Auftragsverarbeitung

Präambel

Dieser Vertrag gilt zwischen dem Team beziehungsweise dem Verein, der Squova nutzt (nachfolgend „Verantwortlicher“), und dem Anbieter von Squova (nachfolgend „Auftragsverarbeiter“):

MetelkoLab

Inhaber: Niklas Metelko

c/o flexdienst – #21955

Kurt-Schumacher-Straße 74

67663 Kaiserslautern

Deutschland

E-Mail: info@squova.de

Der Verantwortliche verarbeitet mit Squova personenbezogene Daten seiner Mitglieder und weiterer Personen. Der Auftragsverarbeiter stellt dafür die Plattform bereit und verarbeitet diese Daten im Auftrag; was er in eigener Verantwortung tut, regeln § 3.4 bis § 3.6.

Dieser Vertrag konkretisiert die Pflichten aus Art. 28 DSGVO. Er gilt zusätzlich zu den Nutzungsbedingungen und geht diesen vor, soweit er die Verarbeitung personenbezogener Daten regelt.

Wer ein Team oder einen Verein anlegt, schließt diesen Vertrag beim Anlegen für die Stelle, für die er handelt. Wer einem Team nur beitritt, schließt ihn nicht: Verantwortlicher ist die Stelle, die über die Verarbeitung entscheidet.

§ 1 Gegenstand, Dauer und Rangfolge

1.1 Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung von Squova, wie in Anlage 1 beschrieben.

1.2 Der Vertrag läuft, solange der Verantwortliche Squova nutzt. Er endet mit dem Nutzungsverhältnis, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten aus § 9 bestehen darüber hinaus fort.

1.3 Bei Widersprüchen gilt: dieser Vertrag vor den Nutzungsbedingungen, Weisungen des Verantwortlichen vor beidem, soweit sie sich im Rahmen von § 3 halten.

§ 2 Art der Daten und Kreis der Betroffenen

2.1 Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten und der Kreis der betroffenen Personen ergeben sich aus Anlage 1.

2.2 Der Verantwortliche entscheidet allein, welche Daten er in Squova einträgt oder eintragen lässt. Der Auftragsverarbeiter kennt den Inhalt der Freitextfelder nicht im Voraus.

2.3 Der Verantwortliche stellt sicher, dass er für die Verarbeitung eine Rechtsgrundlage hat. Das gilt besonders für:

• besondere Kategorien nach Art. 9 DSGVO, etwa Angaben zur Verfügbarkeit nach einer Verletzung,
• Daten Dritter ohne eigenes Konto, etwa Kontakte und Notfallkontakte, für die Art. 14 DSGVO eine Informationspflicht begründet,
• Minderjährige, für die je nach Alter die Zustimmung der Erziehungsberechtigten erforderlich ist.

§ 3 Weisungen

3.1 Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.2 Die Nutzung der Funktionen durch den Verantwortlichen und die von ihm berechtigten Personen gilt als Weisung. Darüber hinausgehende Weisungen erfolgen in Textform an info@squova.de.

3.3 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung bis zur Klärung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

3.4 Nicht von diesem Vertrag erfasst ist die Auswertung von Nutzungs- und Betriebsdaten in zusammengefasster Form (Anzahl und Größe der Teams, Auslastung, genutzte Module, Speicherverbrauch, Fehlerhäufigkeit). Dafür ist der Auftragsverarbeiter selbst Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Die Auswertung erfolgt ohne Bezug auf einzelne Personen und ohne Inhalte; Näheres steht in der Datenschutzerklärung.

3.5 Abweichend von § 3.1 trifft der Auftragsverarbeiter die folgenden Maßnahmen nicht auf Weisung, sondern in eigener Verantwortung (Art. 28 Abs. 10 DSGVO), wenn er damit die Nutzungsbedingungen durchsetzt oder eine Pflicht aus dem Digital Services Act erfüllt. Er protokolliert jede Maßnahme und teilt sie dem Verantwortlichen per E-Mail mit, bei einem Team den Inhaber:innen und, wenn das Team keine Inhaber:in hat, dem Vorstand des Vereins, dem es angehört:

• ein Team sperren, mit Grund, und die Sperre aufheben,
• ein Team in den Papierkorb legen, mit Grund und dem Tag der Löschung (§ 9.2), und es daraus wiederherstellen,
• ein Team umbenennen, mit altem und neuem Namen und dem Grund,
• die Rolle einer Person im Team ersetzen, soweit das nicht auf eine Weisung des Verantwortlichen geschieht, mit Grund; die Person selbst erfährt es in der Anwendung,
• einen einzelnen Inhalt sperren und die Sperre aufheben, jeweils mit Grund und ohne die Person zu nennen, die ihn gemeldet hat; wer den Inhalt eingestellt hat, erhält beim Sperren eine Begründung nach Art. 17 des Digital Services Act,
• einen Verein umbenennen oder, wenn ihm kein Team mehr angehört, löschen; die Mitteilung geht mit Grund an seinen Vorstand.

