Auftragsverarbeitungsvertrag

1. Vertragsparteien und Abschluss

Dieser Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO wird zwischen dem bei der Annahme mit Name, ZVR-Nummer und Anschrift bezeichneten Verein als Verantwortlichem (im Folgenden „Verein“) und der flexcode GmbH, Schöffelplatz 1-2/6, 2340 Mödling, Österreich, FN 593722 x, als Auftragsverarbeiterin (im Folgenden „flexcode“) geschlossen.

Kontakt für Weisungen, Datenschutzanfragen und Sicherheitsvorfälle: office@flexcode.at, Telefon +43 699 19523788. Kontakt des Vereins ist die bei der Annahme verwendete E-Mail-Adresse der vertretungsberechtigten Person. Der Verein teilt Änderungen seiner Ansprechpersonen unverzüglich mit.

flexcode bietet diesen Vertrag mit der Bereitstellung der Vereinsregistrierung verbindlich an. Der Verein nimmt das Angebot an, indem seine vertretungsberechtigte Person die dafür vorgesehene, nicht vorausgewählte Checkbox aktiviert und die Vereinsregistrierung oder die ausdrückliche Vertragsannahme für einen bestehenden Verein erfolgreich abschließt. Sie bestätigt dabei ihre Berechtigung, für den Verein zu handeln. Der Abschluss erfolgt elektronisch gemäß Art. 28 Abs. 9 DSGVO.

Vertragsbestandteile sind die nachfolgenden Regelungen sowie Anlage 1 (Verarbeitung), Anlage 2 (technische und organisatorische Maßnahmen) und Anlage 3 (Unterauftragsverarbeiter). Fassung: 28. September 2026 · Version 2026-09-28. Die angenommene Fassung und die bei Abschluss angegebenen Vereins- und Vertretungsdaten werden mit dem Annahmezeitpunkt gespeichert und der Vereinsverwaltung zum Abruf und Download bereitgestellt.

2. Gegenstand, Zweck und Dauer

flexcode verarbeitet personenbezogene Daten im Auftrag des Vereins zur Bereitstellung von PRAE Digital. Der Auftrag umfasst die digitale Erfassung, Verwaltung, automatisierte Betrags- und Vollständigkeitsprüfung sowie Unterzeichnung pauschaler Reiseaufwandsentschädigungen, die Erstellung von Abrechnungsunterlagen, die Vorbereitung von L19-Meldedaten und die damit verbundenen Einladungen und Benachrichtigungen. Art, Umfang und betroffene Personen sind in Anlage 1 festgelegt.

Der Vertrag beginnt mit seinem elektronischen Abschluss und gilt für die Dauer des Nutzungsverhältnisses. Pflichten zum Schutz der Daten gelten bis zur vollständigen Rückgabe oder Löschung fort. Die Pflicht zur Vertraulichkeit besteht auch darüber hinaus.

Dieser Vertrag erfasst die Verarbeitung für Vereinszwecke. Soweit flexcode Daten für eigene Zwecke verarbeitet, etwa zur Verwaltung des Vertrags mit dem Verein, Abrechnung der eigenen Leistungen, Erfüllung eigener gesetzlicher Pflichten oder Absicherung des allgemeinen Websitebetriebs, handelt flexcode eigenverantwortlich. Einzelheiten hierzu enthält die Datenschutzerklärung. Eine Nutzung der im Auftrag verarbeiteten Abrechnungsdaten zu eigenen Werbezwecken oder zum Training eigener KI-Modelle ist nicht Teil des Auftrags und nicht gestattet.

3. Pflichten und Rechte des Vereins

Der Verein entscheidet über die Zwecke und die wesentlichen Mittel der Verarbeitung. Er verantwortet insbesondere die Rechtsgrundlagen, die Information der betroffenen Personen, die Richtigkeit der übermittelten Daten, die Berechtigung zum PRAE-Bezug sowie Aufbewahrungs-, Auszahlungs- und Meldepflichten. Dieser Vertrag ersetzt keine Rechtsgrundlage für die Verarbeitung durch den Verein.

