Auftragsverarbeitung

Präambel

Dieser Vertrag gilt zwischen dem Team beziehungsweise dem Verein, der Squova nutzt (nachfolgend „Verantwortlicher“), und dem Anbieter von Squova (nachfolgend „Auftragsverarbeiter“):

MetelkoLab

Inhaber: Niklas Metelko

c/o flexdienst – #21955

Kurt-Schumacher-Straße 74

67663 Kaiserslautern

Deutschland

E-Mail: info@squova.de

Der Verantwortliche verarbeitet mit Squova personenbezogene Daten seiner Mitglieder und weiterer Personen. Der Auftragsverarbeiter stellt dafür die Plattform bereit und verarbeitet diese Daten im Auftrag; was er in eigener Verantwortung tut, regeln § 3.4 bis § 3.6.

Dieser Vertrag konkretisiert die Pflichten aus Art. 28 DSGVO. Er gilt zusätzlich zu den Nutzungsbedingungen und geht diesen vor, soweit er die Verarbeitung personenbezogener Daten regelt.

Wer ein Team oder einen Verein anlegt, schließt diesen Vertrag beim Anlegen für die Stelle, für die er handelt. Wird ein Verein Träger eines Teams (§ 4.9 der Nutzungsbedingungen), schließt sein Vorstand diesen Vertrag für den Verein mit der Bestätigung, und 14 Tage danach wird der Verein für das Team Verantwortlicher an Stelle des bisherigen. Für ein Team, das ein Verein trägt, gilt der Vertrag des Vereins; einer neuen Fassung stimmt sein Vorstand zu. Wer einem Team nur beitritt, schließt ihn nicht: Verantwortlicher ist die Stelle, die über die Verarbeitung entscheidet.

§ 1 Gegenstand, Dauer und Rangfolge

1.1 Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung von Squova, wie in Anlage 1 beschrieben.

1.2 Der Vertrag läuft, solange der Verantwortliche Squova nutzt. Er endet mit dem Nutzungsverhältnis, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten aus § 9 bestehen darüber hinaus fort.

1.3 Bei Widersprüchen gilt: dieser Vertrag vor den Nutzungsbedingungen, Weisungen des Verantwortlichen vor beidem, soweit sie sich im Rahmen von § 3 halten.

§ 2 Art der Daten und Kreis der Betroffenen

2.1 Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten und der Kreis der betroffenen Personen ergeben sich aus Anlage 1.

2.2 Der Verantwortliche entscheidet allein, welche Daten er in Squova einträgt oder eintragen lässt. Der Auftragsverarbeiter kennt den Inhalt der Freitextfelder nicht im Voraus.

2.3 Der Verantwortliche stellt sicher, dass er für die Verarbeitung eine Rechtsgrundlage hat. Das gilt besonders für:

• besondere Kategorien nach Art. 9 DSGVO, etwa Angaben zur Verfügbarkeit nach einer Verletzung,
• Daten Dritter ohne eigenes Konto, etwa Kontakte und Notfallkontakte, für die Art. 14 DSGVO eine Informationspflicht begründet,
• Minderjährige, für die je nach Alter die Zustimmung der Erziehungsberechtigten erforderlich ist.

§ 3 Weisungen

3.1 Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.2 Die Nutzung der Funktionen durch den Verantwortlichen und die von ihm berechtigten Personen gilt als Weisung. Darüber hinausgehende Weisungen erfolgen in Textform an info@squova.de.

3.3 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung bis zur Klärung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

3.4 Nicht von diesem Vertrag erfasst ist die Auswertung von Nutzungs- und Betriebsdaten in zusammengefasster Form (Anzahl und Größe der Teams, Auslastung, genutzte Module, Speicherverbrauch, Fehlerhäufigkeit). Dafür ist der Auftragsverarbeiter selbst Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Die Auswertung erfolgt ohne Bezug auf einzelne Personen und ohne Inhalte; Näheres steht in der Datenschutzerklärung.

3.5 Abweichend von § 3.1 trifft der Auftragsverarbeiter die folgenden Maßnahmen nicht auf Weisung, sondern in eigener Verantwortung (Art. 28 Abs. 10 DSGVO), wenn er damit die Nutzungsbedingungen durchsetzt oder eine Pflicht aus dem Digital Services Act erfüllt. Er protokolliert jede Maßnahme und teilt sie dem Verantwortlichen per E-Mail mit: bei einem Team, das ein Verein trägt, dem Vorstand dieses Vereins, bei jedem anderen Team den Inhaber:innen und, wenn das Team keine Inhaber:in hat, dem Vorstand des Vereins, dem es angehört. Hat der Verein, der ein Team trägt, keinen Vorstand, geht die Mitteilung an die Inhaber:innen:

• ein Team sperren, mit Grund, und die Sperre aufheben,
• ein Team in den Papierkorb legen, mit Grund und dem Tag der Löschung (§ 9.2), und es daraus wiederherstellen,
• ein Team umbenennen, mit altem und neuem Namen und dem Grund,
• die Rolle einer Person im Team ersetzen, soweit das nicht auf eine Weisung des Verantwortlichen geschieht, mit Grund; die Person selbst erfährt es in der Anwendung,
• einen einzelnen Inhalt sperren und die Sperre aufheben, jeweils mit Grund und ohne die Person zu nennen, die ihn gemeldet hat; wer den Inhalt eingestellt hat, erhält beim Sperren eine Begründung nach Art. 17 des Digital Services Act,
• einen Verein umbenennen oder, wenn ihm kein Team mehr angehört, löschen; die Mitteilung geht mit Grund an seinen Vorstand.

