Für dieses Produkt prüfen wir kurz, ob Sie SPG-Verein über Ihre Sparkasse beziehen. Bitte geben Sie die BLZ oder IBAN Ihres Vereinskontos ein.
für die Software SPG-Verein
Stand: 6. August 2026
Verantwortlicher für die in dieser Erklärung beschriebenen Verarbeitungen ist:
bmp GmbH
Eichendorffstr. 14
31224 Peine
Deutschland
Telefon: 05172-9718010
E-Mail: info@spg-direkt.de
Vertretungsberechtigte Geschäftsführer: Erik Böker, Kai Magerkord
Registergericht: Amtsgericht Hildesheim, HRB 101372
Einen Datenschutzbeauftragten haben wir nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO in Verbindung mit § 38 BDSG bei uns nicht vorliegen. Fragen zum Datenschutz richten Sie bitte an die oben genannten Kontaktdaten.
Diese Erklärung beschreibt, wie wir personenbezogene Daten im Zusammenhang mit der Software SPG-Verein verarbeiten – also im Rahmen des Erwerbs, der Lizenzierung, der Aktualisierung und der Betreuung der Software – sowie im Zusammenhang mit der SPG-Onlineform Mitgliederantrag (Ziffer 11).
Für unsere Website gilt eine gesonderte Datenschutzerklärung.
Diese Frage ist bei einer Software zur Mitgliederverwaltung zentral, deshalb steht sie am Anfang.
SPG-Verein wird auf Ihren eigenen Rechnern oder Servern installiert und betrieben. Sämtliche von Ihnen erfassten Daten – Mitgliederdaten, Beiträge, Buchungen, Abteilungszugehörigkeiten, Bankverbindungen und alles Weitere – verbleiben ausschließlich in Ihrer eigenen Umgebung. Es findet keine automatische Übertragung dieser Daten an uns oder an Dritte statt. Wir betreiben für SPG-Verein keinen Cloud-Speicher und keine gehostete Variante.
Eine Ausnahme bildet die SPG-Onlineform Mitgliederantrag, sofern Sie diese zusätzlich einsetzen: Dabei werden Antragsdaten über einen von uns bereitgestellten Server erfasst und an Sie übermittelt. Ziffer 11 beschreibt das im Einzelnen.
Für die Verarbeitung der Daten Ihrer Mitglieder, Mitarbeitenden und sonstigen betroffenen Personen sind allein Sie – der Verein oder die Organisation, die die Software einsetzt – Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Sie entscheiden über Zwecke und Mittel dieser Verarbeitung. Sie treffen auch die erforderlichen technischen und organisatorischen Maßnahmen in Ihrer eigenen IT-Umgebung (siehe die Hinweise in Ziffer 14).
Für die Daten, die im Verhältnis zwischen Ihnen als Kunde und uns als Anbieter anfallen – Bestell-, Lizenz-, Rechnungs- und Supportdaten – sind wir Verantwortlicher. Diese Verarbeitungen beschreiben die Ziffern 4 bis 6.
In bestimmten Situationen verarbeiten wir Daten, für die Sie Verantwortlicher sind – bei der Fernwartung, bei der Einsendung von Datenbanken zur Fehleranalyse, bei Datenübernahmen, Datenrettungen, Schulungen an Echtdaten sowie beim Betrieb der SPG-Onlineform. In diesen Fällen handeln wir ausschließlich nach Ihrer Weisung und sind Auftragsverarbeiter nach Art. 28 DSGVO. Für diese Fälle schließen wir mit Ihnen einen Vertrag zur Auftragsverarbeitung. Diese Verarbeitungen beschreiben die Ziffern 7 bis 11.
Beim Erwerb und der Nutzung von SPG-Verein verarbeiten wir:
Zweck: Abschluss und Durchführung des Vertrages, Lizenzverwaltung, Rechnungsstellung, Erfüllung steuer- und handelsrechtlicher Pflichten, Information über Programmaktualisierungen und für den Betrieb wesentliche Änderungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB (Aufbewahrung), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kundenbetreuung und Produktinformation).
Speicherdauer: Für die Dauer der Vertragsbeziehung. Danach werden die Daten gesperrt und nach Ablauf der gesetzlichen Aufbewahrungsfristen von bis zu zehn Jahren gelöscht.
SPG-Verein stellt in zwei Fällen eine Verbindung zu unseren Servern her:
Dabei werden übermittelt und protokolliert:
Es werden zu keinem Zeitpunkt Mitgliederdaten, Buchungsdaten oder sonstige Inhalte Ihrer Datenbank übertragen. Eine automatische Übermittlung von Absturz- oder Diagnoseberichten findet nicht statt.
Da sich die Lizenznummer Ihrem Kundenkonto zuordnen lässt, handelt es sich um personenbezogene Daten.
Zweck: Bereitstellung von Programmaktualisierungen, Prüfung der Lizenzberechtigung, Schutz vor unberechtigter Nutzung, statistische Auswertung des Versionsstandes zur Planung des Supports.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – die Prüfung ist Bestandteil der Lizenz- und Updatevereinbarung; ergänzend Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse am Schutz unserer Rechte an der Software.
Speicherdauer: Die Protokolle werden nur so lange aufbewahrt, wie es für die genannten Zwecke erforderlich ist, und anschließend gelöscht.
Wenden Sie sich mit einer Frage oder einer Störungsmeldung an uns, verarbeiten wir die Angaben, die Sie uns dabei machen: Ihre Kontaktdaten, Ihre Kunden- und Lizenznummer, die Beschreibung des Anliegens, übersandte Bildschirmfotos, Fehlermeldungen und Protokolldateien sowie den Verlauf der Bearbeitung.
Anfragen werden in unserem E-Mail-Postfach und in einem von uns selbst entwickelten und auf eigenen Systemen betriebenen Ticketsystem erfasst. Ein externer Helpdesk-Anbieter ist nicht eingebunden; Ihre Supportdaten verlassen unser Haus nicht.
Bitte übersenden Sie uns nur diejenigen Daten, die zur Bearbeitung Ihres Anliegens tatsächlich erforderlich sind. Bildschirmfotos sollten möglichst keine echten Mitgliederdaten enthalten.
Zweck: Bearbeitung Ihrer Anfrage, Nachvollziehbarkeit früherer Fälle, Verbesserung der Software.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, ergänzend Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer: Supportvorgänge bewahren wir für die Dauer der Vertragsbeziehung auf, da frühere Fälle für die Bearbeitung späterer Anfragen regelmäßig von Bedeutung sind. Anschließend werden sie gelöscht, soweit keine Aufbewahrungspflichten bestehen.
Auf Ihren Wunsch unterstützen wir Sie per Fernwartung. Dabei übertragen Sie uns nach ausdrücklicher Freigabe die Bildschirmansicht und – soweit erforderlich – die Steuerung Ihres Rechners.
Wir setzen dafür TeamViewer ein (TeamViewer SE, Bahnhofsplatz 2, 73033 Göppingen).
Während einer Fernwartungssitzung können für uns personenbezogene Daten Ihrer Mitglieder sichtbar werden. Dabei gilt:
Rolle: Wir handeln hier als Auftragsverarbeiter nach Art. 28 DSGVO. Verantwortlicher bleiben Sie.
Rechtsgrundlage für Sie als Verantwortlichen: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse am ordnungsgemäßen Betrieb Ihrer Vereinsverwaltung; TeamViewer wirkt als Unterauftragsverarbeiter mit.
Lässt sich ein Fehler anders nicht nachvollziehen, bitten wir Sie um die Übersendung Ihrer Datenbank oder einer Datensicherung.
Dabei gilt:
Wir empfehlen Ihnen, uns nach Möglichkeit einen anonymisierten oder auf den Fehlerfall reduzierten Datenbestand zu übersenden. Übersenden Sie den Datenbestand bitte ausschließlich als kennwortgeschütztes, verschlüsseltes Archiv und teilen Sie uns das Kennwort auf einem anderen Weg mit – etwa telefonisch. Auf Anfrage erläutern wir Ihnen das Vorgehen.
Rolle: Auftragsverarbeitung nach Art. 28 DSGVO.
Auf Ihren Auftrag übernehmen wir Datenbestände aus einer zuvor eingesetzten Software nach SPG-Verein oder stellen beschädigte Bestände wieder her.
Dabei verarbeiten wir die in den übergebenen Beständen enthaltenen personenbezogenen Daten – regelmäßig Namen, Anschriften, Geburtsdaten, Bankverbindungen, Beitrags- und Buchungsdaten Ihrer Mitglieder.
Rolle: Auftragsverarbeitung nach Art. 28 DSGVO. Wir werden ausschließlich nach Ihrer Weisung tätig.
