Vertrag zur Auftragsverarbeitung

Vertragsparteien

Verantwortlicher: der Verein, die Anlage oder das Unternehmen, das PlayersCampus nutzt und diesen Vertrag im Vereins-Bereich abschließt — im Folgenden „Verantwortlicher“.

Auftragsverarbeiter: Evolvimus, Inhaberin Nicole Kostic, Schaumbergerstraße 18a, 96489 Niederfüllbach — im Folgenden „Auftragsverarbeiter“.

Der Verantwortliche nutzt PlayersCampus nach den AGB für Vereine. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten in seinem Auftrag. Dieser Vertrag regelt die Pflichten beider Seiten nach Art. 28 der Datenschutz-Grundverordnung (DSGVO). Version 1.0 (Oktober 2026).

§ 1 Gegenstand, Dauer, Art und Zweck

1. Gegenstand ist die Bereitstellung und der Betrieb der Software PlayersCampus für Platzbuchung, Mitgliederverwaltung, Kommunikation mit Mitgliedern, Zahlungsabwicklung und Auswertung — einschließlich der Einrichtung und Übernahme von Mitgliederdaten, wenn der Verantwortliche das wünscht.
2. Der Vertrag gilt für die Dauer des Nutzungsvertrags. § 9 gilt darüber hinaus.
3. Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen stehen in Anlage 1.

§ 2 Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch was Übermittlungen in Drittländer betrifft, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet. Dann teilt er dem Verantwortlichen diese Pflicht vorher mit, soweit das Gesetz es nicht verbietet.
2. Die Weisungen ergeben sich aus den AGB, diesem Vertrag und der Nutzung der Software durch den Verantwortlichen (zum Beispiel Einstellungen, Einladungen, Löschungen). Einzelweisungen erteilt der Verantwortliche in Textform.
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, sagt er das dem Verantwortlichen unverzüglich. Er darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

§ 3 Vertraulichkeit

Wer beim Auftragsverarbeiter mit den Daten arbeitet, ist zur Vertraulichkeit verpflichtet oder unterliegt einer gesetzlichen Verschwiegenheitspflicht. Zugriff gibt es nur, soweit er für Betrieb, Fehlerbehebung oder eine Anfrage des Verantwortlichen nötig ist.

§ 4 Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er.

§ 5 Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.
2. Will der Auftragsverarbeiter einen weiteren Unterauftragsverarbeiter einsetzen oder einen ersetzen, informiert er den Verantwortlichen mindestens vier Wochen vorher in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; dann können beide Seiten den Nutzungsvertrag zum geplanten Zeitpunkt der Änderung kündigen.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten. Übermittlungen in Drittländer erfolgen nur mit geeigneten Garantien nach Kapitel V DSGVO.
4. Stripe verarbeitet Zahlungsdaten aufgrund eines eigenen Vertrags mit dem Verantwortlichen als eigenständig Verantwortlicher und ist kein Unterauftragsverarbeiter dieses Vertrags.

§ 6 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen dabei, Anfragen betroffener Personen zu beantworten (Art. 12 bis 22 DSGVO). Vieles kann der Verantwortliche selbst im Vereins-Bereich erledigen, etwa Mitgliedschaften ändern oder beenden. Anfragen, die beim Auftragsverarbeiter eingehen, leitet er unverzüglich weiter.
2. Er unterstützt den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Meldungen von Datenschutzverletzungen und Datenschutz-Folgenabschätzungen.
3. Wird ihm eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie dem Verantwortlichen unverzüglich, möglichst innerhalb von 24 Stunden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

§ 7 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind. Er ermöglicht Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer — nach Ankündigung von mindestens zwei Wochen, zu üblichen Geschäftszeiten und ohne den Betrieb zu stören, in der Regel höchstens einmal im Jahr. Für Unterauftragsverarbeiter genügen deren aktuelle Zertifikate oder Prüfberichte.

§ 8 Ort der Verarbeitung

Die Datenbank liegt in einem Rechenzentrum in Frankfurt am Main (EU). Übermittlungen in Drittländer erfolgen nur im Rahmen der in Anlage 3 genannten Dienste und mit den dort genannten Garantien.

