Auftragsverarbeitungsvertrag (AVV)

Der Auftragsverarbeiter stellt dem Verantwortlichen die webbasierte Vereinsverwaltungsplattform „Klubnavi“ als Software-as-a-Service-Lösung (SaaS) zur Verfügung.

Im Rahmen der Nutzung von Klubnavi verarbeitet der Auftragsverarbeiter personenbezogene Daten ausschließlich im Auftrag, auf Weisung und für die Zwecke des Verantwortlichen gemäß Art. 28 DSGVO. Eine Verarbeitung der personenbezogenen Daten zu eigenen Zwecken des Auftragsverarbeiters erfolgt nicht.

Die Verarbeitung umfasst insbesondere die Erfassung, Speicherung, Organisation, Strukturierung, Anpassung, Auswertung, Bereitstellung, Übermittlung, Sicherung, Archivierung sowie Löschung personenbezogener Daten, soweit dies für die vertragsgemäße Bereitstellung und Nutzung von Klubnavi erforderlich ist.

Der Verantwortliche entscheidet allein über die Zwecke und Mittel der Verarbeitung personenbezogener Daten im Rahmen der Nutzung der Plattform. Der Auftragsverarbeiter handelt ausschließlich als technischer Dienstleister und Betreiber der Plattform.

Die Verarbeitung personenbezogener Daten erfolgt zum Zweck der Bereitstellung, Durchführung und Unterstützung der digitalen Vereinsorganisation durch den Verantwortlichen.

Hierzu gehören insbesondere:

• Verwaltung von Mitgliedern einschließlich Stammdaten, Kontaktdaten, Mitgliedschaftsstatus und vereinsbezogenen Informationen;
• Verwaltung von Abteilungen, Mannschaften, Trainingsgruppen und sonstigen organisatorischen Einheiten innerhalb des Vereins;
• Organisation, Planung und Dokumentation von Trainings, Spielen, Wettkämpfen, Veranstaltungen und sonstigen Vereinsaktivitäten;
• Verwaltung von Anwesenheiten, Zu- und Absagen sowie sonstigen teilnahmebezogenen Informationen;
• Verwaltung von Funktionen, Rollen, Berechtigungen und Zugriffsrechten innerhalb der Plattform;
• Einladung, Registrierung und Verwaltung von Nutzerkonten für Vereinsmitglieder, Trainer/innen, Funktionsträger/innen und sonstige berechtigte Personen;
• Versand von Systemnachrichten, Einladungen, Benachrichtigungen, Erinnerungen und sonstigen vereinsbezogenen Mitteilungen per E-Mail oder über integrierte Kommunikationsfunktionen;
• Bereitstellung von Auswertungen, Übersichten und Berichten zur Unterstützung der Vereinsverwaltung;
• Speicherung, Sicherung und Wiederherstellung von Datenbeständen im Rahmen von Backup- und Notfallkonzepten;
• Protokollierung von Systemzugriffen und Nutzeraktivitäten zur Gewährleistung der IT-Sicherheit, Nachvollziehbarkeit und Fehleranalyse;
• Hosting, technischer Betrieb, Wartung, Fehlerbehebung, Weiterentwicklung und Absicherung der Plattform.

Die konkrete Nutzung der einzelnen Funktionen sowie die hierbei verarbeiteten Daten werden durch den Verantwortlichen bestimmt.

Von der Verarbeitung können insbesondere folgende Kategorien betroffener Personen betroffen sein:

• aktive und passive Vereinsmitglieder;
• Spieler/innen;
• Trainer/innen;
• Betreuer/innen;
• Übungsleiter/innen;
• Mannschaftsverantwortliche;
• Vorstandsmitglieder;
• Abteilungsleitungen;
• Schiedsrichter/innen;
• ehrenamtliche Helfer/innen;
• Vereinsmitarbeiter/innen und sonstige Funktionsträger/innen;
• Gastspieler/innen, Probemitglieder und Teilnehmer/innen an Vereinsveranstaltungen;
• Erziehungsberechtigte, Eltern oder gesetzliche Vertreter/innen minderjähriger Mitglieder;
• Nutzer/innen der Plattform mit administrativen oder organisatorischen Aufgaben;
• sonstige Personen, deren personenbezogene Daten durch den Verantwortlichen im Rahmen der Vereinsverwaltung in Klubnavi verarbeitet werden.

Die konkrete Zusammensetzung der betroffenen Personengruppen hängt von der Nutzung der Plattform durch den jeweiligen Verein ab.