3.6 Maßnahmen an einem Konto, etwa das Sperren oder Löschen eines Kontos oder das Berichtigen der E-Mail-Adresse oder des Geburtsdatums, sind nicht Gegenstand dieses Vertrags. Konto-Daten verarbeitet der Auftragsverarbeiter als eigener Verantwortlicher; die Datenschutzerklärung beschreibt diese Maßnahmen und wer davon erfährt.

§ 4 Vertraulichkeit

4.1 Der Auftragsverarbeiter verarbeitet die Daten vertraulich und verpflichtet alle Personen, die Zugang zu ihnen haben, auf Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.

4.2 Zum Zeitpunkt des Vertragsschlusses handelt der Auftragsverarbeiter ohne Beschäftigte. Der Zugang zu Produktivdaten ist auf ihn selbst beschränkt und über eine Positivliste von E-Mail-Adressen technisch begrenzt.

4.3 Der Auftragsverarbeiter kann zur Bearbeitung von Support-Anfragen und zur Störungssuche in Inhalte des Verantwortlichen Einsicht nehmen. Jede Einsichtnahme setzt einen dokumentierten Grund voraus, wird protokolliert, drei Jahre aufbewahrt und allen aktiven Mitgliedern des Teams unverzüglich in der Anwendung mitgeteilt. Für Nachrichten aus dem Chat und für Finanzdaten genügt der Grund nicht; sie sind nur einsehbar, wenn eine Support-Anfrage eines Mitglieds des Teams oder des Vorstands seines Vereins vorliegt, auf die sich die Einsichtnahme bezieht.

4.4 Bei einem konkreten Verdacht auf strafbare oder rechtswidrige Inhalte kann die Mitteilung nach § 4.3 unterbleiben, solange sie den Zweck der Prüfung gefährden würde. Die Einsichtnahme wird auch in diesem Fall protokolliert. Der Auftragsverarbeiter hält die Anzahl solcher Einsichtnahmen fest und legt sie dem Verantwortlichen auf Anfrage offen.

4.5 Die Einsichtnahme umfasst die jeweils jüngsten Einträge einer Kategorie, höchstens fünfzig. Dateien werden dabei nicht geöffnet, sondern nur mit Name und Größe angezeigt; gelöschte Nachrichten bleiben gelöscht.

§ 5 Technische und organisatorische Maßnahmen

5.1 Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit ein.

5.2 Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

6.1 Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung der in Anlage 3 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO).

6.2 Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Verantwortlichen mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von vier Wochen aus wichtigem, dem Datenschutz zuzuordnenden Grund widersprechen. Widerspricht er, kann jede Seite das Nutzungsverhältnis zum geplanten Wirksamwerden kündigen.

6.3 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf Pflichten, die denen dieses Vertrags entsprechen, und bleibt gegenüber dem Verantwortlichen verantwortlich.

6.4 Keine Unterauftragsverarbeitung sind Leistungen, die der Auftragsverarbeiter als Nebenleistung in Anspruch nimmt, etwa Telekommunikation oder Wartung, solange dabei kein Zugriff auf personenbezogene Daten des Verantwortlichen vorgesehen ist.

§ 7 Unterstützung bei Betroffenenrechten

7.1 Wendet sich eine betroffene Person mit einem Antrag nach Art. 15 bis 22 DSGVO an den Auftragsverarbeiter, leitet er sie an den Verantwortlichen weiter und informiert diesen unverzüglich. Er beantwortet solche Anträge nicht selbst.

