Auftragsverarbeitungsvertrag (AVV) / Data Processing Agreement (DPA)

Dokumentversion: 2026-10-19

Präambel / Preamble

Dieser Auftragsverarbeitungsvertrag („AVV“, „Vertrag“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung der MemberArea-Plattform (betrieben von Calendory Ltd., „Auftragsverarbeiter“, „wir“) durch den jeweiligen Geschäftskunden („Verantwortlicher“, „Sie“). Er ist Bestandteil der zwischen den Parteien geschlossenen Nutzungsvereinbarung („Hauptvertrag“) und wird gemäß Art. 28 Abs. 3 DSGVO geschlossen. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV in datenschutzrechtlichen Fragen vor.

This Data Processing Agreement ("DPA") sets out the data-protection obligations of the parties in connection with the customer's use of the MemberArea platform (operated by Calendory Ltd., the "Processor"). It forms part of the service agreement between the parties (the "Main Agreement") and is concluded pursuant to Art. 28(3) GDPR. The customer ("Controller") determines the purposes and means of processing; the Processor acts solely on the Controller's documented instructions. Where this DPA conflicts with the Main Agreement, this DPA prevails on data-protection matters.

§ 1 Gegenstand und Geltungsbereich / Subject Matter and Scope

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen, soweit dies zur Erbringung der vertraglich vereinbarten Leistungen der MemberArea- Plattform erforderlich ist. Hierzu zählen insbesondere Mitgliederverwaltung, E-Learning, Community-Funktionen, Zahlungsabwicklung, das Affiliate-Programm, Automatisierungen sowie Versand und Auslieferung von Inhalten. Der Verantwortlicher bleibt im Sinne der DSGVO die für die Verarbeitung verantwortliche Stelle.

The Processor processes personal data exclusively on behalf of, and on the documented instructions of, the Controller, to the extent necessary to provide the contractually agreed MemberArea services. The Controller remains the controller within the meaning of the GDPR and is responsible for the lawfulness of the processing.

§ 2 Dauer / Duration

Dieser AVV beginnt mit seiner Annahme bzw. mit Beginn der Nutzung der Plattform und gilt für die Laufzeit des Hauptvertrags. Er endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten zur Rückgabe und Löschung personenbezogener Daten (§ 9) bestehen über das Vertragsende hinaus fort.

This DPA takes effect upon acceptance (or upon first use of the platform) and remains in force for the term of the Main Agreement. It terminates automatically upon termination of the Main Agreement. The obligations regarding return and deletion of personal data (§ 9) survive termination.

§ 3 Art und Zweck der Verarbeitung / Nature and Purpose

Art der Verarbeitung: Erhebung, Speicherung, Organisation, Strukturierung, Anpassung, Auslesen, Abfrage, Verwendung, Übermittlung, Einschränkung und Löschung personenbezogener Daten mittels automatisierter Verfahren im Rahmen der Cloud-gestützten Software-as-a-Service-Plattform.

Zweck der Verarbeitung: Bereitstellung, Betrieb, Wartung, Support, Absicherung und Abrechnung der MemberArea-Plattform; Verwaltung von Mitgliedern, Kursen und Communities; Abwicklung von Zahlungen und Abonnements; Versand transaktionaler E-Mails; Echtzeit-Kommunikation; Bereitstellung und Streaming von Medieninhalten sowie produktbezogene Auswertungen, soweit vom Verantwortlichen konfiguriert.

Nature: dataset, storage, organisation, structuring, adaptation, retrieval, consultation, use, transmission, restriction and erasure of personal data by automated means within a cloud-based SaaS platform. Purpose: provision, operation, maintenance, support, security and billing of the MemberArea platform as configured by the Controller.

§ 4 Kategorien betroffener Personen und personenbezogener Daten / Categories of Data Subjects and Personal Data

Kategorien betroffener Personen / Categories of data subjects:

• Mitglieder, Kunden und Endnutzer des Verantwortlichen / Members, customers and end-users of the Controller
• Interessenten und Website-Besucher / Prospects and website visitors
• Beschäftigte, Administratoren und Teammitglieder des Verantwortlichen / Employees, administrators and team members of the Controller
• Affiliates und Vertriebspartner / Affiliates and sales partners

Kategorien personenbezogener Daten / Categories of personal data:

• Stammdaten und Identifikatoren (Name, E-Mail-Adresse, Anschrift, Telefonnummer) / Identity data and identifiers (name, email, postal address, phone)
• Konto- und Profildaten, Zugangsdaten / Account and profile data, credentials
• Nutzungs- und Protokolldaten (IP-Adresse, User-Agent, Zeitstempel, Ereignisdaten) / Usage and log data (IP address, user agent, timestamps, event data)
• Zahlungs- und Abrechnungsdaten (Rechnungsdaten, Zahlungs-Identifikatoren; Kartendaten werden vom Zahlungsdienstleister verarbeitet) / Payment and billing data (card data handled by the payment provider)
• Nutzergenerierte Inhalte (Beiträge, Nachrichten, Dateien, Bilder, Videos, Kursfortschritt) / User-generated content (posts, messages, files, images, videos, course progress)
• Support- und Kommunikationsdaten / Support and communication data

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Sollte der Verantwortlicher solche Daten in die Plattform eingeben, ist er allein für eine geeignete Rechtsgrundlage und zusätzliche Schutzmaßnahmen verantwortlich und hat den Auftragsverarbeiter vorab zu informieren.

Special categories of personal data (Art. 9 GDPR) are not intended to be processed. If the Controller chooses to input such data, the Controller is solely responsible for a lawful basis and additional safeguards and must notify the Processor in advance.

§ 5 Pflichten des Auftragsverarbeiters / Obligations of the Processor

Der Auftragsverarbeiter verpflichtet sich insbesondere zu Folgendem:

• Weisungsgebundenheit: Verarbeitung personenbezogener Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf Drittlandübermittlungen, es sei denn, eine rechtliche Verpflichtung steht dem entgegen; in diesem Fall wird der Verantwortliche vor der Verarbeitung informiert, sofern das Recht dies nicht verbietet. / Processing only on the Controller's documented instructions.
• Vertraulichkeit: Verpflichtung aller zur Verarbeitung befugten Personen auf Vertraulichkeit. / All authorised personnel are bound to confidentiality.
• Sicherheit der Verarbeitung: Umsetzung und Aufrechterhaltung der technischen und organisatorischen Maßnahmen nach § 6 und Art. 32 DSGVO. / Implementation of the technical and organisational measures under § 6 and Art. 32 GDPR.
• Unterstützung: Unterstützung des Verantwortlichen bei der Wahrung von Betroffenenrechten (§ 7), bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35-36 DSGVO) sowie bei der Erfüllung von Melde- und Benachrichtigungspflichten (Art. 33-34 DSGVO). / Assisting the Controller with data-subject rights, DPIAs and breach notifications.
• Meldung von Verletzungen: unverzügliche Benachrichtigung des Verantwortlichen nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten unter Angabe der erforderlichen Informationen (§ 8). / Notification of personal-data breaches without undue delay.
• Unterauftragsverarbeiter: Einsatz von Unterauftragsverarbeitern nur nach Maßgabe von § 10. / Sub-processors engaged only in accordance with § 10.
• Nachweis und Kontrolle: Führung eines Verzeichnisses von Verarbeitungstätigkeiten und Bereitstellung der zum Nachweis erforderlichen Informationen; Ermöglichung von Überprüfungen und Audits nach § 11. / Maintaining records of processing and enabling audits.
• Berichtigung und Löschung: Berichtigung, Löschung oder Einschränkung der Verarbeitung personenbezogener Daten auf Weisung des Verantwortlichen, soweit dies nicht ohnehin durch die Plattform-Funktionen abgebildet ist. / Rectification, erasure or restriction of processing on instruction.

§ 6 Technische und organisatorische Maßnahmen (TOM) / Technical and Organisational Measures (TOMs)

Der Auftragsverarbeiter trifft folgende technische und organisatorische Maßnahmen im Sinne des Art. 32 DSGVO, die dem Stand der Technik und dem Schutzbedarf der Daten angemessen sind:

