Zum Inhalt springen
HilfeAnmelden

Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO · Stand 15. November 2026

Dieser Vertrag wird zwischen dem Kunden (Verein bzw. Tennisschule) als Verantwortlichem und Holger Müller-Martin, Donaustraße 20, 64646 Heppenheim als Auftragsverarbeiter geschlossen. Er kommt elektronisch zustande, wenn der Kunde beim Anlegen des Vereins zustimmt (Art. 28 Abs. 9 DSGVO). Zeitpunkt und Fassung der Zustimmung werden gespeichert.

§ 1 Gegenstand und Dauer

  1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter bei der Bereitstellung der Software Tennli gemäß den AGB (Hauptvertrag).
  2. Die Dauer entspricht der Laufzeit des Hauptvertrags. Regelungen zur Löschung (§ 9) gelten darüber hinaus.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck: Organisation des Trainings- und Angebotsbetriebs des Verantwortlichen – Anmeldungen, Saisonplanung, Camps und Kurse, Benachrichtigungen, Kommunikation mit Eltern und Trainern, Exporte.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Anzeigen, Übermitteln per E-Mail, Berechnen von Planvorschlägen, Exportieren und Löschen.

Kategorien betroffener Personen: Kinder und Jugendliche (Spielerinnen und Spieler), Eltern bzw. Sorgeberechtigte, Trainerinnen und Trainer, Vereinsmitarbeitende (Vereinsadmin, Jugendwart).

Kategorien personenbezogener Daten:

  • Stammdaten: Name, Geburtsdatum, Mitgliedsnummer, Leistungsklasse, Bewertung durch Trainer (falls vom Verein aktiviert)
  • Kontaktdaten: E-Mail-Adresse, optional Telefonnummer
  • Organisationsdaten: Wunschzeiten, Verfügbarkeiten, Abwesenheiten, Gruppenzuordnungen, Termine, Abmeldungen, Camp-Anmeldungen, Beitragsdaten (Häufigkeit, Monatsbeitrag)
  • Kommunikation: Nachrichten des Vereins an Eltern und Trainer
  • Bilder und Dokumente: Profilbilder und Ausbildungsnachweise von Trainern
  • Besondere Kategorien (Art. 9 DSGVO): optional Angaben zu Allergien und gesundheitlichen Besonderheiten von Kindern bei Camp-Anmeldungen

§ 3 Weisungen

  1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind dieser Vertrag, die Einstellungen und Aktionen des Verantwortlichen in der Software sowie ergänzende Weisungen in Textform.
  2. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Verantwortlichen unverzüglich darauf hin.
  3. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Ausgenommen sind anonyme, nicht auf Personen beziehbare Nutzungsstatistiken zur Verbesserung des Dienstes (z. B. Anzahl der Planungsläufe).

§ 4 Pflichten des Auftragsverarbeiters

  1. Der Auftragsverarbeiter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.
  2. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.
  3. Er unterstützt den Verantwortlichen bei der Erfüllung der Rechte der betroffenen Personen (Art. 12–23 DSGVO), insbesondere durch die Export- und Löschfunktionen der Software, sowie bei den Pflichten nach Art. 32–36 DSGVO.
  4. Zugriffe des Auftragsverarbeiters auf die Daten des Verantwortlichen (z. B. im Rahmen des Supports) erfolgen nur, soweit dies für den Betrieb, die Fehlerbehebung oder auf Anfrage des Verantwortlichen erforderlich ist. Solche Zugriffe werden im Änderungsprotokoll des Vereins vermerkt.

§ 5 Unterauftragsverarbeiter

  1. Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.
  2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vorher per E-Mail über beabsichtigte Änderungen. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist eine Einigung nicht möglich, kann er den Hauptvertrag außerordentlich kündigen.
  3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau.

§ 6 Übermittlung in Drittländer

Die Daten werden in Rechenzentren in der Europäischen Union gespeichert. Soweit Unterauftragsverarbeiter mit Sitz außerhalb der EU Zugriff erhalten können, ist dies durch geeignete Garantien nach Art. 44 ff. DSGVO abgesichert (EU-Standardvertragsklauseln bzw. Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework).

§ 7 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie bekannt sind, und wird bei Bedarf ergänzt.

§ 8 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung. Kontrollen vor Ort sind nach rechtzeitiger Anmeldung, zu üblichen Geschäftszeiten und ohne Störung des Betriebs möglich; vorrangig erfolgt der Nachweis durch schriftliche Auskünfte und Dokumentation.