7.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen Mitteln. In der Anwendung stehen bereit:

• Auskunft und Datenübertragbarkeit: Selbst-Export unter „Konto“, wahlweise je Team oder als Auszug über das Konto und alle Teams hinweg, als ZIP-Paket mit einer lesbaren Übersicht, Tabellen, maschinenlesbaren Daten und den selbst hochgeladenen Dateien. Der Auszug enthält unter anderem Profil, Zusagen, Anwesenheit, eigene Beiträge, Lesestatus, Bewertungen, Punkte, Finanzbezüge, Anmeldungen und Push-Kennungen. Noch nicht enthalten sind Benachrichtigungs-Einstellungen, ausgeblendete Hinweise, Reaktionen, Markierungen und Lesestand im Chat verbundener Teams, private Sticker und ihre Pakete, Mitteilungen zu Vertragsänderungen, Absturzberichte und Einträge im Server-Fehlerprotokoll; Auskunft darüber erteilt der Auftragsverarbeiter auf Anfrage in Textform.
• Berichtigung: Bearbeiten des Profils durch die Person selbst oder die Verwaltenden.
• Löschung: „Team verlassen“ für die Team-Daten, „Konto löschen“ für die Identität.

7.3 Inhalte anderer Personen sind im Auszug nicht enthalten, auch wenn sie in derselben Unterhaltung stehen. Das folgt aus Art. 15 Abs. 4 DSGVO: Die Datenkopie darf die Rechte anderer nicht beeinträchtigen.

§ 8 Sicherheit, Meldepflichten und Folgenabschätzung

8.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO, soweit ihm die dafür erforderlichen Informationen vorliegen.

8.2 Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen und ergriffene Maßnahmen.

8.3 Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung der Betroffenen nach Art. 34 DSGVO obliegen dem Verantwortlichen. Die dortige Frist von 72 Stunden beginnt mit seiner Kenntnis.

§ 9 Löschung und Rückgabe nach Vertragsende

9.1 Die Inhaber:in eines Teams kann das Team löschen. Es bleibt danach 30 Tage nutzbar, und seine Mitglieder erhalten eine Mitteilung in der Anwendung. In dieser Zeit lädt die Inhaber:in unter „Team verwalten“ die Daten des ganzen Teams herunter und kann die Löschung zurücknehmen. Danach löscht der Auftragsverarbeiter das Team mit allen Daten.

9.2 Legt der Auftragsverarbeiter ein Team nach § 3.5 in den Papierkorb, ist es sofort für alle Mitglieder geschlossen und wird nach 30 Tagen gelöscht; bis dahin kann er es wiederherstellen. Auf eine Support-Anfrage einer Inhaber:in gibt er ihr den Export des Teams frei, soweit keine gesetzliche Pflicht entgegensteht, jeweils für sieben Tage und höchstens bis zum Tag der Löschung. Jedes heruntergeladene Paket wird protokolliert.

9.3 Eine gesetzliche Aufbewahrungspflicht geht der Löschung vor.

9.4 Aus verschlüsselten Sicherungen laufen die Daten mit Ablauf der in Anlage 2 genannten Aufbewahrungsfristen aus. Eine gezielte Löschung einzelner Datensätze aus bestehenden Sicherungen findet nicht statt.

§ 10 Nachweise und Kontrollen

10.1 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, insbesondere die jeweils geltende Fassung von Anlage 2 und Anlage 3.

10.2 Der Verantwortliche kann sich von der Einhaltung überzeugen. Kontrollen erfolgen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal jährlich, es sei denn, es besteht ein konkreter Anlass.

10.3 Der Auftragsverarbeiter kann den Nachweis auch durch geeignete Zertifikate, Testate oder Berichte unabhängiger Stellen führen.

§ 11 Datenverarbeitung in Drittländern

11.1 Die Verarbeitung findet in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Der Betreiber der Server, die IONOS SE, sagt diesen Verarbeitungsort vertraglich zu. Ein bestimmtes Land ist damit nicht zugesagt.

11.2 Eine Übermittlung in Drittländer findet nur bei den in Anlage 3 gekennzeichneten Unterauftragsverarbeitern statt. Für diese liegen Garantien nach Kapitel V DSGVO vor, namentlich Standardvertragsklauseln und, wo einschlägig, eine Zertifizierung nach dem EU-U.S. Data Privacy Framework.

§ 12 Haftung und Schlussbestimmungen

12.1 Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen der Nutzungsbedingungen, soweit Art. 82 DSGVO dem nicht entgegensteht.

12.2 Änderungen bedürfen der Textform. Das gilt auch für die Abbedingung dieser Klausel.