Bei Schulungen vor Ort oder online können personenbezogene Daten in zweifacher Hinsicht anfallen:
Teilnehmerdaten: Name, Funktion, Verein, Kontaktdaten und Teilnahmenachweise verarbeiten wir zur Organisation und Durchführung der Schulung sowie zur Abrechnung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Echtdaten in der Schulungsumgebung: Wird an Ihrem eigenen Datenbestand geschult, können Daten Ihrer Mitglieder sichtbar werden. Wir empfehlen ausdrücklich, Schulungen an einem Demo- oder Testbestand durchzuführen. Ist dies nicht möglich, handeln wir insoweit als Auftragsverarbeiter; unsere Mitarbeitenden sind zur Vertraulichkeit verpflichtet.
Aufzeichnungen von Online-Schulungen erstellen wir nur mit Ihrer vorherigen Einwilligung und derjenigen der Teilnehmenden.
Setzen Sie zusätzlich die SPG-Onlineform ein, stellen wir Ihnen unter online.spg-direkt.de ein Online-Antragsformular zur Verfügung, über das Aufnahmeinteressenten ihre Daten eingeben.
So läuft die Verarbeitung ab:
.spg erzeugt.Welche Daten dabei anfallen, bestimmen Sie selbst über die Gestaltung des Formulars. In der Regel sind das Stammdaten, Bankverbindung und SEPA-Mandat, die gewünschte Abteilung oder Beitragsklasse sowie von Ihnen vorgesehene Einwilligungen.
Speicherung: Auf dem Webserver werden die Antragsdaten über die Erzeugung der Datei hinaus nicht gespeichert. Die Versandnachricht verbleibt in unserem Postausgang und wird dort durch eine automatisierte Regel nach sieben Tagen gelöscht. Ein erneuter Versand der Antragsdatei findet nicht statt.
Sicherheit des Versands: Der Versand erfolgt über Microsoft 365 mit erzwungener Transportverschlüsselung. Kann der Mailserver des Empfängers keine gesicherte Verbindung aufbauen, wird die Nachricht nicht zugestellt; eine Benachrichtigung hierüber erfolgt nicht. Bitte hinterlegen Sie deshalb eine E-Mail-Adresse, deren Mailserver Transportverschlüsselung unterstützt, und behalten Sie den Eingang der Anträge im Blick. Das Postfach sollte zugriffsgeschützt und nur den zuständigen Vorstandsmitgliedern zugänglich sein.
Rolle: Wir handeln auch hier als Auftragsverarbeiter nach Art. 28 DSGVO. Verantwortlicher gegenüber dem Antragsteller sind Sie.
Ihre Informationspflicht: Sie hinterlegen im Formular den Datenschutzhinweis nach Art. 13 DSGVO für Ihre Antragsteller. Wir stellen dafür lediglich das Eingabefeld bereit und prüfen den Inhalt nicht. Denken Sie daran, dass die Erhebung von Bankdaten und die Erteilung eines SEPA-Mandats darin abgedeckt sein müssen.
Für alle in den Ziffern 7 bis 11 beschriebenen Fälle schließen wir mit Ihnen einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Dieser Vertrag regelt insbesondere Gegenstand und Dauer der Verarbeitung, Ihre Weisungsrechte, die Vertraulichkeitsverpflichtung unserer Mitarbeitenden, die technischen und organisatorischen Maßnahmen, den Einsatz von Unterauftragsverarbeitern, unsere Unterstützungspflichten bei Betroffenenanfragen und Datenschutzverletzungen sowie die Löschung nach Auftragsende.
Sie benötigen diesen Vertrag zum Nachweis Ihrer eigenen Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Fordern Sie ihn bei uns an, sofern er Ihnen noch nicht vorliegt: info@spg-direkt.de
Als Unterauftragsverarbeiter setzen wir derzeit ein:
| Dienstleister | Sitz | Leistung |
|---|---|---|
| TeamViewer SE | Göppingen, Deutschland | Fernwartungsverbindung |
| Host Europe GmbH | Köln, Deutschland | Hosting des Online-Antragsformulars |
| Microsoft Ireland Operations Limited | Dublin, Irland | Versand der Antragsnachrichten über Microsoft 365 |
Innerhalb unseres Unternehmens erhalten nur die Personen Zugriff auf Ihre Daten, die diesen zur Erfüllung ihrer Aufgaben benötigen.
Über die genannten Fälle hinaus geben wir Daten weiter an unser Steuerbüro, bei Zahlungsverzug an Inkassodienstleister oder Rechtsanwälte sowie an Behörden und Gerichte, soweit wir gesetzlich dazu verpflichtet sind.
Die Verarbeitung erfolgt in Deutschland und im Übrigen innerhalb der Europäischen Union. Die Systeme für die Softwarebetreuung stehen ausschließlich in Deutschland.
Setzen Sie die SPG-Onlineform ein, wird für den Versand Microsoft 365 genutzt. Microsoft speichert und verarbeitet die Daten nach der EU-Datengrenze innerhalb der Europäischen Union. Ein Zugriff aus den Vereinigten Staaten im Rahmen von Support- und Wartungsvorgängen lässt sich nicht vollständig ausschließen. Grundlage hierfür sind der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (EU-U.S. Data Privacy Framework), unter dem die Microsoft Corporation zertifiziert ist, sowie ergänzend Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.
Weitere Übermittlungen in Drittländer finden nicht statt.
Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.
Ihnen stehen gegenüber uns die folgenden Rechte zu: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie der Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
Widerspruchsrecht nach Art. 21 DSGVO: Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt. Gegen die Verarbeitung zum Zwecke der Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen.
Zur Ausübung genügt eine formlose Nachricht an info@spg-direkt.de oder an unsere Postanschrift.
Wichtiger Hinweis für Mitglieder von Vereinen: Wenn Sie Mitglied eines Vereins sind, der SPG-Verein einsetzt, richten Sie Ihre Anfrage bitte an Ihren Verein. Wir speichern Ihre Mitgliederdaten nicht und können Ihnen daher keine Auskunft darüber erteilen. Erreicht uns eine solche Anfrage dennoch, leiten wir sie – soweit uns der Verein bekannt ist – weiter oder verweisen Sie an ihn.
Beschwerderecht: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist:
Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
Telefon: 0511 120-4500
E-Mail: poststelle@lfd.niedersachsen.de
Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um personenbezogene Daten gegen Verlust, Zerstörung, Manipulation und unberechtigten Zugriff zu schützen. Dazu gehören abschließbare Geschäftsräume, die Ablage eingesandter Kundendatenbestände auf einem gesonderten, von unserer übrigen Dateiablage getrennten Laufwerk, die verschlüsselte Übergabe von Datenbeständen, die TLS-verschlüsselte Übertragung der Formulareingaben und der erzwungen transportverschlüsselte Versand der Anträge aus der SPG-Onlineform sowie die Verpflichtung unserer Mitarbeitenden auf Vertraulichkeit. Die Maßnahmen werden fortlaufend an die technische Entwicklung angepasst.
Da die Software bei Ihnen betrieben wird, liegt die Sicherheit der Mitgliederdaten wesentlich in Ihrer Hand. Wir weisen Sie auf die folgenden Punkte hin:
Diese Aufzählung ist ein Hinweis aus der Praxis und ersetzt keine rechtliche Beratung.
Wir passen diese Datenschutzerklärung an, sobald Änderungen der Software, unserer Leistungen oder der Rechtslage dies erforderlich machen. Die jeweils aktuelle Fassung stellen wir auf unserer Website bereit und legen sie der Software bei.
Stand: 6. August 2026
für die Software SPG-Verein
bmp GmbH · Stand: 19. August 2026
(1) Diese Allgemeinen Geschäftsbedingungen (nachfolgend „AGB") gelten für alle Verträge zwischen der
bmp GmbH, Eichendorffstr. 14, 31224 Peine
Amtsgericht Hildesheim, HRB 101372
Geschäftsführer: Erik Böker, Kai Magerkord
Telefon 05172-9718010, E-Mail info@spg-direkt.de
(nachfolgend „bmp") und ihren Kunden über die Überlassung und Betreuung der Software SPG-Verein.
(2) bmp richtet ihr Angebot an Vereine, Verbände, Organisationen und Unternehmen. Schließt ausnahmsweise eine natürliche Person den Vertrag zu Zwecken, die überwiegend weder ihrer gewerblichen noch ihrer selbständigen beruflichen Tätigkeit zugerechnet werden können, gelten ergänzend die besonderen Bestimmungen für Verbraucher, insbesondere § 16 dieser AGB.
(3) Abweichende, entgegenstehende oder ergänzende Geschäftsbedingungen des Kunden werden nicht Vertragsbestandteil, es sei denn, bmp stimmt ihrer Geltung ausdrücklich in Textform zu.
