ist eine Zwei-Faktor-Authentifizierung eingerichtet.

Zugriffskontrolle – Beschränkung des Zugriffs auf das Erforderliche:

• Eingesandte Kundendatenbestände werden ausschließlich auf einem hierfür bestimmten, gesonderten Laufwerk abgelegt, das von der allgemeinen Dateiablage des Auftragnehmers getrennt ist.
• Der Zugriff auf dieses Laufwerk ist technisch auf die mit dem jeweiligen Vorgang befassten Mitarbeitenden beschränkt.

Trennungskontrolle:

• Datenbestände unterschiedlicher Auftraggeber werden getrennt voneinander abgelegt und bearbeitet.
• Test- und Entwicklungsumgebungen werden von Kundendatenbeständen getrennt gehalten.

Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO):

• Datenbestände werden ausschließlich als verschlüsseltes, kennwortgeschütztes Archiv nach dem Stand der Technik (AES-256) übergeben. Das Kennwort wird auf einem vom Archiv getrennten Weg übermittelt, in der Regel telefonisch.
• Die Eingaben in das Online-Antragsformular werden TLS-verschlüsselt an den Server übertragen.
• Der Versand der Anträge erfolgt über einen Connector mit erzwungener Transportverschlüsselung (TLS) und Prüfung des Empfängerzertifikats. Nachrichten an Mailserver ohne TLS-Unterstützung werden nicht zugestellt.
• Fernwartungsverbindungen sind durch das eingesetzte Produkt Ende-zu-Ende verschlüsselt.
• Der Auftraggeber wird darauf hingewiesen, wenn die Übersendung eines anonymisierten oder reduzierten Datenbestandes zur Fehleranalyse ausreicht.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle:

• Kundendatenbestände werden nicht an Dritte weitergegeben, außer an die in Anlage 3 genannten Unterauftragsverarbeiter.
• Datenbestände werden nur nach vorheriger Absprache mit dem Auftraggeber angefordert.

Eingabekontrolle:

• Die Bearbeitung von Supportvorgängen wird im Ticketsystem des Auftragnehmers nachvollziehbar dokumentiert. Dazu gehören auch Änderungen, die an einem Datenbestand des Auftraggebers vorgenommen werden.
• Fernwartungssitzungen werden nur nach aktiver Freigabe durch den Auftraggeber aufgebaut; dieser sieht durchgehend, welche Handlungen vorgenommen werden.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Die Verarbeitung in Bereich A erfolgt ausschließlich auf Systemen in den Räumen des Auftragnehmers in Deutschland.
• In Bereich B werden das Formular bei der Host Europe GmbH in Deutschland und der Nachrichtenversand über Microsoft 365 innerhalb der Europäischen Union betrieben (siehe Anlage 3).
• Der Webserver des Antragsformulars führt Zugriffsprotokolle, die technisch erforderlich sind und die Antragsdaten selbst nicht enthalten. Sie werden kurzfristig gespeichert und anschließend gelöscht.
• Die Systeme des Auftragnehmers werden regelmäßig gesichert. Die Wiederherstellbarkeit der Sicherungen wird überprüft.
• Zentrale Systeme sind durch eine unterbrechungsfreie Stromversorgung abgesichert.
• Für die Wiederherstellung nach einem Ausfall besteht ein dokumentiertes Vorgehen.

Wichtiger Hinweis: Der Auftragnehmer erstellt keine Sicherungen der Datenbestände des Auftraggebers. Die Datensicherung der produktiven Daten obliegt ausschließlich dem Auftraggeber.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Alle mit der Verarbeitung befassten Personen sind schriftlich zur Vertraulichkeit verpflichtet.
• Die Mitarbeitenden werden mindestens jährlich zum Datenschutz unterwiesen.
• Für den Umgang mit Verletzungen des Schutzes personenbezogener Daten besteht ein dokumentiertes Vorgehen, das die Einhaltung der Frist nach Art. 33 DSGVO sicherstellt.
• Eingesandte Datenbestände werden nach Abschluss des Vorgangs gelöscht.
• Für Nachrichten mit Anträgen aus der SPG-Onlineform besteht eine automatisierte Aufbewahrungsrichtlinie in Microsoft 365 mit einer Löschfrist von sieben Tagen.
• Ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO liegt vor und wird gepflegt; der den Auftraggeber betreffende Auszug wird auf Anforderung zur Verfügung gestellt.
• Die in dieser Anlage beschriebenen Maßnahmen werden mindestens jährlich überprüft und bei Bedarf angepasst.

5. Auftragskontrolle

• Verarbeitung ausschließlich nach Weisung des Auftraggebers, geregelt in diesem Vertrag.
• Sorgfältige Auswahl und vertragliche Bindung von Unterauftragsverarbeitern.
• Benennung fester Ansprechpartner für den Auftraggeber.

Stand dieser Anlage: 6. August 2026. Bei jeder wesentlichen Änderung fortzuschreiben.

---

Anlage 3 – Unterauftragsverarbeiter

Der Auftraggeber genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:

Zu Microsoft: Es gilt das Microsoft Data Protection Addendum einschließlich der Standardvertragsklauseln. Kundendaten werden nach der EU-Datengrenze innerhalb der Europäischen Union gespeichert und verarbeitet. Zu möglichen Zugriffen aus den Vereinigten Staaten siehe § 1 Abs. 6 dieses Vertrages.

Weitere Unterauftragsverarbeiter werden nicht eingesetzt. Insbesondere werden keine Cloud-Dienste zur Speicherung von Datenbeständen des Auftraggebers und keine externen IT-Dienstleister mit Zugriffsmöglichkeit auf Kundendaten eingesetzt.

Änderungen richten sich nach § 6 dieses Vertrages.

---

Stand: 6. August 2026