Auftragsverarbeitungsvertrag (AVV)

Dieses Dokument ist ein Muster-Auftragsverarbeitungsvertrag, der gemäß Art. 28 DSGVO zwischen einem Verein oder einer Sportorganisation, die TrainTeam als Verantwortlicher nutzt, und dem Dienstanbieter als Auftragsverarbeiter geschlossen wird.

Der Vertrag kommt zustande, wenn der Verantwortliche beginnt, die Funktionen von TrainTeam zu nutzen, und ergänzt die Nutzungsbedingungen und die Datenschutzerklärung. Der Verantwortliche akzeptiert den Vertrag im Vereinsadministrationsbereich oder durch die Nutzung von Funktionen, die eine Datenverarbeitung in seinem Auftrag erfordern.

1. Parteien

Auftragsverarbeiter: Przemysław Padrak, jednoosobowa działalność gospodarcza, mit Sitz in Otwarta 9, 60-185 Skórzewo, Polska, Steuernummer 6722053457, E-Mail contact@trainteam.pl, Telefon +48 664 736 118.

Verantwortlicher: der Verein oder die Sportorganisation, deren Registrierungsdaten und Angaben zum Vertreter im Administrationsbereich von TrainTeam angegeben sind.

2. Gegenstand und Zweck

Der Verantwortliche beauftragt den Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten von Vereinsmitgliedern zur Bereitstellung der Dienste von TrainTeam: Teamverwaltung, Anwesenheit, Aufgebote, Kommunikation, Kalender, Mitgliederverwaltung und Unterstützung der Vereinsabrechnung.

3. Umfang und Datenkategorien

Die Verarbeitung umfasst folgende Datenkategorien:

• Identifikations- und Kontaktdaten wie Name, E-Mail, Telefonnummer und Foto,
• sportliche und organisatorische Daten der Spieler wie Geburtsdatum, Position, Größe, Gewicht, Staatsangehörigkeit, Lizenznummer, nationale Kennnummer sofern angegeben, Adresse, Datum der ärztlichen Untersuchung, Anwesenheit und Aufgebote,
• Eltern-Kind-Verknüpfungen, Vereinsrollen und Teamzugehörigkeiten,
• Inhalte der Vereinskommunikation und Benachrichtigungen,
• technische Sitzungs- und Sicherheitsdaten.

Die Verarbeitung umfasst keine Zahlungskartendaten der Vereinsmitglieder. Diese Daten werden direkt von Stripe verarbeitet.

4. Dauer

Dieser Vertrag bleibt in Kraft, solange der Verantwortliche TrainTeam nutzt. Nach dessen Beendigung löscht oder gibt der Auftragsverarbeiter die anvertrauten Daten innerhalb von 30 Tagen gemäß der Entscheidung des Verantwortlichen zurück, sofern das Gesetz keine längere Aufbewahrung verlangt.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten,
• die Vertraulichkeit der zur Datenverarbeitung befugten Personen sicherzustellen,
• geeignete technische und organisatorische Maßnahmen zu treffen,
• den Verantwortlichen bei den Rechten der betroffenen Personen zu unterstützen,
• bei den Pflichten nach Art. 32–36 DSGVO zu unterstützen, einschließlich Sicherheits- und Verletzungsangelegenheiten,
• die zum Nachweis der Einhaltung erforderlichen Informationen bereitzustellen und Prüfungen zu ermöglichen.

6. Unterauftragsverarbeitung

Der Verantwortliche erteilt die allgemeine Einwilligung, dass der Auftragsverarbeiter Unterauftragsverarbeiter für Infrastruktur, Integrationen und Zahlungsunterstützung einsetzt. Die aktuelle Liste der Unterauftragsverarbeiter wird in der Datenschutzerklärung veröffentlicht. Der Auftragsverarbeiter kündigt geplante Aenderungen 14 Tage im Voraus an. Der Verantwortliche kann widersprechen; in diesem Fall kann jede Partei diesen Vertrag kündigen.

7. Sicherheitsmaßnahmen

Der Auftragsverarbeiter setzt insbesondere ein:

• rollenbasierte Zugriffskontrolle und Sicherheitsrichtlinien für die Datenbank,
• verschlüsselte Verbindungen und Verschlüsselung sensibler Tokens im Ruhezustand,
• privaten Speicher für Anhänge,
• Audit-Protokolle für administrative Vorgänge,
• Mechanismen zur Missbrauchsprävention und Eingabevalidierung,
• Backups und Verfahren zur Datenwiederherstellung,
• Trennung von Produktiv- und Testumgebung.

8. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen über eine Verletzung, die anvertraute Daten betrifft, unverzüglich und spätestens 48 Stunden nach Kenntnisnahme, über die im TrainTeam oder im Administrationsbereich angegebene E-Mail-Adresse des Vereinsvertreters.

9. Übermittlungen außerhalb des EWR

Die Daten werden vorrangig auf Servern in der Europäischen Union verarbeitet. Sofern eine Unterauftragsverarbeitung eine Übermittlung in ein Drittland erfordert, erfolgt diese auf Grundlage der Standardvertragsklauseln der Europäischen Kommission und, sofern erforderlich, zusätzlicher Garantien.

10. Haftung und Schlussbestimmungen

Die Parteien haften für Schäden, die durch Verstöße gegen die DSGVO verursacht werden, gemäß Art. 82 DSGVO. In diesem Vertrag nicht geregelte Angelegenheiten unterliegen der DSGVO und dem polnischen Recht. Streitigkeiten werden von dem für den Sitz des Auftragsverarbeiters zuständigen Gericht entschieden.

Wenn der Verein eine gegengezeichnete Kopie benötigt, kontaktieren Sie uns unter contact@trainteam.pl. Wir erstellen eine mit den Vereinsdaten ausgefüllte Kopie.