(4) Die jeweils gültige Fassung dieser AGB ist auf spg-direkt.de abrufbar und wird dem Kunden bei Vertragsschluss in Textform zur Verfügung gestellt.
(1) bmp überlässt dem Kunden die Software SPG-Verein zur Verwaltung von Mitgliedern, Beiträgen und Rechnungswesen des im Bestellvorgang benannten Vereins beziehungsweise der benannten Organisation.
(2) Die Software wird ausschließlich lokal in der Umgebung des Kunden installiert und betrieben. bmp betreibt keinen Server, auf dem die Datenbestände des Kunden gespeichert werden. Eine Übertragung von Mitglieder- oder Buchungsdaten an bmp findet im laufenden Betrieb nicht statt. Etwas anderes gilt, wenn der Kunde zusätzlich die SPG-Onlineform nach § 3 beauftragt.
(3) Der Leistungsumfang während der Vertragslaufzeit umfasst:
Die Freischaltung nach Nummer 1 erfolgt jeweils für den bezahlten Leistungszeitraum; Einzelheiten regelt § 11 Abs. 4.
(4) Nicht Vertragsgegenstand sind, sofern nicht gesondert vereinbart: individuelle Anpassungen und Programmierleistungen, die Übernahme von Datenbeständen aus anderer Software, Datenrettung, Schulungen, die Einrichtung der IT-Umgebung des Kunden sowie die Sicherung der Datenbestände des Kunden.
(5) bmp erbringt keine Rechts- oder Steuerberatung. Hinweise zu vereins-, steuer- oder datenschutzrechtlichen Fragen in Handbüchern, Newslettern oder im Support sind allgemeine Informationen und ersetzen keine Beratung im Einzelfall.
(6) Weitere Zusatzmodule über die SPG-Onlineform (§ 3) hinaus werden derzeit nicht angeboten. Sollten künftig Zusatzleistungen angeboten werden, bedürfen sie einer gesonderten Vereinbarung.
(1) Der Kunde kann zusätzlich die SPG-Onlineform Mitgliederantrag beauftragen. Die Beauftragung erfolgt gesondert; ohne sie gelten die Absätze 2 bis 6 nicht.
(2) bmp stellt dem Kunden unter online.spg-direkt.de ein Online-Antragsformular bereit. Der Kunde gestaltet die abgefragten Felder, hinterlegt den Datenschutzhinweis für die Antragsteller und verbreitet den Link auf seinen eigenen Kanälen.
(3) Die Eingaben werden zu einer Datei im Format .spg zusammengefasst und per E-Mail an die vom Kunden hinterlegte Adresse übermittelt. Der Kunde importiert die Datei in seine Installation von SPG-Verein.
(4) Der Versand erfolgt mit erzwungener Transportverschlüsselung. Kann der Mailserver des Kunden keine gesicherte Verbindung aufbauen, wird die Nachricht nicht zugestellt. Eine Benachrichtigung hierüber erfolgt nicht, ein erneuter Versand findet nicht statt; der Antrag ist in diesem Fall erneut auszufüllen. Der Kunde hat eine E-Mail-Adresse zu hinterlegen, deren Mailserver Transportverschlüsselung unterstützt, und den Eingang der Anträge selbst zu überwachen. Das zugehörige Postfach ist zugriffsgeschützt zu halten; die Anträge enthalten Bankdaten seiner künftigen Mitglieder.
(5) Die Antragsdaten werden auf dem Webserver über die Erzeugung der Datei hinaus nicht gespeichert. Die Versandnachricht wird im Postausgang von bmp nach sieben Tagen automatisiert gelöscht. Ein erneuter Versand der Antragsdatei erfolgt nicht.
(6) bmp schuldet die Bereitstellung des Formulars, nicht die Richtigkeit oder Vollständigkeit der von Antragstellern gemachten Angaben. Die Prüfung der Anträge obliegt dem Kunden.
(7) Für die Verarbeitung der Antragsdaten wird bmp als Auftragsverarbeiter tätig; § 15 gilt entsprechend.
(1) SPG-Verein kann vor dem Erwerb zeitlich unbegrenzt und kostenfrei getestet werden.
(2) In der Testnutzung steht der volle Funktionsumfang zur Verfügung mit Ausnahme der Beitrags- und Abrechnungsläufe im Echtbetrieb einschließlich der Erzeugung von SEPA-Dateien. Diese Funktionen werden erst mit der Freischaltung nach § 5 Abs. 6 nutzbar.
(3) Aus der Testnutzung entstehen keine Zahlungsverpflichtungen und kein Anspruch auf Support oder Aktualisierungen. Für die kostenfreie Testnutzung haftet bmp nur nach Maßgabe des § 14 Abs. 5.
(4) In der Testnutzung erfasste Daten bleiben nach der Freischaltung erhalten; eine Neuerfassung ist nicht erforderlich.
(1) Die Darstellung der Software auf spg-direkt.de stellt kein bindendes Angebot dar.
(2) Ablauf der Bestellung: Der Kunde legt das gewünschte Produkt in den Warenkorb, gibt seine Kontakt- und Rechnungsdaten ein und gelangt zu einer Übersichtsseite, auf der sämtliche Angaben, die Leistung und der Gesamtpreis noch einmal zusammengefasst sind. Dort bestätigt er die Geltung dieser AGB und die Kenntnisnahme der Widerrufsbelehrung. Verbraucher können dort zusätzlich der sofortigen Freischaltung zustimmen; die Folgen für das Widerrufsrecht ergeben sich aus § 16. Die Bestellung wird über die Schaltfläche „zahlungspflichtig bestellen" abgeschlossen.
(3) Berichtigung von Eingabefehlern: Bis zur Betätigung der Bestellschaltfläche kann der Kunde alle Eingaben jederzeit ändern. Auf der Übersichtsseite nach Absatz 2 lassen sich einzelne Angaben über die dortige Korrekturmöglichkeit anpassen; ebenso kann der Kunde über die Zurück-Funktion seines Browsers zu vorherigen Schritten wechseln oder den Vorgang durch Schließen des Browserfensters vollständig abbrechen.
(4) Mit Absenden der Bestellung gibt der Kunde ein verbindliches Angebot auf Abschluss eines Vertrages ab.
(5) Der Vertrag kommt mit Zugang der Rechnung zustande, die bmp unmittelbar nach der Bestellung übersendet. Der Leistungszeitraum beginnt mit dem Tag der Bestellung und beträgt 365 Tage.
(6) Der Lizenzschlüssel wird nach Zahlungseingang übersandt. Mit seiner Eingabe werden die Beitrags- und Abrechnungsfunktionen nach § 2 Abs. 3 Nr. 1 freigeschaltet. Die Freischaltung ist auf den Leistungszeitraum nach Absatz 5 befristet.
(7) Stornierung: Bis zum Eingang der Zahlung kann der Kunde die Bestellung im Kundenbereich stornieren. Die Stornierung gilt als Widerruf; eine Rückzahlung erübrigt sich, da noch keine Zahlung geleistet wurde. Nach Zahlungseingang und Erstellung der Lizenz ist die Stornierung nicht mehr möglich; für Verbraucher gelten dann die Regelungen des § 16.
(8) Speicherung des Vertragstextes: bmp speichert den Vertragstext und übermittelt ihn dem Kunden zusammen mit diesen AGB und der Widerrufsbelehrung in Textform. Der Kunde kann diese AGB jederzeit auf spg-direkt.de abrufen, ausdrucken und speichern.
(9) Vertragssprache ist ausschließlich Deutsch.
(10) bmp hat sich keinen besonderen Verhaltenskodizes im Sinne des Art. 246c Nr. 5 EGBGB unterworfen.
(1) Der Kunde erhält an der Software ein einfaches, nicht ausschließliches und zeitlich unbeschränktes Recht zur Nutzung für die eigenen Zwecke des im Bestellvorgang benannten Vereins beziehungsweise der benannten Organisation.
(2) Der Kunde darf die Software auf beliebig vielen Rechnern installieren, sofern diese der Verwaltung des benannten Vereins dienen und dem Kunden zuzurechnen sind. Die Nutzung für weitere Vereine oder Organisationen bedarf jeweils einer eigenen Lizenz. Bei einem Zusammenschluss oder einer Verschmelzung von Vereinen ist bmp zu unterrichten; die Parteien vereinbaren dann die erforderliche Anpassung.
(3) Die Freischaltung der Beitrags- und Abrechnungsfunktionen einschließlich der SEPA-Dateierstellung besteht nur für die Dauer des Vertrages (§ 9).
