ClubBasket – Auftragsverarbeitungsvertrag
Zuletzt aktualisiert: 22. Oktober 2026.
1. Parteien, Geltungsbereich und Vorrang
Dieser Vertrag (die „AVV“) ist Bestandteil des unterzeichneten Auftrags zwischen dem darin genannten Verein (dem „Verantwortlichen“) und PSG, Borut Grauf s.p., Pod gonjami 85, 2391 Prevalje, Slowenien, Registernummer 8519471000, Umsatzsteuer-Identifikationsnummer SI54246679 (dem „Auftragsverarbeiter“).
Er gilt für personenbezogene Daten, die bei der Bereitstellung von ClubBasket einschließlich einer vereinbarten gehosteten Website im Auftrag des Vereins verarbeitet werden. Die Rollen bei Verarbeitungen für eigene Zwecke des Betreibers gemäß Datenschutzhinweisen bleiben unverändert.
DSGVO-Begriffe haben die Bedeutung gemäß Verordnung (EU) 2016/679. Diese AVV hat bei der Verarbeitung personenbezogener Daten Vorrang vor widersprechenden kaufmännischen Bestimmungen. Zwingendes Recht geht vor.
2. Dokumentierte Weisungen und Verantwortlichkeiten
Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisungen des Verantwortlichen, einschließlich dieser AVV, des Auftrags und autorisierter Einstellungen und Handlungen im Dienst. Dies gilt auch für internationale Übermittlungen. Verlangt das Unionsrecht oder das Recht eines Mitgliedstaats eine andere Verarbeitung, informiert der Auftragsverarbeiter den Verantwortlichen vorher, sofern das Gesetz diese Mitteilung nicht verbietet.
Der Verantwortliche bestimmt rechtmäßige Zwecke und Rechtsgrundlagen, stellt notwendige Hinweise bereit, legt Aufbewahrungsweisungen fest und kontrolliert berechtigte Nutzer. Er muss zusätzliche Voraussetzungen für besondere Datenkategorien bestimmen und darf keine rechtswidrige Verarbeitung anweisen.
Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, informiert er den Verantwortlichen unverzüglich. Während der Klärung oder Suche nach einer rechtmäßigen Alternative darf er die betroffene Verarbeitung aussetzen, unter verhältnismäßigem Schutz der Daten und der Dienstkontinuität.
3. Vertraulichkeit und Sicherheit
Zur Verarbeitung berechtigte Personen müssen zur Vertraulichkeit verpflichtet sein oder einer angemessenen gesetzlichen Pflicht unterliegen. Der Zugang ist auf das für ihre Rolle Erforderliche begrenzt.
Der Auftragsverarbeiter setzt geeignete technische und organisatorische Maßnahmen gemäß Artikel 32 um, unter Berücksichtigung der Risiken, einschließlich solcher für Kinder und Gesundheitsangaben. Anlage B beschreibt die Maßnahmen. Er darf sie verbessern, das vereinbarte Schutzniveau während der Verarbeitung jedoch nicht wesentlich verringern.
4. Unterauftragsverarbeiter und Übermittlungen
Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung für die Anbieter der Liste der Unterauftragsverarbeiter, vorbehaltlich der dort genannten Zwecke und Bedingungen. Vor Beauftragung eines zusätzlichen oder ersetzenden Unterauftragsverarbeiters teilt der Auftragsverarbeiter dessen Aufgabe, Standort und geplanten Beginn mindestens 14 Tage vorher schriftlich mit.
Der Verantwortliche kann innerhalb dieser Frist aus berechtigten Datenschutzgründen widersprechen. Die Parteien suchen eine geeignete Alternative oder Garantien. Wird der Widerspruch nicht gelöst, kann der Verantwortliche den betroffenen Dienst vor Beginn der geplanten Verarbeitung beenden und nicht verbrauchte Vorauszahlungen dafür zurückerhalten. Schweigen vor Fristablauf darf der Auftragsverarbeiter nicht als Erlaubnis für einen vorzeitigen Beginn behandeln.
Jeder Unterauftragsverarbeiter ist durch einen schriftlichen Vertrag an die gemäß Artikel 28 erforderlichen Datenschutzpflichten gebunden. Der Auftragsverarbeiter bleibt für deren Erfüllung verantwortlich.
Beschränkten Übermittlungsvorschriften unterliegende internationale Transfers erfordern einen rechtmäßigen Mechanismus und erforderlichenfalls geeignete ergänzende Garantien. Der Auftragsverarbeiter stellt dem Verantwortlichen relevante Informationen zu Mechanismus und Garantien bereit.
