Auftragsverarbeitungsvertrag (AVV)

1. Vertragsparteien und Einbeziehung

Auftraggeber ist der jeweilige Kunde von Turnierplan.eu. Auftragnehmer ist Markus Müller, handelnd unter Pixel33 Software, An den Gleisen 5, 92224 Amberg, Deutschland. Dieser AVV ergänzt den Hauptvertrag und gilt, sobald er elektronisch akzeptiert oder anderweitig wirksam einbezogen wurde. Für die Auftragsverarbeitung geht er widersprechenden Regelungen des Hauptvertrags vor.

2. Abgrenzung der Verantwortlichkeiten

Der Auftraggeber ist Verantwortlicher für personenbezogene Daten, die er oder seine Nutzer für Turniere eingeben, hochladen, veröffentlichen oder verarbeiten lassen. Pixel33 Software verarbeitet diese Daten im Auftrag. Accountverwaltung, Abrechnung, Zahlung, eigene Sicherheit, Vertragskommunikation sowie eigene Server- und Zugriffsprotokolle verarbeitet Pixel33 Software in eigener Verantwortlichkeit gemäß Datenschutzerklärung.

3. Gegenstand, Zweck und Dauer

Gegenstand ist die Bereitstellung von Turnierplan.eu zur Planung, Durchführung und Veröffentlichung von Turnieren. Verarbeitet werden Daten durch Erfassen, Speichern, Anzeigen, Bearbeiten, Übermitteln, Sichern, Exportieren und Löschen. Die Verarbeitung dauert grundsätzlich für die Laufzeit des Hauptvertrags und bis zur vertragsgemäßen Löschung oder Rückgabe.

4. Daten und betroffene Personen

Verarbeitet werden können Namen, E-Mail-Adressen, Benutzer-IDs, Rollen, Mannschafts- und Teilnehmerdaten, Bilder und Logos, Ergebnisse, Kommunikationsinhalte sowie technische Nutzungsdaten. Betroffen sein können Nutzer, Veranstalter, Teilnehmer, Minderjährige, Betreuer, Schiedsrichter, Ansprechpartner und sonstige vom Auftraggeber erfasste Personen.

5. Weisungen und Vertraulichkeit

Der Auftragnehmer verarbeitet nur auf dokumentierte Weisung, soweit keine gesetzliche Pflicht entgegensteht. Hauptvertrag, AVV, Plattformkonfiguration und Handlungen berechtigter Nutzer gelten als Weisungen. Rechtswidrige Weisungen werden beanstandet und bis zur Klärung ausgesetzt. Zugriffsberechtigte Personen sind zur Vertraulichkeit verpflichtet.

6. Sicherheit

Der Auftragnehmer trifft angemessene Maßnahmen nach Art. 32 DSGVO: HTTPS/TLS, Passwort-Hashing, rollen- und objektbezogene Zugriffskontrollen, vorbereitete Datenbankabfragen, Protokollierung sicherheitsrelevanter Ereignisse, getrennte Kundenbereiche, Sicherungen, Wiederherstellungsverfahren, Updates und ein Löschkonzept. Gleichwertige oder bessere Maßnahmen dürfen die bisherigen ersetzen.

7. Unterauftragsverarbeiter

Allgemein genehmigt ist STRATO GmbH, Deutschland, für Hosting, Server, Datenbank, Speicher, Backups, technische Logs und System-E-Mails. Der Auftragnehmer bindet Unterauftragsverarbeiter nach Art. 28 DSGVO und informiert über wesentliche Änderungen rechtzeitig. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

8. Unterstützung und Datenschutzverletzungen

Der Auftragnehmer unterstützt angemessen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Konsultationen und Nachweisen. Anfragen Betroffener werden an den Auftraggeber weitergeleitet, sofern keine eigene Zuständigkeit besteht. Verletzungen des Schutzes von Auftragsdaten werden nach Bekanntwerden unverzüglich mit den verfügbaren erforderlichen Informationen gemeldet.

9. Kontrollen

Der Auftragnehmer stellt erforderliche Informationen zum Nachweis der Einhaltung bereit. Prüfungen erfolgen vorrangig durch Dokumente und Zertifikate. Vor-Ort-Prüfungen sind nach angemessener Ankündigung, während üblicher Geschäftszeiten und unter Schutz anderer Kunden, Sicherheit und Geschäftsgeheimnisse möglich, soweit Dokumente nicht genügen.

10. Löschung, Rückgabe und Schlussregeln

Nach Ende löscht oder exportiert der Auftragnehmer Auftragsdaten nach Wahl des Auftraggebers, soweit keine gesetzliche Speicherungspflicht besteht. Verfügbare Exporte sollen vor Vertragsende genutzt werden. Daten in Backups bleiben gesperrt und werden im planmäßigen Zyklus überschrieben. Eigene Vertrags-, Rechnungs- und Zahlungsdaten sind nicht Teil der Auftragsverarbeitung. Es gilt deutsches Recht; zwingende DSGVO-Rechte bleiben unberührt.