Der Verein erteilt Weisungen, legt Zugriffsberechtigungen fest und entfernt nicht mehr berechtigte Personen. Er beschränkt Eingaben und Freitexte auf die für die Abrechnung erforderlichen Daten, schützt seine Zugangsdaten und informiert flexcode über erkennbare Fehler, unberechtigte Zugriffe oder sonstige Datenschutzverstöße. Er kann die Einhaltung dieses Vertrags nach Ziffer 9 überprüfen.

4. Weisungen und Vertraulichkeit

flexcode verarbeitet die überlassenen Daten ausschließlich auf dokumentierte Weisung des Vereins. Der Vertrag und die bestimmungsgemäßen Eingaben der berechtigten Personen in PRAE Digital bilden die anfänglichen Weisungen. Ergänzende Weisungen, insbesondere zur Berichtigung, Auskunft, Herausgabe oder Löschung, sind über die oben genannte Kontaktadresse zu erteilen. Mündliche Weisungen in dringenden Fällen werden anschließend in Textform bestätigt. flexcode darf die Berechtigung der anweisenden Person prüfen.

Hält flexcode eine Weisung für datenschutzwidrig, informiert flexcode den Verein unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus, soweit dies rechtlich geboten ist. Muss flexcode aufgrund von Unionsrecht oder dem Recht eines Mitgliedstaats abweichend verarbeiten, informiert flexcode den Verein vorab über diese Verpflichtung, sofern das Gesetz eine solche Information nicht zum Schutz eines wichtigen öffentlichen Interesses untersagt.

Nur entsprechend berechtigte und zur Vertraulichkeit verpflichtete oder gesetzlich zur Verschwiegenheit verpflichtete Personen erhalten Zugang zu Vereinsdaten. flexcode weist diese Personen in die für ihre Aufgaben geltenden Datenschutzpflichten ein und beschränkt Zugriffe auf das jeweils Erforderliche. Daten werden ohne Weisung oder gesetzliche Verpflichtung weder offengelegt noch für andere Zwecke genutzt.

5. Sicherheit der Verarbeitung

flexcode verpflichtet sich zu einem dem Risiko angemessenen Schutz nach Art. 32 DSGVO. Die in Anlage 2 vereinbarten technischen und organisatorischen Maßnahmen sind während der Verarbeitung einzuhalten und unter Berücksichtigung des Stands der Technik, der Verarbeitung und der Risiken zu überprüfen.

Maßnahmen dürfen technisch weiterentwickelt oder durch mindestens gleichwertige Maßnahmen ersetzt werden. Das vereinbarte Schutzniveau darf dadurch nicht abgesenkt werden. Wesentliche Änderungen werden dokumentiert und dem Verein auf Anfrage erläutert; Änderungen mit erheblicher Auswirkung auf den Schutz seiner Daten werden ihm vorab mitgeteilt.

6. Unterauftragsverarbeitung

Der Verein genehmigt die in Anlage 3 bezeichneten Unterauftragsverarbeiter für die dort genannten Leistungen. Für künftige Ergänzungen oder Ersetzungen erteilt er eine allgemeine Genehmigung unter den folgenden Bedingungen: flexcode informiert die Vereinsverwaltung mindestens 30 Kalendertage vor dem geplanten Einsatz per E-Mail über Anbieter, Leistung, Verarbeitungsorte und gegebenenfalls Drittlandgarantien. Eine bloße Änderung der Website ersetzt diese Mitteilung nicht.

Der Verein kann innerhalb dieser Frist aus nachvollziehbaren Datenschutzgründen widersprechen. Die Parteien suchen eine datenschutzkonforme Lösung. Bis zur Klärung werden Daten des widersprechenden Vereins nicht an den neu vorgesehenen Anbieter übergeben. Ist keine zumutbare Lösung möglich, kann der Verein die betroffene Leistung vor dem Anbieterwechsel beenden; Ziffer 10 gilt für die Rückgabe und Löschung.

flexcode verpflichtet jeden Unterauftragsverarbeiter vertraglich zu mindestens gleichwertigen, für seine Tätigkeit einschlägigen Datenschutzpflichten, prüft dessen Eignung und bleibt dem Verein gegenüber für die Erfüllung dieser Pflichten verantwortlich. Dies gilt auch für weitere Unterbeauftragungen innerhalb der Leistungskette. flexcode stellt auf Anfrage geeignete Nachweise bereit; schutzwürdige Angaben ohne Bezug zur Prüfung dürfen geschwärzt werden.

