AUFTRAGSVERARBEITUNGSVERTRAG
Version 2026-10-16 · Art. 28 DSGVO
Diese Vereinbarung zur Auftragsverarbeitung (nachfolgend „AVV“) wird zwischen dem Kunden (Verein bzw. Organisation, nachfolgend „Verantwortlicher“) und Lukas Musebrink, Krückenweg 61, 44227 Dortmund (nachfolgend „Auftragsverarbeiter“) geschlossen. Sie wird mit der Bestätigung beim Anlegen der Organisation Bestandteil des Vertrags und ergänzt die AGB und die Datenschutzerklärung.
§ 1 Gegenstand, Dauer, Rollen
(1) Der Auftragsverarbeiter erbringt die in den AGB beschriebenen Leistungen (Erstellung von Vereins-Grafiken und -Videos, Verwaltung von Spiel- und Kaderdaten, optionale Veröffentlichung, Vereinsseite) und verarbeitet dabei personenbezogene Daten im Auftrag.
(2) Der Verein ist Verantwortlicher für alle Daten, die er einbringt oder deren Import er konfiguriert — insbesondere Namen, Fotos und Spieldaten seiner Spielerinnen und Spieler.
(3) Für Konto-, Vertrags- und Abrechnungsdaten der Nutzer ist der Auftragsverarbeiter eigenverantwortlich; insoweit gilt die Datenschutzerklärung.
(4) Die Laufzeit ist an den Nutzungsvertrag gekoppelt.
§ 2 Art, Zweck, Datenkategorien, Betroffene
Zweck ist die Erstellung, Speicherung und — auf Weisung — die Veröffentlichung von Vereinsmedien sowie die Verwaltung des Spielbetriebs. Datenkategorien: Stammdaten von Spielern und Betreuern (Name, Trikotnummer, Position), Fotos, Spieldaten (Aufstellungen, Torschützen, Karten), Kontaktdaten der Vereinsseite, hochgeladene Medien. Betroffene: Vereinsmitglieder, Spielerinnen und Spieler (auch Minderjährige), Trainer und Betreuer, ggf. Spieler gegnerischer Mannschaften sowie Besucher der Vereinsseite.
§ 3 Pflichten des Verantwortlichen
(1) Der Verein stellt sicher, dass für alle eingebrachten Daten eine Rechtsgrundlage besteht — insbesondere wirksame Einwilligungen für Fotos und Namen, bei Minderjährigen die der Sorgeberechtigten (Art. 6, 8 DSGVO; §§ 22, 23 KUG).
(2) Der Verein informiert die Betroffenen nach Art. 13/14 DSGVO.
(3) Aktiviert er den automatischen Datenimport oder eine öffentliche Turnier-/Vereinsseite, verantwortet er die damit verbundene Verarbeitung bzw. Veröffentlichung.
(4) Betroffenenanfragen bearbeitet der Verein; der Auftragsverarbeiter unterstützt gemäß § 5.
§ 4 Pflichten des Auftragsverarbeiters
(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen; Weisungen werden über die Funktionen der Plattform oder in Textform erteilt. Ist er der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich.
(2) Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
(3) Der Auftragsverarbeiter setzt die technischen und organisatorischen Maßnahmen nach Anlage 1 um und unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO.
(4) Nach Vertragsende werden alle Daten nach Wahl des Verantwortlichen gelöscht oder (per Export) zurückgegeben, soweit keine Pflicht zur Speicherung besteht; die Fristen ergeben sich aus den AGB.
(5) Der Auftragsverarbeiter stellt die zum Nachweis der Pflichten erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer. Vorrangig erfolgt der Nachweis durch Selbstauskunft und Unterlagen; Vor-Ort-Prüfungen sind rechtzeitig anzukündigen.
§ 5 Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter stellt Lösch-, Berichtigungs- und Exportfunktionen in der Anwendung bereit und unterstützt darüber hinaus auf Anfrage an support@matchday.design.
§ 6 Subprozessoren
(1) Der Verantwortliche genehmigt allgemein den Einsatz der in Abschnitt 5 der Datenschutzerklärung genannten Dienstleister (Subprozessoren). Der Auftragsverarbeiter erlegt ihnen vertraglich dieselben Datenschutzpflichten auf (Art. 28 Abs. 4 DSGVO).
(2) Änderungen werden mindestens 30 Tage vorab per E-Mail angekündigt; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und bei fehlender Einigung zum Wirksamwerden der Änderung kündigen.
(3) Drittlandtransfers erfolgen nur mit Garantien nach Kapitel V DSGVO (DPF-Zertifizierung oder Standardvertragsklauseln).
§ 7 Meldepflichten
Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten dem Verantwortlichen unverzüglich, spätestens binnen 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO.
§ 8 Schlussbestimmungen
Es gilt deutsches Recht; im Übrigen gelten die AGB. In datenschutzrechtlichen Fragen geht diese Vereinbarung den AGB vor.
Anlage 1 — Technische und organisatorische Maßnahmen
Betrieb auf zertifizierten Cloud-Plattformen (Datenbank und Storage in Frankfurt); mandantengetrennte Datenhaltung mit automatisierten Sicherheitstests; Transportverschlüsselung (TLS, HSTS); private Storage-Buckets mit kurzlebigen signierten Zugriffslinks; verschlüsselte Speicherung von Zugriffstoken; Protokollierung administrativer Vorgänge; Pseudonymisierung von IP-Adressen; clientseitige Verkleinerung von Uploads inklusive Entfernung von Metadaten; Rate-Limiting und Upload-Validierung.
Verantwortlicher Anbieter: Lukas Musebrink, Krückenweg 61, 44227 Dortmund. Vollständige Angaben im Impressum.