(4) Der Kunde darf die Software nicht vermieten, verleihen oder Dritten zur Nutzung überlassen. Eine dauerhafte Weitergabe der erworbenen Lizenz an einen Dritten unter vollständiger und endgültiger Aufgabe der eigenen Nutzung ist zulässig; der Kunde hat bmp die Weitergabe in Textform anzuzeigen und dem Erwerber diese AGB zu übergeben.
(5) Zurückentwicklung, Entschlüsselung und Bearbeitung der Software sind nur in den Grenzen der §§ 69d und 69e UrhG zulässig. Urhebervermerke und Lizenzhinweise dürfen nicht entfernt oder verändert werden.
(6) Die Rechte an der Software und an den mitgelieferten Unterlagen verbleiben bei bmp. Der Kunde erwirbt keine Rechte an den Quellcodes.
(1) Die Software ist auf einer Systemumgebung zu betreiben, die den jeweils veröffentlichten Systemvoraussetzungen entspricht. Deren Bereitstellung und Instandhaltung obliegt dem Kunden.
(2) Der Kunde ist für die Sicherung seiner Datenbestände selbst verantwortlich. Er hat vor jeder Installation einer Programmaktualisierung sowie in regelmäßigen Abständen, mindestens täglich bei produktiver Nutzung, vollständige Sicherungen zu erstellen und deren Wiederherstellbarkeit zu prüfen. bmp erstellt keine Sicherungen der Datenbestände des Kunden.
(3) Der Kunde nutzt die Software bestimmungsgemäß, hält Zugangsdaten und Kennwörter geheim und schützt sie vor dem Zugriff Dritter.
(4) Der Kunde meldet Störungen und insbesondere Fehler, die zur Beschädigung von Daten oder zu einem Zugriff Unbefugter führen können, unverzüglich an bmp. Er beschreibt den Fehler so genau, dass er nachvollzogen werden kann, und unterstützt bmp im zumutbaren Umfang bei der Eingrenzung.
(5) Der Kunde installiert von bmp bereitgestellte Programmaktualisierungen in angemessener Zeit, soweit sie der Beseitigung von Fehlern oder Sicherheitslücken dienen.
bmp entwickelt und pflegt die Software mit der gebotenen Sorgfalt. Der Kunde erkennt an, dass Software nach dem Stand der Technik nicht vollständig fehlerfrei erstellt werden kann. Ein Fehler liegt vor, wenn die Software die vereinbarte oder die nach der Leistungsbeschreibung zu erwartende Funktion nicht oder nicht vollständig erfüllt. Unerhebliche Abweichungen bleiben außer Betracht. Die Mängelrechte des Kunden nach § 13 bleiben unberührt.
(1) Der Vertrag beginnt mit dem Vertragsschluss nach § 5 Abs. 5 und hat eine Laufzeit von zwölf Monaten.
(2) Der Vertrag verlängert sich jeweils um weitere zwölf Monate, wenn er nicht von einer Partei spätestens 30 Tage vor Ablauf der jeweiligen Laufzeit gekündigt wird.
(3) Sonderregelung für Verbraucher: Ist der Kunde Verbraucher im Sinne des § 13 BGB, verlängert sich der Vertrag abweichend von Absatz 2 auf unbestimmte Zeit und kann jederzeit mit einer Frist von einem Monat gekündigt werden (§ 309 Nr. 9 BGB).
(4) Die Kündigung bedarf der Textform; eine E-Mail an info@spg-direkt.de genügt. Eine strengere Form wird nicht verlangt.
(5) Das Recht zur Kündigung aus wichtigem Grund bleibt für beide Parteien unberührt. Ein wichtiger Grund liegt für bmp insbesondere vor, wenn der Kunde mit der Zahlung trotz Mahnung und Fristsetzung in Verzug bleibt, die Software vertragswidrig Dritten überlässt oder gegen § 6 Abs. 5 verstößt.
(1) Die Software bleibt dem Kunden nach Vertragsende erhalten. Der Kunde kann seine Datenbestände weiterhin öffnen, einsehen, bearbeiten, auswerten, drucken und exportieren.
(2) Mit Vertragsende entfallen:
Die Software befindet sich damit wieder im Funktionsumfang der Testnutzung nach § 4 Abs. 2.
(3) Programmaktualisierungen, die dem Kunden während der Laufzeit bereitgestellt wurden, darf er dauerhaft weiternutzen.
(4) Ein Anspruch auf Rückerstattung bereits gezahlter Entgelte für die laufende Vertragsperiode besteht nicht, sofern die Beendigung nicht auf einem von bmp zu vertretenden Grund beruht.
(5) Der Kunde kann den Vertrag jederzeit wieder aufnehmen; die vorhandenen Datenbestände bleiben nutzbar. Die Beitrags- und Abrechnungsfunktionen werden dabei erst mit dem Zahlungseingang wieder freigeschaltet.
(1) Es gelten die zum Zeitpunkt der Bestellung auf spg-direkt.de veröffentlichten Preise. Alle Preise sind Endpreise und enthalten die jeweils geltende gesetzliche Umsatzsteuer. Die Umsatzsteuer wird in der Rechnung gesondert ausgewiesen. Zusätzliche Versandkosten fallen nur an, wenn ausdrücklich der Versand von Datenträgern oder gedruckten Unterlagen vereinbart wird; sie werden vor Abgabe der Bestellung angezeigt.
(2) Die Nutzungsgebühr wird jährlich im Voraus in Rechnung gestellt.
(3) Rechnungen sind innerhalb von 30 Tagen nach Zugang ohne Abzug zur Zahlung fällig. Nach Ablauf dieser Frist kommt der Kunde ohne weitere Mahnung in Verzug.
(4) Freischaltung im Verlängerungszeitraum: Die Freischaltung der Beitrags- und Abrechnungsfunktionen ist auf den jeweils bezahlten Leistungszeitraum befristet. Verlängert sich der Vertrag nach § 9 Abs. 2 oder Abs. 3, stellt bmp die Rechnung für den folgenden Zeitraum vor dessen Beginn; die Freischaltung für den neuen Zeitraum erfolgt mit dem Zahlungseingang. Geht die Zahlung nicht vor Ablauf des laufenden Zeitraums ein, stehen die Beitrags- und Abrechnungsläufe im Echtbetrieb einschließlich der Erzeugung von SEPA-Dateien bis zum Zahlungseingang nicht zur Verfügung; die übrigen Funktionen der Software und die vorhandenen Datenbestände bleiben unverändert nutzbar. Der neue Leistungszeitraum schließt an den vorangegangenen an; eine verspätete Zahlung verlängert ihn nicht. Der Kunde wählt den Zahlungszeitpunkt so, dass anstehende Beitrags- und Abrechnungsläufe nicht in eine Zeit ohne Freischaltung fallen.
(5) Bei Zahlungsverzug ist bmp berechtigt, Verzugszinsen in gesetzlicher Höhe zu verlangen. Nach erfolglosem Ablauf einer angemessenen Nachfrist ist bmp berechtigt, auch den Zugang zum Kundenbereich zu sperren und den Vertrag nach § 9 Abs. 5 zu kündigen. Auf eine bevorstehende Sperre des Kundenbereichs wird der Kunde vorher hingewiesen. Die übrigen Funktionen der Software bleiben auch während einer Sperre nutzbar. Die ausbleibende Freischaltung nach Absatz 4 ist keine Sperre im Sinne dieses Absatzes; sie setzt weder Verzug noch eine Nachfrist voraus.
(6) Die Zahlung erfolgt per Überweisung auf das in der Rechnung genannte Konto.
(7) Der Kunde kann nur mit unbestrittenen oder rechtskräftig festgestellten Forderungen aufrechnen. Ein Zurückbehaltungsrecht steht ihm nur wegen Ansprüchen aus demselben Vertragsverhältnis zu.
(1) bmp ist berechtigt, die Nutzungsgebühr mit Wirkung zum Beginn eines Verlängerungszeitraums anzupassen, insbesondere zum Ausgleich gestiegener Personal-, Entwicklungs-, Energie- oder Beschaffungskosten.
(2) Eine Anpassung ist dem Kunden mindestens sechs Wochen vor Beginn des Verlängerungszeitraums in Textform mitzuteilen. Die Mitteilung weist auf das Kündigungsrecht nach Absatz 3 hin.
(3) Erhöht sich die Nutzungsgebühr, kann der Kunde den Vertrag bis zum Wirksamwerden der Anpassung zum Ende der laufenden Vertragsperiode kündigen, auch wenn die Frist nach § 9 Abs. 2 bereits abgelaufen ist.
(4) Kündigt der Kunde nicht, gilt die angepasste Gebühr ab dem Verlängerungszeitraum. Auf diese Folge wird in der Mitteilung nach Absatz 2 gesondert hingewiesen.
(1) bmp gewährleistet, dass die Software bei bestimmungsgemäßer Nutzung die in der Leistungsbeschreibung und den Handbüchern beschriebenen Funktionen erfüllt.
