Rechtliches

Vertrag zur Auftragsverarbeitung

Dieser Vertrag nach Art. 28 DSGVO ist Bestandteil der Allgemeinen Geschäftsbedingungen und kommt mit der Registrierung zustande. Er gilt unabhängig davon, ob ein Turnier kostenpflichtig freigeschaltet wurde.

1. Parteien und Rollen

Verantwortlicher ist der Verein, der Turnera nutzt. Er entscheidet über Zweck und Mittel der Verarbeitung der Turnierdaten.

Auftragsverarbeiter ist Kevin Blanke, c/o Postflex #5534, Emsdettener Str. 10, 48268 Greven, info@turnera.de.

Für die Konten der Vereinsmitarbeiter, die Abrechnung und den Betrieb der Website ist der Auftragsverarbeiter eigener Verantwortlicher; dafür gilt die Datenschutzerklärung, nicht dieser Vertrag.

2. Gegenstand, Art und Zweck

Gegenstand ist die Durchführung des Turniertags: Import des nuLiga-Turnierexports, Planung und Aufruf von Spielen, Check-in, Erfassung von Ergebnissen, öffentlicher Spielplan und Anzeige im Vereinsheim.

Die Verarbeitung erfolgt ausschließlich innerhalb der Europäischen Union.

3. Kategorien betroffener Personen und Daten

Betroffene Personen: Turnierteilnehmerinnen und -teilnehmer.

Verarbeitete Daten:

• Vor- und Nachname
• Vereinszugehörigkeit
• Leistungsklasse (LK)
• Konkurrenz, Setzung, Spielpaarungen, Termine, Plätze und Ergebnisse
• Zeitpunkte von Check-in, Abwesenheit und Aufruf
• Vermerk über den Erhalt des Startgeldes (bar, überwiesen, erlassen)
• Bei Nutzung von Benachrichtigungen: die technische Adresse des Push-Dienstes. Sie enthält keinen Klarnamen.

Ausdrücklich nicht verarbeitet werden Geburtsdatum, Anschrift und Telefonnummer. Diese Angaben stehen im nuLiga-Export, werden beim Import aber verworfen und nie gespeichert. Die hochgeladene Datei selbst wird nach dem Import ebenfalls verworfen und nicht archiviert.

4. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten dieser Vertrag, die AGB sowie die Bedienung der Software durch den Verein – etwa das Hochladen eines Exports, das Veröffentlichen eines Spielplans oder das Löschen eines Turniers.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies mit und darf die Ausführung aussetzen.

5. Vertraulichkeit

Zum Zeitpunkt des Vertragsschlusses arbeitet ausschließlich der Auftragsverarbeiter selbst mit den Daten. Werden weitere Personen eingesetzt, verpflichtet er sie zuvor schriftlich auf Vertraulichkeit und unterweist sie über ihre Pflichten nach der DSGVO.

Supportzugriff: Der Auftragsverarbeiter verfügt über einen Plattformbereich, der Betriebsdaten der Vereine zeigt – Vereinsname, Zahl der Konten und Turniere, Turniernamen, Zahlungsstand. Teilnehmerdaten, Ergebnisse und Spielernamen sind dort nicht abrufbar. Jeder lesende und schreibende Zugriff wird protokolliert; das Protokoll wird zwölf Monate aufbewahrt.

6. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Ein Wechsel oder eine Ergänzung wird mindestens 30 Tage vorher per E-Mail an die im Konto hinterlegte Adresse angekündigt. Der Verantwortliche kann innerhalb dieser Frist widersprechen; in diesem Fall darf er den Vertrag außerordentlich kündigen.

Mit jedem Unterauftragsverarbeiter bestehen Verträge nach Art. 28 DSGVO mit Verpflichtungen, die diesem Vertrag entsprechen.

8. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person unmittelbar an ihn, leitet er sie an den Verein weiter und beantwortet sie nicht selbst.

Der Verein kann seine Daten jederzeit selbst und vollständig ausleiten – in einem maschinenlesbaren Format über die Abrechnungsseite. Auskunft, Berichtigung und Löschung einzelner Teilnehmer sind über die Oberfläche möglich.

