E‑Rechnung: Rechnungen digital erstellen und verwalten
Bereiten Sie Ihren Verein optimal auf die Digitalisierung vor. SPG-Verein 4
unterstützt Sie bei der Erstellung von gesetzeskonformen E-Rechnungen im
ZUGFeRD-Format und rüstet Sie damit für die Anforderungen an die elektronische
Rechnungsstellung (E-Rechnungspflicht ab 2025).
Was ist eine ZUGFeRD-Rechnung?
Das Format bietet Ihnen eine „hybride“ Lösung: Sie versenden eine herkömmliche PDF-Datei, die wie gewohnt lesbar und druckbar ist. Im Hintergrund enthält diese Datei jedoch zusätzlich einen XML-Datensatz. Dieser ermöglicht es Empfängern – insbesondere Firmen und Sponsoren – die Rechnungsdaten automatisch und fehlerfrei in ihre eigene Buchhaltungssoftware zu übernehmen.
Einfache Einrichtung und Handhabung
Zentrale Konfiguration
In den Bestandseinstellungen hinterlegen Sie einmalig alle relevanten Daten wie Ihre Umsatzsteuer-ID, den Standard-Steuersatz, Zahlungsfristen und IBAN. Auch Mengeneinheiten lassen sich hier normgerecht zuordnen.
Integration in den Arbeitsablauf
Sie müssen keine neuen Prozesse lernen. Erstellen Sie Ihre Rechnungen wie gewohnt über die Funktion „Rechnungen ausgeben“. Um eine E-Rechnung zu generieren, setzen Sie lediglich das Häkchen bei „PDF als ZUGFeRD-E-Rechnung erstellen“.
(*) ab SPG-Verein Version 4.4.0.1
Automatische Archivierung
Die erstellten Rechnungen werden strukturiert in Ihrem Dokumentenarchiv abgelegt, sodass Sie jederzeit Zugriff auf die Rechnungen haben.
wurde in den Warenkorb gelegt.
BLZ oder IBAN prüfen
Für dieses Produkt prüfen wir kurz, ob Sie SPG-Verein über Ihre Sparkasse beziehen.
Bitte geben Sie die BLZ oder IBAN Ihres Vereinskontos ein.
✓
Datenschutzerklärung
für die Software SPG-Verein
Stand: 6. August 2026
1. Verantwortlicher
Verantwortlicher für die in dieser Erklärung beschriebenen Verarbeitungen ist:
bmp GmbH
Eichendorffstr. 14
31224 Peine
Deutschland
Telefon: 05172-9718010
E-Mail: info@spg-direkt.de
Vertretungsberechtigte Geschäftsführer: Erik Böker, Kai Magerkord
Registergericht: Amtsgericht Hildesheim, HRB 101372
Einen Datenschutzbeauftragten haben wir nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO in Verbindung mit § 38 BDSG bei uns nicht vorliegen. Fragen zum Datenschutz richten Sie bitte an die oben genannten Kontaktdaten.
2. Geltungsbereich
Diese Erklärung beschreibt, wie wir personenbezogene Daten im Zusammenhang mit der Software SPG-Verein verarbeiten – also im Rahmen des Erwerbs, der Lizenzierung, der Aktualisierung und der Betreuung der Software – sowie im Zusammenhang mit der SPG-Onlineform Mitgliederantrag (Ziffer 11).
Für unsere Website gilt eine gesonderte Datenschutzerklärung.
3. Wer ist wofür verantwortlich?
Diese Frage ist bei einer Software zur Mitgliederverwaltung zentral, deshalb steht sie am Anfang.
3.1 Die Software läuft lokal bei Ihnen
SPG-Verein wird auf Ihren eigenen Rechnern oder Servern installiert und betrieben. Sämtliche von Ihnen erfassten Daten – Mitgliederdaten, Beiträge, Buchungen, Abteilungszugehörigkeiten, Bankverbindungen und alles Weitere – verbleiben ausschließlich in Ihrer eigenen Umgebung. Es findet keine automatische Übertragung dieser Daten an uns oder an Dritte statt. Wir betreiben für SPG-Verein keinen Cloud-Speicher und keine gehostete Variante.
Eine Ausnahme bildet die SPG-Onlineform Mitgliederantrag, sofern Sie diese zusätzlich einsetzen: Dabei werden Antragsdaten über einen von uns bereitgestellten Server erfasst und an Sie übermittelt. Ziffer 11 beschreibt das im Einzelnen.
3.2 Sie sind Verantwortlicher für Ihre Mitgliederdaten
Für die Verarbeitung der Daten Ihrer Mitglieder, Mitarbeitenden und sonstigen betroffenen Personen sind allein Sie – der Verein oder die Organisation, die die Software einsetzt – Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Sie entscheiden über Zwecke und Mittel dieser Verarbeitung. Sie treffen auch die erforderlichen technischen und organisatorischen Maßnahmen in Ihrer eigenen IT-Umgebung (siehe die Hinweise in Ziffer 14).
3.3 Wir sind Verantwortlicher für die Vertragsbeziehung zu Ihnen
Für die Daten, die im Verhältnis zwischen Ihnen als Kunde und uns als Anbieter anfallen – Bestell-, Lizenz-, Rechnungs- und Supportdaten – sind wir Verantwortlicher. Diese Verarbeitungen beschreiben die Ziffern 4 bis 6.
3.4 Beim Support werden wir zum Auftragsverarbeiter
In bestimmten Situationen verarbeiten wir Daten, für die Sie Verantwortlicher sind – bei der Fernwartung, bei der Einsendung von Datenbanken zur Fehleranalyse, bei Datenübernahmen, Datenrettungen, Schulungen an Echtdaten sowie beim Betrieb der SPG-Onlineform. In diesen Fällen handeln wir ausschließlich nach Ihrer Weisung und sind Auftragsverarbeiter nach Art. 28 DSGVO. Für diese Fälle schließen wir mit Ihnen einen Vertrag zur Auftragsverarbeitung. Diese Verarbeitungen beschreiben die Ziffern 7 bis 11.
4. Kunden-, Vertrags- und Lizenzdaten
Beim Erwerb und der Nutzung von SPG-Verein verarbeiten wir:
Name und Anschrift des Vereins beziehungsweise der Organisation
Namen, Funktion und Kontaktdaten der Ansprechpersonen (Vorstand, Kassenwart, EDV-Betreuung)
E-Mail-Adresse und Telefonnummer
Kundennummer, Lizenznummer, erworbene Module und Anzahl der Arbeitsplätze
Bestell-, Rechnungs- und Zahlungsdaten
Vertragslaufzeiten, Update- und Servicevereinbarungen
Zweck: Abschluss und Durchführung des Vertrages, Lizenzverwaltung, Rechnungsstellung, Erfüllung steuer- und handelsrechtlicher Pflichten, Information über Programmaktualisierungen und für den Betrieb wesentliche Änderungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB (Aufbewahrung), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kundenbetreuung und Produktinformation). Speicherdauer: Für die Dauer der Vertragsbeziehung. Danach werden die Daten gesperrt und nach Ablauf der gesetzlichen Aufbewahrungsfristen von bis zu zehn Jahren gelöscht.
5. Update- und Lizenzprüfung
SPG-Verein stellt in zwei Fällen eine Verbindung zu unseren Servern her:
Update-Prüfung – die Software fragt ab, ob eine neuere Programmversion vorliegt.
Lizenz- und Aktivierungsprüfung – die Gültigkeit Ihres Lizenzschlüssels wird überprüft.
Dabei werden übermittelt und protokolliert:
die Lizenznummer
die installierte Programmversion
die IP-Adresse des anfragenden Anschlusses
Datum und Uhrzeit der Anfrage
Es werden zu keinem Zeitpunkt Mitgliederdaten, Buchungsdaten oder sonstige Inhalte Ihrer Datenbank übertragen. Eine automatische Übermittlung von Absturz- oder Diagnoseberichten findet nicht statt.
Da sich die Lizenznummer Ihrem Kundenkonto zuordnen lässt, handelt es sich um personenbezogene Daten.
Zweck: Bereitstellung von Programmaktualisierungen, Prüfung der Lizenzberechtigung, Schutz vor unberechtigter Nutzung, statistische Auswertung des Versionsstandes zur Planung des Supports. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – die Prüfung ist Bestandteil der Lizenz- und Updatevereinbarung; ergänzend Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse am Schutz unserer Rechte an der Software. Speicherdauer: Die Protokolle werden nur so lange aufbewahrt, wie es für die genannten Zwecke erforderlich ist, und anschließend gelöscht.
6. Support per Telefon, E-Mail und Ticketsystem
Wenden Sie sich mit einer Frage oder einer Störungsmeldung an uns, verarbeiten wir die Angaben, die Sie uns dabei machen: Ihre Kontaktdaten, Ihre Kunden- und Lizenznummer, die Beschreibung des Anliegens, übersandte Bildschirmfotos, Fehlermeldungen und Protokolldateien sowie den Verlauf der Bearbeitung.
Anfragen werden in unserem E-Mail-Postfach und in einem von uns selbst entwickelten und auf eigenen Systemen betriebenen Ticketsystem erfasst. Ein externer Helpdesk-Anbieter ist nicht eingebunden; Ihre Supportdaten verlassen unser Haus nicht.
Bitte übersenden Sie uns nur diejenigen Daten, die zur Bearbeitung Ihres Anliegens tatsächlich erforderlich sind. Bildschirmfotos sollten möglichst keine echten Mitgliederdaten enthalten.
Zweck: Bearbeitung Ihrer Anfrage, Nachvollziehbarkeit früherer Fälle, Verbesserung der Software. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, ergänzend Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: Supportvorgänge bewahren wir für die Dauer der Vertragsbeziehung auf, da frühere Fälle für die Bearbeitung späterer Anfragen regelmäßig von Bedeutung sind. Anschließend werden sie gelöscht, soweit keine Aufbewahrungspflichten bestehen.
7. Fernwartung
Auf Ihren Wunsch unterstützen wir Sie per Fernwartung. Dabei übertragen Sie uns nach ausdrücklicher Freigabe die Bildschirmansicht und – soweit erforderlich – die Steuerung Ihres Rechners.
Wir setzen dafür TeamViewer ein (TeamViewer SE, Bahnhofsplatz 2, 73033 Göppingen).
Während einer Fernwartungssitzung können für uns personenbezogene Daten Ihrer Mitglieder sichtbar werden. Dabei gilt:
Eine Sitzung kommt nur zustande, wenn Sie sie aktiv starten und uns die Verbindungsdaten mitteilen.
Sie können die Sitzung jederzeit beenden und sehen durchgehend, was geschieht.
Wir greifen nur auf die Bereiche zu, die zur Lösung des gemeldeten Problems erforderlich sind.
Wir kopieren keine Datenbestände auf unsere Systeme, sofern Sie dies nicht ausdrücklich veranlassen.
Unsere Mitarbeitenden sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).
Rolle: Wir handeln hier als Auftragsverarbeiter nach Art. 28 DSGVO. Verantwortlicher bleiben Sie. Rechtsgrundlage für Sie als Verantwortlichen: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse am ordnungsgemäßen Betrieb Ihrer Vereinsverwaltung; TeamViewer wirkt als Unterauftragsverarbeiter mit.
