Vertrag zur Auftragsverarbeitung

← zu CueDesk

Kurz gesagt: Der Verein ist für die Daten seiner Mitglieder verantwortlich. Der Betreiber verarbeitet sie nur, damit CueDesk funktioniert, nur nach Weisung des Vereins und nicht für eigene Zwecke.

1. Vertragspartner und Gegenstand

Dieser Vertrag nach Art. 28 DSGVO gilt zwischen dem Verein, der CueDesk nutzt (Verantwortlicher, im Folgenden „Verein“), und Matthias Haas, Königstr. 41, 28857 Syke (Auftragsverarbeiter, im Folgenden „Betreiber“). Er ergänzt die Nutzungsbedingungen und gilt so lange wie diese.

Gegenstand ist der Betrieb von CueDesk für den Spielbetrieb des Vereins: Speichern, Anzeigen, Auswerten, Sichern und Löschen der Daten, die der Verein und seine Benutzer eintragen.

2. Art der Daten und betroffene Personen

Betroffene Mitglieder, Gastspieler anderer Vereine, Benutzer mit Konto im Verein
Angaben zur Person Vor- und Nachname, Anzeigename, Kürzel, Status (Mitglied, Gast, ausgetreten), Ein- und Austritt, Merker „minderjährig“, Pass- und DBU-Nummer, Notiz des Vereins, Einwilligungen mit Verlauf
Spielbetrieb Turniere, Teilnahmen, Anmeldungen, Partien mit Ergebnis und Vorgabe, 14.1-Aufnahmeprotokoll, Mannschaften und Kader, Rating, Ranglisten, Statistiken
Chat (wenn der Verein ihn einschaltet) Name, Text, Turnier und Zeitpunkt der Beiträge während eines Turniers; gelöscht 1 Tag nach Turnierende
Konten E-Mail-Adresse, Rollen, Verknüpfung mit dem Spieler, Anmeldezeitpunkte, Änderungsprotokoll

Besondere Kategorien nach Art. 9 DSGVO, Anschriften, Geburtsdaten und Bankdaten werden nicht verarbeitet; CueDesk hat dafür keine Felder.

3. Weisungen

Der Betreiber verarbeitet die Daten nur auf dokumentierte Weisung des Vereins. Die Weisungen ergeben sich aus diesem Vertrag und aus der Bedienung von CueDesk durch den Verein; weitere Weisungen erteilt der Verein in Textform. Hält der Betreiber eine Weisung für rechtswidrig, sagt er das dem Verein unverzüglich. Eine Verarbeitung für eigene Zwecke findet nicht statt, ausgenommen gesetzliche Pflichten.

4. Zugriff des Betreibers und Vertraulichkeit

Der Betreiber sieht im Regelbetrieb nur Kennzahlen des Vereins, etwa die Zahl der Spieler. Einblick in die Daten bekommt er nur, wenn der Verein auf der Seite „System“ einen befristeten Support-Zugang freigibt; Freigabe und Ende werden protokolliert. Ohne Freigabe greift er nur auf die Datenbank selbst zu, wenn es zur Behebung einer Störung oder zur Wiederherstellung einer Sicherung unbedingt nötig ist, und informiert den Verein darüber. Personen, die für den Betreiber Zugang erhalten, sind zur Vertraulichkeit verpflichtet.

5. Sicherheit

Der Betreiber trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie dem Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

Der Verein stimmt den Unterauftragsverarbeitern in Anlage 2 zu. Einen neuen oder geänderten Unterauftragsverarbeiter kündigt der Betreiber mindestens 4 Wochen vorher per E-Mail an. Der Verein kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Lösung zustande, kann er die Nutzung beenden. Der Betreiber verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten. [prüfen]

7. Unterstützung des Vereins

8. Nachweise und Kontrollen

Der Betreiber stellt dem Verein auf Anfrage die Informationen zur Verfügung, die zum Nachweis dieser Pflichten nötig sind, insbesondere eine aktuelle Beschreibung der Maßnahmen. Kontrollen vor Ort sind nach Absprache möglich, soweit eine schriftliche Auskunft nicht ausreicht. [prüfen]

9. Ende des Auftrags

Endet die Nutzung, kann der Verein seine Daten noch 30 Tage exportieren. Danach löscht der Betreiber alle Daten des Vereins; in den verschlüsselten Sicherungen verschwinden sie spätestens 12 Wochen später. Eine Pflicht zur weiteren Aufbewahrung besteht nicht.

10. Haftung

Für die Haftung gilt Art. 82 DSGVO, im Übrigen die Regelung der Nutzungsbedingungen. [prüfen]

Anlage 1: Technische und organisatorische Maßnahmen

Ort der Daten Datenbank in Frankfurt am Main (EU). Keine Kopien auf privaten Geräten des Betreibers.
Verschlüsselung Alle Verbindungen per HTTPS. Datenbank beim Anbieter verschlüsselt gespeichert. Sicherungen vor der Ablage mit AES-256 verschlüsselt. Passwörter nur als Hash.
Trennung der Vereine Jeder Datensatz gehört genau einem Verein. Zugriffsregeln (Row Level Security) auf jeder Tabelle verhindern, dass ein Verein Daten eines anderen sieht.
Zugang und Rechte Konten nur auf Einladung. Rollen (Vereins-Administrator, Sportwart, Turnierleiter, Mitglied) begrenzen, wer was sehen und ändern darf. Vertrauliche Angaben sieht nur die Vereinsleitung. Tablets erhalten nur einen gekoppelten Gerätezugang ohne Personendaten.
Zugriff des Betreibers Nur Kennzahlen; Einblick nur mit befristeter Support-Freigabe des Vereins.
Nachvollziehbarkeit Änderungsprotokoll: wer hat wann welchen Datensatz geändert (2 Jahre).
Verfügbarkeit Wöchentliche verschlüsselte Sicherung, 12 Wochen aufbewahrt. Export jederzeit durch den Verein.
Datensparsamkeit und Löschung Keine Felder für Anschrift, Geburtsdatum oder Bankdaten. Nächtliche Löschung abgelaufener Protokolle, Nachrichten und Chat-Beiträge (1 Tag nach Turnierende); Anonymisieren einzelner Personen; Löschung des Vereins 30 Tage nach Ende.
Konten des Betreibers Zugänge zu den Dienstleistern mit starken Passwörtern und Zwei-Faktor-Anmeldung. [prüfen]

Anlage 2: Unterauftragsverarbeiter

Supabase, Inc. Datenbank, Anmeldung und Serverfunktionen. Server in Frankfurt am Main (Region Central EU). Das Unternehmen sitzt in den USA; Grundlage sind der Vertrag zur Auftragsverarbeitung von Supabase und die Standardvertragsklauseln der EU-Kommission. [prüfen]
IONOS SE, Deutschland Domain, E-Mail-Postfach und Versand der Anmelde-Mails.
GitHub, Inc. Ablage der wöchentlichen Sicherung in einem privaten Repository. Die Sicherung wird vor dem Hochladen verschlüsselt (AES-256); den Schlüssel hat nur der Betreiber, GitHub kann sie nicht lesen. Das Unternehmen sitzt in den USA; Grundlage sind der Vertrag zur Auftragsverarbeitung von GitHub und das EU-US Data Privacy Framework. [prüfen]

Fassung 1 · Stand: [Datum] · Nutzungsbedingungen · Datenschutz · Impressum