gemäß Art. 28 DSGVO — Anlage zu den AGB. Stand: [Datum einfügen]
Dieser Vertrag regelt die Rechte und Pflichten von Janek Mihls (Einzelunternehmen, weitere Angaben siehe Impressum) („Auftragsverarbeiter") und dem jeweiligen Verein, der die Plattform nutzt („Verantwortlicher"), bei der Verarbeitung personenbezogener Daten im Auftrag des Vereins. Er ergänzt die zwischen den Parteien geschlossenen AGB und wird mit der Registrierung des Vereins auf der Plattform Vertragsbestandteil. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag hinsichtlich der Verarbeitung personenbezogener Daten vor.
Gegenstand ist die Bereitstellung und der Betrieb der Vereinsverwaltungsplattform „Kickside" für den Verein, einschließlich der damit verbundenen Verarbeitung personenbezogener Daten von dessen Mitgliedern. Die Verarbeitung erfolgt für die Dauer des Hauptvertrags (siehe AGB, § 8 Laufzeit und Kündigung).
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Vereins zum Zweck der Mitglieder-, Mannschafts- und Terminverwaltung, der internen Kommunikation (Ankündigungen, Chats, Forum), der Dokumentenverwaltung (u. a. Mitgliedsanträge, Spielerpässe), der Beitragsverwaltung (SEPA-Lastschriftmandate) sowie des Versands von Benachrichtigungen (E-Mail, Push).
Im Einzelnen können folgende Datenkategorien verarbeitet werden:
Mitglieder des Vereins, insbesondere Spieler:innen (einschließlich Minderjähriger), Eltern/Erziehungsberechtigte, Trainer:innen sowie sonstige Funktionsträger (z. B. Vorstand, Kassenwart).
Der Auftragsverarbeiter verpflichtet sich, personenbezogene Daten
Der Verein erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, folgende bereits eingesetzte Subunternehmer mit der Verarbeitung zu betrauen:
Mit jedem dieser Subunternehmer bestehen eigene Verträge nach Art. 28 DSGVO; soweit dabei eine Übermittlung in Drittländer erfolgt, geschieht dies auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Der Auftragsverarbeiter informiert den Verein über die Hinzuziehung weiterer oder den Austausch bestehender Subunternehmer mit einem zeitlichen Vorlauf von 30 Tagen vor dem geplanten Einsatz; der Verein kann der Änderung aus wichtigem, sachlich begründetem Grund widersprechen.
Der Auftragsverarbeiter trifft insbesondere folgende Maßnahmen:
Der Verein bleibt im Verhältnis zu seinen Mitgliedern Verantwortlicher im Sinne der DSGVO. Er ist insbesondere dafür verantwortlich, dass die von ihm in die Plattform eingegebenen Daten rechtmäßig erhoben wurden und dass erforderliche Einwilligungen (z. B. für die Verarbeitung von Gesundheitsdaten oder Daten Minderjähriger) vorliegen. Der Verein ist berechtigt, dem Auftragsverarbeiter jederzeit Weisungen zur Art und Weise der Verarbeitung zu erteilen; Weisungen außerhalb des in Abschnitt 2 beschriebenen Zwecks bedürfen der gesonderten Vereinbarung.
Der Auftragsverarbeiter informiert den Verein unverzüglich, sobald ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Daten des Vereins betrifft, und unterstützt ihn bei der Erfüllung etwaiger Meldepflichten gegenüber der Aufsichtsbehörde (Art. 33 DSGVO) und den betroffenen Personen (Art. 34 DSGVO).
Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten des Vereins nach Ablauf der in den AGB (§ 8) genannten Frist, sofern der Verein nicht zuvor eine Rückgabe verlangt und gesetzliche Aufbewahrungspflichten (z. B. handels- und steuerrechtliche Vorgaben für Rechnungsdaten) nicht entgegenstehen.
Der Verein kann sich vom Auftragsverarbeiter die Einhaltung der in diesem Vertrag vereinbarten Pflichten, insbesondere der technischen und organisatorischen Maßnahmen, durch geeignete Nachweise bestätigen lassen. Vor-Ort-Kontrollen sind nach vorheriger Anmeldung mit einem Vorlauf von mindestens 14 Tagen und unter Berücksichtigung der berechtigten Interessen des Auftragsverarbeiters sowie anderer Kunden möglich.
Es gilt die Haftungsregelung der AGB (§ 9) entsprechend. [Dieser Abschnitt ist ein Platzhalter und sollte unbedingt anwaltlich geprüft/angepasst werden — insbesondere im Hinblick auf die Verarbeitung von Finanz- und Gesundheitsdaten sowie Daten Minderjähriger.]
Dieser Vertrag beginnt mit der Registrierung des Vereins auf der Plattform und endet automatisch mit Beendigung des Hauptvertrags (siehe AGB, § 8).
Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.