Auftragsverarbeitung

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag

Der Vertrag wird dem Veranstalter vor der Anlage seines Veranstalter-Zugangs vorgelegt und elektronisch geschlossen; Art. 28 Abs. 9 DSGVO lässt das elektronische Format ausdrücklich zu. Ohne geschlossenen Vertrag wird kein Veranstalter-Zugang angelegt — ab der ersten Online-Meldung verarbeitet Kür Daten von Kindern im Auftrag des Veranstalters.

zwischen

und

§ 1 Gegenstand und Dauer

1. Der Auftragsverarbeiter betreibt für den Verantwortlichen die Online-Plattform „Kür" (Eventseite, Online-Meldung, Musik-Einsammlung, Wettkampf-Planung, Veröffentlichung von Startlisten und Ergebnissen). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.

2. Nicht Gegenstand dieses Vertrags ist die lokal installierte Wettkampf-Software „Kür" (Desktop-App). Sie läuft ausschließlich auf Geräten des Verantwortlichen; die dort am Wettkampftag verarbeiteten Daten (Wertungen, Startlisten, Musik) liegen in der Hoheit des Verantwortlichen. Der Auftragsverarbeiter erhält auf diese lokalen Daten keinen Zugriff. Überträgt der Verantwortliche Daten aus der App bewusst in die Plattform (Veröffentlichung, Cloud-Sicherung), gilt dieser Vertrag für die übertragenen Daten.

3. Der Vertrag gilt für die Dauer der Nutzungsvereinbarung über die Plattform und endet mit ihr.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. Zwecke: Entgegennahme und Verwaltung von Wettkampfmeldungen, Entgegennahme von Kürmusik-Dateien, Darstellung der Eventseite, Veröffentlichung von Startlisten und Ergebnissen nach Freigabe durch den Verantwortlichen, Versand von Meldebestätigungen, Übergabe des Planungsstands an die Wettkampf-Software des Verantwortlichen, Cloud-Sicherung von Wettkampfständen.

2. Art der Verarbeitung: Erheben, Speichern, Übermitteln an den Verantwortlichen, Veröffentlichen (nur nach Freigabe), Löschen.

§ 3 Kategorien betroffener Personen

• Teilnehmerinnen (Turnerinnen), überwiegend Minderjährige
• Sorgeberechtigte und meldende Personen (Trainerinnen und Trainer, Vertreterinnen und Vertreter der meldenden Vereine)
• Mitarbeitende des Verantwortlichen mit Plattform-Zugang

§ 4 Kategorien personenbezogener Daten

• Name, Geburtsjahr, Verein, Wettkampfkategorie und Gerätewahl der Teilnehmerinnen
• Kontaktdaten der meldenden Person (E-Mail-Adresse)
• Kürmusik-Dateien (je Teilnehmerin und Gerät)
• Einwilligungsvermerke der Sorgeberechtigten (Zeitpunkt der Erklärung)
• Startlisten, Ergebnisse und Wertungsunterlagen, soweit der Verantwortliche sie in die Plattform überträgt
• Konto- und Anmeldedaten der Portal-Nutzer (E-Mail, Passwort-Hash beim Unterauftragsverarbeiter)

Besondere Kategorien nach Art. 9 DSGVO werden planmäßig nicht verarbeitet. Der Verantwortliche stellt sicher, dass in Freitextfeldern keine Gesundheits- oder sonstigen Art.-9-Daten erfasst werden.

§ 5 Pflichten des Auftragsverarbeiters

1. Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a). Die Nutzung der Plattform-Funktionen durch den Verantwortlichen gilt als Weisung.

2. Vertraulichkeit: Personen mit Datenzugriff sind zur Vertraulichkeit verpflichtet.

3. Technische und organisatorische Maßnahmen gemäß Anlage 1; wesentliche Änderungen werden dem Verantwortlichen mitgeteilt, das Schutzniveau darf nicht unterschritten werden.

4. Unterstützung des Verantwortlichen bei Betroffenenrechten (Art. 12–23), bei der Sicherheit der Verarbeitung (Art. 32) und bei Meldepflichten (Art. 33, 34).