§ 9 Löschung und Rückgabe

1. Bis zum Vertragsende kann der Verantwortliche einen Export der Mitglieder- und Buchungsdaten in einem gängigen Format verlangen; der Auftragsverarbeiter stellt ihn innerhalb von 30 Tagen bereit.
2. Spätestens 30 Tage nach Vertragsende löscht der Auftragsverarbeiter die Daten des Verantwortlichen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Sicherungskopien werden im regulären Sicherungszyklus überschrieben.
3. Die Konten der Spieler bleiben bestehen, denn sie gehören den Spielern. Gelöscht wird die Zuordnung zum Verantwortlichen — Mitgliedschaft, Buchungen bei ihm und seine Inhalte.

§ 10 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zueinander haften die Parteien nach ihrem Anteil an der Verantwortung; im Übrigen gelten die Haftungsregeln der AGB.

§ 11 Schlussbestimmungen

1. Widersprechen sich AGB und dieser Vertrag in Fragen des Datenschutzes, geht dieser Vertrag vor.
2. Der Vertrag wird elektronisch geschlossen: Die berechtigte Person des Verantwortlichen bestätigt ihn im Vereins-Bereich. Gespeichert werden Version, Datum und Uhrzeit sowie Name und Funktion der Person. Das genügt der elektronischen Form nach Art. 28 Abs. 9 DSGVO.
3. Änderungen und Ergänzungen bedürfen der Textform. Es gilt deutsches Recht.

Anlage 1: Beschreibung der Verarbeitung

Zwecke: Platzbuchung; Verwaltung von Mitgliedschaften, Aufnahmeanfragen und Saison-Abos; Einladungen und Mitteilungen an Mitglieder; Neuigkeiten des Vereins; Anzeige von Zahlungsstand und Überweisungsdaten; Auswertungen und Saisonbericht; Import von Mitgliederlisten; öffentliche Vereinsseite und Anzeigetafel (ohne Namen von Mitgliedern, außer der Verantwortliche schaltet das ein).

Arten von Daten: Name, E-Mail-Adresse, Telefonnummer (falls vorhanden), Mitgliedsstatus und Zeitpunkte; Einladungscodes; Buchungsdaten (Platz, Datum, Uhrzeit, Dauer, Preis, Zahlart, Zahlungsstand); Saison-Abo-Anfragen; Gastbuchungen (Name, E-Mail-Adresse, Termin); Inhalte, die der Verantwortliche einstellt; Inhalte hochgeladener Mitgliederlisten.

Betroffene Personen: Mitglieder, Interessenten mit Aufnahmeanfrage, Gäste, eingetragene Trainer und Mannschaften, Ansprechpersonen des Verantwortlichen.

Besondere Kategorien (Art. 9 DSGVO): keine. Der Verantwortliche lädt keine solchen Daten hoch.

Anlage 2: Technische und organisatorische Maßnahmen

Vertraulichkeit. Die Daten liegen in zertifizierten Rechenzentren der Unterauftragsverarbeiter; der Webserver speichert keine Mitglieds- oder Buchungsdaten dauerhaft. Anmeldung mit persönlichem Konto, bestätigter E-Mail-Adresse und Passwort, das nur als Hash gespeichert wird. Administrative Konten bei den Dienstleistern sind mit zweitem Faktor geschützt. Rechte prüft die Datenbank bei jeder Anfrage (Row Level Security): Spieler sehen nur ihre eigenen Daten, Vereine nur ihre eigenen. Schlüssel mit erweiterten Rechten liegen nur auf dem Server. Die Daten der Vereine sind logisch voneinander getrennt. Zugangscodes für Gastbuchungen werden nur als Hashwert gespeichert.

Integrität. Alle Verbindungen sind verschlüsselt (HTTPS mit HSTS); die Datenbank ist im Ruhezustand verschlüsselt. Buchungen, Mitgliedschaften und Änderungen tragen Zeitstempel. Preise, Regeln, Überschneidungen und Sperren prüft der Server, nicht das Gerät.

Verfügbarkeit und Belastbarkeit. Regelmäßige Datensicherung durch den Datenbankanbieter. Schutz vor Angriffen durch das Netz von Cloudflare. Begrenzung automatisierter Anfragen.

Regelmäßige Überprüfung. Gezielte Sicherheitsprüfungen von Apps, Webseite und Datenbank, zuletzt im September 2026. Laufende Aktualisierung der eingesetzten Software. Datenschutzfreundliche Voreinstellungen, etwa keine Namen auf Vereinsseite und Anzeigetafel.

Anlage 3: Unterauftragsverarbeiter