Vertrag nach Art. 28 DSGVO zwischen dem Verein, der Vereinario nutzt („Verantwortlicher“), und
Tobias Bak – Software Development (BakIT)
Inhaber: Tobias Bak
Im Oberdorf 13a
36399 Freiensteinau
Deutschland
Telefon: +49 6666 9793101
E-Mail: info@bakit.dev
(„Auftragsverarbeiter“), als Anlage zum Nutzungsvertrag über Vereinario. Name, Anschrift und Vertreter des Vereins werden bei Vertragsschluss eingetragen.
§ 1 Gegenstand und Dauer
Der Auftragsverarbeiter stellt die Software Vereinario (Kassenbuch und Mitgliederverwaltung) als Online-Dienst bereit und verarbeitet dabei personenbezogene Daten im Auftrag. Der Vertrag gilt für die Laufzeit des Nutzungsvertrags; § 9 wirkt fort.
§ 2 Art, Zweck und Umfang
| Betroffene | Datenarten | Zweck |
|---|---|---|
| Mitglieder des Vereins | Name, Anschrift, Geburtsdatum, Kontaktdaten, Ein-/Austritt, Status, Beitrag, Bankverbindung, SEPA-Mandat, hochgeladene Dokumente | Mitgliederverwaltung, Beitragseinzug |
| Personen, die Belege einreichen | Name, Anschrift, Belegfotos, Betrag, Zweck | Erstattung, Zuwendungsbestätigung |
| Vertragspartner des Vereins | Angaben auf Rechnungen und Belegen | Kassenbuchführung |
| Nutzer mit Login | Login-Name, Passwort-Hash, Sitzungsdaten, Änderungsprotokoll | Zugangsschutz, Nachvollziehbarkeit (GoBD) |
Besondere Kategorien nach Art. 9 DSGVO werden nicht verarbeitet; der Verantwortliche gibt solche Daten nicht ein.
§ 3 Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind die Nutzung der Software sowie Weisungen in Textform. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
§ 4 Pflichten des Auftragsverarbeiters
Er verpflichtet alle Personen mit Zugriff zur Vertraulichkeit, trifft die Maßnahmen nach den TOMs und passt sie dem Stand der Technik an, unterstützt bei Anfragen Betroffener (Art. 15–22 DSGVO; die Software bietet eine Datenauskunft je Mitglied und Löschfunktionen) und bei Pflichten nach Art. 32–36 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.
§ 5 Unterauftragsverarbeiter
Genehmigt ist: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Cloud-Server, Rechenzentrum in der EU). Änderungen kündigt der Auftragsverarbeiter mindestens 30 Tage vorher in Textform an; der Verantwortliche kann aus wichtigem Grund widersprechen und dann außerordentlich kündigen.
§ 6 Ort der Verarbeitung
Ausschließlich in der Europäischen Union; keine Übermittlung in Drittländer.
§ 7 Kontrollrechte
Der Verantwortliche darf die Einhaltung prüfen, vorrangig durch Auskünfte und Nachweise, nach Ankündigung von mindestens 14 Tagen auch vor Ort.
§ 8 Haftung
Die Haftung richtet sich nach Art. 82 DSGVO und dem Nutzungsvertrag.
§ 9 Rückgabe und Löschung
Nach Vertragsende stellt der Auftragsverarbeiter alle Daten auf Wunsch bereit (CSV/Excel und Belegdateien) und löscht sie spätestens 30 Tage danach; aus Datensicherungen verschwinden sie spätestens nach 8 Wochen. Gesetzliche Aufbewahrungspflichten des Vereins (z. B. 8 Jahre für Buchungsbelege, 10 Jahre für das Kassenbuch) liegen beim Verantwortlichen; er exportiert seine Daten vor Vertragsende.
Stand: 12.10.2026