7. Verarbeitungsorte und Drittlandübermittlungen

Für Anwendung, Datenbank sowie die in Anlage 3 genannten Speicher-, E-Mail- und Fehlerdiagnosedienste werden Standorte in Deutschland genutzt. Der Sitz einer internationalen Anbietergruppe ist hiervon zu unterscheiden. Ein Standort in Deutschland allein schließt mögliche Zugriffe aus Drittländern, etwa durch Supportpersonal, nicht aus.

Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums, einschließlich eines entsprechenden Fernzugriffs, ist nur auf dokumentierte Weisung des Vereins und unter Einhaltung der Art. 44 ff. DSGVO zulässig. flexcode informiert den Verein vorab über Empfänger, Länder, Zweck und die konkrete Übermittlungsgrundlage. Eine pauschale Zustimmung zur beliebigen weltweiten Verarbeitung wird mit diesem Vertrag nicht erteilt.

Soweit erforderlich, sind geeignete Garantien, insbesondere anwendbare EU-Standardvertragsklauseln, die Bewertung der Übermittlungsrisiken und ergänzende Schutzmaßnahmen sicherzustellen. Ein Angemessenheitsbeschluss darf nur herangezogen werden, soweit er den konkreten Empfänger und die Verarbeitung tatsächlich erfasst. flexcode stellt dem Verein auf Anfrage Nachweise und eine Kopie der maßgeblichen Garantien zur Verfügung.

8. Unterstützung und Datenschutzvorfälle

flexcode unterstützt den Verein durch geeignete technische und organisatorische Maßnahmen bei der Bearbeitung von Betroffenenanfragen, insbesondere zu Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Direkt bei flexcode eingehende Anfragen zu Vereinsdaten werden unverzüglich an den Verein weitergeleitet. Eine inhaltliche Beantwortung erfolgt nur nach dessen Weisung, soweit keine eigene gesetzliche Pflicht besteht.

Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt flexcode den Verein bei den Pflichten nach Art. 32 bis 36 DSGVO. Dazu gehören die Bewertung von Risiken, die Datenschutz-Folgenabschätzung, eine erforderliche vorherige Konsultation der Aufsichtsbehörde und die Bereitstellung relevanter Informationen zu Sicherheitsmaßnahmen und Verarbeitungsvorgängen.

Wird flexcode eine Verletzung des Schutzes personenbezogener Daten des Vereins bekannt, benachrichtigt flexcode die Vereinsverwaltung unverzüglich. Die Erstmeldung darf nicht bis zum Abschluss aller Untersuchungen aufgeschoben werden. Sie enthält die verfügbaren Angaben zur Art des Vorfalls, zu betroffenen Daten und Personen, zu voraussichtlichen Folgen, bereits ergriffenen oder vorgesehenen Gegenmaßnahmen und einer Ansprechperson. Fehlende Angaben werden ohne unangemessene Verzögerung ergänzt.

flexcode dokumentiert den Vorfall, sichert erforderliche Beweise, begrenzt die Auswirkungen und unterstützt den Verein bei der Prüfung und Erfüllung seiner Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO. Die Entscheidung über Meldungen des Vereins an Behörden oder Betroffene verbleibt beim Verein.

9. Nachweise und Kontrollen

flexcode stellt dem Verein alle zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung. Der Verein darf die auftragsbezogene Verarbeitung selbst oder durch eine unabhängige, zur Vertraulichkeit verpflichtete prüfende Person kontrollieren. flexcode ermöglicht und unterstützt diese Prüfungen einschließlich erforderlicher Inspektionen vor Ort.

