Auftragsverarbeitungsvertrag (AVV)
Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO zwischen dem Verein bzw. Club, der Courtano nutzt („Auftraggeber“), und Fesedia, Oskar-Klein-Str. 10, 97526 Sennfeld („Auftragnehmer“). Er wird mit Annahme der AGB Bestandteil des Nutzungsvertrags und gilt für dessen Laufzeit.
1. Gegenstand, Art und Zweck der Verarbeitung
Der Auftragnehmer stellt dem Auftraggeber Courtano als Software für Platzbuchung und Vereinsorganisation bereit. Dabei verarbeitet er personenbezogene Daten, die der Auftraggeber, seine Admins oder seine Nutzer in die Anwendung eingeben, ausschließlich zur Erbringung dieser Leistung: Speichern, Anzeigen, Versenden von Benachrichtigungen, Abwicklung von Buchungen und Zahlungen sowie Support.
2. Art der Daten und Kreis der Betroffenen
Betroffene sind Mitglieder, Gäste, Spieler, Trainer und Admins des Auftraggebers.
- Stammdaten: Name, E-Mail-Adresse, ggf. Telefonnummer, Rolle, Teamzugehörigkeit
- Buchungsdaten: Platz, Zeitraum, Mitspieler, Stornierungen
- Zahlungsdaten: Betrag, Zahlungsart, Zahlungsstatus, Zahlungskennungen (keine Kartendaten)
- Nutzungsdaten: Anmeldezeitpunkte, technische Protokolldaten
- Inhalte: Neuigkeiten, Spielersuche, Wettbewerbe, Kurse, Getränkedeckel, soweit genutzt
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet.
3. Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag und aus den Einstellungen, die der Auftraggeber in der Anwendung vornimmt. Weitere Weisungen erteilt der Auftraggeber in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.
4. Vertraulichkeit
Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind und Zugriff nur erhalten, soweit es für die Leistung erforderlich ist.
5. Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
6. Unterauftragsverarbeiter
Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragnehmer informiert den Auftraggeber vorab über beabsichtigte Änderungen, mindestens durch Aktualisierung dieser Seite und E-Mail an den Vereins-Admin. Der Auftraggeber kann binnen 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.
Zahlungsdienstleister (Stripe, ggf. PayPal), mit denen der Auftraggeber eigene Verträge schließt, sind keine Unterauftragsverarbeiter des Auftragnehmers.
7. Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Rechte Betroffener (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) sowie bei Pflichten nach Art. 32 bis 36 DSGVO. Wendet sich ein Betroffener direkt an den Auftragnehmer, leitet dieser die Anfrage an den Auftraggeber weiter.
8. Meldung von Datenschutzverletzungen
Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Informationen, die der Auftraggeber für eine Meldung nach Art. 33 DSGVO benötigt.
9. Löschung und Rückgabe nach Vertragsende
Nach Vertragsende kann der Auftraggeber seine Daten innerhalb von 30 Tagen exportieren bzw. anfordern. Danach löscht der Auftragnehmer die Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht. Kopien in Backups werden im regulären Backup-Zyklus überschrieben.
10. Nachweise und Kontrollen
Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind. Kontrollen vor Ort sind nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten möglich; Nachweise der Unterauftragsverarbeiter (z. B. Zertifizierungen, Prüfberichte) gelten als ausreichend, soweit sie die betroffene Verarbeitung abdecken.
11. Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen der AGB. Bei Widersprüchen geht dieser Vertrag den AGB in Datenschutzfragen vor. Es gilt deutsches Recht.
Anlage 1: Technische und organisatorische Maßnahmen
- Zutrittskontrolle: Betrieb ausschließlich in Rechenzentren der Unterauftragsverarbeiter mit Zertifizierung nach ISO 27001 bzw. SOC 2; keine eigenen Server.
- Zugangskontrolle: Anmeldung mit persönlichem Konto, Passwörter nur als Hash gespeichert, Sitzungen über signierte Tokens.
- Zugriffskontrolle: Mandantentrennung je Verein auf Datenbankebene (Row Level Security); Rollen Mitglied und Admin; Zugriff auf Verwaltungskonsolen nur für den Auftragnehmer.
- Weitergabekontrolle: Übertragung ausschließlich verschlüsselt per TLS; Datenbank verschlüsselt gespeichert.
- Eingabekontrolle: Buchungen und Änderungen werden mit Nutzer und Zeitpunkt gespeichert.
- Verfügbarkeit: Regelmäßige Backups durch den Datenbankanbieter; Hosting mit automatischer Skalierung.
- Trennungsgebot: Daten jedes Vereins sind über eine Vereinskennung getrennt und nur für dessen Nutzer sichtbar.
- Überprüfung: Regelmäßige Prüfung der Maßnahmen und der Sicherheitshinweise der Dienstleister.
Anlage 2: Unterauftragsverarbeiter
- Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA
Zweck: Hosting und Auslieferung der Anwendung
Ort und Garantien: Serverfunktionen in Frankfurt am Main; CDN weltweit; DPF/SCC - Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992
Zweck: Datenbank, Authentifizierung, Dateispeicher
Ort und Garantien: Datenhaltung in der für das Projekt gewählten Region; SCC - Resend (Plus Five Five, Inc.), 2261 Market Street #5039, San Francisco, CA 94114, USA
Zweck: Versand von System-E-Mails (z. B. Buchungsbestätigungen)
Ort und Garantien: USA; DPF/SCC
DPF = EU-US Data Privacy Framework, SCC = EU-Standardvertragsklauseln.
Stand: Oktober 2026. Ein unterzeichnetes Exemplar erhalten Sie auf Anfrage an info@fesedia.de.