Vereinssoftware auswählen: AV-Vertrag und TOM prüfen

Vor dem Einsatz einer cloudbasierten Vereinssoftware sollte ein Angelverein nicht nur Funktionen und Preis prüfen. Lasst euch den Vertrag zur Auftragsverarbeitung, die beschriebenen technischen und organisatorischen Maßnahmen, Informationen zu Unterauftragnehmern sowie Regeln für Unterstützung, Rückgabe und Löschung vorlegen. Ordnet jedes Dokument eurem konkreten Datenweg zu, notiert offene Punkte und archiviert genau die geprüfte Fassung. Ein vorhandenes PDF ist ein wichtiger Nachweis – aber noch kein Beleg, dass der gesamte Einsatz automatisch datenschutzgerecht organisiert ist.

Titelbild: eigene redaktionelle Grafik. Sie zeigt einen allgemeinen Prüfablauf und weder ein Zertifikat noch eine reale Vertrags- oder Produktoberfläche.

Dieser Leitfaden hilft dem Vorstand, Unterlagen für eine Softwareentscheidung strukturiert zusammenzustellen. Er ist keine Rechtsberatung und bewertet keinen Vertrag abschließend. Bei unklaren Zuständigkeiten, besonderen Datenarten oder internationalen Datenübermittlungen sollte der Verein fachlichen Rat beziehungsweise seine zuständige Datenschutzaufsicht einbeziehen.

1. Klärt zuerst den tatsächlichen Auftrag

Beginnt nicht beim Vertragstext, sondern bei eurem geplanten Ablauf. Beschreibt, welche personenbezogenen Daten die Software für welche Vereinsaufgabe verarbeiten soll. Bei einem Angelverein können das beispielsweise Stammdaten, Kontaktdaten, Beitragsinformationen, Arbeitsdienste, Angelkarten oder Fangmeldungen sein. Ergänzt, wer die Daten eingibt, wer sie sehen soll und welche weiteren Dienste beteiligt sind.

Artikel 28 DSGVO betrifft die Verarbeitung personenbezogener Daten durch einen Auftragsverarbeiter im Auftrag des Verantwortlichen. Der Vertrag muss unter anderem Gegenstand und Dauer, Art und Zweck der Verarbeitung, Daten- und Personenkategorien sowie Rechte und Pflichten des Verantwortlichen festlegen. Quelle: Artikel 28 DSGVO bei EUR-Lex

Eine praktische Auftragsbeschreibung beantwortet daher mindestens:

• Welche Vereinsaufgaben sollen in die Software wechseln?
• Welche Datenarten werden dafür benötigt?
• Welche Personen sind betroffen?
• Welche Funktionen bleiben in anderen Systemen oder auf Papier?
• Wer entscheidet auf Vereinsseite über Zwecke, Zugriffe und Fristen?

Erst mit diesem Bild könnt ihr beurteilen, ob die Vertragsunterlagen euren tatsächlichen Einsatz abdecken. Eine allgemeine Leistungsbeschreibung ersetzt diese Zuordnung nicht.

2. Prüft den AV-Vertrag Punkt für Punkt

Die Stiftung Datenschutz weist darauf hin, dass Vereine ihren Auftragsverarbeiter sorgfältig auswählen und die Vereinbarung prüfen müssen. Sie nennt Cloud-Speicherung, ausgelagerte Administration sowie Wartung von Hard- und Software als typische Beispiele für Auftragsverarbeitung. Quelle: Stiftung Datenschutz – Auftragsverarbeiter auswählen

Legt den AV-Vertrag neben eure Auftragsbeschreibung und sucht nicht nur nach einer Überschrift „Art. 28 DSGVO“. Haltet für folgende Punkte die Fundstelle und offene Fragen fest:

1. Gegenstand, Dauer, Art und Zweck: Passt die Beschreibung zu den geplanten Vereinsprozessen?
2. Daten und betroffene Personen: Sind die tatsächlich vorgesehenen Kategorien nachvollziehbar erfasst?
3. Weisungen und Vertraulichkeit: Wie werden Weisungen dokumentiert und welche Verpflichtungen gelten für eingesetzte Personen?
4. Unterauftragnehmer: Welche weiteren Unternehmen können beteiligt sein und wie wird der Verein über Änderungen informiert?
5. Unterstützung: Wie unterstützt der Anbieter bei Betroffenenrechten, Sicherheitsvorfällen oder erforderlichen Prüfungen?
6. Vertragsende: Was ist für Rückgabe oder Löschung vorgesehen und welche gesetzlichen Pflichten können entgegenstehen?
7. Nachweise und Kontrollen: Welche Informationen stellt der Anbieter zur Verfügung und wie werden Prüfungen geregelt?

