Vertrag zur Auftragsverarbeitung

1. Gegenstand und Dauer

Die Betreiberin verarbeitet personenbezogene Daten im Auftrag des Vereins, indem sie ihm Außencheck nach dem Hauptvertrag bereitstellt: das Schadensregister für die Luftfahrzeuge des Vereins als Web-App und als App für iOS und Android.

Dieser Vertrag gilt, solange der Hauptvertrag besteht, und darüber hinaus, solange die Betreiberin nach dessen Ende noch Daten des Vereins verarbeitet (Abschnitt 12).

2. Art und Zweck der Verarbeitung

Art der Verarbeitung: Erheben, Speichern, Ordnen, Anzeigen, Übermitteln an die berechtigten Personen des Vereins, Verkleinern von Fotos und Videos, Sichern, Exportieren und Löschen.

Zweck: die gemeinsame Dokumentation von Schäden an den Luftfahrzeugen des Vereins – Meldung, Sichtung, Verlauf bis zur Reparatur –, Hinweise der Technik, die Verwaltung der Personen, die der Verein zur Nutzung einträgt, und deren Benachrichtigung.

3. Art der Daten und Kreis der Betroffenen

Betroffen sind die Personen, die der Verein in Außencheck einträgt – Mitglieder und Personen, die für ihn tätig sind –, sowie Personen, die auf Fotos oder in Videos zu sehen oder zu hören sind.

Verarbeitet werden folgende Arten von Daten:

• Personendaten: Name, E-Mail-Adresse und weitere E-Mail-Adressen, Rolle und Status im Verein, ob und wann eine Einladung verschickt wurde, freiwillig ein Profilbild;
• Schadensmeldungen: Luftfahrzeug, Position auf der Zeichnung, Kategorie, Titel, Beschreibung, Status, Begründungen, Rückfragen und Hinweise, jeweils mit Namen und Zeitpunkt;
• Fotos und Videos von Schäden, bei Videos einschließlich Ton;
• Hinweise der Technik zu einem Luftfahrzeug und Lesebestätigungen mit Person und Zeitpunkt;
• das Änderungsprotokoll: wer wann welchen Eintrag wie geändert hat, mit altem und neuem Stand;
• Einstellungen, Flotte und Stammdaten des Vereins einschließlich Logo und Kontaktangaben;
• Geräte-Token für Benachrichtigungen in den Apps, soweit eine Person Benachrichtigungen erlaubt.

4. Was nicht im Auftrag verarbeitet wird

Für die Anmeldung (Einmalcodes, Sitzungen), das Anmeldeprotokoll, die technischen Betriebsprotokolle, den Schutz vor Missbrauch und die Vertragsdaten des Vereins ist die Betreiberin selbst verantwortlich. Diese Verarbeitung beschreibt die Datenschutzerklärung unter aussencheck.app/datenschutz/.

5. Weisungen

Die Betreiberin verarbeitet die Daten nur auf dokumentierte Weisung des Vereins, es sei denn, sie ist nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt sie dem Verein diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und der Nutzung von Außencheck durch den Verein – etwa wenn seine Verwaltung Personen einträgt, deaktiviert oder anonymisiert, Einträge löscht oder einen Export erstellt. Weitere Weisungen erteilt der Verein in Textform an datenschutz@d-vo.de.

Ist die Betreiberin der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist sie den Verein unverzüglich darauf hin.

6. Vertraulichkeit

Die Betreiberin setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf die Daten eines Vereins erhalten sie nur, soweit es für den Betrieb, die Fehlerbehebung oder eine Weisung des Vereins erforderlich ist.

Die Plattformverwaltung der Betreiberin sieht Stammdaten und Zahlen eines Vereins, nicht seine Schadensmeldungen, Fotos oder Mitgliederlisten. Einen Export der Vereinsdaten erstellt sie nur auf Weisung des Vereins oder nach Vertragsende (Abschnitt 12); jeder Export wird im Änderungsprotokoll des Vereins vermerkt.

7. Unterauftragsverarbeiter

Der Verein genehmigt die folgenden Unterauftragsverarbeiter:

Microsoft Ireland Operations Ltd., Dublin (Irland)

Microsoft Azure: Hosting, Datenbank (Region Germany West Central, Frankfurt am Main), Dateispeicher und Programmlogik (Region Westeuropa, Niederlande), Betriebsprotokolle, Sicherungen sowie der Versand von E-Mails über Azure Communication Services mit Datenstandort Europa.

