Das Kleingedruckte, aufgeräumt .

nach Art. 28 Datenschutz-Grundverordnung (DSGVO)

Stand: 31. Oktober 2026

zwischen der Anbauvereinigung, die Canguard nutzt („Verantwortlicher“), und der Medienfair GmbH, Detmolder Str. 630a, 33699 Bielefeld, vertreten durch den Geschäftsführer Anton Spreemann („Auftragsverarbeiter“).

Dieser Vertrag wird mit der Registrierung des Clubs in Canguard abgeschlossen und ist Bestandteil des Vertrags über die Nutzung von Canguard („Hauptvertrag“).

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um ihm die Software Canguard nach dem Hauptvertrag bereitzustellen.

(2) Die Dauer dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrags. Die Pflichten nach § 10 gelten über das Vertragsende hinaus.

§ 2 Art und Zweck der Verarbeitung

(1) Die Verarbeitung umfasst das Erheben, Speichern, Ordnen, Verändern, Auslesen, Abfragen, Verwenden, Übermitteln an die vom Verantwortlichen bestimmten Empfänger, Einschränken und Löschen von Daten, soweit dies für den Betrieb von Canguard erforderlich ist.

(2) Zweck der Verarbeitung ist die Verwaltung der Anbauvereinigung durch den Verantwortlichen, insbesondere Mitgliederverwaltung, Beiträge und Finanzen, Anbau und Bestand, Abgabe an Mitglieder, Kommunikation im Club, Nachweise und Berichte nach dem Konsumcannabisgesetz.

§ 3 Art der Daten und Kategorien betroffener Personen

(1) Betroffene Personen sind Mitglieder und Bewerber des Verantwortlichen, Personen mit Aufgaben im Club wie Vorstand und Mitarbeitende, sowie Ansprechpersonen von Lieferanten und Laboren des Verantwortlichen.

(2) Verarbeitet werden folgende Arten von Daten:

• Kontodaten: E-Mail-Adresse, Benutzername, interne Nummer, Sitzungen mit gekürzter IP-Adresse und Gerätetyp,
• Mitgliedschaftsdaten: Mitgliedsnummer, Status, Altersgruppe und gegebenenfalls Monat des 21. Geburtstags, Datum und prüfende Person der Verifikationen, Rollen, Antworten auf Clubfragen, akzeptierte Dokumente,
• Abgabe- und Kontingentdaten: Abgaben, Reservierungen, Kontingente und Guthaben, jeweils unter dem Benutzernamen,
• Finanzdaten: Beiträge, Buchungen und Kontobewegungen, gegenüber Mitgliedern nur mit Mitgliedsnummer,
• Anbau- und Bestandsdaten mit beteiligten Personen unter ihrem Benutzernamen,
• Mitwirkung im Club und Abzeichen,
• Kommunikationsinhalte aus Feed und Chat,
• vom Verantwortlichen hochgeladene Dateien,
• Namen und Anschriften von Lieferanten, soweit sie nach dem Konsumcannabisgesetz zu dokumentieren sind.

(3) Abgabedaten können Rückschlüsse auf den Konsum von Cannabis zulassen und damit Gesundheitsdaten im Sinne des Art. 9 DSGVO sein. Sie werden ausschließlich pseudonymisiert unter dem Benutzernamen geführt. Die Zuordnung zu einer realen Person liegt allein beim Verantwortlichen außerhalb von Canguard.

(4) Canguard ist so gestaltet, dass keine Klarnamen, Geburtsdaten, Anschriften, Ausweisnummern oder Bankverbindungen von Mitgliedern verarbeitet werden. Der Verantwortliche gibt solche Daten nicht in Canguard ein.

§ 4 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen diese Verpflichtung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und den Einstellungen und Handlungen des Verantwortlichen in Canguard. Weitere Weisungen erteilt der Verantwortliche in Textform.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf Daten des Verantwortlichen erhalten nur Personen, die ihn für Betrieb, Wartung oder Unterstützung benötigen, und nur im erforderlichen Umfang.

§ 6 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in der Anlage beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

(2) Er darf die Maßnahmen an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Bei Vertragsschluss sind folgende Unterauftragsverarbeiter eingesetzt:

Unterauftragsverarbeiter	Leistung	Ort der Verarbeitung
Hetzner Online GmbH, Gunzenhausen	Betrieb der Server, Speicherung von Dateien	Deutschland
Sendinblue SAS (Brevo), Paris	Versand von E-Mails	Europäische Union

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund widersprechen. Ist eine Einigung nicht möglich, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind.

(4) Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nicht statt.

§ 8 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen. Canguard stellt dazu insbesondere eine Datenauskunft je Mitglied, Funktionen zur Berichtigung und Löschung sowie automatische Löschfristen bereit.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere mit Informationen für eine Datenschutz-Folgenabschätzung.

§ 9 Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, nachdem sie ihm bekannt geworden ist. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen, und wird ergänzt, sobald weitere Informationen verfügbar sind. Der Auftragsverarbeiter trifft unverzüglich die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen zu mindern.

