Auftragsverarbeitungsvertrag
Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO
Vertragsparteien
Auftraggeber (Verantwortlicher)
Die Organisation (Moschee/Verein), die sich bei Masjidun registriert und die Plattform zur Verwaltung von Mitgliederdaten nutzt.
Auftragsverarbeiter
Arpaci Akoudad Achkif GbR (Masjidun)
Vertretungsberechtigte Gesellschafter: Erdem Arpaci, Ismail Akoudad, Ilias Achkif
Eckardtstr. 10
44263 Dortmund, Deutschland
E-Mail: info@masjidun.de
§1 Gegenstand und Dauer
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Nutzung der SaaS-Plattform "Masjidun".
(2) Die Verarbeitung der Kerndaten (Mitglieder-, Finanz- und Organisationsdaten) erfolgt auf Servern in der Bundesrepublik Deutschland. Für einzelne Spezialdienste (siehe §8) werden Teildaten an Unterauftragsverarbeiter in Drittländern übermittelt; diese Übermittlungen sind durch EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO abgesichert.
(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags zwischen den Parteien.
§2 Art und Zweck der Verarbeitung
Die Verarbeitung umfasst folgende Tätigkeiten:
- Speicherung, Organisation und Verwaltung von Mitgliederdaten
- Abwicklung von Mitgliedsbeiträgen, Spenden und Zahlungen
- Verwaltung von Kursen, Veranstaltungen und Teilnahmen
- Bereitstellung von Benutzerkonten und Zugangsverwaltung
- Erstellung von Berichten und Exporten
- Technischer Support und Fehlerbehebung
Die Verarbeitung erfolgt ausschließlich zur Erfüllung der vertraglich vereinbarten Leistungen und nicht für eigene Zwecke des Auftragsverarbeiters.
§3 Art der personenbezogenen Daten
- Stammdaten: Name, Vorname, Anrede, Geburtsdatum
- Kontaktdaten: Adresse, E-Mail-Adresse, Telefonnummer
- Finanzdaten: Beiträge, Spenden, Zahlungshistorie, IBAN (teilweise)
- Organisationsdaten: Mitgliedsnummer, Beitrittsdatum, Rolle
- Nutzungsdaten: Login-Zeiten, Aktivitäten auf der Plattform
§4 Kategorien betroffener Personen
- Mitglieder der Organisation
- Mitarbeiter und Administratoren der Organisation
- Kursteilnehmer und Veranstaltungsbesucher
- Spender und Förderer
§5 Pflichten des Auftraggebers
Der Auftraggeber:
- bleibt Verantwortlicher im Sinne der DSGVO für die verarbeiteten Daten
- stellt sicher, dass eine rechtmäßige Grundlage für die Datenverarbeitung vorliegt
- erteilt dem Auftragsverarbeiter dokumentierte Weisungen zur Datenverarbeitung
- ist für die Information der betroffenen Personen gemäß Art. 13, 14 DSGVO verantwortlich
- prüft die ordnungsgemäße Durchführung der Verarbeitung durch den Auftragsverarbeiter
§6 Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich:
- Daten nur auf dokumentierte Weisung des Auftraggebers zu verarbeiten
- alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit zu verpflichten
- geeignete technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO zu ergreifen
- Unterauftragsverarbeiter nur mit vorheriger Zustimmung des Auftraggebers einzusetzen
- den Auftraggeber bei der Erfüllung seiner Pflichten zu unterstützen (Betroffenenrechte, Meldepflichten)
- nach Abschluss der Verarbeitung alle Daten zu löschen oder zurückzugeben
- dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung zu stellen
§7 Technische und organisatorische Maßnahmen (TOMs)
Der Auftragsverarbeiter setzt folgende Maßnahmen gemäß Art. 32 DSGVO ein:
Vertraulichkeit
- Zutrittskontrolle (Rechenzentrum Hetzner)
- Zugangskontrolle (Passwörter, sicher gehasht)
- Zugriffskontrolle (Rollenbasierte Berechtigungen)
- Trennungskontrolle (Mandantentrennung)
Integrität
- Weitergabekontrolle (TLS-Verschlüsselung)
- Auftragskontrolle (Weisungsgebundenheit)
Verfügbarkeit
- Tägliche verschlüsselte Backups mit regelmäßiger Integritätsprüfung
- Verifiziertes Wiederherstellungsverfahren
- Zusätzliche verschlüsselte Sicherungskopie außerhalb des Rechenzentrums
Belastbarkeit
- Serverstandort Deutschland (Hetzner, Nürnberg)
- Regelmäßige Sicherheitsupdates
- Gehärteter Serverzugang (SSH nur mit Schlüssel, eingeschränkte Zugänge)
§8 Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
Hetzner Online GmbH
Serverhosting (Mitglieder-, Finanz- und Organisationsdaten), Nürnberg, Deutschland
Resend, Inc.
Transaktionaler E-Mail-Versand (Einladungen, Benachrichtigungen, Passwort-Resets, Spendenbescheinigungen), San Francisco, USA — abgesichert durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
Anthropic, PBC
KI-gestützte Finanzfunktionen (FiBu-Kategorisierung, Mitgliederzuordnung bei Zahlungen) — nur bei aktiver Nutzung der KI-Funktionen in den Tarifen PRO/PRO_SERVICE. San Francisco, USA — abgesichert durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Daten werden nicht für KI-Training verwendet, Löschung nach max. 30 Tagen.
Google Ireland Limited
Authentifizierung (OAuth-Login), Webanalyse (Google Analytics, nur nach Cookie-Einwilligung), Irland/EU
Exponent, Inc. (Expo)
Zustellung von Push-Benachrichtigungen der Mobile-App (Geräte-Push-Token, Benachrichtigungsinhalte), San Francisco, USA — abgesichert durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Die Auslieferung an das Endgerät erfolgt je nach Plattform über Google Firebase Cloud Messaging bzw. Apple Push Notification Service.
Stripe Payments Europe, Ltd.
Zahlungsabwicklung der Masjidun-Lizenzgebühr sowie — bei aktivierter Online-Zahlung — des Beitrags- und Spendeneinzugs der Organisation (Stripe Connect), Dublin, Irland. Sämtliche Zahlungsmethoden einschließlich PayPal werden vollständig durch Stripe abgewickelt; eine direkte Datenübermittlung an PayPal durch den Auftragsverarbeiter findet nicht statt.
Der Auftragsverarbeiter informiert den Auftraggeber über Änderungen bei den Unterauftragsverarbeitern. Der Auftraggeber kann innerhalb von 14 Tagen Einspruch erheben.
§9 Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung der Betroffenenrechte gemäß Art. 15-22 DSGVO, insbesondere bei:
- Auskunftsersuchen (Art. 15 DSGVO)
- Berichtigungsanfragen (Art. 16 DSGVO)
- Löschanfragen (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
Anfragen betroffener Personen, die direkt beim Auftragsverarbeiter eingehen, werden unverzüglich an den Auftraggeber weitergeleitet.
§10 Meldung von Datenschutzverletzungen
(1) Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich (in der Regel innerhalb von 24 Stunden) über bekannt gewordene Verletzungen des Schutzes personenbezogener Daten.
(2) Die Meldung enthält mindestens:
- Beschreibung der Art der Verletzung
- Kategorien und ungefähre Zahl der betroffenen Personen
- Wahrscheinliche Folgen der Verletzung
- Ergriffene oder vorgeschlagene Maßnahmen
(3) Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gemäß Art. 33, 34 DSGVO.
§11 Beendigung und Datenlöschung
(1) Nach Beendigung des Nutzungsverhältnisses löscht der Auftragsverarbeiter alle personenbezogenen Daten des Auftraggebers unverzüglich und unwiderruflich, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
(2) Dem Auftraggeber wird vor der Löschung die Möglichkeit gegeben, seine Daten zu exportieren (Datenportabilität).
(3) Backups werden verschlüsselt aufbewahrt und nach einem festen Schema ausgesondert (tägliche Sicherungen 7 Tage, wöchentliche 4 Wochen, monatliche 12 Monate). Gelöschte Daten sind damit spätestens 12 Monate nach der Löschung auch aus sämtlichen Sicherungskopien entfernt; eine Wiederherstellung gelöschter Daten aus Backups erfolgt nur zur Notfallwiederherstellung des Gesamtsystems.
(4) Der Auftragsverarbeiter bestätigt die vollständige Löschung auf Anfrage schriftlich.
§12 Kontroll- und Prüfrechte
(1) Der Auftraggeber hat das Recht, die Einhaltung dieses Vertrags durch Einsicht in Dokumentationen, Zertifikate oder durch Vor-Ort-Prüfungen zu kontrollieren.
(2) Vor-Ort-Prüfungen sind mit einer angemessenen Frist (mindestens 14 Tage) anzukündigen und während der üblichen Geschäftszeiten durchzuführen.
(3) Der Auftragsverarbeiter stellt alle erforderlichen Informationen und Nachweise zur Verfügung.
§13 Schlussbestimmungen
(1) Es gilt das Recht der Bundesrepublik Deutschland.
(2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.
(3) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(4) Dieser Vertrag tritt mit Akzeptanz bei der Registrierung der Organisation in Kraft.
Kontakt
Bei Fragen zu diesem Auftragsverarbeitungsvertrag:
info@masjidun.de
Stand: August 2026