Vertrag zur Auftragsverarbeitung

Stand: 31. Oktober 2026 (Version 2026-10-31)

Dieser Vertrag regelt, wie Image Factory e.U., Kernjakstraße 29, 9220 Velden am Wörthersee, Österreich („wir“, Auftragsverarbeiter) personenbezogene Daten im Auftrag eures Vereins („Verein“, Verantwortlicher) verarbeitet, wenn der Verein Sulido nutzt (Art. 28 der Datenschutz-Grundverordnung, DSGVO).

Abschluss: Der Vertrag wird in der App geschlossen – beim Anlegen eines Vereins oder später durch eine Person mit dem Recht „Vereinseinstellungen verwalten“. Wer zustimmt, erklärt, für den Verein handeln zu dürfen. Version, Zeitpunkt und Person speichern wir als Nachweis; der Vertrag liegt damit in elektronischer Form vor (Art. 28 Abs. 9 DSGVO). Diese Seite zeigt den jeweils geltenden Text; frühere Fassungen schicken wir auf Anfrage an support@sulido.at.

1. Gegenstand und Dauer

Wir stellen dem Verein Sulido bereit: die Web-App unter app.sulido.at und die Apps für Android und iOS, mit denen der Verein Mitglieder, Aufgaben, Termine, Sitzungen, Veranstaltungen, Finanzen und Dokumente organisiert. Der Vertrag gilt, solange wir Daten des Vereins verarbeiten – von der Anlage des Vereins bis zur Löschung seiner Daten (Punkt 12).

2. Art und Zweck der Verarbeitung

Wir speichern, ordnen, zeigen an, übermitteln an die vom Verein berechtigten Personen, exportieren und löschen die Daten, die der Verein und seine Nutzer:innen in Sulido eingeben – ausschließlich, um dem Verein Sulido bereitzustellen. Dazu gehören auch Erinnerungen und Benachrichtigungen an Personen des Vereins, Sicherungen und die Fehlersuche. Wir nutzen die Daten nicht für eigene Zwecke, nicht für Werbung und geben sie nicht weiter, außer an die Unterauftragsverarbeiter in Anlage 2.

3. Art der Daten

Stamm- und Kontaktdaten: Name, Anschrift, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Mitgliedsnummer,
Mitgliedschaft: Eintritt, Austritt, Status, Funktionen, Gruppen, Beitragszuordnung,
Mitwirkung: Aufgaben, Zu- und Absagen, Anwesenheiten, Helferschichten, Kommentare, Ideen und Stimmen,
Sitzungen, Beschlüsse und Protokolle,
Finanzdaten: Buchungen, Belege, Mitgliedsbeiträge und Zahlungen, Kontobezeichnungen und IBAN,
Dokumente und Freitexte, die der Verein hochlädt oder schreibt,
Zugangsdaten der Personen mit Konto im Verein, soweit sie dem Verein zugeordnet sind (Rolle, Rechte, Einladungen).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, etwa Gesundheitsdaten) sieht Sulido nicht vor. Trägt der Verein solche Daten in Freitexte oder Dokumente ein, verantwortet er das; wir behandeln sie mit denselben Maßnahmen.

4. Betroffene Personen

Mitglieder und ehemalige Mitglieder, Funktionär:innen, Helfer:innen, Rechnungsprüfer:innen, Personen mit Zugang zum Verein, Kontaktpersonen von Lieferanten und andere Personen, deren Daten der Verein eingibt.

5. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Vereins. Weisungen sind dieser Vertrag, die Nutzung der Funktionen von Sulido durch berechtigte Personen des Vereins (etwa Anlegen, Ändern, Exportieren und Löschen) und Weisungen des Vereins per E-Mail. Halten wir eine Weisung für rechtswidrig, sagen wir das dem Verein sofort. Eine Verarbeitung ohne Weisung erfolgt nur, wenn ein Gesetz uns dazu verpflichtet; dann informieren wir den Verein vorher, soweit das erlaubt ist.

