Vereinbarung hinsichtlich des Datenschutzes bei einer Verarbeitung von personenbezogenen Daten durch gemeinsam für die Verarbeitung Verantwortlicher gemäß Art. 26 DS-GVO
zwischen
Verband Deutscher Sporttaucher e.V.
Berliner Str. 312
63067 Offenbach
– im Folgenden „VDST“ –
und
[[Firma]]
[[Strasse]]
[[PLZ]] [[Ort]]
– im Folgenden „Verein“ –
PräambelLegen zwei oder mehr Verantwortliche gemeinsam die Zwecke und die Mittel zur Verarbeitung von personenbezogenen Daten fest, so sind sie gemeinsam Verantwortliche gemäß Art. 26 Abs.1 DSGVO. Dies trifft für den Verband Deutscher Sporttaucher e.V. (folgende VDST) und die ihm angeschlossenen Vereine zu, da beide für die Erhebung, Speicherung und Nutzung der Mitgliederdaten verantwortlich sind.
1. Gegenstand und Dauer der gemeinsamen Verarbeitung
Die zwischen VDST und dem Verein geschlossene Vereinbarung umfasst die ganz oder teilweise automatisierte Verarbeitung, sowie für die nicht automatisierte Verarbeitung personenbezogener Daten der Vereinsmitglieder, die in einer vom VDST bereitgestellten Mitgliederdatenbank gespeichert sind oder gespeichert werden sollen.
Nicht betroffen von dieser Regelung sind personenbezogene Daten, die der Verein unabhängig von der VDST Mitgliederdatenbank erheben oder verarbeiten. Werden Downloads der Mitgliederdaten vereinsintern verarbeitet, sind die Vereinbarungen dieses Vertrages anzuwenden.
Die Vereinbarung beginnt mit der Mitgliedschaft des Vereines im VDST und endet somit mit der Kündigung der Mitgliedschaft bzw. mit der Auflösung des Vereines. Davon unberücksichtigt bleiben allerdings alle vereinbarten Geheimhaltungsverpflichtungen.
2. Gegenseitiges Verhältnis der Vertragspartner
Der VDST und die Vereine führen gemeinsam die Verwaltung der Vereinsmitglieder durch. Dabei gilt folgende Konstellation:
- Vereine (Tauchsportvereine, Sparten/Unterabteilungen von Sportvereinen) können durch Aufnahmeantrag Mitglieder im VDST werden
- In den Vereinen werden natürliche Personen durch Aufnahmeantrag Mitglied des Vereins
- Durch die Mitgliedschaft des Vereines im VDST, werden alle Vereinsmitglieder auch im VDST geführt
- Die Verwaltung der Vereinsmitglieder erfolgt zentral beim VDST und dezentral im Verein
3. Art und Zweck der Verarbeitung
Der VDST und der oben genannte Verein erheben, speichern und nutzen Daten ihrer Mitglieder zum Zwecke von deren Verwaltung und zur Erbringung der in deren Satzung bzw. Geschäftsordnung festgelegten Leistungen. Dabei gilt folgende Abgrenzung der Tätigkeiten:
Aufgaben des VDST
Der VDST führt folgende Tätigkeiten durch:
- Verwaltung und Speicherung der Mitgliederdaten in einer zentralen Datenbank die von der VDST Tauchsport Service GmbH über eine Cloud-Lösung im Rahmen einer Auftragsdatenverarbeitung gemäß Art. 28 DSGVO bereitgestellt wird.
-- Speicherung und Pflege der Mitgliederdaten
-- Dokumentation der Brevetierungen
- Übermittlung der Mitgliederdaten an einen Verlag zum Versand der Verbandszeitschrift im Rahmen einer Auftragsdatenverarbeitung gemäß Art. 28 DSGVO
- Übermittlung der Daten zur Erbringung von Versicherungsleistungen über die VDST Tauchsport Service GmbH.
-- Unfall-, Haftpflicht- und Rechtschutzversicherung
-- Auslandsreisekrankenversicherung in Verbindung mit einer medizinischen Taucherarzt-Hotline
-- Sowohl Versicherungen als auch Taucherarzt-Hotline unterliegen der Verschwiegenheitspflicht gemäß § 203 StGB
Aufgaben des Vereins
Der Verein führt folgende Tätigkeiten durch:
- Direkterhebung der Mitgliedsdaten durch einen Aufnahmeantrag.
