Auftragsverarbeitung

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag

zwischen

und

§ 1 Gegenstand und Dauer

1. Der Auftragsverarbeiter betreibt für den Verantwortlichen die Online-Plattform „Kür“: Eventseite und Online-Meldung, das Einsammeln von Kürmusik und Zusatzformularen, die Wettkampf-Planung im Kür Event Manager sowie die Veröffentlichung von Meldelisten, Startlisten und Ergebnissen. Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.

2. Nicht Gegenstand dieses Vertrags ist die Kür App, die der Verantwortliche auf eigenen Geräten installiert. Die dort am Wettkampftag verarbeiteten Daten (Wertungen, Startlisten, Musik) liegen in seiner Hoheit; der Auftragsverarbeiter hat darauf keinen Zugriff. Überträgt der Verantwortliche Daten aus der App in die Plattform (Veröffentlichung, Sicherung), gilt dieser Vertrag für die übertragenen Daten.

3. Der Vertrag gilt für die Dauer der Nutzungsvereinbarung über die Plattform und endet mit ihr.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. Zwecke: Entgegennahme und Verwaltung von Wettkampfmeldungen, von Meldungen der Kampfrichterinnen und weiterer Funktionspersonen, von Kürmusik-Dateien und Antworten auf Zusatzformulare; Darstellung der Eventseite; Veröffentlichung von Meldelisten, Startlisten und Ergebnissen nach § 6 Abs. 2; Versand von Meldebestätigungen; Übergabe des Planungsstands an die Kür App des Verantwortlichen; Sicherung von Wettkampfständen.

2. Art der Verarbeitung: Erheben, Speichern, Übermitteln an den Verantwortlichen, Veröffentlichen, Löschen.

§ 3 Kategorien betroffener Personen

• Teilnehmerinnen (Gymnastinnen), überwiegend Minderjährige
• Sorgeberechtigte und meldende Personen (Trainerinnen und Trainer, Vertreterinnen und Vertreter der meldenden Vereine)
• Kampfrichterinnen und Kampfrichter sowie weitere gemeldete Funktionspersonen
• Mitarbeitende des Verantwortlichen mit Plattform-Zugang

§ 4 Kategorien personenbezogener Daten

• Name, Geburtsjahr, Verein, Land, Wettkampfkategorie und Gerätewahl der Teilnehmerinnen sowie der Wunsch, nur mit Kurznamen veröffentlicht zu werden
• Name, Verein, Land und E-Mail-Adresse gemeldeter Funktionspersonen, bei Kampfrichterinnen und Kampfrichtern zusätzlich ihre Qualifikation
• Kontaktdaten der meldenden Person (E-Mail-Adresse)
• Kontaktdaten des meldenden Vereins (E-Mail-Adresse; auf dessen Wunsch zusätzlich Telefon, Anschrift und Ansprechpartner), damit der Verantwortliche den Verein zu seinem Wettkampf erreichen kann
• Kürmusik-Dateien (je Teilnehmerin und Gerät)
• Antworten auf Zusatzformulare des Verantwortlichen samt hochgeladener Dateien
• Einwilligungsvermerke der Sorgeberechtigten (Zeitpunkt der Erklärung)
• Startlisten, Ergebnisse und Wertungsunterlagen, soweit der Verantwortliche sie in die Plattform überträgt
• Konto- und Anmeldedaten der Portal-Nutzer (E-Mail-Adresse, Passwort nur als Hash)

Besondere Kategorien nach Art. 9 DSGVO werden planmäßig nicht verarbeitet. Der Verantwortliche stellt sicher, dass in Freitextfeldern keine Gesundheits- oder sonstigen Art.-9-Daten erfasst werden.

§ 5 Pflichten des Auftragsverarbeiters

1. Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a). Die Nutzung der Plattform-Funktionen durch den Verantwortlichen gilt als Weisung.

2. Vertraulichkeit: Personen mit Datenzugriff sind zur Vertraulichkeit verpflichtet.

3. Technische und organisatorische Maßnahmen gemäß Anlage 1; wesentliche Änderungen werden dem Verantwortlichen mitgeteilt, das Schutzniveau darf nicht unterschritten werden.