Die Parteien stimmen Umfang, Termin und Schutzmaßnahmen mit angemessenem Vorlauf ab, soweit nicht ein konkreter Vorfall oder behördliche Anforderungen eine kurzfristige Prüfung erfordern. Die Rechte anderer Kunden und Geschäftsgeheimnisse werden geschützt, ohne das gesetzliche Prüfungsrecht auszuschließen. Geeignete Berichte oder Nachweise können Prüfungen erleichtern, ersetzen ein erforderliches Kontrollrecht aber nicht. flexcode wirkt bei auftragsbezogenen Anfragen der zuständigen Aufsichtsbehörden mit.

10. Rückgabe und Löschung

Nach Ende der Leistung entscheidet der Verein über Rückgabe oder Löschung. Bei ausdrücklicher Beendigung über die Anwendung beauftragt er einen kostenlosen Lese- und Exportzugang für 90 Tage und die anschließende Löschung. Der vollständige Vereinsarchivexport enthält verfügbare PDF-Fassungen, strukturierte Abrechnungsdaten, gespeicherte Ereignisse, Übermittlungsprotokolle und Vertragsnachweise. Er ist unabhängig von Guthaben, offenen Zahlungsfragen und L19-Eignung. Der konkrete Exportablauf wird angezeigt und per E-Mail mitgeteilt; vor Ablauf erfolgt eine Erinnerung.

Eine geplante dauerhafte Diensteinstellung wird mindestens 90 Tage vorher angekündigt. flexcode stellt eine anschließende 90-tägige Exportfrist sicher und holt eine dokumentierte Rückgabe- oder Löschweisung ein. Andere rechtmäßige Weisungen zur Rückgabe, früheren Löschung oder begründeten Verlängerung werden dokumentiert und mit konkreten Fristen umgesetzt. Gesetzliche Aufbewahrungspflichten des Vereins begründen keine eigenständige unbefristete Aufbewahrungsbefugnis von flexcode.

Nach Rückgabe und Ablauf der vereinbarten Frist löscht flexcode verbliebene operative Abrechnungsdaten, Fassungen, Unterschriften und Protokolle nach dokumentierter Weisung, soweit keine eigene gesetzliche Speicherpflicht entgegensteht. Eine solche Pflicht wird dem Verein mit Grundlage und Dauer mitgeteilt; Zugriff und Verwendung werden auf diesen Zweck beschränkt.

Sicherungskopien werden für die reguläre Nutzung gesperrt und spätestens 90 Tage nach der operativen Löschung entfernt. Bei einer Wiederherstellung sind dokumentierte Löschungen vor einer erneuten Freigabe umzusetzen. Der späteste Löschzeitpunkt wird dem Verein konkret mitgeteilt. Die Bestätigung der operativen Löschung und die Bestätigung der Entfernung aus Sicherungskopien werden getrennt dokumentiert. Die Schutzpflichten gelten bis zur vollständigen Löschung fort.

Der Nachweis des Vertragsschlusses darf getrennt von den im Auftrag verarbeiteten Abrechnungsdaten aufbewahrt werden, soweit dies für gesetzliche Nachweiszwecke oder die Geltendmachung oder Abwehr von Rechtsansprüchen erforderlich ist. Auch hierfür gelten Zweckbindung, Zugriffsbeschränkung und Löschung nach Wegfall des Aufbewahrungsgrundes.

11. Schlussbestimmungen

Dieser Vertrag ergänzt den Nutzungsvertrag über PRAE Digital. Bei Widersprüchen zu anderen Vereinbarungen gehen seine Regelungen für die Verarbeitung personenbezogener Daten im Auftrag vor. Die gesetzliche Verantwortlichkeit und die Rechte betroffener Personen, insbesondere nach Art. 82 DSGVO, bleiben unberührt.

Änderungen dieses Vertrags sind zu dokumentieren und bedürfen einer Vereinbarung in schriftlicher oder elektronischer Form. Das bloße Veröffentlichen einer neuen Vertragsfassung ändert bereits geschlossene Verträge nicht. Die Regelungen zu gleichwertigen Sicherheitsmaßnahmen und zu angekündigten Änderungen der Unterauftragsverarbeiter bleiben anwendbar.

Es gilt österreichisches Recht unter Beachtung des unmittelbar anwendbaren Unionsrechts. Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen wirksam; zwingende datenschutzrechtliche Anforderungen bleiben in jedem Fall maßgeblich.

Anlage 1 · Beschreibung der Verarbeitung

Betroffene Personen

Mitglieder und sonstige PRAE-empfangende Personen des Vereins, insbesondere Sportlerinnen und Sportler, Trainerinnen und Trainer, Betreuungspersonen sowie Funktionärinnen, Funktionäre und Personen der Vereinsverwaltung. Dazu können auch Minderjährige gehören.

Datenarten

Namen, E-Mail-Adressen, Vereinszuordnungen und Berechtigungen; Sozialversicherungsnummer oder ersatzweise Geburtsdatum und Wohnanschrift einschließlich Staat; Abrechnungsmonat, Einsatztage, Tätigkeiten, Zweck und Beträge; Erklärungen zur Nebenberuflichkeit und zum Bezug bei anderen Vereinen; Zahlungsart, IBAN, gegebenenfalls BIC und Datum eines Bargeldempfangs; Unterschriftsbilder und Gegenzeichnungen; Einreichungs-, Änderungs- und Bestätigungszeitpunkte sowie zugeordnete handelnde Personen. Hinzu kommen auftragsbezogene Nachrichteninhalte und erforderliche technische Ereignis- und Zustelldaten.

Besondere Daten

Die planmäßige Verarbeitung besonderer Kategorien nach Art. 9 DSGVO und von Daten nach Art. 10 DSGVO ist nicht beauftragt. Insbesondere sollen keine Gesundheitsdaten in Freitexten erfasst werden. Unterschriften werden als Bild zur Dokumentation verwendet, nicht technisch zur biometrischen Identifikation ausgewertet. Eine beabsichtigte Erweiterung auf besondere Datenkategorien erfordert vorab eine gesonderte Vereinbarung über Rechtsgrundlagen und Schutzmaßnahmen.

Verarbeitungsvorgänge

Erheben durch Eingaben und Einladungen, Übertragen, Speichern, Ordnen, Berechnen, Anzeigen, Berichtigen, Dokumentieren, Unterzeichnen, Exportieren, Versenden auftragsbezogener E-Mails, Sichern, Wiederherstellen sowie Löschen. Hinzu kommen erforderlicher technischer Support und Fehleranalyse.

Zweck und Umfang

Fortlaufende Bereitstellung der Vereinsverwaltung und PRAE-Abrechnung während des Nutzungsverhältnisses nach Ziffer 2. Meldedateien werden dem Verein bereitgestellt; der Verein übernimmt die Übermittlung an Behörden und die Auszahlung an Empfangende selbst.

Anlage 2 · Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen bilden das vereinbarte Schutzniveau. flexcode dokumentiert ihre betriebliche Umsetzung und hält entsprechende Nachweise für Kontrollen nach Ziffer 9 bereit.

• Zugang und Berechtigungen: personenbezogene Benutzerkonten, gehashte Passwörter, geschützte Sitzungen und Schutz gegen missbräuchliche Formulareingaben; verfügbare Zwei-Faktor-Authentifizierung. Administrative Zugriffe sind auf beauftragte Personen und erforderliche Aufgaben zu beschränken und bei Wegfall der Berechtigung zu entziehen.
• Trennung der Vereine: anwendungsseitige Prüfung von Vereinszugehörigkeit, Rolle und Eigentümerschaft bei Zugriffen. Vereinsverwaltungen erhalten Zugriff auf ihre Vereine, Empfangende auf ihre eigenen Abrechnungen. Zugriffe auf Daten anderer Vereine sind zu verhindern.
• Übertragung und Speicherung: verschlüsselte HTTPS-Verbindungen für die Anwendung; zugriffsbeschränkte Datenbanken, Speicherdienste und Sicherungen. Private Dateien werden mit berechtigungsgebundenen, zeitlich begrenzten Zugängen bereitgestellt. Geheimnisse und Zugangsschlüssel sind vor unbefugtem Zugriff zu schützen und dürfen nicht öffentlich gespeichert werden.
• Nachvollziehbarkeit und Integrität: Dokumentation wesentlicher Abrechnungsereignisse mit Zeitpunkt und handelnder Person; Prüfung der Eingaben und Berechtigungen. Bei Einreichung übernommene Personenangaben bleiben als Abrechnungsstand erhalten. Vertragsfassung und Zustimmungsnachweis werden getrennt von später veränderbaren Stammdaten gespeichert.
• Verfügbarkeit und Wiederherstellung: regelmäßige Datensicherungen mit beschränktem Zugriff, dokumentierten Aufbewahrungs- und Löschzyklen sowie regelmäßiger Prüfung der Wiederherstellbarkeit. flexcode unterhält Verfahren zur Wiederaufnahme des Betriebs nach technischen Störungen und schützt Sicherungen gegen unbefugte Nutzung.
• Betrieb und Kontrolle: risikogerechte Sicherheitsaktualisierungen, Prüfung relevanter Konfigurationen und Änderungen sowie regelmäßige Bewertung der Wirksamkeit der Schutzmaßnahmen. Entwicklungs- und Testzwecke dürfen keine unnötige Weitergabe produktiver Vereinsdaten verursachen. Protokolle und Fehlerdiagnosedaten sind auf erforderliche Inhalte und Dauer zu begrenzen.
• Organisation und Unterstützung: Vertraulichkeitsverpflichtung und Unterweisung berechtigter Personen, geregelte Weisungs- und Freigabeprozesse sowie dokumentierte Abläufe für Betroffenenanfragen, Datenschutzvorfälle, Auskünfte, sichere Datenrückgabe und Löschung. Der Zugriff im Support erfolgt nur auftragsbezogen und im notwendigen Umfang.
• Physischer Schutz und Dienstleister: Einsatz zugriffsgesicherter Rechenzentren der genehmigten Anbieter; Prüfung und Dokumentation der auftragsbezogenen Zusicherungen und Sicherheitsnachweise dieser Anbieter.

Anlage 3 · Genehmigte Unterauftragsverarbeiter

Die folgenden Anbieter sind für die bezeichneten Teile der Leistung genehmigt. Die angegebenen Standorte beziehen sich auf die für PRAE Digital genutzte Verarbeitung und Speicherung; für etwaige Drittlandzugriffe gilt zusätzlich Ziffer 7.

• Hetzner Online GmbH, Deutschland: Hosting von Anwendung und Datenbank einschließlich der hierzu notwendigen Infrastruktur. Verarbeitungsstandort: Deutschland. Betroffen sind die in Anlage 1 bezeichneten Daten, soweit sie auf der gehosteten Infrastruktur verarbeitet werden. Anbieterangaben.
• Amazon Web Services EMEA SARL, Luxemburg (AWS): S3-Dateispeicher und gegebenenfalls ausgelagerte Sicherungen. Speicherstandort für PRAE Digital: Deutschland. Betroffen sind gespeicherte Dateien, deren Metadaten und bei Datenbanksicherungen die darin enthaltenen Vereinsdaten. Datenschutzinformationen.
• Mailgun Technologies, Inc., USA (Sinch Mailgun): Versand auftragsbezogener Einladungen und Abrechnungsbenachrichtigungen über die EU-Region mit Verarbeitungsstandort Deutschland. Betroffen sind Absender- und Empfängeradressen, Nachrichteninhalte und Zustellinformationen. Datenschutzinformationen.
• Functional Software, Inc., USA (Sentry): technische Fehlerdiagnose und Störungsbehebung über den Standort Deutschland. Betroffen sind technische Ereignisse, Fehlermeldungen und im Fehlerkontext enthaltene personenbezogene Daten; Inhalte sind auf das für die Fehleranalyse erforderliche Maß zu begrenzen. Datenschutzinformationen.

Die Abwicklung von Zahlungen für die eigenen Leistungen von flexcode, insbesondere über Stripe, gehört zur Vertragsabrechnung von flexcode. Ebenso ist die allgemeine Auslieferung öffentlicher Website-Ressourcen, etwa über Cloudflare cdnjs, vom hier beschriebenen Verarbeitungsauftrag zu unterscheiden. Informationen zu diesen Verarbeitungen enthält die Datenschutzerklärung; ihre Nennung erweitert die Genehmigung zur Verarbeitung von Vereinsabrechnungen nicht.