Auftragsverarbeitungsvertrag (AVV)

Diese Vereinbarung nach Art. 28 DSGVO wird beim Anlegen eines Vereins durch einen vertretungsbefugten Vereins-Administrator im Namen des Vereins elektronisch abgeschlossen (Art. 28 Abs. 9 DSGVO). Der abschließende Verein ist Verantwortlicher(„Auftraggeber"), Spielleicht ist Auftragsverarbeiter („Auftragnehmer").

1. Vertragsparteien

Auftragnehmer (Auftragsverarbeiter):
Dipl.-Ing. (FH) Dominik Rattenberger, BSc
Föhrenweg 5, 9321 Kappel am Krappfeld, Österreich · hallo@spielleicht.at

Auftraggeber (Verantwortlicher): der Verein, der diese Vereinbarung über sein Nutzerkonto abschließt (identifiziert durch Vereinsname, Konto und den zustimmenden, vertretungsbefugten Administrator).

2. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung und des Betriebs der SaaS-Plattform „Spielleicht" zur digitalen Verwaltung von Plätzen, Buchungen, Mitgliedern und Vereinskommunikation. Die Vereinbarung gilt für die Dauer der Nutzung der Plattform und endet mit Beendigung des Nutzungsverhältnisses.

3. Art und Zweck der Verarbeitung

Speicherung und Verarbeitung der vom Auftraggeber bzw. dessen Mitgliedern eingegebenen Daten zum Zweck der Vereins- und Buchungsverwaltung sowie des Versands damit zusammenhängender transaktionaler E-Mails. Die Verarbeitung erfolgt ausschließlich weisungsgebunden im Auftrag des Verantwortlichen.

4. Datenkategorien und betroffene Personen

Datenkategorien: Stammdaten (Name, E-Mail-Adresse), Zugangsdaten (Passwort ausschließlich als kryptografischer Hash), Rollen- und Mitgliedschaftsdaten, Buchungs- und Termindaten, Daten von Gastspielern (Name, E-Mail), Kommunikations- und Ankündigungsdaten sowie Protokolldaten (Audit-Log).

Betroffene Personen: Vereinsmitglieder, Vereinsadministratoren und Gastspieler des Vereins.

5. Pflichten des Auftragnehmers

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen.
• Verpflichtung der mit der Verarbeitung befassten Personen zur Vertraulichkeit.
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe Abschnitt 8).
• Unterstützung des Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 12–23) sowie bei Meldepflichten und Datenschutz-Folgenabschätzungen (Art. 32–36).
• Führung eines Verzeichnisses zu allen Kategorien der im Auftrag durchgeführten Verarbeitungstätigkeiten (Art. 30 Abs. 2).
• Nach Beendigung: Löschung oder Rückgabe der Daten nach Wahl des Verantwortlichen, soweit keine gesetzliche Aufbewahrungspflicht besteht.
• Unverzügliche Information des Verantwortlichen bei Verletzungen des Schutzes personenbezogener Daten.

6. Ort der Verarbeitung / Drittlandtransfer

Die Datenverarbeitung erfolgt innerhalb der EU bzw. des EWR (Serverstandort der Hetzner Online GmbH in Deutschland). Beim Versand transaktionaler E-Mails über den Sub-Auftragsverarbeiter Resend kann eine Übermittlung in die USA erfolgen; diese ist durch EU-Standardvertragsklauseln (Art. 46 DSGVO) abgesichert.

7. Sub-Auftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz folgender Sub-Auftragsverarbeiter zu. Beabsichtigte Änderungen werden rechtzeitig mitgeteilt, sodass ein Widerspruch möglich ist.

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Hosting, Server- und Datenbankbetrieb, Datenspeicherung.
• Resend, Inc., San Francisco, USA — Versand transaktionaler E-Mails.

Bei Aktivierung kostenpflichtiger Funktionen kommt zusätzlich Stripe Payments Europe, Ltd. (Irland) zur Zahlungsabwicklung hinzu.

8. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer trifft angemessene technische und organisatorische Maßnahmen, insbesondere: Verschlüsselung der Datenübertragung (TLS), Speicherung von Passwörtern ausschließlich als kryptografischer Hash (bcrypt), rollenbasiertes Berechtigungskonzept, Mandantentrennung der Vereinsdaten, Protokollierung sicherheitsrelevanter Aktionen (Audit-Log), Betrieb in zertifizierten EU-Rechenzentren (Hetzner, u. a. ISO 27001) sowie regelmäßige Sicherheits-Updates. Die Maßnahmen sind im gesonderten TOM-Dokument näher beschrieben.

9. Rechte des Verantwortlichen

Dem Verantwortlichen stehen die Kontroll- und Weisungsrechte nach Art. 28 DSGVO zu, einschließlich des Rechts auf Nachweis der Einhaltung der hier genannten Pflichten.

10. Schlussbestimmungen

Es gilt österreichisches Recht. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Der Abschluss erfolgt elektronisch; der Zeitpunkt der Zustimmung wird zu Nachweiszwecken gespeichert.