5. Anfragen betroffener Personen
Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Bearbeitung von Betroffenenrechten. Er informiert ihn unverzüglich über Anfragen zu Daten in dessen Verantwortung, sofern keine dokumentierte Weisung für eine vereinbarte Kategorie von Anfragen vorliegt.
Der Verantwortliche gestattet die Annahme und Identitätsprüfung über den zentralen Anfragekanal der Plattform. Dieser Kanal allein erlaubt nicht jede Offenlegung oder Löschung. Der Auftragsverarbeiter stimmt Umfang und rechtmäßige Weisungen mit dem jeweiligen Verantwortlichen ab, legt keine Daten anderer Vereine offen und entscheidet nicht über dessen Rechtsgrundlagen für die Aufbewahrung. Ist der Betreiber selbst Verantwortlicher oder verpflichtet ihn das Gesetz unmittelbar zum Handeln, erfüllt er eigene Pflichten.
Keine Partei darf mit internen Abläufen die Bearbeitung über geltende Fristen hinaus verzögern. Die Parteien vereinbaren notwendige dringende Maßnahmen, wenn eine Anfrage mehrere Konten, ein Kind, Rechte anderer Personen oder gesetzliche Aufbewahrungspflichten betrifft.
6. Vorfälle und Unterstützung
Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes der betroffenen personenbezogenen Daten bekannt wird. Soweit verfügbar, nennt er Art der Verletzung, betroffene Daten und Personen, wahrscheinliche Folgen, Kontaktstelle und ergriffene oder vorgeschlagene Maßnahmen. Informationen dürfen ohne unangemessene weitere Verzögerung schrittweise folgen.
Der Auftragsverarbeiter ergreift angemessene Eindämmungs- und Abhilfemaßnahmen und unterstützt erforderliche Meldungen des Verantwortlichen. Er unterstützt außerdem Sicherheitspflichten, Datenschutz-Folgenabschätzungen und vorherige Behördenkonsultationen unter Berücksichtigung der Verarbeitung und der verfügbaren Informationen. Die Benachrichtigung wartet nicht, bis sämtliche Einzelheiten feststehen.
7. Informationen und Audits
Der Auftragsverarbeiter stellt die zum Nachweis der Einhaltung von Artikel 28 erforderlichen Informationen bereit, ermöglicht Audits einschließlich Inspektionen durch den Verantwortlichen oder dessen beauftragten Prüfer und wirkt daran mit. Die Parteien vereinbaren angemessene Vorankündigung, Vertraulichkeit und Schutz für Informationen anderer Kunden. Dringende Vorfälle, Behördenanfragen oder glaubhafte Hinweise auf Verstöße können einen schnelleren Zugang erfordern.
Vorhandene Nachweise oder unabhängige Berichte können einen Prüfbedarf gegebenenfalls erfüllen, beseitigen aber keine gesetzlichen Auditrechte. Diese AVV besagt nicht, dass der Dienst eine bestimmte Zertifizierung besitzt.
8. Rückgabe, Löschung und Dauer
Diese AVV gilt ab Beginn der Verarbeitung gemäß unterzeichnetem Vertrag und bis zur vorgeschriebenen Rückgabe oder Löschung der Daten durch den Auftragsverarbeiter.
Nach Wahl des Verantwortlichen gibt der Auftragsverarbeiter die personenbezogenen Daten nach Ende der Verarbeitungsdienste zurück oder löscht sie und löscht vorhandene Kopien, sofern Unions- oder Mitgliedstaatenrecht keine Aufbewahrung verlangt. Die Standardweisung des Verantwortlichen lautet: eingeschränkte Aufbewahrung für 90 Tage nach Beendigung, danach Löschung einschließlich Kopien gemäß Abschnitt 13 der Bedingungen. Der Verantwortliche kann frühere Löschung anweisen oder Rückgabe vor der geplanten Löschung verlangen. Es wird kein automatischer Export erstellt; eine angeforderte Rückgabe wird sicher organisiert. Zwingende Rückgabe- und Abrufrechte bleiben unberührt; Daten für ein gültiges ausstehendes Rückgabeverlangen bleiben bis zur Erledigung geschützt.
Sicherungskopien bleiben geschützt und von gewöhnlicher Verarbeitung getrennt. Sie verfallen innerhalb von 90 Tagen nach Erstellung und unterliegen auch der Löschfrist nach Dienstende. Bei Wiederherstellung werden geltende Löschweisungen erneut umgesetzt. Gesetzlich erforderliche Aufbewahrung wird dokumentiert, auf diesen Zweck begrenzt und, soweit erlaubt, mitgeteilt. Auf angemessene Anfrage bestätigt der Auftragsverarbeiter den Abschluss.
