Vertrag über die Auftragsverarbeitung (AVV) nach Art. 28 DSGVO – Federschau

Stand 21.10.2026.

Dieser Vertrag gilt einheitlich für alle Vereine, die Federschau nutzen. Er wird bei der Registrierung des Vereinskontos elektronisch abgeschlossen (Art. 28 Abs. 9 DSGVO) und ist im Vereinskonto jederzeit abrufbar.

zwischen dem Verein, der bei der Registrierung des Vereinskontos angegeben ist, vertreten durch die dort genannte vertretungsberechtigte Person – nachfolgend „Verantwortlicher" –

und Tobias Robrahn, Baykus Solutions, Carlower Str. 8, 19217 Carlow – nachfolgend „Auftragsverarbeiter".

Inhaltsübersicht

• § 1 Gegenstand, Abgrenzung und Dauer
• § 2 Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen
• § 3 Weisungsgebundenheit
• § 4 Vertraulichkeit und Pflichten des Auftragsverarbeiters
• § 5 Technische und organisatorische Maßnahmen
• § 6 Unterauftragsverarbeiter
• § 7 Unterstützung des Verantwortlichen
• § 8 Meldung von Verletzungen des Schutzes personenbezogener Daten
• § 9 Nachweise und Kontrollrechte
• § 10 Löschung und Rückgabe nach Vertragsende
• § 11 Haftung
• § 12 Drittlandübermittlung
• § 13 Schlussbestimmungen
• Anlage 1 – Verarbeitungsbeschreibung
• Anlage 2 – Technische und organisatorische Maßnahmen
• Anlage 3 – Unterauftragsverarbeiter
• Anlage 4 – Weisungsberechtigte und Ansprechpartner

§ 1 Gegenstand, Abgrenzung und Dauer

(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen bei der Bereitstellung der Plattform „Federschau" nach dem Nutzungsvertrag auf Grundlage der AGB (Hauptvertrag).

(2) Dieser Vertrag gilt für die Verarbeitungen nach § 16 Abs. 2 der AGB, also für Daten im Rahmen der Ausstellungen des Verantwortlichen. Er gilt nicht für Verarbeitungen, für die der Auftragsverarbeiter nach § 16 Abs. 3 der AGB selbst Verantwortlicher ist.

(3) Die Dauer dieses Vertrages entspricht der Dauer des Hauptvertrages. Pflichten nach § 10 und § 11 bestehen über das Vertragsende hinaus fort.

§ 2 Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen

(1) Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums statt. Eine Verarbeitung in einem Drittland ist nur nach § 12 zulässig.

§ 3 Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats hierzu verpflichtet. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(2) Die Weisungen werden anfänglich durch den Hauptvertrag, diesen Vertrag und die Leistungsbeschreibung festgelegt. Einstellungen, die der Verantwortliche in seinem Vereinskonto vornimmt, gelten als Weisungen. Weitere Weisungen erteilen die in Anlage 4 benannten Personen in Textform.

(3) Der Verantwortliche weist den Auftragsverarbeiter an, die Ergebnisse seiner Ausstellungen den jeweils betroffenen Ausstellern in deren Ausstellerkonto anzuzeigen. Er ist damit einverstanden, dass der Auftragsverarbeiter diese Ergebnisse in die vereinsübergreifende Ergebnishistorie der Aussteller übernimmt, die er in eigener Verantwortung bereitstellt (§ 16 Abs. 3 lit. e AGB).

(4) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung der Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

(5) Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, werden als Antrag auf Leistungsänderung behandelt. Ein dadurch entstehender Mehraufwand wird nach vorheriger Vereinbarung angemessen vergütet.

§ 4 Vertraulichkeit und Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Diese Pflicht besteht über das Ende der Tätigkeit hinaus fort.

(2) Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

(3) Ein Datenschutzbeauftragter ist nicht benannt, weil die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nicht vorliegen. Ansprechpartner für Datenschutzfragen ist Tobias Robrahn, Tobias.Robrahn@gmail.com.

(4) Der Auftragsverarbeiter verarbeitet die Daten nicht für eigene Zwecke, soweit dieser Vertrag nichts anderes bestimmt. Kopien werden nur erstellt, soweit sie für die Leistungserbringung oder Datensicherung erforderlich sind.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen Maßnahmen. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen ergeben sich aus Anlage 2.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen in Textform mit.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO, die in Anlage 3 aufgeführten Unterauftragsverarbeiter einzusetzen.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor Wirksamwerden in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb von drei Wochen nach Zugang aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Ein solcher Grund liegt insbesondere vor bei einer Verarbeitung in einem Drittland ohne geeignete Garantien oder bei unzureichenden technischen und organisatorischen Maßnahmen.

