Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

Dieser Vertrag zur Auftragsverarbeitung wird geschlossen zwischen

dem jeweiligen Verein, der Organisation oder der sonstigen Stelle, für deren Vereinsbereich BracketBreeze genutzt wird
nachfolgend „Auftraggeber" oder „Verantwortlicher"

und

Ole Nedderhoff, handelnd unter BracketBreeze
Detmolder Straße 145
33604 Bielefeld
Deutschland
Wirtschafts-Identifikationsnummer: DE463508534
E-Mail: info@bracketbreeze.com
nachfolgend „Auftragnehmer" oder „BracketBreeze".

Der Auftraggeber und der Auftragnehmer werden gemeinsam auch „Parteien" genannt.

1. Gegenstand des Vertrags

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch BracketBreeze im Auftrag des Auftraggebers im Zusammenhang mit der Nutzung der Plattform BracketBreeze.

BracketBreeze stellt eine Software-as-a-Service-Plattform zur Organisation des Vereinsbetriebs im Sportbereich bereit. Dabei verarbeitet BracketBreeze personenbezogene Daten von Mitgliedern, Spielern, Trainern, Funktionären, Helfern und sonstigen Personen, die einem Vereinsbereich zugeordnet sind.

Soweit BracketBreeze personenbezogene Daten im Auftrag des Auftraggebers verarbeitet, erfolgt die Verarbeitung ausschließlich nach Maßgabe dieses Vertrags und der dokumentierten Weisungen des Auftraggebers.

2. Verhältnis zu anderen Datenschutzrollen

Dieser Vertrag gilt nur für Verarbeitungsvorgänge, bei denen BracketBreeze als Auftragsverarbeiter für den Auftraggeber tätig wird.

Für Verarbeitungsvorgänge, bei denen BracketBreeze selbst über Zwecke und Mittel der Verarbeitung entscheidet, bleibt BracketBreeze eigener Verantwortlicher. Dies betrifft insbesondere die Verarbeitung von Daten zur Registrierung, Vertragsabwicklung, Zahlungsabwicklung (u. a. über Stripe, Apple App Store, Google Play Store), Sicherheit, Fehleranalyse, Supportkommunikation und Verwaltung eigener Kundenbeziehungen. Weitere Informationen hierzu enthält die Datenschutzerklärung von BracketBreeze.

3. Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt zur technischen Bereitstellung, Wartung, Sicherung und Weiterentwicklung der Plattform BracketBreeze sowie zur Ermöglichung der Vereinsorganisation durch den Auftraggeber. Die Verarbeitung umfasst insbesondere:

• Einrichtung und Verwaltung von Vereinsbereichen;
• Verwaltung von Nutzern, Mitgliedern, Teams, Rollen und Berechtigungen;
• Organisation von Spielplänen, Trainings, Terminen und Aufgaben;
• Verwaltung von Verfügbarkeiten, Abwesenheiten und Teilnahme-Rückmeldungen;
• Einsatzplanung für Schiedsrichter-, Tisch-, Helfer- und sonstige Vereinsdienste;
• vereinsinterne Kommunikation und Benachrichtigungen;
• Anzeige und Verwaltung einfacher Teamkasseninformationen;
• Sicherung, Speicherung, Übermittlung und Löschung von Daten;
• Fehleranalyse, technischer Support und Systemprotokollierung, soweit erforderlich.

4. Kategorien personenbezogener Daten

Je nach Nutzung der Plattform können insbesondere folgende Daten verarbeitet werden:

• Vorname und Nachname;
• E-Mail-Adresse;
• Nutzer-ID und Accountdaten;
• Vereins-, Team- und Mannschaftszuordnungen;
• Rollen, Funktionen, Berechtigungen und Aufgaben;
• Spiel-, Trainings- und Termindaten;
• Verfügbarkeiten, Abwesenheiten und Teilnahme-Rückmeldungen;
• Einsatz- und Dienstplanungsdaten;
• vereinsinterne Nachrichten, Kommentare oder Benachrichtigungsdaten;
• Teamkassen- oder Abrechnungsinformationen, soweit genutzt;
• technische Protokolldaten, soweit sie Vereinsdaten betreffen;
• sonstige vom Auftraggeber oder seinen Nutzern in die Plattform eingegebene Daten.