3.6 Maßnahmen an einem Konto, etwa das Sperren oder Löschen eines Kontos oder das Berichtigen der E-Mail-Adresse oder des Geburtsdatums, sind nicht Gegenstand dieses Vertrags. Konto-Daten verarbeitet der Auftragsverarbeiter als eigener Verantwortlicher; die Datenschutzerklärung beschreibt diese Maßnahmen und wer davon erfährt.

§ 4 Vertraulichkeit

4.1 Der Auftragsverarbeiter verarbeitet die Daten vertraulich und verpflichtet alle Personen, die Zugang zu ihnen haben, auf Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.

4.2 Zum Zeitpunkt des Vertragsschlusses handelt der Auftragsverarbeiter ohne Beschäftigte. Der Zugang zu Produktivdaten ist auf ihn selbst beschränkt und über eine Positivliste von E-Mail-Adressen technisch begrenzt.

4.3 Der Auftragsverarbeiter kann zur Bearbeitung von Support-Anfragen und zur Störungssuche in Inhalte des Verantwortlichen Einsicht nehmen. Jede Einsichtnahme setzt einen dokumentierten Grund voraus, wird protokolliert, drei Jahre aufbewahrt und allen aktiven Mitgliedern des Teams unverzüglich in der Anwendung mitgeteilt. Für Nachrichten aus dem Chat und für Finanzdaten genügt der Grund nicht; sie sind nur einsehbar, wenn eine Support-Anfrage eines Mitglieds des Teams oder des Vorstands seines Vereins vorliegt, auf die sich die Einsichtnahme bezieht.

4.4 Bei einem konkreten Verdacht auf strafbare oder rechtswidrige Inhalte kann die Mitteilung nach § 4.3 unterbleiben, solange sie den Zweck der Prüfung gefährden würde. Die Einsichtnahme wird auch in diesem Fall protokolliert. Der Auftragsverarbeiter hält die Anzahl solcher Einsichtnahmen fest und legt sie dem Verantwortlichen auf Anfrage offen.

4.5 Die Einsichtnahme umfasst die jeweils jüngsten Einträge einer Kategorie, höchstens fünfzig. Dateien werden dabei nicht geöffnet, sondern nur mit Name und Größe angezeigt; gelöschte Nachrichten bleiben gelöscht.

§ 5 Technische und organisatorische Maßnahmen

5.1 Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit ein.

5.2 Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

6.1 Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung der in Anlage 3 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO).

6.2 Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Verantwortlichen mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von vier Wochen aus wichtigem, dem Datenschutz zuzuordnenden Grund widersprechen. Widerspricht er, kann jede Seite das Nutzungsverhältnis zum geplanten Wirksamwerden kündigen.

6.3 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf Pflichten, die denen dieses Vertrags entsprechen, und bleibt gegenüber dem Verantwortlichen verantwortlich.

6.4 Keine Unterauftragsverarbeitung sind Leistungen, die der Auftragsverarbeiter als Nebenleistung in Anspruch nimmt, etwa Telekommunikation oder Wartung, solange dabei kein Zugriff auf personenbezogene Daten des Verantwortlichen vorgesehen ist.

§ 7 Unterstützung bei Betroffenenrechten

7.1 Wendet sich eine betroffene Person mit einem Antrag nach Art. 15 bis 22 DSGVO an den Auftragsverarbeiter, leitet er sie an den Verantwortlichen weiter und informiert diesen unverzüglich. Er beantwortet solche Anträge nicht selbst.

7.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen Mitteln. In der Anwendung stehen bereit:

• Auskunft und Datenübertragbarkeit: Selbst-Export unter „Konto“, wahlweise je Team oder als Auszug über das Konto und alle Teams hinweg, als ZIP-Paket mit einer lesbaren Übersicht, Tabellen, maschinenlesbaren Daten und den selbst hochgeladenen Dateien. Der Auszug enthält unter anderem Profil, Zusagen, Anwesenheit, eigene Beiträge, Lesestatus, Bewertungen, Punkte, eigene Wertungen, Danke, Finanzbezüge, Anmeldungen und Push-Kennungen. Noch nicht enthalten sind Benachrichtigungs-Einstellungen, ausgeblendete Hinweise, Reaktionen, Markierungen und Lesestand im Chat verbundener Teams, private Sticker und ihre Pakete, Mitteilungen zu Vertragsänderungen, Absturzberichte und Einträge im Server-Fehlerprotokoll; Auskunft darüber erteilt der Auftragsverarbeiter auf Anfrage in Textform.
• Berichtigung: Bearbeiten des Profils durch die Person selbst oder die Verwaltenden.
• Löschung: „Team verlassen“ für die Team-Daten, „Konto löschen“ für die Identität.

