Auftragsverarbeitungsvertrag

Vereinbarung nach Art. 28 DSGVO zwischen der Reitschule Moorhof als Auftragsverarbeiter und Ihnen als Verantwortlichem.

Präambel

Dieser Vertrag bestimmt, wie Auftraggeber (Verantwortlicher) und Auftragnehmer (Auftragsverarbeiter) personenbezogene Daten behandeln, die aus dem Nutzungsvertrag (Konto, Shop, Buchungen) folgen.

Er gilt für jede Verarbeitung, die die Reitschule Moorhof oder ein von ihr eingesetzter Unterauftragsverarbeiter im Auftrag des Verantwortlichen vornimmt. Ziel ist eine Verarbeitung nach der DSGVO und der Schutz der betroffenen Personen.

§ 1 Parteien und Gegenstand

Vertragspartner sind die Reitschule Moorhof als Auftragsverarbeiter und die Person oder Stelle, die ein Kundenkonto auf dieser Website anlegt (Verantwortlicher).

Der Auftragsverarbeiter stellt die Website, das Kundenkonto, die Buchung von Reitstunden und Veranstaltungen, Guthaben, Belege und — soweit genutzt — die digitale Signatur von Reitverträgen bereit. Personenbezogene Daten, die der Verantwortliche dabei hinterlegt oder übermitteln lässt, werden nur im Auftrag und nach Weisung des Verantwortlichen verarbeitet.

Die Zustimmung erfolgt durch Setzen des Hakens bei der Registrierung. Das genügt der Textform nach Art. 28 Abs. 9 DSGVO.

§ 2 Gegenstand, Art und Zweck der Verarbeitung

Verarbeitet wird zum Betrieb der genannten Leistungen, insbesondere für:

• Kundenkonto und Stammdaten (einschließlich betreuter Reiter)
• Buchung, Umbuchung und Storno von Reitstunden und Veranstaltungen
• Guthabenkarten, Abrechnung und Belege
• Nachrichten zu Terminen, Freigaben, Erinnerungen und Zahlungen
• digitale Signatur von Reitverträgen, soweit angeboten, einschließlich Prüfprotokoll (Audit-Log)

Die Verarbeitung findet auf Servern in der Europäischen Union statt. Eine Verarbeitung in Drittländern ist nicht vorgesehen, soweit Anlage 2 nichts anderes ergibt. Zeitstempel- und Prüfdienste bei der Signatur werden, soweit eingesetzt, in der EU genutzt und sind im Prüfprotokoll erkennbar.

§ 3 Art der Daten und Kategorien betroffener Personen

3.1 Datenkategorien

• Stammdaten: Name, Anschrift, Kontaktdaten von Kunden und Reitern
• Reitbetrieb: Reitniveau, Termine, Buchungen, Warteliste, zugeteilte Pferde, soweit hinterlegt
• Gesundheits- und Notfallhinweise: nur wenn der Verantwortliche sie freiwillig angibt (besondere Kategorien nach Art. 9 DSGVO)
• Vertrags- und Zahlungsdaten: Bestellungen, Rechnungen, Guthabenbewegungen, Zahlungsstatus
• Kommunikation: Anfragen, Freigaben, Erinnerungen, Mahnungen
• Nutzungsdaten: Anmeldungen, Aktionsprotokolle
• Signaturdaten: soweit ein Reitvertrag digital gezeichnet wird, insbesondere E-Mail-Adresse, IP-Adresse, Zeitstempel, Geräte- und Browserangaben sowie Angaben aus dem Prüfprotokoll

3.2 Betroffene Personen

• Kunden und Rechnungsempfänger
• Reiter, auch Minderjährige, deren Daten der Verantwortliche hinterlegt
• gesetzliche Vertreter
• Trainer und sonstige Kontaktpersonen, soweit der Verantwortliche sie angibt

§ 4 Pflichten des Auftragsverarbeiters

4.1 Weisung

Personenbezogene Daten werden nur auf dokumentierte Weisung des Verantwortlichen verarbeitet. Die Nutzung von Konto und Buchungsfunktionen gilt als Weisung. Verstößt eine Weisung gegen geltendes Recht, teilt der Auftragsverarbeiter das unverzüglich mit.