6. Vertraulichkeit

Alle Personen, die bei uns Zugang zu Daten des Vereins haben könnten, sind zur Vertraulichkeit verpflichtet (Datengeheimnis nach § 6 Datenschutzgesetz). Der Kreis dieser Personen ist so klein wie möglich; Zugriffe auf Inhalte des Vereins erfolgen nur, wenn der Verein darum bittet oder es für die Behebung eines Fehlers oder Sicherheitsvorfalls nötig ist.

7. Sicherheit der Verarbeitung

Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

8. Unterauftragsverarbeiter

Der Verein genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Wir verpflichten sie vertraglich auf dieselben Datenschutzpflichten. Neue oder ersetzte Unterauftragsverarbeiter kündigen wir mindestens 30 Tage vorher auf dieser Seite und per E-Mail an die Personen mit dem Recht „Vereinseinstellungen verwalten“ an. Der Verein kann aus wichtigem datenschutzrechtlichem Grund widersprechen; können wir uns nicht einigen, kann er die Nutzung beenden und seine Daten vorher exportieren.

9. Rechte der betroffenen Personen

Der Verein beantwortet Anfragen betroffener Personen. Sulido unterstützt ihn dabei mit Funktionen zum Einsehen, Berichtigen, Exportieren und Löschen von Daten; Mitglieder mit Konto können ihre eigenen Kontaktdaten selbst einsehen und ändern. Erreicht uns eine Anfrage, die Daten des Vereins betrifft, leiten wir sie an den Verein weiter und antworten nur nach seiner Weisung.

10. Unterstützung des Vereins

Wir unterstützen den Verein im nötigen Umfang bei seinen Pflichten zur Sicherheit der Verarbeitung, zur Meldung von Datenschutzverletzungen, zur Datenschutz-Folgenabschätzung und zur vorherigen Konsultation der Datenschutzbehörde (Art. 32 bis 36 DSGVO), insbesondere mit den Informationen auf dieser Seite und auf der Seite Sicherheit.

11. Datenschutzverletzungen

Wird uns eine Verletzung des Schutzes von Daten des Vereins bekannt, informieren wir die Personen mit dem Recht „Vereinseinstellungen verwalten“ unverzüglich, nach Möglichkeit innerhalb von 24 Stunden, mit den bekannten Fakten: was passiert ist, welche Daten und Personen betroffen sind, welche Folgen wahrscheinlich sind und was wir dagegen tun. Neue Erkenntnisse reichen wir nach. Die Meldung an die Datenschutzbehörde und die Information der Betroffenen sind Sache des Vereins; wir unterstützen ihn dabei.

12. Ende des Vertrags: Rückgabe und Löschung

Der Verein kann seine Daten jederzeit exportieren, auch nach dem Ende einer Testphase oder eines Abos im Nur-Lesen-Modus. Nach dem Ende der Nutzung löschen wir die Daten des Vereins auf seinen Wunsch an support@sulido.at. Eine automatische Löschung nach festen Fristen ist derzeit nicht aktiv; bevor wir sie einführen, legen wir die Fristen auf der Seite Sicherheit fest und kündigen sie rechtzeitig an. Daten in Sicherungen werden mit dem Ablauf der Sicherungen gelöscht. Gesetzliche Aufbewahrungspflichten des Vereins (etwa für Belege) erfüllt der Verein mit seinem Export.

13. Nachweise und Kontrollen

Wir stellen dem Verein auf Anfrage die Informationen zur Verfügung, die er zum Nachweis der Einhaltung dieses Vertrags braucht. Kontrollen vor Ort durch den Verein oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer sind nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten möglich, soweit sie den Betrieb nicht unverhältnismäßig stören.

14. Pflichten des Vereins

Der Verein ist dafür verantwortlich, dass er die Daten rechtmäßig verarbeiten darf, dass er seine Mitglieder über die Verarbeitung informiert und dass er nur die Daten eingibt, die er für die Vereinsarbeit braucht. Er vergibt Rollen und Rechte so, dass jede Person nur sieht, was sie braucht, und entzieht Zugänge, die nicht mehr gebraucht werden.