-- Der Aufnahmeantrag enthält alle Hinweise über Zweck der Datenverarbeitung und über die Weitergabe der Daten an den VDST
-- Der Aufnahmeantrag enthält alle Hinweise über die beim VDST vorgenommenen Verarbeitungen und Weiterleitungen
- Der Verein speichert die Daten in einer eigenen Datenbank, die zum Abgleich in regelmäßigen Abständen an den VDST übermittelt werden oder
- Der Verein gibt neue Mitgliederdaten direkt über ein Web-Portal in die VDST Mitgliederdatenbank ein
- - Werden vom Verein Mitgliederdaten aus der VDST-Datenbank in eigenen Verfahren genutzt (z.B. Download der Mitgliederdaten für den Versand der Vereinszeitung) sind diese unter Anlage A beschrieben:
(bitte in der Anlage A auswählen)
4. Kategorien von Betroffenen und Art der gespeicherten Daten
Im Rahmen der unter 3 aufgeführten Verarbeitungen können Datenkategorien gemäß Anlage A betroffen sein:
Zusätzlich werden in der VDST-Datenbank Brevetierungen und Ausbildungsstatus gespeichert. Da diese Daten von Vereinsmitgliedern auch nach Beendigung der Mitgliedschaft abgefragt werden können, werden diese Daten nur auf Verlangen des Betroffenen gelöscht.
5. Technische und organisatorische Maßnahmen
(1) Der VDST und der Verein hat die Sicherheit gem. Art. 28 Abs. 3 lit. c, 32 DS-GVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DS-GVO herzustellen. Insgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DS-GVO zu berücksichtigen (Einzelheiten in Anlage B). Die technischen und organisatorischen Maßnahmen seitens der Vereine sind für folgende Verarbeitungen anzuwenden:
- Pflege der Mitgliederdaten in der VDST Mitgliederdatenbank
- Nutzung von Mitgliederdaten, die von der VDST-Mitgliederdatenbank heruntergeladen wurden
Daten, die der Verein unabhängig von der gemeinsamen Verantwortlichkeit erhebt und verarbeitet, sind nicht Bestandteil dieses Vertrages, hier hat der Verein die alleinige Verantwortung!
(2) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem VDST gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.
6. Pflichten der Verantwortlichen
Aus dieser Vereinbarung ergeben für die Verantwortlichen folgende Pflichten:
Pflichten des VDST
Der VDST hat zusätzlich zu der Einhaltung der Regelungen dieses Vertrags gesetzliche Pflichten gemäß Art. 26 DS-GVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:
a) Schriftliche Bestellung eines Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 38 und 39 DS-GVO ausübt. Dessen Kontaktdaten werden dem in Anhang A zum Zweck der direkten Kontaktaufnahme mitgeteilt. Sollte dieser wechseln, werden die Vereine über die VDST-Webseite informiert.
b) Zu Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DS-GVO setzt der VDST bei der Durchführung der Arbeiten nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Der VDST und jede dem diesem unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend dieser Vereinbarung verarbeiten, einschließlich der in diesem Vertrag eingeräumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind.
c) Die Umsetzung und Einhaltung aller für diesen Verarbeitung erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 28 Abs. 3 S. 2 lit. c, 32 DS-GVO (Einzelheiten in Anlage B).
d) Überprüfung von Auftragnehmern und deren Verpflichtung durch einen Vertrag zur Einhaltung des Datenschutzes gemäß Art. 28 DSGVO
e) Der VDST stellt Informationen gem. Art. 13 DSGVO auf Antragsformularen und auf der Webseite bereit, wie Daten im Rahmen der gemeinsamen Verarbeitung erhoben, gespeichert, verarbeitet und an wen sie zu welchen Zwecken übermittelt werden (z.B. Auftragsdatenverarbeitung gemäß Art. 28 DSGVO).
Pflichten des Vereins
Der Verein hat zusätzlich zu der Einhaltung der Regelungen dieses Vertrags gesetzliche Pflichten gemäß Art. 26 DS-GVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:
a) Schriftliche Bestellung eines Datenschutzbeauftragten, soweit er gesetzlich dazu verpflichtet ist, der seine Tätigkeit gemäß Art. 38 und 39 DS-GVO ausübt. Dessen Kontaktdaten werden dem in Anhang A zum Zweck der direkten Kontaktaufnahme mitgeteilt. Sollte dieser wechseln, darüber unverzüglich zu informieren. Ist der Verein nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet, nennt er eine Person, welche die Umsetzung der DSGVO im Verein umsetzt oder betreut.
b) Zu Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DS-GVO setzt der Verein bei der Durchführung der Arbeiten nur Personen ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Der Verein und jede dem diesem unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend dieser Vereinbarung verarbeiten, einschließlich der in diesem Vertrag eingeräumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind.
