1. Parteien und Gegenstand
Verantwortlicher ist der Kunde, der mit dem Gemeinschaftshaus eine Community betreibt („Gastgeber“). Auftragsverarbeiter ist die IQ Mediengruppe LLC, 30 N Gould St Ste N, 82801 Sheridan, WY, USA, vertreten durch Meik Frankenhauser, Bahnhofstr. 10A, 67059 Ludwigshafen, zugleich Vertreter in der Union nach Art. 27 DSGVO („wir“). Gegenstand ist der Betrieb der Community-Plattform (Speicherung, Anzeige, Benachrichtigung, Moderationswerkzeuge) nach den Leistungsbedingungen Gemeinschaftshaus. Dieser Vertrag gilt, solange der Tarif besteht, und wird mit der Buchung bzw. Nutzung geschlossen.
2. Art, Zweck und Betroffene
- Betroffene: Mitglieder und Interessenten der Community, Personen, die Inhalte melden.
- Daten: Name, E-Mail-Adresse, Beiträge, Kommentare, Umfrage-Stimmen, Meldungen und Entscheidungen, Nachweis der Anmeldung (Zeitpunkt, IP-Adresse), Sitzungen (nur als Hash), Zeitpunkte der Aktivität.
- Zwecke: Bereitstellung der Community, Anmeldung per E-Mail-Link, Benachrichtigungen und wöchentliche Zusammenfassung, Bearbeitung von Meldungen, Mitgliederverwaltung und Export für den Gastgeber.
3. Weisungen
Wir verarbeiten die Daten nur auf dokumentierte Weisung des Gastgebers; als Weisung gelten die Einstellungen und Aktionen in der Plattform sowie schriftliche Weisungen. Halten wir eine Weisung für rechtswidrig, weisen wir darauf hin.
4. Pflichten des Auftragsverarbeiters
- Vertraulichkeit aller mit der Verarbeitung befassten Personen.
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Abschnitt 5).
- Unterstützung bei Anfragen Betroffener (Auskunft, Löschung, Berichtigung, Export) – die Plattform stellt dafür Mitgliederliste, Export, Sperren und Löschen bereit.
- Unterstützung bei Datenpannen: Meldung an den Gastgeber unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis.
- Nachweise über die Einhaltung dieses Vertrags auf Anfrage; Kontrollen nach Absprache.
5. Technische und organisatorische Maßnahmen
- Speicherung in Rechenzentren in Frankfurt am Main (Supabase/AWS eu-central-1), verschlüsselte Übertragung (TLS).
- Zugriffsschutz auf Datenbankebene (Zeilenrechte): Gastgeber sehen nur ihre eigene Community; Mitglieder nur, was ihre Rolle erlaubt.
- Anmelde- und Sitzungscodes werden nur als Hash gespeichert; Anmelde-Links verfallen nach 2 bzw. 48 Stunden.
- Tagesgrenzen gegen Missbrauch, Protokollierung von Meldungen und Entscheidungen.
- Regelmäßige Sicherungen durch den Hosting-Dienstleister; Zugriff des Anbieters nur, soweit für Betrieb und Support erforderlich.
6. Unterauftragsverarbeiter
Der Gastgeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
- Supabase Inc. bzw. deren EU-Gesellschaft – Datenbank, Speicher, Hosting in Frankfurt am Main.
- der E-Mail-Dienstleister des Anbieters (SMTP-Versand) – Versand von Bestätigungs-, Anmelde-, Benachrichtigungs- und Zusammenfassungs-Mails.
Für die KI-Einrichtung (OpenAI) werden keine Daten der Mitglieder verarbeitet. Über neue Unterauftragsverarbeiter informieren wir vorab; der Gastgeber kann aus wichtigem Grund widersprechen.
7. Drittlandbezug
Die Daten werden in Frankfurt am Main gespeichert. Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage von Standardvertragsklauseln. Personenbezogene Daten der Mitglieder werden nicht an KI-Dienste übermittelt.
8. Ende der Verarbeitung
Nach Ende des Tarifs wird die Community pausiert. Der Gastgeber kann die Mitgliederliste 30 Tage lang exportieren; danach löschen wir die Daten der Community, soweit keine gesetzliche Aufbewahrungspflicht besteht. Sicherungskopien werden im üblichen Rhythmus überschrieben.
9. Schlussbestimmungen
Es gelten die Leistungsbedingungen Gemeinschaftshaus und deutsches Recht. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor.