Vertrag zur Auftragsverarbeitung für Vereine

nach Art. 28 DSGVO · OrganiseOne · Fassung 1.0 vom 31. August 2026

Dieser Vertrag gilt zwischen dem Verein, der OrganiseOne für seine Mitglieder- und Teamverwaltung nutzt (nachfolgend „Verantwortlicher"), und der

als Betreiberin von OrganiseOne (nachfolgend „Auftragsverarbeiter"). Er ergänzt die Nutzungsbedingungen und wird mit dem Anlegen des Vereins geschlossen. Nach Art. 28 Abs. 9 DSGVO genügt dafür die elektronische Form; die Zustimmung wird mit Zeitpunkt, Konto und Fassung dokumentiert.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen seiner Vereins-, Team- und Mitgliederverwaltung über OrganiseOne verarbeitet. Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich für den Verantwortlichen und nicht für eigene Zwecke.

Der Vertrag läuft, solange der Verein in OrganiseOne besteht. Er endet mit dessen Löschung oder mit dem Ende des Nutzungsverhältnisses nach den Nutzungsbedingungen.

Abgrenzung: wofür dieser Vertrag nicht gilt

• Die privaten OrganiseOne-Konten der Mitglieder gehören ihnen selbst. Für deren Kalender, Kontakte, Chats außerhalb des Teams und übrige Inhalte ist die Finanzwerk Drews GmbH eigene Verantwortliche; Einzelheiten in der Datenschutzerklärung. Der Verein bekommt davon nichts zu sehen — er sieht Anzeigename und Rolle im Team, nicht mehr.
• Ein Team ohne Verein — eine Gruppe, die sich selbst organisiert, ohne dass ein Verein dahintersteht — begründet keinen Auftrag im Sinne dieses Vertrags. Dort verarbeitet die Leitung Daten für sich selbst.
• Die Nutzung durch Vereine ist kostenlos. Es gibt kein Abonnement, keine Zahlungsabwicklung und deshalb auch keine Vertrags- oder Abrechnungsdaten des Vereins bei einem Zahlungsdienstleister.

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter stellt die technische Plattform bereit, über die der Verantwortliche seine Teams führt. Verarbeitet wird, um:

• Teams anzulegen, Mitglieder aufzunehmen, Rollen zu vergeben (Leitung, Betreuung, Mitglied, Kassenwart) und Beitrittsanfragen zu entscheiden,
• Termine des Teams anzulegen, Teilnehmende einzutragen und Antworten (zugesagt, vielleicht, abgesagt, offen) samt freiwilliger Begründung zu sammeln,
• Einladungen, Änderungen, Absagen und Erinnerungen per Push und per E-Mail zu versenden — im Namen des Verantwortlichen und jeweils mit dem Termin als Kalendereintrag (.ics) im Anhang,
• Aufstellungen und Anwesenheit zu führen, einschließlich einer Anwesenheitsübersicht je Mitglied,
• Ämter und Mitbringlisten zu verteilen sowie Fahrgemeinschaften zu organisieren,
• Abstimmungen im Team durchzuführen,
• eine Mannschaftskasse mit Beiträgen und Strafen zu führen,
• Chats innerhalb des Teams zu ermöglichen,
• auf ausdrückliche Freischaltung durch den Verantwortlichen eine öffentliche Vereinsseite und einzelne dort veröffentlichte Termine bereitzustellen,
• den Dienst zu betreiben, zu sichern und Störungen zu beheben.

3. Art der Daten und Kategorien betroffener Personen

Kategorie	Daten
Mitglieder mit eigenem Konto	Anzeigename, Rolle im Team und im Verein, Zugehörigkeit zu Teams, Antworten auf Termine samt freiwilliger Begründung, Anwesenheit und Anwesenheitsübersicht, Aufstellungen, übernommene Ämter und Mitbringsel, Fahrgemeinschaften, Stimmen in Abstimmungen, Beiträge und Strafen der Mannschaftskasse, Nachrichten im Team-Chat samt darin geteilter Bilder, Videos und Sprachnachrichten
Personen ohne eigenes Konto	Name und — soweit hinterlegt — E-Mail-Adresse, Zugehörigkeit zum Team, wer sie vertritt, sowie ihre Antworten auf Termine. Diese Einträge legt entweder die Leitung an, oder die Person trägt sich selbst über den Beitrittslink ein
Vertretene Personen, insbesondere Kinder	Zuordnung zu dem Mitglied, das für sie antwortet (etwa ein Elternteil), und dessen Angaben zu ihnen
Vorstand des Vereins	Anzeigename, Vorstandsrolle sowie die Angaben, die der Verantwortliche bei einer Freischaltung der öffentlichen Vereinsseite selbst macht

Besondere Kategorien nach Art. 9 DSGVO können anfallen: Wer einen Termin absagt, kann freiwillig einen kurzen Grund angeben; „Krank" ist einer der angebotenen Gründe und damit ein Gesundheitsdatum. Die Angabe ist freiwillig, „ohne Grund absagen" steht gleichberechtigt daneben, und die Oberfläche bittet ausdrücklich darum, dort keine Diagnosen einzutragen. Ob und in welchem Umfang solche Daten anfallen, bestimmt der Verantwortliche durch die Gestaltung seiner Abläufe; er trifft dafür die erforderlichen Rechtsgrundlagen und zusätzlichen Schutzmaßnahmen.

