Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO regelt die Verarbeitung personenbezogener Daten durch die Mitterschida Ventures UG (haftungsbeschränkt) im Auftrag des nutzenden Vereins.

Geschlossen zwischen dem nutzenden Verein (nachfolgend „Verantwortlicher“, identifiziert durch die im .sinnet-Konto hinterlegten Vereinsdaten) und der Mitterschida Ventures UG (haftungsbeschränkt), Mitterschida 1, 94327 Bogen, vertreten durch den Geschäftsführer Felix Groß (nachfolgend „Auftragsverarbeiter“).

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der SaaS-Plattform .sinnet (Verwaltung von Vereinsligen, Turnieren, Ranglisten, Mitgliedern und – sofern genutzt – Platzbuchungen).

Die Dauer entspricht der Laufzeit des Hauptvertrags (Nutzungsvertrag/AGB). Der AVV endet automatisch mit dessen Beendigung.

§ 2 Art, Zweck und Kategorien

Art der Verarbeitung: Erheben, Speichern, Organisieren, Anzeigen, Verändern und Löschen im Rahmen der Plattformfunktionen.

Zweck: Bereitstellung der Plattformfunktionen für den Verantwortlichen.

Kategorien betroffener Personen: Vereinsmitglieder, Spieler, Vereinsadministratoren sowie ggf. Erziehungsberechtigte Minderjähriger.

Kategorien personenbezogener Daten: Namen, E-Mail-Adressen, Benutzernamen, Profilbilder, Spiel- und Wettbewerbsdaten (Ergebnisse, Tabellen, Ranglisten), Mitgliedschaftszuordnungen, bei Minderjährigen Daten der Erziehungsberechtigten sowie ggf. Platzbuchungsdaten.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung.

§ 3 Weisungsbindung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Plattform und ihrer Funktionen gilt als Weisung.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung befassten Personen auf Vertraulichkeit, soweit sie nicht bereits gesetzlich einer Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).

§ 5 Technische und organisatorische Maßnahmen (Art. 32)

Der Auftragsverarbeiter trifft die erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Diese sind in der TOM-Dokumentation beschrieben, die auf Anfrage bereitgestellt wird, und sind Bestandteil dieses Vertrags.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche genehmigt mit Abschluss dieses Vertrags den Einsatz folgender Unterauftragsverarbeiter:

Hetzner Online GmbH (Hosting, Object Storage; Deutschland) · Amazon Web Services EMEA SARL (transaktionaler E-Mail-Versand; EU, Region eu-west-1/Irland) · Stripe Payments Europe Ltd. (Zahlungsabwicklung; Irland).

Der Auftragsverarbeiter informiert über beabsichtigte Änderungen (Hinzuziehung oder Austausch) vorab; der Verantwortliche kann begründet widersprechen.

Mit jedem Unterauftragsverarbeiter bestehen Verträge mit Datenschutzpflichten, die denen dieses Vertrags entsprechen.

§ 7 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen Betroffener (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) – unter anderem durch die Self-Service-Funktionen der Plattform (Datenauskunft/Export, Kontolöschung).

Er unterstützt bei der Einhaltung der Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung) im Rahmen des Zumutbaren.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.

§ 9 Löschung und Rückgabe

Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht (z. B. Rechnungsdaten 10 Jahre). Die Plattform ermöglicht dem Verantwortlichen den Export vor Beendigung.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen im angemessenen Rahmen (Art. 28 Abs. 3 lit. h DSGVO).

§ 11 Schlussbestimmungen

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in datenschutzrechtlichen Fragen vor.

Es gilt deutsches Recht.