Nachweise zur Auftragsverarbeitung

Verzeichnis nach Art. 30 Abs. 2 DSGVO und Auskunft nach Art. 28 Abs. 3 lit. h DSGVO

bmp GmbH · Fassung vom 6. August 2026

---

Dieses Dokument stellt die bmp GmbH ihren Auftraggebern zur Verfügung, damit diese ihre Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO erfüllen können. Es enthält zwei Teile: den Auszug aus dem Verzeichnis der im Auftrag durchgeführten Verarbeitungen und die Auskunft über die Einhaltung der Pflichten aus Art. 28 DSGVO.

Grundlage ist der zwischen den Parteien geschlossene Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (nachfolgend „AV-Vertrag").

---

Teil 1 – Verzeichnis der Verarbeitungstätigkeiten im Auftrag

Art. 30 Abs. 2 DSGVO

1. Auftragsverarbeiter

2. Verantwortlicher

3. Kategorien der im Auftrag durchgeführten Verarbeitungen

Die nachstehenden Kategorien gelten, soweit der Verantwortliche den jeweiligen Leistungsbereich beauftragt hat.

Bereich A – Softwarebetreuung

Betroffene Datenarten: Stammdaten der Mitglieder, Mitgliedschaftsdaten, Zahlungs- und Buchhaltungsdaten einschließlich Bankverbindung und SEPA-Mandatsdaten, Kommunikationsdaten sowie alle weiteren vom Verantwortlichen in der Software erfassten Felder.

Im laufenden Betrieb der Software findet keine Verarbeitung durch die bmp GmbH statt. Die Software wird ausschließlich lokal beim Verantwortlichen betrieben und überträgt keine Inhaltsdaten.

Bereich B – SPG-Onlineform Mitgliederantrag

Betroffene Datenarten: Stammdaten der Antragsteller, Bankverbindung und SEPA-Mandatsdaten, gewünschte Abteilung, Sparte und Beitragsklasse sowie die vom Verantwortlichen vorgesehenen Einwilligungen.

Anders als in Bereich A handelt es sich hier um eine laufende Verarbeitung: Die Antragsdaten durchlaufen Systeme der bmp GmbH.

4. Kategorien betroffener Personen

Mitglieder und ehemalige Mitglieder des Verantwortlichen; Aufnahmeinteressenten, die einen Online-Antrag stellen; gesetzliche Vertreter minderjähriger Mitglieder und Antragsteller; Vorstandsmitglieder, Übungsleiter, Trainer und sonstige Funktionsträger; Beschäftigte und ehrenamtlich Tätige; Spender, Sponsoren und Geschäftspartner des Verantwortlichen.

5. Übermittlungen an Drittländer

Die Verarbeitung erfolgt in der Bundesrepublik Deutschland und im Übrigen innerhalb der Europäischen Union.

Beim Versand der Anträge aus der SPG-Onlineform wird Microsoft 365 eingesetzt. Microsoft speichert und verarbeitet die Daten nach der EU-Datengrenze innerhalb der Europäischen Union. Ein Zugriff aus den Vereinigten Staaten im Rahmen von Support- und Wartungsvorgängen ist nicht vollständig auszuschließen. Grundlage sind der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (EU-U.S. Data Privacy Framework), unter dem die Microsoft Corporation zertifiziert ist, sowie ergänzend die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO im Rahmen des Microsoft Data Protection Addendum.

Weitere Übermittlungen in Drittländer oder an internationale Organisationen finden nicht statt.

6. Unterauftragsverarbeiter

Weitere Unterauftragsverarbeiter werden nicht eingesetzt. Über beabsichtigte Änderungen wird der Verantwortliche mindestens vier Wochen vorher in Textform unterrichtet; ihm steht ein Widerspruchsrecht zu (§ 6 AV-Vertrag).

7. Löschfristen

8. Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen

Art. 30 Abs. 2 lit. d in Verbindung mit Art. 32 Abs. 1 DSGVO

Vertraulichkeit

• Abschließbare Geschäftsräume; Besucher werden in Räumen mit Datenverarbeitungsanlagen nicht unbeaufsichtigt gelassen.
• Persönliche Benutzerkonten mit eigenen Kennwörtern, Vorgaben zu Mindestlänge, Komplexität und Wechsel, automatische Bildschirmsperre.
• Firewall und Virenschutz, regelmäßige Sicherheitsupdates.
• Zugriffe von außerhalb des Firmennetzes ausschließlich über VPN mit Zwei-Faktor-Authentifizierung.
• Eingesandte Kundendatenbestände liegen auf einem gesonderten Laufwerk, getrennt von der allgemeinen Dateiablage; der Zugriff ist technisch auf die mit dem Vorgang befassten Mitarbeitenden beschränkt.
• Datenbestände unterschiedlicher Auftraggeber sowie Test- und Entwicklungsumgebungen werden getrennt gehalten.

Verschlüsselung

• Übergabe von Datenbeständen ausschließlich als kennwortgeschütztes Archiv nach dem Stand der Technik (AES-256); das Kennwort wird auf getrenntem Weg übermittelt.
• TLS-verschlüsselte Übertragung der Formulareingaben; Versand der Anträge mit erzwungener Transportverschlüsselung und Prüfung des Empfängerzertifikats.
• Ende-zu-Ende-verschlüsselte Fernwartungsverbindungen.

Integrität

• Supportvorgänge werden im Ticketsystem nachvollziehbar dokumentiert, einschließlich Änderungen an Datenbeständen des Verantwortlichen.
• Fernwartungssitzungen kommen nur nach aktiver Freigabe zustande; der Verantwortliche sieht durchgehend, welche Handlungen vorgenommen werden.
• Keine Weitergabe an Dritte außer an die in Ziffer 6 genannten Unterauftragsverarbeiter.