(3) Kann der Auftragsverarbeiter einem berechtigten Widerspruch nicht durch zumutbare Maßnahmen abhelfen, kann jede Partei den Hauptvertrag und diesen Vertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen. Ein im Voraus gezahltes Entgelt wird anteilig erstattet.

(4) Ist ein sofortiger Wechsel zur Abwehr einer akuten Gefahr für die Sicherheit der Daten erforderlich, darf der Auftragsverarbeiter abweichend von Abs. 2 sofort wechseln. Er informiert den Verantwortlichen unverzüglich; das Widerspruchsrecht nach Abs. 2 und 3 gilt entsprechend.

(5) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.

(6) Keine Unterauftragsverarbeitung im Sinne dieses Vertrages sind Leistungen, die der Auftragsverarbeiter als reine Nebenleistung in Anspruch nimmt, etwa Telekommunikations- und Postdienste, solange dabei kein Zugriff auf die Daten des Verantwortlichen besteht. Der Zahlungsdienstleister Stripe ist kein Unterauftragsverarbeiter für die Daten nach § 1 Abs. 2; er wird bei der Meldegeldabwicklung als eigener Verantwortlicher tätig (§ 16 Abs. 5 AGB).

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen nach Art. 12 bis 22 DSGVO. Hierzu stellt die Plattform insbesondere Funktionen zur Auskunft, zum Export, zur Berichtigung und zur Löschung bereit.

(2) Wendet sich eine betroffene Person mit einem Anliegen zu Daten nach § 1 Abs. 2 an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter. Er beantwortet die Anfrage nicht selbst, es sei denn, der Verantwortliche weist ihn dazu an.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde.

(4) Unterstützungsleistungen, die über die Funktionen der Plattform und einen geringfügigen Aufwand hinausgehen und nicht durch eine Pflichtverletzung des Auftragsverarbeiters veranlasst sind, werden nach vorheriger Vereinbarung angemessen vergütet.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten nach § 1 Abs. 2 unverzüglich, nach Möglichkeit innerhalb von 24 Stunden und spätestens innerhalb von 48 Stunden nach Kenntniserlangung.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen. Informationen, die noch nicht vorliegen, reicht der Auftragsverarbeiter unverzüglich nach.

(3) Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen. Er dokumentiert die Verletzung und die getroffenen Maßnahmen.

(4) Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen nach Art. 33, 34 DSGVO nimmt der Verantwortliche vor. Der Auftragsverarbeiter gibt im Namen des Verantwortlichen keine solchen Erklärungen ab, es sei denn, der Verantwortliche weist ihn dazu an. Eigene Meldepflichten des Auftragsverarbeiters, etwa für Daten nach § 16 Abs. 3 der AGB, bleiben unberührt.

§ 9 Nachweise und Kontrollrechte

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).

(2) Der Nachweis erfolgt vorrangig durch eine aktuelle Dokumentation der technischen und organisatorischen Maßnahmen, schriftliche Selbstauskünfte und Nachweise der Unterauftragsverarbeiter, etwa Zertifizierungen nach ISO/IEC 27001.

(3) Reichen diese Nachweise im Einzelfall nicht aus, kann der Verantwortliche eine Überprüfung vor Ort durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Die Prüfung ist mindestens vier Wochen vorher anzukündigen, findet während der üblichen Geschäftszeiten statt und soll ohne besonderen Anlass nicht häufiger als einmal im Kalenderjahr erfolgen. Ein Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein.

(4) Jede Partei trägt ihre eigenen Kosten der Prüfung. Ergibt die Prüfung einen wesentlichen Verstoß des Auftragsverarbeiters, trägt dieser die angemessenen Prüfkosten.

(5) Rechte der Aufsichtsbehörde bleiben unberührt.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Nach Ende des Hauptvertrages stellt der Auftragsverarbeiter dem Verantwortlichen die Daten nach § 1 Abs. 2 für 30 Tage zum Export in einem gängigen, maschinenlesbaren Format bereit (Rückgabe). Danach löscht er sie innerhalb von 60 Tagen, soweit nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Dasselbe gilt, wenn der Verantwortliche sein Vereinskonto während der Vertragslaufzeit löscht.

(2) Die Löschung kann durch Anonymisierung erfolgen. Eine Anonymisierung liegt nur vor, wenn alle direkten und indirekten Identifikatoren entfernt sind, insbesondere Namen, Anschriften, Kontaktdaten, Tierhalter- und Registriernummern, Ring- und Kennzeichnungsnummern, Freitexte, IP-Adressen sowie Zahlungsreferenzen beim Zahlungsdienstleister, und eine Wiederherstellung des Personenbezugs mit vertretbarem Aufwand nicht möglich ist. Die Einzelheiten regelt das Löschkonzept in Anlage 2.

(3) Daten in Datensicherungen werden im Rahmen der regulären Rotation nach Anlage 2 überschrieben. Bis dahin sind sie gegen jede weitere Verarbeitung gesperrt; eine Wiederherstellung erfolgt nur, soweit sie für andere, nicht gelöschte Daten erforderlich ist, und die gelöschten Daten werden danach erneut gelöscht.

(4) Der Auftragsverarbeiter bestätigt die Löschung auf Verlangen in Textform.

(5) Unterlagen, die der Auftragsverarbeiter zum Nachweis der ordnungsgemäßen Auftragsverarbeitung benötigt, bewahrt er nach den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus auf. Eigene Buchungsbelege des Auftragsverarbeiters, insbesondere zum Vereinsabo und zu eigenen Gebühren, sind keine Daten nach § 1 Abs. 2.

§ 11 Haftung

(1) Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO und wird durch diesen Vertrag nicht beschränkt.

(2) Im Verhältnis zwischen den Parteien haftet der Auftragsverarbeiter nur für Schäden, die darauf beruhen, dass er seinen ihm speziell als Auftragsverarbeiter auferlegten Pflichten aus der DSGVO oder diesem Vertrag nicht nachgekommen ist oder unter Nichtbeachtung oder gegen rechtmäßige Weisungen des Verantwortlichen gehandelt hat (Art. 82 Abs. 2 Satz 2 DSGVO). Wurde ein Schaden gemeinsam verursacht, erfolgt der Ausgleich nach dem Anteil der jeweiligen Verantwortung (Art. 82 Abs. 5 DSGVO).

(3) Für den Ausgleich nach Abs. 2 gelten die Haftungsregeln des § 18 Abs. 1 lit. a bis d und Abs. 2 bis 4 der AGB. Bei Vorsatz und grober Fahrlässigkeit haftet der Auftragsverarbeiter unbeschränkt.

(4) Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen Dritter frei, soweit diese darauf beruhen, dass der Verantwortliche seine Pflichten verletzt hat, insbesondere durch eine rechtswidrige Weisung, eine fehlende Rechtsgrundlage für die Verarbeitung oder eine unterlassene Information der betroffenen Personen.

(5) Geldbußen nach Art. 83 DSGVO trägt jede Partei selbst, soweit sie gegen sie verhängt werden.

(6) Der Auftragsverarbeiter unterhält für die Dauer dieses Vertrages eine Haftpflichtversicherung in angemessener Höhe, die Vermögensschäden aus Verletzungen des Datenschutzes einschließt, und weist sie dem Verantwortlichen auf Verlangen nach.

§ 12 Drittlandübermittlung

Eine Verarbeitung oder Übermittlung in ein Land außerhalb der EU oder des EWR erfolgt derzeit nicht. Sie ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind und der Verantwortliche nach § 6 Abs. 2 informiert wurde.

§ 13 Schlussbestimmungen

(1) Bei Widersprüchen geht dieser Vertrag in allen datenschutzrechtlichen Fragen dem Hauptvertrag und den AGB vor.

(2) Dieser Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Der Auftragsverarbeiter stellt ihn dem Verantwortlichen im Vereinskonto in der jeweils vereinbarten Fassung zum Abruf und Download bereit.

(3) Änderungen und Ergänzungen bedürfen der Textform. Für Änderungen dieses Vertrages gilt § 21 Abs. 2 der AGB entsprechend, soweit sie keine Hauptpflichten betreffen und datenschutzrechtlich erforderlich sind.

(4) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An ihre Stelle tritt die gesetzliche Regelung, insbesondere Art. 28 DSGVO.

(5) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand richtet sich nach § 41 der AGB.

