Vertrag zur Auftragsverarbeitung

Stand: 1. November 2026 · Drucken oder als PDF speichern

zwischen dem Chor bzw. Verein, der Canta nutzt und vertreten wird durch die Person, die den Chor bei Canta angelegt oder das Abo abgeschlossen hat (nachfolgend „Auftraggeber“),

und Casper Rasch, Borgfelder Heerstraße 48, 28357 Bremen, info@cantachor.de (nachfolgend „Auftragnehmer“).

Dieser Vertrag ist Bestandteil der AGB. Er kommt mit dem Anlegen eines Chors oder dem Abschluss eines Abos zustande, ohne dass es einer Unterschrift bedarf (elektronisches Format nach Art. 28 Abs. 9 DSGVO). Bei Widersprüchen zu den AGB gehen in Fragen des Datenschutzes die Regelungen dieses Vertrags vor.

§ 1 Gegenstand und Dauer

(1)Der Auftragnehmer stellt dem Auftraggeber die Chor-Plattform „Canta“ bereit. Dabei verarbeitet er personenbezogene Daten, für die der Auftraggeber verantwortlich ist, ausschließlich im Auftrag und nach Weisung des Auftraggebers.

(2)Der Vertrag gilt, solange der Auftraggeber Canta nutzt, und endet mit der Löschung der Daten nach § 10.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1)Zweck der Verarbeitung ist die Organisation des Chors: Mitgliederverwaltung, Termine und Rückmeldungen, Noten und Dateien, Teach Tapes, Mitteilungen, Abstimmungen und Umfragen, Üben (einschließlich Übe-Übersicht für die Chorleitung) und die Benachrichtigung der Mitglieder per E-Mail.

(2)Verarbeitet werden folgende Daten und Personengruppen:

(3)Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags. Der Auftraggeber lädt solche Daten nicht hoch, es sei denn, er hat dafür eine eigene Rechtsgrundlage.

(4)Nicht Teil dieses Auftrags sind die Daten, die der Auftragnehmer als eigener Verantwortlicher verarbeitet: Benutzerkonten zur Anmeldung, Vertrags- und Abrechnungsdaten, Website-Protokolle und Umfragen des Canta-Teams. Dafür gilt die Datenschutzerklärung.

(5)Die Verarbeitung findet in Deutschland statt. Eine Übermittlung in Drittländer erfolgt nur im Rahmen von § 6 und Anlage 2.

§ 3 Weisungen

(1)Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber die rechtliche Anforderung vorher mit, sofern das Gesetz dies nicht verbietet.

(2)Weisungen erteilt der Auftraggeber in erster Linie über die Funktionen von Canta (z. B. Anlegen, Ändern und Löschen von Inhalten, Rollenvergabe) und im Übrigen in Textform an info@cantachor.de. Berechtigt sind die Personen mit der Rolle Admin im Chor.

(3)Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.

§ 4 Vertraulichkeit

(1)Der Auftragnehmer erbringt die Leistung derzeit selbst. Setzt er weitere Personen ein, verpflichtet er sie vorher zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2)Der Auftragnehmer nutzt die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, und gibt sie nicht an Dritte weiter, außer an Unterauftragsverarbeiter nach § 6.

§ 5 Sicherheit der Verarbeitung

(1)Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.

(2)Die Maßnahmen entwickeln sich mit dem Stand der Technik weiter. Der Auftragnehmer darf sie anpassen, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er in Anlage 1.

§ 6 Unterauftragsverarbeiter

(1)Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2)Über die Hinzunahme oder den Austausch eines Unterauftragsverarbeiters informiert der Auftragnehmer den Auftraggeber mindestens 30 Tage vorher per E-Mail. Der Auftraggeber kann in dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Auftraggeber den Vertrag zum Zeitpunkt der Änderung kündigen.

(3)Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags. Bei Übermittlungen in Drittländer stellt er die Voraussetzungen der Art. 44 ff. DSGVO sicher.

§ 7 Unterstützung des Auftraggebers

(1)Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Mitteln dabei, Anfragen betroffener Personen zu beantworten (Art. 15 bis 22 DSGVO). Dafür stehen in Canta unter anderem Datenexport und Kontolöschung für Mitglieder sowie das Bearbeiten und Löschen von Inhalten zur Verfügung. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

(2)Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit ihm Informationen dazu vorliegen.

§ 8 Verletzungen des Schutzes personenbezogener Daten

(1)Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, nachdem sie ihm bekannt geworden ist, per E-Mail an die Admins des Chors.

(2)Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Personengruppen und Datenarten mit ungefährer Anzahl, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie eine Kontaktmöglichkeit. Informationen, die noch nicht vorliegen, reicht er nach.

(3)Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Auftraggeber. Der Auftragnehmer unterstützt ihn dabei.

§ 9 Support-Zugriff

(1)Zur Fehlerbehebung und auf Wunsch des Auftraggebers darf der Auftragnehmer den Chor so einsehen, wie dessen Admins ihn sehen („Support-Modus“). Er beschränkt sich dabei auf das, was für den Anlass erforderlich ist.

(2)Jeder Support-Zugriff wird mit Person, Chor und Zeitpunkt protokolliert und ist während des Zugriffs sichtbar. Auf Anfrage teilt der Auftragnehmer dem Auftraggeber mit, wann Support-Zugriffe stattgefunden haben.

§ 10 Rückgabe und Löschung

(1)Während der Laufzeit kann der Auftraggeber Inhalte jederzeit selbst löschen. Auf Wunsch stellt der Auftragnehmer einen Export der Daten des Chors bereit.

(2)Nach Vertragsende hält der Auftragnehmer die Daten höchstens 90 Tage vor, damit der Auftraggeber sie exportieren oder das Abo fortsetzen kann. Danach löscht er alle Daten des Chors einschließlich der hochgeladenen Dateien, auf ausdrücklichen Wunsch des Auftraggebers auch früher.

