TERPIO

Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag (AVV) · Version 03.11.2026

Der Verein ist für die Daten seiner Mitglieder verantwortlich, TERPIO verarbeitet sie nur in seinem Auftrag. Dieser Vertrag regelt das nach Art. 28 DSGVO. Er gehört zur Pilotvereinbarung bzw. zum Nutzungsvertrag („Hauptvertrag“).

Zwischen

der Verein, der TERPIO nutzt, mit Namen, Anschrift und Vertretung laut Registrierung bzw. Pilotvereinbarung, – „Verantwortlicher“ –

und

RundBit UG (haftungsbeschränkt), Anschrift siehe Impressum (terpio.de/impressum), vertreten durch die Geschäftsführer Christian Ahlert und Marco Klär, Anbieterin von TERPIO, – „Auftragsverarbeiter“ –

§ 1 Gegenstand und Dauer

  1. Der Auftragsverarbeiter stellt dem Verantwortlichen die Software TERPIO als Online-Dienst unter app.terpio.de bereit und betreibt sie. Dazu gehören Hosting, Datensicherung, Wartung, Updates und Support.
  2. Der Vertrag gilt, solange der Hauptvertrag läuft. Er endet nicht, solange der Auftragsverarbeiter noch Daten des Verantwortlichen hat; dann gilt er bis zu deren Löschung oder Rückgabe.

§ 2 Art, Zweck, Daten und Betroffene

  1. Zweck: Verwaltung der Anbauvereinigung nach dem Konsumcannabisgesetz (KCanG): Mitglieder und Aufnahme, Altersnachweis, Abgabe und deren Dokumentation, Anbau und Vernichtung, Reservierungen, Beiträge, Guthaben und Buchhaltung, Benachrichtigungen und E-Mails an Mitglieder.
  2. Art der Verarbeitung: Erheben, Speichern, Ordnen, Anzeigen, Auswerten, Exportieren, Übermitteln per E-Mail, Sichern, Löschen und Anonymisieren.
  3. Datenarten:
  • Stammdaten: Name, Vorname, Geburtsdatum, Anschrift, Telefon, E-Mail, Mitgliedsnummer, Pseudonym
  • Mitgliedschaft: Antrag, Eintritt, Austritt, Status, Rolle im Verein
  • Altersnachweis: geprüft ja/nein, wann, durch wen. Ausweisnummern und Ausweiskopien speichert TERPIO nicht.
  • Abgaben: Datum, Menge, Sorte, THC- und CBD-Gehalt, Belege, Etiketten
  • Reservierungen und Abholungen
  • Finanzen: Beiträge, Guthaben, Buchungen, Rechnungen, Quittungen, Kassenbuch, Bankverbindung, SEPA-Mandat, Lastschrift-Exporte mit Protokoll und Vorabinformationen, importierte Kontoauszüge
  • Nachweise zu Anbau, Vernichtung und Transport: wer hat was wann getan, Fotos, Zeugen
  • Kommunikation: versendete E-Mails, Hinweise in der App
  • Nutzungs- und Protokolldaten: Anmeldungen, Änderungsprotokoll (Audit-Log), technische Fehlerberichte
  • Importdateien, z. B. Mitgliederlisten aus einer Vorgänger-Software
  1. Besondere Kategorien: Abgabe- und Konsumdaten können Rückschlüsse auf die Gesundheit zulassen. Die Parteien behandeln sie vorsorglich wie Daten nach Art. 9 DSGVO. Die TOM in Anlage 1 sind darauf ausgelegt.
  2. Betroffene: Mitglieder, ehemalige Mitglieder, Antragsteller, Vorstand und Personal des Vereins als Nutzer, Ansprechpartner von Laboren, Transporteuren und Zeugen.

§ 3 Weisungen

  1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus diesem Vertrag, dem Hauptvertrag und der Bedienung der Software durch den Verein. Weitere Weisungen erteilt der Verein in Textform (E-Mail genügt).
  2. Ausnahme: Ein Gesetz verpflichtet den Auftragsverarbeiter zu einer Verarbeitung. Dann teilt er das vorher mit, soweit das Gesetz es nicht verbietet.
  3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, sagt er das unverzüglich. Er darf sie aussetzen, bis der Verantwortliche sie bestätigt oder ändert.
  4. Weisungsberechtigt sind die Mitglieder des Vorstands. Weisungsempfänger sind die Geschäftsführer des Auftragsverarbeiters, erreichbar unter datenschutz@terpio.de.

§ 4 Pflichten des Auftragsverarbeiters

  1. Er setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind und in den Datenschutz eingewiesen wurden.
  2. Er trifft die technischen und organisatorischen Maßnahmen aus Anlage 1. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen teilt er mit.
  3. Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
  4. Einen Datenschutzbeauftragten muss er derzeit nicht benennen. Ansprechpartner für den Datenschutz sind die Geschäftsführer Christian Ahlert und Marco Klär, datenschutz@terpio.de.
  5. Er nutzt die Daten des Vereins nicht für eigene Zwecke. Ausgenommen sind anonyme, zusammengefasste Nutzungszahlen zur Verbesserung der Software, aus denen sich keine Person und kein Verein ablesen lässt.

