CoopX

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Letzte Aktualisierung:

Gemäß dem CoopX-Abonnementvertrag (im Folgenden „Hauptvertrag“) schließen die Genossenschaft (im Folgenden „Verantwortlicher“), im eigenen Namen und im Namen ihrer verbundenen Unternehmen, und LAVLI (im Folgenden „Auftragsverarbeiter“) diesen Nachtrag zur Datenverarbeitung ab, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Dieser AVV hat Vorrang vor allen widersprüchlichen Bestimmungen des Hauptvertrags.

1. Gegenstand und Dauer des Vertrags

1.1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen.

1.2. Die Verarbeitung erfolgt ausschließlich zu dem Zweck der Erbringung der CoopX SaaS-Dienstleistungen.

1.3. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags zwischen den Parteien.

2. Art und Zweck der Verarbeitung

2.1. Der Auftragsverarbeiter verarbeitet folgende Kategorien personenbezogener Daten:

  • Grunddaten der Genossenschaftsmitglieder, die zur Führung der Mitgliederliste gemäß § 30 GenG erforderlich sind (z. B. Name, Anschrift, Mitgliedsnummer).
  • Zusätzliche personenbezogene Daten, die durch den Verantwortlichen erfasst und verarbeitet werden. Der Verantwortliche ist für die Rechtmäßigkeit der Erhebung und Verarbeitung dieser Daten verantwortlich.

2.2. Die Verarbeitung erfolgt zu folgenden Zwecken:

  • Zur Bereitstellung, Nutzung und Verbesserung der SaaS-Dienste gemäß den vertraglichen Vereinbarungen.
  • Zur Sicherstellung der Funktionsfähigkeit, Sicherheit und Weiterentwicklung der Plattform.
  • Zur Einhaltung gesetzlicher Verpflichtungen und regulatorischer Anforderungen.

Daten werden nur verarbeitet, soweit sie für die Bereitstellung der Dienste nötig sind oder eine gesetzliche Grundlage vorliegt. Die Verarbeitung erfolgt auf Basis der DSGVO, insbesondere Art. 6 Abs. 1 lit. b (Vertragserfüllung) und lit. f (berechtigtes Interesse).

2.3. Die betroffenen Personen umfassen:

  • Genossenschaftsmitglieder
  • Antragsteller:innen.

3. Pflichten des Auftragsverarbeiters

3.1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen.

3.2. Er trifft geeignete technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO.

3.3. Er stellt sicher, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.

3.4. Er unterstützt den Verantwortlichen bei der Einhaltung der Betroffenenrechte (Art. 12–22 DSGVO).

3.5. Er informiert den Verantwortlichen unverzüglich über Datenschutzverletzungen.

4. Unterauftragsverarbeiter

4.1. Der Auftragsverarbeiter ist berechtigt, Unterauftragsverarbeiter einzusetzen, sofern diese geeignete Datenschutzmaßnahmen gemäß diesem Vertrag und der DSGVO gewährleisten. Der Auftragsverarbeiter informiert den Verantwortlichen über wesentliche Änderungen in der Liste der Unterauftragsverarbeiter und gewährt ihm die Möglichkeit, aus berechtigten Datenschutzgründen Einspruch zu erheben.

4.2. Eine Liste der aktuellen Unterauftragsverarbeiter ist in Anhang 1 enthalten.

4.3. Der Auftragsverarbeiter stellt sicher, dass alle Unterauftragsverarbeiter den gleichen Datenschutzpflichten unterliegen.

5. Technische und organisatorische Maßnahmen (TOMs)

5.1. Der Auftragsverarbeiter verpflichtet sich zur Implementierung geeigneter Sicherheitsmaßnahmen gemäß Art. 32 DSGVO.

5.2. Eine detaillierte Liste der TOMs ist in Anhang 2 enthalten.

6. Rechte und Pflichten des Verantwortlichen

6.1. Der Verantwortliche ist dafür verantwortlich, dass die Verarbeitung personenbezogener Daten rechtmäßig erfolgt.

6.2. Er kann die Einhaltung der vertraglichen Regelungen durch Audits und Inspektionen überprüfen.

7. Beendigung und Löschung der Daten

7.1. Nach Beendigung des Vertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten im Rahmen der gesetzlichen Regelungen.