7.3 Inhalte anderer Personen sind im Auszug nicht enthalten, auch wenn sie in derselben Unterhaltung stehen. Das folgt aus Art. 15 Abs. 4 DSGVO: Die Datenkopie darf die Rechte anderer nicht beeinträchtigen.

§ 8 Sicherheit, Meldepflichten und Folgenabschätzung

8.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO, soweit ihm die dafür erforderlichen Informationen vorliegen.

8.2 Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen und ergriffene Maßnahmen.

8.3 Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung der Betroffenen nach Art. 34 DSGVO obliegen dem Verantwortlichen. Die dortige Frist von 72 Stunden beginnt mit seiner Kenntnis.

§ 9 Löschung und Rückgabe nach Vertragsende

9.1 Die Inhaber:in eines Teams kann das Team löschen. Es bleibt danach 30 Tage nutzbar, und seine Mitglieder erhalten eine Mitteilung in der Anwendung. In dieser Zeit lädt die Inhaber:in unter „Team verwalten“ die Daten des ganzen Teams herunter und kann die Löschung zurücknehmen. Private Unterhaltungen im Chat (Direktnachrichten und Gruppen) sind darin nicht enthalten, weil sie nur die Beteiligten sehen; jede beteiligte Person erhält ihre eigenen Nachrichten über ihren persönlichen Export. Danach löscht der Auftragsverarbeiter das Team mit allen Daten.

9.2 Legt der Auftragsverarbeiter ein Team nach § 3.5 in den Papierkorb, ist es sofort für alle Mitglieder geschlossen und wird nach 30 Tagen gelöscht; bis dahin kann er es wiederherstellen. Auf eine Support-Anfrage einer Inhaber:in gibt er ihr den Export des Teams frei, soweit keine gesetzliche Pflicht entgegensteht, jeweils für sieben Tage und höchstens bis zum Tag der Löschung. Jedes heruntergeladene Paket wird protokolliert.

9.3 Eine gesetzliche Aufbewahrungspflicht geht der Löschung vor.

9.4 Aus verschlüsselten Sicherungen laufen die Daten mit Ablauf der in Anlage 2 genannten Aufbewahrungsfristen aus. Eine gezielte Löschung einzelner Datensätze aus bestehenden Sicherungen findet nicht statt.

9.5 Wird ein Verein Träger eines Teams (Präambel), endet dieser Vertrag für den bisherigen Verantwortlichen, ohne dass der Auftragsverarbeiter die Daten des Teams löscht oder zurückgibt: Mit dem Antrag weist der bisherige Verantwortliche an, sie dem Verein zu übergeben. Den Nachweis über den Wechsel bewahrt der Auftragsverarbeiter nach Anlage 2 auf.

§ 10 Nachweise und Kontrollen

10.1 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, insbesondere die jeweils geltende Fassung von Anlage 2 und Anlage 3.

10.2 Der Verantwortliche kann sich von der Einhaltung überzeugen. Kontrollen erfolgen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal jährlich, es sei denn, es besteht ein konkreter Anlass.

10.3 Der Auftragsverarbeiter kann den Nachweis auch durch geeignete Zertifikate, Testate oder Berichte unabhängiger Stellen führen.

§ 11 Datenverarbeitung in Drittländern

11.1 Die Verarbeitung findet in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Der Betreiber der Server, die IONOS SE, sagt diesen Verarbeitungsort vertraglich zu. Ein bestimmtes Land ist damit nicht zugesagt.

11.2 Eine Übermittlung in Drittländer findet nur bei den in Anlage 3 gekennzeichneten Unterauftragsverarbeitern statt. Für diese liegen Garantien nach Kapitel V DSGVO vor, namentlich Standardvertragsklauseln und, wo einschlägig, eine Zertifizierung nach dem EU-U.S. Data Privacy Framework.

§ 12 Haftung und Schlussbestimmungen

12.1 Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen der Nutzungsbedingungen, soweit Art. 82 DSGVO dem nicht entgegensteht.

12.2 Änderungen bedürfen der Textform. Das gilt auch für die Abbedingung dieser Klausel.

12.3 Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

12.4 Es gilt deutsches Recht.

Anlage 1: Gegenstand der Verarbeitung

Zweck: Bereitstellung einer Plattform zur Organisation eines Sport-Teams oder eines Vereins mit seinen Teams.

Betroffene Personen:

• Mitglieder des Teams mit eigenem Konto, nach ihrem Austritt, soweit das Team ein Ehemaligen-Verzeichnis führt,
• Personen, die das Team per E-Mail einlädt,
• Kontakte, Notfallkontakte und Schiedsrichter, die das Team ohne eigenes Konto einträgt,
• Kinder und andere Personen ohne eigenes Konto, die das Team im Kader führt,
• Personen, die über einen externen Termin-Link antworten,
• Personen, die über einen Eintrage-Link eines Wettbewerbs oder einer Begegnung Ergebnisse eintragen,
• Mitglieder der Teams eines Vereins, soweit der Vorstand ihre Kennzahlen, Termine und Spiele gebündelt sieht, sie in der Mitgliederliste des Vereins sieht oder als Datei exportiert, sie für ein Amt im Vorstand auswählt, ihnen schreibt, sie auf einen Termin des Vereins antworten oder an einer Umfrage des Vereins teilnehmen, sowie, bei Teams, die der Verein trägt, soweit sie an Terminen kommentieren oder auf sie antworten,
• Mitglieder der Teams eines Vereins, der Squova Club nutzt, soweit der Auftragsverarbeiter ihre Angaben nach der Freigabe des Teams dorthin meldet (Name, Rolle, Eintritt, E-Mail-Adresse, Telefonnummer),
• Mitglieder eines Vereins ohne Team, die der Vorstand selbst einträgt, etwa passive, fördernde oder Ehrenmitglieder,
• Personen, deren Telefonnummer oder E-Mail-Adresse der Vorstand als Kontakt des Vereins einträgt,
• Mitglieder verbundener Teams, soweit Inhalte geteilt wurden,
• Teilnehmende an Wettbewerben, die das Team ausrichtet, auch auf deren öffentlichen Seiten.