4. Unterstützung des Verantwortlichen bei Betroffenenrechten (Art. 12–23), bei der Sicherheit der Verarbeitung (Art. 32) und bei Meldepflichten (Art. 33, 34).

5. Meldung jeder Verletzung des Schutzes personenbezogener Daten an den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3.

6. Nach Abschluss der Leistung: Löschung oder Rückgabe aller Auftragsdaten nach Wahl des Verantwortlichen (§ 8), soweit keine gesetzliche Aufbewahrungspflicht besteht.

7. Nachweis- und Kontrollrechte: Der Auftragsverarbeiter stellt alle für den Nachweis nach Art. 28 Abs. 3 lit. h erforderlichen Informationen bereit. Kontrollen erfolgen vorrangig durch Auskünfte und vorhandene Nachweise (z. B. Zugriffsprotokoll, Prüfberichte der Unterauftragsverarbeiter); Vor-Ort-Kontrollen nach angemessener Vorankündigung.

§ 6 Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Einholung erforderlicher Einwilligungen der Sorgeberechtigten (die Plattform erfasst die Einwilligung an der Meldung; ob sie inhaltlich genügt, verantwortet der Veranstalter).

2. Der Verantwortliche entscheidet, ob er Eventseite und Online-Meldung öffnet und ob er Startliste und Ergebnisse veröffentlicht. Bei geöffneter Online-Meldung zeigt die Eventseite eine Meldeliste in gekürzter Form (Anlage 1 Ziffer 3); vollständige Namen und Ergebnisse veröffentlicht die Plattform nur nach einem ausdrücklichen Schritt des Verantwortlichen.

3. Der Verantwortliche hinterlegt für jede Eventseite seine eigenen Pflichtangaben (Impressum, Datenschutzhinweise); die Online-Meldung lässt sich erst öffnen, wenn sie vollständig sind.

§ 7 Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt die in Anlage 2 aufgeführten Unterauftragsverarbeiter (allgemeine Genehmigung nach Art. 28 Abs. 2 Satz 2).

2. Beabsichtigte Änderungen zeigt der Auftragsverarbeiter mindestens 30 Tage vorher in Textform an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, darf er außerordentlich kündigen.

3. Mit jedem Unterauftragsverarbeiter besteht ein Vertrag nach Art. 28 Abs. 4.

§ 8 Löschung und Rückgabe

1. Der Verantwortliche kann seine Wettkampfdaten selbst aus der Plattform entfernen („Vom Netz nehmen" — entfernt Meldungen, Startlisten, Veröffentlichungen, Wettkampfstände, Wertungsunterlagen sowie Musik- und Dokumentdateien dieses Wettkampfs). Ist der Zugang des Verantwortlichen gesperrt (etwa wegen Zahlungsverzugs), steht dieser Selbstbedienungsweg nicht zur Verfügung; die Löschung erfolgt dann auf Verlangen durch den Auftragsverarbeiter unverzüglich, spätestens innerhalb von 14 Tagen nach Zugang des Verlangens. Das Recht auf Löschung nach Art. 17 DSGVO bleibt von einer Sperrung unberührt.

2. Unabhängig davon löscht der Auftragsverarbeiter Meldungen, Antworten auf Zusatzformulare samt hochgeladener Dateien, Kürmusik und Einzelwertungsbögen eines Wettkampfs automatisch spätestens 90 Tage nach dessen letztem Wettkampftag (Anlage 1 Ziffer 6). Die vom Verantwortlichen veröffentlichten Inhalte (Eventseite, Startlisten, Ergebnislisten) bleiben bis zu seinem „Vom Netz nehmen" bestehen.

3. Bei Vertragsende löscht der Auftragsverarbeiter alle verbliebenen Auftragsdaten des Verantwortlichen innerhalb von 30 Tagen nach Vertragsende, sofern der Verantwortliche nicht vorher die Rückgabe (Datenexport) verlangt.

4. Vom Löschumfang ausgenommen sind Nachweisdaten, die der Auftragsverarbeiter zur Erfüllung eigener rechtlicher Pflichten führt (z. B. das Zugriffsprotokoll über Meldedaten-Abrufe, das keine Meldeinhalte enthält).

§ 9 Haftung, Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen die Regelungen des Hauptvertrags.