Der Auftraggeber ist dafür verantwortlich, keine personenbezogenen Daten in BracketBreeze einzustellen, deren Verarbeitung für die Vereinsorganisation nicht erforderlich oder nicht rechtmäßig ist. Insbesondere sollen Gesundheitsdaten, Angaben zu Verletzungen, Diagnosen, religiösen Gründen, politischen Ansichten oder sonstige besondere Kategorien personenbezogener Daten nicht in Freitextfelder eingetragen werden, sofern hierfür keine ausdrückliche rechtliche Grundlage besteht.

5. Kategorien betroffener Personen

• Vereinsmitglieder;
• Spieler;
• Trainer;
• Schiedsrichter;
• Vereinsfunktionäre;
• Erziehungsberechtigte;
• Helfer;
• Admins;
• sonstige Personen, die in die Vereinsorganisation eingebunden sind.

6. Dauer der Verarbeitung

Die Verarbeitung beginnt mit Einrichtung oder Nutzung eines Vereinsbereichs und endet grundsätzlich mit Beendigung der Nutzung des Vereinsbereichs oder des zugrunde liegenden Vertragsverhältnisses.

Nach Ende der Nutzung werden personenbezogene Daten nach Maßgabe der AGB, der Datenschutzerklärung und der gesetzlichen Vorgaben gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten, berechtigten Interessen oder dokumentierten Weisungen des Auftraggebers entgegenstehen.

7. Weisungen des Auftraggebers

BracketBreeze verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, sofern BracketBreeze nicht gesetzlich zu einer Verarbeitung verpflichtet ist.

Die Weisungen des Auftraggebers ergeben sich zunächst aus diesem Vertrag, den AGB, den Einstellungen innerhalb der Plattform und den vom Auftraggeber oder seinen Admins vorgenommenen Nutzungshandlungen. Einzelweisungen können über die in der Plattform bereitgestellten Funktionen oder über die angegebenen Support-Kontaktwege erteilt werden.

BracketBreeze informiert den Auftraggeber, wenn BracketBreeze der Ansicht ist, dass eine Weisung gegen Datenschutzrecht verstößt. BracketBreeze ist berechtigt, die Durchführung einer offensichtlich rechtswidrigen Weisung auszusetzen, bis sie bestätigt, geändert oder zurückgenommen wurde.

8. Pflichten von BracketBreeze

BracketBreeze verpflichtet sich,

• personenbezogene Daten nur nach dokumentierter Weisung des Auftraggebers zu verarbeiten;
• die Vertraulichkeit der Verarbeitung sicherzustellen;
• Personen, die Zugriff auf personenbezogene Daten haben, zur Vertraulichkeit zu verpflichten;
• geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten zu treffen;
• den Auftraggeber nach Möglichkeit bei der Erfüllung von Betroffenenrechten zu unterstützen;
• den Auftraggeber nach Möglichkeit bei Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden zu unterstützen, soweit dies für die beauftragte Verarbeitung erforderlich ist;
• Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden an den Auftraggeber zu melden;
• personenbezogene Daten nach Ende der Verarbeitung nach Wahl des Auftraggebers zu löschen oder zurückzugeben, soweit keine gesetzliche Pflicht zur Speicherung besteht;
• dem Auftraggeber die zur Überprüfung der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung zu stellen.

9. Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten verantwortlich. Der Auftraggeber verpflichtet sich insbesondere,

• personenbezogene Daten nur rechtmäßig in BracketBreeze einzustellen oder einstellen zu lassen;
• betroffene Personen, insbesondere Mitglieder und Spieler, ordnungsgemäß über die Verarbeitung zu informieren;
• erforderliche Rechtsgrundlagen sicherzustellen;
• erforderliche Einwilligungen einzuholen, soweit eine Verarbeitung auf Einwilligung gestützt wird;
• Admins und Nutzer angemessen zur rechtmäßigen Nutzung der Plattform anzuleiten;
• Berechtigungen innerhalb des Vereinsbereichs angemessen zu vergeben und aktuell zu halten;
• BracketBreeze keine Weisungen zu erteilen, die gegen geltendes Datenschutzrecht verstoßen.

