Vertrag zur Auftragsverarbeitung

über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Datenschutz-Grundverordnung (DSGVO)

§ 1Gegenstand und Dauer

1. Der Auftragnehmer stellt dem Auftraggeber die Web-App „1st down COACH“ im Vereinsbereich .1stdowncoach.app bereit und betreibt sie (Software als Dienst). Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers.
2. Gegenstand, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
3. Der Vertrag gilt, solange der Auftraggeber die App nutzt (Nutzungsverhältnis nach den Nutzungsbedingungen). Er endet automatisch mit dem Ende des Nutzungsverhältnisses; § 10 gilt darüber hinaus.

§ 2Weisungen des Auftraggebers

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, er ist durch Unionsrecht oder deutsches Recht zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Die Weisungen sind durch diesen Vertrag und durch die Nutzung der Funktionen der App (z. B. Anlegen, Ändern und Löschen von Daten durch berechtigte Personen des Auftraggebers) festgelegt. Weitere Weisungen erteilt der Auftraggeber in Textform (E-Mail genügt).
3. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

§ 3Vertraulichkeit

Der Auftragnehmer stellt sicher, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Pflicht besteht auch nach Ende dieses Vertrags fort.

§ 4Sicherheit der Verarbeitung

1. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert er.

§ 5Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.
2. Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragnehmer den Auftraggeber mindestens vier Wochen vorher in Textform. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er das Nutzungsverhältnis zum Zeitpunkt der Änderung beenden.
3. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO).

§ 6Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in der Bundesrepublik Deutschland bzw. in einem Mitgliedstaat der Europäischen Union statt. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers in Textform und der Erfüllung der Voraussetzungen der Art. 44 ff. DSGVO.

§ 7Unterstützung bei Rechten betroffener Personen

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen nach Art. 12 bis 23 DSGVO (Art. 28 Abs. 3 lit. e DSGVO). Die App bietet dafür u. a. Funktionen zum Berichtigen und Löschen von Spielern, Zugängen und Inhalten; Eltern können ihren Zugang selbst löschen.
2. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst, soweit nicht anders vereinbart.
3. Auskünfte oder Datenexporte, die über die Funktionen der App hinausgehen, stellt der Auftragnehmer auf Anforderung in einem gängigen, maschinenlesbaren Format bereit.

§ 8Meldung von Datenschutzverletzungen und weitere Unterstützung

1. Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, mit den ihm vorliegenden Informationen nach Art. 33 Abs. 3 DSGVO, damit der Auftraggeber seine Meldepflichten erfüllen kann.
2. Er unterstützt den Auftraggeber im Rahmen der ihm vorliegenden Informationen bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Benachrichtigungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

§ 9Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).
2. Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Überprüfungen durchführen. Sie sind in der Regel mit einer Frist von 14 Tagen anzumelden und so durchzuführen, dass der Betrieb nicht unverhältnismäßig gestört wird. Eine Vor-Ort-Prüfung im Rechenzentrum des Hosting-Anbieters wird durch dessen Nachweise (z. B. Zertifikate, Prüfberichte) ersetzt.

§ 10Löschung und Rückgabe nach Vertragsende

1. Nach Ende des Nutzungsverhältnisses stellt der Auftragnehmer dem Auftraggeber auf Wunsch die Daten des Vereinsbereichs innerhalb von 30 Tagen in einem gängigen, maschinenlesbaren Format bereit.
2. Anschließend, spätestens 60 Tage nach Vertragsende, löscht der Auftragnehmer die Daten des Auftraggebers, sofern keine gesetzliche Pflicht zur Speicherung besteht.
3. Verschlüsselte Datensicherungen werden nicht einzeln bearbeitet, sondern laufen nach dem Aufbewahrungsplan in Anlage 2 aus (spätestens nach 12 Monaten). Bis dahin werden sie nicht für andere Zwecke genutzt und nur zur Wiederherstellung entschlüsselt.
4. Die Löschung wird dem Auftraggeber auf Wunsch in Textform bestätigt.

§ 11Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information der betroffenen Personen und – soweit erforderlich – für das Einholen von Einwilligungen (bei Minderjährigen der Erziehungsberechtigten). Er vergibt Zugänge nur an berechtigte Personen, achtet auf die Rollentrennung (Head Coach, Coach, Teammanager) und informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

§ 12Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO.
2. Änderungen und Ergänzungen bedürfen der Textform. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes allen anderen Vereinbarungen der Parteien vor.
3. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Anstelle der unwirksamen Bestimmung gilt die gesetzlich zulässige Regelung, die dem Zweck am nächsten kommt.

Diese Vorlage wurde sorgfältig erstellt, ersetzt aber keine Rechtsberatung.