Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO · Stand 25.08.2026 · Version 0.9 (Entwurf)
Zwischen wem dieser Vertrag gilt
Verantwortlicher („Verein“) ist der Verein, der Sportistic nutzt, vertreten durch seinen Vorstand. Die konkreten Angaben ergeben sich aus dem Vereinsprofil in der Plattform und aus der elektronischen Bestätigung dieses Vertrags (siehe Ziffer 13).
Auftragsverarbeiter („Betreiber“) ist:
Roy Greiling · Kopernikusstraße 10 · 07548 Gera · Deutschland
E-Mail: kontakt@sportistic.de
1 · Gegenstand, Art und Zweck der Verarbeitung
Der Betreiber stellt dem Verein die Plattform Sportistic als Software zur Nutzung über das Internet bereit und betreibt sie auf eigenen Servern. Dabei verarbeitet er personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Vereins.
Zweck ist die Organisation des Trainings- und Spielbetriebs: Terminplanung und Anwesenheit, Mannschaftskasse, Platz- und Kabinenbelegung, Kader- und Spielverwaltung, Trainingsplanung sowie Vereinsdokumente.
Der Betreiber verarbeitet die Daten zu keinem eigenen Zweck. Eine Auswertung zu Produktentwicklung, Statistik, Werbung oder Weitergabe an Dritte findet nicht statt.
2 · Dauer
Der Vertrag beginnt mit der Bestätigung nach Ziffer 13 und läuft, solange der Verein die Plattform nutzt. Er endet mit dem Nutzungsverhältnis; die Pflichten aus Ziffer 10 (Löschung) bestehen darüber hinaus fort.
3 · Art der Daten und Kreis der Betroffenen
Im Einzelnen aufgeführt in Anlage 1.
4 · Weisungen
Der Betreiber verarbeitet die Daten nur auf dokumentierte Weisung des Vereins, einschließlich der Übermittlung in Drittländer. Weisungen erfolgen in Textform an die oben genannte Adresse; die Nutzung der Funktionen der Plattform durch berechtigte Personen des Vereins gilt als Weisung.
Hält der Betreiber eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Klärung aussetzen.
5 · Vertraulichkeit
Der Betreiber verarbeitet die Daten nur durch Personen, die zur Vertraulichkeit verpflichtet sind. Derzeit hat ausschließlich der Betreiber selbst administrativen Zugriff auf Server und Datenbank. Werden künftig weitere Personen eingesetzt, verpflichtet er sie zuvor schriftlich auf die Vertraulichkeit und unterrichtet sie über die Anforderungen der DSGVO.
6 · Technische und organisatorische Maßnahmen
Der Betreiber trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie fortentwickeln, solange das Schutzniveau nicht unterschritten wird.
7 · Weitere Auftragsverarbeiter
Der Verein erteilt die allgemeine Genehmigung zur Beauftragung der in Anlage 3 genannten Unterauftragsverarbeiter. Der Betreiber verpflichtet diese auf dieselben Datenschutzpflichten.
Beabsichtigte Änderungen teilt der Betreiber mindestens vier Wochen vorher in Textform mit. Der Verein kann innerhalb von zwei Wochen aus wichtigem, datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, darf er das Nutzungsverhältnis außerordentlich kündigen.
8 · Rechte der Betroffenen
Wenden sich Betroffene unmittelbar an den Betreiber, leitet er die Anfrage unverzüglich an den Verein weiter und beantwortet sie nicht selbst.
Der Betreiber unterstützt den Verein bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Die Plattform stellt dafür Funktionen bereit, mit denen der Verein die meisten Anfragen selbst erfüllen kann.
9 · Meldung von Datenschutzverletzungen
Der Betreiber meldet dem Verein jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis. Die Frist ist bewusst kürzer als die 72 Stunden aus Art. 33 DSGVO, damit dem Verein für seine eigene Meldung Zeit bleibt.
