Kaderbutler

Vorlage – vor Veröffentlichung rechtlich prüfen lassen.

Vereinbarung zur Auftragsverarbeitung

gemäß Art. 28 DSGVO

zwischen dem Team bzw. Verein, das/der ein Team in Kaderbutler anlegt und verwaltet (im Folgenden „Verantwortlicher“),

und [Vorname Nachname], [Anschrift], E-Mail: [kontakt@deine-domain.de] als Betreiber von Kaderbutler (im Folgenden „Auftragsverarbeiter“).

Die Vereinbarung wird beim Anlegen eines Teams durch Bestätigung abgeschlossen. Stand: [Datum]

1. Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen die Web-App Kaderbutler zur Organisation seines Teams bereit und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Die Vereinbarung gilt, solange das Team in Kaderbutler besteht.

2. Art und Zweck der Verarbeitung

Speichern, Anzeigen, Übermitteln an berechtigte Teammitglieder, Benachrichtigen (Push und E-Mail), Exportieren und Löschen von Daten – ausschließlich zur Bereitstellung der Teamorganisation (Termine, Zu- und Absagen, Mitgliederverwaltung, Kommunikation, Dateien, Mannschaftskasse).

3. Art der Daten und Kategorien betroffener Personen

Betroffene Personen: Mitglieder des Teams (Spieler), Eltern bzw. Sorgeberechtigte, Trainer und sonstige Funktionsträger.

Arten von Daten:

  • Stammdaten und Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer, Anschrift, Profilbild)
  • Geburtsdaten
  • Teamangaben (Rolle, Position, Trikotnummer, Gruppen)
  • Teilnahmedaten (Zu- und Absagen, Anwesenheit, Begründungen)
  • Finanzdaten (Strafen, Beiträge, Kassenbuchungen)
  • Chatnachrichten, Kommentare, Abstimmungen
  • hochgeladene Dateien und Bilder

4. Pflichten des Auftragsverarbeiters

  • Weisungen: Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus dieser Vereinbarung und aus den Einstellungen und Funktionen, die der Verantwortliche in der App nutzt. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin.
  • Vertraulichkeit: Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
  • Unterstützung: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit zumutbar.
  • Meldung von Verletzungen: Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die Teamverantwortlichen.
  • Löschung und Rückgabe: Der Verantwortliche kann Daten jederzeit über die Export- und Löschfunktionen der App selbst exportieren bzw. löschen. Nach Löschung des Teams werden alle Teamdaten nach einer Frist von 14 Tagen endgültig entfernt; Kopien in Sicherungen werden spätestens nach weiteren 14 Tagen überschrieben.
  • Nachweise: Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Pflichten erforderlich sind, und ermöglicht Überprüfungen nach vorheriger Abstimmung.

5. Technische und organisatorische Maßnahmen

  • Server-Standort in Deutschland ([Hoster])
  • verschlüsselte Übertragung aller Verbindungen (TLS)
  • Passwörter werden ausschließlich als sicherer Hash gespeichert
  • Rechtekonzept je Team: Mitglieder sehen nur Daten ihrer Teams entsprechend ihrer Rolle und Rechte
  • tägliche Sicherungen mit einer Aufbewahrung von 14 Tagen
  • administrativer Zugriff auf Server und Datenbank nur durch den Betreiber
  • Protokollierung von Serverzugriffen (Server-Logs max. 14 Tage)
  • regelmäßige Updates von Betriebssystem und Software

Der Auftragsverarbeiter darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

  • Hosting: [Netcup GmbH, Karlsruhe, Deutschland]
  • E-Mail-Versand: [Anbieter, Sitz]
  • Push-Dienste der Browserhersteller (z. B. Google, Apple, Mozilla): nur Transport verschlüsselter Benachrichtigungen an Geräte, die Push-Nachrichten erlaubt haben; die Inhalte sind für diese Dienste nicht lesbar.

Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter vorab im Dienst oder per E-Mail. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; in diesem Fall kann er das Team löschen und die Vereinbarung beenden. Mit Unterauftragsverarbeitern werden Verträge geschlossen, die den Anforderungen des Art. 28 DSGVO entsprechen.

7. Rechte und Pflichten des Verantwortlichen

  • Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, die Information der Betroffenen und erforderliche Einwilligungen (bei Minderjährigen der Eltern bzw. Sorgeberechtigten) verantwortlich.
  • Er kann Weisungen erteilen, Auskünfte verlangen und die Einhaltung dieser Vereinbarung überprüfen.
  • Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

8. Laufzeit und Kündigung

Die Vereinbarung beginnt mit dem Anlegen des Teams und endet mit dessen Löschung. Der Verantwortliche kann sie jederzeit beenden, indem er das Team löscht. Die Pflichten zur Vertraulichkeit und zur Löschung gelten über das Ende hinaus fort. Im Übrigen gelten die Nutzungsbedingungen (/agb).