(2) Zeigt sich ein Mangel, hat der Kunde ihn bmp unverzüglich in Textform anzuzeigen und nachvollziehbar zu beschreiben.
(3) bmp beseitigt Mängel durch Nachbesserung, insbesondere durch Bereitstellung einer korrigierten Programmversion oder eines Umgehungsweges, der die Nutzung ohne unzumutbare Einschränkung ermöglicht.
(4) Schlägt die Nachbesserung nach angemessener Frist fehl, kann der Kunde die Vergütung mindern oder vom Vertrag zurücktreten. Das Rücktrittsrecht besteht nicht bei unerheblichen Mängeln.
(5) Die Verjährungsfrist für Mängelansprüche beträgt zwei Jahre. Für Ansprüche aus Vorsatz, arglistigem Verschweigen eines Mangels sowie für Ansprüche nach § 14 Abs. 1 und 2 gelten die gesetzlichen Fristen.
(6) Keine Mängel sind Beeinträchtigungen, die auf einer nicht den Systemvoraussetzungen entsprechenden Umgebung, auf unsachgemäßer Bedienung, auf Eingriffen des Kunden oder Dritter in die Software oder auf einer unterlassenen Installation bereitgestellter Aktualisierungen beruhen.
(1) bmp haftet unbeschränkt für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, für Schäden, die auf Vorsatz oder grober Fahrlässigkeit beruhen, bei arglistigem Verschweigen eines Mangels, im Umfang einer übernommenen Garantie sowie nach dem Produkthaftungsgesetz.
(2) Bei leicht fahrlässiger Verletzung einer wesentlichen Vertragspflicht haftet bmp der Höhe nach begrenzt auf den vertragstypischen, vorhersehbaren Schaden. Wesentliche Vertragspflichten sind solche, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf.
(3) Im Übrigen ist die Haftung ausgeschlossen.
(4) Für den Verlust von Daten haftet bmp nur bis zu dem Betrag, der bei ordnungsgemäßer und regelmäßiger Sicherung der Daten durch den Kunden zu ihrer Wiederherstellung erforderlich gewesen wäre. Diese Begrenzung gilt nicht in den Fällen des Absatzes 1.
(5) Für die kostenfreie Testnutzung nach § 4 haftet bmp nur für Vorsatz und grobe Fahrlässigkeit sowie in den Fällen des Absatzes 1.
(6) Die vorstehenden Beschränkungen gelten auch zugunsten der gesetzlichen Vertreter, Mitarbeitenden und Erfüllungsgehilfen von bmp.
(7) Der Kunde haftet für Schäden, die durch eine nicht vertragsgemäße Nutzung der Software entstehen.
(1) Der Kunde ist für die von ihm mit der Software verarbeiteten personenbezogenen Daten Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Ihm obliegen insbesondere die Rechtmäßigkeit der Verarbeitung, die Information der betroffenen Personen, die Wahrung ihrer Rechte, das Verzeichnis von Verarbeitungstätigkeiten und die Sicherheit seiner eigenen IT-Umgebung.
(2) Erhält bmp im Rahmen von Support, Fernwartung, Fehleranalyse, Datenübernahme, Datenrettung oder Schulung Zugang zu personenbezogenen Daten des Kunden, wird bmp insoweit als Auftragsverarbeiter tätig. Die Parteien schließen hierüber einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Dieser Vertrag geht diesen AGB in datenschutzrechtlichen Fragen vor.
(3) Wie bmp die Daten des Kunden als Verantwortlicher verarbeitet – etwa Vertrags-, Lizenz- und Supportdaten –, beschreibt die Datenschutzerklärung zur Software SPG-Verein.
(4) bmp schützt die ihr zugänglichen Daten durch angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO; diese sind in der Anlage zum Vertrag zur Auftragsverarbeitung beschrieben.
Ist der Kunde Verbraucher im Sinne des § 13 BGB, steht ihm das nachstehende Widerrufsrecht zu. Vereinen, Organisationen und Unternehmern steht ein gesetzliches Widerrufsrecht nicht zu.
Widerrufsrecht
Sie haben das Recht, binnen vierzehn Tagen ohne Angabe von Gründen diesen Vertrag zu widerrufen. Die Widerrufsfrist beträgt vierzehn Tage ab dem Tag des Vertragsabschlusses.
Um Ihr Widerrufsrecht auszuüben, müssen Sie uns
bmp GmbH, Eichendorffstr. 14, 31224 Peine, Telefon 05172-9718010, E-Mail info@spg-direkt.de
mittels einer eindeutigen Erklärung (z. B. ein mit der Post versandter Brief oder eine E-Mail) über Ihren Entschluss, diesen Vertrag zu widerrufen, informieren. Sie können dafür das beigefügte Muster-Widerrufsformular verwenden, das jedoch nicht vorgeschrieben ist.
Zur Wahrung der Widerrufsfrist reicht es aus, dass Sie die Mitteilung über die Ausübung des Widerrufsrechts vor Ablauf der Widerrufsfrist absenden.
Folgen des Widerrufs
Wenn Sie diesen Vertrag widerrufen, haben wir Ihnen alle Zahlungen, die wir von Ihnen erhalten haben, unverzüglich und spätestens binnen vierzehn Tagen ab dem Tag zurückzuzahlen, an dem die Mitteilung über Ihren Widerruf dieses Vertrags bei uns eingegangen ist. Für diese Rückzahlung verwenden wir dasselbe Zahlungsmittel, das Sie bei der ursprünglichen Transaktion eingesetzt haben, es sei denn, mit Ihnen wurde ausdrücklich etwas anderes vereinbart; in keinem Fall werden Ihnen wegen dieser Rückzahlung Entgelte berechnet.
Vorzeitiges Erlöschen des Widerrufsrechts
Das Widerrufsrecht erlischt bei einem Vertrag über die Bereitstellung digitaler Inhalte, die nicht auf einem körperlichen Datenträger geliefert werden, wenn Sie ausdrücklich zugestimmt haben, dass wir mit der Ausführung des Vertrags vor Ablauf der Widerrufsfrist beginnen, Sie Ihre Kenntnis davon bestätigt haben, dass Sie durch Ihre Zustimmung mit Beginn der Ausführung des Vertrags Ihr Widerrufsrecht verlieren, und wir Ihnen eine Bestätigung des Vertrags in Textform zur Verfügung gestellt haben.
– Ende der Widerrufsbelehrung –
(Wenn Sie den Vertrag widerrufen wollen, füllen Sie bitte dieses Formular aus und senden Sie es zurück.)
An bmp GmbH, Eichendorffstr. 14, 31224 Peine, E-Mail: info@spg-direkt.de
Hiermit widerrufe(n) ich/wir (*) den von mir/uns (*) abgeschlossenen Vertrag über den Kauf der folgenden Waren (*) / die Erbringung der folgenden Dienstleistung (*)
Bestellt am (*) / erhalten am (*): _____
Name des/der Verbraucher(s): _______
Anschrift des/der Verbraucher(s): _________
Datum: __ Unterschrift (nur bei Mitteilung auf Papier): ____
(*) Unzutreffendes streichen.
(1) bmp kann dem Kunden Änderungen dieser AGB anbieten, wenn dies zur Anpassung an eine geänderte Rechtslage, an höchstrichterliche Rechtsprechung oder an eine wesentliche Änderung des Leistungsangebots erforderlich ist.
(2) Änderungen werden dem Kunden mindestens sechs Wochen vor dem vorgesehenen Wirksamwerden in Textform mitgeteilt. Die Mitteilung stellt die betroffenen Regelungen gegenüber.
(3) Die geänderten Bedingungen gelten nur, wenn der Kunde ihnen zustimmt. Ein Schweigen des Kunden gilt nicht als Zustimmung.
(4) Stimmt der Kunde nicht zu, wird der Vertrag zu den bisherigen Bedingungen fortgesetzt. Ist bmp die Fortsetzung zu den bisherigen Bedingungen nicht zumutbar, kann bmp den Vertrag zum Ende der laufenden Vertragsperiode kündigen.
(5) Absatz 3 gilt nicht für die Anpassung der Nutzungsgebühr; hierfür gilt ausschließlich § 12.
Der Kunde kann seine Ansprüche aus diesem Vertrag nur mit vorheriger Zustimmung von bmp an Dritte abtreten. Die Zustimmung darf nicht ohne sachlichen Grund verweigert werden. § 354a HGB bleibt unberührt. Die Regelung des § 6 Abs. 4 zur Weitergabe der Lizenz bleibt unberührt.
(1) Mitteilungen und Erklärungen im Rahmen dieses Vertrages bedürfen der Textform, soweit nicht ausdrücklich etwas anderes bestimmt ist.