Im Rahmen der Nutzung von Klubnavi können je nach Art und Umfang der Nutzung durch den Verantwortlichen insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden:

Stammdaten

• Vor- und Nachname
• Geburtsdatum
• Geschlecht
• Mitgliedsnummern
• Vereinsinterne Identifikationsnummern
• Eintritts- und Austrittsdaten
• Zugehörigkeit zu Vereinsbereichen, Abteilungen oder Mannschaften

Kontaktdaten

• Anschrift
• E-Mail-Adresse
• Telefonnummern
• Notfallkontakte
• Kontaktdaten von Erziehungsberechtigten oder gesetzlichen Vertreter/innen

Vereins- und Organisationsdaten

• Mannschaftszugehörigkeiten
• Abteilungszugehörigkeiten
• Vereinsfunktionen und Ämter
• Funktionen als Trainer/in, Betreuer/in oder Schiedsrichter/in
• Berechtigungen und Rollen innerhalb des Vereins
• Teilnahme an Trainings, Spielen, Veranstaltungen und sonstigen Vereinsaktivitäten

Nutzungs- und Zugangsdaten

• Benutzername
• Login-Zeitpunkte
• Anmelde- und Zugriffsprotokolle
• IP-Adressen
• Geräte- und Browserinformationen
• Protokolldaten zur Systemsicherheit und Fehleranalyse

Kommunikationsdaten

• Einladungen
• Benachrichtigungen
• Systemnachrichten
• Kommunikationshistorien innerhalb der Plattform
• E-Mail-Versandprotokolle

Dokumenten- und Dateidaten

• Vom Verantwortlichen hochgeladene Dokumente
• Formulare
• Bescheinigungen
• Vereinsinterne Unterlagen
• Sonstige Dateien und Anhänge

Besondere Kategorien personenbezogener Daten

Soweit durch den Verantwortlichen in der Plattform verarbeitet, können auch besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO betroffen sein. Dies betrifft insbesondere gesundheitsbezogene Informationen, sportmedizinische Angaben, Informationen zu körperlichen Einschränkungen oder sonstige durch den Verantwortlichen bereitgestellte Daten besonderer Schutzwürdigkeit. Die Verarbeitung solcher Daten erfolgt ausschließlich auf Weisung des Verantwortlichen und nur soweit eine entsprechende Rechtsgrundlage vorliegt.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit nicht eine gesetzliche Verpflichtung zur Verarbeitung besteht. In einem solchen Fall informiert der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung, sofern eine solche Mitteilung gesetzlich zulässig ist.

Der Auftragsverarbeiter verpflichtet sich,

• personenbezogene Daten ausschließlich für die Erfüllung der vertraglich vereinbarten Leistungen zu verarbeiten;
• personenbezogene Daten nicht für eigene Zwecke zu nutzen oder an unberechtigte Dritte weiterzugeben;
• sämtliche Personen, die Zugriff auf personenbezogene Daten haben, zur Vertraulichkeit zu verpflichten und regelmäßig für Datenschutz- und Informationssicherheitsthemen zu sensibilisieren;
• geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu implementieren und deren Wirksamkeit regelmäßig zu überprüfen;
• den Verantwortlichen bei der Erfüllung seiner datenschutzrechtlichen Pflichten nach Art. 28 bis 36 DSGVO angemessen zu unterstützen;
• den Verantwortlichen bei der Bearbeitung von Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit oder Widerspruch zu unterstützen;
• den Verantwortlichen unverzüglich über Anfragen von Aufsichtsbehörden oder betroffenen Personen zu informieren, soweit diese die Verarbeitung im Rahmen dieses Vertrages betreffen;
• Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden an den Verantwortlichen zu melden und alle verfügbaren Informationen bereitzustellen, die zur Erfüllung gesetzlicher Melde- und Benachrichtigungspflichten erforderlich sind;
• dem Verantwortlichen auf Anfrage die zur Prüfung der Einhaltung dieser Vereinbarung erforderlichen Informationen bereitzustellen;
• personenbezogene Daten nach Beendigung des Vertragsverhältnisses nach Weisung des Verantwortlichen zu löschen oder zurückzugeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Der Auftragsverarbeiter führt ein angemessenes Sicherheits- und Datenschutzmanagement und dokumentiert die wesentlichen technischen und organisatorischen Schutzmaßnahmen.

Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeiten und Schwere möglicher Risiken für die Rechte und Freiheiten natürlicher Personen angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO.

Zu den eingesetzten Maßnahmen gehören insbesondere:

Vertraulichkeit

• Verschlüsselte Datenübertragung mittels aktueller TLS-/HTTPS-Technologien.
• Passwortgeschützte Benutzerkonten.
• Rollen- und Berechtigungskonzepte zur Beschränkung des Zugriffs auf erforderliche Daten.
• Zugriff auf personenbezogene Daten ausschließlich für autorisierte Personen.
• Regelmäßige Überprüfung und Anpassung von Berechtigungen.

Integrität

• Protokollierung relevanter System- und Nutzeraktivitäten.
• Schutzmechanismen gegen unbefugte Änderungen von Daten.
• Kontrollierte Software-Deployments und Änderungsprozesse.
• Maßnahmen zur Erkennung und Behandlung von Sicherheitsvorfällen.

Verfügbarkeit und Belastbarkeit

• Regelmäßige Datensicherungen (Backups).
• Verfahren zur Wiederherstellung von Daten im Störungs- oder Schadensfall.
• Technisches Monitoring der Systemlandschaft.
• Maßnahmen zum Schutz vor Datenverlust, Systemausfällen und unbefugten Zugriffen.
• Nutzung professioneller Hosting- und Infrastrukturumgebungen innerhalb der Europäischen Union.

