Vereinbarung zur Auftragsverarbeitung

1. Parteien und Abschluss

Verantwortlicher ist die Nutzerin bzw. der Nutzer der App oder, wenn sie bzw. er für einen Verein oder eine andere Organisation tätig ist, diese Organisation (im Folgenden „Verantwortlicher“). Wer die App für eine Organisation nutzt, bestätigt, hierzu berechtigt zu sein.

Auftragsverarbeiter ist Jannick Bartel, Bismarckstraße 30, 66111 Saarbrücken, E-Mail: [email protected] (im Folgenden „Auftragsverarbeiter“).

Diese Vereinbarung wird mit der Annahme der Nutzungsbedingungen bei der Registrierung wirksam. Vereine können diese Seite ausdrucken oder als PDF speichern und zu ihren Unterlagen nehmen; eine gesonderte Unterschrift ist nicht erforderlich.

2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

• Gegenstand: Bereitstellung der Web-App „Volleyball Coach“ zur Organisation von Volleyball-Mannschaften, einschließlich Speicherung, Synchronisierung zwischen Geräten und Teilen mit vom Verantwortlichen eingeladenen Co-Trainern.
• Art der Verarbeitung: Erheben, Speichern, Anzeigen, Übermitteln an eingeladene Co-Trainer, Exportieren auf Veranlassung des Verantwortlichen sowie Löschen.
• Zweck: ausschließlich die Erbringung der App-Funktionen für den Verantwortlichen.
• Dauer: entspricht der Laufzeit des Nutzungsvertrags.

3. Art der Daten und Kategorien betroffener Personen

Betroffene Personen:

• Spielerinnen und Spieler der Mannschaften des Verantwortlichen
• vom Verantwortlichen eingeladene Co-Trainer

Datenarten:

• Name, Trikotnummer, Positionen, optional Geburtsdatum
• Anwesenheiten bei Trainings und Spielen, Einsätze und Aufstellungen
• Notizen und Coaching-Beobachtungen des Verantwortlichen
• Termine einschließlich Ort und Notizen
• von Co-Trainern: E-Mail-Adresse und Status der Einladung
• vom Verantwortlichen hochgeladene Bilder zu Übungen

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), insbesondere Gesundheitsdaten, sollen nicht verarbeitet werden. Der Verantwortliche trägt dafür Sorge, solche Daten nicht in Freitextfelder einzutragen.

4. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich einer Übermittlung in Drittländer, sofern er nicht gesetzlich zu einer Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vorab mit, soweit das Gesetz dies nicht verbietet. Als Weisung gelten die Nutzung der App-Funktionen durch den Verantwortlichen sowie Weisungen per E-Mail. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

5. Pflichten des Auftragsverarbeiters

• Vertraulichkeit: Zugriff auf die Daten hat ausschließlich der Auftragsverarbeiter selbst, und nur soweit dies für Betrieb, Fehlerbehebung oder Support erforderlich ist. Er ist zur Vertraulichkeit verpflichtet. Weitere Personen, die künftig Zugriff erhalten, werden vorab zur Vertraulichkeit verpflichtet.
• Sicherheit: Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu unterschreiten.
• Betroffenenrechte: Er unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO). Wendet sich eine betroffene Person direkt an ihn, leitet er die Anfrage an den Verantwortlichen weiter.
• Unterstützung: Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO unter Berücksichtigung der ihm vorliegenden Informationen.
• Datenschutzverletzungen: Er informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes der Daten bekannt wird, mit den ihm vorliegenden Informationen nach Art. 33 Abs. 3 DSGVO.
• Nachweise: Er stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung und ermöglicht Überprüfungen. Überprüfungen erfolgen in der Regel durch Auskünfte und Unterlagen, z. B. die Nachweise der Unterauftragsverarbeiter.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt seine allgemeine Genehmigung für den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen vorab über beabsichtigte Änderungen, z. B. per E-Mail oder in der App. Der Verantwortliche kann einer Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen; ist eine Einigung nicht möglich, kann er den Nutzungsvertrag kündigen.

Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieser Vereinbarung entsprechen. Übermittlungen in Drittländer erfolgen nur unter Einhaltung der Art. 44 ff. DSGVO, insbesondere auf Grundlage des EU-US Data Privacy Framework oder der EU-Standardvertragsklauseln.

7. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er die Daten erheben darf und die betroffenen Personen bzw. deren Erziehungsberechtigte informiert sind. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

8. Löschung und Rückgabe

Der Verantwortliche kann seine Daten jederzeit selbst bearbeiten, löschen und als JSON-Datei exportieren. Nach Ende des Nutzungsvertrags löscht der Auftragsverarbeiter sämtliche Daten des Verantwortlichen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Kopien in Sicherungssystemen der Unterauftragsverarbeiter werden im Rahmen deren regulärer Löschzyklen entfernt.

9. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen der Nutzungsbedingungen. Bei Widersprüchen zwischen dieser Vereinbarung und den Nutzungsbedingungen geht diese Vereinbarung in Bezug auf den Datenschutz vor.

Anlage 1: Technische und organisatorische Maßnahmen

• Verschlüsselung: Übertragung ausschließlich über HTTPS (TLS); Speicherung bei Supabase verschlüsselt (Encryption at Rest).
• Speicherort: Datenbank, Anmeldung und Dateispeicher in Frankfurt am Main (EU).
• Zugriffskontrolle: Datenbankzugriffe sind auf Datensatzebene beschränkt (Row Level Security): Nutzer sehen nur eigene Daten und Mannschaften, die ausdrücklich mit ihnen geteilt wurden; Rollen „Co-Trainer“ und „Nur Lesen“.
• Authentifizierung: Passwörter nur als Hash gespeichert; Passwortrichtlinie (mind. 8 Zeichen, mind. eine Ziffer); E-Mail-Bestätigung bei Registrierung; zeitlich begrenzte Sitzungstokens.
• Dateien: Übungsbilder in einem nicht öffentlichen Speicherbereich, Zugriff nur für den jeweiligen Nutzer.
• Anwendungssicherheit: Content Security Policy und weitere Sicherheits-Header; keine Einbindung externer Skripte, Schriften oder Tracking-Dienste; Begrenzung der Versandrate für E-Mails; Validierung von Importdateien.
• Lokale Daten: Zwischenspeicher auf dem Endgerät ist an das Nutzerkonto gebunden und wird beim Abmelden gelöscht.
• Administrativer Zugriff: Zugänge zu den Dienstleistern nur durch den Auftragsverarbeiter, geschützt durch starke, individuelle Passwörter und Zwei-Faktor-Authentifizierung, soweit angeboten.
• Datenminimierung: Pflichtangaben nur E-Mail und Passwort; Geburtsdatum und Notizen optional; Protokolle zur Missbrauchsabwehr werden nach 7 Tagen bzw. 24 Stunden gelöscht.
• Verfügbarkeit: Hosting bei etablierten Infrastrukturanbietern; Export aller Daten durch den Nutzer jederzeit möglich.

Anlage 2: Unterauftragsverarbeiter

• Supabase Pte. Ltd. (Singapur) – Datenbank, Anmeldung, Dateispeicher, Serverfunktionen; Speicherort Frankfurt am Main; Standardvertragsklauseln
• Cloudflare, Inc. (USA) – Auslieferung der App, DNS, Schutz vor Angriffen; EU-US Data Privacy Framework / Standardvertragsklauseln
• Plus Five Five, Inc. (Resend) (USA) – Versand von Einladungs-E-Mails an Co-Trainer; Standardvertragsklauseln
• STRATO GmbH (Deutschland) – E-Mail-Postfach für Support-Anfragen