(2) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ist der Kunde Verbraucher, gilt diese Rechtswahl nur insoweit, als dadurch nicht der Schutz zwingender Vorschriften des Staates entzogen wird, in dem der Verbraucher seinen gewöhnlichen Aufenthalt hat.
(3) Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag Peine. bmp ist auch berechtigt, am allgemeinen Gerichtsstand des Kunden zu klagen. Gegenüber allen übrigen Kunden gelten die gesetzlichen Gerichtsstände.
(4) bmp ist nicht bereit und nicht verpflichtet, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen (§ 36 Abs. 1 Nr. 1 VSBG). Auf die Pflicht zur Abgabe dieser Erklärung findet § 36 Abs. 3 VSBG Anwendung.
(5) Sollte eine Bestimmung dieser AGB unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.
Stand: 19. August 2026
gemäß Art. 28 DSGVO
Stand: 6. August 2026
Auftraggeber – Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO
Name des Vereins / der Organisation: [Name des Vereins / der Organisation]
Straße, Hausnummer: [Straße, Hausnummer]
PLZ, Ort: [PLZ, Ort]
Vertreten durch: [vertreten durch]
E-Mail: [E-Mail]
Telefon: [Telefon]
Kundennummer: [Kundennummer]
– nachfolgend „Auftraggeber" –
Auftragnehmer – Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO
bmp GmbH
Eichendorffstr. 14
31224 Peine
Deutschland
Telefon: 05172-9718010
E-Mail: info@spg-direkt.de
Vertreten durch die Geschäftsführer Erik Böker und Kai Magerkord
Amtsgericht Hildesheim, HRB 101372
– nachfolgend „Auftragnehmer" –
– gemeinsam die „Parteien" –
Der Auftraggeber nutzt Leistungen des Auftragnehmers rund um die Vereinsverwaltung. Dabei kann der Auftragnehmer Zugang zu personenbezogenen Daten erhalten, für die der Auftraggeber Verantwortlicher ist. Für diese Fälle regelt dieser Vertrag die Rechte und Pflichten der Parteien nach Art. 28 DSGVO.
Der Vertrag erfasst zwei Leistungsbereiche, die einzeln oder gemeinsam beauftragt werden können. Welche Bereiche gelten, ergibt sich aus Anlage 1 Ziffer 1:
online.spg-direkt.de ein Antragsformular bereit, über das Aufnahmeinteressenten des Auftraggebers ihre Daten eingeben. Die Angaben werden als Datei an die vom Auftraggeber hinterlegte E-Mail-Adresse übermittelt. Hier verarbeitet der Auftragnehmer die Daten laufend und nicht nur anlassbezogen.Dieser Vertrag ergänzt den zwischen den Parteien bestehenden Lizenz-, Wartungs- beziehungsweise Servicevertrag (nachfolgend „Hauptvertrag"). Er begründet keine eigenständige Leistungspflicht.
(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers, soweit sie im Zusammenhang mit den in Anlage 1 beschriebenen Leistungen erfolgt.
(2) Der Auftragnehmer verarbeitet die Daten ausschließlich zu den in Anlage 1 genannten Zwecken. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers – insbesondere zu Werbe-, Analyse- oder Produktentwicklungszwecken – findet nicht statt.
(3) Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Er endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.
(4) Der Auftraggeber kann diesen Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen datenschutzrechtliche Vorschriften oder gegen die Bestimmungen dieses Vertrages vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert. Der Bestand des Hauptvertrages bleibt hiervon unberührt.
(5) Die Verarbeitung findet in der Bundesrepublik Deutschland und im Übrigen innerhalb der Europäischen Union statt.
(6) Beim Versand der Anträge aus der SPG-Onlineform setzt der Auftragnehmer Microsoft 365 ein (siehe Anlage 3). Microsoft speichert und verarbeitet die Daten nach der EU-Datengrenze innerhalb der Europäischen Union. Ein Zugriff aus den Vereinigten Staaten ist im Rahmen von Support- und Wartungsvorgängen nicht vollständig auszuschließen; Grundlage hierfür sind der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (EU-U.S. Data Privacy Framework), unter dem die Microsoft Corporation zertifiziert ist, sowie ergänzend die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO als Bestandteil des Microsoft Data Protection Addendum.
(7) Eine darüber hinausgehende Verarbeitung in einem Drittland erfolgt nicht und bedürfte der vorherigen Zustimmung des Auftraggebers in Textform sowie der Einhaltung der Voraussetzungen der Art. 44 bis 49 DSGVO.
Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1, die Bestandteil dieses Vertrages ist.
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Dies gilt auch für die Übermittlung von Daten an ein Drittland oder eine internationale Organisation, es sei denn, der Auftragnehmer ist hierzu nach dem Recht der Union oder der Mitgliedstaaten verpflichtet; in diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Weisungen werden in Textform erteilt. Mündliche Weisungen – etwa im Verlauf einer Fernwartungssitzung – sind zulässig; sie sind vom Auftraggeber unverzüglich in Textform zu bestätigen. Erfolgt keine Bestätigung, dokumentiert der Auftragnehmer die Weisung selbst und teilt sie dem Auftraggeber mit.
(3) Der Auftraggeber trägt die Verantwortung für die Rechtmäßigkeit der von ihm erteilten Weisungen sowie für die Zulässigkeit der Verarbeitung insgesamt.
(4) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Auftraggeber sie bestätigt oder ändert.
(5) Weisungsberechtigt auf Seiten des Auftraggebers ist die in Anlage 1 Ziffer 8 benannte Person; weisungsempfangend sind die dort benannten Personen des Auftragnehmers. Änderungen sind der jeweils anderen Partei unverzüglich mitzuteilen.
Der Auftragnehmer verpflichtet sich:
(1) Der Auftragnehmer trifft die zur Sicherstellung eines dem Risiko angemessenen Schutzniveaus erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben.
(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer ist berechtigt, sie anzupassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren und dem Auftraggeber auf Anforderung mitzuteilen.
(3) Der Auftraggeber hat sich vor Beginn der Verarbeitung von der Angemessenheit der Maßnahmen überzeugt; mit Unterzeichnung dieses Vertrages bestätigt er dies.
(4) Der Auftragnehmer überprüft die Wirksamkeit der Maßnahmen regelmäßig.
(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und werden hiermit ausdrücklich genehmigt.
(2) Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Auftraggeber hierüber in Textform mit einer Frist von mindestens vier Wochen vor Beginn der Verarbeitung. Der Auftraggeber kann der Änderung innerhalb von zwei Wochen nach Zugang der Information aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen.
(3) Widerspricht der Auftraggeber und kann der Auftragnehmer die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht zu wirtschaftlich zumutbaren Bedingungen erbringen, steht beiden Parteien ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung zu.
(4) Der Auftragnehmer verpflichtet den Unterauftragsverarbeiter vertraglich auf Pflichten, die den Pflichten aus diesem Vertrag entsprechen (Art. 28 Abs. 4 DSGVO). Er wählt ihn sorgfältig aus und überzeugt sich vor Beauftragung sowie danach regelmäßig davon, dass dieser die erforderlichen technischen und organisatorischen Maßnahmen getroffen hat.
(5) Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Einhaltung wie für eigenes Handeln.
(6) Keine Unterauftragsverarbeitung im Sinne dieser Vorschrift sind Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt und die die Verarbeitung der Daten des Auftraggebers nicht zum Gegenstand haben – etwa Telekommunikationsleistungen, Postdienste, Reinigung oder die Entsorgung von Datenträgern. Auch bei solchen Leistungen hat der Auftragnehmer für die Wahrung der Vertraulichkeit zu sorgen.
(1) Der Auftraggeber hat das Recht, sich von der Einhaltung dieses Vertrages und der getroffenen technischen und organisatorischen Maßnahmen zu überzeugen.
(2) Der Nachweis erfolgt im Regelfall durch das Dokument „Nachweise zur Auftragsverarbeitung", das der Auftragnehmer auf Anforderung in Textform zur Verfügung stellt. Es enthält den Auszug aus dem Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO, die Beschreibung der technischen und organisatorischen Maßnahmen sowie die Auskunft über die Einhaltung der Pflichten aus Art. 28 DSGVO. Ergänzend stellt der Auftragnehmer auf Anforderung gegebenenfalls vorhandene Testate und Zertifikate zur Verfügung.
(3) Besteht ein konkreter Anlass – etwa ein gemeldeter Verstoß gegen den Schutz personenbezogener Daten, begründete Zweifel an der Einhaltung dieses Vertrages oder eine entsprechende Aufforderung einer Aufsichtsbehörde – kann der Auftraggeber eine Überprüfung in den Geschäftsräumen des Auftragnehmers durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Die Überprüfung ist mit einer Frist von mindestens zwei Wochen anzukündigen, findet während der üblichen Geschäftszeiten statt und darf den Betriebsablauf nicht unangemessen beeinträchtigen.