5. Meldung jeder Verletzung des Schutzes personenbezogener Daten an den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3.

6. Nach Abschluss der Leistung: Löschung oder Rückgabe aller Auftragsdaten nach Wahl des Verantwortlichen (§ 8), soweit keine gesetzliche Aufbewahrungspflicht besteht.

7. Nachweis- und Kontrollrechte: Der Auftragsverarbeiter stellt alle für den Nachweis nach Art. 28 Abs. 3 lit. h erforderlichen Informationen bereit. Kontrollen erfolgen vorrangig durch Auskünfte und vorhandene Nachweise (z. B. Zugriffsprotokoll, Prüfberichte der Unterauftragsverarbeiter); Vor-Ort-Kontrollen nach angemessener Vorankündigung.

§ 6 Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Einholung erforderlicher Einwilligungen der Sorgeberechtigten (die Plattform erfasst die Einwilligung an der Meldung; ob sie inhaltlich genügt, verantwortet der Veranstalter).

2. Der Verantwortliche entscheidet über jede Veröffentlichung (Startliste, Ergebnisse) selbst; die Plattform veröffentlicht nichts ohne seinen ausdrücklichen Schritt.

3. Der Verantwortliche pflegt seine eigenen Pflichtangaben (Impressum, Datenschutzhinweise) auf der Eventseite, sobald die Plattform die Felder dafür bereitstellt.

§ 7 Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt die in Anlage 2 aufgeführten Unterauftragsverarbeiter (allgemeine Genehmigung nach Art. 28 Abs. 2 Satz 2).

2. Beabsichtigte Änderungen zeigt der Auftragsverarbeiter mindestens 30 Tage vorher in Textform an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, darf er außerordentlich kündigen.

3. Mit jedem Unterauftragsverarbeiter besteht ein Vertrag nach Art. 28 Abs. 4.

§ 8 Löschung und Rückgabe

1. Der Verantwortliche kann seine Wettkampfdaten selbst aus der Plattform entfernen („Vom Netz nehmen" — entfernt Meldungen, Startlisten, Veröffentlichungen, Wettkampfstände, Wertungsunterlagen sowie Musik- und Dokumentdateien dieses Wettkampfs). Ist der Zugang des Verantwortlichen gesperrt (etwa wegen Zahlungsverzugs), steht dieser Selbstbedienungsweg nicht zur Verfügung; die Löschung erfolgt dann auf Verlangen durch den Auftragsverarbeiter unverzüglich, spätestens innerhalb von 14 Tagen nach Zugang des Verlangens. Das Recht auf Löschung nach Art. 17 DSGVO bleibt von einer Sperrung unberührt.

2. Bei Vertragsende löscht der Auftragsverarbeiter alle verbliebenen Auftragsdaten des Verantwortlichen innerhalb von 30 Tagen nach Vertragsende, sofern der Verantwortliche nicht vorher die Rückgabe (Datenexport) verlangt.

3. Vom Löschumfang ausgenommen sind Nachweisdaten, die der Auftragsverarbeiter zur Erfüllung eigener rechtlicher Pflichten führt (z. B. das Zugriffsprotokoll über Meldedaten-Abrufe, das keine Meldeinhalte enthält).

§ 9 Haftung, Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen die Regelungen des Hauptvertrags.

2. Änderungen und Ergänzungen bedürfen der Textform.

3. Es gilt deutsches Recht.

4. Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Als Abschluss gelten die Zustimmung des Verantwortlichen beim Anlegen seines Veranstalter-Zugangs und die Bereitstellung dieser Fassung durch den Auftragsverarbeiter. Zeitpunkt der Zustimmung, Fassung und die Angaben des Verantwortlichen werden gespeichert und ihm auf Verlangen als Nachweis bereitgestellt; einer eigenhändigen Unterschrift bedarf es nicht.

Anlage 1 — Technische und organisatorische Maßnahmen

Diese Anlage nennt ausschließlich Maßnahmen, die am 31.07.2026 im System nachweisbar umgesetzt sind (am Code und an der Live-Datenbank geprüft). Geplante Maßnahmen stehen getrennt am Ende und werden nicht zugesichert.

