Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Fassung 1.0, Stand 11.08.2026

Dieser Vertrag gilt zwischen der Waldgenossenschaft als Verantwortlicher und dem Betreiber dieser Website als Auftragsverarbeiter. Er kommt zustande, sobald die Genossenschaft ihm bei der Registrierung oder in ihrem Konto zustimmt. Die Zustimmung wird mit Datum und Fassungsnummer festgehalten und ist damit in einem elektronischen Format im Sinne des Art. 28 Abs. 9 DSGVO dokumentiert.

Er betrifft ausschliesslich den Bereich Waldgenossenschaften. Für alle übrigen Angebote dieser Website sind wir selbst Verantwortlicher, dort gilt unsere Datenschutzerklärung.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die die Genossenschaft im Bereich Waldgenossenschaften einstellt oder einstellen lässt, um den gemeinsamen Einkauf ihrer Mitglieder abzuwickeln. Der Vertrag läuft, solange das Konto der Genossenschaft besteht. Er endet mit dessen Löschung.

2. Art und Zweck der Verarbeitung

Zweck. Bedarf der Mitglieder erfassen, Ausschreibungen an Lieferanten versenden, Angebote entgegennehmen und vergleichen, Sammelbestellungen auslösen, deren Versand begleiten und die Daten auf Anforderung an die Warenwirtschaft der Genossenschaft übergeben.

Art der Daten. Name und Firma, Anschrift, Postleitzahl und Ort, E-Mail-Adresse, Telefonnummer, Bestellmengen und Bestellwerte, Angebots- und Konditionsdaten wie Preise, Fracht, Zahlungsziel und Skonto, Artikel- und Preislisten, Zugangskennungen für die Portale ohne Benutzerkonto sowie hochgeladene Unterlagen als PDF oder Bild.

Kategorien betroffener Personen. Mitglieder der Genossenschaft, Ansprechpartner eingeladener Lieferanten und Hersteller sowie Beschäftigte der Genossenschaft.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags und dürfen im Bereich Waldgenossenschaften nicht eingestellt werden.

3. Weisungsgebundenheit

Wir verarbeiten die Daten ausschliesslich auf dokumentierte Weisung der Genossenschaft. Als Weisung gilt auch die Nutzung der bereitgestellten Funktionen im üblichen Umfang. Weitergehende Weisungen bedürfen der Textform. Halten wir eine Weisung für rechtswidrig, teilen wir das mit und dürfen ihre Ausführung aussetzen.

Eine Übermittlung in ein Drittland findet nicht statt, ausser die Genossenschaft weist sie an oder wir sind rechtlich dazu verpflichtet. In diesem Fall teilen wir die rechtliche Verpflichtung vorher mit, sofern das Recht dies nicht verbietet.

4. Vertraulichkeit

Alle Personen, die diese Daten verarbeiten können, sind zur Vertraulichkeit verpflichtet. Der Zugriff ist auf die Personen beschränkt, die ihn zur Erfüllung des Vertrags benötigen.

5. Sicherheit der Verarbeitung

Wir treffen die in Anlage 1 beschriebenen technischen und organisatorischen Massnahmen nach Art. 32 DSGVO. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

Die Genossenschaft erteilt die allgemeine Genehmigung zur Beauftragung der in Anlage 2 genannten Unterauftragsverarbeiter. Wir verpflichten sie auf dieselben Datenschutzpflichten, die uns aus diesem Vertrag treffen.

Wir teilen jeden beabsichtigten Wechsel und jede Hinzunahme vorher mit. Die Genossenschaft kann innerhalb von vier Wochen aus wichtigem, datenschutzrechtlichem Grund widersprechen. Widerspricht sie, kann jede Seite den Vertrag mit einer Frist von vier Wochen kündigen.

7. Unterstützung bei den Rechten betroffener Personen

Wir unterstützen die Genossenschaft mit geeigneten Massnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen. Wendet sich eine betroffene Person unmittelbar an uns, leiten wir den Antrag unverzüglich an die Genossenschaft weiter.

Wo die Daten ausschliesslich bei uns liegen und die Genossenschaft sie nicht selbst löschen kann, führen wir Löschung oder Anonymisierung auf Anforderung durch. Ist ein Anliegen ohne Rückfrage eindeutig erfüllbar, dürfen wir es unmittelbar erledigen und die Genossenschaft anschliessend unterrichten.

8. Unterstützung bei Sicherheit, Meldepflichten und Folgenabschätzung

Wir unterstützen die Genossenschaft bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen an die Aufsichtsbehörde und der Benachrichtigung betroffener Personen sowie bei einer Datenschutz-Folgenabschätzung.

Eine Verletzung des Schutzes personenbezogener Daten melden wir der Genossenschaft unverzüglich nach Bekanntwerden mit den uns vorliegenden Angaben. Die Meldung an die Aufsichtsbehörde obliegt der Genossenschaft.