12.3 Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

12.4 Es gilt deutsches Recht.

Anlage 1: Gegenstand der Verarbeitung

Zweck: Bereitstellung einer Plattform zur Organisation eines Sport-Teams oder eines Vereins mit seinen Teams.

Betroffene Personen:

• Mitglieder des Teams mit eigenem Konto, nach ihrem Austritt, soweit das Team ein Ehemaligen-Verzeichnis führt,
• Personen, die das Team per E-Mail einlädt,
• Kontakte, Notfallkontakte und Schiedsrichter, die das Team ohne eigenes Konto einträgt,
• Personen, die über einen externen Termin-Link antworten,
• Personen, die über den Eintrage-Link eines Wettbewerbs Ergebnisse eintragen,
• Mitglieder der Teams eines Vereins, soweit der Vorstand ihre Kennzahlen, Termine und den Finanzstand gebündelt sieht oder sie für ein Amt im Vorstand auswählt,
• Mitglieder verbundener Teams, soweit Inhalte geteilt wurden,
• Teilnehmende an Wettbewerben, die das Team ausrichtet, auch auf deren öffentlichen Seiten.

Verarbeitungstätigkeiten und Datenkategorien:

• Mitglieder und Rollen: Name, Spitzname, Trikotnummer und -größe, Position, Ämter, Rollen, Verfügbarkeit.
• Kontaktdaten: Telefonnummer, Adresse, Notfallkontakt, E-Mail-Adresse und Geburtsdatum, sichtbar für die Personen mit dem Recht „Kontaktdaten sehen“, auch im Export der Mitgliederliste.
• Einladungen: E-Mail-Adresse der eingeladenen Person, die einladende Person und die vorgesehene Rolle.
• Termine und Zusagen: Zu- und Absagen, Begleitpersonen, Notizen, Anwesenheit, Verspätungen, Aufgaben, Fahrgemeinschaften.
• Kommunikation: Nachrichten, Sprachnachrichten, Anhänge, Kommentare, Reaktionen, Lesestatus, Bestätigungen.
• Dateien und Sticker: hochgeladene Dateien mit Name und Größe, Sticker des Teams.
• Umfragen und Terminfindung: Stimmen, Zeitfenster-Präferenzen.
• Feedback und Forum: Beitragstext, Kategorie, Status, Antworten.
• Sport: Aufstellungen, Auszeichnungen, Spielzüge mit Personenbezug, Übungen.
• Wettbewerbe: teilnehmende Teams, bei Beach-Paaren die Namen der Spielenden, Spieltage mit Ort, Ergebnisse, Tabellen und die Namen eingetragener Schiedsrichter.
• Skill-Bewertung: Bewertungen je Dimension, Trainer-Kommentar, Verlauf, Selbsteinschätzung.
• Punkte und Abzeichen: Punkte-Ereignisse, Abzeichen, Rangliste.
• Finanzen: Zahlungsstatus, Anteile, Auslagen, Urheber von Buchungen.
• Einwilligungen, die der Verein festhält: wofür, an welchem Tag, wer erklärt und wer eingetragen hat, ein Widerruf.
• Meldungen über Beiträge: meldende und gemeldete Person, Grund, Anmerkung und ein Auszug des Beitrags.
• Protokolle des Teams: vergebene und entzogene Rollen, Zu- und Abgänge, Exporte der Mitgliederliste und des ganzen Teams.
• Ehemaligen-Verzeichnis: Name und Zeitraum der Mitgliedschaft.
• Ortssuche: Sucheingabe, Sitzungs-Kennzeichen.
• Vernetzung zwischen Teams: der Name in gekürzter Form (voreingestellt die Initialen), Team-Name, Zu- und Absagen, Kommentare, Chat-Beiträge. Je Kreis wird gespeichert, wie viel vom Namen gezeigt werden soll.
• Externe Termin-Links: Name, Antwort, Begleitpersonen, Notiz der antwortenden Person.
• Eintrage-Link eines Wettbewerbs: Name der eintragenden Person, Zeitpunkt und eingetragenes Ergebnis.