(6) Anlagen: Anlage 1 (Verarbeitungsbeschreibung), Anlage 2 (Technische und organisatorische Maßnahmen, Löschkonzept), Anlage 3 (Unterauftragsverarbeiter), Anlage 4 (Weisungsberechtigte und Ansprechpartner).

Anlage 1 – Verarbeitungsbeschreibung

Punkt	Inhalt
Zweck	Vorbereitung, Durchführung und Nachbereitung von Rassegeflügel-Ausstellungen des Verantwortlichen: Meldung, Katalog, Käfigplan, Bewertung, Ehrenpreise, Ergebnislisten, Abrechnung der Meldegelder gegenüber Ausstellern
Art der Verarbeitung	Erheben, Erfassen, Speichern, Ordnen, Anpassen, Auslesen, Abfragen, Abgleichen, Offenlegen durch Bereitstellung an berechtigte Nutzer, Erzeugen von PDF-Ausgaben, Versand transaktionaler E-Mails, Löschen und Anonymisieren
Betroffene Personen	Aussteller (Züchter, einschließlich Jugendzüchter), Preisrichter, Helfer und Funktionsträger des Vereins, Nutzer des Vereinskontos, Ehrenpreis-Stifter
Stammdaten	Vor- und Nachname, Anschrift, E-Mail-Adresse, Telefonnummer, Vereinszugehörigkeit, Tierhalter-Registriernummer (Veterinärnummer)
Meldedaten	Gemeldete Tiere (Rasse, Farbenschlag, Geschlecht, Alter, Ringnummer), Meldezeitpunkt, Katalog- und Käfignummern, Meldegeldbetrag und Zahlungsstatus
Bewertungsdaten	Bewertungen, Punktzahlen, Noten, Ehrenpreise, Preisrichterzuordnung
Stifterdaten	Name, Ort, gestifteter Preis
Nutzungs- und Protokolldaten	Zeitpunkte und Urheber von Änderungen im Vereinskonto, Zustellstatus von E-Mails
Besondere Kategorien (Art. 9 DSGVO)	Werden nicht verarbeitet
Ort der Verarbeitung	Deutschland (Hosting bei der STRATO AG, Berlin); E-Mail-Versand in der AWS-Region Frankfurt am Main

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Bereich	Maßnahmen
Zutrittskontrolle	Server im Rechenzentrum der STRATO AG in Deutschland; physische Sicherung durch den Rechenzentrumsbetreiber nach dessen Sicherheitskonzept
Zugangskontrolle	Anmeldung nur mit persönlichem Konto; Zwei-Faktor-Authentifizierung für Administrationskonten; Passwörter werden ausschließlich als Hash mit Salt gespeichert
Zugriffskontrolle	Rollenmodell im Vereinskonto (Administrator, Verantwortlicher, Leser); Mandantentrennung; administrativer Serverzugang nur für den Betreiber per Schlüsselauthentifizierung
Trennungskontrolle	Logische Trennung der Mandanten über eine Mandantenkennung; getrennte Test- und Produktivumgebung
Weitergabekontrolle	Transportverschlüsselung aller Verbindungen per TLS (HTTPS); verschlüsselte Übertragung zum E-Mail-Dienst und zum Sicherungsspeicher
Eingabekontrolle	Protokollierung von Änderungen an Meldungen und Bewertungen mit Zeitpunkt und Benutzer
Verfügbarkeitskontrolle	Tägliche verschlüsselte Datensicherung um 3:00 Uhr in einen vom Produktivserver getrennten Speicher der STRATO AG in Deutschland; Aufbewahrung jeder Sicherung für 7 Tage; dokumentierter und getesteter Wiederherstellungsprozess; Notfallplan
Belastbarkeit	Überwachung der Erreichbarkeit; zeitnahes Einspielen von Sicherheitsupdates
E-Mail-Versand	Versand über Amazon SES mit automatischer Verarbeitung von Unzustellbarkeits- und Beschwerdemeldungen; Absenderauthentifizierung per SPF und DKIM
Datenschutz durch Technikgestaltung	Datenexport (Art. 20 DSGVO) als ZIP-Datei mit JSON- und CSV-Dateien; Löschfunktionen; keine Nutzung von Inhaltsdaten für KI-Training oder Werbung
Überprüfung und Organisation	Verzeichnis der Verarbeitungstätigkeiten; Überprüfung dieser Maßnahmen mindestens einmal jährlich und nach wesentlichen Änderungen; Verpflichtung etwaiger Hilfspersonen auf Vertraulichkeit

