Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO zwischen dem Verein als Verantwortlichem und Sebastian Dirscherl als Auftragsverarbeiter. Der Vertrag kommt zustande, wenn eine für den Verein vertretungsberechtigte Person ihn in der Anwendung bestätigt. Bestätigung, Fassung und Zeitpunkt werden gespeichert.
§ 1 Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Vereins, um die in den Nutzungsbedingungen beschriebenen Leistungen zu erbringen. Der Vertrag läuft, solange der Verein SPIELWERK nutzt, und endet mit der Nutzung.
§ 2 Art, Zweck und Umfang der Verarbeitung
Zweck: Erstellen von Spieltagsgrafiken und deren Veröffentlichung auf dem Instagram-Konto des Vereins.
Art der Verarbeitung: Erheben, Speichern, Verändern, Auslesen, Verwenden, Übermitteln an das vom Verein verbundene Instagram-Konto und Löschen.
Kategorien betroffener Personen: Spielerinnen und Spieler des Vereins, Verantwortliche des Vereins mit einem Zugang, Sponsoren als Ansprechpartner, gegebenenfalls Personen auf hochgeladenen Fotos.
Kategorien personenbezogener Daten: Name, Rückennummer, Lichtbilder, Aufstellung und Einsatzdaten, E-Mail-Adresse und Rolle der Zugangsberechtigten, Kennung und Benutzername des Instagram-Kontos, technische Adressen für Benachrichtigungen, Prüfwerte zu Anmeldung und Zustimmung.
Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Verein stellt sicher, dass er keine solchen Daten einstellt.
§ 3 Weisungen
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Vereins. Als Weisung gelten dieser Vertrag, die Nutzungsbedingungen sowie jede Eingabe und Einstellung, die der Verein in der Anwendung vornimmt – etwa das Hochladen eines Bildes, das Auslösen einer Story oder das Aktivieren der Automatik.
Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies mit und darf die Ausführung aussetzen. Eine Verarbeitung für eigene Zwecke findet nicht statt.
§ 4 Vertraulichkeit
Zum Zugriff berechtigte Personen sind zur Vertraulichkeit verpflichtet. Der Zugriff ist auf das beschränkt, was für Betrieb, Wartung und Fehlerbehebung erforderlich ist.
§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Alle Verbindungen sind verschlüsselt (HTTPS/TLS).
- Passwörter werden nie im Klartext gespeichert, sondern als gesalzener Prüfwert (PBKDF2 mit 100.000 Durchläufen).
- Instagram-Zugriffstoken werden verschlüsselt abgelegt (AES-GCM) und weder angezeigt noch exportiert.
- Anmeldesitzungen werden nur als Prüfwert gespeichert; Cookies sind HttpOnly, Secure und SameSite=Strict.
- IP-Adresse und Browserkennung werden ausschließlich als nicht zurückrechenbarer Prüfwert gespeichert.
- Wiederholt fehlgeschlagene Anmeldungen werden gezählt und vorübergehend gesperrt.
- Mandantentrennung: Jede Abfrage ist an den Verein gebunden. Ein Zugriff auf Daten oder Dateien eines anderen Vereins ist technisch ausgeschlossen und wird mit automatisierten Tests laufend überprüft.
- Hochgeladene Dateien sind nicht öffentlich abrufbar, sondern nur über den angemeldeten Vereinszugang und ohne Zwischenspeicherung.
- Schreibende Aufrufe sind gegen fremde Herkunft abgesichert (Same-Origin-Prüfung).
- Uploads werden auf Dateityp und Größe geprüft.
- Der Quellcode wird versioniert; Veröffentlichungen laufen automatisiert und nur bei bestandenen Tests.
§ 6 Unterauftragsverarbeiter
Der Verein stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Ort |
|---|---|---|
| Cloudflare, Inc., San Francisco, USA | Betrieb der Anwendung, Datenbank und Dateispeicher | Rechenzentren weltweit; Zertifizierung nach dem EU-US Data Privacy Framework und Standardvertragsklauseln |
Meta Platforms Ireland Ltd. ist kein Unterauftragsverarbeiter, sondern eigenständig Verantwortlicher. Eine Übermittlung dorthin erfolgt nur, wenn der Verein sein Instagram-Konto verbindet und eine Veröffentlichung auslöst oder die Automatik aktiviert. Gleiches gilt für die Push-Dienste der Browserhersteller.
Über einen Wechsel oder die Aufnahme weiterer Unterauftragsverarbeiter wird der Verein vorab informiert und kann widersprechen; im Fall des Widerspruchs kann er die Nutzung beenden.
§ 7 Unterstützung des Vereins
Der Auftragsverarbeiter unterstützt den Verein bei der Beantwortung von Anfragen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen. Dafür stehen in der Anwendung ein vollständiger Datenexport und eine dokumentierte Löschanfrage bereit. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, wird sie an den Verein verwiesen.
§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verein jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, und unterstützt ihn bei den Meldungen nach Art. 33 und 34 DSGVO.
§ 9 Löschung und Rückgabe
Nach Ende der Nutzung werden die Daten des Vereins einschließlich aller Dateien gelöscht, sobald keine gesetzliche Aufbewahrungspflicht entgegensteht. Vorher kann der Verein jederzeit seinen Export herunterladen. Bereits auf Instagram veröffentlichte Beiträge liegen außerhalb des Einflussbereichs des Auftragsverarbeiters und müssen vom Verein dort selbst entfernt werden.
§ 10 Nachweise und Kontrollen
Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage in Textform nach. Vor-Ort-Kontrollen sind mit angemessener Vorankündigung und zu üblichen Geschäftszeiten möglich.
§ 11 Schlussbestimmungen
Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag vor. Es gilt deutsches Recht. Diese Fassung trägt die Nummer 2026-09-19.