§ 5 Zugriff durch den Auftragsverarbeiter

  1. Der Auftragsverarbeiter greift auf Inhalte des Vereins nur zu, wenn das für Betrieb, Fehlerbehebung oder Support nötig ist oder der Verein darum bittet.
  2. Ein Support-Zugriff in das Vereinskonto wird protokolliert. Der Verein kann im Änderungsprotokoll sehen, wann und durch wen er stattfand.
  3. Wartung am Server läuft über verschlüsselte Verbindungen mit persönlichem Schlüssel. Personendaten werden dabei nur angezeigt, soweit es für die Aufgabe nötig ist.

§ 6 Ort der Verarbeitung und Unterauftragsverarbeiter

  1. Die Daten werden in Rechenzentren in Deutschland verarbeitet. Eine Übermittlung in ein Land außerhalb der EU oder des EWR erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.
  2. Der Verantwortliche genehmigt die Unterauftragsverarbeiter aus Anlage 2.
  3. Neue oder ersetzte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 4 Wochen vorher in Textform an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann er den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.
  4. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten. Er haftet für ihn wie für eigenes Handeln.
  5. Keine Unteraufträge sind Nebenleistungen ohne Zugriff auf Daten des Vereins, z. B. Telekommunikation oder die reine Erreichbarkeitsprüfung der Website.

§ 7 Datenpannen

  1. Der Auftragsverarbeiter meldet eine Verletzung des Schutzes der Daten des Vereins unverzüglich, spätestens 24 Stunden nachdem er davon weiß. Die Meldung geht per E-Mail und telefonisch an den Vorstand.
  2. Die Meldung enthält, soweit bekannt: was passiert ist, welche Daten und wie viele Personen betroffen sind, die möglichen Folgen und die ergriffenen Maßnahmen. Fehlende Angaben reicht er nach.
  3. Er unterstützt den Verein bei der Meldung an die Aufsichtsbehörde (72 Stunden) und bei der Benachrichtigung der Mitglieder.

§ 8 Unterstützung des Vereins

  1. Rechte der Mitglieder: TERPIO bietet Funktionen für Auskunft (Datenexport je Mitglied), Berichtigung, Einschränkung und Löschung bzw. Anonymisierung. Wo das nicht reicht, hilft der Auftragsverarbeiter innerhalb von 7 Tagen.
  2. Wendet sich ein Mitglied direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verein weiter und antwortet nicht selbst in der Sache.
  3. Er unterstützt den Verein bei Sicherheit, Datenschutz-Folgenabschätzung und vorheriger Konsultation (Art. 32 bis 36 DSGVO) mit den Informationen, die ihm vorliegen.

§ 9 Löschen und Rückgabe

  1. Während der Laufzeit löscht oder anonymisiert TERPIO Daten nach den Fristen aus dem Löschkonzept oder auf Weisung des Vereins.
  2. Nach Vertragsende kann der Verein seine Daten 30 Tage lang exportieren (CSV und PDF). Danach löscht der Auftragsverarbeiter alle Daten des Vereins. Aus den Datensicherungen verschwinden sie spätestens 14 Tage später.
  3. Gesetzliche Aufbewahrungspflichten, z. B. die 5 Jahre für Abgabe-Nachweise nach KCanG und die 10 Jahre für Buchungsbelege und Kassenbuch, treffen den Verein. Er sichert die Daten dazu über den Export. Auf Wunsch bietet der Auftragsverarbeiter einen kostenpflichtigen Archivzugang bis zum Fristende an.
  4. Der Auftragsverarbeiter bestätigt die Löschung in Textform.

§ 10 Nachweise und Kontrollen

  1. Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anfrage nach, vor allem durch aktuelle TOM und Auskünfte.
  2. Der Verein darf Kontrollen vor Ort oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Er meldet sie mindestens 4 Wochen vorher an, höchstens einmal im Jahr, außer bei konkretem Anlass. Die Rechenzentren prüft er über die Nachweise der Anbieter.

§ 11 Haftung und Schlussbestimmungen

  1. Die Haftung richtet sich nach Art. 82 DSGVO und dem Hauptvertrag.
  2. Änderungen bedürfen der Textform. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Datenschutzfragen vor.
  3. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam.
  4. Anlagen: Anlage 1 Technische und organisatorische Maßnahmen, Anlage 2 Unterauftragsverarbeiter.

Abschluss: Bei Vereinen, die sich selbst registrieren, durch Bestätigung des vertretungsberechtigten Vorstands bei der Registrierung (elektronisches Format, Art. 28 Abs. 9 DSGVO); im Pilot durch Unterschrift zusammen mit der Pilotvereinbarung.

← Zurück zur Anmeldung