8. Einsendung von Datenbeständen zur Fehleranalyse
Lässt sich ein Fehler anders nicht nachvollziehen, bitten wir Sie um die Übersendung Ihrer Datenbank oder einer Datensicherung.
Dabei gilt:
Die Übersendung erfolgt stets auf unsere Bitte und mit Ihrer Zustimmung, niemals automatisch.
Wir verwenden die Daten ausschließlich zur Analyse und Behebung des gemeldeten Fehlers.
Eine Nutzung zu eigenen Zwecken – etwa zu Werbe-, Statistik- oder Trainingszwecken – findet nicht statt.
Nach Abschluss des Supportfalls löschen wir die eingesandten Datenbestände einschließlich aller Kopien und Zwischenstände.
Während der Bearbeitung werden die Daten auf einem gesonderten Laufwerk aufbewahrt, das von unserer übrigen Dateiablage getrennt ist.
Wir empfehlen Ihnen, uns nach Möglichkeit einen anonymisierten oder auf den Fehlerfall reduzierten Datenbestand zu übersenden. Übersenden Sie den Datenbestand bitte ausschließlich als kennwortgeschütztes, verschlüsseltes Archiv und teilen Sie uns das Kennwort auf einem anderen Weg mit – etwa telefonisch. Auf Anfrage erläutern wir Ihnen das Vorgehen.
Rolle: Auftragsverarbeitung nach Art. 28 DSGVO.
9. Datenübernahme aus Altsystemen und Datenrettung
Auf Ihren Auftrag übernehmen wir Datenbestände aus einer zuvor eingesetzten Software nach SPG-Verein oder stellen beschädigte Bestände wieder her.
Dabei verarbeiten wir die in den übergebenen Beständen enthaltenen personenbezogenen Daten – regelmäßig Namen, Anschriften, Geburtsdaten, Bankverbindungen, Beitrags- und Buchungsdaten Ihrer Mitglieder.
Die Verarbeitung erfolgt ausschließlich zur Durchführung des beauftragten Vorgangs.
Die Bestände werden nach Abnahme des Ergebnisses durch Sie gelöscht. Bis dahin bewahren wir sie auf, um Nacharbeiten und Korrekturen zu ermöglichen.
Bei der Datenrettung kann es erforderlich sein, spezialisierte Werkzeuge einzusetzen. Ein Dritter wird nur nach Ihrer vorherigen Zustimmung hinzugezogen.
Rolle: Auftragsverarbeitung nach Art. 28 DSGVO. Wir werden ausschließlich nach Ihrer Weisung tätig.
10. Schulungen
Bei Schulungen vor Ort oder online können personenbezogene Daten in zweifacher Hinsicht anfallen:
Teilnehmerdaten: Name, Funktion, Verein, Kontaktdaten und Teilnahmenachweise verarbeiten wir zur Organisation und Durchführung der Schulung sowie zur Abrechnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Echtdaten in der Schulungsumgebung: Wird an Ihrem eigenen Datenbestand geschult, können Daten Ihrer Mitglieder sichtbar werden. Wir empfehlen ausdrücklich, Schulungen an einem Demo- oder Testbestand durchzuführen. Ist dies nicht möglich, handeln wir insoweit als Auftragsverarbeiter; unsere Mitarbeitenden sind zur Vertraulichkeit verpflichtet.
Aufzeichnungen von Online-Schulungen erstellen wir nur mit Ihrer vorherigen Einwilligung und derjenigen der Teilnehmenden.
11. SPG-Onlineform Mitgliederantrag
Setzen Sie zusätzlich die SPG-Onlineform ein, stellen wir Ihnen unter online.spg-direkt.de ein Online-Antragsformular zur Verfügung, über das Aufnahmeinteressenten ihre Daten eingeben.
So läuft die Verarbeitung ab:
Der Antragsteller ruft das Formular auf und gibt seine Daten ein. Die Übertragung an unseren Server erfolgt TLS-verschlüsselt.
Aus den Angaben wird eine Datei im Format .spg erzeugt.
Diese Datei wird per E-Mail an die von Ihnen hinterlegte Adresse gesendet.
Sie prüfen den Antrag und übernehmen ihn in Ihre Installation von SPG-Verein.
Welche Daten dabei anfallen, bestimmen Sie selbst über die Gestaltung des Formulars. In der Regel sind das Stammdaten, Bankverbindung und SEPA-Mandat, die gewünschte Abteilung oder Beitragsklasse sowie von Ihnen vorgesehene Einwilligungen.
Speicherung: Auf dem Webserver werden die Antragsdaten über die Erzeugung der Datei hinaus nicht gespeichert. Die Versandnachricht verbleibt in unserem Postausgang und wird dort durch eine automatisierte Regel nach sieben Tagen gelöscht. Ein erneuter Versand der Antragsdatei findet nicht statt.
Sicherheit des Versands: Der Versand erfolgt über Microsoft 365 mit erzwungener Transportverschlüsselung. Kann der Mailserver des Empfängers keine gesicherte Verbindung aufbauen, wird die Nachricht nicht zugestellt; eine Benachrichtigung hierüber erfolgt nicht. Bitte hinterlegen Sie deshalb eine E-Mail-Adresse, deren Mailserver Transportverschlüsselung unterstützt, und behalten Sie den Eingang der Anträge im Blick. Das Postfach sollte zugriffsgeschützt und nur den zuständigen Vorstandsmitgliedern zugänglich sein.
Rolle: Wir handeln auch hier als Auftragsverarbeiter nach Art. 28 DSGVO. Verantwortlicher gegenüber dem Antragsteller sind Sie.
Ihre Informationspflicht: Sie hinterlegen im Formular den Datenschutzhinweis nach Art. 13 DSGVO für Ihre Antragsteller. Wir stellen dafür lediglich das Eingabefeld bereit und prüfen den Inhalt nicht. Denken Sie daran, dass die Erhebung von Bankdaten und die Erteilung eines SEPA-Mandats darin abgedeckt sein müssen.
12. Vertrag zur Auftragsverarbeitung
Für alle in den Ziffern 7 bis 11 beschriebenen Fälle schließen wir mit Ihnen einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Dieser Vertrag regelt insbesondere Gegenstand und Dauer der Verarbeitung, Ihre Weisungsrechte, die Vertraulichkeitsverpflichtung unserer Mitarbeitenden, die technischen und organisatorischen Maßnahmen, den Einsatz von Unterauftragsverarbeitern, unsere Unterstützungspflichten bei Betroffenenanfragen und Datenschutzverletzungen sowie die Löschung nach Auftragsende.
Sie benötigen diesen Vertrag zum Nachweis Ihrer eigenen Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Fordern Sie ihn bei uns an, sofern er Ihnen noch nicht vorliegt: info@spg-direkt.de
Als Unterauftragsverarbeiter setzen wir derzeit ein:
Dienstleister
Sitz
Leistung
TeamViewer SE
Göppingen, Deutschland
Fernwartungsverbindung
Host Europe GmbH
Köln, Deutschland
Hosting des Online-Antragsformulars
Microsoft Ireland Operations Limited
Dublin, Irland
Versand der Antragsnachrichten über Microsoft 365
13. Empfänger, Drittlandübermittlung und automatisierte Entscheidungen
Innerhalb unseres Unternehmens erhalten nur die Personen Zugriff auf Ihre Daten, die diesen zur Erfüllung ihrer Aufgaben benötigen.
Über die genannten Fälle hinaus geben wir Daten weiter an unser Steuerbüro, bei Zahlungsverzug an Inkassodienstleister oder Rechtsanwälte sowie an Behörden und Gerichte, soweit wir gesetzlich dazu verpflichtet sind.
Die Verarbeitung erfolgt in Deutschland und im Übrigen innerhalb der Europäischen Union. Die Systeme für die Softwarebetreuung stehen ausschließlich in Deutschland.
Setzen Sie die SPG-Onlineform ein, wird für den Versand Microsoft 365 genutzt. Microsoft speichert und verarbeitet die Daten nach der EU-Datengrenze innerhalb der Europäischen Union. Ein Zugriff aus den Vereinigten Staaten im Rahmen von Support- und Wartungsvorgängen lässt sich nicht vollständig ausschließen. Grundlage hierfür sind der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (EU-U.S. Data Privacy Framework), unter dem die Microsoft Corporation zertifiziert ist, sowie ergänzend Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.
Weitere Übermittlungen in Drittländer finden nicht statt.
Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.
14. Ihre Rechte
Ihnen stehen gegenüber uns die folgenden Rechte zu: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie der Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
Widerspruchsrecht nach Art. 21 DSGVO: Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt. Gegen die Verarbeitung zum Zwecke der Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen.
Zur Ausübung genügt eine formlose Nachricht an info@spg-direkt.de oder an unsere Postanschrift.
Wichtiger Hinweis für Mitglieder von Vereinen: Wenn Sie Mitglied eines Vereins sind, der SPG-Verein einsetzt, richten Sie Ihre Anfrage bitte an Ihren Verein. Wir speichern Ihre Mitgliederdaten nicht und können Ihnen daher keine Auskunft darüber erteilen. Erreicht uns eine solche Anfrage dennoch, leiten wir sie – soweit uns der Verein bekannt ist – weiter oder verweisen Sie an ihn.
Beschwerderecht: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist:
Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
Telefon: 0511 120-4500
E-Mail: poststelle@lfd.niedersachsen.de
15. Datensicherheit
Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um personenbezogene Daten gegen Verlust, Zerstörung, Manipulation und unberechtigten Zugriff zu schützen. Dazu gehören abschließbare Geschäftsräume, die Ablage eingesandter Kundendatenbestände auf einem gesonderten, von unserer übrigen Dateiablage getrennten Laufwerk, die verschlüsselte Übergabe von Datenbeständen, die TLS-verschlüsselte Übertragung der Formulareingaben und der erzwungen transportverschlüsselte Versand der Anträge aus der SPG-Onlineform sowie die Verpflichtung unserer Mitarbeitenden auf Vertraulichkeit. Die Maßnahmen werden fortlaufend an die technische Entwicklung angepasst.
Was in Ihrer Verantwortung liegt
Da die Software bei Ihnen betrieben wird, liegt die Sicherheit der Mitgliederdaten wesentlich in Ihrer Hand. Wir weisen Sie auf die folgenden Punkte hin:
Vergeben Sie in SPG-Verein Benutzerkonten mit individuellen Kennwörtern und beschränken Sie die Rechte auf das, was die jeweilige Person für ihre Aufgabe benötigt.
Schützen Sie den Rechner, auf dem die Datenbank liegt, durch Zugriffsschutz, aktuelle Betriebssystem-Updates und – insbesondere bei mobilen Geräten – durch Festplattenverschlüsselung.
Erstellen Sie regelmäßig Datensicherungen und bewahren Sie diese verschlüsselt und getrennt vom Arbeitsplatz auf.
Führen Sie ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Für Vereine ist dies in der Praxis regelmäßig erforderlich, da Mitgliederdaten nicht nur gelegentlich verarbeitet werden.
Legen Sie ein Löschkonzept fest: Wann werden Daten ausgetretener Mitglieder gelöscht? Beitrags- und Buchungsdaten unterliegen steuerrechtlichen Aufbewahrungsfristen, Stammdaten in der Regel nicht.
Informieren Sie Ihre Mitglieder nach Art. 13 DSGVO darüber, welche Daten Sie zu welchem Zweck verarbeiten.
Prüfen Sie, ob Sie einen eigenen Datenschutzbeauftragten benennen müssen (§ 38 BDSG: in der Regel ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind).
Diese Aufzählung ist ein Hinweis aus der Praxis und ersetzt keine rechtliche Beratung.
16. Änderungen dieser Datenschutzerklärung
Wir passen diese Datenschutzerklärung an, sobald Änderungen der Software, unserer Leistungen oder der Rechtslage dies erforderlich machen. Die jeweils aktuelle Fassung stellen wir auf unserer Website bereit und legen sie der Software bei.
Stand: 6. August 2026
Allgemeine Geschäftsbedingungen
für die Software SPG-Verein
bmp GmbH · Stand: 6. August 2026
§ 1 Geltungsbereich und Vertragspartner
(1) Diese Allgemeinen Geschäftsbedingungen (nachfolgend „AGB") gelten für alle Verträge zwischen der
bmp GmbH, Eichendorffstr. 14, 31224 Peine
Amtsgericht Hildesheim, HRB 101372
Geschäftsführer: Erik Böker, Kai Magerkord
Telefon 05172-9718010, E-Mail info@spg-direkt.de
(nachfolgend „bmp") und ihren Kunden über die Überlassung und Betreuung der Software SPG-Verein.
(2) bmp richtet ihr Angebot an Vereine, Verbände, Organisationen und Unternehmen. Schließt ausnahmsweise eine natürliche Person den Vertrag zu Zwecken, die überwiegend weder ihrer gewerblichen noch ihrer selbständigen beruflichen Tätigkeit zugerechnet werden können, gelten ergänzend die besonderen Bestimmungen für Verbraucher, insbesondere § 16 dieser AGB.
(3) Abweichende, entgegenstehende oder ergänzende Geschäftsbedingungen des Kunden werden nicht Vertragsbestandteil, es sei denn, bmp stimmt ihrer Geltung ausdrücklich in Textform zu.
(4) Die jeweils gültige Fassung dieser AGB ist auf spg-direkt.de abrufbar und wird dem Kunden bei Vertragsschluss in Textform zur Verfügung gestellt.
§ 2 Vertragsgegenstand
(1) bmp überlässt dem Kunden die Software SPG-Verein zur Verwaltung von Mitgliedern, Beiträgen und Rechnungswesen des im Bestellvorgang benannten Vereins beziehungsweise der benannten Organisation.
(2) Die Software wird ausschließlich lokal in der Umgebung des Kunden installiert und betrieben. bmp betreibt keinen Server, auf dem die Datenbestände des Kunden gespeichert werden. Eine Übertragung von Mitglieder- oder Buchungsdaten an bmp findet im laufenden Betrieb nicht statt. Etwas anderes gilt, wenn der Kunde zusätzlich die SPG-Onlineform nach § 3 beauftragt.
(3) Der Leistungsumfang während der Vertragslaufzeit umfasst:
die Überlassung der Software und die Freischaltung ihres vollen Funktionsumfangs einschließlich der Beitrags- und Abrechnungsläufe im Echtbetrieb sowie der Erzeugung von SEPA-Dateien,
die Bereitstellung sämtlicher während der Laufzeit veröffentlichten Programmaktualisierungen zum Abruf,
Anwendersupport zu Installation, Bedienung und Störungsbeseitigung per Telefon, E-Mail und über das Ticketsystem im Kundenbereich auf spg-direkt.de,
auf Wunsch des Kunden und nach dessen Freigabe Unterstützung per Fernwartung.
(4) Nicht Vertragsgegenstand sind, sofern nicht gesondert vereinbart: individuelle Anpassungen und Programmierleistungen, die Übernahme von Datenbeständen aus anderer Software, Datenrettung, Schulungen, die Einrichtung der IT-Umgebung des Kunden sowie die Sicherung der Datenbestände des Kunden.
(5) bmp erbringt keine Rechts- oder Steuerberatung. Hinweise zu vereins-, steuer- oder datenschutzrechtlichen Fragen in Handbüchern, Newslettern oder im Support sind allgemeine Informationen und ersetzen keine Beratung im Einzelfall.
(6) Weitere Zusatzmodule über die SPG-Onlineform (§ 3) hinaus werden derzeit nicht angeboten. Sollten künftig Zusatzleistungen angeboten werden, bedürfen sie einer gesonderten Vereinbarung.
§ 3 SPG-Onlineform Mitgliederantrag
(1) Der Kunde kann zusätzlich die SPG-Onlineform Mitgliederantrag beauftragen. Die Beauftragung erfolgt gesondert; ohne sie gelten die Absätze 2 bis 6 nicht.
(2) bmp stellt dem Kunden unter online.spg-direkt.de ein Online-Antragsformular bereit. Der Kunde gestaltet die abgefragten Felder, hinterlegt den Datenschutzhinweis für die Antragsteller und verbreitet den Link auf seinen eigenen Kanälen.
(3) Die Eingaben werden zu einer Datei im Format .spg zusammengefasst und per E-Mail an die vom Kunden hinterlegte Adresse übermittelt. Der Kunde importiert die Datei in seine Installation von SPG-Verein.
(4) Der Versand erfolgt mit erzwungener Transportverschlüsselung. Kann der Mailserver des Kunden keine gesicherte Verbindung aufbauen, wird die Nachricht nicht zugestellt. Eine Benachrichtigung hierüber erfolgt nicht, ein erneuter Versand findet nicht statt; der Antrag ist in diesem Fall erneut auszufüllen. Der Kunde hat eine E-Mail-Adresse zu hinterlegen, deren Mailserver Transportverschlüsselung unterstützt, und den Eingang der Anträge selbst zu überwachen. Das zugehörige Postfach ist zugriffsgeschützt zu halten; die Anträge enthalten Bankdaten seiner künftigen Mitglieder.
(5) Die Antragsdaten werden auf dem Webserver über die Erzeugung der Datei hinaus nicht gespeichert. Die Versandnachricht wird im Postausgang von bmp nach sieben Tagen automatisiert gelöscht. Ein erneuter Versand der Antragsdatei erfolgt nicht.
(6) bmp schuldet die Bereitstellung des Formulars, nicht die Richtigkeit oder Vollständigkeit der von Antragstellern gemachten Angaben. Die Prüfung der Anträge obliegt dem Kunden.
(7) Für die Verarbeitung der Antragsdaten wird bmp als Auftragsverarbeiter tätig; § 15 gilt entsprechend.
§ 4 Testnutzung
(1) SPG-Verein kann vor dem Erwerb zeitlich unbegrenzt und kostenfrei getestet werden.
(2) In der Testnutzung steht der volle Funktionsumfang zur Verfügung mit Ausnahme der Beitrags- und Abrechnungsläufe im Echtbetrieb einschließlich der Erzeugung von SEPA-Dateien. Diese Funktionen werden erst mit der Freischaltung nach § 5 Abs. 6 nutzbar.
(3) Aus der Testnutzung entstehen keine Zahlungsverpflichtungen und kein Anspruch auf Support oder Aktualisierungen. Für die kostenfreie Testnutzung haftet bmp nur nach Maßgabe des § 14 Abs. 5.
(4) In der Testnutzung erfasste Daten bleiben nach der Freischaltung erhalten; eine Neuerfassung ist nicht erforderlich.
§ 5 Vertragsschluss und Freischaltung
(1) Die Darstellung der Software auf spg-direkt.de stellt kein bindendes Angebot dar.
(2) Ablauf der Bestellung: Der Kunde legt das gewünschte Produkt in den Warenkorb, gibt seine Kontakt- und Rechnungsdaten ein und gelangt zu einer Übersichtsseite, auf der sämtliche Angaben, die Leistung und der Gesamtpreis noch einmal zusammengefasst sind. Dort bestätigt er die Geltung dieser AGB und die Kenntnisnahme der Widerrufsbelehrung. Verbraucher können dort zusätzlich der sofortigen Freischaltung zustimmen; die Folgen für das Widerrufsrecht ergeben sich aus § 16. Die Bestellung wird über die Schaltfläche „zahlungspflichtig bestellen" abgeschlossen.
(3) Berichtigung von Eingabefehlern: Bis zur Betätigung der Bestellschaltfläche kann der Kunde alle Eingaben jederzeit ändern. Auf der Übersichtsseite nach Absatz 2 lassen sich einzelne Angaben über die dortige Korrekturmöglichkeit anpassen; ebenso kann der Kunde über die Zurück-Funktion seines Browsers zu vorherigen Schritten wechseln oder den Vorgang durch Schließen des Browserfensters vollständig abbrechen.
(4) Mit Absenden der Bestellung gibt der Kunde ein verbindliches Angebot auf Abschluss eines Vertrages ab.
(5) Der Vertrag kommt mit Zugang der Rechnung zustande, die bmp unmittelbar nach der Bestellung übersendet. Der Leistungszeitraum beginnt mit dem Tag der Bestellung und beträgt 365 Tage.
(6) Der Lizenzschlüssel wird nach Zahlungseingang übersandt. Mit seiner Eingabe werden die Beitrags- und Abrechnungsfunktionen nach § 2 Abs. 3 Nr. 1 freigeschaltet.
(7) Stornierung: Bis zum Eingang der Zahlung kann der Kunde die Bestellung im Kundenbereich stornieren. Die Stornierung gilt als Widerruf; eine Rückzahlung erübrigt sich, da noch keine Zahlung geleistet wurde. Nach Zahlungseingang und Erstellung der Lizenz ist die Stornierung nicht mehr möglich; für Verbraucher gelten dann die Regelungen des § 16.
(8) Speicherung des Vertragstextes: bmp speichert den Vertragstext und übermittelt ihn dem Kunden zusammen mit diesen AGB und der Widerrufsbelehrung in Textform. Der Kunde kann diese AGB jederzeit auf spg-direkt.de abrufen, ausdrucken und speichern.
(9) Vertragssprache ist ausschließlich Deutsch.
(10) bmp hat sich keinen besonderen Verhaltenskodizes im Sinne des Art. 246c Nr. 5 EGBGB unterworfen.
§ 6 Nutzungsrechte
(1) Der Kunde erhält an der Software ein einfaches, nicht ausschließliches und zeitlich unbeschränktes Recht zur Nutzung für die eigenen Zwecke des im Bestellvorgang benannten Vereins beziehungsweise der benannten Organisation.
(2) Der Kunde darf die Software auf beliebig vielen Rechnern installieren, sofern diese der Verwaltung des benannten Vereins dienen und dem Kunden zuzurechnen sind. Die Nutzung für weitere Vereine oder Organisationen bedarf jeweils einer eigenen Lizenz. Bei einem Zusammenschluss oder einer Verschmelzung von Vereinen ist bmp zu unterrichten; die Parteien vereinbaren dann die erforderliche Anpassung.
(3) Die Freischaltung der Beitrags- und Abrechnungsfunktionen einschließlich der SEPA-Dateierstellung besteht nur für die Dauer des Vertrages (§ 9).
(4) Der Kunde darf die Software nicht vermieten, verleihen oder Dritten zur Nutzung überlassen. Eine dauerhafte Weitergabe der erworbenen Lizenz an einen Dritten unter vollständiger und endgültiger Aufgabe der eigenen Nutzung ist zulässig; der Kunde hat bmp die Weitergabe in Textform anzuzeigen und dem Erwerber diese AGB zu übergeben.
(5) Zurückentwicklung, Entschlüsselung und Bearbeitung der Software sind nur in den Grenzen der §§ 69d und 69e UrhG zulässig. Urhebervermerke und Lizenzhinweise dürfen nicht entfernt oder verändert werden.
(6) Die Rechte an der Software und an den mitgelieferten Unterlagen verbleiben bei bmp. Der Kunde erwirbt keine Rechte an den Quellcodes.
§ 7 Systemvoraussetzungen und Mitwirkung des Kunden
(1) Die Software ist auf einer Systemumgebung zu betreiben, die den jeweils veröffentlichten Systemvoraussetzungen entspricht. Deren Bereitstellung und Instandhaltung obliegt dem Kunden.
(2) Der Kunde ist für die Sicherung seiner Datenbestände selbst verantwortlich. Er hat vor jeder Installation einer Programmaktualisierung sowie in regelmäßigen Abständen, mindestens täglich bei produktiver Nutzung, vollständige Sicherungen zu erstellen und deren Wiederherstellbarkeit zu prüfen. bmp erstellt keine Sicherungen der Datenbestände des Kunden.
(3) Der Kunde nutzt die Software bestimmungsgemäß, hält Zugangsdaten und Kennwörter geheim und schützt sie vor dem Zugriff Dritter.
(4) Der Kunde meldet Störungen und insbesondere Fehler, die zur Beschädigung von Daten oder zu einem Zugriff Unbefugter führen können, unverzüglich an bmp. Er beschreibt den Fehler so genau, dass er nachvollzogen werden kann, und unterstützt bmp im zumutbaren Umfang bei der Eingrenzung.
(5) Der Kunde installiert von bmp bereitgestellte Programmaktualisierungen in angemessener Zeit, soweit sie der Beseitigung von Fehlern oder Sicherheitslücken dienen.
§ 8 Verfügbarkeit und Fehlerfreiheit
bmp entwickelt und pflegt die Software mit der gebotenen Sorgfalt. Der Kunde erkennt an, dass Software nach dem Stand der Technik nicht vollständig fehlerfrei erstellt werden kann. Ein Fehler liegt vor, wenn die Software die vereinbarte oder die nach der Leistungsbeschreibung zu erwartende Funktion nicht oder nicht vollständig erfüllt. Unerhebliche Abweichungen bleiben außer Betracht. Die Mängelrechte des Kunden nach § 13 bleiben unberührt.
§ 9 Laufzeit, Verlängerung und Kündigung
(1) Der Vertrag beginnt mit dem Vertragsschluss nach § 5 Abs. 5 und hat eine Laufzeit von zwölf Monaten.
(2) Der Vertrag verlängert sich jeweils um weitere zwölf Monate, wenn er nicht von einer Partei spätestens 30 Tage vor Ablauf der jeweiligen Laufzeit gekündigt wird.
(3) Sonderregelung für Verbraucher: Ist der Kunde Verbraucher im Sinne des § 13 BGB, verlängert sich der Vertrag abweichend von Absatz 2 auf unbestimmte Zeit und kann jederzeit mit einer Frist von einem Monat gekündigt werden (§ 309 Nr. 9 BGB).
(4) Die Kündigung bedarf der Textform; eine E-Mail an info@spg-direkt.de genügt. Eine strengere Form wird nicht verlangt.
(5) Das Recht zur Kündigung aus wichtigem Grund bleibt für beide Parteien unberührt. Ein wichtiger Grund liegt für bmp insbesondere vor, wenn der Kunde mit der Zahlung trotz Mahnung und Fristsetzung in Verzug bleibt, die Software vertragswidrig Dritten überlässt oder gegen § 6 Abs. 5 verstößt.
§ 10 Folgen der Vertragsbeendigung
(1) Die Software bleibt dem Kunden nach Vertragsende erhalten. Der Kunde kann seine Datenbestände weiterhin öffnen, einsehen, bearbeiten, auswerten, drucken und exportieren.
(2) Mit Vertragsende entfallen:
die Beitrags- und Abrechnungsläufe im Echtbetrieb einschließlich der Erzeugung von SEPA-Dateien,
der Anspruch auf Programmaktualisierungen,
der Anspruch auf Support.
Die Software befindet sich damit wieder im Funktionsumfang der Testnutzung nach § 4 Abs. 2.
(3) Programmaktualisierungen, die dem Kunden während der Laufzeit bereitgestellt wurden, darf er dauerhaft weiternutzen.
(4) Ein Anspruch auf Rückerstattung bereits gezahlter Entgelte für die laufende Vertragsperiode besteht nicht, sofern die Beendigung nicht auf einem von bmp zu vertretenden Grund beruht.
(5) Der Kunde kann den Vertrag jederzeit wieder aufnehmen; die vorhandenen Datenbestände bleiben nutzbar.
§ 11 Preise, Rechnungsstellung und Zahlung
(1) Es gelten die zum Zeitpunkt der Bestellung auf spg-direkt.de veröffentlichten Preise. Alle Preise sind Endpreise und enthalten die jeweils geltende gesetzliche Umsatzsteuer. Die Umsatzsteuer wird in der Rechnung gesondert ausgewiesen. Zusätzliche Versandkosten fallen nur an, wenn ausdrücklich der Versand von Datenträgern oder gedruckten Unterlagen vereinbart wird; sie werden vor Abgabe der Bestellung angezeigt.
(2) Die Nutzungsgebühr wird jährlich im Voraus in Rechnung gestellt.
(3) Rechnungen sind innerhalb von 30 Tagen nach Zugang ohne Abzug zur Zahlung fällig. Nach Ablauf dieser Frist kommt der Kunde ohne weitere Mahnung in Verzug.
(4) Bei Zahlungsverzug ist bmp berechtigt, Verzugszinsen in gesetzlicher Höhe zu verlangen. Nach erfolglosem Ablauf einer angemessenen Nachfrist ist bmp berechtigt, die Freischaltung der Beitrags- und Abrechnungsfunktionen sowie den Zugang zum Kundenbereich zu sperren und den Vertrag nach § 9 Abs. 5 zu kündigen. Auf eine bevorstehende Sperre wird der Kunde vorher hingewiesen. Die übrigen Funktionen der Software bleiben auch während einer Sperre nutzbar.
(5) Die Zahlung erfolgt per Überweisung auf das in der Rechnung genannte Konto.
(6) Der Kunde kann nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen aufrechnen. Ein Zurückbehaltungsrecht steht ihm nur wegen Ansprüchen aus demselben Vertragsverhältnis zu.
§ 12 Preisanpassung
(1) bmp ist berechtigt, die Nutzungsgebühr mit Wirkung zum Beginn eines Verlängerungszeitraums anzupassen, insbesondere zum Ausgleich gestiegener Personal-, Entwicklungs-, Energie- oder Beschaffungskosten.
(2) Eine Anpassung ist dem Kunden mindestens sechs Wochen vor Beginn des Verlängerungszeitraums in Textform mitzuteilen. Die Mitteilung weist auf das Kündigungsrecht nach Absatz 3 hin.
(3) Erhöht sich die Nutzungsgebühr, kann der Kunde den Vertrag bis zum Wirksamwerden der Anpassung zum Ende der laufenden Vertragsperiode kündigen, auch wenn die Frist nach § 9 Abs. 2 bereits abgelaufen ist.
(4) Kündigt der Kunde nicht, gilt die angepasste Gebühr ab dem Verlängerungszeitraum. Auf diese Folge wird in der Mitteilung nach Absatz 2 gesondert hingewiesen.
§ 13 Mängelrechte
(1) bmp gewährleistet, dass die Software bei bestimmungsgemäßer Nutzung die in der Leistungsbeschreibung und den Handbüchern beschriebenen Funktionen erfüllt.
(2) Zeigt sich ein Mangel, hat der Kunde ihn bmp unverzüglich in Textform anzuzeigen und nachvollziehbar zu beschreiben.
(3) bmp beseitigt Mängel durch Nachbesserung, insbesondere durch Bereitstellung einer korrigierten Programmversion oder eines Umgehungsweges, der die Nutzung ohne unzumutbare Einschränkung ermöglicht.
(4) Schlägt die Nachbesserung nach angemessener Frist fehl, kann der Kunde die Vergütung mindern oder vom Vertrag zurücktreten. Das Rücktrittsrecht besteht nicht bei unerheblichen Mängeln.
(5) Die Verjährungsfrist für Mängelansprüche beträgt zwei Jahre. Für Ansprüche aus Vorsatz, arglistigem Verschweigen eines Mangels sowie für Ansprüche nach § 14 Abs. 1 und 2 gelten die gesetzlichen Fristen.
(6) Keine Mängel sind Beeinträchtigungen, die auf einer nicht den Systemvoraussetzungen entsprechenden Umgebung, auf unsachgemäßer Bedienung, auf Eingriffen des Kunden oder Dritter in die Software oder auf einer unterlassenen Installation bereitgestellter Aktualisierungen beruhen.
§ 14 Haftung
(1) bmp haftet unbeschränkt für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, für Schäden, die auf Vorsatz oder grober Fahrlässigkeit beruhen, bei arglistigem Verschweigen eines Mangels, im Umfang einer übernommenen Garantie sowie nach dem Produkthaftungsgesetz.
(2) Bei leicht fahrlässiger Verletzung einer wesentlichen Vertragspflicht haftet bmp der Höhe nach begrenzt auf den vertragstypischen, vorhersehbaren Schaden. Wesentliche Vertragspflichten sind solche, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf.
(3) Im Übrigen ist die Haftung ausgeschlossen.
(4) Für den Verlust von Daten haftet bmp nur bis zu dem Betrag, der bei ordnungsgemäßer und regelmäßiger Sicherung der Daten durch den Kunden zu ihrer Wiederherstellung erforderlich gewesen wäre. Diese Begrenzung gilt nicht in den Fällen des Absatzes 1.
(5) Für die kostenfreie Testnutzung nach § 4 haftet bmp nur für Vorsatz und grobe Fahrlässigkeit sowie in den Fällen des Absatzes 1.
(6) Die vorstehenden Beschränkungen gelten auch zugunsten der gesetzlichen Vertreter, Mitarbeitenden und Erfüllungsgehilfen von bmp.
(7) Der Kunde haftet für Schäden, die durch eine nicht vertragsgemäße Nutzung der Software entstehen.