Verarbeitungstätigkeiten und Datenkategorien:

• Mitglieder und Rollen: Name, Spitzname, Trikotnummer und -größe, Position, Ämter, Rollen, Verfügbarkeit.
• Kontaktdaten: Telefonnummer, Adresse, Notfallkontakt, E-Mail-Adresse und Geburtsdatum, sichtbar für die Personen mit dem Recht „Kontaktdaten sehen“, auch im Export der Mitgliederliste.
• Meldungen an Squova Club: Name, Rolle (Trainerstab oder Spieler:in), Eintritt, E-Mail-Adresse und Telefonnummer der Mitglieder eines Teams, dessen Verein Squova Club nutzt, mit dem Postausgang bis zur Bestätigung (zugestellt sieben, nicht zustellbar 30 Tage). Geburtsdatum und Inhalte des Teams werden nicht gemeldet. Der Auftragsverarbeiter betreibt Squova Club selbst, die Übermittlung schaltet keinen Unterauftragsverarbeiter ein; für die Angaben dort ist der Verein verantwortlich.
• Einladungen: E-Mail-Adresse und, wenn angegeben, Name der eingeladenen Person, die einladende Person und die vorgesehene Rolle.
• Termine und Zusagen: Zu- und Absagen, Begleitpersonen, Notizen, Anwesenheit, Verspätungen, Aufgaben, Fahrgemeinschaften.
• Kommunikation: Nachrichten, Sprachnachrichten, Anhänge, Kommentare, Reaktionen, Lesestatus, Bestätigungen.
• Dateien und Sticker: hochgeladene Dateien mit Name und Größe, Sticker des Teams.
• Kinder ohne Konto: Name, Geburtsdatum, Trikotnummer, Position und wer wann bestätigt hat, dass die Eltern Bescheid wissen.
• Personen ab 16 ohne Konto: Name, auf Wunsch E-Mail-Adresse, Trikotnummer und Position.
• Dateien eines Vereins: vom Vorstand hochgeladene Dateien mit Name, Größe und hochladender Person.
• Mitgliederliste eines Vereins: voller Name, auch von Personen ohne Konto im Kader, Art der Mitgliedschaft (aktiv, passiv, Förder- oder Ehrenmitglied) und Eintritt, Teams, Rolle, Ämter, Trikotnummer und Position im Team, Beginn der Mitgliedschaft, Geschlecht, die Einwilligungen, die die Teams festhalten, und bei Mitgliedern von Teams, die der Verein trägt, Kontaktdaten; beim Export ein Eintrag im Export-Verlauf jedes betroffenen Teams mit exportierender Person, Zeitpunkt und Zahl der Personen.
• Mitglieder eines Vereins ohne Team: Name, Art der Mitgliedschaft und Eintritt, auf Wunsch Geburtsdatum, E-Mail-Adresse und Anschrift.
• Termine eines Vereins: Titel, Art, Zeit, Ort, Beschreibung, für welche Teams und Kreise sie gelten, und die Antworten der Mitglieder mit Begleitpersonen und Notiz, dazu die vom Vorstand erfasste Anwesenheit.
• Umfragen eines Vereins: Frage, Beschreibung, Antworten (auch Zeitfenster und von Mitgliedern ergänzte), Einstellungen, für welche Teams und Kreise sie gelten, und die Stimmen der Mitglieder; der Vorstand sieht sie mit Namen in der für den Verein gewählten Form, bei anonymen Umfragen nur als Zahlen. Dazu Kommentare und Reaktionen mit Namen in dieser Form, sichtbar für alle Gewählten und den Vorstand.
• Vorstand und Ankündigungen eines Vereins: die Mitglieder des Vorstands mit vollem Namen und Amt; Ankündigungen des Vereins mit Titel, Text, Gültigkeit und verfassender Person, verteilt an die Teams des Vereins.
• Chats im Verein: Direktnachrichten und Gruppen des Vorstands mit Mitgliedern der Vereins-Teams und verbundener Teams sowie der Chat zwischen zwei Teams eines Vereins, mit Nachrichten, Anhängen und Teilnehmenden; Namen in der für den Verein gewählten Form, Ämter des Vorstands mit vollem Namen.
• Termine der Teams in der Vereins-Sicht: Beschreibung, Zahl der Antworten, Begleitpersonen und Anwesenden; bei Teams, die der Verein trägt, die Kommentare und die Antworten seit der Übernahme mit Namen in der für den Verein gewählten Form.
• Angaben zu einem Verein: Anschrift, E-Mail-Adresse, Telefonnummer, Website, Gründungsjahr und ein kurzer Text, eingetragen vom Vorstand und sichtbar für alle Mitglieder der Teams des Vereins.
• Kasse eines Vereins: Buchungen mit Art, Betrag, Titel, Kategorie, Datum, Notiz und buchender Person, dazu Belege als Dateien im Verzeichnis des Vereins.
• Umfragen und Terminfindung: Stimmen, Zeitfenster-Präferenzen.
• Feedback und Forum: Beitragstext, Kategorie, Status, Antworten.
• Sport: Aufstellungen, Auszeichnungen, Spielzüge mit Personenbezug, Übungen.
• Wettbewerbe: teilnehmende Teams, bei Beach-Paaren die Namen der Spielenden, Spieltage mit Ort, Ergebnisse, Tabellen und die Namen eingetragener Schiedsrichter.
• Skill-Bewertung: Bewertungen je Dimension, Trainer-Kommentar, Verlauf, Selbsteinschätzung.
• Punkte und Abzeichen: Punkte-Ereignisse, Abzeichen, Rangliste, eigene Wertungen des Teams mit einer Zahl je Person und Termin, Danke unter Mitgliedern mit Absender, Empfänger:in, Grund und Termin.
• Finanzen: Zahlungsstatus, Anteile, Auslagen, Urheber von Buchungen.
• Einwilligungen, die der Verein festhält: wofür, an welchem Tag, wer erklärt und wer eingetragen hat, ein Widerruf, und frühere Stände eines geänderten Eintrags bis zum Austritt der Person.
• Meldungen über Beiträge: meldende und gemeldete Person, Grund, Anmerkung und ein Auszug des Beitrags.
• Protokolle des Teams: vergebene und entzogene Rollen, Zu- und Abgänge, Exporte der Mitgliederliste und des ganzen Teams.
• Ehemaligen-Verzeichnis: Name und Zeitraum der Mitgliedschaft, intern die Kennung des Kontos, damit der Eintrag mit dem Konto gelöscht wird.
• Ortssuche: Sucheingabe, Sitzungs-Kennzeichen.
• Vernetzung zwischen Teams: der Name in gekürzter Form (voreingestellt die Initialen), Team-Name, Zu- und Absagen, Kommentare, Chat-Beiträge. Je Kreis wird gespeichert, wie viel vom Namen gezeigt werden soll.
• Externe Termin-Links: Name, Antwort, Begleitpersonen, Notiz der antwortenden Person.
• Eintrage-Link eines Wettbewerbs oder einer Begegnung: Name der eintragenden Person, Zeitpunkt und eingetragenes Ergebnis.
• Trägerwechsel: der bisherige Träger mit Name und Anschrift, wer den Wechsel beantragt und wer ihn für den Verein bestätigt hat, und die Mitteilung an jedes Mitglied mit E-Mail-Adresse und Zeitpunkt.