Apple (Apple Push Notification service)

Nur für Personen, die in der App für iOS Benachrichtigungen erlauben: Zustellung der Benachrichtigung mit Geräte-Token und Inhalt der Nachricht (Kennzeichen, Titel des Schadens bzw. neuer Status, keine Namen oder E-Mail-Adressen). Eine Übermittlung in die USA ist möglich.

Google (Firebase Cloud Messaging)

Dasselbe für Personen, die in der App für Android Benachrichtigungen erlauben. Eine Übermittlung in die USA ist möglich.

8. Änderung von Unterauftragsverarbeitern

Die Betreiberin informiert den Verein in Textform mindestens vier Wochen im Voraus, bevor sie einen Unterauftragsverarbeiter hinzuzieht oder ersetzt. Der Verein kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Verein den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

Die Betreiberin verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag. Eine Übermittlung in ein Land außerhalb der EU und des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

9. Sicherheit der Verarbeitung

Die Betreiberin trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in der Anlage beschrieben sind. Sie darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

10. Unterstützung des Vereins

Die Betreiberin unterstützt den Verein dabei, die Rechte der Betroffenen zu wahren (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Vieles erledigt der Verein selbst in Außencheck: Personen bearbeiten, deaktivieren und anonymisieren, Einträge löschen, einen vollständigen Export erstellen. Wendet sich eine betroffene Person direkt an die Betreiberin, leitet sie das Anliegen unverzüglich an den Verein weiter.

Sie unterstützt den Verein außerdem bei seinen Pflichten nach Art. 32 bis 36 DSGVO, soweit es ihr mit den ihr vorliegenden Informationen möglich ist.

11. Meldung von Verletzungen

Die Betreiberin meldet dem Verein eine Verletzung des Schutzes der Daten des Vereins ohne schuldhaftes Zögern, nachdem sie ihr bekannt geworden ist, in Textform an die hinterlegten Kontaktadressen. Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Informationen, die noch fehlen, reicht sie nach.

12. Löschung und Rückgabe nach Vertragsende

Bis 30 Tage nach dem Ende des Hauptvertrags stellt die Betreiberin dem Verein auf Anfrage einen vollständigen Export der Vereinsdaten als ZIP-Archiv bereit (Rückgabe). Die Exportdatei wird nach 30 Tagen automatisch gelöscht.

90 Tage nach dem Ende des Hauptvertrags löscht die Betreiberin die Daten des Vereins: Personen, die in keinem anderen Verein eingetragen sind, werden anonymisiert; Schadensmeldungen, Fotos, Videos, Hinweise und Einstellungen des Vereins werden gelöscht. Der Löschung entgegenstehende gesetzliche Aufbewahrungspflichten bleiben unberührt.

In Sicherungskopien bleiben die Daten bis zum Ablauf von deren Fristen enthalten: Wiederherstellung auf jeden Zeitpunkt der letzten 7 Tage, wöchentliche Sicherungen 1 Jahr, wöchentliche Exporte 400 Tage, entfernte Dateien 30 Tage. Sie werden nicht für andere Zwecke verwendet.

Auf Anfrage bestätigt die Betreiberin die Löschung in Textform.

13. Nachweise und Kontrollen

Die Betreiberin stellt dem Verein auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, insbesondere eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen.

Der Verein kann die Einhaltung nach rechtzeitiger Ankündigung – in der Regel mindestens vier Wochen – zu den üblichen Geschäftszeiten und ohne Störung des Betriebs prüfen oder durch einen zur Verschwiegenheit verpflichteten Prüfer prüfen lassen. Für die Rechenzentren genügen die Nachweise und Zertifizierungen von Microsoft.

14. Haftung

Für Schäden aus einem Verstoß gegen die DSGVO haften die Parteien gegenüber Betroffenen nach Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten Art. 82 Abs. 4 und 5 DSGVO sowie im Übrigen die Haftungsregeln des Hauptvertrags.

15. Schlussbestimmungen

Dieser Vertrag wird zusammen mit dem Hauptvertrag geschlossen – online mit der Bestätigung durch den Code oder in Textform – und endet mit ihm, vorbehaltlich Abschnitt 12. Änderungen bedürfen der Textform; für Änderungen durch die Betreiberin gilt Abschnitt 12 der AGB entsprechend.

Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. Es gilt das Recht der Bundesrepublik Deutschland.

Anlage: Technische und organisatorische Maßnahmen

Ort und Betrieb

Betrieb ausschließlich in Microsoft Azure in der EU: Datenbank in Frankfurt am Main (Germany West Central), Dateispeicher, Programmlogik und Betriebsprotokolle in Westeuropa (Niederlande), E-Mail-Versand mit Datenstandort Europa. Die Rechenzentren und ihre physische Sicherung verantwortet Microsoft.