c) Die Umsetzung und Einhaltung aller für diesen Verarbeitung erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 28 Abs. 3 S. 2 lit. c, 32 DS-GVO (Einzelheiten in Anlage B).
d) Überprüfung von Auftragnehmern und deren Verpflichtung durch einen Vertrag zur Einhaltung des Datenschutzes gemäß Art. 28 DSGVO
e) Der Verein stellt Informationen gem. Art. 13 DSGVO auf den Aufnahmeantrag und soweit vorhanden, auf der Webseite des Vereins in geeigneter Weise bereit, wie Daten im Rahmen der gemeinsamen Verarbeitung erhoben, gespeichert, verarbeitet und an wen sie zu welchen Zwecken übermittelt werden (z.B. Auftragsdatenverarbeitung gemäß Art. 28 DSGVO)
Gemeinsame Verpflichtungen aus diesem Vertrag
Beide Vertragsparteien gewährleisten gemäß Art. 26 DS-GVO die Einhaltung folgender Vorgaben:
a) Der VDST und Verein arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.
b) Die unverzügliche gegenseitige Information über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diese Vereinbarung beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der gemeinsamen Verarbeitung ermittelt.
c) Soweit einer der Vertragspartner einer Kontrolle der zuständigen Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit den unter 3 beschriebenen Tätigkeiten ausgesetzt ist, hat ihn der jeweilige Vertragspartner zu unterstützen.
7. Auftragsverhältnisse gem. Art. 28 DSGVO
(1) Als Auftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der unter 3 aufgeführten Verarbeitungen beziehen. Nicht hierzu gehören Nebenleistungen, die der VDST z.B. als Telekommunikationsleistungen, Post-/Transportdienstleistungen, Wartung und Benutzerservice oder die Entsorgung von Datenträgern sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt. Der Vertragspartner ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten der gemeinsamen Verarbeitung auch bei ausgelagerten Leistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.
(2) Die Vertragspartner verpflichten sich, bei Weitergabe der Daten an einen Dienstleister, alle gemäß Art. 28 DSGVO geforderten Maßnahmen zu ergreifen.
8. Rechte von Betroffenen
(1) Betroffene haben gem. Art. 15 DSGVO das Recht Auskunft zu verlangen, welche Daten und zu welchem Zweck über sie gespeichert wurden. Dieses Auskunftsverlangen kann sowohl an den VDST als auch an den Verein gerichtet werden.
(2) Betroffene haben gemäß Art. 16 DSGVO das Recht, von den Verantwortlichen unverzüglich die Berichtigung unrichtiger personenbezogener Daten zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung haben diese auch das Recht zur Vervollständigung unvollständiger personenbezogener Daten. Diese Forderung ist an den Verein zu richten, da dieser in der gemeinsamen Verarbeitung die Erhebende Stelle ist.
(3) Das Recht auf Löschung der Daten gem. Art 17 DSGVO bzw. der Einschränkung der Verarbeitung gem. Art. 18 DSGVO kann nur wahrgenommen werden, wenn es hierfür ausreichende Gründe gibt und der notwendige Zweck hierdurch nicht aufgehoben bzw. eingeschränkt wird. Der Betroffene muss jedoch immer auf die Folgen einer Löschung oder Einschränkung, soweit sie durchsetzbar ist, hingewiesen werden.
Hierzu müssen beide Verantwortlichen Verfahren einrichten, mit denen oben aufgeführte Punkte datenschutzkonform umgesetzt werden können.
9. Mitteilung bei Verstößen
(1) Die Verantwortlichen verpflichten sich zur Einhaltung der in den Artikeln 32 bis 36 der DS-GVO genannten Pflichten zur Sicherheit personenbezogener Daten, zu Meldepflichten bei Datenpannen und zur Datenschutz-Folgeabschätzungen bei sensiblen Daten. Hierzu gehören u.a.
a) die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen
b) die Verpflichtung, Verletzungen personenbezogener Daten unverzüglich an den Vertragspartner zu melden
c) die Verpflichtung, den Vertragspartner im Rahmen seiner Informationspflicht gegenüber dem Betroffenen zu unterstützen und ihm in diesem Zusammenhang sämtliche relevante Informationen unverzüglich zur Verfügung zu stellen
d) die Unterstützung des Vertragspartners für dessen Datenschutz-Folgenabschätzung
e) die Unterstützung des Vertragspartners im Rahmen vorheriger Konsultationen mit der Aufsichtsbehörde
10. Löschung und Rückgabe von personenbezogenen Daten
Sollte die Mitgliedschaft des Vereins beim VDST beendet werden, endet hiermit auch die gemeinsame Verantwortung für die Mitgliedsdaten der Vereinsmitglieder des Vereins.
