Vertrag zur Auftragsverarbeitung

Dieser Vertrag ist Anlage zu den Nutzungsbedingungen und wird mit ihnen bei der Registrierung abgeschlossen. Er beruht auf der Mustervertragsanlage „Auftragsverarbeitung i. S. d. Art. 28 Abs. 3 Datenschutz-Grundverordnung“ des Bitkom e. V.

Auftraggeber ist der Verein bzw. Ausrichter, der ein Konto anlegt („Verein“) — Verantwortlicher im Sinne der DSGVO.
Auftragnehmer ist Erik Fortenbacher, Bäckerweg 13, 23923 Selmsdorf („wir“) — Auftragsverarbeiter im Sinne der DSGVO.

Präambel

Diese Anlage konkretisiert die Pflichten beider Seiten zum Datenschutz, die sich aus der Nutzung des Hundesport-Turnierhelfers nach den Nutzungsbedingungen („Vertrag“) ergeben. Sie gilt für alle Tätigkeiten, bei denen wir personenbezogene Daten des Vereins („Daten“) in dessen Auftrag verarbeiten.

§ 1 Gegenstand, Dauer und Spezifizierung der Auftragsverarbeitung

Gegenstand ist die Bereitstellung des Turnierhelfers zur Organisation und Auswertung von Hundesport-Turnieren des Vereins. Die Laufzeit dieser Anlage richtet sich nach der Laufzeit des Vertrags, sofern sich aus ihr keine darüber hinausgehenden Pflichten ergeben.

Für die Daten des Vereinskontos selbst (E-Mail-Adresse, Vereinsangaben, Lizenz) sind wir selbst Verantwortliche; dafür gilt unsere Datenschutzerklärung. Diese Anlage betrifft die Daten, die der Verein zu seinen Turnieren erfasst:

§ 2 Anwendungsbereich und Verantwortlichkeit

1. Wir verarbeiten personenbezogene Daten im Auftrag des Vereins. Der Verein ist im Rahmen dieses Vertrags für die Einhaltung der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an uns und der Datenverarbeitung, allein verantwortlich („Verantwortlicher“ im Sinne des Art. 4 Nr. 7 DSGVO). Dazu gehört auch, dass der Verein Teilnehmer informiert und, wo nötig, eine Einwilligung einholt (etwa für Angaben zu einer Behinderung).
2. Die Weisungen ergeben sich zunächst aus dem Vertrag und der Bedienung des Turnierhelfers durch den Verein. Der Verein kann sie danach schriftlich oder in Textform (z. B. per E-Mail an kontakt@hundesport-turnierhelfer.de) ändern, ergänzen oder ersetzen. Weisungen, die im Vertrag nicht vorgesehen sind, behandeln wir als Antrag auf Leistungsänderung. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

§ 3 Pflichten des Auftragnehmers

1. Wir verarbeiten Daten nur im Rahmen des Auftrags und der Weisungen des Vereins, außer es liegt ein Ausnahmefall nach Art. 28 Abs. 3 lit. a DSGVO vor. Wir informieren den Verein unverzüglich, wenn wir eine Weisung für rechtswidrig halten. Wir dürfen ihre Umsetzung aussetzen, bis der Verein sie bestätigt oder ändert.
2. Wir gestalten unsere Organisation so, dass sie den Anforderungen des Datenschutzes gerecht wird, und treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme dauerhaft sicherstellen. Die derzeitigen Maßnahmen beschreibt der Anhang. Der Verein kennt sie und trägt die Verantwortung dafür, dass sie für die Risiken der Daten ein angemessenes Schutzniveau bieten. Wir dürfen die Maßnahmen ändern, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
3. Wir unterstützen den Verein im Rahmen unserer Möglichkeiten bei Anfragen und Ansprüchen betroffener Personen nach Kapitel III DSGVO und bei den Pflichten nach Art. 33 bis 36 DSGVO.
4. Wir stellen sicher, dass die mit den Daten befassten Personen sie nicht außerhalb der Weisung verarbeiten und zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Pflicht besteht nach Ende des Auftrags fort.
5. Wir unterrichten den Verein unverzüglich, wenn uns Verletzungen des Schutzes seiner Daten bekannt werden. Wir treffen die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen für die Betroffenen und sprechen uns dazu unverzüglich mit dem Verein ab.
6. Ansprechpartner für Datenschutzfragen ist Erik Fortenbacher, kontakt@hundesport-turnierhelfer.de.
7. Wir überprüfen die Wirksamkeit der technischen und organisatorischen Maßnahmen regelmäßig (Art. 32 Abs. 1 lit. d DSGVO).
8. Wir berichtigen oder löschen die Daten, wenn der Verein dies anweist und es vom Weisungsrahmen umfasst ist. Der Verein kann Starter, Turniere und das Konto selbst im Turnierhelfer löschen. Eine automatische Löschung erfolgt spätestens 12 Monate nach dem Turniertag.
9. Nach Auftragsende (Löschung des Vereinskontos) löschen wir die Daten des Vereins; auf Verlangen des Vereins vor der Löschung stellen wir ihm die Daten in einem gängigen Format zur Verfügung. Aus Sicherungskopien verschwinden sie spätestens nach 30 Tagen.
10. Wird der Verein von einer betroffenen Person nach Art. 82 DSGVO in Anspruch genommen, unterstützen wir ihn bei der Abwehr im Rahmen unserer Möglichkeiten.