4. Weisungsbindung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Funktionen von OrganiseOne durch den Vorstand und die Team-Leitungen sowie deren Einstellungen gelten als solche Weisung. Weitergehende Weisungen sind in Textform an info@organiseone.de zu richten.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin und darf ihre Ausführung aussetzen. Eine Verarbeitung aufgrund einer gesetzlichen Verpflichtung bleibt zulässig; der Verantwortliche wird darüber vorab unterrichtet, soweit das Gesetz dies nicht verbietet.

5. Vertraulichkeit

Zur Verarbeitung eingesetzte Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht. Der Zugriff auf Daten des Verantwortlichen ist auf die Personen beschränkt, die ihn für Betrieb, Wartung oder Support benötigen.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: Übertragung ausschließlich über TLS; Verschlüsselung ruhender Daten durch die eingesetzte Cloud-Infrastruktur.
• Speicherort: Datenbank und Dateispeicher in der Region europe-west3 (Frankfurt).
• Zugriffskontrolle: Authentifizierung über Firebase Authentication (E-Mail/Passwort, SMS-Code, Google-Konto oder Apple-ID). Der Zugriff auf die Daten eines Teams ist auf dessen Mitglieder beschränkt und zusätzlich nach Rollen abgestuft; der Vorstand sieht die Teams seines Vereins.
• Durchsetzung auf Serverseite: Die Zugriffsregeln werden nicht in der App, sondern in den Firestore- und Storage-Regeln sowie in serverseitigen Funktionen erzwungen. Ein manipulierter Client kann sie nicht umgehen.
• Trennung: Daten verschiedener Vereine und Teams sind logisch getrennt und über die jeweilige Kennung voneinander abgeschottet.
• Verfügbarkeit: Betrieb auf Google-Cloud-Infrastruktur mit deren Redundanz- und Sicherungsmechanismen.
• Datenminimierung: Öffentlich sichtbar ist nur, was der Verantwortliche selbst freigibt — die Vereinsseite und einzelne Termine, jeweils nach ausdrücklicher Aktivierung. Ohne diese Freigabe ist nichts von außen sichtbar.
• Beitritt über Link: Wer sich selbst als Person ohne Konto einträgt, erhält sofort eine Bestätigungs-E-Mail mit einem Link zum Austragen — denn in ein Formular kann jeder jede Adresse eintippen.
• Support-Zugriff: Ein Zugriff durch die Plattform-Administration der Finanzwerk Drews GmbH ist technisch möglich und auf Betriebs- und Supportzwecke beschränkt.

Die Maßnahmen werden an den Stand der Technik angepasst. Wesentliche Änderungen dürfen das Schutzniveau nicht unterschreiten.

7. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

Unternehmen	Leistung	Ort
Google Ireland Ltd. / Google LLC	Firebase und Google Cloud: Authentifizierung, Datenbank (Cloud Firestore), Dateispeicher (Cloud Storage), Server-Funktionen (Cloud Functions/Cloud Run, Eventarc), zeitgesteuerte Läufe (Cloud Scheduler), Schlüsselverwaltung (Secret Manager), Protokollierung (Cloud Logging), Hosting, Push-Benachrichtigungen	EU (europe-west3) für Datenbank, Dateispeicher und Serverfunktionen; Authentifizierung und Push-Zustellung sind nicht regional gebunden. Konzerninterner Zugriff aus den USA möglich, Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert
Apple Distribution International Ltd.	Zustellung von Push-Benachrichtigungen an Apple-Geräte (Apple Push Notification service) – nur, wenn ein Mitglied die App auf einem iPhone oder iPad nutzt	EU (Irland); Zugriff aus den USA nach dem EU-US Data Privacy Framework und den EU-Standardvertragsklauseln
Sendinblue GmbH / Brevo	Versand von Transaktions-E-Mails an Personen ohne Konto (Einladung, Termine, Änderungen, Absagen, Austragen-Link)	EU

Stripe kommt hier nicht vor. Für Vereine gibt es kein Abonnement und keine Zahlungsabwicklung; ein Zahlungsdienstleister ist an diesem Auftrag nicht beteiligt. Auch die Mannschaftskasse ist eine reine Aufzeichnung des Vereins — es fließt kein Geld über OrganiseOne.