Besondere Kategorien nach Art. 9 DSGVO: möglich, aber nur auf ausdrückliche Einwilligung der betroffenen Person. Zur Verfügbarkeit trägt das Team-Profil ein Datum („nicht einsatzfähig bis“) und wahlweise einen Grund aus einer festen Liste: Krankheit, Verletzung, Urlaub, Persönlich, Sonstiges. Freitext nimmt das Feld nicht an. Wählt eine Person „Krankheit“ oder „Verletzung“, ist das ein Gesundheitsdatum; es wird nur mit ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO gespeichert und 30 Tage nach dem Enddatum samt Einwilligung gelöscht. Sichtbar sind Datum und Grund nur der Person selbst und Rollen mit dem Recht dafür; alle übrigen Mitglieder sehen nur, dass die Person nicht verfügbar ist.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Anlage beschreibt, was eingerichtet ist, nicht, was geplant ist.

Zutrittskontrolle: Die Server stehen in einem Rechenzentrum der IONOS SE innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums. Die verschlüsselten Sicherungen liegen auf einem getrennten Speicher der Hetzner Online GmbH, ebenfalls innerhalb der Europäischen Union.

Zugangskontrolle: Passwörter werden als argon2id-Prüfsumme gespeichert, nicht im Klartext. Sitzungen laufen über zufällige 32-Byte-Kennungen, die 30 Tage nach der letzten Nutzung ablaufen und dann gelöscht werden. Den Schlüssel einer Sitzung nimmt der Server aus einer Kopfzeile oder einem Cookie an, nicht aus einer Adresse. Abmelden beendet die Sitzung auch auf dem Server; ihre angemeldeten Geräte sieht eine Person in einer Liste und kann alle anderen auf einmal abmelden. Einmal-Codes werden nur als Prüfsumme gespeichert, sind zeitlich begrenzt und nach fünf Fehlversuchen verbraucht. Die Anmeldung und das Anfordern eines neuen Passworts sind je IP-Adresse und je Konto ratenbegrenzt, die Registrierung je IP-Adresse, das Setzen eines neuen Passworts und das erneute Senden der Bestätigung je Konto.

Zugriffskontrolle: Rechte werden über ein Rollen- und Rechtemodell je Team vergeben und bei jeder Anfrage geprüft. Kontaktdaten und Verfügbarkeit sind eigene Rechte und nicht automatisch teamweit sichtbar. Der administrative Zugang des Auftragsverarbeiters ist über eine Positivliste begrenzt und erlaubt kein Handeln im Namen von Nutzenden; wie er protokolliert wird, steht unter Eingabekontrolle.

Trennungskontrolle: Jedes Team liegt in einer eigenen Datenbankdatei, seine Dateien in einem eigenen Verzeichnis. Profilbilder, Team-Logos, Chat-Bilder, Sticker und Anhänge von Support-Anfragen liegen je Art in einem gemeinsamen Verzeichnis. Produktiv- und Testumgebung nutzen getrennte Datenträger.

Pseudonymisierung: Über Team-Grenzen hinweg erscheinen Personen voreingestellt nur mit ihren Initialen. Die Auflösung von Kennung zu Anzeigename über eine Team-Grenze läuft an einer zentralen Stelle im Server. Die betroffene Person kann dort selbst mehr freigeben, bis hin zum vollen Namen; ohne ihre Wahl bleibt es bei den Initialen, und unter 18 Jahren ist die Kurzform die Obergrenze. Zwei Ausnahmen gelten. Die erste sind öffentliche Wettbewerbs-Seiten des Verantwortlichen. Dort erscheinen Beach-Paare ohne Wahl in der Kurzform, gestützt auf das berechtigte Interesse an einem brauchbaren Spielplan, und die betroffene Person kann jederzeit auf die Initialen wechseln. Die zweite sind Ämter im Vorstand eines Vereins: Sie stehen in der Vereins-Sicht mit vollem Namen. Umfragen und Feedback können anonym geführt werden.

Weitergabekontrolle: Verbindungen zum Server sind mit TLS verschlüsselt. Dateien, Belege, Sticker und Anhänge von Support-Anfragen werden über signierte Kennzeichen in der Adresse ausgeliefert, die nach höchstens einer Stunde ablaufen; Profilbilder, Team-Logos und Chat-Bilder über nicht erratbare Dateinamen. Kalender-Abo, geteilte Termine, öffentliche Wettbewerbs-Seiten, Eintrage-Links von Wettbewerben und Einladungen tragen ein geheimes Kennzeichen in der Adresse, das ohne Anmeldung Zugang gibt; die Adresse des Kalender-Abos lässt sich erneuern, eine öffentliche Wettbewerbs-Seite abschalten, ein Eintrage-Link abschalten oder ersetzen; ein geteilter Termin erlischt sieben Tage nach dem letzten Termin, ein Eintrage-Link sieben Tage nach dem letzten Spieltag und, solange kein Spieltag angesetzt ist, erst mit dem Abschalten. Über einen Eintrage-Link lassen sich nur Ergebnisse eintragen; das Kennzeichen der öffentlichen Wettbewerbs-Seite erlaubt kein Schreiben. Der Echtzeit-Kanal überträgt keine Inhalte, sondern nur Hinweise, dass etwas neu ist.

