Vertrag zur Auftragsverarbeitung (AVV)

1. Gegenstand und Dauer

klubfish verarbeitet personenbezogene Daten im Auftrag des Vereins, soweit der Verein klubfish für seine Vereinsverwaltung nutzt (Art. 28 DSGVO). Der Vertrag gilt, solange der Verein in klubfish besteht, und endet mit dem Löschen des Vereins oder der Kündigung der Nutzung.

Nicht Gegenstand dieses Vertrags ist, was jedes Mitglied als eigener Nutzer von klubfish tut: das eigene Logbuch, die eigenen Fänge, Fotos und Sichtbarkeitseinstellungen. Dafür ist klubfish selbst verantwortlich; es gilt die Datenschutzerklärung.

2. Art und Zweck der Verarbeitung

Speichern, Anzeigen, Auswerten, Exportieren und Löschen von Daten zur Verwaltung des Vereins in klubfish: Mitgliederliste und Beitritte, Rollen und Titel, Beitragsübersicht, Termine und Wettbewerbe, Mitteilungen, Regeln und Gewässer sowie Auswertungen der mit dem Verein geteilten Fänge (Fangliste, Jahresfangmeldung, Rekorde, Ranglisten).

3. Arten der Daten und betroffene Personen

Betroffen sind die Mitglieder des Vereins und Personen, die einen Beitritt beantragen. Verarbeitet werden:

• Mitgliederliste: Anzeigename, Initialen, Profilfoto, Beitrittsdatum, Beitrittsanfragen,
• Rollen und Titel (Admin, Mitglied, Gründer, Vorstand),
• Beitragsstatus (bezahlt oder offen; es fließt kein Geld über klubfish),
• Zusagen zu Terminen und Ergebnisse von Wettbewerben, gelesene Mitteilungen,
• Fänge, die Mitglieder mit dem Verein teilen, in Fangliste und Jahresfangmeldung, mit Ort höchstens in der Stufe, die das Mitglied freigibt,
• Exporte, die Admins des Vereins erstellen.

Besondere Kategorien von Daten (Art. 9 DSGVO) werden nicht verarbeitet.

4. Weisungen

klubfish verarbeitet die Daten nur auf dokumentierte Weisung des Vereins. Die Weisungen sind dieser Vertrag und die Einstellungen und Aktionen, die Admins des Vereins in der App vornehmen. Hält klubfish eine Weisung für rechtswidrig, sagt klubfish das dem Verein unverzüglich.

Der Verein ist dafür verantwortlich, dass er die Daten seiner Mitglieder rechtmäßig in klubfish verarbeitet, und informiert seine Mitglieder darüber.

5. Vertraulichkeit

Zugriff auf die Daten hat bei klubfish nur der Anbieter selbst, und nur, soweit es für den Betrieb, die Sicherheit oder eine Anfrage des Vereins nötig ist. Wer sonst Zugriff erhält, wird vorher zur Vertraulichkeit verpflichtet.

6. Technische und organisatorische Maßnahmen

klubfish trifft unter anderem diese Maßnahmen (Art. 32 DSGVO):

• Datenbank und Dateien in einem Rechenzentrum in Frankfurt am Main (EU),
• Übertragung nur verschlüsselt (HTTPS mit HSTS); Verschlüsselung der gespeicherten Daten durch den Hosting-Anbieter,
• Zugriffsregeln in der Datenbank (Row Level Security) für jede Tabelle: Wer was sieht, entscheidet der Server, nie die App; jede Regel ist durch automatische Tests abgedeckt,
• Datenschutz als Grundeinstellung: neue Felder sind privat, der Ort gehört dem Mitglied, ein Verein kann Stellen nur weiter einschränken, nie erweitern,
• Fotos nur über zeitlich begrenzte Links; Aufnahmedaten (EXIF, GPS) werden vor dem Speichern entfernt,
• Anmeldung ohne Passwort mit einem Einmalcode per E-Mail; Begrenzung von Anfragen und Beitrittsversuchen,
• keine Werbung, kein Tracking, keine Analyse-Werkzeuge; Datensicherung durch den Hosting-Anbieter.

klubfish darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

Der Verein ist mit diesen Unterauftragsverarbeitern einverstanden:

• Supabase Inc. (USA): Datenbank, Anmeldung, Dateispeicher, Serverfunktionen; Daten in Frankfurt am Main (EU),
• Vercel Inc. (USA): Hosting der App,
• Resend (USA): Versand von E-Mails,
• OpenStreetMap Foundation (Vereinigtes Königreich): Kartenkacheln und Ortssuche,
• Open-Meteo (Schweiz): Wetterdaten, nur mit einer auf etwa 5 km gerundeten Position.

Übermittlungen in die USA sind durch EU-Standardvertragsklauseln und, soweit der Anbieter zertifiziert ist, durch das EU-U.S. Data Privacy Framework abgesichert. Einen neuen oder anderen Unterauftragsverarbeiter kündigt klubfish mindestens 30 Tage vorher in der App an; der Verein kann aus wichtigem datenschutzrechtlichem Grund widersprechen und die Nutzung beenden.

8. Unterstützung des Vereins

klubfish unterstützt den Verein dabei, Anfragen von Mitgliedern zu ihren Rechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu beantworten. Vieles können Admins direkt in der App tun (Mitglieder entfernen, Rollen ändern, Fangliste exportieren); Mitglieder können ihre eigenen Daten selbst herunterladen und löschen. Richtet sich ein Mitglied mit einer Anfrage an klubfish, die den Verein betrifft, leitet klubfish sie an den Verein weiter.

klubfish unterstützt den Verein außerdem bei Sicherheit, Meldungen von Datenschutzverletzungen und, falls nötig, bei einer Datenschutz-Folgenabschätzung, soweit klubfish die Informationen dazu hat.

9. Datenschutzverletzungen

Erfährt klubfish von einer Verletzung des Schutzes personenbezogener Daten, die den Verein betrifft, informiert klubfish den Verein unverzüglich, möglichst innerhalb von 48 Stunden, per E-Mail an seine Admins oder in der App: was geschehen ist, welche Daten und Personen betroffen sind, welche Folgen wahrscheinlich sind und was klubfish dagegen tut.

10. Löschung und Rückgabe am Ende

Vor dem Ende kann der Verein seine Daten exportieren (Fangliste, Berichte). Löscht ein Admin den Verein, werden die Vereinsdaten gelöscht: Mitgliedschaften, Rollen, Beitragsstatus, Termine, Mitteilungen, Regeln, Gewässer und Beitrittscodes. Die Fänge bleiben bei den Mitgliedern, die sie eingetragen haben, denn sie gehören zu deren eigenem Logbuch. Sicherungskopien des Hosting-Anbieters werden nach kurzer Zeit überschrieben.

11. Nachweise und Kontrollen

klubfish stellt dem Verein auf Anfrage die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen. Kontrollen vor Ort sind nach Absprache mit angemessener Vorlaufzeit möglich, in der Regel höchstens einmal im Jahr und auf Kosten des Vereins; eine schriftliche Auskunft geht vor.

12. Schlussbestimmungen

Es gilt niederländisches Recht. Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor, soweit es um die Verarbeitung im Auftrag des Vereins geht. Änderungen kündigt klubfish vorher in der App an; bei wesentlichen Änderungen nimmt ein Admin den Vertrag erneut an.