Löschkonzept

Datenkategorie	Rolle des Betreibers	Anlass	Maßnahme	Frist
Ausstellungsdaten eines Vereins (Meldungen, Bewertungen, Katalog, Stifter)	Auftragsverarbeiter	Vertragsende oder Löschung des Vereinskontos	30 Tage Exportmöglichkeit, danach Löschung oder Anonymisierung	60 Tage nach Ende der Exportfrist
Stammdaten des Ausstellerkontos	Verantwortlicher	Kündigung durch den Aussteller	Löschung oder Anonymisierung; Meldedaten in Ausstellungen von Vereinen folgen der Entscheidung des jeweiligen Vereins	30 Tage
Vereinsübergreifende Ergebnishistorie	Verantwortlicher	Kündigung durch den Aussteller	Löschung	30 Tage
Rechnungen und Zahlungsbelege zum Vereinsabo und zu eigenen Gebühren	Verantwortlicher	Vertragsende	Sperrung, nach Fristablauf Löschung	8 Jahre ab Ende des Kalenderjahres (§ 147 Abs. 1 Nr. 4, Abs. 3 AO)
Transaktionsdaten der Meldegeldabwicklung	Verantwortlicher	Abschluss der Zahlung	Sperrung bis zum Ende möglicher Rückbuchungen, danach Löschung, soweit sie nicht als Buchungsbeleg aufzubewahren sind	13 Monate
Server-Logfiles	Verantwortlicher	Erhebung	Löschung	30 Tage
Anmelde- und Sicherheitsprotokolle (IP-Adresse, Zeitpunkt)	Verantwortlicher	Erhebung	Löschung	90 Tage
Datensicherungen	beide Rollen	Rotation	Überschreiben; bis dahin gesperrt	7 Tage
Daten der Beta-Phase	beide Rollen	Go-Live	Löschung nach Hinweis und Exportmöglichkeit (§ 6 Abs. 3 AGB)	Go-Live

Eine Anonymisierung gilt nur dann als Löschung, wenn folgende Regeln eingehalten sind:

• Entfernt oder überschrieben werden Namen, Anschriften, E-Mail-Adressen, Telefonnummern, Tierhalter-Registriernummern, Ring- und Kennzeichnungsnummern, Freitexte, IP-Adressen und Benutzerkennungen.
• Zahlungsreferenzen beim Zahlungsdienstleister (etwa Charge-, Customer- und Transfer-Kennungen) werden entfernt, weil sich über sie der Personenbezug wiederherstellen ließe.
• Kombinationen aus Rasse, Farbenschlag, Bewertung, Ausstellung und Jahr bleiben nur in zusammengefasster Form erhalten, weil Kataloge öffentlich sind und Züchter darüber wiedererkennbar sein können.
• Maßgeblich ist, dass der Personenbezug mit vertretbarem Aufwand nicht wiederherstellbar ist; eine bloße Kennzeichnung als „gelöscht" genügt nicht.

Anlage 3 – Unterauftragsverarbeiter

Unternehmen	Leistung	Ort der Verarbeitung	Garantien
STRATO AG, Pascalstraße 10, 10587 Berlin	Hosting des Servers und verschlüsselte Datensicherung	Deutschland	Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg	E-Mail-Versand (Amazon SES)	EU, Region Frankfurt am Main	AWS GDPR Data Processing Addendum einschließlich Standardvertragsklauseln für etwaige Zugriffe aus Drittländern

Zur Information: Die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland, ist kein Unterauftragsverarbeiter. Sie wird bei der Abwicklung von Zahlungen als eigener Verantwortlicher tätig (§ 6 Abs. 6).

Anlage 4 – Weisungsberechtigte und Ansprechpartner

Partei	Weisungsberechtigt / Ansprechpartner	Kontakt
Verantwortlicher	Nutzer mit der Rolle „Administrator" im Vereinskonto sowie die bei der Registrierung angegebene vertretungsberechtigte Person	die im Vereinskonto hinterlegten E-Mail-Adressen
Auftragsverarbeiter	Tobias Robrahn	Tobias.Robrahn@gmail.com

Weisungen und Meldungen nach diesem Vertrag erfolgen in Textform an die genannten Adressen. Änderungen teilt jede Partei der anderen unverzüglich mit; für den Verantwortlichen genügt die Änderung im Vereinskonto.