§ 15 Datenschutz
(1) Der Kunde ist für die von ihm mit der Software verarbeiteten personenbezogenen Daten Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Ihm obliegen insbesondere die Rechtmäßigkeit der Verarbeitung, die Information der betroffenen Personen, die Wahrung ihrer Rechte, das Verzeichnis von Verarbeitungstätigkeiten und die Sicherheit seiner eigenen IT-Umgebung.
(2) Erhält bmp im Rahmen von Support, Fernwartung, Fehleranalyse, Datenübernahme, Datenrettung oder Schulung Zugang zu personenbezogenen Daten des Kunden, wird bmp insoweit als Auftragsverarbeiter tätig. Die Parteien schließen hierüber einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Dieser Vertrag geht diesen AGB in datenschutzrechtlichen Fragen vor.
(3) Wie bmp die Daten des Kunden als Verantwortlicher verarbeitet – etwa Vertrags-, Lizenz- und Supportdaten –, beschreibt die Datenschutzerklärung zur Software SPG-Verein.
(4) bmp schützt die ihr zugänglichen Daten durch angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO; diese sind in der Anlage zum Vertrag zur Auftragsverarbeitung beschrieben.
§ 16 Widerrufsrecht für Verbraucher
Ist der Kunde Verbraucher im Sinne des § 13 BGB, steht ihm das nachstehende Widerrufsrecht zu. Vereinen, Organisationen und Unternehmern steht ein gesetzliches Widerrufsrecht nicht zu.
Widerrufsbelehrung
Widerrufsrecht
Sie haben das Recht, binnen vierzehn Tagen ohne Angabe von Gründen diesen Vertrag zu widerrufen. Die Widerrufsfrist beträgt vierzehn Tage ab dem Tag des Vertragsabschlusses.
Um Ihr Widerrufsrecht auszuüben, müssen Sie uns
bmp GmbH, Eichendorffstr. 14, 31224 Peine, Telefon 05172-9718010, E-Mail info@spg-direkt.de
mittels einer eindeutigen Erklärung (z. B. ein mit der Post versandter Brief oder eine E-Mail) über Ihren Entschluss, diesen Vertrag zu widerrufen, informieren. Sie können dafür das beigefügte Muster-Widerrufsformular verwenden, das jedoch nicht vorgeschrieben ist.
Zur Wahrung der Widerrufsfrist reicht es aus, dass Sie die Mitteilung über die Ausübung des Widerrufsrechts vor Ablauf der Widerrufsfrist absenden.
Folgen des Widerrufs
Wenn Sie diesen Vertrag widerrufen, haben wir Ihnen alle Zahlungen, die wir von Ihnen erhalten haben, unverzüglich und spätestens binnen vierzehn Tagen ab dem Tag zurückzuzahlen, an dem die Mitteilung über Ihren Widerruf dieses Vertrags bei uns eingegangen ist. Für diese Rückzahlung verwenden wir dasselbe Zahlungsmittel, das Sie bei der ursprünglichen Transaktion eingesetzt haben, es sei denn, mit Ihnen wurde ausdrücklich etwas anderes vereinbart; in keinem Fall werden Ihnen wegen dieser Rückzahlung Entgelte berechnet.
Vorzeitiges Erlöschen des Widerrufsrechts
Das Widerrufsrecht erlischt bei einem Vertrag über die Bereitstellung digitaler Inhalte, die nicht auf einem körperlichen Datenträger geliefert werden, wenn Sie ausdrücklich zugestimmt haben, dass wir mit der Ausführung des Vertrags vor Ablauf der Widerrufsfrist beginnen, Sie Ihre Kenntnis davon bestätigt haben, dass Sie durch Ihre Zustimmung mit Beginn der Ausführung des Vertrags Ihr Widerrufsrecht verlieren, und wir Ihnen eine Bestätigung des Vertrags in Textform zur Verfügung gestellt haben.
– Ende der Widerrufsbelehrung –
Muster-Widerrufsformular
(Wenn Sie den Vertrag widerrufen wollen, füllen Sie bitte dieses Formular aus und senden Sie es zurück.)
An bmp GmbH, Eichendorffstr. 14, 31224 Peine, E-Mail: info@spg-direkt.de
Hiermit widerrufe(n) ich/wir (*) den von mir/uns (*) abgeschlossenen Vertrag über den Kauf der folgenden Waren (*) / die Erbringung der folgenden Dienstleistung (*)
Bestellt am (*) / erhalten am (*): _____
Name des/der Verbraucher(s): _______
Anschrift des/der Verbraucher(s): _________
Datum: __ Unterschrift (nur bei Mitteilung auf Papier): ____
(*) Unzutreffendes streichen.
§ 17 Änderungen dieser AGB
(1) bmp kann dem Kunden Änderungen dieser AGB anbieten, wenn dies zur Anpassung an eine geänderte Rechtslage, an höchstrichterliche Rechtsprechung oder an eine wesentliche Änderung des Leistungsangebots erforderlich ist.
(2) Änderungen werden dem Kunden mindestens sechs Wochen vor dem vorgesehenen Wirksamwerden in Textform mitgeteilt. Die Mitteilung stellt die betroffenen Regelungen gegenüber.
(3) Die geänderten Bedingungen gelten nur, wenn der Kunde ihnen zustimmt. Ein Schweigen des Kunden gilt nicht als Zustimmung.
(4) Stimmt der Kunde nicht zu, wird der Vertrag zu den bisherigen Bedingungen fortgesetzt. Ist bmp die Fortsetzung zu den bisherigen Bedingungen nicht zumutbar, kann bmp den Vertrag zum Ende der laufenden Vertragsperiode kündigen.
(5) Absatz 3 gilt nicht für die Anpassung der Nutzungsgebühr; hierfür gilt ausschließlich § 12.
§ 18 Abtretung
Der Kunde kann seine Ansprüche aus diesem Vertrag nur mit vorheriger Zustimmung von bmp an Dritte abtreten. Die Zustimmung darf nicht ohne sachlichen Grund verweigert werden. § 354a HGB bleibt unberührt. Die Regelung des § 6 Abs. 4 zur Weitergabe der Lizenz bleibt unberührt.
§ 19 Schlussbestimmungen
(1) Mitteilungen und Erklärungen im Rahmen dieses Vertrages bedürfen der Textform, soweit nicht ausdrücklich etwas anderes bestimmt ist.
(2) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ist der Kunde Verbraucher, gilt diese Rechtswahl nur insoweit, als dadurch nicht der Schutz zwingender Vorschriften des Staates entzogen wird, in dem der Verbraucher seinen gewöhnlichen Aufenthalt hat.
(3) Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag Peine. bmp ist auch berechtigt, am allgemeinen Gerichtsstand des Kunden zu klagen. Gegenüber allen übrigen Kunden gelten die gesetzlichen Gerichtsstände.
(4) bmp ist nicht bereit und nicht verpflichtet, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen (§ 36 Abs. 1 Nr. 1 VSBG). Auf die Pflicht zur Abgabe dieser Erklärung findet § 36 Abs. 3 VSBG Anwendung.
(5) Sollte eine Bestimmung dieser AGB unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.
Stand: 6. August 2026
Vertrag über die Verarbeitung personenbezogener Daten im Auftrag
gemäß Art. 28 DSGVO
Stand: 6. August 2026
Vertragsparteien
Auftraggeber – Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO
Name des Vereins / der Organisation: [Name des Vereins / der Organisation]
Straße, Hausnummer: [Straße, Hausnummer]
PLZ, Ort: [PLZ, Ort]
Vertreten durch: [vertreten durch]
E-Mail: [E-Mail]
Telefon: [Telefon]
Kundennummer: [Kundennummer]
– nachfolgend „Auftraggeber" –
Auftragnehmer – Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO
bmp GmbH
Eichendorffstr. 14
31224 Peine
Deutschland
Telefon: 05172-9718010
E-Mail: info@spg-direkt.de
Vertreten durch die Geschäftsführer Erik Böker und Kai Magerkord
Amtsgericht Hildesheim, HRB 101372
– nachfolgend „Auftragnehmer" –
– gemeinsam die „Parteien" –
Präambel
Der Auftraggeber nutzt Leistungen des Auftragnehmers rund um die Vereinsverwaltung. Dabei kann der Auftragnehmer Zugang zu personenbezogenen Daten erhalten, für die der Auftraggeber Verantwortlicher ist. Für diese Fälle regelt dieser Vertrag die Rechte und Pflichten der Parteien nach Art. 28 DSGVO.
Der Vertrag erfasst zwei Leistungsbereiche, die einzeln oder gemeinsam beauftragt werden können. Welche Bereiche gelten, ergibt sich aus Anlage 1 Ziffer 1:
Softwarebetreuung: Die Software SPG-Verein wird ausschließlich in der eigenen Umgebung des Auftraggebers betrieben; die damit verarbeiteten Daten verbleiben dort. Zugang zu personenbezogenen Daten entsteht nur anlassbezogen bei Fernwartung, Fehleranalyse, Datenübernahme, Datenrettung und Schulung.
SPG-Onlineform Mitgliederantrag: Der Auftragnehmer stellt unter online.spg-direkt.de ein Antragsformular bereit, über das Aufnahmeinteressenten des Auftraggebers ihre Daten eingeben. Die Angaben werden als Datei an die vom Auftraggeber hinterlegte E-Mail-Adresse übermittelt. Hier verarbeitet der Auftragnehmer die Daten laufend und nicht nur anlassbezogen.
Dieser Vertrag ergänzt den zwischen den Parteien bestehenden Lizenz-, Wartungs- beziehungsweise Servicevertrag (nachfolgend „Hauptvertrag"). Er begründet keine eigenständige Leistungspflicht.
§ 1 Gegenstand und Dauer des Auftrags
(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers, soweit sie im Zusammenhang mit den in Anlage 1 beschriebenen Leistungen erfolgt.
(2) Der Auftragnehmer verarbeitet die Daten ausschließlich zu den in Anlage 1 genannten Zwecken. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers – insbesondere zu Werbe-, Analyse- oder Produktentwicklungszwecken – findet nicht statt.
(3) Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Er endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.
(4) Der Auftraggeber kann diesen Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen datenschutzrechtliche Vorschriften oder gegen die Bestimmungen dieses Vertrages vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert. Der Bestand des Hauptvertrages bleibt hiervon unberührt.
(5) Die Verarbeitung findet in der Bundesrepublik Deutschland und im Übrigen innerhalb der Europäischen Union statt.
(6) Beim Versand der Anträge aus der SPG-Onlineform setzt der Auftragnehmer Microsoft 365 ein (siehe Anlage 3). Microsoft speichert und verarbeitet die Daten nach der EU-Datengrenze innerhalb der Europäischen Union. Ein Zugriff aus den Vereinigten Staaten ist im Rahmen von Support- und Wartungsvorgängen nicht vollständig auszuschließen; Grundlage hierfür sind der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (EU-U.S. Data Privacy Framework), unter dem die Microsoft Corporation zertifiziert ist, sowie ergänzend die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO als Bestandteil des Microsoft Data Protection Addendum.