15. Übermittlung in Drittländer

Die Daten des Vereins werden in der Europäischen Union gespeichert (Anlage 2). Greifen Unterauftragsverarbeiter für Betrieb und Support aus Drittländern darauf zu, geschieht das auf Grundlage der Standardvertragsklauseln der EU-Kommission oder eines Angemessenheitsbeschlusses.

16. Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Übrigen gelten die Vereinbarungen zur Nutzung von Sulido.

17. Schlussbestimmungen

Es gilt österreichisches Recht. Änderungen dieses Vertrags kündigen wir an; sie gelten, sobald eine berechtigte Person des Vereins der neuen Version in der App zustimmt. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag gültig. Bei Widersprüchen geht dieser Vertrag anderen Vereinbarungen zum Datenschutz vor.

Anlage 1: Technische und organisatorische Maßnahmen

Trennung der Vereine: Jeder Datensatz gehört genau einem Verein; die Datenbank prüft bei jedem Zugriff Verein, Rolle und Recht. Automatische Tests prüfen, dass kein Verein Daten eines anderen sieht.
Rollen und Rechte: Der Verein legt fest, wer was sieht und ändern darf; Zugänge lassen sich befristen, sperren und entziehen.
Speicherort: Datenbank und Dateien liegen in einem Rechenzentrum in Frankfurt am Main (Deutschland).
Verschlüsselung: Übertragung ausschließlich verschlüsselt (HTTPS/TLS); gespeicherte Daten und Sicherungen werden beim Hosting-Anbieter verschlüsselt abgelegt.
Sicherungen: tägliche Sicherung der Datenbank, die sieben Tage aufbewahrt wird.
Anmeldung: Passwörter mit mindestens zehn Zeichen, Prüfung gegen bekannte, bereits geleakte Passwörter, Sicherheitsprüfung gegen automatisierte Angriffe, Begrenzung wiederholter Versuche.
Dateien: privat gespeichert, ohne öffentliche Links; Abruf nur über eine Prüfung der Rechte; Größe und Dateitypen begrenzt.
Änderungsprotokoll: wichtige Änderungen werden im Verein protokolliert; die Einträge sind gegen nachträgliche Änderung geschützt.
Unser Zugang: unser interner Verwaltungsbereich ist nur mit Anmeldung in zwei Schritten erreichbar, zeigt keine Inhalte des Vereins und protokolliert jede Aktion.
Datensparsamkeit: keine Werbe- oder Analyse-Dienste von Dritten; eine Nutzungsstatistik gibt es nur nach Einwilligung und ohne Inhalte.
Prüfung: automatisierte Sicherheitstests vor jeder Auslieferung und regelmäßige Sicherheitsüberprüfungen der Datenbankregeln.
Organisation: kleiner, namentlich bekannter Kreis von Personen mit Zugang zum Betrieb, zur Vertraulichkeit verpflichtet.

Anlage 2: Unterauftragsverarbeiter

Supabase Pte. Ltd. (Singapur) mit Amazon Web Services als Rechenzentrum, Region Frankfurt am Main (Deutschland): Datenbank, Dateien, Anmeldung und Server-Funktionen. Zugriffe für Betrieb und Support aus Drittländern auf Grundlage der Standardvertragsklauseln.
Sendinblue SAS (Brevo), 106 boulevard Haussmann, 75008 Paris, Frankreich: Versand von E-Mails, darunter Anmelde-E-Mails sowie Erinnerungen und Hinweise aus dem Verein an Personen mit Konto (etwa zu fälligen Aufgaben).
Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland, Server in Nürnberg: Auslieferung der Web-App; Zugriffsprotokolle mit gekürzter IP-Adresse, nach spätestens etwa zwei Wochen gelöscht.

Für die Sicherheitsprüfung bei der Anmeldung nutzen wir Cloudflare Turnstile; dabei werden keine Daten des Vereins verarbeitet (siehe Datenschutzerklärung).

Fragen

Bei Fragen zu diesem Vertrag schreibt uns an support@sulido.at.