9. Kontakte und anwendbares Recht
Kontakt des Verantwortlichen ist der im Auftrag benannte oder später mitgeteilte Vertreter. Kontakt des Auftragsverarbeiters ist support@clubbasket.app. Die Rechtswahl- und Streitregelungen der Bedingungen gelten, ohne gesetzliche Rechte von Einzelpersonen oder Aufsichtsbehörden zu beschränken.
Anlage A — Beschreibung der Verarbeitung
Gegenstand und Zweck: Bereitstellung der vereinbarten Vereinsverwaltungs- und Websitedienste: Mitglieder- und Teamverwaltung, Zuordnung von Sorgeberechtigten, Terminpläne, Anwesenheit, Spiele, Bewertungen, Kommunikation, Verwaltung von Teilnahmegebühren, öffentliche Veröffentlichungen, Mitgliedschaftsanfragen, Support, Exporte, Löschung und Sicherheit im Auftrag des Vereins.
Vorgänge: Erheben, Erfassen, Organisieren, Speichern, Abrufen, berechtigter Zugang, Übermitteln, Veröffentlichen auf Weisung, Exportieren, Berichtigen, Einschränken und Löschen.
Personen: Mitglieder und Interessenten, Spieler einschließlich Kinder, Sorgeberechtigte, Trainer, Beschäftigte, Freiwillige, Funktionäre, Websitebesucher und Personen, die den Verein kontaktieren.
Daten: Identitäts- und Kontaktdaten; Geburtsdaten; Fotos und Dateien; Team-, Rollen- und Mitgliedschaftsaufzeichnungen; Zuordnungen zu Sorgeberechtigten; Anwesenheit und Teilnahme; Ergebnisse; Bewertungen und Entwicklungsaufzeichnungen; Kommunikation; Beitragsaufzeichnungen; Anträge; Veröffentlichungsweisungen und für die Verarbeitung erforderliche technische Aufzeichnungen.
Sensible Informationen: Eine aktivierte geeignete Funktion kann begrenzte gesundheitsbezogene Abwesenheitsangaben verarbeiten. Der Verantwortliche muss die notwendige Rechtsgrundlage und Voraussetzung für besondere Datenkategorien schaffen, Erhebung und Zugang begrenzen sowie Weisungen erteilen. Allgemeine Notizen und Uploads dürfen nicht als unbegrenzte Krankenakte verwendet werden. Andere sensible Kategorien erfordern vor der Verarbeitung eine gesonderte Prüfung und einen ausdrücklich vereinbarten Umfang.
Dauer und Häufigkeit: fortlaufend während der Nutzung der jeweiligen Funktionen, anschließend die vereinbarten Rückgabe-/Lösch- und Sicherungsfristen. Der Verein muss geeignete Weisungen für Datensätze geben, die bereits vor Abonnementende nicht mehr benötigt werden.
Anlage B — Sicherheitsmaßnahmen
- Trennung von Vereinsdaten und kontrollierter Zugang nach berechtigten Rollen.
- Authentifizierungskontrollen, geschützte Passwörter und angemessene Behandlung von Zugangsdaten/Tokens.
- Verschlüsselte Übertragung beim Dienstzugang und beschränkter administrativer Zugriff.
- Für Sicherheit und Fehleruntersuchung geeignete Protokollierung und Überwachung mit Datenminimierung.
- Geschützte Sicherungen, Verschlüsselung vor externer Übertragung und kontrollierte Wiederherstellung.
- Verfahren für Zugangsänderungen, Vorfallbearbeitung, Datenschutzanfragen und Löschung.
- Vertraulichkeitspflichten und auf berechtigtes Personal und Anbieter beschränkter Zugang.
- Überprüfung und Pflege der den Verarbeitungsrisiken angemessenen Maßnahmen.
Auf angemessene Anfrage liefert der Auftragsverarbeiter weitere relevante Einzelheiten unter Wahrung von Vorkehrungen gegen die Offenlegung sicherheitsrelevanter Informationen oder Daten anderer Kunden.
Anlage C — Anbieter
Die mit dem Auftrag bereitgestellte Fassung der Liste der Unterauftragsverarbeiter wird Bestandteil dieser AVV. Spätere Änderungen richten sich nach Abschnitt 4.