Fehlt eine Angabe, bedeutet das nicht automatisch, dass eine Anforderung unerfüllt ist. Markiert sie als „nicht belegt“ und lasst sie vor der Entscheidung schriftlich klären. Mündliche Aussagen in einer Vorführung gehören mit Datum und verantwortlicher Kontaktperson ins Prüfprotokoll.

3. Bewertet TOM als Maßnahmen, nicht als Schlagwörter

Artikel 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau und nennt dafür mögliche Maßnahmen und Prüfbereiche. Welche Maßnahmen angemessen sind, hängt vom konkreten Einsatz und seinen Risiken ab; der Artikel liefert keine universelle Produkt-Checkliste. Quelle: Artikel 32 DSGVO bei EUR-Lex

Die Stiftung Datenschutz betont, dass technische und organisatorische Maßnahmen bereits bei der Auswahl digitaler Werkzeuge berücksichtigt werden müssen. Eine Software, die benötigte Datenschutzfunktionen nicht unterstützt, lässt sich nicht nachträglich durch eine bloße Erklärung reparieren. Quelle: Stiftung Datenschutz – Technische und organisatorische Maßnahmen

Prüft die bereitgestellten TOM deshalb gegen konkrete Situationen statt nur nach Begriffen zu suchen:

• Wie werden Zugänge vergeben, geändert und beim Vorstandswechsel entzogen?
• Wie begrenzt der Verein Zugriffe nach Aufgaben?
• Wie werden Daten bei Übertragung und Speicherung geschützt?
• Welche Sicherungs- und Wiederherstellungsprozesse sind beschrieben?
• Wie werden Verfügbarkeit, Änderungen und Sicherheitsereignisse behandelt?
• In welchem Rhythmus werden Maßnahmen geprüft oder aktualisiert?

Fragt nur nach Nachweisen, die für euren Einsatz relevant sind. Ein Zertifikat kann ein Baustein der Prüfung sein; es ersetzt weder die Zuordnung zu eurem Datenweg noch die eigenen organisatorischen Pflichten des Vereins.

4. Zeichnet Anbieter, Datenorte und Unterauftragnehmer auf

Erstellt eine einfache Datenweg-Tabelle. Eine Zeile kann so aussehen:

Verarbeitung	Daten	Empfänger beziehungsweise Dienst	Verarbeitungsort	Vertragsbeleg	Offene Frage
Mitgliederverwaltung	Stammdaten und Kontakte	Softwareanbieter	laut Unterlage: ___	AV-Vertrag, Abschnitt ___	Unterauftragnehmerliste aktuell?
Vereinskommunikation	Name, E-Mail, Nachricht	Software oder zusätzlicher Versanddienst	laut Unterlage: ___	Anlage ___	getrennte Vereinbarung nötig?
Datensicherung	vorgesehene Systemdaten	Hosting- oder Sicherungsdienst	laut Unterlage: ___	TOM, Punkt ___	Rückgabe nach Vertragsende?

Übernehmt Verarbeitungsorte nicht aus Werbeformulierungen, sondern aus den einschlägigen Vertrags- und Anbieterunterlagen. Wenn Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden könnten, ist eine gesonderte rechtliche Prüfung erforderlich. Die Stiftung Datenschutz beschreibt Drittlandtransfers ausdrücklich als zusätzlichen Prüfbereich bei der Auswahl eines Auftragsverarbeiters. Quelle: Stiftung Datenschutz

5. Testet Auskunft, Export und Vertragsende vor dem Kauf

Vertragsunterlagen und Produktoberfläche sollten denselben Ablauf ermöglichen. Verwendet in einer Testphase ausschließlich fiktive Daten und prüft drei Situationen:

1. Findet und berichtigt einen Testdatensatz über den vorgesehenen Vereinszugang.
2. Exportiert die für euren späteren Wechsel benötigten Daten und öffnet die Datei unabhängig von der Software.
3. Lasst euch erklären, welche Schritte bei Kündigung, Rückgabe und Löschung erfolgen und welche Nachweise vorgesehen sind.