(4) Der Auftraggeber stellt sicher, dass bei der Kontrolle keine Geschäfts- und Betriebsgeheimnisse des Auftragnehmers und keine Daten anderer Kunden offengelegt werden. Ein vom Auftraggeber beauftragter Prüfer darf kein Wettbewerber des Auftragnehmers sein.
(5) Der Auftragnehmer ist verpflichtet, Auskünfte zu erteilen, soweit dies zur Durchführung einer Kontrolle im Sinne des Art. 28 Abs. 3 lit. h DSGVO erforderlich ist.
(6) Kontrollrechte einer zuständigen Aufsichtsbehörde bleiben von diesen Regelungen unberührt.
(1) Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten des Auftraggebers (Art. 33 Abs. 2 DSGVO).
(2) Die Mitteilung enthält, soweit dem Auftragnehmer bekannt:
(3) Der Auftragnehmer unterstützt den Auftraggeber bei dessen Meldepflicht gegenüber der Aufsichtsbehörde nach Art. 33 DSGVO und bei der Benachrichtigung betroffener Personen nach Art. 34 DSGVO. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Auftraggeber; der Auftragnehmer nimmt sie nicht eigenständig vor.
(4) Der Auftragnehmer trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich hierüber mit dem Auftraggeber ab.
(5) Der Auftragnehmer dokumentiert Verletzungen des Schutzes personenbezogener Daten einschließlich der ergriffenen Abhilfemaßnahmen.
(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 12 bis 23 DSGVO) zu beantworten.
(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst. Er weist die betroffene Person darauf hin, dass der Auftraggeber Verantwortlicher ist.
(3) Der Auftragnehmer unterstützt den Auftraggeber ferner bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde – jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
(4) Der Auftragnehmer berichtigt, löscht oder schränkt die Verarbeitung der Daten nur nach Weisung des Auftraggebers ein. Von dieser Bindung ausgenommen sind Fälle, in denen eine gesetzliche Verpflichtung des Auftragnehmers besteht.
(1) Der Auftragnehmer verpflichtet die mit der Verarbeitung befassten Personen vor Aufnahme ihrer Tätigkeit schriftlich zur Vertraulichkeit und unterrichtet sie über die Besonderheiten der Datenverarbeitung im Auftrag sowie über die bestehende Weisungsbindung (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).
(2) Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der Tätigkeit und nach Beendigung dieses Vertrages fort.
(3) Der Auftragnehmer beschränkt den Zugriff auf Daten des Auftraggebers auf diejenigen Personen, die ihn zur Erfüllung ihrer Aufgaben benötigen.
(1) Der Auftragnehmer löscht Daten, die er zur Bearbeitung eines Supportfalls, einer Datenübernahme oder einer Datenrettung erhalten hat, unverzüglich nach Abschluss des jeweiligen Vorgangs einschließlich aller Kopien, Zwischenstände und Sicherungen. Einer gesonderten Aufforderung des Auftraggebers bedarf es nicht.
(1a) Nachrichten mit Anträgen aus der SPG-Onlineform werden im Postausgang des Auftragnehmers durch eine automatisierte Aufbewahrungsrichtlinie nach sieben Tagen gelöscht. Auf dem Webserver des Formulars werden Antragsdaten nicht dauerhaft gespeichert.
(2) Nach Beendigung dieses Vertrages löscht der Auftragnehmer sämtliche noch bei ihm vorhandenen personenbezogenen Daten des Auftraggebers. Eine Rückgabe nach Art. 28 Abs. 3 lit. g DSGVO kommt regelmäßig nicht in Betracht, weil der Auftragnehmer ausschließlich Kopien von Datenbeständen erhält, über die der Auftraggeber selbst verfügt. Ist bei einer Datenübernahme oder Datenrettung ein Arbeitsergebnis entstanden, das dem Auftraggeber noch nicht übergeben wurde, stellt der Auftragnehmer es ihm auf Verlangen vor der Löschung digital in einem gängigen Format bereit; die Übergabe erfolgt als verschlüsseltes, kennwortgeschütztes Archiv. Ein solches Verlangen ist spätestens mit Vertragsende in Textform mitzuteilen.
(3) Von der Löschungspflicht ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Diese Daten werden gesperrt und nach Ablauf der Aufbewahrungsfrist gelöscht. Der Auftragnehmer teilt dem Auftraggeber auf Anforderung mit, welche Daten hiervon betroffen sind und auf welcher Grundlage sie aufbewahrt werden.
(4) Der Auftragnehmer bestätigt die Löschung dem Auftraggeber auf Anforderung in Textform.
(5) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, darf der Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.
(1) Die Erfüllung der Pflichten aus diesem Vertrag ist mit der Vergütung aus dem Hauptvertrag abgegolten, soweit nachfolgend nichts Abweichendes bestimmt ist.
(2) Die Unterstützung bei einzelnen Anfragen betroffener Personen sowie die Bereitstellung der Nachweise nach § 7 Abs. 2 erfolgen für den Auftraggeber kostenfrei.
(3) Über den üblichen Umfang hinausgehende Mitwirkungsleistungen – insbesondere die Begleitung einer Vor-Ort-Kontrolle nach § 7 Abs. 3, umfangreiche Zuarbeit zu einer Datenschutz-Folgenabschätzung sowie die Wiederherstellung von Daten, deren Verlust nicht vom Auftragnehmer zu vertreten ist – werden nach dem tatsächlichen Aufwand gemäß der jeweils gültigen Preisliste des Auftragnehmers vergütet. Der Auftragnehmer weist den Auftraggeber vor Beginn solcher Leistungen auf die Kostenpflicht hin und stimmt den voraussichtlichen Umfang mit ihm ab.
(4) Ergibt eine Kontrolle nach § 7 Abs. 3, dass der Auftragnehmer gegen diesen Vertrag oder datenschutzrechtliche Vorschriften verstoßen hat, trägt er die Kosten der Kontrolle selbst.
(1) Für die Haftung der Parteien untereinander gelten die Regelungen des Hauptvertrages, soweit nachfolgend nichts Abweichendes bestimmt ist.
(2) Im Außenverhältnis gegenüber betroffenen Personen gilt Art. 82 DSGVO.
(3) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich. Der Auftragnehmer haftet für Schäden nur, soweit er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder unter Nichtbeachtung beziehungsweise entgegen den rechtmäßig erteilten Weisungen des Auftraggebers gehandelt hat.
(1) Änderungen und Ergänzungen dieses Vertrages einschließlich seiner Anlagen bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.
(1a) Elektronischer Abschluss: Dieser Vertrag wird nach Art. 28 Abs. 9 DSGVO ausschließlich in elektronischem Format geschlossen. Er kommt zustande, indem der Auftraggeber im Bestellvorgang des Auftragnehmers ausdrücklich seinen Abschluss bestätigt; einer eigenhändigen Unterzeichnung bedarf es nicht. Der Auftragnehmer stellt dem Auftraggeber den vollständigen Vertragstext einschließlich der Anlagen und der ihn betreffenden Angaben unverzüglich in Textform zur Verfügung und hält ihn im Kundenbereich dauerhaft zum Abruf bereit.
(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages vor, soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht.
(3) Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine wirksame zu ersetzen, die dem wirtschaftlichen Zweck am nächsten kommt.
(4) Es gilt das Recht der Bundesrepublik Deutschland.
(5) Ist der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Gerichtsstand für alle Streitigkeiten aus diesem Vertrag der Sitz des Auftragnehmers. Der Auftragnehmer ist auch berechtigt, am allgemeinen Gerichtsstand des Auftraggebers zu klagen.
(6) Bestandteil dieses Vertrages sind die Anlagen 1 bis 3.
Dieser Vertrag wird nach Art. 28 Abs. 9 DSGVO in elektronischem Format geschlossen. Eine Unterzeichnung findet nicht statt; der Abschluss wird wie folgt dokumentiert:
| Feld | Angabe |
|---|---|
| Abgeschlossen am | [wird beim Abschluss der Bestellung eingetragen] |
| Bestätigt durch | [wird beim Abschluss der Bestellung eingetragen] (im Bestellvorgang angemeldet) |
| Bestellnummer | [wird beim Abschluss der Bestellung eingetragen] |
| Fassung des Vertrages | Stand 6. August 2026 |
Der Auftragnehmer hat diesen Vertrag mit Bereitstellung im Bestellvorgang angeboten; der Auftraggeber hat ihn mit der vorstehend dokumentierten Bestätigung angenommen.
Beauftragt sind: [siehe Bestellung]
Bereich A – Softwarebetreuung ist in den Ziffern 2 bis 4 beschrieben, Bereich B – SPG-Onlineform Mitgliederantrag in den Ziffern 5 bis 7. Es gelten ausschließlich die vorstehend genannten Bereiche. Beauftragt der Auftraggeber später eine weitere Leistung, erweitert sich dieser Vertrag entsprechend; der Auftragnehmer stellt ihm die aktualisierte Fassung in Textform zur Verfügung.
Betreuung, Wartung und Instandhaltung der beim Auftraggeber eingesetzten Software SPG-Verein einschließlich der damit zusammenhängenden Dienstleistungen.
Der Auftragnehmer erhält in diesem Bereich ausschließlich in den folgenden Fällen Zugang zu personenbezogenen Daten des Auftraggebers:
| Nr. | Anlass | Art des Zugangs |
|---|---|---|
| A1 | Fernwartung | Einsicht in und Steuerung des Bildschirms nach ausdrücklicher Freigabe durch den Auftraggeber |
| A2 | Fehleranalyse | Auf Bitte des Auftragnehmers übersandte Datenbanken, Datensicherungen, Protokolldateien oder Bildschirmfotos |
| A3 | Datenübernahme | Übernahme von Datenbeständen aus einer zuvor eingesetzten Software |
| A4 | Datenrettung | Wiederherstellung beschädigter oder verlorener Datenbestände |
| A5 | Schulung | Einsicht in Echtdaten, sofern die Schulung nicht an einem Test- oder Demobestand erfolgt |
Im laufenden Betrieb der Software findet keine Verarbeitung personenbezogener Daten des Auftraggebers durch den Auftragnehmer statt. Die Software überträgt keine Inhaltsdaten an den Auftragnehmer.
Analyse und Behebung von Störungen, Wiederherstellung der Funktionsfähigkeit der Software, Überführung von Datenbeständen sowie Einweisung und Schulung von Anwendern.
Je nach Anlass können folgende Datenarten betroffen sein:
Hinweis: Der Auftraggeber ist dafür verantwortlich, welche Daten er in der Software erfasst. Erfasst er besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO – etwa Gesundheitsdaten oder Angaben zur Religionszugehörigkeit im Zusammenhang mit der Kirchensteuer –, teilt er dies dem Auftragnehmer vor der Übermittlung von Datenbeständen mit.
Kategorien betroffener Personen in Bereich A:
Dauer der Verarbeitung in Bereich A: Die Verarbeitung ist auf die Dauer des jeweiligen Vorgangs beschränkt. Nach dessen Abschluss werden die Daten gemäß § 11 Abs. 1 dieses Vertrages gelöscht.
Der Auftragnehmer stellt dem Auftraggeber unter online.spg-direkt.de ein Online-Antragsformular zur Verfügung. Der Auftraggeber gestaltet die abgefragten Felder und verlinkt das Formular auf seinen eigenen Kanälen.
| Nr. | Schritt | Beschreibung |
|---|---|---|
| B1 | Erhebung | Aufnahmeinteressenten geben ihre Daten in das Formular ein. Die Übertragung an den Server erfolgt TLS-verschlüsselt |
| B2 | Erzeugung | Die Angaben werden zu einer Datei im Format .spg zusammengefasst |
| B3 | Übermittlung | Die Datei wird per E-Mail an die vom Auftraggeber hinterlegte Adresse gesendet. Der Versand erfolgt über Microsoft 365 mit erzwungener Transportverschlüsselung; kann der Mailserver des Empfängers keine TLS-Verbindung aufbauen, wird die Nachricht nicht zugestellt. Eine Benachrichtigung erfolgt nicht |
| B4 | Import | Der Auftraggeber prüft den Antrag und übernimmt ihn in seine Installation von SPG-Verein |
Eine dauerhafte Speicherung der Antragsdaten auf dem Webserver findet nicht statt. Eine Kopie der Versandnachricht verbleibt im Postausgang des Auftragnehmers und wird dort nach Ziffer 7 automatisiert gelöscht.
Betroffen sind die Personen, die einen Aufnahmeantrag stellen, sowie deren gesetzliche Vertreter bei minderjährigen Antragstellern.
Erfasst werden die vom Auftraggeber im Formular vorgesehenen Felder, insbesondere:
Hinweis: Der Auftraggeber entscheidet, welche Felder das Formular abfragt. Er ist dafür verantwortlich, dass die Abfrage erforderlich und die Verarbeitung rechtmäßig ist. Sieht er Felder vor, über die besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO erhoben werden können, teilt er dies dem Auftragnehmer vor der Freischaltung mit.
Informationspflicht: Der Auftraggeber hinterlegt im Formular den Datenschutzhinweis nach Art. 13 DSGVO für die Antragsteller. Er ist insoweit Verantwortlicher; der Auftragnehmer stellt lediglich das Eingabefeld bereit und prüft den Inhalt nicht.
| Ort | Aufbewahrung |
|---|---|
| Webserver des Formulars | keine Speicherung der Antragsdaten über die Erzeugung der Datei hinaus |
| Postausgang des Auftragnehmers (Microsoft 365) | automatisierte Löschung nach 7 Tagen durch eine Aufbewahrungsrichtlinie |
| Server-Protokolle des Formulars | siehe Anlage 2 Ziffer 3 |
Ein erneuter Versand der Antragsdatei findet nicht statt.
Weisungsberechtigt auf Seiten des Auftraggebers:
[im Kundenbereich zu hinterlegen]
Weisungsberechtigt ist die im Kundenkonto des Auftraggebers hinterlegte Person. Der Auftraggeber kann sie dort jederzeit selbst austauschen; maßgeblich ist der jeweils aktuelle Eintrag, einer Änderung dieses Vertrages bedarf es dafür nicht. Der Auftraggeber hält den Eintrag aktuell, insbesondere beim Wechsel von Vorstandsämtern.
Weisungsempfangend auf Seiten des Auftragnehmers:
Geschäftsführung der bmp GmbH sowie die von ihr benannten Mitarbeitenden des Supports
E-Mail: info@spg-direkt.de, Telefon: 05172-9718010
Diese Anlage beschreibt die technischen und organisatorischen Maßnahmen, die der Auftragnehmer zum Zeitpunkt des Vertragsschlusses getroffen hat. Sie sind Gegenstand seiner Zusage nach § 5 dieses Vertrages.
Zutrittskontrolle – Verhinderung des Zutritts Unbefugter zu Datenverarbeitungsanlagen:
Zugangskontrolle – Verhinderung der Nutzung von Systemen durch Unbefugte:
Zugriffskontrolle – Beschränkung des Zugriffs auf das Erforderliche:
Trennungskontrolle:
Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO):
Weitergabekontrolle:
Eingabekontrolle:
Wichtiger Hinweis: Der Auftragnehmer erstellt keine Sicherungen der Datenbestände des Auftraggebers. Die Datensicherung der produktiven Daten obliegt ausschließlich dem Auftraggeber.
Stand dieser Anlage: 6. August 2026. Bei jeder wesentlichen Änderung fortzuschreiben.
Der Auftraggeber genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:
| Unternehmen | Anschrift | Leistung | Bereich | Ort der Verarbeitung |
|---|---|---|---|---|
| TeamViewer SE | Bahnhofsplatz 2, 73033 Göppingen, Deutschland | Bereitstellung der Fernwartungsverbindung | A | Deutschland / EU |
| Host Europe GmbH | Hansestraße 111, 51149 Köln, Deutschland | Hosting des Online-Antragsformulars | B | Deutschland |
| Microsoft Ireland Operations Limited | One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland | Versand der Antragsnachrichten über Microsoft 365 | B | Europäische Union (EU-Datengrenze) |
Zu Microsoft: Es gilt das Microsoft Data Protection Addendum einschließlich der Standardvertragsklauseln. Kundendaten werden nach der EU-Datengrenze innerhalb der Europäischen Union gespeichert und verarbeitet. Zu möglichen Zugriffen aus den Vereinigten Staaten siehe § 1 Abs. 6 dieses Vertrages.
Weitere Unterauftragsverarbeiter werden nicht eingesetzt. Insbesondere werden keine Cloud-Dienste zur Speicherung von Datenbeständen des Auftraggebers und keine externen IT-Dienstleister mit Zugriffsmöglichkeit auf Kundendaten eingesetzt.
Änderungen richten sich nach § 6 dieses Vertrages.
Stand: 6. August 2026
Für Login und Warenkorb brauchen wir ein paar technische Cookies. Dürfen wir zusätzlich Statistik, Marketing und die Erfassung Ihrer Herkunft aktivieren, um unser Angebot zu verbessern? Alles freiwillig – Sie entscheiden.