10. Technische und organisatorische Maßnahmen

BracketBreeze trifft geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Die konkret eingesetzten Maßnahmen ergeben sich aus Anlage 1 dieses Vertrags. BracketBreeze kann technische und organisatorische Maßnahmen weiterentwickeln oder ändern, sofern das Sicherheitsniveau dadurch nicht wesentlich herabgesetzt wird.

11. Unterauftragsverarbeiter

Der Auftraggeber erteilt BracketBreeze eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. BracketBreeze darf Unterauftragsverarbeiter einsetzen, soweit dies zur Bereitstellung, Wartung, Sicherung oder Weiterentwicklung der Plattform erforderlich ist. BracketBreeze verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Anforderungen dieses Vertrags und Art. 28 DSGVO entsprechen.

BracketBreeze informiert den Auftraggeber über wesentliche Änderungen beim Einsatz von Unterauftragsverarbeitern. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund gegen den Einsatz eines neuen Unterauftragsverarbeiters widersprechen. Die aktuell eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2 dieses Vertrags.

12. Drittlandübermittlungen

Eine Übermittlung personenbezogener Daten in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der DSGVO erfüllt sind. Soweit erforderlich, setzt BracketBreeze geeignete Garantien ein, insbesondere Angemessenheitsbeschlüsse der Europäischen Kommission, EU-Standardvertragsklauseln oder andere zulässige Transfermechanismen. Details zu den betroffenen Anbietern ergeben sich aus Anlage 2.

13. Unterstützung bei Betroffenenrechten

Wendet sich eine betroffene Person unmittelbar an BracketBreeze und betrifft die Anfrage eine Verarbeitung im Auftrag des Auftraggebers, leitet BracketBreeze die Anfrage grundsätzlich an den Auftraggeber weiter, soweit eine Zuordnung möglich ist.

BracketBreeze unterstützt den Auftraggeber nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch. Der Auftraggeber bleibt für die rechtliche Prüfung und Beantwortung der Anfrage verantwortlich.

14. Meldung von Datenschutzverletzungen

BracketBreeze informiert den Auftraggeber unverzüglich, wenn BracketBreeze eine Verletzung des Schutzes personenbezogener Daten feststellt, die Daten betrifft, die im Auftrag des Auftraggebers verarbeitet werden. Die Mitteilung enthält, soweit verfügbar, Art der Verletzung, betroffene Datenkategorien und Personengruppen, voraussichtliche Folgen, ergriffene oder vorgeschlagene Maßnahmen sowie eine Kontaktstelle für Rückfragen.

Der Auftraggeber bleibt für etwaige Meldungen an Aufsichtsbehörden oder betroffene Personen verantwortlich, soweit ihn diese Pflicht trifft.

15. Nachweise und Kontrollen

BracketBreeze stellt dem Auftraggeber auf Anfrage die zur Überprüfung der Einhaltung dieses Vertrags erforderlichen Informationen in angemessenem Umfang zur Verfügung. Audits oder Vor-Ort-Kontrollen sind nur nach vorheriger Abstimmung, während üblicher Geschäftszeiten, ohne Beeinträchtigung des laufenden Betriebs und unter Wahrung von Geschäftsgeheimnissen, Sicherheitsinteressen und Vertraulichkeit zulässig. BracketBreeze kann geeignete Nachweise, Sicherheitsdokumentationen, Zertifikate oder Selbstauskünfte bereitstellen, soweit diese für die Prüfung ausreichend sind.

16. Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Auftrags löscht oder anonymisiert BracketBreeze personenbezogene Daten nach Maßgabe der Weisung des Auftraggebers, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Gründe für eine weitere Speicherung bestehen. Soweit technisch verfügbar, kann der Auftraggeber Daten vor Löschung exportieren.

