Auftragsverarbeitung (AVV)
Freund Software & Web Inh. Jannik Freund · Stand 1. Oktober 2026
Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO zwischen dem Verein als Verantwortlichem („Auftraggeber“) und Freund Software & Web Inh. Jannik Freund als Auftragsverarbeiter („VereinsContent“).
1. Gegenstand und Dauer
VereinsContent verarbeitet personenbezogene Daten, die der Auftraggeber im Rahmen seines VereinsContent-Vertrags in der Plattform anlegt oder durch berechtigte Nutzer anlegen lässt. Die Verarbeitung dient der Bereitstellung von Vereinszugängen, Team- und Kaderverwaltung, Spielplänen, Spieltagsgrafiken, Liveticker-Inhalten, Sponsorenzuordnungen, Support sowie der vom Auftraggeber ausgelösten Veröffentlichung auf verbundenen Plattformen.
Die Auftragsverarbeitung beginnt mit Bereitstellung des Vereinszugangs und endet mit dem Vertragsende und der anschließenden vertrags- und gesetzeskonformen Löschung oder Rückgabe der Daten.
2. Art und Zweck der Verarbeitung
Die Verarbeitung umfasst insbesondere Erheben, Erfassen, Ordnen, Speichern, Anzeigen, Verändern, Abrufen, Übermitteln auf Weisung, Einschränken, Exportieren und Löschen. VereinsContent verarbeitet die Daten ausschließlich zur Erbringung der vereinbarten Plattformleistungen und nach dokumentierter Weisung des Auftraggebers, soweit keine gesetzliche Pflicht zu einer anderen Verarbeitung besteht.
3. Datenarten und betroffene Personen
- Datenarten: Stammdaten, Kontaktdaten, Rollen und Zugänge, Mannschafts- und Kaderdaten, Namen und Bilder von Spielern und Betreuern, Spiel- und Ereignisdaten, Sponsorendaten und -logos, veröffentlichte Inhalte, Supportkommunikation sowie technisch notwendige Nutzungs-, Sitzungs- und Protokolldaten.
- Betroffene Personen: Vereinsmitglieder, Spielerinnen und Spieler, Trainer- und Betreuungspersonal, Vereinsfunktionäre, Nutzer des Vereinszugangs, Sponsorenkontakte sowie Personen, die in bereitgestellten Medien abgebildet sind. Darunter können Minderjährige sein.
4. Pflichten des Auftraggebers
Der Auftraggeber bleibt für die Rechtmäßigkeit der Datenerhebung und der erteilten Weisungen verantwortlich. Er informiert betroffene Personen, wahrt deren Rechte und stellt insbesondere bei Personenbildern und Minderjährigen sicher, dass die erforderliche Rechtsgrundlage, Einwilligung und Nutzungsberechtigung vorliegt. Zugangsdaten dürfen nur berechtigten Personen bereitgestellt werden.
5. Pflichten von VereinsContent
- Verarbeitung nur auf dokumentierte Weisung des Auftraggebers, einschließlich Übermittlungen an Drittländer, soweit keine gesetzliche Pflicht entgegensteht.
- Verpflichtung der zugriffsberechtigten Personen auf Vertraulichkeit.
- Umsetzung angemessener technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO.
- Unterstützung des Auftraggebers bei Betroffenenanfragen, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und behördlichen Anfragen, soweit die verarbeiteten Daten und verfügbaren Informationen dies ermöglichen.
- Unverzügliche Information, wenn eine Weisung nach unserer Einschätzung gegen Datenschutzrecht verstößt.
- Bereitstellung der erforderlichen Informationen zum Nachweis dieser Pflichten und Ermöglichung angemessener Prüfungen nach vorheriger Abstimmung.
6. Weisungen und Anfragen
Die Nutzung der vertraglich bereitgestellten Funktionen gilt als dokumentierte Weisung. Weitere Weisungen und Datenschutzanfragen können in Textform an info@vereinscontent.de gerichtet werden. Weisungen außerhalb des vereinbarten Leistungsumfangs können nach vorheriger Information über den Aufwand gesondert berechnet werden.
7. Unterauftragsverarbeiter
Der Auftraggeber erteilt eine allgemeine Genehmigung für die folgenden Unterauftragsverarbeiter. Über wesentliche Änderungen informieren wir vor ihrem Einsatz; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
- IONOS SE, Deutschland/EU: Hosting, Serverinfrastruktur, Sicherungsübertragung und E-Mail-Versand.
- Stripe Payments Europe, Ltd. / Stripe, Inc.: Zahlungsabwicklung, soweit vom Auftraggeber genutzt.
- Meta Platforms Ireland Limited: Instagram-Veröffentlichung, ausschließlich wenn der Auftraggeber ein Konto verbindet und eine Veröffentlichung auslöst.
- Telegram Messenger Inc.: interne Betriebsalarme, beschränkt auf notwendige Vorgangsdaten.
Soweit Unterauftragsverarbeiter Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, werden die nach Kapitel V DSGVO erforderlichen Voraussetzungen und geeigneten Garantien eingesetzt.
8. Technische und organisatorische Maßnahmen
- verschlüsselte Übertragung per TLS und geschützte administrative Verbindungen;
- rollenbasierte Zugriffsrechte, getrennte Vereinszuordnungen und persönliche Zugänge;
- gesicherte Passwortspeicherung mittels Hashverfahren, sichere Sitzungs-Cookies und CSRF-Schutz;
- Protokollierung sicherheitsrelevanter Vorgänge und Schutz vor wiederholten Anmeldeversuchen;
- regelmäßige Sicherung auf getrennter Infrastruktur;
- regelmäßige Aktualisierung der Anwendung und Beschränkung des administrativen Zugriffs;
- verschlüsselte Speicherung von Zugangstokens zur optionalen Instagram-Anbindung.
Die Maßnahmen werden entsprechend dem technischen Fortschritt und dem Risiko weiterentwickelt, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
9. Meldung von Datenschutzverletzungen
VereinsContent informiert den Auftraggeber unverzüglich über bekannt gewordene Verletzungen des Schutzes personenbezogener Daten, die dessen Auftragsdaten betreffen, und stellt die verfügbaren Angaben zur Bewertung und Erfüllung gesetzlicher Meldepflichten bereit.
10. Rückgabe und Löschung
Nach Ende des Auftrags löscht oder gibt VereinsContent die Auftragsdaten nach Wahl des Auftraggebers zurück, soweit keine gesetzliche Aufbewahrungspflicht oder ein berechtigter Nachweiszweck entgegensteht. Sicherungskopien werden im regulären Sicherungszyklus überschrieben; Löschungen müssen bei einer Wiederherstellung erneut angewendet werden. Bereits durch den Auftraggeber auf externen Plattformen veröffentlichte Inhalte sind dort separat zu verwalten.
11. Kontrollrechte
Der Auftraggeber kann einmal jährlich sowie bei begründetem Anlass angemessene Nachweise anfordern. Prüfungen sind rechtzeitig abzustimmen, dürfen den sicheren Betrieb und Rechte anderer Kunden nicht beeinträchtigen und können durch geeignete Dokumentationen, Auskünfte oder eine Vor-Ort-Prüfung erfüllt werden.
12. Schlussbestimmungen
Bei Widersprüchen gehen zwingende Vorgaben der DSGVO und diese AVV hinsichtlich der Auftragsverarbeitung den allgemeinen Vertragsbedingungen vor. Im Übrigen gelten der Nutzungsvertrag und die AGB.