§ 4 Pflichten des Auftraggebers

1. Der Verein informiert uns unverzüglich und vollständig, wenn er in den Ergebnissen Fehler oder Unregelmäßigkeiten in Bezug auf datenschutzrechtliche Bestimmungen feststellt.
2. Im Fall des § 3 Abs. 10 gilt Entsprechendes.
3. Der Verein nennt uns einen Ansprechpartner für Datenschutzfragen; ohne besondere Angabe gelten die E-Mail-Adresse und der Name des Vereinskontos.

§ 5 Anfragen betroffener Personen

Wendet sich eine betroffene Person mit Forderungen zu Berichtigung, Löschung oder Auskunft an uns, verweisen wir sie an den Verein, soweit sie ihn nennt oder er sich aus den Umständen ergibt, und leiten den Antrag unverzüglich weiter. Wir unterstützen den Verein auf Weisung im Rahmen unserer Möglichkeiten. Wir haften nicht, wenn der Verein das Ersuchen nicht, nicht richtig oder nicht fristgerecht beantwortet.

§ 6 Nachweismöglichkeiten

1. Wir weisen dem Verein die Einhaltung dieses Vertrags mit geeigneten Mitteln nach, nämlich durch ein Selbstaudit und durch die Datenschutz- und Sicherheitszertifikate unserer Unterauftragnehmer (z. B. ISO 27001), die diese auf Anfrage vorlegen.
2. Sind im Einzelfall Inspektionen durch den Verein oder einen von ihm beauftragten Prüfer erforderlich, finden sie zu üblichen Geschäftszeiten ohne Störung des Betriebs nach Anmeldung mit angemessener Vorlaufzeit statt. Wir dürfen sie von einer Verschwiegenheitserklärung hinsichtlich der Daten anderer Kunden und unserer Maßnahmen abhängig machen. Steht der Prüfer im Wettbewerb zu uns, können wir ihn ablehnen. Der Aufwand ist auf einen Tag pro Kalenderjahr begrenzt.
3. Prüft eine Datenschutzaufsichtsbehörde den Verein, gilt Absatz 2 entsprechend. Eine Verschwiegenheitserklärung ist nicht nötig, wenn die Behörde einer strafbewehrten Verschwiegenheitspflicht unterliegt.

§ 7 Unterauftragnehmer (weitere Auftragsverarbeiter)

1. Der Verein stimmt zu, dass wir Unterauftragnehmer einsetzen. Wir schließen mit ihnen die erforderlichen Vereinbarungen, damit angemessene Datenschutz- und Informationssicherheitsmaßnahmen gewährleistet sind, und übertragen ihnen unsere datenschutzrechtlichen Pflichten aus diesem Vertrag.
2. Derzeit setzen wir folgende Unterauftragnehmer ein:

3. Vor dem Hinzuziehen oder Ersetzen eines Unterauftragnehmers informieren wir den Verein per E-Mail mindestens vier Wochen vorher (in Notfällen so früh wie möglich). Der Verein kann der Änderung innerhalb von vier Wochen aus wichtigem datenschutzrechtlichen Grund widersprechen. Erfolgt kein Widerspruch, gilt die Zustimmung als erteilt. Ist bei einem berechtigten Widerspruch keine einvernehmliche Lösung möglich, hat der Verein ein Sonderkündigungsrecht.