7.2. Nachweise über die Löschung sind dem Verantwortlichen auf Wunsch vorzulegen.

8. Haftung und Schadensersatz

8.1. Die Haftung richtet sich nach den Regelungen des Hauptvertrags und der DSGVO.

8.2. Der Auftragsverarbeiter haftet nicht für Verstöße des Verantwortlichen gegen die DSGVO.

9. Schlussbestimmungen

9.1. Es gilt das Recht der Bundesrepublik Deutschland.

9.2. Gerichtsstand ist der Sitz des Auftragsverarbeiters.

9.3. Dieser Auftragsverarbeitungsvertrag gilt automatisch mit der Nutzung von CoopX as a Service durch den Verantwortlichen als angenommen. Eine gesonderte Unterzeichnung ist nicht erforderlich.

Anhang 1: Liste der Unterauftragsverarbeiter

Name Anschrift/Sitz Art der Verarbeitung Ort der Verarbeitung
Fly.io Fly.io, 2261 Market Street #4990, San Francisco, CA 94114
https://fly.io 		Hosting, Anwendungs-Runtime, Datenbanken Deutschland/EU
Brevo Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin
https://www.brevo.com 		E-Mail-Kommunikation Deutschland/EU
Hetzner Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen
https://www.hetzner.com 		Hosting, Anwendungs-Runtime, Datenbanken, Objektspeicher Deutschland

Anhang 2: Technische und organisatorische Maßnahmen (TOMs)

Auftragsverarbeiter und Verantwortlicher wenden mindestens die folgenden Sicherheitsmaßnahmen für personenbezogene Daten des Kunden an:

1. Zugangskontrolle:

2. Zugriffskontrolle:

  • Berechtigungskonzepte zur Begrenzung des Datenzugriffs auf notwendige Nutzer.
  • Regelmäßige Überprüfung und Anpassung der Zugriffsrechte durch den Verantwortlichen.
  • Individuelle Zugangsdaten und rollenbasierte Rechteverwaltung. Starke Passwortrichtlinien.

3. Transportkontrolle:

  • Verschlüsselte Datenübertragung (TLS 1.2/1.3). Eine unverschlüsselte Datenübertragung findet – wenn überhaupt – ausschließlich im internen Netzwerk statt.
  • Sichere Schnittstellen (z.B. API-Authentifizierung).

4. Eingabekontrolle:

  • Protokollierung von Zugriffen und Änderungen an Daten. Regelmäßige Sicherheitsüberprüfungen und Monitoring.

5. Auftragskontrolle:

  • Personenbezogene Daten werden nur gemäß den dokumentierten Weisungen des Verantwortlichen verarbeitet.
  • Abschluss von Auftragsverarbeitungsverträgen (AVV) mit allen Unterauftragsverarbeitern.
  • DSGVO-konforme Auswahl der Unterauftragsverarbeiter.

6. Verfügbarkeitskontrolle und Wiederherstellbarkeit:

  • Regelmäßige Backups und Notfallwiederherstellungspläne.

7. Trennungskontrolle:

  • Logische Trennung von Mandantendaten.
  • Isolierung von Entwicklungs-, Test- und Produktivsystemen.

8. Weitere Maßnahmen:

  • Anonymisierung und Pseudonymisierung von Daten.
  • Sensible Nutzerdaten (z.B. Bankdaten) werden verschlüsselt in den Datenbanken gespeichert.
  • Datensparsamkeit und Löschkonzepte.
  • Einsatz von Anti-Bot-Schutz zur Verhinderung von automatisierten Zugriffen.