Auftragsverarbeitung (AVV)

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um die Dienste SportsFlow (https://app.sportsflow.de) und SportsFlow Kader (https://kader.sportsflow.de) bereitzustellen. Der Vertrag läuft, solange der Verantwortliche einen der Dienste nutzt, und endet mit der Löschung der Mannschaft bzw. des Vereins.

2. Art, Zweck, Daten und Betroffene

Art und Zweck: Speichern, Anzeigen, Auswerten und Übermitteln der vom Verantwortlichen eingegebenen oder importierten Daten zur Spielanalyse (SportsFlow) bzw. zur Einschätzung der Spielberechtigung und Planung von Aufstellungen (Kader).

SportsFlow: Mitglieder der Mannschaft (Name, E-Mail, Rolle), Spielerinnen und Spieler (Name, Trikotnummer, Position), Spiel- und Ereignisdaten (Würfe, Aktionen, Spielzeit), Videos und Notizen, Gegnerdaten.

SportsFlow Kader: Mitglieder des Vereins (Name, E-Mail), Spielerinnen und Spieler (Name, Einsätze, Jahrgang bzw. Geburtsdatum oder Eingrenzung, Geschlecht, Spielrechte, Sperren, Wartefristen, Ja/Nein-Angaben zu Einwilligung der Eltern und ärztlicher Unbedenklichkeit, Notizen), geplante Aufstellungen.

Betroffene sind Mitglieder, Spielerinnen und Spieler — darunter regelmäßig Minderjährige — sowie Trainerinnen und Trainer des Verantwortlichen. Besondere Kategorien nach Art. 9 DSGVO werden nicht verarbeitet; die Angabe zur ärztlichen Unbedenklichkeit ist nur ein Ja/Nein ohne Befund.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen — diese besteht in der Nutzung der Funktionen der Dienste und in Anweisungen per E-Mail. Hält er eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin. Eine Verarbeitung zu eigenen Zwecken findet nicht statt; ausgenommen sind zusammengefasste, nicht personenbezogene Nutzungsstatistiken zur Verbesserung der Dienste.

4. Vertraulichkeit

Zugriff auf die Daten haben nur die Gesellschafter des Auftragsverarbeiters und ggf. von ihm beauftragte Personen, die zur Vertraulichkeit verpflichtet sind, und nur soweit es für Betrieb und Support nötig ist.

5. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft insbesondere folgende Maßnahmen:

• Übertragung ausschließlich verschlüsselt (TLS).
• Betrieb auf eigener Hardware des Auftragsverarbeiters in Deutschland und bei Hetzner in Rechenzentren in der EU; Zugang zur Infrastruktur nur für die Gesellschafter.
• Zugriff auf Daten nur nach Anmeldung; Passwörter werden ausschließlich als Hash gespeichert.
• Strikte Mandantentrennung: jede Abfrage ist auf die Mannschaft bzw. den Verein des angemeldeten Mitglieds begrenzt; Rechte innerhalb der Mannschaft nach Rollen (SportsFlow).
• Begrenzung von Anfragen zum Schutz vor Missbrauch; keine Werbe-Tracker, cookieless Nutzungsanalyse auf eigener Infrastruktur.
• Regelmäßige Datensicherungen der Datenbanken, um Daten nach einem Ausfall wiederherstellen zu können.
• Datensparsamkeit: in SportsFlow Kader keine Gesundheitsdaten, nur Ja/Nein-Angaben.

Die Maßnahmen werden dem Stand der Technik angepasst; das Schutzniveau wird dabei nicht unterschritten.

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt die folgenden Unterauftragsverarbeiter. Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter vorab auf dieser Seite und per E-Mail an die Admins; der Verantwortliche kann binnen 14 Tagen widersprechen und den Dienst in diesem Fall kündigen.

Die Server betreibt der Auftragsverarbeiter teils selbst auf eigener Hardware in Deutschland, teils bei Hetzner. Datensicherungen liegen ebenfalls auf eigener Hardware oder bei Hetzner.

• Hetzner Online GmbH (Gunzenhausen) — Server-Hosting und Speicherung von Datensicherungen in Rechenzentren in der EU.
• Cloudflare, Inc. — Auslieferung, DDoS-Schutz, TLS; Speicher für Videos (SportsFlow).
• Resend — Versand von E-Mails (Einladungen, Bestätigungen).
• Expo (650 Industries, Inc.), Apple und Google (Firebase Cloud Messaging) — Zustellung von Push-Benachrichtigungen der SportsFlow-App.

Soweit dabei Daten in die USA übermittelt werden, erfolgt das auf Grundlage des EU-US Data Privacy Framework bzw. von EU-Standardvertragsklauseln. Zahlungen über Stripe verarbeitet Stripe als eigener Verantwortlicher; Spielerdaten erhält Stripe nicht.

7. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit), bei der Datensicherheit, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen (Art. 32–36 DSGVO). Richten sich Betroffene direkt an ihn, leitet er die Anfrage an den Verantwortlichen weiter.

8. Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO.

9. Löschung und Rückgabe

Nach Ende des Vertrags löscht der Auftragsverarbeiter die Daten des Verantwortlichen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Vorher kann der Verantwortliche die Daten exportieren ( SportsFlow: CSV/PDF-Export) oder per E-Mail eine Kopie anfordern.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind, und ermöglicht Überprüfungen nach vorheriger Abstimmung und in angemessenem Umfang.

11. Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor. Änderungen werden auf dieser Seite veröffentlicht und den Admins per E-Mail mitgeteilt.