Art. 28 DSGVO

Auftragsverarbeitungs­vereinbarung (AVV)

Stand: 21. August 2026 · Bestandteil des jeweiligen MASPro-Vertrags, sofern MASPro personenbezogene Daten im Auftrag verarbeitet.

1. Gegenstand, Dauer und Weisungen

MASPro verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung, Wartung, Sicherung und Unterstützung der vereinbarten Plattformfunktionen, während der Vertragsdauer und nach dokumentierten Weisungen des Auftraggebers, sofern nicht Unions- oder Mitgliedstaatenrecht etwas anderes verlangt. Eine erkennbar rechtswidrige Weisung wird angezeigt und bis zur Klärung nicht ausgeführt.

2. Art, Zweck, Daten und Betroffene

• Zwecke: Vereins-, Mitglieder-, Interessenten-, Termin-, Formular-, Kommunikations-, Automatisierungs-, Dokumenten-, Zahlungs- und Verwaltungsabläufe entsprechend der Konfiguration.
• Daten: Stamm- und Kontaktdaten, Vertrags-/Mitgliedschaftsdaten, Buchungen, Kommunikation, Dokumente, Zahlungsstatus, Einwilligungen sowie Nutzungs- und Sicherheitsdaten. Besondere Kategorien dürfen nur bei dokumentierter Rechtsgrundlage und geeigneter Konfiguration verarbeitet werden.
• Betroffene: Mitarbeiter und Nutzer des Auftraggebers sowie dessen Mitglieder, Interessenten, Buchungskontakte, Erziehungsberechtigte, Lieferanten und Kommunikationspartner.

3. Pflichten von MASPro

MASPro verpflichtet zugriffsberechtigte Personen zur Vertraulichkeit, unterstützt angemessen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Behördenkonsultationen, hält ein Verzeichnis einschlägiger Verarbeitungstätigkeiten und stellt notwendige Compliance-Informationen bereit.

4. Sicherheit

MASPro trifft unter Berücksichtigung von Stand der Technik, Kosten, Art, Umfang und Risiken geeignete Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere verschlüsselte Übertragung, rollenbasierte Zugriffe, getrennte Umgebungen, Geheimnisverwaltung, Protokollierung, Sicherungen, Update- und Incident-Prozesse. Die Maßnahmen dürfen weiterentwickelt werden, sofern das Schutzniveau nicht wesentlich sinkt.

5. Unterauftragsverarbeiter

Der Auftraggeber erteilt eine allgemeine Genehmigung für die unter Sicherheit & Dienstleister beschriebenen Kategorien und aktivierten Anbieter. MASPro verpflichtet Unterauftragsverarbeiter vertraglich zu einem angemessenen Datenschutzniveau und informiert über wesentliche Änderungen. Der Auftraggeber kann aus begründeten Datenschutzgründen widersprechen; die Parteien suchen eine zumutbare Lösung, andernfalls kann die betroffene Funktion beendet werden.

6. Drittlandübermittlungen

Übermittlungen außerhalb des EWR erfolgen nur bei zulässiger Grundlage, insbesondere Angemessenheitsbeschluss oder Standardvertragsklauseln samt erforderlicher zusätzlicher Maßnahmen. Vom Auftraggeber selbst aktivierte Drittanbieter-Verbindungen gelten zugleich als dokumentierte Weisung, soweit sie zur Funktion erforderlich sind.

7. Datenschutzverletzungen

MASPro informiert den Auftraggeber nach Bekanntwerden einer Verletzung des Schutzes von Auftragsdaten unverzüglich und stellt verfügbare Informationen bereit, damit dieser seine Melde- und Informationspflichten beurteilen kann.

8. Betroffenenanfragen

Geht eine Anfrage zu Auftragsdaten direkt bei MASPro ein, wird sie grundsätzlich an den Auftraggeber weitergeleitet. MASPro beantwortet sie nur auf dessen Weisung oder aufgrund zwingenden Rechts und stellt technisch verfügbare Unterstützung bereit.

9. Rückgabe und Löschung

Nach Ende der Leistung löscht oder gibt MASPro Auftragsdaten nach Wahl des Auftraggebers zurück, soweit keine gesetzliche Pflicht oder berechtigte technische Übergangsfrist entgegensteht. Daten in Sicherungen werden gesperrt und mit dem regulären Überschreibzyklus entfernt.

10. Nachweise und Prüfungen

MASPro stellt angemessene Informationen zum Nachweis bereit. Prüfungen sind mit angemessener Vorlaufzeit, während üblicher Geschäftszeiten, unter Vertraulichkeit und ohne Gefährdung anderer Kunden oder Systeme durchzuführen. Vorrangig können vorhandene Prüfberichte und Dokumentationen verwendet werden; notwendige zusätzliche Kosten trägt grundsätzlich der Auftraggeber, außer die Prüfung ergibt einen wesentlichen Verstoß von MASPro.

11. Verantwortlichkeit des Auftraggebers

Der Auftraggeber bleibt für Rechtmäßigkeit, Transparenz, Datenminimierung, Aufbewahrungsregeln, Nutzerberechtigungen, Einwilligungen und seine Weisungen verantwortlich. Er konfiguriert optionale Integrationen nur, wenn eine tragfähige Rechtsgrundlage und Information der Betroffenen bestehen.