(7) Eine darüber hinausgehende Verarbeitung in einem Drittland erfolgt nicht und bedürfte der vorherigen Zustimmung des Auftraggebers in Textform sowie der Einhaltung der Voraussetzungen der Art. 44 bis 49 DSGVO.
§ 2 Konkretisierung des Auftragsinhalts
Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1, die Bestandteil dieses Vertrages ist.
§ 3 Weisungsrecht des Auftraggebers
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Dies gilt auch für die Übermittlung von Daten an ein Drittland oder eine internationale Organisation, es sei denn, der Auftragnehmer ist hierzu nach dem Recht der Union oder der Mitgliedstaaten verpflichtet; in diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Weisungen werden in Textform erteilt. Mündliche Weisungen – etwa im Verlauf einer Fernwartungssitzung – sind zulässig; sie sind vom Auftraggeber unverzüglich in Textform zu bestätigen. Erfolgt keine Bestätigung, dokumentiert der Auftragnehmer die Weisung selbst und teilt sie dem Auftraggeber mit.
(3) Der Auftraggeber trägt die Verantwortung für die Rechtmäßigkeit der von ihm erteilten Weisungen sowie für die Zulässigkeit der Verarbeitung insgesamt.
(4) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Auftraggeber sie bestätigt oder ändert.
(5) Weisungsberechtigt auf Seiten des Auftraggebers ist die in Anlage 1 Ziffer 8 benannte Person; weisungsempfangend sind die dort benannten Personen des Auftragnehmers. Änderungen sind der jeweils anderen Partei unverzüglich mitzuteilen.
§ 4 Pflichten des Auftragnehmers
Der Auftragnehmer verpflichtet sich:
personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung des Auftraggebers zu verarbeiten;
innerhalb seines Verantwortungsbereichs die Sicherheit der Verarbeitung nach Art. 32 DSGVO durch die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen zu gewährleisten;
sicherzustellen, dass sich alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO) und über die einschlägigen Datenschutzbestimmungen unterrichtet sind;
den Auftraggeber unverzüglich zu informieren, wenn er einen Verstoß gegen den Schutz personenbezogener Daten des Auftraggebers feststellt (§ 8 dieses Vertrages);
den Auftraggeber bei der Erfüllung von Betroffenenrechten sowie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen zu unterstützen (§ 9 dieses Vertrages);
ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen und dem Auftraggeber auf Anforderung den ihn betreffenden Auszug zur Verfügung zu stellen;
dem Auftraggeber alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind. Der Auftragnehmer stellt hierfür das Dokument „Nachweise zur Auftragsverarbeitung" bereit, das den Auszug nach Nummer 6 und die Auskunft nach Art. 28 Abs. 3 lit. h DSGVO enthält und auf Anforderung in Textform übermittelt wird;
die Verarbeitung räumlich, organisatorisch oder logisch von Verarbeitungen für andere Auftraggeber zu trennen;
den Auftraggeber unverzüglich zu informieren, wenn eine Aufsichtsbehörde beim Auftragnehmer Maßnahmen ergreift, die Daten des Auftraggebers betreffen können, oder wenn Dritte – etwa Strafverfolgungsbehörden – Zugriff auf diese Daten verlangen. Der Auftragnehmer wird einem solchen Verlangen nur nachkommen, soweit er gesetzlich dazu verpflichtet ist, und den Auftraggeber – soweit rechtlich zulässig – vorab unterrichten;
auf Verlangen des Auftraggebers eine Kontaktperson für Datenschutzfragen zu benennen. Ein Datenschutzbeauftragter ist beim Auftragnehmer nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO in Verbindung mit § 38 BDSG nicht vorliegen. Ansprechpartner in Datenschutzfragen ist die Geschäftsführung unter info@spg-direkt.de.
§ 5 Technische und organisatorische Maßnahmen
(1) Der Auftragnehmer trifft die zur Sicherstellung eines dem Risiko angemessenen Schutzniveaus erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben.
(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer ist berechtigt, sie anzupassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren und dem Auftraggeber auf Anforderung mitzuteilen.
(3) Der Auftraggeber hat sich vor Beginn der Verarbeitung von der Angemessenheit der Maßnahmen überzeugt; mit Unterzeichnung dieses Vertrages bestätigt er dies.
(4) Der Auftragnehmer überprüft die Wirksamkeit der Maßnahmen regelmäßig.
§ 6 Unterauftragsverhältnisse
(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und werden hiermit ausdrücklich genehmigt.
(2) Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Auftraggeber hierüber in Textform mit einer Frist von mindestens vier Wochen vor Beginn der Verarbeitung. Der Auftraggeber kann der Änderung innerhalb von zwei Wochen nach Zugang der Information aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen.
(3) Widerspricht der Auftraggeber und kann der Auftragnehmer die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht zu wirtschaftlich zumutbaren Bedingungen erbringen, steht beiden Parteien ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung zu.
(4) Der Auftragnehmer verpflichtet den Unterauftragsverarbeiter vertraglich auf Pflichten, die den Pflichten aus diesem Vertrag entsprechen (Art. 28 Abs. 4 DSGVO). Er wählt ihn sorgfältig aus und überzeugt sich vor Beauftragung sowie danach regelmäßig davon, dass dieser die erforderlichen technischen und organisatorischen Maßnahmen getroffen hat.
(5) Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Einhaltung wie für eigenes Handeln.
(6) Keine Unterauftragsverarbeitung im Sinne dieser Vorschrift sind Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt und die die Verarbeitung der Daten des Auftraggebers nicht zum Gegenstand haben – etwa Telekommunikationsleistungen, Postdienste, Reinigung oder die Entsorgung von Datenträgern. Auch bei solchen Leistungen hat der Auftragnehmer für die Wahrung der Vertraulichkeit zu sorgen.
§ 7 Kontrollrechte des Auftraggebers
(1) Der Auftraggeber hat das Recht, sich von der Einhaltung dieses Vertrages und der getroffenen technischen und organisatorischen Maßnahmen zu überzeugen.
(2) Der Nachweis erfolgt im Regelfall durch das Dokument „Nachweise zur Auftragsverarbeitung", das der Auftragnehmer auf Anforderung in Textform zur Verfügung stellt. Es enthält den Auszug aus dem Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO, die Beschreibung der technischen und organisatorischen Maßnahmen sowie die Auskunft über die Einhaltung der Pflichten aus Art. 28 DSGVO. Ergänzend stellt der Auftragnehmer auf Anforderung gegebenenfalls vorhandene Testate und Zertifikate zur Verfügung.
(3) Besteht ein konkreter Anlass – etwa ein gemeldeter Verstoß gegen den Schutz personenbezogener Daten, begründete Zweifel an der Einhaltung dieses Vertrages oder eine entsprechende Aufforderung einer Aufsichtsbehörde – kann der Auftraggeber eine Überprüfung in den Geschäftsräumen des Auftragnehmers durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Die Überprüfung ist mit einer Frist von mindestens zwei Wochen anzukündigen, findet während der üblichen Geschäftszeiten statt und darf den Betriebsablauf nicht unangemessen beeinträchtigen.
(4) Der Auftraggeber stellt sicher, dass bei der Kontrolle keine Geschäfts- und Betriebsgeheimnisse des Auftragnehmers und keine Daten anderer Kunden offengelegt werden. Ein vom Auftraggeber beauftragter Prüfer darf kein Wettbewerber des Auftragnehmers sein.
(5) Der Auftragnehmer ist verpflichtet, Auskünfte zu erteilen, soweit dies zur Durchführung einer Kontrolle im Sinne des Art. 28 Abs. 3 lit. h DSGVO erforderlich ist.
(6) Kontrollrechte einer zuständigen Aufsichtsbehörde bleiben von diesen Regelungen unberührt.
§ 8 Verletzung des Schutzes personenbezogener Daten
(1) Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten des Auftraggebers (Art. 33 Abs. 2 DSGVO).
(2) Die Mitteilung enthält, soweit dem Auftragnehmer bekannt:
eine Beschreibung der Art der Verletzung, soweit möglich unter Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze,
die wahrscheinlichen Folgen der Verletzung,
die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung möglicher nachteiliger Auswirkungen,
den Zeitpunkt der Feststellung sowie einen Ansprechpartner für Rückfragen.
(3) Der Auftragnehmer unterstützt den Auftraggeber bei dessen Meldepflicht gegenüber der Aufsichtsbehörde nach Art. 33 DSGVO und bei der Benachrichtigung betroffener Personen nach Art. 34 DSGVO. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Auftraggeber; der Auftragnehmer nimmt sie nicht eigenständig vor.
(4) Der Auftragnehmer trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich hierüber mit dem Auftraggeber ab.
(5) Der Auftragnehmer dokumentiert Verletzungen des Schutzes personenbezogener Daten einschließlich der ergriffenen Abhilfemaßnahmen.
§ 9 Unterstützung des Auftraggebers
(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 12 bis 23 DSGVO) zu beantworten.
(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst. Er weist die betroffene Person darauf hin, dass der Auftraggeber Verantwortlicher ist.
(3) Der Auftragnehmer unterstützt den Auftraggeber ferner bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde – jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
(4) Der Auftragnehmer berichtigt, löscht oder schränkt die Verarbeitung der Daten nur nach Weisung des Auftraggebers ein. Von dieser Bindung ausgenommen sind Fälle, in denen eine gesetzliche Verpflichtung des Auftragnehmers besteht.
§ 10 Vertraulichkeit
(1) Der Auftragnehmer verpflichtet die mit der Verarbeitung befassten Personen vor Aufnahme ihrer Tätigkeit schriftlich zur Vertraulichkeit und unterrichtet sie über die Besonderheiten der Datenverarbeitung im Auftrag sowie über die bestehende Weisungsbindung (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).
(2) Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der Tätigkeit und nach Beendigung dieses Vertrages fort.
(3) Der Auftragnehmer beschränkt den Zugriff auf Daten des Auftraggebers auf diejenigen Personen, die ihn zur Erfüllung ihrer Aufgaben benötigen.
§ 11 Löschung nach Beendigung
(1) Der Auftragnehmer löscht Daten, die er zur Bearbeitung eines Supportfalls, einer Datenübernahme oder einer Datenrettung erhalten hat, unverzüglich nach Abschluss des jeweiligen Vorgangs einschließlich aller Kopien, Zwischenstände und Sicherungen. Einer gesonderten Aufforderung des Auftraggebers bedarf es nicht.
(1a) Nachrichten mit Anträgen aus der SPG-Onlineform werden im Postausgang des Auftragnehmers durch eine automatisierte Aufbewahrungsrichtlinie nach sieben Tagen gelöscht. Auf dem Webserver des Formulars werden Antragsdaten nicht dauerhaft gespeichert.
(2) Nach Beendigung dieses Vertrages löscht der Auftragnehmer sämtliche noch bei ihm vorhandenen personenbezogenen Daten des Auftraggebers. Eine Rückgabe nach Art. 28 Abs. 3 lit. g DSGVO kommt regelmäßig nicht in Betracht, weil der Auftragnehmer ausschließlich Kopien von Datenbeständen erhält, über die der Auftraggeber selbst verfügt. Ist bei einer Datenübernahme oder Datenrettung ein Arbeitsergebnis entstanden, das dem Auftraggeber noch nicht übergeben wurde, stellt der Auftragnehmer es ihm auf Verlangen vor der Löschung digital in einem gängigen Format bereit; die Übergabe erfolgt als verschlüsseltes, kennwortgeschütztes Archiv. Ein solches Verlangen ist spätestens mit Vertragsende in Textform mitzuteilen.