Eingabekontrolle: Wer welche Buchung, Bewertung oder Nachricht angelegt hat, wird gespeichert. Im Verwaltungs-Werkzeug des Auftragsverarbeiters werden Änderungen an Konten, Teams und Vereinen mit handelnder Person, Ziel und Zeitpunkt protokolliert, bei Maßnahmen, die einen Grund verlangen, auch mit diesem, und das Ansehen von Angaben zu Personen mit handelnder Person, Ansicht, Ziel und Zeitpunkt. Ruft dieselbe Person dieselbe Ansicht innerhalb von 10 Minuten erneut auf, bleibt es bei einem Eintrag. Das Protokoll wird drei Jahre aufbewahrt.

Verfügbarkeit: Einmal täglich werden Datenbanken und Dateien verschlüsselt auf einen getrennten Speicher gesichert; es bleiben 30 tägliche und 12 monatliche Stände. Vor jeder Aktualisierung der Produktivumgebung wird eine Kopie der Datenbanken im verschlüsselten Bereich des Servers abgelegt; davon bleiben die fünf neuesten, soweit sie nicht älter als 30 Tage sind, und in jedem Fall die neueste.

Datenminimierung: IP-Adressen werden zur Missbrauchsabwehr im Arbeitsspeicher gezählt und nach spätestens einer Stunde ohne weitere Anfrage gelöscht. Benachrichtigungen an verbundene Teams tragen den Namen höchstens in der Kurzform und bei Chat-Nachrichten und Kommentaren keinen Text.

Härtung: Sicherheits-Kopfzeilen und eine Inhalts-Richtlinie (Content Security Policy) sind gesetzt und durch Tests festgehalten. Die Richtlinie lässt Skripte nur von der eigenen Adresse zu, dort aber auch eingebettete, und Verbindungen zu verschlüsselten Adressen; fremde Seiten dürfen die Anwendung nicht einbetten. Anfragen von fremden Adressen werden nur für ausdrücklich erlaubte Quellen angenommen.

Löschung: Folgende Daten des Verantwortlichen löscht der Auftragsverarbeiter automatisch:

• Antworten auf einen geteilten Termin: 30 Tage nach dem Termin.
• Name der Person, die über einen Eintrage-Link ein Ergebnis eingetragen hat: 30 Tage nach dem Spiel.
• Grund einer Abwesenheit und die Einwilligung dazu: 30 Tage nach dem Enddatum.
• Adresse einer eingeladenen Person: sobald die Einladung eingelöst oder zurückgezogen ist, spätestens mit ihrem Ablauf nach 14 Tagen.
• Protokolle des Teams (Rollen, Zu- und Abgänge, Exporte): 18 Monate nach dem Eintrag.
• Erledigte Meldungen über Beiträge: 18 Monate nach der Erledigung.
• Gesperrte Inhalte: drei Jahre nach der Sperre der Inhalt, danach die Sperre.
• Einträge im Ehemaligen-Verzeichnis: zehn Jahre.
• Ein gelöschtes Team: 30 Tage nach der Löschung durch die Inhaber:in oder dem Verschieben in den Papierkorb (§ 9).

Verlässt eine Person ein Team, werden dort ihr Profil im Team, ihre Rollen, Zusagen, Anwesenheiten, Bewertungen, Punkte, Einwilligungen und die Meldungen von ihr und über ihre Beiträge entfernt; Nachrichten, Dateien und Termine, die sie angelegt hat, bleiben im Team.

Verschlüsselung im Betrieb: Die Datenbankdateien, die hochgeladenen Dateien und die Kopien vor einer Aktualisierung liegen in einem verschlüsselten Bereich des Servers (LUKS2). Der Schlüssel liegt auf derselben Maschine, damit der Server ohne Handgriff startet.