Trennung und Mandantenfähigkeit

• Logische Trennung der Datenbestände verschiedener Vereine.
• Technische Maßnahmen zur Verhinderung unberechtigter Zugriffe zwischen verschiedenen Mandanten.
• Mandantenbezogene Berechtigungs- und Zugriffskonzepte.

Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Überprüfung der technischen und organisatorischen Maßnahmen.
• Sicherheitsrelevante Updates und Patches im Rahmen etablierter Wartungsprozesse.
• Laufende Bewertung von Risiken für die Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten.
• Dokumentation wesentlicher Sicherheitsmaßnahmen und deren Weiterentwicklung.

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Inanspruchnahme weiterer Auftragsverarbeiter (Unterauftragsverarbeiter) gemäß Art. 28 Abs. 2 DSGVO, soweit diese für die vertragsgemäße Bereitstellung und den Betrieb von Klubnavi erforderlich sind.

Der Auftragsverarbeiter verpflichtet sich, mit sämtlichen Unterauftragsverarbeitern Verträge abzuschließen, die den Anforderungen des Art. 28 DSGVO entsprechen und ein angemessenes Datenschutzniveau gewährleisten.

Zum Zeitpunkt des Vertragsschlusses werden insbesondere folgende Unterauftragsverarbeiter eingesetzt:

Der Auftragsverarbeiter informiert den Verantwortlichen in geeigneter Weise über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann gegen solche Änderungen innerhalb einer angemessenen Frist aus wichtigem datenschutzrechtlichem Grund Einwände erheben.

Eine Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, soweit hierfür die gesetzlichen Voraussetzungen der DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss der Europäischen Kommission oder geeignete Garantien gemäß Art. 44 ff. DSGVO.

Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Einhaltung der datenschutzrechtlichen Verpflichtungen der eingesetzten Unterauftragsverarbeiter verantwortlich.

Dieser Auftragsverarbeitungsvertrag wird elektronisch im Rahmen der Registrierung und Nutzung von Klubnavi geschlossen.

Der Verantwortliche bestätigt durch die aktive Zustimmung während des Registrierungsprozesses, dass die handelnde Person berechtigt ist, den Verein oder die Organisation rechtsverbindlich zu vertreten und diesen Auftragsverarbeitungsvertrag abzuschließen.

Die Zustimmung erfolgt durch eine ausdrückliche elektronische Bestätigung innerhalb des Registrierungsprozesses. Ohne diese Zustimmung kann die Registrierung und Nutzung von Klubnavi nicht abgeschlossen werden.

Der Auftragsverarbeiter dokumentiert die Zustimmung in geeigneter Weise. Hierzu können insbesondere Zeitpunkt der Zustimmung, Nutzerkennung, Vereinszuordnung, IP-Adresse, User-Agent sowie die jeweils gültige Version dieses Auftragsverarbeitungsvertrags gespeichert werden.

Die zum Zeitpunkt der Zustimmung gültige Fassung dieses Auftragsverarbeitungsvertrags gilt als zwischen den Parteien vereinbart.

Der Verantwortliche kann die jeweils aktuelle Fassung des Auftragsverarbeitungsvertrags jederzeit über die von Klubnavi bereitgestellte Webseite abrufen und herunterladen.

Laufzeit und Beendigung

Dieser Auftragsverarbeitungsvertrag tritt mit der elektronischen Zustimmung des Verantwortlichen in Kraft und gilt für die gesamte Dauer der Nutzung von Klubnavi durch den Verantwortlichen.

Die Laufzeit dieses Vertrages richtet sich nach der Laufzeit des zwischen den Parteien bestehenden Nutzungsverhältnisses über die Plattform Klubnavi. Mit Beendigung des Nutzungsverhältnisses endet grundsätzlich auch dieser Auftragsverarbeitungsvertrag.

Nach Beendigung des Vertragsverhältnisses wird der Auftragsverarbeiter sämtliche personenbezogenen Daten nach Wahl des Verantwortlichen löschen oder zurückgeben, sofern keine gesetzlichen Aufbewahrungspflichten oder sonstigen gesetzlichen Verpflichtungen einer Löschung entgegenstehen.

Soweit personenbezogene Daten in Sicherungskopien (Backups) enthalten sind, erfolgt deren Löschung im Rahmen der regulären Backup- und Löschzyklen des Auftragsverarbeiters.

Der Auftragsverarbeiter bestätigt auf Anfrage die Durchführung der Löschung oder Rückgabe der personenbezogenen Daten.

Schlussbestimmungen

Änderungen und Ergänzungen dieses Auftragsverarbeitungsvertrages bedürfen mindestens der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.

Sollten einzelne Bestimmungen dieses Vertrages ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine wirksame Regelung zu ersetzen, die dem wirtschaftlichen und rechtlichen Zweck der ursprünglichen Regelung möglichst nahekommt.

Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

Soweit gesetzlich zulässig, ist Gerichtsstand für sämtliche Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag München.

Die zwingenden Vorschriften der Datenschutz-Grundverordnung sowie sonstige anwendbare datenschutzrechtliche Bestimmungen bleiben unberührt.