1. Zugriffskontrolle und Mandantentrennung

• Zeilenbasierte Zugriffskontrolle (Row Level Security) auf jeder Datentabelle. Tabellen ohne ausdrückliche Freigaberegel sind für Anwendungszugänge vollständig gesperrt; das gilt insbesondere für die Verwaltungstabellen (Kunden, Lizenzen, Aktivierungen, Gerätekonten, Zugriffsprotokoll).
• Mandantentrennung: Jede wettkampfbezogene Zeile trägt die Kennung ihres Veranstalters. Zugriff besteht nur über eine geprüfte Mitgliedschaft beim jeweiligen Veranstalter. Die Zuordnung neuer Meldungen setzt der Server selbst aus der Ausschreibung; ein vom Client mitgeschickter Wert wird überschrieben und kann die Zuordnung nicht fälschen.
• Meldedaten sind nicht frei abfragbar. Weder anonyme noch angemeldete Nutzer können Meldelisten lesen; Trainer sehen ausschließlich ihre eigenen Meldungen. Der Veranstalter und die Wettkampf-Software erhalten Meldedaten nur über Serverfunktionen, die die Berechtigung prüfen, die Felder auf das Nötige begrenzen und jeden Abruf protokollieren.

2. Gerätegebundene Zugänge statt Generalschlüssel

• Jedes aktivierte Gerät der Wettkampf-Software erhält ein eigenes technisches Konto mit auf den Veranstalter begrenzten Rechten. Das Konto wird mit einem Einmal-Passwort erzeugt, das sofort gegen eine Sitzung getauscht und nirgends gespeichert wird; im Geräteregister liegt kein Geheimnis.
• Beim Abmelden eines Geräts wird sein Konto gelöscht; damit erlischt sein Zugang.
• Der frühere Vollzugriffs-Schlüssel wurde rotiert und wird an Geräte im Regelfall nicht mehr ausgeliefert. Einschränkung: Für den Übergang existiert ein Rückfallweg, der bei fehlgeschlagener Kontoanlage noch einen Vollzugriffs-Schlüssel ausliefert; er wird vor der Aufnahme weiterer Veranstalter geschlossen (siehe „Geplant").

3. Protokollierung

• Zugriffsprotokoll über Meldedaten: Jeder Abruf von Meldedaten durch Veranstalter oder Wettkampf-Software wird festgehalten — wer, wann, welcher Wettkampf, wie viele Datensätze. Das Protokoll enthält bewusst keine Inhalte (keine Namen, keine Meldedaten) und überlebt die Löschung des abrufenden Kontos, damit die Spur des Zugriffs nicht mit dem Konto verschwindet. Es ist für Anwendungszugänge unveränderbar (nur der Betreiber liest und schreibt es).

4. Übertragung und Speicherung

• Alle Verbindungen sind TLS-verschlüsselt (HTTPS).
• Datenhaltung beim Unterauftragsverarbeiter Supabase in der EU-Region Frankfurt (eu-central-1).
• Kürmusik liegt in einem nicht öffentlichen Speicherbereich. Der Abruf durch die Wettkampf-Software läuft über kurzlebige, signierte Adressen, die eine Serverfunktion nur nach Berechtigungsprüfung ausstellt.
• Gestufte Öffentlichkeit: Die Eventseite zeigt zunächst nur die Ausschreibung und Meldezähler. Namen erscheinen erst, wenn der Veranstalter Startliste bzw. Ergebnisse durch einen bewussten, eigenen Schritt veröffentlicht.

5. Löschwege

• Selbstlöschung: Jeder Portal-Nutzer kann sein Konto selbst löschen (Art. 17). Dabei werden offene Meldungen, Profil, Verein, Athletinnen-Bestand und die Musikdateien im Speicher entfernt. Meldungen aus bereits übernommenen (eingefrorenen) Wettkämpfen bleiben als Wettkampfunterlage des Veranstalters bestehen und werden vom Konto entkoppelt.
• Datenexport: Jeder Portal-Nutzer kann seine Daten selbst als Datei exportieren (Art. 15/20).
• Papierkorb mit fester Frist: Aus dem Athletinnen-Bestand Gelöschtes liegt 30 Tage im Papierkorb; ein täglicher automatischer Lauf löscht endgültig.
• „Vom Netz nehmen": Der Veranstalter kann einen Wettkampf vollständig aus der Plattform entfernen; der Löschlauf umfasst alle sieben wettkampfbezogenen Tabellen einschließlich der Cloud-Sicherung sowie Musik- und Dokumentdateien und prüft den Erfolg anhand der tatsächlich gelöschten Zeilen (nicht nur anhand einer Erfolgsmeldung).

