Zum Inhalt springen

Vertrag zur Auftragsverarbeitung

zwischen dem Verein, der 4clubs nutzt (Verantwortlicher, „Verein“), und Lukas Musebrink, 4clubs, Krückenweg 61, 44227 Dortmund (Auftragsverarbeiter, „wir“). Der Vertrag ergänzt die Nutzungsbedingungen und gilt, sobald der Verein ihn annimmt (elektronisch genügt, Art. 28 Abs. 9 DSGVO).

§ 1 Gegenstand und Dauer

Wir verarbeiten personenbezogene Daten im Auftrag des Vereins, um ihm 4clubs bereitzustellen (Website, Newsletter, Kundenbereich, Hilfe). Art, Zweck, Datenarten und Betroffene stehen in Anlage 1. Der Vertrag läuft so lange wie die Nutzung von 4clubs und danach, bis alle Daten nach § 9 gelöscht sind.

§ 2 Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Vereins. Weisungen sind dieser Vertrag, die Nutzungsbedingungen und alles, was der Verein im Kundenbereich einstellt (z. B. Beiträge veröffentlichen, einen Newsletter verschicken, Formular-Fristen festlegen, Daten löschen). Weitere Weisungen erteilt der Verein in Textform an hi@4clubs.io. Halten wir eine Weisung für rechtswidrig, sagen wir das unverzüglich. Ist eine Verarbeitung gesetzlich vorgeschrieben, teilen wir das vorher mit, soweit das Gesetz es nicht verbietet.

§ 3 Vertraulichkeit

Zugang zu den Daten haben nur Personen, die zur Vertraulichkeit verpflichtet sind und ihn für ihre Aufgabe brauchen. Heute ist das ausschließlich der Betreiber selbst.

§ 4 Sicherheit

Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 3 und passen sie dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken.

§ 5 Unterauftragsverarbeiter

Der Verein ist mit den Unterauftragsverarbeitern aus Anlage 2 einverstanden. Neue oder geänderte Unterauftragsverarbeiter teilen wir mindestens vier Wochen vorher in Textform mit. Der Verein kann aus wichtigem datenschutzrechtlichem Grund widersprechen; können wir uns nicht einigen, kann er den Vertrag zum Wechsel kündigen. Wir legen Unterauftragsverarbeitern dieselben Datenschutzpflichten auf wie uns in diesem Vertrag.

§ 6 Ort der Verarbeitung

Die Daten liegen in Rechenzentren in Frankfurt am Main (AWS-Region eu-central-1). Für die schnelle Auslieferung der Vereinsseiten speichert das Auslieferungsnetz Amazon CloudFront öffentliche Inhalte (Seiten, Bilder) vorübergehend auch an Standorten außerhalb der EU zwischen; technisch nötige Zertifikate liegen in den USA. Dafür gelten die EU-Standardvertragsklauseln und der EU-US Data Privacy Framework, an dem Amazon teilnimmt. Bei Domains bei 4clubs gehen die Angaben zum Inhaber außerdem an den Registrar und die Registry der Endung (Anlage 2). Lässt der Verein ein Wettkampfprotokoll einlesen, geht diese Datei zum Auslesen an Anthropic in den USA (Anlage 1 und 2).

§ 7 Unterstützung des Vereins

Wir unterstützen den Verein dabei, Anfragen Betroffener zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Vieles kann der Verein selbst im Kundenbereich erledigen: Daten bearbeiten und löschen, Abonnenten abmelden, alle Daten des Vereins exportieren. Wendet sich eine betroffene Person an uns, leiten wir sie an den Verein weiter. Außerdem unterstützen wir den Verein bei Sicherheit, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Gesprächen mit der Aufsichtsbehörde (Art. 32–36 DSGVO), soweit es um unsere Verarbeitung geht.

§ 8 Datenschutzverletzungen und Kontrollen

Erfahren wir von einer Verletzung des Schutzes der Daten des Vereins, informieren wir ihn unverzüglich, möglichst innerhalb von 24 Stunden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen. Wir stellen dem Verein die Informationen zur Verfügung, die er braucht, um die Einhaltung dieses Vertrags nachzuweisen, und ermöglichen nach Absprache Überprüfungen. Für die Rechenzentren genügen in der Regel die Nachweise von AWS (u. a. ISO 27001, SOC 2, C5).

§ 9 Löschung und Rückgabe

Nach dem Ende der Nutzung kann der Verein seine Daten noch 30 Tage im Kundenbereich exportieren. Danach löschen wir alle Daten des Vereins, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Tägliche Sicherungen der Datenbank laufen spätestens nach 35 Tagen ab und werden dann gelöscht. Auf Wunsch bestätigen wir die Löschung in Textform. Löscht der Verein seinen Verein früher selbst im Kundenbereich, gilt das als Weisung zur sofortigen Löschung. Domains bei 4clubs und ihre Inhaberdaten bleiben bis zum Umzug zu einem anderen Anbieter bei uns (Nutzungsbedingungen § 8 und § 13); die DNS-Einträge löschen wir 14 Tage nach dem Umzug.

§ 10 Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. In Fragen des Datenschutzes geht dieser Vertrag den Nutzungsbedingungen vor. Änderungen von Anlage 1 bis 3, die das Schutzniveau nicht senken, teilen wir in Textform mit; für andere Änderungen gilt § 14 der Nutzungsbedingungen.

Anlage 1 – Art, Zweck, Daten und Betroffene

Website

  • Zweck: Inhalte pflegen, die Vereinsseite bauen und ausliefern, Formulare entgegennehmen, Besuche zählen (nur mit Einwilligung, ohne personenbezogene Daten).
  • Daten: Namen, Funktionen, Fotos und Kontaktangaben von Ansprechpartnern, Trainern, Spielerinnen und Spielern (Kader), Fotos in Beiträgen und Alben, Dokumente, Angaben im Impressum, Ergebnisse von Wettkämpfen und Ligen (Name, Jahrgang, Körpergewicht, Versuche und Punkte der Sportlerinnen und Sportler); Eingänge von Formularen (Inhalt je nach Formular, gelöscht nach der Frist des Formulars, 30 bis 730 Tage, Spam nach 30 Tagen).
  • Betroffene: Mitglieder, Spielerinnen und Spieler, Trainer, Vorstand und Ansprechpartner, Sponsoren-Kontakte, Personen auf Fotos, Besucher, die ein Formular abschicken.

Newsletter

  • Zweck: Anmeldung mit Bestätigung, Versand der Ausgaben, Abmeldung, Umgang mit unzustellbaren Mails und Beschwerden.
  • Daten: E-Mail-Adresse, ggf. Name, Listen, Nachweis der Einwilligung (Zeitpunkte, Text-Version, gekürzte IP-Adresse), Zustellstatus. Ohne Bestätigung gelöscht nach 7 Tagen. Kein Öffnungs- oder Klick-Tracking.
  • Betroffene: Abonnentinnen und Abonnenten.

Kundenbereich

  • Zweck: Anmeldung, Rollen, Nachvollziehbarkeit von Änderungen, Erinnerungen (z. B. an fehlende Ergebnisse).
  • Daten: E-Mail-Adresse, Name, Rolle, Änderungsprotokoll (180 Tage).
  • Betroffene: Personen, die der Verein in den Kundenbereich einlädt.

Protokoll einlesen (Liga, auf Wunsch)

  • Zweck: Ein Wettkampfprotokoll (PDF oder Foto), das der Verein im Kundenbereich auswählt, automatisch auslesen, damit er das Ergebnis nicht abtippen muss. Gespeichert wird erst, wenn der Verein das ausgelesene Ergebnis geprüft hat.
  • Daten: Inhalt des Protokolls – Namen, Geschlecht, Jahrgang, Körpergewicht, Versuche und Punkte der Heberinnen und Heber, Vereinsnamen. Datei und Ergebnis liegen bei uns höchstens einen Tag (die Datei löschen wir, sobald sie gelesen ist).
  • Betroffene: Sportlerinnen und Sportler im Protokoll.

Domains bei 4clubs (auf Wunsch)

  • Zweck: Registrierung, Umzug und Verlängerung der Domain, DNS.
  • Daten: Name, Anschrift, E-Mail-Adresse und Telefonnummer von Inhaber (Verein) und Ansprechperson – an Registrar und Registry gemeldet (für .de die DENIC eG); die DNS-Einträge der Domain.
  • Betroffene: Ansprechperson des Vereins (meist aus dem Vorstand).

Hilfe

  • Zweck und Daten: Anfragen per E-Mail beantworten; Inhalt der Anfrage, Absender.

Besondere Kategorien von Daten (Art. 9 DSGVO) sind nicht vorgesehen; der Verein trägt sie nicht ein.