4.2 Vertraulichkeit

Alle mit der Verarbeitung betrauten Personen sind zur Vertraulichkeit verpflichtet oder gesetzlich zur Verschwiegenheit angehalten, auch nach Vertragsende.

4.3 Technische und organisatorische Maßnahmen

• Speicherung personenbezogener Daten verschlüsselt (AES-256 oder gleichwertig), soweit die jeweilige Anwendung das vorsieht
• Übertragung über TLS 1.2/1.3 (HTTPS)
• Zugriff nach Rollen, mit Protokoll
• regelmäßige Sicherung und ein Verfahren zur Wiederherstellung
• Pseudonymisierung, wo sie sinnvoll und möglich ist
• Überprüfung und Anpassung der Maßnahmen

Die ausführliche Darstellung steht in Anlage 1.

4.4 Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO und bei Anfragen Betroffener nach Art. 15 bis 22 DSGVO, soweit das technisch möglich und zumutbar ist.

4.5 Löschung und Herausgabe

Nach Ende des Nutzungsvertrags werden die personenbezogenen Daten des Verantwortlichen innerhalb von 30 Tagen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Verlangen werden sie zuvor in einem gängigen Format (etwa CSV oder PDF) bereitgestellt.

Daten, die den Nachweis abgeschlossener Signaturen sichern (signierte Verträge und zugehörige Prüfprotokolle), dürfen länger aufbewahrt werden, wenn Handels- oder Steuerrecht das verlangt, etwa § 257 HGB mit Fristen bis zu zehn Jahren. Die Dauer richtet sich nach der jeweiligen Pflicht und der Art des Dokuments.

4.6 Verletzungen des Schutzes

Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens 72 Stunden nach Kenntnis, per E-Mail. Die Meldung nennt Art, Umfang, betroffene Kategorien und ergriffene Maßnahmen.

4.7 Signaturprotokolle

Einzelne Einträge in Signatur-Prüfprotokollen lassen sich in der Regel nicht nachträglich löschen oder anonymisieren, wenn darunter die Beweiskraft der Signatur litte. Dem Löschrecht kann Art. 17 Abs. 3 lit. b DSGVO entgegenstehen. Die Bewertung im Einzelfall trifft der Verantwortliche.

§ 5 Pflichten des Verantwortlichen

Der Verantwortliche bleibt für die Rechtmäßigkeit in seinem Bereich zuständig. Er stellt insbesondere sicher, dass

• die Erhebung auf einer Grundlage nach Art. 6 DSGVO beruht und bei Gesundheits- oder Notfallhinweisen zusätzlich Art. 9 DSGVO beachtet wird,
• betroffene Personen, auch vertretene Minderjährige, über die Verarbeitung informiert sind,
• Anfragen Betroffener fristgerecht bearbeitet werden,
• er seine Pflichten als Verantwortlicher im Übrigen erfüllt.

§ 6 Unterauftragsverarbeiter

Der Auftragsverarbeiter darf Unterauftragsverarbeiter einsetzen. Der Verantwortliche erteilt dafür die allgemeine Genehmigung nach der Liste in Anlage 2.

Geplante Änderungen (Aufnahme oder Austausch) teilt der Auftragsverarbeiter sechs Wochen zuvor per E-Mail mit. Der Verantwortliche kann innerhalb von zwei Wochen aus wichtigem Grund widersprechen. Ohne Widerspruch gilt die Änderung als angenommen. Unterauftragsverarbeiter werden auf dieselben Datenschutzpflichten verpflichtet.

§ 7 Kontrollrechte des Verantwortlichen

Der Verantwortliche darf die Einhaltung der Datenschutzvorschriften prüfen, insbesondere durch

• schriftliche Fragen und Anforderung von Unterlagen,
• Vorlage aktueller Nachweise oder Prüfberichte,
• angekündigte Prüfungen vor Ort nach Termin, höchstens einmal jährlich; die Kosten trägt der Verantwortliche.

Der Auftragsverarbeiter stellt die Angaben bereit, die zum Nachweis der Pflichten nach Art. 28 DSGVO nötig sind.

§ 8 Laufzeit und Kündigung

Dieser AVV gilt ab der Registrierung und läuft mit dem Nutzungsvertrag. Er endet automatisch, wenn das Konto bzw. der Hauptvertrag endet.

Eine gesonderte vorzeitige Kündigung dieses AVV ist nicht möglich, solange der Hauptvertrag besteht. Bei schwerwiegenden Verstößen gegen den Datenschutz kann jede Partei das Vertragsverhältnis aus wichtigem Grund fristlos beenden.

§ 9 Haftung

Die Haftung richtet sich nach den gesetzlichen Vorschriften und nach Art. 82 DSGVO. Im Innenverhältnis haften Verantwortlicher und Auftragsverarbeiter gegenüber betroffenen Personen nach ihrem jeweiligen Anteil am Verschulden.

§ 10 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit das Gesetz das zulässt.

Die Unwirksamkeit einzelner Klauseln lässt den Rest des Vertrags unberührt.

Änderungen bedürfen der Textform; E-Mail genügt. Wesentliche Änderungen teilt der Auftragsverarbeiter rechtzeitig mit.

Der Verantwortliche stimmt diesem AVV durch den Haken bei der Registrierung zu. Das genügt Art. 28 Abs. 9 DSGVO.

Unterschriften (nur bei schriftlichem Abschluss)

Bei Zustimmung über den Haken in der Registrierung entfällt die handschriftliche Unterschrift.

Anlage 1 — Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

Zur Vertraulichkeit, Integrität und Verfügbarkeit gelten insbesondere die folgenden Maßnahmen. Unterauftragsverarbeiter wurden zu ihren Maßnahmen befragt; mit ihnen bestehen Verträge nach Art. 28 DSGVO.

Zutritt (Rechenzentrum All-Inkl.com)

• gesicherte Zugänge mit technischem und manuellem Schließsystem
• personenbezogene Schlüsselverwaltung
• Besucher nur in Begleitung
• Videoüberwachung und Sicherheit außerhalb der Bürozeiten, soweit der Hoster das betreibt

Zugang zu Systemen

• Kennwortschutz mit Anforderungen an die Komplexität
• geregelte Vergabe von Rechten
• Sperre nach wiederholten Fehlversuchen
• Firewalls und Schutz vor Schadsoftware
• automatische Sperre bei Inaktivität

Zugriff auf Daten

• Administrationszugänge auf das Nötige begrenzt
• Rechte nur nach Bedarf
• Protokoll der Zugriffe
• Rollen in der Reitschulverwaltung

Trennung

• Produktion und Test getrennt
• geregeltes Einspielen von Änderungen
• Kundendaten voneinander getrennt, soweit die Anwendung das vorsieht

Weitergabe

• Übertragung nur verschlüsselt (TLS 1.2/1.3)
• verschlüsselte Verbindungen zwischen Client und Server
• Firewalls an den Übergängen

Eingabe

• technische Protokollierung von Anlage, Änderung und Löschung, soweit vorgesehen
• Nachvollziehbarkeit über individuelle Benutzerkonten

Verschlüsselung

• personenbezogene Daten at rest mit AES-256 oder gleichwertig, soweit die jeweilige Anwendung das umsetzt (unter anderem Dokumente im DMS)
• Verfahren nach dem Stand der Technik

Verfügbarkeit

• regelmäßige Sicherungen der Kundendaten
• dokumentierter Weg zur Wiederherstellung
• redundante Auslegung beim Hoster, soweit angeboten

Auftragskontrolle

• Prüfung der Sicherheit vor dem Einsatz von Unterauftragsverarbeitern
• Auswahl unter Datenschutz- und Sicherheitsgesichtspunkten
• Verträge nach Art. 28 DSGVO mit allen Unterauftragsverarbeitern

Maßnahmen folgen dem technischen Stand. Gleichwertiger Ersatz ist zulässig, wenn das Schutzniveau gehalten wird. Wesentliche Änderungen werden festgehalten und dem Verantwortlichen mitgeteilt.

Anlage 2 — Liste der Unterauftragsverarbeiter

Die genannten Unterauftragsverarbeiter verarbeiten in der Europäischen Union. Die Signaturkomponente läuft selbst betrieben auf Infrastruktur von Hostinger UAB; DocuSeal Inc. in den USA wird nicht als Cloud-Auftragsverarbeiter eingesetzt.

Reitschule Moorhof · Auftragsverarbeitungsvertrag · Version 1.0 · Stand September 2026 · Fragen: