Vereinbarung über die Auftragsbearbeitung (AVV)
Anlage zu den Allgemeinen Geschäftsbedingungen (AGB)
Diese Vereinbarung über die Auftragsbearbeitung (nachfolgend «AVV») ist integraler Bestandteil der Allgemeinen Geschäftsbedingungen (AGB) zwischen dem Verein (nachfolgend «Verantwortlicher» oder «Kunde») und Yilmaz Ventures, Inhaber Ünal Yilmaz, Rüchligweg 49, 4125 Riehen, Schweiz (nachfolgend «Auftragsbearbeiter» oder «ClubOS»).
1. Gegenstand und Dauer der Vereinbarung
1.1 Gegenstand: ClubOS stellt dem Kunden eine cloudbasierte Software-as-a-Service (SaaS) Lösung zur Vereinsverwaltung zur Verfügung. Dabei verarbeitet ClubOS Personendaten im Auftrag und nach Weisung des Kunden. Der Kunde ist allein dafür verantwortlich, dass er berechtigt ist, die Daten seiner Vereinsmitglieder in ClubOS zu speichern.
1.2 Dauer: Diese AVV gilt für die gesamte Dauer des zwischen den Parteien bestehenden Hauptvertrags (Nutzung der ClubOS-Software). Sie endet automatisch mit der Kündigung oder Löschung des ClubOS-Accounts durch den Kunden.
2. Art und Zweck der Datenbearbeitung
2.1 Zweck: Die Bearbeitung erfolgt ausschliesslich zum Zweck der Bereitstellung der Softwarefunktionen zur Vereinsverwaltung (z. B. Mitgliederverwaltung, Kommunikation, Abrechnung).
2.2 Datenkategorien: Bearbeitet werden können (je nach Nutzung durch den Kunden):
- Stammdaten (Vorname, Nachname, Adresse, Geburtsdatum)
- Kontaktdaten (E-Mail, Telefonnummer)
- Finanzdaten (Beitragszahlungen, Bankverbindungen, sofern erfasst)
- Vereinsinterne Daten (Funktion im Verein, Gruppenzugehörigkeit)
2.3 Betroffene Personen: Mitglieder des Vereins, Vorstandsmitglieder, Sponsoren oder sonstige vom Kunden erfasste Kontaktpersonen.
3. Pflichten von ClubOS (Auftragsbearbeiter)
3.1 Weisungsbindung: ClubOS bearbeitet die Daten ausschliesslich im Rahmen des Hauptvertrages und nach den dokumentierten Weisungen des Kunden (erfolgt in der Regel durch die Nutzung der Softwarefunktionen).
3.2 Vertraulichkeit: ClubOS stellt sicher, dass alle Personen, die zur Bearbeitung der Personendaten befugt sind, sich zur Vertraulichkeit verpflichtet haben.
3.3 Sicherheit: ClubOS ergreift alle erforderlichen technischen und organisatorischen Massnahmen (TOM) gemäss anwendbarem Datenschutzrecht (nDSG / DSGVO), um ein angemessenes Schutzniveau zu gewährleisten (siehe Ziffer 8).
3.4 Unterstützung: ClubOS unterstützt den Kunden im Rahmen des Zumutbaren bei der Beantwortung von Anfragen betroffener Personen (z. B. Auskunfts- oder Löschbegehren von Vereinsmitgliedern). Solche Anfragen leitet ClubOS unverzüglich an den Kunden weiter.
4. Unterauftragsbearbeiter (Subunternehmer)
Der Kunde stimmt zu, dass ClubOS zur Erbringung der Dienstleistung folgende Unterauftragsbearbeiter einsetzt:
- Google Ireland Limited (Google Cloud): Server-Hosting und Datenspeicherung (Standort: Zürich, Schweiz).
- Resend Inc.: Versand von vertragsrelevanten System-E-Mails (Standort: USA; Absicherung durch Swiss-US bzw. EU-US Data Privacy Framework / EU-Standardvertragsklauseln).
- Stripe Payments Europe, Ltd.: Zahlungsabwicklung (Standort: Dublin, Irland / EU; EU-Standardvertragsklauseln und EU-US Data Privacy Framework für allfällige US-Datentransfers).
ClubOS informiert den Kunden über geplante Änderungen bei den Unterauftragsbearbeitern (z.B. per E-Mail oder Hinweis in der Software). Der Kunde kann einer Änderung innert 14 Tagen widersprechen. Erfolgt ein Widerspruch, kann ClubOS den Hauptvertrag ausserordentlich kündigen. ClubOS stellt sicher, dass Unterauftragsbearbeiter dieselben datenschutzrechtlichen Pflichten erfüllen, die in dieser AVV festgelegt sind.
5. Kontrollrechte des Kunden
Der Kunde hat das Recht, sich von der Einhaltung dieser AVV durch ClubOS zu überzeugen. ClubOS erfüllt dieses Prüfrecht primär durch die Bereitstellung von schriftlichen Auskünften oder durch die Vorlage von aktuellen Sicherheitszertifikaten der eingesetzten Unterauftragsbearbeiter (z. B. ISO-Zertifikate der Google Cloud). Vor-Ort-Überprüfungen beim Auftragsbearbeiter sind nur bei einem konkret begründeten Verdacht auf eine Datenschutzverletzung nach vorheriger schriftlicher Anmeldung und auf Kosten des Kunden zulässig.
6. Meldung von Datenschutzverletzungen und Unterstützung
ClubOS meldet dem Kunden unverzüglich alle Verletzungen des Schutzes von Personendaten, die die Daten des Kunden betreffen, sobald ClubOS davon Kenntnis erlangt. ClubOS unterstützt den Kunden im Rahmen des Zumutbaren bei der Untersuchung und Behebung der Verletzung sowie bei allfälligen datenschutzrechtlichen Meldepflichten oder Datenschutz-Folgenabschätzungen gemäss anwendbarem Recht (inkl. Art. 32 bis 36 DSGVO).
7. Löschung und Rückgabe der Daten
Nach Beendigung des Hauptvertrags (z. B. Löschung des Accounts durch den Vereinsadministrator) löscht ClubOS alle im Auftrag bearbeiteten Personendaten irreversibel, sofern keine gesetzlichen Aufbewahrungspflichten (z. B. aus handels- oder steuerrechtlichen Gründen für Rechnungsdaten) bestehen. Der Kunde ist selbst dafür verantwortlich, seine Vereinsdaten vor der Kündigung aus der Software zu exportieren.
8. Technisch-organisatorische Massnahmen (TOM)
ClubOS setzt folgende Mindeststandards zum Schutz der Daten um:
- Zutritts- und Zugangskontrolle: Daten werden physisch gesichert in ISO 27001-zertifizierten Rechenzentren der Google Cloud (Standort Zürich) gehostet. Der administrative Zugang zu den Servern ist auf befugtes Personal beschränkt und durch starke Passwörter und Mehrfaktor-Authentifizierung (MFA) gesichert.
- Zugriffskontrolle: Die Software verfügt über ein rollenbasiertes Berechtigungssystem. Kundendaten sind logisch strikt voneinander getrennt (Mandantenfähigkeit).
- Weitergabekontrolle / Verschlüsselung: Die Übertragung von Daten zwischen dem Endgerät des Nutzers und den Servern von ClubOS erfolgt ausnahmslos verschlüsselt (mindestens TLS 1.2).
- Verfügbarkeitskontrolle: Es werden regelmässige automatisierte Backups der Datenbanken durchgeführt, um Daten vor versehentlichem Verlust zu schützen.
Stand: März 2026