(3)Aus den täglichen Sicherungskopien verschwinden gelöschte Daten mit deren Ablauf, spätestens nach 30 Tagen. Bis dahin werden sie nur zur Wiederherstellung nach einem Ausfall verwendet.

(4)Gesetzliche Aufbewahrungspflichten des Auftragnehmers (z. B. für Rechnungen) bleiben unberührt. Sie betreffen keine Inhalte des Chors.

§ 11 Nachweise und Kontrollen

(1)Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind.

(2)Der Auftraggeber kann die Einhaltung nach Absprache und mit einer Ankündigung von mindestens 14 Tagen prüfen oder durch eine zur Verschwiegenheit verpflichtete prüfende Person prüfen lassen. Prüfungen finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb und die Daten anderer Chöre nicht beeinträchtigen. Vor-Ort-Prüfungen beim Hosting-Dienstleister richten sich nach dessen Regeln.

§ 12 Pflichten des Auftraggebers

(1)Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er die Daten seiner Mitglieder in Canta speichern darf, und informiert seine Mitglieder nach Art. 13 und 14 DSGVO.

(2)Legt der Auftraggeber Konten für Personen unter 16 Jahren an, holt er die erforderliche Einwilligung der Erziehungsberechtigten ein.

(3)Der Auftraggeber vergibt Rollen im Chor sorgfältig. Admins und Chorleitung haben Zugriff auf die Daten aller Mitglieder ihres Chors.

(4)Stellt der Auftraggeber Fehler oder Unregelmäßigkeiten in Bezug auf den Datenschutz fest, informiert er den Auftragnehmer unverzüglich.

§ 13 Haftung und Schlussbestimmungen

(1)Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregeln der AGB, soweit Art. 82 DSGVO nichts anderes bestimmt.

(2)Änderungen dieses Vertrags teilt der Auftragnehmer mindestens 30 Tage vorher per E-Mail mit. Sie gelten als angenommen, wenn der Auftraggeber nicht widerspricht. Auf diese Folge weist die Mitteilung hin. Bei Widerspruch kann jede Partei den Vertrag zum Zeitpunkt der Änderung kündigen.

(3)Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Beschrieben ist der tatsächliche Stand zum oben genannten Datum.

Vertraulichkeit

• Zutritt: Der Server steht in einem Rechenzentrum der Hetzner Online GmbH in Deutschland (zertifiziert nach ISO/IEC 27001) mit Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal. Der Auftragnehmer hat keinen physischen Zugang.
• Zugang zum Server: Anmeldung nur per SSH-Schlüssel, keine Passwort-Anmeldung für den Administrator; Firewall, die nur Web (80/443) und SSH (22) zulässt; automatische Sperre von Angreifern bei wiederholten Fehlversuchen (fail2ban); automatische Sicherheitsupdates des Betriebssystems.
• Zugang zur Anwendung: Passwörter nur als bcrypt-Hash; Mindestlänge; vorübergehende Kontosperre nach wiederholten Fehlversuchen; Bremsen gegen Massenversuche im Webserver und in der Anwendung; Links zum Zurücksetzen nur als Hash gespeichert und befristet; Anmeldungen lassen sich auf allen Geräten beenden und werden beim Passwortwechsel automatisch beendet.
• Zugriff: Rollenmodell im Chor (Mitglied, Stimmführung, Chorleitung, Admin), bei jeder Anfrage gegen die aktuelle Rolle geprüft; jede Datenbankabfrage ist auf den eigenen Chor beschränkt (Mandantentrennung); Plattform-Zugang nur für den Auftragnehmer; Support-Zugriffe werden protokolliert.
• Dateien: hochgeladene Dateien nur für angemeldete Mitglieder des Chors abrufbar; Dateitypen, die Programmcode ausführen könnten, werden nur zum Herunterladen ausgeliefert.

Integrität

• Übertragung: ausschließlich verschlüsselt (TLS 1.2/1.3, HSTS); E-Mails werden einzeln an jede Person verschickt, Adressen anderer Empfänger sind nicht sichtbar.
• Eingaben: Prüfung aller Eingaben auf dem Server; Schutz-Header gegen das Einschleusen von Code (Content-Security-Policy u. a.); Inhalte in E-Mails werden gefiltert.
• Nachvollziehbarkeit: bei Inhalten wird gespeichert, wer sie angelegt hat; Support-Zugriffe werden protokolliert; Server-Protokolle 14 Tage.

Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung der Datenbank, Aufbewahrung 30 Tage; Wiederherstellung durch den Auftragnehmer möglich.
• Rechenzentrum mit redundanter Strom- und Netzanbindung (Hetzner).
• Prozessüberwachung mit automatischem Neustart der Anwendung.

Überprüfung und Organisation

• Sicherheits- und Datenschutzprüfung der Anwendung und des Servers (zuletzt im November 2026) mit Maßnahmenplan.
• Regelmäßige Aktualisierung der eingesetzten Software und Prüfung auf bekannte Schwachstellen.
• Datenschutz durch Technikgestaltung: keine Tracker, keine externen Skripte oder Schriftarten, Tonhöhen-Auswertung beim Üben nur im Browser, keine Weitergabe zu Werbezwecken.
• Datenträger des Servers sind nicht zusätzlich verschlüsselt; der Schutz erfolgt über die Sicherheit des Rechenzentrums und die Zugangsbeschränkungen oben.

Anlage 2: Unterauftragsverarbeiter

Die Zahlungsabwicklung über Stripe betrifft nur die Vertragsdaten des Auftraggebers und ist daher nicht Teil dieses Auftrags.