Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO für Arbeitgeber („Direkt bewerben“) und Vereine (Posteingang, Mitglieder-Anfragen) auf SH Insider. Fassung November 2026 (2026-11).
Vertragsparteien und Abschluss
Dieser Vertrag gilt zwischen der Organisation, die SH Insider für die unten beschriebenen Funktionen nutzt (Verantwortlicher, im Folgenden „Auftraggeber“), und dem im Impressum genannten Betreiber von SH Insider (Auftragsverarbeiter, im Folgenden „SH Insider“). Er wird elektronisch abgeschlossen, indem eine für den Auftraggeber handelnde Person ihn im Unternehmens- oder Vereinsbereich bestätigt; Zeitpunkt, Fassung und Konto speichern wir als Nachweis. Er ergänzt unsere AGB bzw. die Nutzungsbedingungen der kostenlosen Funktionen.
§ 1 Gegenstand, Art und Zweck der Verarbeitung
SH Insider stellt dem Auftraggeber Funktionen zur Verfügung, mit denen Dritte ihm personenbezogene Daten übermitteln. SH Insider speichert diese Daten ausschließlich, damit der Auftraggeber sie in seinem geschützten Bereich lesen, beantworten, herunterladen und löschen kann.
| Funktion | Betroffene Personen | Datenarten | Löschung |
|---|---|---|---|
| A – „Direkt bewerben“ (Stellenbörse) | Bewerberinnen und Bewerber | Name, E-Mail, ggf. Telefon, Nachricht, hochgeladene Unterlagen (Lebenslauf, Anschreiben, Zeugnisse – PDF/Bild), Bewerbungsstatus, Antworten des Auftraggebers | automatisch 180 Tage nach Eingang; jederzeit früher durch den Auftraggeber |
| B – Posteingang und Mitglieder-Anfragen (Vereine) | Interessierte, künftige Mitglieder, bei Anfragen für Kinder auch die Kinder | Name, E-Mail, ggf. Telefon, Geburtsjahr, Adresse, gewünschte Sparte, bei Anfragen für Kinder deren Name und Geburtsjahr, Nachrichtenverlauf | Archiv 30 Tage nach Löschen durch beide Seiten, spätestens 1 Jahr nach der letzten Nachricht; nicht bestätigte Anfragen nach 30 Tagen |
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Wir weisen Bewerbende darauf hin, solche Angaben nicht zu machen; enthalten Unterlagen sie dennoch, gelten die Pflichten dieses Vertrags auch für sie.
§ 2 Dauer
Der Vertrag läuft, solange der Auftraggeber die Funktionen nutzt bzw. SH Insider Daten für ihn gespeichert hat. Er endet automatisch, wenn das Konto bzw. Profil gelöscht ist und keine Daten mehr gespeichert sind.
§ 3 Weisungen
(1) SH Insider verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen sind abschließend durch diesen Vertrag und die Bedienung der Funktionen im geschützten Bereich festgelegt (z. B. Antworten, Status setzen, Herunterladen, Löschen). Weitere Weisungen erteilt der Auftraggeber in Textform an info@sh-insider.de.
(2) Ist SH Insider der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist SH Insider den Auftraggeber unverzüglich darauf hin.
(3) Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Die Redaktion von SH Insider sieht Bewerbungen nicht ein; Nachrichten an Vereine sieht nur die Administration und nur, soweit es zur Betreuung der Plattform oder zur Prüfung gemeldeter Missbrauchsfälle nötig ist.
§ 4 Vertraulichkeit
Alle Personen, die bei SH Insider Zugriff auf die Daten haben können, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verschlüsselung: Übertragung ausschließlich über HTTPS (TLS) mit HSTS; Passwörter nur als bcrypt-Hash.
- Zugriffskontrolle: Daten sind nur nach Anmeldung im Konto des Auftraggebers abrufbar; Dateien liegen außerhalb des öffentlich erreichbaren Bereichs und werden nur nach Berechtigungsprüfung ausgeliefert. Sitzungen enden bei Passwortwechsel und „Auf allen Geräten abmelden“; wiederholte Fehlanmeldungen werden gesperrt.
- Eingabekontrolle und Schutz vor Schadcode: Hochgeladene Bilder werden neu berechnet (Metadaten entfernt), PDFs auf aktive Inhalte geprüft; Downloads werden mit restriktiven Sicherheitsregeln ausgeliefert. Sicherheitsrelevante Ereignisse werden protokolliert (90 Tage).
- Verfügbarkeit: tägliche Sicherung der Datenbank auf dem Server, Aufbewahrung 21 Tage; Wiederherstellung durch die Administration.
- Datensparsamkeit und Löschung: automatische Löschfristen wie in § 1 angegeben; Löschen durch den Auftraggeber wirkt sofort, aus Sicherungen spätestens nach deren Löschfrist.
- Rechenzentrum: Hosting in Deutschland bei STRATO (siehe § 6), zertifiziert nach ISO/IEC 27001.
SH Insider darf die Maßnahmen an den technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt.
§ 6 Unterauftragsverarbeiter
Der Auftraggeber genehmigt den Einsatz folgender Unterauftragsverarbeiter:
- STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin – Hosting des Webservers, der Datenbank und der Dateien sowie Versand von Benachrichtigungs-E-Mails; Verarbeitung in Deutschland.
Über beabsichtigte Änderungen informiert SH Insider den Auftraggeber vorab in Textform; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 30 Tagen widersprechen. SH Insider verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau. Eine Verarbeitung außerhalb der EU bzw. des EWR findet nicht statt.
§ 7 Unterstützung des Auftraggebers
(1) Rechte der Betroffenen: Der Auftraggeber kann Auskunft, Berichtigung und Löschung über die Funktionen seines Bereichs selbst erledigen. Wendet sich eine betroffene Person an SH Insider, leiten wir die Anfrage unverzüglich an den Auftraggeber weiter.
(2) Datenpannen: SH Insider informiert den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, über eine Verletzung des Schutzes personenbezogener Daten, die seine Daten betrifft, und unterstützt ihn bei Meldungen nach Art. 33 und 34 DSGVO.
(3) SH Insider unterstützt den Auftraggeber im Rahmen des Zumutbaren bei Datenschutz-Folgenabschätzungen und stellt die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind.
§ 8 Kontrollen
Der Auftraggeber kann sich von der Einhaltung dieses Vertrags überzeugen, vorrangig durch Auskünfte und die Dokumentation von SH Insider sowie die Zertifizierung des Hosters, im Einzelfall nach rechtzeitiger Anmeldung durch Prüfungen vor Ort zu den üblichen Geschäftszeiten, ohne den Betrieb zu stören.
§ 9 Ende der Verarbeitung
Nach Ende des Vertrags löscht SH Insider die Daten des Auftraggebers, soweit nicht eine gesetzliche Pflicht zur Aufbewahrung besteht; der Auftraggeber kann sie vorher selbst herunterladen. In Sicherungskopien sind die Daten spätestens nach deren Löschfrist entfernt.
§ 10 Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB bzw. die gesetzlichen Regeln. Bei Widersprüchen zwischen diesem Vertrag und anderen Vereinbarungen geht dieser Vertrag in Fragen des Datenschutzes vor. Änderungen und Ergänzungen bedürfen der Textform.
Fassung 2026-11 · Stand: November 2026