gemäß Art. 28 Abs. 3 der Datenschutz-Grundverordnung (DSGVO)
– nachfolgend gemeinsam „die Parteien“ genannt –
schließen folgenden Auftragsverarbeitungsvertrag (nachfolgend „AVV“):
(1) Der Auftragnehmer verarbeitet im Auftrag des Auftraggebers personenbezogene Daten im Zusammenhang mit der Nutzung der Software-as-a-Service-Plattform PlayTimeApp – einer webbasierten Vereinsverwaltungs- und Buchungsplattform.
(2) Dieser AVV gilt für die Dauer des Hauptvertrages (Nutzungsvertrag PlayTimeApp). Er endet automatisch mit Beendigung des Hauptvertrages, soweit keine anderen Regelungen getroffen wurden.
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf Weisung des Auftraggebers, soweit nicht eine rechtliche Verpflichtung zur Verarbeitung besteht.
(2) Zweck der Verarbeitung ist der Betrieb der PlayTimeApp-Plattform für den Auftraggeber, insbesondere:
| Kategorie | Beispiele |
|---|---|
| Stammdaten | Name, Spitzname, E-Mail-Adresse |
| Zugangsdaten | Passwort-Hash (bcrypt), Authentifizierungs-Token |
| Buchungsdaten | Datum, Uhrzeit, Platzbelegung, Mitspielerliste |
| Kommunikationsdaten | Push-Notification-Token (freiwillig), E-Mail-Logs |
| Protokolldaten | IP-Adressen (gekürzt), Zeitstempel, HTTP-Status (max. 30 Tage) |
Mitglieder und Administrator(en) des Vereins „Muster-Sportverein e.V.“, die sich in der PlayTimeApp registriert haben.
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO).
(2) Der Auftragnehmer gewährleistet, dass die mit der Verarbeitung beauftragten Personen zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Schweigepflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
(3) Der Auftragnehmer trifft alle erforderlichen Maßnahmen gemäß Art. 32 DSGVO (technische und organisatorische Maßnahmen, siehe § 6).
(4) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO) im Rahmen des Möglichen.
(5) Der Auftragnehmer löscht oder gibt alle personenbezogenen Daten nach Beendigung der Verarbeitungsdienstleistungen zurück (Art. 28 Abs. 3 lit. g DSGVO), sofern keine gesetzliche Aufbewahrungspflicht besteht.
(6) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).
(1) Der Auftraggeber erteilt alle Weisungen in Bezug auf die Verarbeitung personenbezogener Daten schriftlich oder in elektronischer Form.
(2) Weist eine Weisung des Auftraggebers nach Ansicht des Auftragnehmers gegen geltende Datenschutzvorschriften, so teilt der Auftragnehmer dies dem Auftraggeber unverzüglich mit.
(3) Bis zur Klärung wird die Weisung ausgesetzt; der Auftragnehmer darf die Ausführung verweigern, wenn die Weisung einem Verstoß gegen die DSGVO gleichkäme.
Der Auftragnehmer hat folgende Maßnahmen gemäß Art. 32 DSGVO getroffen:
| Maßnahme | Umsetzung |
|---|---|
| Zutrittskontrolle | Serverinfrastruktur in gesichertem Rechenzentrum (netcup GmbH, Nürnberg) |
| Zugangskontrolle | Passwortgeschützte Server-Zugänge, SSH-Keys, kein Standardpasswort |
| Zugriffskontrolle | Rollenbasierte Zugriffskontrolle (Admin/User), JWT-Authentifizierung |
| Trennungskontrolle | Mandantentrennung: Jeder Verein hat isolierte Daten (clubId-Filterung auf Datenbankebene) |
| Übertragungssicherheit | HTTPS/TLS für alle Verbindungen, HSTS |
| Datensparsamkeit | Keine unnötigen Datenkategorien; Passwörter nur als bcrypt-Hash (12 Runden) |
| Löschkonzept | Buchungsdaten nach 12 Monaten, Logs nach 30 Tagen automatisch gelöscht |
| Backups | Regelmäßige Datensicherung durch Hosting-Provider |
| Incident Management | Benachrichtigung bei Datenschutzverletzungen gemäß Art. 33 DSGVO |
(1) Der Auftragnehmer setzt folgende Unterauftragnehmer ein:
| Unterauftragnehmer | Leistung | Standort |
|---|---|---|
| netcup GmbH, Karlsruhe | Server-Hosting, Datenbankbetrieb | Deutschland (EU) |
| SMTP-Provider (konfigurierbar) | E-Mail-Versand für Buchungsbestätigungen | je nach Konfiguration |
(2) Der Auftraggeber erteilt mit Abschluss dieses AVV seine generelle Genehmigung zum Einsatz dieser Unterauftragnehmer (Art. 28 Abs. 2 DSGVO).
(3) Bei wesentlichen Änderungen im Bereich der Unterauftragnehmer informiert der Auftragnehmer den Auftraggeber rechtzeitig.
(1) Nach Beendigung des Hauptvertrages löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
(2) Der Auftraggeber kann vor Vertragsende einen Export seiner Daten (CSV) über das Admin-Portal anfordern.
(3) Die Löschung erfolgt spätestens 30 Tage nach Vertragsende.
Die Haftung der Parteien richtet sich nach den gesetzlichen Bestimmungen sowie den Regelungen des Hauptvertrages. Im Außenverhältnis gelten die Haftungsregelungen der Art. 82 DSGVO.
(1) Änderungen dieses AVV bedürfen der Schriftform oder der digitalen Bestätigung durch den Auftraggeber in der PlayTimeApp-Plattform.
(2) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, berührt dies die Gültigkeit der übrigen Bestimmungen nicht.
(3) Es gilt das Recht der Bundesrepublik Deutschland.
AVV Version 1.0 · PlayTimeApp · Erstellt: 8.8.2026