• Vertraulichkeit (Zutritt, Zugang, Zugriff, Trennung): Rechenzentren mit physischer Zutrittskontrolle und ISO-27001-Zertifizierung; rollenbasiertes Zugriffskonzept (RBAC) nach dem Prinzip der minimalen Rechtevergabe; verpflichtende Zwei-Faktor-Authentifizierung für Plattform-Administratoren, für Inhaber und Admins des Verantwortlichen auf dessen Wunsch ebenfalls verpflichtend; mandantengetrennte Datenhaltung mit durchgängiger Filterung nach business_id; Session-Timeouts und sofortiger Entzug von Rechten bei Rollenwechsel oder Ausscheiden.
• Integrität: Verschlüsselung in der Übertragung (TLS/HTTPS mit HSTS); Verschlüsselung im Ruhezustand auf Infrastrukturebene (z. B. AES-256); Eingabe- und Änderungsprotokollierung (Audit-Trails) für sicherheitsrelevante Vorgänge.
• Verfügbarkeit und Belastbarkeit: regelmäßige Backups bei einem zweiten Anbieter (Datenbank stündlich, Konfiguration täglich, beide verschlüsselt) mit täglicher automatischer Prüfung der Datenbank-Sicherung; Monitoring und Alarmierung sowie Rate-Limiting.
• Anwendungs- und Netzwerksicherheit: Entwicklungsprozess mit Versionskontrolle und automatisierten Tests; automatisierte Prüfung der Abhängigkeiten auf bekannte Schwachstellen sowie statische Code-Analyse und Erkennung von Geheimnissen im Code.
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung: Auftrags- und Lieferantenkontrolle (Bewertung von Unterauftragsverarbeitern, AVV/SCCs); definierter Incident-Response-Prozess mit Nachbereitung.
• Datenminimierung und Pseudonymisierung: Beschränkung der Erhebung auf das Erforderliche; Pseudonymisierung bzw. Aggregation, soweit praktikabel; Bereitstellung von Administrations-, Export- und Löschwerkzeugen für den Verantwortlichen.

Die Maßnahmen unterliegen der technischen Fortentwicklung; der Auftragsverarbeiter darf alternative, gleichwertige Maßnahmen umsetzen, sofern das Schutzniveau nicht unterschritten wird.

The Processor maintains state-of-the-art TOMs appropriate to the risk, covering confidentiality (physical and logical access control, RBAC, mandatory two-factor authentication for platform administrators, tenant separation), integrity (encryption in transit and at rest, audit trails), availability and resilience (encrypted database and configuration backups with a second provider, verified daily, monitoring), application and network security, and regular testing, assessment and evaluation. Equivalent alternative measures may be adopted provided the level of protection is not reduced.

§ 7 Unterstützung bei Betroffenenrechten / Assistance with Data-Subject Rights

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen zur Wahrnehmung ihrer Rechte nach Kapitel III DSGVO nachzukommen, insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Hierzu stellt die Plattform Self-Service-Funktionen zur Verwaltung, zum Export und zur Löschung von Nutzerdaten bereit.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, es sei denn, er ist gesetzlich dazu verpflichtet.

Taking the nature of the processing into account, the Processor assists the Controller by appropriate technical and organisational measures, including self-service tools for managing, exporting and deleting user data, in fulfilling its obligation to respond to data-subject requests under Chapter III GDPR. Requests received directly are promptly forwarded to the Controller.

§ 8 Verletzungen des Schutzes personenbezogener Daten / Personal-Data Breaches

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist. Die Benachrichtigung enthält, soweit zum jeweiligen Zeitpunkt bekannt, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie eine Kontaktstelle. Der Auftragsverarbeiter hält den Verantwortlichen über den weiteren Verlauf auf dem Laufenden.

The Processor notifies the Controller without undue delay after becoming aware of a personal-data breach, providing the information reasonably required for the Controller's obligations under Arts. 33-34 GDPR.

§ 9 Rückgabe und Löschung von Daten / Return and Deletion of Data

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Der Verantwortliche kann seine Daten während der Vertragslaufzeit selbst über die Plattform exportieren: als CSV-Dateien (unter anderem Mitglieder, Datasets und Veranstaltungen) und je Mitglied als ZIP-Archiv mit den Daten im JSON-Format. Für einen Zeitraum von 30 Tagen nach Vertragsende stellt der Auftragsverarbeiter auf Anfrage an support@memberarea.io einen Export in diesen Formaten bereit. Die Löschung aus den aktiven Systemen erfolgt innerhalb von 30 Tagen nach Ablauf des Export-Zeitraums; die Löschung aus Backups erfolgt im Zuge der regulären Backup-Rotation spätestens 12 Monate nach Erstellung der jeweiligen Sicherung.

Upon completion of the processing services, the Processor, at the Controller's choice, deletes or returns all personal data and deletes existing copies, unless storage is required by EU or Member-State law. During the term, the Controller exports its data itself through the platform: as CSV files (including members, datasets and events) and, per member, as a ZIP archive with the data in JSON format. For 30 days after termination, the Processor provides an export in these formats on request to support@memberarea.io; deletion from active systems follows within 30 days, and from backups through the regular backup rotation no later than 12 months after each backup was created.