Backup-Daten können für einen begrenzten Zeitraum weiterhin gespeichert sein und werden nach Ablauf der jeweiligen Backup-Zyklen gelöscht oder überschrieben.

17. Haftung

Die Haftung der Parteien richtet sich nach den gesetzlichen Vorschriften und den zwischen den Parteien geltenden AGB, soweit diese wirksam einbezogen wurden. Dieser Vertrag begründet keine weitergehende Haftung als gesetzlich vorgeschrieben, soweit nicht ausdrücklich etwas anderes vereinbart ist.

18. Laufzeit und Beendigung

Dieser Vertrag gilt für die Dauer der Nutzung von BracketBreeze durch den Auftraggeber, soweit BracketBreeze personenbezogene Daten im Auftrag des Auftraggebers verarbeitet. Mit Beendigung des zugrunde liegenden Nutzungs- oder Vertragsverhältnisses endet auch dieser Vertrag, soweit keine gesetzlichen Pflichten oder Abwicklungspflichten fortbestehen.

19. Schlussbestimmungen

Änderungen dieses Vertrags können in Textform erfolgen.

Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

BracketBreeze trifft insbesondere folgende Maßnahmen, soweit sie für die jeweilige Verarbeitung einschlägig sind:

1. Zugangskontrolle

• Zugriff auf Systeme nur für berechtigte Personen;
• Nutzung individueller Zugangsdaten;
• Schutz administrativer Zugänge;
• Beschränkung von Verwaltungsrechten auf erforderliche Personen;
• Deaktivierung nicht mehr benötigter Zugänge.

2. Zugriffskontrolle

• rollen- und berechtigungsbasierte Zugriffskonzepte;
• Trennung von Vereinsbereichen;
• Beschränkung des Zugriffs auf personenbezogene Daten nach Erforderlichkeit;
• regelmäßige Überprüfung administrativer Berechtigungen.

3. Übertragungskontrolle

• verschlüsselte Datenübertragung über HTTPS/TLS;
• sichere Schnittstellenkommunikation;
• Schutz vor unbefugtem Mitlesen bei der Übertragung.

4. Eingabekontrolle

• Protokollierung sicherheitsrelevanter Vorgänge, soweit erforderlich und verhältnismäßig;
• Nachvollziehbarkeit administrativer Änderungen, soweit technisch vorgesehen;
• Schutz vor unbefugter oder unbemerkter Veränderung von Daten.

5. Verfügbarkeitskontrolle

• angemessene Backup- und Wiederherstellungsverfahren;
• Monitoring der technischen Verfügbarkeit;
• Maßnahmen gegen Datenverlust;
• Schutz vor technischen Ausfällen im Rahmen des wirtschaftlich und technisch Angemessenen.

6. Trennungskontrolle

• logische Trennung von Vereinsbereichen;
• Trennung von Produktiv-, Test- und Entwicklungsumgebungen, soweit personenbezogene Echtdaten betroffen sind;
• beschränkter Zugriff auf Produktivdaten.

7. Vertraulichkeit und Organisation

• Verpflichtung zugriffsberechtigter Personen auf Vertraulichkeit;
• interne Datenschutz- und Sicherheitsvorgaben;
• datenschutzfreundliche Voreinstellungen, soweit möglich;
• regelmäßige Prüfung und Weiterentwicklung der Sicherheitsmaßnahmen.

Anlage 2: Unterauftragsverarbeiter

Stripe, Apple (App Store) und Google (Play Store) sind nicht als Unterauftragsverarbeiter im Sinne dieses Vertrags gelistet, da sie hinsichtlich der Zahlungsabwicklung eigene Verantwortliche sind. Näheres hierzu in der Datenschutzerklärung.

Hinweis beim Anlegen eines Vereinsbereichs

Wenn Sie BracketBreeze für einen Verein, eine Mannschaft oder eine sonstige Organisation einrichten, verarbeitet BracketBreeze personenbezogene Daten im Auftrag dieser Organisation. Dafür gilt dieser Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.