6. Verfügbarkeit und Integrität

• Der Wettkampftag hängt nicht an der Plattform. Die Wettkampf-Software arbeitet lokal und offline; ein Ausfall der Plattform kann einen laufenden Wettkampf nicht stoppen.
• Signierte Software-Auslieferung: Updates der Wettkampf-Software sind kryptographisch signiert (Ed25519) und werden vor der Installation lokal geprüft.

7. Datensparsamkeit

• Die Online-Meldung ist ohne Kontozwang möglich; erhoben wird nur, was für die Meldung nötig ist (Name, Geburtsjahr, Verein, Kategorie, Gerätewahl, Kontakt-E-Mail der meldenden Person).
• Technische Gerätekonten führen keine Klarnamen und keine erreichbaren E-Mail-Adressen.

Geplant bzw. offen — wird nicht zugesichert

• Abweisen kompromittierter Passwörter (Prüfung gegen bekannte Passwort-Lecks): Schalter beim Unterauftragsverarbeiter vorhanden, derzeit nicht aktiviert.
• Zwei-Faktor-Anmeldung und Anmelde-Ratenbegrenzung für Veranstalter-Konten.
• Automatische Aufbewahrungsfristen (z. B. für das Zugriffsprotokoll, nie abgeholte Planungsstände, Wettkampfdaten nach Saisonende) — Löschung erfolgt heute auf Anstoß, nicht nach Frist.
• Schließen des Übergangs-Rückfallwegs aus Abschnitt 2.

Anlage 2 — Unterauftragsverarbeiter

Änderungen dieser Liste werden nach § 7 mit 30 Tagen Vorlauf angekündigt; die jeweils aktuelle Liste wird öffentlich einsehbar gehalten.

Anlage 3 — Übermittlung in Drittländer

1. Die Wettkampf- und Meldedaten liegen in der Europäischen Union (Supabase, Region Frankfurt). Eine Übermittlung in die USA findet statt, soweit die in Anlage 2 genannten Anbieter dort ihren Sitz haben und im Rahmen ihrer Leistung auf Daten zugreifen können — beim Versand von Meldebestätigungen zusätzlich in Form der übermittelten E-Mail-Inhalte.

2. Für jede dieser Übermittlungen bestehen geeignete Garantien nach Art. 46 Abs. 2 lit. c DSGVO: die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914), vereinbart in den in Anlage 2 verlinkten Auftragsverarbeitungsverträgen. Vercel Inc. und Resend, Inc. sind darüber hinaus unter dem EU-US Data Privacy Framework zertifiziert; für zertifizierte Unternehmen besteht ein Angemessenheitsbeschluss der Kommission vom 10.07.2023. Entfällt der Angemessenheitsbeschluss, tragen die Standardvertragsklauseln die Übermittlung weiter.

3. Der Auftragsverarbeiter hat die Wirksamkeit dieser Garantien geprüft und dokumentiert; die Prüfung wird dem Verantwortlichen auf Verlangen bereitgestellt. Der Verantwortliche kann die aktuellen Verträge der Unterauftragsverarbeiter jederzeit über die Verweise in Anlage 2 einsehen.

4. Der Auftragsverarbeiter richtet die Verarbeitung so ein, dass möglichst wenig Daten das Gebiet der Europäischen Union verlassen: Meldedaten, Musikdateien und Wettkampfstände werden ausschließlich in der EU gespeichert; die Auslieferung der Seiten erfolgt ohne Meldedaten, und Meldebestätigungen enthalten keine Angaben zu Dritten.

Fassung vom 07.08.2026 · Nutzungsbedingungen · Datenschutz · Impressum