Vertrag zur Auftragsverarbeitung (AVV)

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO. Er gilt ergänzend zu den Allgemeinen Geschäftsbedingungen.

Vertragsparteien

Verantwortlicher (Auftraggeber): der jeweilige Kunde (Verein, Verband oder Unternehmen) gemäß dem zugrunde liegenden Hauptvertrag mit seinen dort angegebenen Kontaktdaten
Auftragsverarbeiter (Auftragnehmer): Alexander Osiik - Softwareentwicklung, Hafenstr. 12, 23568 Lübeck

§ 1 Gegenstand, Art und Zweck, Dauer

Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1. Die Dauer der Verarbeitung entspricht der Laufzeit des zugrunde liegenden Hauptvertrags (Nutzung des League Managers).

§ 2 Weisungsbindung (Art. 28 Abs. 3 lit. a)

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Er informiert den Verantwortlichen, wenn er eine Weisung für rechtswidrig hält (Art. 28 Abs. 3 Satz 2).

§ 3 Vertraulichkeit (Art. 28 Abs. 3 lit. b)

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 4 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32)

Der Auftragsverarbeiter trifft die erforderlichen technischen und organisatorischen Maßnahmen zur Sicherheit der Verarbeitung. Der aktuelle Stand ist in Anlage 2 beschrieben.

§ 5 Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4, Abs. 3 lit. d)

Der Einsatz weiterer Auftragsverarbeiter erfolgt nur mit allgemeiner Genehmigung des Verantwortlichen. Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern dieselben Datenschutzpflichten auf. Die derzeit eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt; über beabsichtigte Änderungen wird der Verantwortliche vorab informiert und kann widersprechen.

§ 6 Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e)

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO).

§ 7 Unterstützung bei weiteren Pflichten (Art. 28 Abs. 3 lit. f, Art. 32–36)

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten zur Sicherheit der Verarbeitung, zur Meldung von Verletzungen des Schutzes personenbezogener Daten sowie ggf. zur Datenschutz-Folgenabschätzung.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, spätestens innerhalb von 48 Stunden.

§ 9 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g)

Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.

§ 10 Nachweise und Überprüfungen (Art. 28 Abs. 3 lit. h)

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieser Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen.

§ 11 Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in datenschutzrechtlichen Fragen vor. Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 – Beschreibung der Verarbeitung

• Art der Verarbeitung: Erheben, Speichern, Anzeigen, Ändern, Löschen im Rahmen der Ligaverwaltung.
• Zweck: Bereitstellung der League-Manager-Funktionen.
• Art der Daten: Konto- und Kontaktdaten (z. B. Name, E-Mail-Adresse, Rolle/Berechtigungen), Ligadaten (Vereine, Teams, Spieler:innen, Schiedsrichter-Einsätze, Spiele, Ergebnisse, Tabellen) sowie Nutzungs- und Protokolldaten.
• Kategorien betroffener Personen: Nutzer:innen (Kontoinhaber:innen), Spieler:innen, Schiedsrichter:innen sowie Team- und Vereinskontakte.

Anlage 2 – Technische und organisatorische Maßnahmen (TOM)

• Zutrittskontrolle: Serverbetrieb in den zugangsgesicherten Rechenzentren des Hosting-Dienstleisters (Strato GmbH) in Deutschland.
• Zugangs- und Zugriffskontrolle: individuelle Benutzerkonten, rollen- und rechtebasierte Zugriffssteuerung, Zugriff nach dem Need-to-know-Prinzip.
• Weitergabe-/Übertragungskontrolle: verschlüsselte Datenübertragung (TLS).
• Eingabekontrolle: Protokollierung sicherheitsrelevanter Ereignisse.
• Verfügbarkeits- und Wiederherstellbarkeitskontrolle: regelmäßige Datensicherungen.
• Auftragskontrolle: vertragliche Bindung eingesetzter Unterauftragsverarbeiter.
• Regelmäßige Überprüfung, Bewertung und Aktualisierung der Maßnahmen.

Anlage 3 – Unterauftragsverarbeiter

• Strato GmbH, Berlin (Deutschland) – Hosting/Serverbetrieb; Ort der Verarbeitung: Deutschland.
• Strato GmbH, Berlin (Deutschland) – E-Mail-/SMTP-Versand von System-E-Mails; Ort der Verarbeitung: Deutschland.

Stand: August 2026