Die Meldung enthält Art des Vorfalls, betroffene Datenkategorien, ungefähre Zahl der Betroffenen, wahrscheinliche Folgen und ergriffene Maßnahmen. Der Betreiber unterstützt den Verein bei Meldung und Benachrichtigung (Art. 33, 34) sowie bei einer Datenschutz-Folgenabschätzung (Art. 35, 36).
10 · Löschung und Rückgabe nach Vertragsende
Nach Ende des Nutzungsverhältnisses stellt der Betreiber dem Verein die Daten 30 Tage lang zum Export in einem gängigen, maschinenlesbaren Format bereit. Danach löscht er alle Daten.
Sicherungskopien werden nicht einzeln bereinigt, sondern laufen im regulären Zyklus aus; sie sind verschlüsselt und werden nicht wiederhergestellt, außer zur Wiederherstellung eines Störfalls. Vollständige Löschung aus allen Sicherungen tritt spätestens nach 90 Tagen ein. Die Löschung wird auf Wunsch in Textform bestätigt.
11 · Nachweise und Kontrolle
Der Betreiber weist die Einhaltung seiner Pflichten auf Anfrage nach, insbesondere durch Auskunft über die Maßnahmen aus Anlage 2 und die Ergebnisse der regelmäßigen Eigenprüfungen (siehe Anlage 2, Abschnitt „Überprüfung“).
Der Verein darf sich nach vorheriger Ankündigung mit angemessener Frist selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer von der Einhaltung überzeugen. Der Betreiber wirkt daran mit. Prüfungen dürfen den Betrieb nicht unangemessen beeinträchtigen und keine Daten anderer Vereine offenlegen.
12 · Haftung
Es gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander haftet jede Partei für den Anteil des Schadens, den sie zu vertreten hat.
13 · Zustandekommen, Änderungen, Schlussbestimmungen
Der Vertrag kommt elektronisch zustande: Eine für den Verein vertretungsberechtigte Person bestätigt ihn in der Plattform. Als vertretungsberechtigt gelten die eingetragenen Vorstandsmitglieder des Vereins. Der Betreiber protokolliert Zeitpunkt, Person und Version und stellt den Nachweis auf Anfrage bereit.
Änderungen werden mindestens vier Wochen vorher in Textform angekündigt und bedürfen einer erneuten Bestätigung. Frühere Fassungen bleiben unter ihrer Versionsnummer abrufbar.
Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Bei Widersprüchen zu anderen Vereinbarungen zwischen den Parteien geht dieser Vertrag in Datenschutzfragen vor.
Anlage 1 · Daten und Betroffene
Kreis der Betroffenen
Spielerinnen und Spieler (überwiegend minderjährig), deren Erziehungsberechtigte, Trainer- und Betreuerstab, Vorstands- und Funktionsträger, Gäste sowie gegnerische Mannschaften im Rahmen der Spielplanung.
Kategorien der Daten
| Bereich | Daten |
|---|---|
| Stammdaten | Vor- und Nachname, Geburtsdatum, E-Mail-Adresse, Telefonnummer, Mannschaftszugehörigkeit, Rolle und Funktion im Verein, Profilbild |
| Zugang | Benutzername, Passwort (nur als Hashwert), Zwei-Faktor-Geheimnis, Sitzungskennungen, Einladungs-Token |
| Anwesenheit | Zu- und Absagen, Absagegründe, Verletzungsangaben (Art. 9), Fahrgemeinschaften, Gästeeinträge |
| Mannschaftskasse | Beiträge, Strafen, Zahlungsstände, Kassenbucheinträge, Mahnungen |
| Kader und Spielbetrieb | Aufstellungen, Positionen, Rückennummern, Spielberichte, Statistiken, Bewertungen, interne Trainernotizen |
| Platzbelegung | Buchungen von Plätzen und Kabinen mit Mannschaftsbezug |
| Dokumente | Formulare, Nachweise, Einwilligungen, elektronische Unterschriften |
| Technisch | Push-Token, Zeitpunkt der letzten Anmeldung, Protokolle über sicherheitsrelevante Vorgänge, Server-Protokolle einschließlich IP-Adresse |
Anlage 2 · Technische und organisatorische Maßnahmen
Vertraulichkeit
- Zutritt: Betrieb in einem Rechenzentrum in Deutschland; der Betreiber selbst hat keinen physischen Zugang zur Hardware.