(1) Die Daten der ausgeschiedenen Mitglieder werden für eine weitere Verarbeitung gesperrt jedoch nicht gelöscht, da auch ehemalige Mitglieder Anspruch haben, dass Tauchlizenzen bei Verlust neu ausgestellt werden.
Diese Sperrung betrifft die Weitergabe der Daten an Auftragnehmer bzw. Dritte, die an der satzungsgemäßen Leistungserbringung beteiligt sind.
Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
(2) Sollte ein ehemaliges Mitglied die Löschung seiner Daten verlangen, wird diesem Begehren mit Hinweis auf die Folgen nachgekommen.
[[Ort]], 27.08.2026
gez.
[[Name]]
(gesetzlicher Vertreter des Vereins [[Firma]])
Offenbach am Main, 27.08.2026
gez.
Dr. Uwe Hoffmann Jan Kretzschmar
Präsident Vizepräsident Finanzen
(gesetzliche Vertreter des Verband Deutscher Sporttaucher e.V.)
[Diese Vereinbarung ist ohne Unterschrift gültig]
Anlage A: Details zur gemeinsamen Verarbeitung
1. Zusätzlich zu [3. Art und Zweck der Verarbeitung], [Aufgaben des Vereins] geführte Tätigkeiten
Zusätzlich zu den unter den [Aufgaben des Vereins] aufgeführten Verfahren, führt der Verein mit Daten aus der Mitgliederdatenbank noch folgende Tätigkeiten durch:
2. Art der Daten
Beim VDST werden folgende Mitgliederdaten gespeichert:
Daten von zum VDST-Jahresbeitrag gemeldeten Mitglieder
Daten von inaktiven Mitgliedern
Daten von ausgetretenen Mitgliedern.
Diese Daten werden nicht gelöscht, um Auskünfte und Leistungen zum Ausbildungsstand zu gewähren (z.B. Ausstellen eines Ersatzbrevets). Die Daten werden natürlich auf Verlangen gem. Art. 17 DSGVO gelöscht, damit entfallen allerdings o.g. Leistungen.
Zusätzlich werden beim VDST gespeichert
Optional können folgende Daten gespeichert sein:
Im Verein werden zusätzlich in Verbindung mit von der VDST-Mitgliederdatenbank heruntergeladenen Daten folgende Daten gespeichert:
3. Kategorien der betroffenen Personen
Daten folgender Betroffener können bei einem Download aus der VDST Mitgliederdatenbank im Verein für interne Verarbeitungen genutzt werden:
4. Zuständige Datenschutzverantwortliche
Für den VDST stehen folgende Kontaktdaten zum Datenschutzbeauftragten zur Verfügung:
Lothar Becker, Tel. +49 (0)8061 495743, Email: datenschutz@vdst.de
Für den Verein kann eine Person als Ansprechpartner genannt werden, die für den Datenschutz verantwortlich: ist. Ist die Verantwortung an eine Funktion gebunden (z.B. 1. Vorstand), kann auch die Funktionsbeschreibung genannt werden.
(Wenn vorhanden, bitte im nachfolgenden Feld nennen!)
5. Auftragsverarbeiter und Dritte, die für VDST oder Verein tätig werden
Für den VDST werden Auftragsverarbeiter gem. Art. 28 DSGVO zur Erbringung der oben aufgeführten Leistungen und Dritte oder Empfänger personenbezogener Daten gem. Art. 4 Abs. 9 und 10 DSGVO zur Abwicklung von Tätigkeiten gem. Art. 6 Abs. 1 lit a) - c) DSGVO separat auf der VDST-Datenschutzseite unter [[b]]Auftragsverarbeiter und Dritte, die für den VDST tätig werden[[/b]] gelistet. Diese Ergänzung ist Bestandteil des Vertrages.
Direktlink zu den Ergänzungen: https://www.vdst.de/download/datenweitergabe-vdst-v1/
Werden im Verein Daten aus der Marini-DB an einen Auftragsverarbeiter gem. Art. 28 DSGVO zur Erbringung von externen Leistungen übergeben, sind diese nachstehend aufzuführen. Sollten diese Auftragnehmer häufig wechseln, kann auch eine Beschreibung verwendet werden (z.B. Lettershop für die Vereins-News)
(bitte nachstehend aufführen)