Grenze der Verschlüsselung: Der Schutz greift gegen eine ausgemusterte Festplatte und gegen eine Kopie allein dieses Bereichs. Er greift nicht gegen eine Momentaufnahme des laufenden Servers durch den Rechenzentrums-Betreiber. Außerhalb des Bereichs liegen Betriebssystem, Programmdateien und das Systemjournal. Die Anwendung legt ihre Daten im verschlüsselten Bereich ab und schreibt in das Systemjournal Betriebsmeldungen, in denen E-Mail- und IP-Adressen unkenntlich gemacht sind; der vorgeschaltete Webserver schreibt eigene Fehlermeldungen dorthin, die IP-Adressen enthalten können. Das Systemjournal löscht Einträge nach 14 Tagen; weil es dafür ganze Tagesdateien entfernt, bleibt ein Eintrag höchstens 15 Tage.

Anlage 3: Unterauftragsverarbeiter

• IONOS SE (Sitz Deutschland): Betrieb der Server, alle Anwendungsdaten. Verarbeitung in der EU oder im EWR. Kein Drittland.
• Hetzner Online GmbH (Sitz Deutschland): verschlüsselter Sicherungs-Speicher, alle Anwendungsdaten. Verarbeitung in der EU. Kein Drittland.
• Brevo (Sendinblue GmbH), EU: Versand der E-Mails der Anwendung, darunter Codes, Einladungen in ein Team, Mitteilungen zu Vertragsänderungen und zu Maßnahmen nach § 3.5, Mitteilungen nach dem Digital Services Act und Mitteilungen an den Vorstand eines Vereins; E-Mail-Adresse, Name und Inhalt der Mitteilung. Kein Drittland.
• Microsoft (Microsoft 365), auch in den USA: Postfach der Kontaktadresse des Auftragsverarbeiters; dort kommen Weisungen in Textform nach § 3.2, Antworten auf Mitteilungen nach § 3.5 und Anfragen per E-Mail an. Absender, Inhalt und Anhänge der E-Mail, also die Daten des Teams, die der Verantwortliche darin mitschickt. Drittland, Standardvertragsklauseln; zusätzlich zertifiziert unter dem Data Privacy Framework.
• Expo (650 Industries, Inc.), USA: Zustellung von Push-Mitteilungen an Apple und Google und Auslieferung von Aktualisierungen der App; Push-Kennung und Inhalt der Mitteilung, also Anlass, Name des Absenders und je nach Art ein Auszug oder ein Titel. Drittland, Data Privacy Framework und Standardvertragsklauseln.
• Apple Inc., USA: Zustellung von Push-Mitteilungen auf iOS, Push-Kennung und Inhalt der Mitteilung. Drittland, Standardvertragsklauseln.
• Google Ireland Limited, Irland und USA: Zustellung von Push-Mitteilungen auf Android, Push-Kennung und Inhalt der Mitteilung. Drittland, Standardvertragsklauseln.
• Die Push-Dienste der Browser-Hersteller, je nach Browser Google, Mozilla, Apple oder Microsoft, auch in den USA: Zustellung von Mitteilungen im Browser; Adresse des Abonnements und der Inhalt, den der Auftragsverarbeiter vor dem Versand für das Gerät verschlüsselt, sodass der Dienst ihn nicht lesen kann. Drittland, Data Privacy Framework oder Standardvertragsklauseln des jeweiligen Anbieters.
• Google Ireland Limited, Irland und USA: Adress-Vorschläge bei der Ortssuche, Sucheingabe und Sitzungs-Kennzeichen. Drittland, Data Privacy Framework und Standardvertragsklauseln.
• Giphy, Inc., USA: Vorschläge für GIFs im Chat, Suchbegriff und Kennung des gewählten Bildes. Die Anfrage stellt der Server des Auftragsverarbeiters; IP-Adresse, Konto-Daten und Geräte-Kennungen der Mitglieder erreichen den Anbieter nicht. Drittland, Standardvertragsklauseln.
• Cloudflare: Namensauflösung, keine personenbezogenen Daten.

Nicht als Unterauftragsverarbeiter geführt: Open-Meteo erhält den Ortstext eines Termins und die daraus ermittelten Koordinaten über den Server des Auftragsverarbeiters, ohne Bezug zu einer Person oder einem Gerät. GitHub speichert Programmstände, keine Nutzerdaten.