Vertrag zur Auftragsverarbeitung

nach Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO) · Fassung 2026-10

1. Parteien und Gegenstand
2. Art, Zweck und Betroffene
3. Weisungen
4. Pflichten des Auftragsverarbeiters
5. Unterauftragsverarbeiter
6. Nachweise und Kontrollen
7. Ort der Verarbeitung
8. Vertragsende, Rückgabe und Löschung
9. Haftung und Schlussbestimmungen
10. Anlagen

§ 1 Parteien und Gegenstand

Verantwortlicher („Auftraggeber“) ist der Verein, dessen Vorstand diesen Vertrag in Aerolaunch abschließt. Auftragsverarbeiter („Auftragnehmer“) ist strothmann.online, Römerstraße 46, 33758 Schloß Holte-Stukenbrock.

Gegenstand ist die Bereitstellung und der Betrieb der Vereinssoftware Aerolaunch (Software als Dienst) unter aerolaunch.de: Speicherung, Anzeige, Auswertung, Versand und Export der Daten, die der Verein und seine Mitglieder eingeben oder einspielen, sowie Datensicherung, Wartung und Unterstützung. Der Vertrag gilt, solange der Verein Aerolaunch nutzt, und darüber hinaus, bis alle Daten nach § 8 zurückgegeben und gelöscht sind.

Nicht Gegenstand dieses Vertrags sind Daten, die Nutzerinnen und Nutzer in ihrem persönlichen Flugbuch für sich selbst führen; dafür ist der Betreiber selbst verantwortlich (siehe Datenschutzerklärung).

§ 2 Art, Zweck und Betroffene

Die Verarbeitung dient ausschließlich dazu, dem Verein die Funktionen von Aerolaunch zur Verfügung zu stellen. Welche Module genutzt werden, entscheidet der Verein in seinen Einstellungen.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Gesundheitsangaben (etwa die Klasse und Gültigkeit eines Medicals) sieht der Verein nur, wenn das Mitglied sie selbst freigibt. Der Verein stellt sicher, dass er für jede Verarbeitung eine Rechtsgrundlage hat und seine Mitglieder informiert (Art. 13, 14 DSGVO).

§ 3 Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet; dann teilt er dem Auftraggeber diese Pflicht vorher mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

Die Weisungen ergeben sich aus diesem Vertrag und aus der Nutzung der Software: Jede Eingabe, Einstellung, Rechtevergabe, Löschung und jeder Export durch berechtigte Personen des Vereins gilt als Weisung. Weitere Weisungen erteilt der Vorstand in Textform an info@strothmann.online. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf sie bis zur Klärung aussetzen.

§ 4 Pflichten des Auftragsverarbeiters

1. Vertraulichkeit: Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
2. Sicherheit: Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
3. Betroffenenrechte: Er unterstützt den Auftraggeber mit geeigneten Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Die Software bietet dafür Export, Bearbeitung und Löschung. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Verein weiter.
4. Verletzungen des Schutzes: Er meldet dem Vorstand eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt, und unterstützt bei Meldung und Benachrichtigung (Art. 33, 34 DSGVO).
5. Weitere Unterstützung: Er unterstützt bei Datenschutz-Folgenabschätzung und vorheriger Konsultation (Art. 35, 36 DSGVO), soweit ihm das mit den ihm vorliegenden Informationen möglich ist.
6. Eigene Nutzung: Er nutzt die Daten nicht für eigene Zwecke, gibt sie nicht weiter und wertet sie nicht für Werbung aus. Zugriff auf Inhalte nimmt er nur, soweit es für Betrieb, Sicherung, Fehlerbehebung oder auf Wunsch des Vereins nötig ist.
7. Verzeichnis: Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 5 Unterauftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung, die in Anlage 2 genannten Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Der Auftragnehmer verpflichtet sie vertraglich auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO) und haftet für sie.

Beabsichtigte Änderungen kündigt er mindestens vier Wochen vorher per E-Mail an den Vorstand und auf der Seite der Unterauftragsverarbeiter an. Der Verein kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Finden die Parteien keine Lösung, kann der Verein den Nutzungsvertrag zum Zeitpunkt der Änderung ohne Kosten beenden.

Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation, Post- und Transportdienste oder Dienste, die der Verein selbst beauftragt und verbindet (etwa Vereinsflieger, WeGlide, Stripe-Konto des Vereins, DATEV); dafür ist der Verein selbst verantwortlich.

§ 6 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung. Der Auftraggeber kann sich nach vorheriger Anmeldung mit angemessener Frist, in der Regel zwei Wochen, während der Geschäftszeiten und ohne Störung des Betriebs selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer von der Einhaltung überzeugen. Aussagekräftige Unterlagen (etwa Bestätigungen des Rechenzentrums) können eine Prüfung vor Ort ersetzen, wenn sie zur Klärung ausreichen.

§ 7 Ort der Verarbeitung

Die Daten werden in Rechenzentren in der Europäischen Union bzw. im Europäischen Wirtschaftsraum gespeichert. Eine Übermittlung in ein Drittland findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind; die betroffenen Dienste und Garantien nennt Anlage 2.

§ 8 Vertragsende, Rückgabe und Löschung

Der Verein kann seine Daten jederzeit vollständig in gängigen, maschinenlesbaren Formaten exportieren (verschlüsselte Vollsicherung mit CSV-Dateien je Tabelle und allen Dokumenten, dazu einzelne Exporte als CSV, XLSX, PDF, DATEV und SEPA-XML). Nach Ende der Nutzung stehen die Daten noch mindestens 30 Tage für den Export bereit; danach löscht der Auftragnehmer sie, es sei denn, eine gesetzliche Pflicht verlangt die weitere Speicherung. Aus den Datensicherungen verschwinden sie im Rhythmus der Sicherungen, spätestens nach 14 Tagen. Auf Wunsch bestätigt der Auftragnehmer die Löschung in Textform.

Gesetzliche Aufbewahrungspflichten (etwa nach Abgabenordnung und HGB für Buchungen) erfüllt der Verein durch den Export; der Auftragnehmer bewahrt Daten des Vereins nicht über das Vertragsende hinaus für ihn auf, sofern nicht gesondert vereinbart.

§ 9 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Nutzungsbedingungen. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor. Änderungen bedürfen der Textform; eine neue Fassung legt Aerolaunch dem Vorstand zur Annahme vor. Sollte eine Bestimmung unwirksam sein, bleibt der Rest wirksam. Es gilt deutsches Recht.

Anlagen

• Anlage 1: Technische und organisatorische Maßnahmen
• Anlage 2: Unterauftragsverarbeiter (derzeit 2)

Stand: 27.10.2026 · Fassung 2026-10 · Datenschutzerklärung · Nutzungsbedingungen