Dokumentiert erwartetes und tatsächliches Ergebnis. „Export vorhanden“ ist erst belastbar, wenn Format, Umfang, Zuordnung und Lesbarkeit für euren Zweck geprüft sind. Der Leitfaden Vereinssoftware im Angelverein wechseln vertieft Testimport, Stichtag und fachliche Abnahme.

6. Baut ein revisionsfähiges Entscheidungsarchiv

Speichert nicht nur den unterschriebenen Hauptvertrag. Ein kleines, zugriffsgeschütztes Entscheidungsarchiv sollte enthalten:

• datierte Anforderungs- und Datenwegübersicht des Vereins;
• geprüften AV-Vertrag einschließlich Anlagen;
• geprüfte TOM-Fassung;
• Liste der Unterauftragnehmer und dokumentierten Verarbeitungsorte;
• Leistungsbeschreibung, Paket und Angebot mit Gültigkeitsdatum;
• Antworten auf offene Fragen und verantwortliche Kontaktpersonen;
• Ergebnis der praktischen Testfälle;
• Vorstandsbeschluss beziehungsweise dokumentierte Entscheidung;
• Termin und zuständige Person für die nächste Überprüfung.

Vergleicht Dokumente über Versionsstand oder Abrufdatum. Die Stiftung Datenschutz empfiehlt, die beim Abschluss geltende Vertragsfassung zu speichern, weil elektronisch bereitgestellte Unterlagen später angepasst werden können. Quelle: Stiftung Datenschutz – Auftragsverarbeiter auswählen

Kopierbare Unterlagen-Checkliste

• Der geplante Datenweg und die Vereinszwecke sind beschrieben.
• AV-Vertrag und Anlagen liegen in einer datierten Fassung vor.
• Gegenstand, Datenkategorien und betroffene Personen passen zum Einsatz.
• Weisungen, Vertraulichkeit und Unterstützung sind auffindbar geregelt.
• Unterauftragnehmer und Änderungsverfahren wurden geprüft.
• TOM wurden an konkreten Vereinssituationen bewertet.
• Verarbeitungsorte und mögliche Drittlandbezüge sind geklärt.
• Export, Rückgabe und Löschung wurden vor Vertragsabschluss besprochen.
• Offene Punkte besitzen Verantwortliche und Klärungstermine.
• Beschluss, Dokumentversionen und nächster Prüftermin sind archiviert.

Angelroute anhand derselben Kriterien prüfen

Angelroute stellt einen öffentlichen Vertrag zur Auftragsverarbeitung bereit. Das belegt die Verfügbarkeit dieses Dokuments, aber weder die rechtliche Eignung für jeden Verein noch die Erfüllung eurer eigenen Pflichten. Speichert die geprüfte Fassung, gleicht sie mit eurem geplanten Einsatz ab und klärt Anlagen sowie offene Punkte vor dem Start.

Die Funktionsübersicht beschreibt die veröffentlichten Produktbereiche. Welche davon in welchem Paket enthalten sind, zeigt die Preisübersicht. Die Referenzen können Fragen für eine Anbieterprüfung liefern, ersetzen aber keine Vertrags- oder Sicherheitsprüfung. Für den laufenden Umgang mit Mitgliederdaten hilft zusätzlich die Datenschutz-Checkliste für Angelvereine.

Nutzt für eure Prüfung eine kostenlose Testanfrage mit fiktiven Daten oder bringt Datenweg und offene Vertragsfragen zu einer Beratung mit. So trennt ihr nachweisbare Unterlagen, praktisch geprüfte Abläufe und noch ungeklärte Annahmen.