Vertrag zur Auftragsverarbeitung
1. Parteien und Gegenstand
Verantwortlicher ist der Veranstalter, für den ein Owner diesem Vertrag zustimmt. Auftragsverarbeiter ist der Anbieter von Turnierleiter (Angaben im Impressum). Gegenstand ist die Verarbeitung personenbezogener Daten, die der Veranstalter in Turnierleiter einträgt, um seine Turniere zu planen, durchzuführen und zu veröffentlichen. Der Vertrag gilt, solange der Veranstalter Turnierleiter nutzt.
2. Art der Daten und betroffene Personen
Betroffen sind Teilnehmende an Turnieren, Kontaktpersonen von Anmeldungen und Helfer des Veranstalters. Verarbeitet werden Namen von Spielerinnen und Spielern und Teams, Ergebnisse und daraus berechnete Statistiken, Kontaktdaten aus Anmeldungen (Name, Telefon, E-Mail), Notizen und Zahlungsvermerke, E-Mail-Adressen und Rollen der Helfer sowie das Turnierprotokoll. Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen und dürfen nicht eingetragen werden.
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur nach dokumentierter Weisung des Verantwortlichen. Weisungen sind die Funktionen der Plattform, wie der Veranstalter sie bedient (Anlegen, Veröffentlichen, Ändern, Exportieren, Löschen), und Nachrichten per E-Mail. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, sagt er es dem Verantwortlichen unverzüglich.
4. Vertraulichkeit
Zugriff auf die Daten hat nur der Anbieter selbst. Er ist zur Vertraulichkeit verpflichtet. Er greift auf die Daten eines Veranstalters nur zu, soweit es für Betrieb, Fehlersuche, Sicherheit oder eine Anfrage des Veranstalters nötig ist.
5. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft Maßnahmen nach Art. 32 DSGVO, unter anderem: Daten in der EU (AWS Frankfurt), verschlüsselte Übertragung (HTTPS) und Speicherung, Anmeldung mit Zwei-Faktor-Pflicht für Owner und Admins, Rollen mit minimalen Rechten, Mandantentrennung pro Veranstalter, protokollierte Änderungen an Ergebnissen, tägliche Sicherung mit 35 Tagen Wiederherstellung, Firewall und Begrenzungen gegen Missbrauch, Alarme bei Auffälligkeiten. Die Maßnahmen werden dem Stand der Technik angepasst. Ein schwächeres Schutzniveau ist dabei nicht zulässig.
6. Unterauftragsverarbeiter
Der Verantwortliche ist mit diesen Unterauftragsverarbeitern einverstanden: Amazon Web Services EMEA SARL, Luxemburg (Hosting, Datenbank, Speicher, Anmeldung, Mailversand; Region Frankfurt; Auslieferung über das weltweite CloudFront-Netz, abgesichert über EU-US Data Privacy Framework und Standardvertragsklauseln) und Heinlein Hosting GmbH (mailbox.org), Berlin (Postfach für Anfragen). Neue Unterauftragsverarbeiter kündigt der Anbieter mindestens 14 Tage vorher per E-Mail an. Der Verantwortliche kann widersprechen und in diesem Fall den Vertrag beenden.
7. Unterstützung
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Art. 15 bis 22 DSGVO): Daten lassen sich in der Plattform ansehen, berichtigen, exportieren und löschen. Erreicht eine Anfrage den Auftragsverarbeiter, leitet er sie an den Verantwortlichen weiter. Er unterstützt außerdem bei Sicherheit, Meldungen von Datenpannen und Datenschutz-Folgenabschätzungen (Art. 32 bis 36 DSGVO).
8. Datenpannen
Bemerkt der Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten, die Daten des Veranstalters betrifft, informiert er den Verantwortlichen unverzüglich, möglichst innerhalb von 24 Stunden, per E-Mail an die Owner. Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Daten und Personen, wahrscheinliche Folgen und ergriffene Maßnahmen.
9. Löschung und Rückgabe
Nach Ende der Nutzung oder auf Weisung löscht der Auftragsverarbeiter die Daten. Owner können sie vorher jederzeit selbst exportieren und den Veranstalter löschen. In Sicherungen bleiben gelöschte Daten höchstens 35 Tage. Kontaktdaten aus Anmeldungen löscht die Plattform drei Monate nach Archivierung eines Turniers automatisch.
10. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen nach rechtzeitiger Ankündigung. Für die Rechenzentren genügen die Zertifikate von AWS (etwa ISO 27001, SOC 2).
11. Sonstiges
Es gilt deutsches Recht. Bei Widersprüchen zu den Nutzungsbedingungen geht dieser Vertrag in Fragen des Datenschutzes vor. Fassung 2026-10.
Stand: September 2026