(3) Von der Löschungspflicht ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Diese Daten werden gesperrt und nach Ablauf der Aufbewahrungsfrist gelöscht. Der Auftragnehmer teilt dem Auftraggeber auf Anforderung mit, welche Daten hiervon betroffen sind und auf welcher Grundlage sie aufbewahrt werden.
(4) Der Auftragnehmer bestätigt die Löschung dem Auftraggeber auf Anforderung in Textform.
(5) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, darf der Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.
§ 12 Vergütung
(1) Die Erfüllung der Pflichten aus diesem Vertrag ist mit der Vergütung aus dem Hauptvertrag abgegolten, soweit nachfolgend nichts Abweichendes bestimmt ist.
(2) Die Unterstützung bei einzelnen Anfragen betroffener Personen sowie die Bereitstellung der Nachweise nach § 7 Abs. 2 erfolgen für den Auftraggeber kostenfrei.
(3) Über den üblichen Umfang hinausgehende Mitwirkungsleistungen – insbesondere die Begleitung einer Vor-Ort-Kontrolle nach § 7 Abs. 3, umfangreiche Zuarbeit zu einer Datenschutz-Folgenabschätzung sowie die Wiederherstellung von Daten, deren Verlust nicht vom Auftragnehmer zu vertreten ist – werden nach dem tatsächlichen Aufwand gemäß der jeweils gültigen Preisliste des Auftragnehmers vergütet. Der Auftragnehmer weist den Auftraggeber vor Beginn solcher Leistungen auf die Kostenpflicht hin und stimmt den voraussichtlichen Umfang mit ihm ab.
(4) Ergibt eine Kontrolle nach § 7 Abs. 3, dass der Auftragnehmer gegen diesen Vertrag oder datenschutzrechtliche Vorschriften verstoßen hat, trägt er die Kosten der Kontrolle selbst.
§ 13 Haftung
(1) Für die Haftung der Parteien untereinander gelten die Regelungen des Hauptvertrages, soweit nachfolgend nichts Abweichendes bestimmt ist.
(2) Im Außenverhältnis gegenüber betroffenen Personen gilt Art. 82 DSGVO.
(3) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich. Der Auftragnehmer haftet für Schäden nur, soweit er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder unter Nichtbeachtung beziehungsweise entgegen den rechtmäßig erteilten Weisungen des Auftraggebers gehandelt hat.
§ 14 Schlussbestimmungen
(1) Änderungen und Ergänzungen dieses Vertrages einschließlich seiner Anlagen bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.
(1a) Elektronischer Abschluss: Dieser Vertrag wird nach Art. 28 Abs. 9 DSGVO ausschließlich in elektronischem Format geschlossen. Er kommt zustande, indem der Auftraggeber im Bestellvorgang des Auftragnehmers ausdrücklich seinen Abschluss bestätigt; einer eigenhändigen Unterzeichnung bedarf es nicht. Der Auftragnehmer stellt dem Auftraggeber den vollständigen Vertragstext einschließlich der Anlagen und der ihn betreffenden Angaben unverzüglich in Textform zur Verfügung und hält ihn im Kundenbereich dauerhaft zum Abruf bereit.
(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages vor, soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht.
(3) Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine wirksame zu ersetzen, die dem wirtschaftlichen Zweck am nächsten kommt.
(4) Es gilt das Recht der Bundesrepublik Deutschland.
(5) Ist der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Gerichtsstand für alle Streitigkeiten aus diesem Vertrag der Sitz des Auftragnehmers. Der Auftragnehmer ist auch berechtigt, am allgemeinen Gerichtsstand des Auftraggebers zu klagen.
(6) Bestandteil dieses Vertrages sind die Anlagen 1 bis 3.
Abschluss des Vertrages
Dieser Vertrag wird nach Art. 28 Abs. 9 DSGVO in elektronischem Format geschlossen. Eine Unterzeichnung findet nicht statt; der Abschluss wird wie folgt dokumentiert:
Feld
Angabe
Abgeschlossen am
[wird beim Abschluss der Bestellung eingetragen]
Bestätigt durch
[wird beim Abschluss der Bestellung eingetragen](im Bestellvorgang angemeldet)
Bestellnummer
[wird beim Abschluss der Bestellung eingetragen]
Fassung des Vertrages
Stand 6. August 2026
Der Auftragnehmer hat diesen Vertrag mit Bereitstellung im Bestellvorgang angeboten; der Auftraggeber hat ihn mit der vorstehend dokumentierten Bestätigung angenommen.
Anlage 1 – Beschreibung der Verarbeitung
1. Beauftragte Leistungsbereiche
Beauftragt sind: [siehe Bestellung]
Bereich A – Softwarebetreuung ist in den Ziffern 2 bis 4 beschrieben, Bereich B – SPG-Onlineform Mitgliederantrag in den Ziffern 5 bis 7. Es gelten ausschließlich die vorstehend genannten Bereiche. Beauftragt der Auftraggeber später eine weitere Leistung, erweitert sich dieser Vertrag entsprechend; der Auftragnehmer stellt ihm die aktualisierte Fassung in Textform zur Verfügung.
Bereich A – Softwarebetreuung
2. Gegenstand und Art der Verarbeitung
Betreuung, Wartung und Instandhaltung der beim Auftraggeber eingesetzten Software SPG-Verein einschließlich der damit zusammenhängenden Dienstleistungen.
Der Auftragnehmer erhält in diesem Bereich ausschließlich in den folgenden Fällen Zugang zu personenbezogenen Daten des Auftraggebers:
Nr.
Anlass
Art des Zugangs
A1
Fernwartung
Einsicht in und Steuerung des Bildschirms nach ausdrücklicher Freigabe durch den Auftraggeber
A2
Fehleranalyse
Auf Bitte des Auftragnehmers übersandte Datenbanken, Datensicherungen, Protokolldateien oder Bildschirmfotos
A3
Datenübernahme
Übernahme von Datenbeständen aus einer zuvor eingesetzten Software
A4
Datenrettung
Wiederherstellung beschädigter oder verlorener Datenbestände
A5
Schulung
Einsicht in Echtdaten, sofern die Schulung nicht an einem Test- oder Demobestand erfolgt
Im laufenden Betrieb der Software findet keine Verarbeitung personenbezogener Daten des Auftraggebers durch den Auftragnehmer statt. Die Software überträgt keine Inhaltsdaten an den Auftragnehmer.
3. Zweck der Verarbeitung
Analyse und Behebung von Störungen, Wiederherstellung der Funktionsfähigkeit der Software, Überführung von Datenbeständen sowie Einweisung und Schulung von Anwendern.
4. Art der personenbezogenen Daten
Je nach Anlass können folgende Datenarten betroffen sein:
Stammdaten der Mitglieder: Anrede, Name, Geburtsdatum, Anschrift, Telefonnummer, E-Mail-Adresse
Mitgliedschaftsdaten: Eintritts- und Austrittsdatum, Mitgliedsnummer, Beitragsklasse, Abteilungs- und Gruppenzugehörigkeit, Funktionen und Ämter
Daten zu Lizenzen, Qualifikationen und Übungsleitertätigkeiten, soweit vom Auftraggeber erfasst
gegebenenfalls weitere vom Auftraggeber in der Software erfasste Felder, einschließlich freier Zusatzfelder
Hinweis: Der Auftraggeber ist dafür verantwortlich, welche Daten er in der Software erfasst. Erfasst er besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO – etwa Gesundheitsdaten oder Angaben zur Religionszugehörigkeit im Zusammenhang mit der Kirchensteuer –, teilt er dies dem Auftragnehmer vor der Übermittlung von Datenbeständen mit.
Kategorien betroffener Personen in Bereich A:
Mitglieder des Auftraggebers, einschließlich ehemaliger Mitglieder
gesetzliche Vertreter minderjähriger Mitglieder
Vorstandsmitglieder, Übungsleiter, Trainer und sonstige Funktionsträger
Beschäftigte und ehrenamtlich Tätige des Auftraggebers
Spender, Sponsoren und Geschäftspartner des Auftraggebers
Interessenten und sonstige Kontakte, soweit vom Auftraggeber erfasst
Dauer der Verarbeitung in Bereich A: Die Verarbeitung ist auf die Dauer des jeweiligen Vorgangs beschränkt. Nach dessen Abschluss werden die Daten gemäß § 11 Abs. 1 dieses Vertrages gelöscht.
Bereich B – SPG-Onlineform Mitgliederantrag
5. Gegenstand und Art der Verarbeitung
Der Auftragnehmer stellt dem Auftraggeber unter online.spg-direkt.de ein Online-Antragsformular zur Verfügung. Der Auftraggeber gestaltet die abgefragten Felder und verlinkt das Formular auf seinen eigenen Kanälen.
Nr.
Schritt
Beschreibung
B1
Erhebung
Aufnahmeinteressenten geben ihre Daten in das Formular ein. Die Übertragung an den Server erfolgt TLS-verschlüsselt
B2
Erzeugung
Die Angaben werden zu einer Datei im Format .spg zusammengefasst
B3
Übermittlung
Die Datei wird per E-Mail an die vom Auftraggeber hinterlegte Adresse gesendet. Der Versand erfolgt über Microsoft 365 mit erzwungener Transportverschlüsselung; kann der Mailserver des Empfängers keine TLS-Verbindung aufbauen, wird die Nachricht nicht zugestellt. Eine Benachrichtigung erfolgt nicht
B4
Import
Der Auftraggeber prüft den Antrag und übernimmt ihn in seine Installation von SPG-Verein
Eine dauerhafte Speicherung der Antragsdaten auf dem Webserver findet nicht statt. Eine Kopie der Versandnachricht verbleibt im Postausgang des Auftragnehmers und wird dort nach Ziffer 7 automatisiert gelöscht.
6. Art der personenbezogenen Daten und betroffene Personen
Betroffen sind die Personen, die einen Aufnahmeantrag stellen, sowie deren gesetzliche Vertreter bei minderjährigen Antragstellern.
Erfasst werden die vom Auftraggeber im Formular vorgesehenen Felder, insbesondere:
Zahlungsdaten: Bankverbindung (IBAN, Kontoinhaber) sowie die Erteilung eines SEPA-Lastschriftmandats
Angaben zur gewünschten Mitgliedschaft: Abteilung, Sparte, Beitragsklasse, Eintrittswunsch
vom Auftraggeber vorgesehene Einwilligungen, etwa zur Veröffentlichung von Fotos oder zum Newsletterbezug
Hinweis: Der Auftraggeber entscheidet, welche Felder das Formular abfragt. Er ist dafür verantwortlich, dass die Abfrage erforderlich und die Verarbeitung rechtmäßig ist. Sieht er Felder vor, über die besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO erhoben werden können, teilt er dies dem Auftragnehmer vor der Freischaltung mit.
