Dieser Auftragsverarbeitungsvertrag (Art. 28 DSGVO) ist Anlage zu den AGB und wird mit Abschluss des Hauptvertrags wirksam. Verantwortlicher ist der Kunde (Verein); Auftragsverarbeiter ist DI (FH) Alexander Kausl, Gerichtsäcker 6, 6094 Axams („Betreiber“).
§ 1 Gegenstand und Dauer
Gegenstand ist die Verarbeitung der vom Verein in train.iq eingepflegten personenbezogenen Daten zum Betrieb der Software. Die Dauer entspricht der Laufzeit des Hauptvertrags.
§ 2 Art, Zweck, Datenarten, betroffene Personen
Zweck ist die Trainings-, Spiel- und Kaderorganisation. Verarbeitet werden insbesondere Vor- und Nachname der Spieler, optionale Positionen, Trainingsteilnahme und Rückmeldungen, Trainer-Einschätzungen (Spielstärke, Eindrücke, Entwicklungsziele) sowie Spieldaten. Betroffene Personen sind Spielerinnen und Spieler (überwiegend Minderjährige), Trainerinnen und Trainer sowie Erziehungsberechtigte.
§ 3 Weisungsrecht
Der Betreiber verarbeitet die Daten ausschließlich im Rahmen des Vertrags und der dokumentierten Weisungen des Vereins. Hält der Betreiber eine Weisung für rechtswidrig, teilt er dies mit.
§ 4 Vertraulichkeit
Der Betreiber verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit, soweit sie nicht bereits gesetzlich zur Verschwiegenheit verpflichtet sind.
§ 5 Technisch-organisatorische Maßnahmen (TOM)
- Verschlüsselung: Transportverschlüsselung (TLS/HTTPS) für alle Verbindungen; Vereins-Zugangsdaten zu Drittdiensten sind ruhend AES-256-GCM-verschlüsselt; Passwörter werden mit Argon2id gehasht.
- Zugriffs- und Mandantentrennung: rollenbasierte Rechte (Trainer, Admin, Betreiber); jede Organisation ist logisch isoliert, die Trennung ist durch eine automatisierte Test-Suite gegen organisationsübergreifende Zugriffe abgesichert; ein Rate-Limit bremst Anmelde-Missbrauch.
- Datenstandort: Hosting und Datenbank in der EU (Amsterdam bzw. Frankfurt); die KI-Verarbeitung erfolgt über Vertex AI mit EU-Datenstandort.
- Datenminimierung: keine Geburts- oder Kontaktdaten der Spieler; Pseudonymisierung der Spielernamen im KI-Chat; Eindrucks-Notizen werden nie an KI-Modelle übermittelt.
- Verfügbarkeit und Wiederherstellbarkeit: regelmäßige Sicherungen mit Point-in-Time-Wiederherstellung.
- Betroffenenrechte-Unterstützung: Datenexport der Organisationsdaten (JSON) auf Anfrage; Protokollierung sicherheitsrelevanter Ereignisse.
§ 6 Unterauftragsverarbeiter
Der Verein stimmt dem Einsatz der in der Datenschutzerklärung genannten Unterauftragsverarbeiter zu (u. a. Railway, Neon, Stripe, Google Cloud / Vertex AI, united-domains, Browser-Push-Gateways). Über Änderungen oder die Hinzuziehung weiterer Unterauftragsverarbeiter informiert der Betreiber vorab; der Verein kann aus wichtigem Grund widersprechen.
§ 7 Unterstützung und Meldepflichten
Der Betreiber unterstützt den Verein angemessen bei der Erfüllung von Betroffenenrechten sowie bei Datenschutz-Folgenabschätzungen. Eine Verletzung des Schutzes personenbezogener Daten meldet der Betreiber dem Verein unverzüglich, spätestens binnen 48 Stunden ab Kenntnis.
§ 8 Löschung und Rückgabe
Nach Vertragsende stellt der Betreiber auf Wunsch einen Export bereit und löscht die Organisationsdaten nach Maßgabe der AGB § 10; Daten in Sicherungskopien werden im üblichen Backup-Zyklus überschrieben.
§ 9 Nachweise und Kontrollen
Der Betreiber stellt dem Verein die zum Nachweis der Einhaltung dieser Pflichten erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen.
§ 10 Haftung und Schlussbestimmungen
Es gelten die Haftungsregeln der DSGVO und der AGB. Änderungen dieses AVV bedürfen der Textform. Im Übrigen gelten die AGB und die Datenschutzerklärung.