Verfügbarkeit und Belastbarkeit

• Regelmäßige Datensicherung der eigenen Systeme, deren Wiederherstellbarkeit überprüft wird.
• Unterbrechungsfreie Stromversorgung für zentrale Systeme, dokumentiertes Wiederherstellungsverfahren.
• Die Sicherung der produktiven Datenbestände obliegt ausschließlich dem Verantwortlichen. Die bmp GmbH erstellt hiervon keine Sicherungen.

Überprüfung und Organisation

• Alle mit der Verarbeitung befassten Personen sind schriftlich zur Vertraulichkeit verpflichtet und werden mindestens jährlich zum Datenschutz unterwiesen.
• Für den Umgang mit Verletzungen des Schutzes personenbezogener Daten besteht ein dokumentiertes Vorgehen.
• Die Maßnahmen werden mindestens jährlich überprüft und bei Bedarf angepasst.

---

Teil 2 – Auskunft nach Art. 28 Abs. 3 lit. h DSGVO

Die folgenden Angaben dienen dem Verantwortlichen als Nachweis, dass die bmp GmbH die Pflichten aus Art. 28 DSGVO einhält. In Klammern steht jeweils die Fundstelle im AV-Vertrag.

Liegt ein Vertrag nach Art. 28 DSGVO vor, und wie wurde er geschlossen?
Ja. Der Vertrag wird nach Art. 28 Abs. 9 DSGVO ausschließlich in elektronischem Format geschlossen: Der Verantwortliche bestätigt ihn im Bestellvorgang, der vollständige Text wird ihm in Textform übermittelt und steht im Kundenbereich dauerhaft zum Abruf bereit (§ 14 Abs. 1a).

Verarbeitet die bmp GmbH Daten zu eigenen Zwecken?
Nein. Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen. Eine Nutzung zu Werbe-, Analyse- oder Produktentwicklungszwecken findet nicht statt (§ 1 Abs. 2, § 3).

Sind die Mitarbeitenden auf Vertraulichkeit verpflichtet?
Ja. Jede mit der Verarbeitung befasste Person wird vor Aufnahme der Tätigkeit schriftlich verpflichtet und über die Weisungsbindung unterrichtet. Die Verpflichtung gilt nach Ende der Tätigkeit unbefristet fort (§ 10).

Werden Unterauftragsverarbeiter eingesetzt?
Ja, die in Teil 1 Ziffer 6 genannten. Sie werden sorgfältig ausgewählt und auf Pflichten verpflichtet, die denen des AV-Vertrags entsprechen. Über beabsichtigte Änderungen wird mindestens vier Wochen vorher in Textform informiert; der Verantwortliche kann aus datenschutzrechtlichem Anlass widersprechen (§ 6).

Wie wird bei einer Verletzung des Schutzes personenbezogener Daten verfahren?
Die bmp GmbH informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, und übermittelt die zur Meldung erforderlichen Angaben. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen dem Verantwortlichen; die bmp GmbH unterstützt ihn dabei (§ 8).

Wie wird bei Anfragen betroffener Personen unterstützt?
Wendet sich eine betroffene Person unmittelbar an die bmp GmbH, wird das Anliegen unverzüglich an den Verantwortlichen weitergeleitet und nicht selbst beantwortet. Bei der Beantwortung von Anträgen nach Art. 12 bis 23 DSGVO unterstützt die bmp GmbH mit geeigneten Maßnahmen (§ 9).

Was geschieht mit den Daten nach Ende des Auftrags?
Eingesandte Datenbestände werden unmittelbar nach Abschluss des jeweiligen Vorgangs gelöscht, nach Vertragsende auch alle sonst noch vorhandenen Daten. Eine Rückgabe kommt regelmäßig nicht in Betracht, weil die bmp GmbH ausschließlich Kopien von Datenbeständen erhält, über die der Verantwortliche selbst verfügt. Ist bei einer Datenübernahme oder Datenrettung ein Arbeitsergebnis entstanden, das noch nicht übergeben wurde, wird es auf Verlangen vor der Löschung digital bereitgestellt. Die Löschung wird auf Anforderung in Textform bestätigt (§ 11).

Welche Kontrollrechte hat der Verantwortliche?
Er kann sich von der Einhaltung des Vertrages überzeugen. Im Regelfall geschieht das durch die hier vorliegenden Unterlagen. Bei konkretem Anlass — etwa einem gemeldeten Vorfall oder einer Aufforderung der Aufsichtsbehörde — kann eine Überprüfung in den Geschäftsräumen erfolgen, angekündigt mit einer Frist von zwei Wochen (§ 7).

Ist ein Datenschutzbeauftragter bestellt?
Nein; die Voraussetzungen des Art. 37 DSGVO in Verbindung mit § 38 BDSG liegen nicht vor, da weniger als zwanzig Personen ständig mit automatisierter Verarbeitung befasst sind. Ansprechpartner in Datenschutzfragen ist die Geschäftsführung unter info@spg-direkt.de.

Wird ein Verzeichnis nach Art. 30 Abs. 2 DSGVO geführt?
Ja. Teil 1 dieses Dokuments ist der den Verantwortlichen betreffende Auszug daraus.

---

Diese Auskunft ist so gestaltet, dass sie die üblichen Prüffragen beantwortet und einen eigenen Fragebogen des Verantwortlichen entbehrlich macht. Wird darüber hinaus eine gesonderte Zuarbeit gewünscht, gilt § 12 Abs. 3 des AV-Vertrages.

Für Rückfragen: bmp GmbH, info@spg-direkt.de, Telefon 05172-9718010

---

Fassung vom 6. August 2026. Es gilt jeweils die zuletzt übermittelte Fassung.