Der Auftragsverarbeiter unterstützt außerdem bei den Pflichten nach Art. 32 bis 36 DSGVO und meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

9. Löschung und Rückgabe

Nach Beendigung löscht der Auftragsverarbeiter die Daten. Verein und Konto lassen sich jederzeit selbst löschen: Die Löschung wird vorgemerkt und nach 30 Tagen endgültig vollzogen; bis dahin ist sie rücknehmbar. Der Verein wird darauf hingewiesen, seine Daten vorher auszuleiten.

Vom Löschen ausgenommen ist das Protokoll der Supportzugriffe. Es enthält Vereins- und Kontonamen als Text und bleibt zwölf Monate bestehen – sonst ließen sich Zugriffe durch Löschen des Objekts nachträglich verbergen.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen. Diese sind mit angemessener Frist anzukündigen und dürfen den Betrieb nicht unangemessen stören. Für Prüfungen, die über eine Auskunft in Textform hinausgehen, kann eine angemessene Vergütung verlangt werden.

11. Haftung

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der AGB.

Anlage 1 – Technische und organisatorische Maßnahmen

Vertraulichkeit

• Mandantentrennung. Jede Datenbankabfrage filtert auf den Verein – auch für Administratoren. Fremde Kennungen werden wie nicht vorhanden behandelt. Diese Trennung ist durch automatisierte Tests abgesichert.
• Passwörter werden ausschließlich als Argon2id-Hash gespeichert (19 MiB Speicher, zwei Durchläufe – OWASP-Empfehlung). Klartext wird nicht gespeichert und nicht protokolliert.
• Sitzungen laufen über HttpOnly-Cookies mit signierten Tokens. Ein Passwortwechsel entwertet alle zuvor ausgestellten Tokens.
• Zugang für Spieler und Helfer erfolgt über zufällige, nicht erratbare Einmal-Kennungen. Ein zurückgezogener Helferzugang ist im selben Moment für alle wertlos.
• E-Mail-Bestätigung ist Pflicht; bis dahin ist das Konto gesperrt.

Integrität

• Übertragung ausschließlich über TLS (HTTPS), erzwungen für alle Adressen.
• Eingaben werden serverseitig gegen ein Schema geprüft; Datenbankzugriffe erfolgen ausschließlich parametrisiert.
• Zahlungsvorgänge werden über signierte Ereignisse bestätigt; Signatur und Alter werden geprüft, damit ein abgefangenes Paket nicht erneut eingespielt werden kann.
• Ratenbegrenzung auf Anmeldung, Registrierung, Passwort-Reset, Check-in und Einladungen.

Verfügbarkeit und Belastbarkeit

• Betrieb bei Render, Server in der Europäischen Union (Frankfurt am Main).
• Regelmäßige Sicherung der Datenbank durch den Hoster.
• Öffentliche Ansichten – Spielplan, Anzeige, Check-in – bleiben von Störungen des Vereinsbereichs unberührt.

Datenminimierung und Löschung

• Aus dem nuLiga-Export werden Geburtsdatum, Anschrift und Telefonnummer nicht übernommen; die hochgeladene Datei wird nach dem Import verworfen.
• Zugriffsprotokolle des Supports werden nach zwölf Monaten automatisch gelöscht.
• Server-Logdateien werden nach spätestens 30 Tagen gelöscht.
• Vorgemerkte Löschungen werden nach 30 Tagen automatisch und endgültig vollzogen.

Nachvollziehbarkeit

• Jeder Zugriff des Supports auf Vereinsdaten wird mit Zeitpunkt, handelnder Person und Anlass protokolliert.
• Änderungen an Ergebnissen tragen die Quelle – Import, Turnierleitung, Helfer oder Spieler.

Anlage 2 – Unterauftragsverarbeiter

Die Zahlungsdaten selbst erhebt und verarbeitet Stripe unmittelbar; sie durchlaufen Turnera nicht.