Besondere Kategorien nach Art. 9 DSGVO: möglich, aber nur auf ausdrückliche Einwilligung der betroffenen Person. Zur Verfügbarkeit trägt das Team-Profil ein Datum („nicht einsatzfähig bis“) und wahlweise einen Grund aus einer festen Liste: Krankheit, Verletzung, Urlaub, Persönlich, Sonstiges. Freitext nimmt das Feld nicht an. Wählt eine Person „Krankheit“ oder „Verletzung“, ist das ein Gesundheitsdatum; Krankheit und Verletzung trägt nur die Person selbst ein. Der Grund wird nur mit ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO gespeichert, zur Einwilligung der Zeitpunkt, die einwilligende Person und die Fassung des Einwilligungstexts, und 30 Tage nach dem Enddatum samt Einwilligung gelöscht. In Exporten des Teams stehen Grund und Einwilligung nicht. Sichtbar sind Datum und Grund nur der Person selbst und Rollen mit dem Recht dafür; alle übrigen Mitglieder sehen nur, dass die Person nicht verfügbar ist.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Anlage beschreibt, was eingerichtet ist, nicht, was geplant ist.

Zutrittskontrolle: Die Server stehen in einem Rechenzentrum der IONOS SE innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums. Die verschlüsselten Sicherungen liegen auf einem getrennten Speicher der Hetzner Online GmbH, ebenfalls innerhalb der Europäischen Union.