§ 10 Löschung und Rückgabe

Nach Ende des Hauptvertrags stellt der Auftragsverarbeiter dem Verantwortlichen für 30 Tage einen Export der Verwaltungs- und Nachweisdaten im Umfang von § 11 Abs. 3 des Hauptvertrags zur Verfügung. Private Kanäle und Direktnachrichten von Mitgliedern sind nicht enthalten, weil der Verantwortliche auf sie auch während der Laufzeit keinen Zugriff hat. Danach löscht der Auftragsverarbeiter die Daten des Verantwortlichen, sofern keine Pflicht zur Speicherung nach dem Recht der Union oder eines Mitgliedstaats besteht. Daten in Sicherungskopien werden mit deren Ablauf nach höchstens 30 Tagen gelöscht. Der Auftragsverarbeiter bestätigt die Löschung auf Verlangen in Textform.

§ 11 Nachweise und Überprüfungen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung.

(2) Der Verantwortliche kann die Einhaltung nach vorheriger Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten überprüfen oder durch einen zur Verschwiegenheit verpflichteten Prüfer überprüfen lassen. Die Überprüfung darf den Betrieb und die Vertraulichkeit der Daten anderer Kunden nicht beeinträchtigen. Der Auftragsverarbeiter kann den Nachweis auch durch aktuelle Prüfberichte oder Zertifikate erbringen.

§ 12 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.

§ 13 Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht. Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage: Technische und organisatorische Maßnahmen

Pseudonymisierung und Datensparsamkeit

• Mitglieder nutzen Canguard unter einem selbst gewählten Benutzernamen und einer zufälligen internen Nummer, beide nach dem Anlegen unveränderlich.
• Keine Speicherung von Klarnamen, Geburtsdaten, Anschriften, Ausweisnummern oder Bankverbindungen von Mitgliedern; Altersangabe nur als Altersgruppe.
• Warnhinweise bei Eingaben, die nach echten Namen aussehen.
• Standortdaten werden vor dem Speichern aus Fotos entfernt.
• IP-Adressen in Sitzungen werden gekürzt; Browser-Kennungen werden nicht gespeichert.
• Ereignisprotokolle enthalten keine Freitexte.

Verschlüsselung

• Alle Verbindungen ausschließlich verschlüsselt per TLS, mit HSTS.
• Chat-Nachrichten, Chat-Bilder und sensible Freitexte in Buchungen werden zusätzlich mit einem eigenen Schlüssel je Club verschlüsselt gespeichert.
• Passwörter werden ausschließlich als kryptografischer Hashwert gespeichert.
• Sicherungskopien werden vor der Übertragung verschlüsselt.
• E-Mails werden ausschließlich verschlüsselt an den Versanddienst übertragen.

Zutritts- und Zugangskontrolle

• Betrieb in Rechenzentren der Hetzner Online GmbH in Deutschland mit deren physischen Sicherungsmaßnahmen.
• Serverzugang nur per SSH-Schlüssel, keine Anmeldung per Passwort, kein direkter Zugang als Administrator; Firewall mit Freigabe nur der notwendigen Ports; Schutz gegen wiederholte Anmeldeversuche.
• Zwei-Faktor-Anmeldung für alle Personen mit Verwaltungs-, Abgabe- oder Finanzrechten.
• Begrenzte Sitzungsdauer, Abmelden auf allen Geräten, Geräteliste je Konto.
• Begrenzung der Anfragen bei Anmeldung, Beitritt und Formularen.

Zugriffskontrolle und Trennung

• Rollen mit einzeln vergebbaren Rechten; Prüfung jedes Rechts auf dem Server.
• Strikte Trennung der Daten der Clubs, doppelt abgesichert in der Anwendung und durch Zeilensicherheit in der Datenbank.
• Entwicklung und automatisierte Tests laufen getrennt vom Betrieb mit eigenen Datenbanken; Entwicklungs- und Testdaten enthalten keine echten Daten.

Weitergabekontrolle

• Dateien werden nur über kurzlebige, signierte Links ausgeliefert.
• Exporte und Berichte für Behörden enthalten keine Benutzernamen.
• E-Mails haben neutrale Absender und Betreffzeilen, ohne Öffnungs- und Klickverfolgung.

Eingabekontrolle

• Unveränderliches Ereignisprotokoll für Verwaltungs-, Nachweis- und Sicherheitsaktionen.
• Bestands-, Abgabe- und Finanzdaten als unveränderliche Buchungen; Korrekturen nur als neue Buchung mit Grund.

Verfügbarkeit und Belastbarkeit

• Tägliche verschlüsselte Sicherung bei einem zweiten Anbieter mit 30 Tagen Aufbewahrung; dokumentiertes und erprobtes Verfahren zur Wiederherstellung.
• Automatische Sicherheitsupdates des Betriebssystems; regelmäßige Prüfung der verwendeten Software auf Schwachstellen.
• Überwachung der Erreichbarkeit.

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Tests für Rechteprüfung, Mandantentrennung und Geschäftsregeln bei jeder Änderung.
• Regelmäßige Sicherheitsprüfungen der Anwendung.
• Dokumentierter Notfallplan mit Meldewegen nach Art. 33 DSGVO.
• Automatische Anwendung der Löschfristen mit Protokoll.