§ 8 Informationspflichten, Textform, Rechtswahl

1. Werden die Daten bei uns durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder sonstige Maßnahmen Dritter gefährdet, informieren wir den Verein unverzüglich und teilen den Beteiligten mit, dass Hoheit und Eigentum an den Daten allein beim Verein als Verantwortlichem liegen.
2. Änderungen und Ergänzungen dieser Anlage bedürfen der Textform (auch elektronisch) und des ausdrücklichen Hinweises, dass es sich um eine Änderung dieser Bedingungen handelt. Das gilt auch für den Verzicht auf dieses Formerfordernis. Wir können diese Anlage ändern, wenn sich die Rechtslage oder unser Dienst ändert; geänderte Fassungen kündigen wir mindestens 4 Wochen vorher an.
3. Bei Widersprüchen gehen die Regelungen dieser Anlage zum Datenschutz denen der Nutzungsbedingungen vor. Sind einzelne Teile unwirksam, bleibt der Rest wirksam.
4. Es gilt deutsches Recht.

§ 9 Haftung und Schadensersatz

Verein und wir haften gegenüber betroffenen Personen nach Art. 82 DSGVO. Im Verhältnis untereinander gelten die Haftungsregeln der Nutzungsbedingungen.

Anhang: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Namen, E-Mail-Adressen und Telefonnummern von Startern sowie Namen von Richtern liegen in der Datenbank verschlüsselt (AES-256-GCM); Passwörter nur als Prüfwert (BCrypt).
• Zugriff nur nach Anmeldung, abgestuft nach Rollen (Betreiber, Verein, Turnierleitung, Schreiber, Zeitnehmer, Halsbandkontrolle, Starter). Jedes Turnier ist von den anderen getrennt; ein Verein sieht nur die eigenen Turniere, ein Starter nur seine eigenen Läufe.
• Datenbank und Anwendung sind nur im internen Netz des Servers erreichbar; von außen ist nur der Webserver offen. Verbindungen laufen verschlüsselt (TLS mit HSTS).
• Schutz gegen das Durchprobieren von Passwörtern und gegen Überlastung durch Zähler je IP-Adresse im Arbeitsspeicher; Anmelde-Sitzungen laufen ab und werden bei der Abmeldung ungültig.

Integrität

• Änderungen an Turnierdaten laufen über die Anwendung mit Rechteprüfung; gleichzeitige Änderungen werden über Versionsprüfung (optimistisches Sperren) erkannt.
• Eingaben werden serverseitig geprüft; hochgeladene Dateien werden auf Typ und Größe geprüft.

Verfügbarkeit und Belastbarkeit

• Betrieb auf einem Server im Rechenzentrum des Hosters in Nürnberg; der Hoster ist nach ISO 27001 zertifiziert.
• Regelmäßige Sicherungen von Datenbank und hochgeladenen Dateien auf dem Rechner des Betreibers; gelöschte Daten verschwinden aus Sicherungen spätestens nach 30 Tagen.
• Schreiber-Eingaben werden bei schlechtem Netz im Browser zwischengespeichert und nachgesendet.

Löschung und Trennung

• Automatische Löschung von Turnieren mit allen Daten spätestens 12 Monate nach dem Turniertag; Nachrichten im Postfach nach 30 Tagen; Server-Protokolle nach 30 Tagen.
• Der Verein kann Starter, Turniere und sein Konto jederzeit selbst löschen.

Organisation

• Der Betreiber arbeitet allein und verarbeitet die Daten nur zur Erbringung des Dienstes; Der Serverzugang ist auf den Betreiber beschränkt.
• Mit dem Hoster und dem Mail-Anbieter bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Stand: 8. Oktober 2026