Zugangskontrolle: Passwörter haben mindestens 12 Zeichen und werden gegen eine Liste häufiger und veröffentlichter Passwörter sowie gegen E-Mail-Adresse und Namen der Person geprüft; gespeichert werden sie als argon2id-Prüfsumme, nicht im Klartext. Sitzungen laufen über zufällige 32-Byte-Kennungen, von denen der Server nur eine Prüfsumme speichert; sie laufen 30 Tage nach der letzten Nutzung ab, spätestens 90 Tage nach der Anmeldung, und werden dann gelöscht. Den Schlüssel einer Sitzung nimmt der Server aus einer Kopfzeile oder einem Cookie an, nicht aus einer Adresse. Abmelden beendet die Sitzung auch auf dem Server; ihre angemeldeten Geräte sieht eine Person in einer Liste und kann alle anderen auf einmal abmelden. Codes aus der Mail gibt es nur zum Bestätigen der Adresse und zum Zurücksetzen des Passworts; sie haben acht Ziffern, werden nur als Prüfsumme gespeichert, sind zeitlich begrenzt, nach fünf Fehlversuchen verbraucht und nach Ablauf gelöscht. Die Anmeldung und das Anfordern eines neuen Passworts sind je IP-Adresse, je E-Mail-Adresse zusammen mit der IP-Adresse und je E-Mail-Adresse ratenbegrenzt, die Registrierung je IP-Adresse, das Setzen eines neuen Passworts je E-Mail-Adresse und das erneute Senden der Bestätigung je Konto. Ebenso gebremst sind Beitritts- und Vereins-Codes, Bestätigungen mit dem Passwort und Codes des zweiten Faktors, je IP-Adresse und je Konto. Ein Versuch zählt, bevor er geprüft wird, sodass gleichzeitige Anfragen die Grenze nicht umgehen.

Zugriffskontrolle: Rechte werden über ein Rollen- und Rechtemodell je Team vergeben und bei jeder Anfrage geprüft. Kontaktdaten und Verfügbarkeit sind eigene Rechte und nicht automatisch teamweit sichtbar. Der administrative Zugang des Auftragsverarbeiters ist über eine Positivliste begrenzt, verlangt einen zweiten Faktor (Einmal-Code aus einer Authenticator-App), gilt nach dessen Bestätigung acht Stunden je Sitzung und erlaubt kein Handeln im Namen von Nutzenden. Das Geheimnis des zweiten Faktors liegt verschlüsselt (AES-256-GCM) in der Datenbank, der Schlüssel dazu nicht; Wiederherstellungs-Codes werden nur als Prüfsumme gespeichert; wie er protokolliert wird, steht unter Eingabekontrolle.

Trennungskontrolle: Jedes Team liegt in einer eigenen Datenbankdatei, seine Dateien in einem eigenen Verzeichnis. Die Dateien eines Vereins liegen in einem eigenen Verzeichnis je Verein. Profilbilder, Team-Logos, Vereinslogos, Chat-Bilder, Sticker und Anhänge von Support-Anfragen liegen je Art in einem gemeinsamen Verzeichnis. Produktiv- und Testumgebung nutzen getrennte Datenträger.

Pseudonymisierung: Über Team-Grenzen hinweg erscheinen Personen voreingestellt nur mit ihren Initialen. Die Auflösung von Kennung zu Anzeigename über eine Team-Grenze läuft an einer zentralen Stelle im Server. Die betroffene Person kann dort selbst mehr freigeben, bis hin zum vollen Namen; ohne ihre Wahl bleibt es bei den Initialen, und unter 18 Jahren ist die Kurzform die Obergrenze. Zwei Ausnahmen gelten. Die erste sind öffentliche Wettbewerbs-Seiten des Verantwortlichen. Dort erscheinen Beach-Paare ohne Wahl in der Kurzform, gestützt auf das berechtigte Interesse an einem brauchbaren Spielplan, und die betroffene Person kann jederzeit auf die Initialen wechseln. Die zweite sind Ämter im Vorstand eines Vereins: Sie stehen in der Vereins-Sicht und für die Leitung der Teams dieses Vereins mit vollem Namen. Umfragen und Feedback können anonym geführt werden.

Weitergabekontrolle: Verbindungen zum Server sind mit TLS verschlüsselt. Dateien, Belege, Sticker und Anhänge von Support-Anfragen werden über signierte Kennzeichen in der Adresse ausgeliefert, die nach höchstens einer Stunde ablaufen; ein Kennzeichen für die Datei eines anderen Teams nennt die Person, für die es ausgestellt ist, und beim Abruf prüft der Server erneut, ob sie die Datei noch sehen darf; Profilbilder, Team-Logos, Vereinslogos und Chat-Bilder über nicht erratbare Dateinamen. Kalender-Abo, geteilte Termine, öffentliche Wettbewerbs-Seiten, Eintrage-Links von Wettbewerben und Begegnungen und Einladungen tragen ein geheimes Kennzeichen in der Adresse, das ohne Anmeldung Zugang gibt; die Adresse des Kalender-Abos lässt sich erneuern, eine öffentliche Wettbewerbs-Seite abschalten, ein Eintrage-Link abschalten oder ersetzen; ein geteilter Termin erlischt sieben Tage nach dem letzten Termin, ein Eintrage-Link des Wettbewerbs sieben Tage nach dem letzten Spieltag und, solange kein Spieltag angesetzt ist, erst mit dem Abschalten, der Eintrage-Link einer Begegnung um 12 Uhr am Tag nach ihrem letzten Spiel und nur für deren Spiele. Über einen Eintrage-Link lassen sich nur Ergebnisse eintragen; das Kennzeichen der öffentlichen Wettbewerbs-Seite erlaubt kein Schreiben. Der Echtzeit-Kanal überträgt keine Inhalte, sondern nur Hinweise, dass etwas neu ist.