Vor dem Einsatz eines weiteren Unterauftragsverarbeiters wird der Verantwortliche mindestens vier Wochen vorher in Textform informiert. Er kann innerhalb dieser Frist widersprechen. Widerspricht er, kann jede Seite den Vertrag zum Zeitpunkt der geplanten Änderung kündigen. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf ein gleichwertiges Datenschutzniveau.

8. Unterstützung bei den Rechten betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen. Mitglieder, Personen ohne Konto, Termine, Aufstellungen, Anwesenheit, Kassen-Einträge und Teams sind in der App einsehbar, änderbar und löschbar; damit kann der Verantwortliche die häufigsten Anträge selbst erledigen.

Ein Mitglied mit eigenem Konto kann seine eigenen Daten außerdem jederzeit selbst exportieren und sein Konto selbst löschen; dabei wird es aus den Teams des Verantwortlichen ausgetragen.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

9. Unterstützung bei Sicherheit und Meldepflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO. Er meldet ihm eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und stellt die Angaben bereit, die der Verantwortliche für seine Meldung nach Art. 33 DSGVO benötigt.

10. Löschung und Rückgabe

Nach Ende des Vertrags löscht der Auftragsverarbeiter die für den Verantwortlichen verarbeiteten Daten oder gibt sie zurück — nach dessen Wahl.

Was beim Löschen des Vereins wirklich passiert

Gelöscht werden der Verein selbst, die Vorstandsliste, die Beitritts-Codes des Vereins, die Adresse der öffentlichen Vereinsseite und die dort veröffentlichten Termine sowie das Protokoll über die Freischaltung. Die öffentlichen Freigaben aller zugehörigen Teams werden zurückgenommen — nach außen ist danach nichts mehr sichtbar.

🚨 Die Teams bleiben bestehen. Sie werden vom Verein gelöst, nicht gelöscht: Mitgliedschaften, Termine, Aufstellungen, Anwesenheit, Mannschaftskasse und Team-Chats laufen unter ihrer bisherigen Leitung weiter. Das ist Absicht — eine Mannschaft soll nicht mit dem Vereinseintrag verschwinden, den jemand anders angelegt hat. Für den Verantwortlichen bedeutet es zweierlei: Sein Auftrag an den Auftragsverarbeiter endet mit dem Löschen des Vereins, und die Verarbeitung in den gelösten Teams findet danach nicht mehr für ihn statt (siehe Ziffer 1, „Team ohne Verein"). Wer will, dass die Daten seiner Teams verschwinden, löscht die Teams vor dem Verein — dann geht alles darin mit: Mitgliedschaften, Termine und Teilnehmerlisten, Aufstellungen, Anwesenheit, Ämter und Mitbringlisten, Fahrgemeinschaften, Abstimmungen, Mannschaftskasse samt Beiträgen und Strafen sowie die Team-Chats mit den darin geteilten Medien.

Eine gesetzliche Aufbewahrungspflicht besteht für diesen Auftrag nicht — es entstehen keine abrechnungsrelevanten Unterlagen, weil die Nutzung durch Vereine kostenlos ist. Sicherungskopien und technische Protokolle können nach der Löschung noch für einen begrenzten, technisch bedingten Zeitraum bestehen.

11. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die dieser zum Nachweis der Einhaltung von Art. 28 DSGVO benötigt. Er ermöglicht Überprüfungen und trägt zu ihnen bei. Vor-Ort-Prüfungen sind mit angemessener Vorlaufzeit, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs anzukündigen. Für den Nachweis der Maßnahmen bei Unterauftragsverarbeitern genügen deren Zertifikate und Prüfberichte.

12. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage der von ihm erfassten Mitgliederdaten, für seine eigenen Informationspflichten nach Art. 13 und 14 DSGVO und für die Führung seines Verarbeitungsverzeichnisses. Er trägt dafür Sorge, dass er nur solche Daten in OrganiseOne einstellt, für die er sie einstellen darf.

Minderjährige. OrganiseOne ist nach den Nutzungsbedingungen erst ab 18 Jahren nutzbar; Kinder und Jugendliche haben deshalb kein eigenes Konto. Führt der Verantwortliche sie als Personen ohne Konto — etwa vertreten durch einen Elternteil —, ist er dafür verantwortlich, dass die Erziehungsberechtigten davon wissen und die erforderliche Rechtsgrundlage vorliegt.

Wer im Verein handeln darf. Der Verantwortliche stellt sicher, dass nur Personen Vorstands- und Leitungsrechte erhalten, die für ihn handeln dürfen, und entzieht sie, sobald das nicht mehr gilt.

13. Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen gehen die Regelungen dieses Vertrags für die Auftragsverarbeitung vor. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.

Der Auftragsverarbeiter kann diesen Vertrag anpassen, soweit dies sachlich gerechtfertigt ist und das Schutzniveau nicht unterschreitet. Über eine neue Fassung wird der Verantwortliche in Textform informiert; sie wird hier mit eigener Fassungsnummer veröffentlicht.

Fragen zu diesem Vertrag: info@organiseone.de