Anlage 2 – Unterauftragsverarbeiter

  • Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg – Rechenzentren, Datenbank, Speicher, Versand von E-Mails (Amazon SES), Anmeldung (Amazon Cognito), Auslieferung (Amazon CloudFront), Schutz vor Angriffen auf die Vereinsseiten (AWS WAF, an denselben Standorten wie CloudFront). Ort: Frankfurt am Main; Zwischenspeicher von CloudFront weltweit (§ 6).
  • Amazon Registrar, Inc., Seattle, USA, bzw. für einzelne Endungen dessen Partner Gandi SAS, Paris – Registrar der Domains bei 4clubs (über Amazon Route 53 Domains). Sie geben die Angaben zum Inhaber an die Registry der Endung weiter (für .de die DENIC eG, Frankfurt am Main), die sie nach ihren Regeln verarbeitet. Für Übermittlungen in die USA gelten der EU-US Data Privacy Framework und die EU-Standardvertragsklauseln.
  • Anthropic PBC, San Francisco, USA – liest Wettkampfprotokolle aus, die der Verein einlesen lässt (KI-Modell Claude über die Anthropic API; Anlage 1). Nur der Inhalt des Protokolls; Anthropic nutzt die Daten nicht zum Training seiner Modelle. Für die Übermittlung in die USA gelten die EU-Standardvertragsklauseln (Auftragsverarbeitungsvertrag von Anthropic).
  • Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland – Postfach hi@4clubs.io (Google Workspace) für Anfragen an die Hilfe. Nur was der Verein uns schreibt; Speicherorte von Google in der EU und weltweit, abgesichert durch die EU-Standardvertragsklauseln und den EU-US Data Privacy Framework.

Nicht Unterauftragsverarbeiter sind Angebote, die Besucher der Vereinsseite selbst aufrufen und die der Verein einbindet, etwa Videos von YouTube oder Vimeo (erst nach Klick) oder Spielplan- und Tabellen-Widgets an Mannschaften. Dafür ist der Verein verantwortlich; die Datenschutzerklärung seiner Seite nennt sie.

Anlage 3 – Technische und organisatorische Maßnahmen

Vertraulichkeit

  • Rechenzentren von AWS mit Zutrittskontrolle und Zertifizierungen (ISO 27001, SOC 2, BSI C5).
  • Anmeldung im Kundenbereich ohne Passwort mit Einmal-Code per E-Mail; Rollen je Verein (Inhaber, Redaktion, Mannschaftsverantwortliche …), Zugriff nur auf den eigenen Verein, geprüft bei jeder Anfrage.
  • Verwaltungszugang zu AWS nur über IAM Identity Center mit Zwei-Faktor-Anmeldung, keine dauerhaften Zugangsschlüssel; Bereitstellung über GitHub nur mit kurzlebigen Berechtigungen (OIDC).
  • Trennung der Daten der Vereine in der Anwendung; getrennte Umgebungen für Test (Preview) und Betrieb.
  • Bilder geschützter Fotoalben unter nicht erratbaren Adressen; Originale hochgeladener Dateien nicht öffentlich.

Integrität

  • Verschlüsselung bei der Übertragung (TLS ab 1.2, HSTS) und im Ruhezustand (Datenbank, Speicher, Tabellen).
  • Änderungsprotokoll im Kundenbereich (wer hat wann was geändert).
  • Vereinsseiten laden nichts von Dritten und setzen für Besucher keine Cookies (nur technisch notwendige Cookies: Anmeldung für Zugänge des Vereins, 12 Stunden; nach richtigem Passwort eines geschützten Fotoalbums nur für dieses Album, 30 Tage); strenge Content-Security-Policy.

Verfügbarkeit und Belastbarkeit

  • Tägliche Sicherung der Datenbank (35 Tage), Versionierung gespeicherter Dateien (30 Tage), Wiederherstellungspunkte der Vereinsseiten.
  • Löschschutz für Datenbank und Nutzerverzeichnis; Alarme bei Fehlern im Betrieb.
  • Ausfallsichere Dienste von AWS über mehrere Verfügbarkeitszonen in Frankfurt.
  • Begrenzte Versuche je IP-Adresse an Passwort- und Anmeldestellen der Vereinsseiten (AWS WAF; die IP-Adresse dient nur flüchtig zum Zählen und wird nicht gespeichert, keine Protokolle); Drosselung der öffentlichen Schnittstellen.

Datensparsamkeit und Löschung

  • Keine Zugriffsprotokolle mit IP-Adressen; Betriebsprotokolle höchstens 30 Tage.
  • Besucherstatistik nur nach Einwilligung, nur Tageszahlen, keine Kennungen.
  • Automatische Löschfristen (unbestätigte Anmeldungen, Formular-Eingänge, Änderungsprotokoll, abgelaufene Fotoalben); Export und Löschung aller Daten eines Vereins im Kundenbereich.

Überprüfung

  • Automatische Prüfungen vor jeder Veröffentlichung (z. B. keine Anfragen an Dritte), Überprüfung dieser Maßnahmen mindestens jährlich und bei jeder größeren Änderung.