Informationspflicht: Der Auftraggeber hinterlegt im Formular den Datenschutzhinweis nach Art. 13 DSGVO für die Antragsteller. Er ist insoweit Verantwortlicher; der Auftragnehmer stellt lediglich das Eingabefeld bereit und prüft den Inhalt nicht.
7. Dauer der Verarbeitung in Bereich B
Ort
Aufbewahrung
Webserver des Formulars
keine Speicherung der Antragsdaten über die Erzeugung der Datei hinaus
Postausgang des Auftragnehmers (Microsoft 365)
automatisierte Löschung nach 7 Tagen durch eine Aufbewahrungsrichtlinie
Server-Protokolle des Formulars
siehe Anlage 2 Ziffer 3
Ein erneuter Versand der Antragsdatei findet nicht statt.
8. Weisungsberechtigte und weisungsempfangende Personen
Weisungsberechtigt auf Seiten des Auftraggebers:
[im Kundenbereich zu hinterlegen]
Weisungsberechtigt ist die im Kundenkonto des Auftraggebers hinterlegte Person. Der Auftraggeber kann sie dort jederzeit selbst austauschen; maßgeblich ist der jeweils aktuelle Eintrag, einer Änderung dieses Vertrages bedarf es dafür nicht. Der Auftraggeber hält den Eintrag aktuell, insbesondere beim Wechsel von Vorstandsämtern.
Weisungsempfangend auf Seiten des Auftragnehmers:
Geschäftsführung der bmp GmbH sowie die von ihr benannten Mitarbeitenden des Supports
E-Mail: info@spg-direkt.de, Telefon: 05172-9718010
Anlage 2 – Technische und organisatorische Maßnahmen nach Art. 32 DSGVO
Diese Anlage beschreibt die technischen und organisatorischen Maßnahmen, die der Auftragnehmer zum Zeitpunkt des Vertragsschlusses getroffen hat. Sie sind Gegenstand seiner Zusage nach § 5 dieses Vertrages.
1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)
Zutrittskontrolle – Verhinderung des Zutritts Unbefugter zu Datenverarbeitungsanlagen:
Die Geschäftsräume sind abschließbar und werden außerhalb der Geschäftszeiten verschlossen gehalten.
Besucher werden nicht unbeaufsichtigt in Räumen mit Datenverarbeitungsanlagen gelassen.
Zugangskontrolle – Verhinderung der Nutzung von Systemen durch Unbefugte:
Jede mit der Verarbeitung befasste Person nutzt ein persönliches Benutzerkonto mit eigenem Kennwort; Sammelkonten werden nicht verwendet.
Für Kennwörter bestehen Vorgaben zu Mindestlänge, Komplexität und Wechsel.
Arbeitsplätze sperren sich nach einer Zeit ohne Eingabe automatisch.
Firewall und Virenschutz sind im Einsatz; Betriebssysteme und Anwendungen werden durch regelmäßige Sicherheitsupdates aktuell gehalten.
Zugriffe von außerhalb des Firmennetzes erfolgen über einen gesicherten VPN-Zugang.
Für Zugriffe von außen ist eine Zwei-Faktor-Authentifizierung eingerichtet.
Zugriffskontrolle – Beschränkung des Zugriffs auf das Erforderliche:
Eingesandte Kundendatenbestände werden ausschließlich auf einem hierfür bestimmten, gesonderten Laufwerk abgelegt, das von der allgemeinen Dateiablage des Auftragnehmers getrennt ist.
Der Zugriff auf dieses Laufwerk ist technisch auf die mit dem jeweiligen Vorgang befassten Mitarbeitenden beschränkt.
Trennungskontrolle:
Datenbestände unterschiedlicher Auftraggeber werden getrennt voneinander abgelegt und bearbeitet.
Test- und Entwicklungsumgebungen werden von Kundendatenbeständen getrennt gehalten.
Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO):
Datenbestände werden ausschließlich als verschlüsseltes, kennwortgeschütztes Archiv nach dem Stand der Technik (AES-256) übergeben. Das Kennwort wird auf einem vom Archiv getrennten Weg übermittelt, in der Regel telefonisch.
Die Eingaben in das Online-Antragsformular werden TLS-verschlüsselt an den Server übertragen.
Der Versand der Anträge erfolgt über einen Connector mit erzwungener Transportverschlüsselung (TLS) und Prüfung des Empfängerzertifikats. Nachrichten an Mailserver ohne TLS-Unterstützung werden nicht zugestellt.
Fernwartungsverbindungen sind durch das eingesetzte Produkt Ende-zu-Ende verschlüsselt.
Der Auftraggeber wird darauf hingewiesen, wenn die Übersendung eines anonymisierten oder reduzierten Datenbestandes zur Fehleranalyse ausreicht.
2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)
Weitergabekontrolle:
Kundendatenbestände werden nicht an Dritte weitergegeben, außer an die in Anlage 3 genannten Unterauftragsverarbeiter.
Datenbestände werden nur nach vorheriger Absprache mit dem Auftraggeber angefordert.
Eingabekontrolle:
Die Bearbeitung von Supportvorgängen wird im Ticketsystem des Auftragnehmers nachvollziehbar dokumentiert. Dazu gehören auch Änderungen, die an einem Datenbestand des Auftraggebers vorgenommen werden.
Fernwartungssitzungen werden nur nach aktiver Freigabe durch den Auftraggeber aufgebaut; dieser sieht durchgehend, welche Handlungen vorgenommen werden.
3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)
Die Verarbeitung in Bereich A erfolgt ausschließlich auf Systemen in den Räumen des Auftragnehmers in Deutschland.
In Bereich B werden das Formular bei der Host Europe GmbH in Deutschland und der Nachrichtenversand über Microsoft 365 innerhalb der Europäischen Union betrieben (siehe Anlage 3).
Der Webserver des Antragsformulars führt Zugriffsprotokolle, die technisch erforderlich sind und die Antragsdaten selbst nicht enthalten. Sie werden kurzfristig gespeichert und anschließend gelöscht.
Die Systeme des Auftragnehmers werden regelmäßig gesichert. Die Wiederherstellbarkeit der Sicherungen wird überprüft.
Zentrale Systeme sind durch eine unterbrechungsfreie Stromversorgung abgesichert.
Für die Wiederherstellung nach einem Ausfall besteht ein dokumentiertes Vorgehen.
Wichtiger Hinweis: Der Auftragnehmer erstellt keine Sicherungen der Datenbestände des Auftraggebers. Die Datensicherung der produktiven Daten obliegt ausschließlich dem Auftraggeber.
4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)
Alle mit der Verarbeitung befassten Personen sind schriftlich zur Vertraulichkeit verpflichtet.
Die Mitarbeitenden werden mindestens jährlich zum Datenschutz unterwiesen.
Für den Umgang mit Verletzungen des Schutzes personenbezogener Daten besteht ein dokumentiertes Vorgehen, das die Einhaltung der Frist nach Art. 33 DSGVO sicherstellt.
Eingesandte Datenbestände werden nach Abschluss des Vorgangs gelöscht.
Für Nachrichten mit Anträgen aus der SPG-Onlineform besteht eine automatisierte Aufbewahrungsrichtlinie in Microsoft 365 mit einer Löschfrist von sieben Tagen.
Ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO liegt vor und wird gepflegt; der den Auftraggeber betreffende Auszug wird auf Anforderung zur Verfügung gestellt.
Die in dieser Anlage beschriebenen Maßnahmen werden mindestens jährlich überprüft und bei Bedarf angepasst.
5. Auftragskontrolle
Verarbeitung ausschließlich nach Weisung des Auftraggebers, geregelt in diesem Vertrag.
Sorgfältige Auswahl und vertragliche Bindung von Unterauftragsverarbeitern.
Benennung fester Ansprechpartner für den Auftraggeber.
Stand dieser Anlage: 6. August 2026. Bei jeder wesentlichen Änderung fortzuschreiben.
Anlage 3 – Unterauftragsverarbeiter
Der Auftraggeber genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:
Unternehmen
Anschrift
Leistung
Bereich
Ort der Verarbeitung
TeamViewer SE
Bahnhofsplatz 2, 73033 Göppingen, Deutschland
Bereitstellung der Fernwartungsverbindung
A
Deutschland / EU
Host Europe GmbH
Hansestraße 111, 51149 Köln, Deutschland
Hosting des Online-Antragsformulars
B
Deutschland
Microsoft Ireland Operations Limited
One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland
Versand der Antragsnachrichten über Microsoft 365
B
Europäische Union (EU-Datengrenze)
Zu Microsoft: Es gilt das Microsoft Data Protection Addendum einschließlich der Standardvertragsklauseln. Kundendaten werden nach der EU-Datengrenze innerhalb der Europäischen Union gespeichert und verarbeitet. Zu möglichen Zugriffen aus den Vereinigten Staaten siehe § 1 Abs. 6 dieses Vertrages.
Weitere Unterauftragsverarbeiter werden nicht eingesetzt. Insbesondere werden keine Cloud-Dienste zur Speicherung von Datenbeständen des Auftraggebers und keine externen IT-Dienstleister mit Zugriffsmöglichkeit auf Kundendaten eingesetzt.
Änderungen richten sich nach § 6 dieses Vertrages.
Stand: 6. August 2026
Für Login und Warenkorb brauchen wir ein paar technische Cookies.
Dürfen wir zusätzlich Statistik, Marketing und die Erfassung Ihrer Herkunft aktivieren,
um unser Angebot zu verbessern? Alles freiwillig – Sie entscheiden.
Cookie-Einstellungen
Für den sicheren Betrieb des Shops – Anmeldung, Warenkorb, Bestellvorgang – setzen wir
technisch notwendige Cookies ein. Zusätzlich können Sie
Funktionales, Statistik und Marketing
erlauben sowie die Erfassung Ihrer Herkunft. Alles ist freiwillig und
jederzeit über den Link „Cookie-Einstellungen“ im Fußbereich änderbar.
Notwendige Cookies
Immer aktiv
Erforderlich für Login, Sitzung, Warenkorb und Sicherheit. Können nicht deaktiviert werden.
SitzungVerwaltet Anmeldung, Warenkorb und Sicherheitsstatus (HTTP-Cookie).
spg_cookie_consentSpeichert Ihre Cookie-Entscheidung für 180 Tage (HTTP-Cookie).
Merkt sich Komfort-Einstellungen (z. B. Auswahl, Präferenzen), damit die Seite sich
Ihren Entscheidungen entsprechend verhält.
Anonyme Reichweitenmessung, damit wir sehen, welche Inhalte genutzt werden und die
Seite verbessern können.
Ermöglicht Werbung, die zu Ihren Interessen passt, und misst deren Erfolg
(auch bei Google/Partnern).
Hilft uns zu verstehen, über welche Seite oder Kampagne Sie zu uns gefunden haben.
Auswertung ausschließlich durch uns, ohne Weitergabe an Dritte und ohne IP-Adresse.
HerkunftVerweisende Seite, Kampagnen-Parameter und Einstiegsseite – einmalig je Besuch, ohne IP-Adresse.