§ 10 Unterauftragsverarbeiter / Sub-processors

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung zur Beauftragung der nachstehend aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens 30 Tage im Voraus und gibt dem Verantwortlichen damit die Möglichkeit, gegen derartige Änderungen aus berechtigten datenschutzrechtlichen Gründen Einspruch zu erheben. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, und bleibt für deren Einhaltung gegenüber dem Verantwortlichen verantwortlich.

The Controller grants a general written authorisation for the Processor to engage the sub-processors listed below. The Processor will inform the Controller at least 30 days in advance of any intended changes, allowing the Controller to object on reasonable data-protection grounds. The same data-protection obligations are imposed on every sub-processor by contract.

Server, Datenbank und Backups betreibt die WIIT AG (myLoc) in ihren Rechenzentren in Düsseldorf, Deutschland. Sicherungskopien liegen zusätzlich bei der BunnyWay d.o.o. in einer Storage-Zone in Deutschland (Falkenstein); Datenbank und Konfiguration sind dort verschlüsselt, die Kopien der Medien nicht. Eine jeweils aktuelle Fassung dieser Liste wird auf dieser Seite veröffentlicht; Änderungen werden zusätzlich per E-Mail an die hinterlegte Administrator-Adresse des Verantwortlichen mitgeteilt.

§ 11 Kontrollrechte des Verantwortlichen / Audit Rights

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind (z. B. Sicherheitsübersichten, Ergebnisse der Abhängigkeitsprüfung, vorhandene Zertifizierungen oder Auditberichte Dritter). Reichen diese Informationen nicht aus, kann der Verantwortliche einmal je Zwölf-Monats-Zeitraum, oder häufiger, sofern von einer Aufsichtsbehörde gefordert oder nach einer bestätigten Datenschutzverletzung, nach Ankündigung mit einer Frist von 30 Tagen während der üblichen Geschäftszeiten eine Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten, unabhängigen Prüfer durchführen lassen, ohne den Betrieb unangemessen zu beeinträchtigen.

On request, the Processor makes available all information necessary to demonstrate compliance with Art. 28 GDPR and allows for and contributes to audits, once per 12-month period (or more often after a confirmed breach or upon a supervisory authority's requirement), upon 30 days' notice and without undue disruption.

§ 12 Internationale Datenübermittlungen / International Transfers

Personenbezogene Daten werden vorrangig innerhalb der Europäischen Union verarbeitet. Soweit einzelne Unterauftragsverarbeiter Daten in ein Drittland ohne Angemessenheitsbeschluss übermitteln, erfolgt dies auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914, Modul 2 bzw. Modul 3) sowie, soweit erforderlich, ergänzender Schutzmaßnahmen. Für Übermittlungen in das Vereinigte Königreich findet zusätzlich das UK International Data Transfer Addendum Anwendung.

Personal data is processed primarily within the EU. Where a sub-processor transfers data to a third country without an adequacy decision, the transfer relies on the EU Standard Contractual Clauses (EU) 2021/914 with supplementary measures, and the UK IDTA for UK transfers.

§ 13 Haftung / Liability

Die Haftung der Parteien richtet sich nach den Bestimmungen des Hauptvertrags sowie nach Art. 82 DSGVO. Keine Bestimmung dieses AVV beschränkt eine Haftung, soweit diese nach geltendem Recht nicht beschränkbar ist.

Liability is governed by the Main Agreement and Art. 82 GDPR. Nothing in this DPA limits liability where such limitation is not permitted by applicable law.

§ 14 Schlussbestimmungen / Final Provisions

Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Änderungen und Ergänzungen bedürfen der Textform. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV in datenschutzrechtlichen Fragen vor; bei Widersprüchen zu den Standardvertragsklauseln gehen letztere für internationale Übermittlungen vor. Dieser AVV unterliegt dem Recht, das auch für den Hauptvertrag gilt.

If any provision of this DPA is or becomes invalid, the remaining provisions remain in full force. Amendments require text form. This DPA prevails over the Main Agreement on data-protection matters; the SCCs prevail for international transfers. This DPA is governed by the law applicable to the Main Agreement.

Verantwortlicher (Processor) / Processor's Details

Datenschutzkontakt: support@memberarea.io