Auftragsverarbeitungsvertrag (AVV)

Diese Vereinbarung nach Art. 28 DSGVO wird beim Anlegen eines Vereins durch einen vertretungsbefugten Vereins-Administrator im Namen des Vereins elektronisch abgeschlossen (Art. 28 Abs. 9 DSGVO). Der abschließende Verein ist Verantwortlicher(„Auftraggeber"), Spielleicht ist Auftragsverarbeiter („Auftragnehmer").

1. Vertragsparteien

Auftragnehmer (Auftragsverarbeiter):
Dipl.-Ing. (FH) Dominik Rattenberger, BSc
Föhrenweg 5, 9321 Kappel am Krappfeld, Österreich · hallo@spielleicht.at

Auftraggeber (Verantwortlicher): der Verein, der diese Vereinbarung über sein Nutzerkonto abschließt (identifiziert durch Vereinsname, Konto und den zustimmenden, vertretungsbefugten Administrator).

2. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung und des Betriebs der SaaS-Plattform „Spielleicht" zur digitalen Verwaltung von Plätzen, Buchungen, Mitgliedern und Vereinskommunikation. Die Vereinbarung gilt für die Dauer der Nutzung der Plattform und endet mit Beendigung des Nutzungsverhältnisses.

Nicht Gegenstand dieser Vereinbarung sind die Daten des Dienstleistungs-Marktplatzes — Anbieterprofile, Angebote und Anfragen an Anbieter. Diese Daten werden nicht im Auftrag des Vereins verarbeitet; der Verein ist dafür nicht Verantwortlicher. Wer dort wofür verantwortlich ist, regelt die Datenschutzerklärung.

3. Art und Zweck der Verarbeitung

Speicherung und Verarbeitung der vom Auftraggeber bzw. dessen Mitgliedern eingegebenen Daten zum Zweck der Vereins- und Buchungsverwaltung sowie des Versands damit zusammenhängender transaktionaler E-Mails. Die Verarbeitung erfolgt ausschließlich weisungsgebunden im Auftrag des Verantwortlichen.

4. Datenkategorien und betroffene Personen

Datenkategorien: Stammdaten (Name, E-Mail-Adresse), Zugangsdaten (Passwort ausschließlich als kryptografischer Hash), Rollen- und Mitgliedschaftsdaten, Buchungs- und Termindaten, Daten von Gastspielern (Name, E-Mail), Kommunikations- und Ankündigungsdaten, Entscheidungen von Vereinsadministratoren über die Anzeige von Angeboten auf der Vereinsseite (wer wann worüber entschieden hat) sowie Protokolldaten (Audit-Log).

Betroffene Personen: Vereinsmitglieder, Vereinsadministratoren und Gastspieler des Vereins.

5. Pflichten des Auftragnehmers

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen.
• Verpflichtung der mit der Verarbeitung befassten Personen zur Vertraulichkeit.
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe Abschnitt 8).
• Unterstützung des Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 12–23) sowie bei Meldepflichten und Datenschutz-Folgenabschätzungen (Art. 32–36).
• Führung eines Verzeichnisses zu allen Kategorien der im Auftrag durchgeführten Verarbeitungstätigkeiten (Art. 30 Abs. 2).
• Nach Beendigung: Löschung oder Rückgabe der Daten nach Wahl des Verantwortlichen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Unabhängig davon kann der Verantwortliche seine Daten jederzeit selbst vollständig exportieren — im Admin-Bereich unter „Profil" als maschinenlesbare Datei sowie die Mitgliederliste als Tabelle. Dafür ist keine Anfrage und keine Kündigung nötig.
• Unverzügliche Information des Verantwortlichen bei Verletzungen des Schutzes personenbezogener Daten.

6. Ort der Verarbeitung / Drittlandtransfer

Die Datenverarbeitung erfolgt innerhalb der EU bzw. des EWR (Serverstandort der Hetzner Online GmbH in Deutschland). Beim Versand transaktionaler E-Mails über den Sub-Auftragsverarbeiter Resend kann eine Übermittlung in die USA erfolgen; diese ist durch EU-Standardvertragsklauseln (Art. 46 DSGVO) abgesichert.

7. Sub-Auftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz folgender Sub-Auftragsverarbeiter zu. Beabsichtigte Änderungen werden rechtzeitig mitgeteilt, sodass ein Widerspruch möglich ist.

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Hosting, Server- und Datenbankbetrieb, Datenspeicherung.
• Resend, Inc., San Francisco, USA — Versand transaktionaler E-Mails.

Erst mit der Online-Zahlungsabwicklung im Tarif „Verein Komplett" — also wenn Spieler über die Plattform an den Verein zahlen — kommt Stripe Payments Europe, Ltd. (Irland) hinzu. Die Abrechnung unserer eigenen Tarife löst das nicht aus: Sie läuft per Rechnung und Überweisung, ganz ohne Zahlungsdienstleister.

8. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer trifft angemessene technische und organisatorische Maßnahmen, insbesondere: Verschlüsselung der Datenübertragung (TLS), Speicherung von Passwörtern ausschließlich als kryptografischer Hash (bcrypt), rollenbasiertes Berechtigungskonzept, Mandantentrennung der Vereinsdaten, Protokollierung sicherheitsrelevanter Aktionen (Audit-Log), Betrieb in zertifizierten EU-Rechenzentren (Hetzner, u. a. ISO 27001) sowie regelmäßige Sicherheits-Updates. Die Maßnahmen sind im Anhang „Technische und organisatorische Maßnahmen" vollständig beschrieben; er ist Bestandteil dieser Vereinbarung.

9. Rechte des Verantwortlichen

Dem Verantwortlichen stehen die Kontroll- und Weisungsrechte nach Art. 28 DSGVO zu, einschließlich des Rechts auf Nachweis der Einhaltung der hier genannten Pflichten.

10. Schlussbestimmungen

Es gilt österreichisches Recht. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Der Abschluss erfolgt elektronisch; der Zeitpunkt der Zustimmung wird zu Nachweiszwecken gespeichert.