9. Löschung und Rückgabe nach Ende der Verarbeitung

Nach Ende des Vertrags löschen wir die im Auftrag verarbeiteten Daten. Auf Wunsch geben wir sie vorher in einem gängigen Format heraus. Der Wunsch ist vor der Löschung des Kontos mitzuteilen.

Ausgenommen sind Daten, die wir nach gesetzlichen Vorschriften aufbewahren müssen, insbesondere Belege nach § 147 AO. Diese werden gesperrt und nicht weiter im Auftrag verarbeitet.

Ergänzend gelten die in der Datenschutzerklärung genannten Fristen. Bei einer Einladung, auf die nie ein Angebot abgegeben wurde, entfernen wir die E-Mail-Adresse nach 180 Tagen automatisch.

10. Nachweise und Überprüfungen

Wir stellen der Genossenschaft auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglichen Überprüfungen. Überprüfungen sind mit angemessener Frist anzukündigen, auf das Erforderliche zu beschränken und dürfen den Betrieb nicht unangemessen stören. Nachweise können auch durch aussagekräftige Unterlagen oder Zertifikate erbracht werden.

11. Ort der Verarbeitung

Die Verarbeitung findet in der Bundesrepublik Deutschland statt. Der Serverstandort ergibt sich aus Anlage 2.

12. Schlussbestimmungen

Widersprechen sich dieser Vertrag und andere Vereinbarungen zwischen den Parteien, gehen die Regelungen dieses Vertrags in Fragen des Datenschutzes vor. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. Es gilt das Recht der Bundesrepublik Deutschland.

Änderungen dieses Vertrags teilen wir mit einer neuen Fassungsnummer mit. Sie werden wirksam, sobald die Genossenschaft der neuen Fassung zustimmt.

Anlage 1 — Technische und organisatorische Massnahmen

Massnahmen nach Art. 32 DSGVO, Stand der Fassung dieses Vertrags.

Vertraulichkeit

• Zugangskontrolle. Passwörter werden nur als Hash gespeichert. Für Konten steht eine Zwei-Faktor-Anmeldung bereit, das Geheimnis liegt verschlüsselt.
• Zugriffskontrolle. Rollen- und Rechteprüfung bei jedem Aufruf. Jede Abfrage im Bereich Waldgenossenschaften ist an die Kennung der Genossenschaft gebunden, sodass Mandanten getrennt bleiben.
• Zugang ohne Benutzerkonto. Mitglieder und eingeladene Lieferanten erreichen ihren Vorgang nur über eine 64-stellige Zufallskennung. Diese Seiten sind von Suchmaschinen ausgenommen und in keiner Seitenübersicht verzeichnet.
• Übertragung. Alle Aufrufe laufen verschlüsselt über TLS.
• Trennung. Ein eingeladener Lieferant sieht nur die Ausschreibung, zu der er eingeladen wurde, und sein eigenes Angebot, nicht die Angebote der Mitbewerber.

Integrität

• Datenbankzugriffe ausschliesslich über vorbereitete Anweisungen, dadurch kein Einschleusen von Befehlen.
• Schutz vor seitenübergreifenden Anfragen bei allen schreibenden Formularen.
• Hochgeladene Dateien werden auf Typ und Grösse geprüft, unter einem Zufallsnamen abgelegt, das Verzeichnis führt keine Auflistung und führt keinen Code aus.
• Protokollierung sicherheitsrelevanter Vorgänge wie Anmeldungen und Änderungen durch Verwaltende.

Verfügbarkeit und Belastbarkeit

• Tägliche Datensicherung mit rollierender Aufbewahrung, Ablage ausserhalb des öffentlichen Verzeichnisses.
• Überwachung der geplanten Hintergrundaufgaben, ausbleibende Läufe werden als überfällig gemeldet.

Verfahren zur Überprüfung und Bewertung

• Auskunft und Löschung laufen über eine einzige, zentrale Stelle im Programmcode, damit kein Bereich vergessen wird.
• Datensparsamkeit durch automatische Fristen, insbesondere Anonymisierung von Adressdaten ohne fortbestehenden Zweck.
• Inhalte Dritter wie Karten oder Videos werden erst nach ausdrücklichem Klick geladen, es gibt keine Einbindung von Zählpixeln oder externen Schriftarten.

Anlage 2 — Unterauftragsverarbeiter

Weitere Dienstleister verarbeiten die im Auftrag erhobenen Daten nicht. Zahlungsdienstleister und Buchhaltung berühren ausschliesslich unsere eigene Vertragsbeziehung zur Genossenschaft, nicht die Daten ihrer Mitglieder und Lieferanten.

Die Übergabe an die Warenwirtschaft der Genossenschaft ist kein Unterauftragsverhältnis. Empfänger ist dort die Genossenschaft selbst.

Fragen

Anfragen zu diesem Vertrag richten Sie bitte an die im Impressum genannte Adresse mit dem Stichwort Auftragsverarbeitung.

Hinweis: Dieser Text wurde fachlich erstellt und ist keine Rechtsberatung.