Eingabekontrolle: Wer welche Buchung, Bewertung oder Nachricht angelegt hat, wird gespeichert. Im Verwaltungs-Werkzeug des Auftragsverarbeiters werden Änderungen an Konten, Teams und Vereinen mit handelnder Person, Ziel und Zeitpunkt protokolliert, bei Maßnahmen, die einen Grund verlangen, auch mit diesem, und das Ansehen von Angaben zu Personen mit handelnder Person, Ansicht, Ziel und Zeitpunkt. Ruft dieselbe Person dieselbe Ansicht innerhalb von 10 Minuten erneut auf, bleibt es bei einem Eintrag. Das Protokoll wird drei Jahre aufbewahrt.

Verfügbarkeit: Einmal täglich werden Datenbanken und Dateien verschlüsselt auf einen getrennten Speicher gesichert; es bleiben 30 tägliche und 12 monatliche Stände. Vor jeder Aktualisierung der Produktivumgebung wird eine Kopie der Datenbanken im verschlüsselten Bereich des Servers abgelegt; davon bleiben die fünf neuesten, soweit sie nicht älter als 30 Tage sind, und in jedem Fall die neueste.

Datenminimierung: IP-Adressen werden zur Missbrauchsabwehr im Arbeitsspeicher gezählt und nach spätestens einer Stunde ohne weitere Anfrage gelöscht. Benachrichtigungen an verbundene Teams tragen den Namen höchstens in der Kurzform und bei Chat-Nachrichten und Kommentaren keinen Text. Welchen Chat, Eintrag oder welche Liste die App gerade zeigt, meldet sie nur, damit dazu keine Push-Mitteilung entsteht; der Server hält diese Angabe allein im Arbeitsspeicher und verwirft sie spätestens 45 Sekunden nach dem letzten Lebenszeichen der App.

Härtung: Sicherheits-Kopfzeilen und eine Inhalts-Richtlinie (Content Security Policy) sind gesetzt und durch Tests festgehalten. Die Richtlinie lässt Skripte nur von der eigenen Adresse zu, eingebettete nur, wenn ihre Prüfsumme in der Richtlinie steht, und Verbindungen nur zu den eigenen Adressen; fremde Seiten dürfen die Anwendung nicht einbetten. Anfragen von fremden Adressen werden nur für ausdrücklich erlaubte Quellen angenommen; eine schreibende Anfrage, die sich auf das Anmelde-Cookie stützt und von einer fremden Seite kommt, weist der Server ab. Browser werden angewiesen, ein Jahr lang nur verschlüsselt zu verbinden (HSTS).

Löschung: Folgende Daten des Verantwortlichen löscht der Auftragsverarbeiter automatisch:

• Antworten auf einen geteilten Termin: 30 Tage nach dem Termin.
• Name der Person, die über einen Eintrage-Link ein Ergebnis eingetragen hat: 30 Tage nach dem Spiel.
• Grund einer Abwesenheit und die Einwilligung dazu: 30 Tage nach dem Enddatum.
• Adresse und Name einer eingeladenen Person: sobald die Einladung eingelöst oder zurückgezogen ist, spätestens mit ihrem Ablauf nach 14 Tagen.
• Protokolle des Teams (Rollen, Zu- und Abgänge, Exporte): 18 Monate nach dem Eintrag.
• Erledigte Meldungen über Beiträge: 18 Monate nach der Erledigung.
• Gesperrte Inhalte: drei Jahre nach der Sperre der Inhalt, danach die Sperre.
• Einträge im Ehemaligen-Verzeichnis: zehn Jahre.
• Nachweis eines Trägerwechsels: drei Jahre nach dem Ende eines Antrags, der nicht zum Wechsel führte; nach einem Wechsel, solange das Team besteht, mindestens drei Jahre.
• Ein gelöschtes Team: 30 Tage nach der Löschung durch die Inhaber:in oder dem Verschieben in den Papierkorb (§ 9).

Verlässt eine Person ein Team, werden dort entfernt: ihr Profil im Team samt Ämtern, ihre Rollen und Gruppen, Zu- und Absagen, Anwesenheiten, Fahrgemeinschaften, übernommene Aufgaben, Aufstellungen, Skill-Bewertungen und ihr Verlauf, Punkte und Abzeichen, ihre Zahlen in eigenen Wertungen, Danke, die sie bekommen oder gesagt hat, ihre Stimmen in Umfragen und bei der Wahl der wertvollsten Spieler:in, Reaktionen, Lesebestätigungen, ihr Beitragsstatus, Chat-Mitgliedschaften, Einwilligungen, Meldungen von ihr und über ihre Beiträge, ihre Einträge im Rechte-Protokoll und die Benachrichtigungen aus diesem Team. In Benachrichtigungen anderer erscheint sie danach als „Ehemaliges Mitglied“. Im Team bleibt, was es weiter braucht: Nachrichten, Dateien und Termine, die sie angelegt hat, ihre Anteile an Umlagen, Beach-Paare, in denen sie steht, eine Auszeichnung als wertvollste Spieler:in an einem Spiel und Material, das noch als an sie verliehen eingetragen ist; führt das Team ein Ehemaligen-Verzeichnis, dort Name und Zeitraum.