§ 9 Löschung und Rückgabe

  1. Während der Laufzeit kann der Verantwortliche Daten jederzeit selbst exportieren und löschen.
  2. Nach Ende des Hauptvertrags löscht der Auftragsverarbeiter alle Daten des Verantwortlichen innerhalb von 90 Tagen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Wunsch stellt er vorher einen Export bereit. Datensicherungen beim Datenbankanbieter werden im Rahmen der üblichen Rotationszyklen überschrieben.

§ 10 Haftung und Schlussbestimmungen

  1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.
  2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag vor, soweit es um den Schutz personenbezogener Daten geht.
  3. Änderungen dieses Vertrags werden wie Änderungen der AGB mitgeteilt.

---

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

  • Zutrittskontrolle: Betrieb ausschließlich in professionellen, zertifizierten Rechenzentren der Unterauftragsverarbeiter; keine eigenen Server.
  • Zugangskontrolle: Anmeldung nur mit persönlichem Konto und bestätigter E-Mail-Adresse; Passwörter mindestens 10 Zeichen, gespeichert als scrypt-Hash; Sitzungsschlüssel nur als Hash gespeichert; Begrenzung von Anmeldeversuchen; keine Preisgabe, ob ein Konto existiert.
  • Zugriffskontrolle: Rollenkonzept (Vereinsadmin, Jugendwart/Planer, Trainer, Eltern); jede Berechtigung wird bei jeder Aktion serverseitig geprüft; Eltern sehen nur eigene Kinder, Trainer nur eigene Gruppen; Gesundheitsangaben nur für Vereinsadmin und Jugendwart.
  • Trennungskontrolle: Strikte Mandantentrennung – jede Datenbankabfrage ist auf den jeweiligen Verein beschränkt; abgesichert durch automatisierte Tests.
  • Pseudonymisierung: Die automatische Planung erhält nur interne Kennungen, Zeiten und Kriterien, keine Namen; technische Protokolle enthalten keine Kinderdaten; IP-Adressen werden für den Missbrauchsschutz nur gehasht gespeichert.

Integrität

  • Weitergabekontrolle: Verschlüsselte Übertragung (TLS, HSTS); Downloads persönlicher Daten nur nach Anmeldung und Berechtigungsprüfung, keine offenen Download-Links; Kalender-Abos über geheime, widerrufbare Tokens.
  • Eingabekontrolle: Änderungsprotokoll für wesentliche Aktionen (u. a. Exporte, Rollenänderungen, Veröffentlichungen, Zugriffe des Anbieters).
  • Schutz der Anwendung: Content-Security-Policy, Schutz vor Einbettung in fremde Seiten, Prüfung hochgeladener Dateien (Typ, Größe), Entfernung von Bild-Metadaten.

Verfügbarkeit und Belastbarkeit

  • Datensicherung und Wiederherstellung durch den Datenbankanbieter; redundante Infrastruktur der Hosting-Anbieter.
  • Planungsläufe mit Zeitbegrenzung und Fehlerbehandlung; ein fehlgeschlagener Lauf verändert keine bestehenden Pläne.
  • Exportfunktionen für den Verantwortlichen (CSV, PDF, Kalenderdatei, JSON-Datenauskunft).

Verfahren zur regelmäßigen Überprüfung

  • Automatisierte Tests für Berechtigungen und Mandantentrennung bei jeder Änderung.
  • Regelmäßige Aktualisierung der eingesetzten Software-Bibliotheken.
  • Datenschutzfreundliche Voreinstellungen (z. B. Löschfrist für Verfügbarkeiten, Standard 24 Monate nach Saisonende).

Anlage 2 – Unterauftragsverarbeiter

  1. Vercel Inc., San Francisco, USA – Hosting der Anwendung und der Planungsberechnung (Serverstandort Frankfurt am Main), Auslieferung der Website. Verarbeitung in der EU; Zugriffe aus den USA möglich – abgesichert durch EU-Standardvertragsklauseln und die Zertifizierung nach dem EU-U.S. Data Privacy Framework.
  2. Neon Inc., USA – Betrieb der Datenbank (Rechenzentrum in der EU). Speicherung in der EU; Zugriffe aus den USA möglich – abgesichert durch EU-Standardvertragsklauseln.
  3. ALL-INKL.COM – Neue Medien Münnich, Friedersdorf, Deutschland – Versand von System-E-Mails (z. B. Bestätigungen, Einladungen, Planänderungen) und Postfach des Supports. Verarbeitung in Deutschland.
  4. Stripe Payments Europe, Ltd., Dublin, Irland – Zahlungsabwicklung für kostenpflichtige Tarife (nur Daten des zahlenden Vereins, keine Daten von Kindern oder Eltern). Verarbeitung in der EU; Übermittlung an Stripe, Inc. (USA) abgesichert durch EU-Standardvertragsklauseln und das EU-U.S. Data Privacy Framework.

Stand: 15. November 2026