Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)
zwischen dem Nutzer von Satzplan (Trainer bzw. Verein – „Verantwortlicher“) und Bernhard Rauleder, Ziegelstraße 11/1, 71409 Schwaikheim („Auftragsverarbeiter“). Er wird mit Annahme der AGB geschlossen und gilt für die Dauer der Nutzung.
1. Gegenstand, Art und Zweck
Bereitstellung der Web-App zur Verwaltung von Mannschaften: Speichern, Anzeigen, Auswerten und Ausdrucken der vom Verantwortlichen eingegebenen Daten. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.
2. Betroffene Personen und Datenarten
- Betroffene: Spielerinnen und Spieler, ggf. Co-Trainer der Mannschaften des Verantwortlichen.
- Daten: Namen/Spitznamen, Trikotnummern, Positionen, Anwesenheit, Notizen und Bewertungen, Spiel- und Trainingsstatistik.
- Keine besonderen Kategorien (Art. 9 DSGVO), z. B. keine Gesundheitsdaten – der Verantwortliche gibt solche Daten nicht ein.
3. Pflichten des Auftragsverarbeiters
- Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen (die Nutzung der App-Funktionen gilt als Weisung).
- Vertraulichkeit aller mit der Verarbeitung befassten Personen.
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (siehe Nr. 6).
- Unterstützung bei Betroffenenrechten und bei Meldungen von Datenschutzverletzungen; Meldung einer Verletzung unverzüglich, möglichst binnen 48 Stunden.
- Nach Vertragsende Löschung aller Daten des Verantwortlichen binnen 30 Tagen, sofern keine Aufbewahrungspflicht besteht; Sicherungskopien werden im regulären Zyklus überschrieben.
- Nachweis der Einhaltung auf Anfrage.
4. Unterauftragsverarbeiter
Der Verantwortliche stimmt folgenden Unterauftragsverarbeitern zu:
- All-inkl.com – Betrieb von Server und Datenbank
- info@all-inkl.com – Versand von E-Mails
- Nur bei vereinbartem KI-Add-on: OpenAI, L.L.C. bzw. Anthropic PBC (USA) – Erstellung von KI-Trainingsplänen; Übermittlung auf Grundlage von [EU-US Data Privacy Framework / Standardvertragsklauseln]
Über Änderungen wird der Verantwortliche vorab informiert; er kann widersprechen.
5. Rechte und Pflichten des Verantwortlichen
Der Verantwortliche ist für die Zulässigkeit der Verarbeitung und die Information der Betroffenen verantwortlich (z. B. im Rahmen der Vereinsmitgliedschaft).
6. Technische und organisatorische Maßnahmen
- Verschlüsselte Übertragung (HTTPS/TLS)
- Zugang nur mit persönlichem Konto; Passwörter ausschließlich als Hash; Schutz gegen Durchprobieren
- Strikte Mandantentrennung: jeder Zugang sieht nur seine eigenen Mannschaften
- API-Schlüssel und SMTP-Passwort verschlüsselt gespeichert
- Tägliche automatische Datensicherung, Wiederherstellung mit Prüfung
- Administrative Einsicht nur in Kennzahlen, nicht in Inhalte anderer Zugänge
- Dresden