- Zugang: Anmeldung mit Benutzername und Passwort; Passwörter nur als Hashwert gespeichert. Zwei-Faktor-Authentisierung (TOTP) verfügbar, in der App zusätzlich Face ID beziehungsweise Fingerabdruck. Administrativer Serverzugang ausschließlich per SSH-Schlüssel, Passwortanmeldung abgeschaltet.
- Zugriff: Rollen- und Rechtesystem je Verein. Jede Person sieht nur die Mannschaften und Module, für die sie berechtigt ist. Rechte werden serverseitig geprüft, nicht nur in der Oberfläche.
- Trennung: Alle Daten sind vereinsgebunden gespeichert; jede Abfrage filtert nach Verein. Ein automatischer Mandanten-Wächter prüft wöchentlich mit einem Probe-Verein sämtliche Schnittstellen darauf, ob Daten fremder Vereine sichtbar werden.
Integrität
- Übertragung: ausschließlich verschlüsselt über HTTPS/TLS.
- Eingabe: Protokollierung sicherheitsrelevanter Vorgänge mit Zeitpunkt und handelnder Person.
- Abwehr: Firewall (ufw), automatische Sperrung nach fehlgeschlagenen Anmeldeversuchen (fail2ban), interne Dienste nur lokal erreichbar.
Verfügbarkeit und Belastbarkeit
- Sicherung: tägliche, verschlüsselte Sicherung der gesamten Plattform (restic) lokal und zusätzlich an einem zweiten Standort. Der Anbieter des zweiten Standorts kann die Sicherungen nicht lesen.
- Wiederherstellung: über ein Verwaltungswerkzeug einspielbar; Sicherungen werden auf Vollständigkeit überwacht.
- Grenze der Zusage: Die Plattform läuft auf einem Server ohne automatische Ausfallsicherung. Eine Verfügbarkeit rund um die Uhr wird nicht zugesagt.
Überprüfung
- Fünf automatische Prüfungen je Woche zu Sicherheit, Oberfläche, Datenschutz, Funktion und Aufräumarbeiten.
- Wöchentlicher Mandanten-Wächter (siehe „Trennung“).
- Auftragskontrolle: Unterauftragsverarbeiter sind vertraglich gebunden, siehe Anlage 3.
Anlage 3 · Unterauftragsverarbeiter
| Anbieter | Leistung | Ort |
|---|---|---|
| STRATO GmbH, Pascalstraße 10, 10587 Berlin (Konzern IONOS SE) | Server und Rechenzentrum · Ablage der verschlüsselten Sicherungen · E-Mail-Versand (Einladungen, Passwort zurücksetzen) | Deutschland |
| Apple Distribution International Ltd., Irland | Zustellung von Mitteilungen an iPhone und iPad | Irland, teils USA |
| Google Ireland Ltd., Irland | Zustellung von Mitteilungen an Android-Geräte | Irland, teils USA |
Bei der Zustellung von Mitteilungen werden nur ein Gerätekennzeichen und der Text der Mitteilung übergeben. Für Übermittlungen in die USA stützt sich der Betreiber auf die Standardvertragsklauseln der Europäischen Kommission beziehungsweise auf einen Angemessenheitsbeschluss, soweit der Anbieter zertifiziert ist.
Keine Verarbeitung durch KI-Dienste. Personenbezogene Daten werden nicht an Anbieter künstlicher Intelligenz übermittelt, weder mit noch ohne Klarnamen.
Die jeweils gültige Fassung dieser Anlage ist unter sportistic.de/avv abrufbar.