Verschlüsselung

Alle Verbindungen laufen verschlüsselt über HTTPS (TLS). Datenbank und Dateispeicher sind im Ruhezustand durch die Azure-Plattform verschlüsselt.

Anmeldung ohne Passwort

Personen melden sich mit einem sechsstelligen Einmalcode an, der an ihre E-Mail-Adresse geht, 15 Minuten gilt und nach 5 Fehlversuchen verfällt; Anfragen sind je Adresse und je Aufrufer begrenzt. Codes und Sitzungen werden nur als nicht umkehrbare Prüfsumme gespeichert. Es gibt keine Passwörter und keine Zugangsdaten anderer Dienste.

Zugriffskontrolle und Mandantentrennung

Jede Anfrage wird auf dem Server geprüft: angemeldet, aktive Mitgliedschaft im Verein, ausreichende Rolle (Mitglied, Technik, Verwaltung). Jede Datenbankabfrage auf Vereinsdaten ist auf den Verein beschränkt; automatische Tests schlagen fehl, wenn eine Abfrage diese Bedingung nicht enthält. Daten eines anderen Vereins sind für niemanden sichtbar.

Keine Schlüssel im Code

Die Serverkomponente greift auf Datenbank und Dateispeicher mit einer verwalteten Identität (Managed Identity) zu, ohne Verbindungszeichenfolgen oder Kontoschlüssel; der Zugriff mit Kontoschlüssel ist am Datenspeicher abgeschaltet. Fotos werden über Links freigegeben, die für genau eine Datei und kurze Zeit gelten (Lesen eine Stunde, Hochladen 15 Minuten, nur Anlegen).

Minimale Rechte

Der Datenbankbenutzer der Anwendung darf Vereinsdaten nicht physisch löschen; Löschen bedeutet Markieren mit Zeitpunkt und Person (Papierkorb). Änderungs- und Anmeldeprotokoll kann die Anwendung nur ergänzen, nicht ändern. Löschfristen setzt ein eigener wöchentlicher Lauf mit erhöhten Rechten durch, nur nach einer geprüften Sicherung.

Nachvollziehbarkeit

Jede Änderung wird mit Person, Zeitpunkt, altem und neuem Stand im Änderungsprotokoll festgehalten (5 Jahre); frühere Fassungen bleiben zusätzlich in einer Versionshistorie der Datenbank. Anmeldungen werden mit Ergebnis protokolliert, E-Mail- und IP-Adresse nur als Prüfsumme (1 Jahr).

Datensparsamkeit bei Fotos und Videos

Fotos und Videos werden auf dem Gerät verkleinert und von Metadaten befreit (Aufnahmeort, Kameradaten). Der Server prüft jede Datei anhand ihres Inhalts und nimmt keine an, die solche Daten noch enthält oder nicht dem erwarteten Format entspricht; Dateinamen vergibt der Server.

Verfügbarkeit und Sicherung

Datenbank: Wiederherstellung auf jeden Zeitpunkt der letzten 7 Tage und wöchentliche Sicherungen über 1 Jahr. Zusätzlich ein wöchentlicher Export aller Tabellen in ein zweites Speicherkonto, der sofort zurückgelesen und geprüft wird (400 Tage). Entfernte Dateien sind 30 Tage wiederherstellbar; Speicherkonten und Datenbankserver sind gegen versehentliches Löschen gesperrt.

Protokolle und Überwachung

Betriebsprotokolle ohne IP-Adressen, 30 Tage; Zugriffe auf den Dateispeicher werden zur Missbrauchserkennung protokolliert. Verfügbarkeit und Sicherungen werden automatisch überwacht.

Entwicklung und Änderungen

Jede Änderung wird vor der Auslieferung automatisch gebaut und getestet, einschließlich Tests der Zugriffsregeln gegen eine echte Datenbank; ein fehlgeschlagener Test verhindert die Auslieferung. Sicherheitsrelevante Regeln werden durch eigene Tests geschützt.

Organisation

Administrativen Zugriff auf die Azure-Umgebung hat nur die Betreiberin. Anfragen von Betroffenen und Vorfälle werden dokumentiert. Die Maßnahmen werden bei jeder wesentlichen Änderung des Systems überprüft.

Stand: 29.10.2026. Der Vertrag wird mit der Anmeldung eures Vereins geschlossen, zusammen mit den AGB für Vereine. Was die App verarbeitet, beschreibt die Datenschutzerklärung.