Vertrag zur Auftragsverarbeitung

Parteien

Verantwortlicher (nachfolgend „Verein"):
[Vereinsname]
[Anschrift]
vertreten durch [Name, Funktion]
E-Mail: [Kontakt-E-Mail des Vereins]

und

Auftragsverarbeiter (nachfolgend „Betreiber"):
2builders studio (Inhaberin: Mila Otto-Bickl)
Rue d’Oultremont 45, 1040 Etterbeek, Belgien
Unternehmensnummer: BE 1039.008.273
E-Mail: squadform@2builders-studio.eu

Der Verein nutzt die Plattform „SquadForm" zur individuellen Förderung seiner Jugendspieler:innen. Dabei verarbeitet der Betreiber personenbezogene Daten im Auftrag und nach Weisung des Vereins. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO und ist Anlage zum zugrundeliegenden Lizenzvertrag.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Betreiber im Rahmen der Bereitstellung und des Betriebs der Plattform SquadForm (Trainingsplanung, Kader- und Terminverwaltung, Entwicklungsdokumentation).

(2) Die Dauer entspricht der Laufzeit des Lizenzvertrags. Der Vertrag endet mit dessen Beendigung; die Regelungen zur Löschung/Rückgabe (§ 8) bleiben davon unberührt.

§ 2 Art, Zweck und Umfang · Betroffene und Datenkategorien

Zweck: individuelle sportliche Entwicklung Jugendlicher — aus Trainer-Beobachtungen werden gewichtete Entwicklungs-Schwerpunkte und Wochen-Trainingspläne abgeleitet; dazu Team-Organisation (Termine, Kader, Ziele).

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auswerten (inkl. KI-gestützter Textanalyse, siehe § 6), Bereitstellen, Löschen — automatisiert in der Anwendung.

Kategorien betroffener Personen: minderjährige Spieler:innen des Vereins, Trainer:innen und Vereinsverantwortliche.

Kategorien personenbezogener Daten:

• Stammdaten (Name, Geburtsjahr, Position, starker Fuß, Körpergröße optional, Equipment) sowie Konto-/Anmeldedaten (Name, E-Mail, Passwort ausschließlich als Hash);
• Leistungs- und Entwicklungsdaten (Benchmarks und deren Verlauf, erledigte Übungen, Selbsteinschätzungen, Trainer-Notizen, abgeleitete Schwerpunkte, Bewertungen, Reflexionen, Wünsche);
• Organisationsdaten (Team-Termine, Kadereinteilung, Saisonziele);
• Nachweis der elterlichen Einwilligung (Zeitpunkt und Methode).

Besonderer Schutz Minderjähriger: Es werden keine Gewichts- oder Körperfettdaten und keine darauf bezogenen Ziele verarbeitet. Ernährungshinweise sind rein leistungsorientiert. Ohne nachweisbare elterliche Einwilligung ist keine Funktion für die Spieler:in nutzbar.

§ 3 Weisungsrecht des Vereins

(1) Der Betreiber verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Vereins; dieser Vertrag und die Nutzung der Plattform gelten als solche Weisung. Weitergehende oder abweichende Weisungen sind in Textform (z. B. E-Mail) zu erteilen.

(2) Ist der Betreiber der Auffassung, eine Weisung verstoße gegen geltendes Datenschutzrecht, informiert er den Verein unverzüglich und darf die betreffende Weisung bis zur Bestätigung aussetzen.

§ 4 Pflichten des Betreibers

• Verarbeitung nur im dokumentierten Rahmen dieses Vertrags und der Weisungen;
• Verpflichtung aller zur Verarbeitung befugten Personen auf Vertraulichkeit;
• Umsetzung und Aufrechterhaltung der technisch-organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage 1);
• Unterstützung des Vereins bei der Beantwortung von Betroffenenrechten (§ 5) sowie bei Datenschutz-Folgenabschätzungen und Meldungen (Art. 32–36 DSGVO), soweit dem Betreiber möglich;
• unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten an den Verein (§ 7);
• Einsatz von Unterauftragsverarbeitern nur nach Maßgabe von § 6;
• Nachweis der Einhaltung dieser Pflichten und Ermöglichung von Kontrollen (§ 9);
• Löschung oder Rückgabe der Daten nach Beendigung (§ 8).

§ 5 Betroffenenrechte

Der Betreiber unterstützt den Verein mit geeigneten Maßnahmen dabei, Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nachzukommen. In der Anwendung stehen dazu Funktionen zur Datenauskunft/-export und zur Löschung eines Profils zur Verfügung. Wenden sich betroffene Personen unmittelbar an den Betreiber, leitet er das Anliegen unverzüglich an den Verein weiter.

§ 6 Unterauftragsverarbeiter

(1) Der Verein genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Der Betreiber verpflichtet diese vertraglich auf ein gleichwertiges Datenschutzniveau (Art. 28 Abs. 4 DSGVO).

(2) Wechsel oder Hinzufügung eines Unterauftragsverarbeiters teilt der Betreiber vorab in Textform mit. Der Verein kann aus wichtigem datenschutzrechtlichen Grund innerhalb von 14 Tagen widersprechen.

(3) Erfolgt eine Verarbeitung in einem Drittland, stellt der Betreiber geeignete Garantien nach Kapitel V DSGVO sicher (insb. EU-Standardvertragsklauseln).

§ 7 Meldung von Datenschutzverletzungen

Der Betreiber meldet dem Verein Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO verfügbaren Angaben, und unterstützt bei etwaigen Meldungen an die Aufsichtsbehörde bzw. Benachrichtigungen betroffener Personen.

§ 8 Löschung und Rückgabe

Nach Beendigung der Verarbeitung löscht der Betreiber nach Wahl des Vereins alle verarbeiteten Daten oder gibt sie in einem gängigen Format zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Beim Austritt einer Spieler:in oder auf Anforderung werden Profil und verknüpfte Daten unmittelbar in der Anwendung gelöscht.

§ 9 Kontrollrechte

Der Verein kann sich von der Einhaltung dieses Vertrags überzeugen. Der Betreiber stellt dazu die erforderlichen Informationen bereit (u. a. diese TOM-Beschreibung); vor-Ort- bzw. Remote-Kontrollen sind nach angemessener Vorankündigung und ohne Beeinträchtigung des Betriebs möglich.

§ 10 Sonstiges

Es gilt das Recht am Sitz des Vereins bzw. die im Lizenzvertrag getroffene Rechtswahl. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag wirksam. Änderungen bedürfen der Textform. Bei Widersprüchen zwischen Lizenzvertrag und diesem AVV gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.

Anlage 2 — Genehmigte Unterauftragsverarbeiter

An die KI werden nur die für die jeweilige Ableitung erforderlichen Textinhalte (Notizen, Wünsche, Reflexionen, Profildaten) übermittelt.