← Startseite · Spieler-App · HandballClub Studio

Auftragsverarbeitungsvertrag

Vorlage zum Ausdrucken oder als PDF speichern. Der Vertrag kann auch in elektronischer Form geschlossen werden (Art. 28 Abs. 9 DSGVO), z. B. als unterschriebener Scan per E-Mail. Bitte die Angaben zum Verein ausfüllen, unterschreiben und dem Anbieter zusenden.

Vertragsparteien

Verantwortlicher (Verein)	Auftragsverarbeiter (Anbieter)
Name des Vereins: Anschrift: vertreten durch: Vereinsregister/Nr. (falls vorhanden): Ansprechpartner Datenschutz (E-Mail):	Ingo Dohrn Klaawes Koppel 21 25884 Viöl E-Mail: ingodohrn@vidoh.info Telefon: +491743980004

– nachfolgend „Verantwortlicher“ und „Auftragsverarbeiter“ –

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Web-Anwendung „TeamApp“ (HandballClub Studio und Spieler-App) unentgeltlich zur Organisation seiner Mannschaften bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen. Grundlage sind die Nutzungsbedingungen der TeamApp; bei Widersprüchen zum Datenschutz geht dieser Vertrag vor.

(2) Der Vertrag gilt, solange der Verantwortliche die TeamApp nutzt bzw. Daten seiner Mannschaften beim Auftragsverarbeiter gespeichert sind. Das Recht zur Kündigung aus wichtigem Grund bleibt unberührt.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck	Bereitstellung, Betrieb, Wartung und Weiterentwicklung der TeamApp: Speichern, Anzeigen und Übermitteln von Daten innerhalb der App (Hosting, Benutzerverwaltung, Benachrichtigungen, E-Mail-Versand von Einladungen und Passwort-Links, Datensicherung).
Art der Daten	Stammdaten (Name, Rückennummer, Position, ggf. Geburtsdatum, Wurfhand, Trikotgröße, Spielerpassnummer); Kontaktdaten (E-Mail, Telefon, Anschrift); Kontodaten (E-Mail, Passwort-Hash, Rolle, Rechte); Termin- und Teilnahmedaten (Nominierung, Zu-/Absagen mit Begründung, Anwesenheit); Kommunikationsinhalte (Chat, Pinnwand, Dokumente); Trainings- und Leistungsdaten (Trainingsinhalte, Testergebnisse, Fragebögen, Videoszenen); für den Verein freigegebene Trainingsinhalte (Vereinsbibliothek und Übungsbibliothek des Vereins, mit Name der freigebenden Person); Kassendaten (Strafen, Beiträge, Zahlungsstatus); Gesundheitsdaten (Verletzungen, Krankheiten, Belastung, Wohlbefinden – besondere Kategorien nach Art. 9 DSGVO); technische Daten (Anmelde-Schlüssel, Push-Abonnements, Protokolle).
Betroffene Personen	Spielerinnen und Spieler (auch Minderjährige), Trainerinnen und Trainer, Betreuer, Kassenwarte und weitere Mitglieder, die der Verantwortliche in die App aufnimmt.
Ort der Verarbeitung	Ausschließlich in der Europäischen Union bzw. im Europäischen Wirtschaftsraum (Server des Hosting-Anbieters, Anlage 2). Der E-Mail-Versand erfolgt über Galaxy GmbH Hohenzollernring 57 50672 Köln (Anlage 2).
E-Mail-Versand	Für Einladungen, Passwort-Links, Bestätigungen, Beitrittsanfragen und Gesundheitsmeldungen an das Trainerteam werden Empfängeradresse, Betreff und Inhalt an Galaxy GmbH Hohenzollernring 57 50672 Köln übermittelt. Der Auftragsverarbeiter führt ein Versandprotokoll (Zeitpunkt, Art, Empfänger, Betreff, Versandstatus, ohne Inhalte), das nach 60 Tagen automatisch gelöscht wird. Eine Einwilligung der betroffenen Personen ist nicht erforderlich, weil der Versand zur Nutzung der App notwendig ist (Art. 6 Abs. 1 lit. b DSGVO), bei technischen Nachrichten wie dem Zurücksetzen des Passworts Art. 6 Abs. 1 lit. f DSGVO.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind in erster Linie die Nutzung der Funktionen der App durch den Verantwortlichen und seine Nutzer sowie dieser Vertrag. Weitere Weisungen erteilt der Verantwortliche in Textform.

(2) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO).

(3) Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Ausgenommen sind die zum sicheren Betrieb erforderlichen technischen Daten (z. B. Server-Protokolle, Schutz vor Angriffen), für die der Auftragsverarbeiter selbst verantwortlich ist.

§ 4 Pflichten des Auftragsverarbeiters

Er gewährleistet, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO).
Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage 1) und passt sie dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken.
Er unterstützt den Verantwortlichen bei der Erfüllung der Rechte der Betroffenen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Viele Rechte kann der Verantwortliche direkt in der App erfüllen (Bearbeiten, Löschen, Export über die Datensicherung). Anfragen Betroffener, die beim Auftragsverarbeiter eingehen, leitet er unverzüglich weiter.
Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
Er unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35, 36 DSGVO) im Rahmen seiner Möglichkeiten.
Er stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung.
Ein Datenschutzbeauftragter ist beim Auftragsverarbeiter gesetzlich nicht vorgeschrieben; Ansprechpartner ist der oben genannte Anbieter.

§ 5 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information der Betroffenen (Art. 13, 14 DSGVO) und für erforderliche Einwilligungen – vor allem für Gesundheitsdaten (Art. 9 Abs. 2 lit. a DSGVO), Fotos/Videos und bei Minderjährigen (Erziehungsberechtigte).
Er vergibt Zugänge und Rechte (z. B. Kassenwart, Mannschaftsführer) nur an berechtigte Personen und entfernt Zugänge ausgeschiedener Mitglieder.
Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter verpflichtet sie vertraglich auf ein gleichwertiges Datenschutzniveau (Art. 28 Abs. 4 DSGVO).

(2) Über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) informiert der Auftragsverarbeiter den Verantwortlichen mindestens vier Wochen vorher in Textform oder in der App. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist keine Einigung möglich, können beide Parteien den Vertrag beenden.

(3) Keine Unterauftragsverarbeitung sind Leistungen, die der Verantwortliche oder seine Nutzer selbst bei Dritten in Anspruch nehmen, z. B. eigenes PayPal-Konto, YouTube (nur nach Einwilligung des Nutzers) sowie die Push-Dienste der Browser, die nur ein inhaltsleeres Weck-Signal erhalten.

§ 7 Kontrollrechte

Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen, in erster Linie durch Auskünfte und Unterlagen des Auftragsverarbeiters. Vor-Ort-Kontrollen sind nach rechtzeitiger Anmeldung (in der Regel zwei Wochen) zu den üblichen Zeiten möglich, ohne den Betrieb unverhältnismäßig zu stören.

§ 8 Löschung und Rückgabe

(1) Während der Laufzeit kann der Verantwortliche seine Daten jederzeit selbst exportieren (HandballClub Studio → Einstellungen → Datensicherung) und Mannschaften löschen.

(2) Nach Vertragsende löscht der Auftragsverarbeiter die Daten des Verantwortlichen innerhalb von 30 Tagen, sofern keine gesetzliche Pflicht zur Speicherung besteht. Vorher erhält der Verantwortliche Gelegenheit zum Export. Daten in Sicherungskopien werden im Rahmen des regulären Löschzyklus entfernt. Die Löschung wird auf Wunsch in Textform bestätigt.

§ 9 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen, soweit Art. 82 DSGVO nicht entgegensteht.

§ 10 Schlussbestimmungen

Änderungen und Ergänzungen bedürfen der Textform. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam; an die Stelle der unwirksamen Bestimmung tritt eine, die den Anforderungen des Art. 28 DSGVO entspricht.

Unterschriften

Ort, Datum:

Verantwortlicher (Verein), Name in Druckbuchstaben und Unterschrift

Ort, Datum:

Auftragsverarbeiter: Ingo Dohrn

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Schutzziel	Maßnahmen
Zutritts- und Zugangskontrolle (Server)	Betrieb in einem Rechenzentrum des Hosting-Anbieters (Anlage 2) mit dessen physischen Sicherungen; Server-Zugang nur für den Auftragsverarbeiter über verschlüsselte, passwortgeschützte Verbindungen.
Zugangskontrolle (App)	Persönliche Konten, Passwörter nur als bcrypt-Hash; Begrenzung von Fehlversuchen bei der Anmeldung; Anmelde-Cookie nur über HTTPS, für Skripte nicht lesbar (HttpOnly, SameSite); nach Passwortänderung werden alle anderen Geräte abgemeldet; Plattform-Verwaltung mit Zwei-Faktor-Anmeldung, optionaler IP-Sperre, automatischem Sitzungsende und Protokoll aller Anmeldungen und Änderungen; Updates nur über die Plattform-Verwaltung oder per FTP.
Zugriffskontrolle	Rollen- und Rechtekonzept (Vereinsadmin, verantwortlicher Trainer, Co-Trainer, Spieler; Rechte wie Kasse verwalten/einsehen, für andere antworten; Zahlungsempfänger nur durch den verantwortlichen Trainer oder Vereinsadmin änderbar; Mannschaftsübergabe nur mit Bestätigung des neuen Trainers oder durch den Vereinsadmin); Mannschaften sind technisch getrennt (eigene Datenbanktabellen je Mannschaft); Gesundheitsdaten nur für das Trainerteam sichtbar; Sperrung von Konten und Vereinen möglich.
Weitergabekontrolle	Übertragung ausschließlich verschlüsselt (HTTPS); Schutz vor Cross-Site-Anfragen; Push-Dienste erhalten nur ein inhaltsleeres Signal; keine Tracking-, Analyse- oder Werbedienste, keine externen Schriftarten; YouTube nur nach Einwilligung des Nutzers.
Speicherung und Verschlüsselung	Zugangsdaten zu Datenbank, E-Mail-Server und PayPal sowie Schlüssel für Benachrichtigungen werden mit AES-256-GCM verschlüsselt gespeichert; ebenso sämtliche personenbezogenen Daten und Inhalte in der Datenbank (u. a. Namen, E-Mail-Adressen, Telefonnummern, Trainer-Dokument, Termine, Pinnwand, Chat, Gesundheitsmeldungen, Fragebogen-Antworten, Kasse, Protokolle; Suche nach E-Mail-Adressen nur über verschlüsselte Prüfwerte, Anmelde-Fehlversuche nur als Prüfwert) und alle hochgeladenen Dateien, mit einem Datenschlüssel, der nach jeder Installation und jedem Update gewechselt wird (alte Schlüssel werden nach dem Umschlüsseln gelöscht); Datensicherungen werden mit einem RSA-Schlüsselpaar verschlüsselt, dessen privater Schlüssel nur beim Auftragsverarbeiter offline liegt; interne Verzeichnisse, Konfigurations- und Schlüsseldateien sind über das Web nicht abrufbar; hochgeladene Dateien nur mit zulässigen Dateitypen und unter zufälligen Namen, Auslieferung nur nach Berechtigungsprüfung.
Eingabekontrolle	Protokollierung von Updates; Kennzeichnung, wer Strafen, Zahlungsmeldungen und Rückmeldungen für andere eingetragen hat; Zeitstempel bei Änderungen.
Verfügbarkeit und Belastbarkeit	Datensicherungen des Hosting-Anbieters; Export der Mannschaftsdaten jederzeit durch den Verantwortlichen; automatische Sicherung vor jedem Update mit Möglichkeit zur Rücknahme.
Datenminimierung und Löschung	Nur für die Funktionen erforderliche Daten; automatische Löschung von Anmeldeversuchen (24 Std.), Benachrichtigungstexten (3 Tage), Versandprotokollen (60 Tage); Anmelde-Schlüssel höchstens 90 Tage gültig.
Überprüfung	Regelmäßige Aktualisierung der Software, Prüfung der Maßnahmen bei Änderungen der App.

Anlage 2 – Unterauftragsverarbeiter

Unternehmen	Leistung
Galaxy GmbH Hohenzollernring 57 50672 Köln	Hosting von Anwendung und Datenbank (Server-Standort EU/EWR)
Galaxy GmbH Hohenzollernring 57 50672 Köln	Versand von E-Mails (Einladungen, Passwort-Links, Beitragsanfragen, Gesundheitsmeldungen an das Trainerteam)

Angaben zum E-Mail-Dienstleister (Art. 28 Abs. 2 und 3 DSGVO)

Unternehmen	Galaxy GmbH Hohenzollernring 57 50672 Köln
Auftrag	Transport der E-Mails aus der Anwendung (Zustellung an den Empfänger)
Art der Daten	Empfänger-E-Mail-Adresse, Absenderadresse, Betreff, Zeitpunkt und Inhalt der Nachricht; keine Gesundheitsdaten. In den Versandprotokollen der Anwendung selbst: Art, Empfänger, Betreff, Versandstatus, keine Inhalte.
Zweck	Zustellung der Einladungen, Passwort-Links, Bestätigungen und Hinweise sowie von Gesundheitsmeldungen an das Trainerteam
Ort der Verarbeitung	siehe Angaben zum Anbieter; bei Übermittlung in Drittländer ist ein Angemessenheitsbeschluss oder eine Einwilligung des Verantwortlichen erforderlich
Löschfristen	Die Versandprotokolle des Anbieters werden nach dessen eigenen Vorgaben gelöscht (in der Regel nach wenigen Tagen). Das Versandprotokoll der Anwendung wird nach 60 Tagen automatisch gelöscht.
Vertraulichkeit	Der Anbieter verarbeitet die Daten auf Weisung des Auftragsverarbeiters, gibt sie nicht an Dritte weiter und schließt einen Vertrag nach Art. 28 DSGVO mit seinem Anbieter.

Stand: 25.10.2026