Löscht eine Person eine eigene Chat-Nachricht, entfernt der Auftragsverarbeiter Text, Anhang, Verlinkung und Reaktionen; Absender und Zeitpunkt bleiben als Hinweis „Diese Nachricht wurde gelöscht“ stehen, und der Text verschwindet auch aus den Benachrichtigungen in der App. Wird ein Spiel gelöscht, entfernt er Notiz, Aufstellung und Stimmen zur Wahl der wertvollsten Spieler:in dazu in allen beteiligten Teams.

Verschlüsselung im Betrieb: Die Datenbankdateien, die hochgeladenen Dateien und die Kopien vor einer Aktualisierung liegen in einem verschlüsselten Bereich des Servers (LUKS2). Der Schlüssel liegt auf derselben Maschine, damit der Server ohne Handgriff startet.

Grenze der Verschlüsselung: Der Schutz greift gegen eine ausgemusterte Festplatte und gegen eine Kopie allein dieses Bereichs. Er greift nicht gegen eine Momentaufnahme des laufenden Servers durch den Rechenzentrums-Betreiber. Außerhalb des Bereichs liegen Betriebssystem, Programmdateien und das Systemjournal. Die Anwendung legt ihre Daten im verschlüsselten Bereich ab und schreibt in das Systemjournal Betriebsmeldungen, in denen E-Mail- und IP-Adressen unkenntlich gemacht sind; der vorgeschaltete Webserver schreibt eigene Fehlermeldungen dorthin, die IP-Adressen enthalten können. Das Systemjournal löscht Einträge nach 14 Tagen; weil es dafür ganze Tagesdateien entfernt, bleibt ein Eintrag höchstens 15 Tage.

Anlage 3: Unterauftragsverarbeiter

• IONOS SE (Sitz Deutschland): Betrieb der Server, alle Anwendungsdaten. Verarbeitung in der EU oder im EWR. Kein Drittland.
• Hetzner Online GmbH (Sitz Deutschland): verschlüsselter Sicherungs-Speicher, alle Anwendungsdaten. Verarbeitung in der EU. Kein Drittland.
• Brevo (Sendinblue GmbH), EU: Versand der E-Mails der Anwendung, darunter Codes, Einladungen in ein Team, Mitteilungen zu Vertragsänderungen und zu Maßnahmen nach § 3.5, Mitteilungen nach dem Digital Services Act und Mitteilungen an den Vorstand eines Vereins; E-Mail-Adresse, Name und Inhalt der Mitteilung. Kein Drittland.
• Microsoft (Microsoft 365), auch in den USA: Postfach der Kontaktadresse des Auftragsverarbeiters; dort kommen Weisungen in Textform nach § 3.2, Antworten auf Mitteilungen nach § 3.5 und Anfragen per E-Mail an. Absender, Inhalt und Anhänge der E-Mail, also die Daten des Teams, die der Verantwortliche darin mitschickt. Drittland, Standardvertragsklauseln; zusätzlich zertifiziert unter dem Data Privacy Framework.
• Expo (650 Industries, Inc.), USA: Zustellung von Push-Mitteilungen an Apple und Google und Auslieferung von Aktualisierungen der App; Push-Kennung und Inhalt der Mitteilung, also Anlass, Name des Absenders und je nach Art ein Auszug oder ein Titel. Drittland, Data Privacy Framework und Standardvertragsklauseln.
• Apple Inc., USA: Zustellung von Push-Mitteilungen auf iOS, Push-Kennung und Inhalt der Mitteilung. Drittland, Standardvertragsklauseln.
• Google Ireland Limited, Irland und USA: Zustellung von Push-Mitteilungen auf Android, Push-Kennung und Inhalt der Mitteilung. Drittland, Standardvertragsklauseln.
• Die Push-Dienste der Browser-Hersteller, je nach Browser Google, Mozilla, Apple oder Microsoft, auch in den USA: Zustellung von Mitteilungen im Browser; Adresse des Abonnements und der Inhalt, den der Auftragsverarbeiter vor dem Versand für das Gerät verschlüsselt, sodass der Dienst ihn nicht lesen kann. Drittland, Data Privacy Framework oder Standardvertragsklauseln des jeweiligen Anbieters.
• Google Ireland Limited, Irland und USA: Adress-Vorschläge bei der Ortssuche, Sucheingabe und Sitzungs-Kennzeichen. Drittland, Data Privacy Framework und Standardvertragsklauseln.
• Giphy, Inc., USA: Vorschläge für GIFs im Chat, Suchbegriff und Kennung des gewählten Bildes. Die Anfrage stellt der Server des Auftragsverarbeiters; IP-Adresse, Konto-Daten und Geräte-Kennungen der Mitglieder erreichen den Anbieter nicht. Drittland, Standardvertragsklauseln.
• Cloudflare: Namensauflösung, keine personenbezogenen Daten.

Nicht als Unterauftragsverarbeiter geführt: Open-Meteo erhält den Ortstext eines Termins und die daraus ermittelten Koordinaten über den Server des Auftragsverarbeiters, ohne Bezug zu einer Person oder einem Gerät. GitHub speichert Programmstände, keine Nutzerdaten.