2. Änderungen und Ergänzungen bedürfen der Textform.

3. Es gilt deutsches Recht.

4. Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Als Abschluss gelten die Zustimmung des Verantwortlichen beim Anlegen seines Veranstalter-Zugangs und die Bereitstellung dieser Fassung durch den Auftragsverarbeiter. Zeitpunkt der Zustimmung, Fassung und die Angaben des Verantwortlichen werden gespeichert und ihm auf Verlangen als Nachweis bereitgestellt; einer eigenhändigen Unterschrift bedarf es nicht.

Anlage 1 — Technische und organisatorische Maßnahmen

Die Maßnahmen beschreiben den Stand zum Fassungsdatum. Wesentliche Änderungen teilt der Auftragsverarbeiter mit; das Schutzniveau wird nicht unterschritten (§ 5 Abs. 3).

1. Anmeldung und Konten

• Jede Person meldet sich mit einem eigenen Konto an. Passwörter brauchen mindestens 12 Zeichen mit Groß- und Kleinbuchstaben und Ziffern; beim Festlegen werden sie mit bekannten Passwort-Lecks abgeglichen, betroffene Passwörter werden abgelehnt.
• Eine Zwei-Faktor-Anmeldung mit einer Authenticator-App steht für jedes Konto zur Verfügung.
• Eine neue E-Mail-Adresse gilt erst, wenn die alte und die neue Adresse den Wechsel bestätigt haben.
• Anmeldung, Registrierung und E-Mail-Versand sind gegen massenhafte Versuche begrenzt.

2. Zugriff und Trennung der Veranstalter

• Jeder Veranstalter sieht und bearbeitet ausschließlich die Daten seiner eigenen Wettkämpfe. Diese Trennung setzt die Datenbank selbst durch, nicht erst die Oberfläche.
• Meldende Personen sehen nur ihre eigenen Meldungen. Meldedaten sind nicht öffentlich abrufbar; der Verantwortliche und seine Kür App erhalten sie über Abrufe, die die Berechtigung prüfen und nur die nötigen Angaben liefern.
• Jedes Gerät, auf dem der Verantwortliche die Kür App aktiviert, erhält einen eigenen, auf ihn beschränkten Zugang; mit dem Abmelden des Geräts erlischt er.
• Interne Verwaltungsdaten des Auftragsverarbeiters (Kundenkonten, Lizenzen, Protokolle) sind für Plattform-Nutzer nicht zugänglich.

3. Veröffentlichung

• Bei geöffneter Online-Meldung zeigt die Eventseite neben der Ausschreibung die Meldezahlen und je Kategorie eine Meldeliste mit abgekürztem Vornamen, Nachnamen, Verein und Land.
• Vollständige Namen erscheinen erst mit der Startliste, Ergebnisse erst mit der Freigabe durch den Verantwortlichen. Wer bei der Meldung „Nur Kurzname veröffentlichen“ wählt, erscheint auch dort nur mit dem Anfangsbuchstaben des Vornamens.

4. Protokollierung

• Jeder Abruf von Meldedaten durch den Verantwortlichen oder seine Kür App wird protokolliert: wer, wann, welcher Wettkampf, wie viele Datensätze. Das Protokoll enthält keine Meldeinhalte, bleibt auch nach der Löschung des abrufenden Kontos erhalten, kann von Plattform-Nutzern nicht verändert werden und wird nach 365 Tagen gelöscht.

5. Übertragung und Speicherung

• Alle Verbindungen sind verschlüsselt (TLS).
• Datenbank, Konten und Dateien liegen in der EU (Frankfurt am Main). Dort laufen auch die Serverfunktionen des Kür Event Managers.
• Kürmusik und Dateien aus Zusatzformularen liegen in nicht öffentlichen Speicherbereichen. Abgerufen werden sie nur über zeitlich begrenzte Links, die nach einer Berechtigungsprüfung ausgestellt werden.

6. Löschung

• Der Verantwortliche kann einen Wettkampf jederzeit selbst vollständig von der Plattform nehmen — mit Meldungen, Veröffentlichungen, Sicherungen, Musik und Dokumenten.
• Meldungen, Antworten auf Zusatzformulare samt Dateien, Kürmusik und Einzelwertungsbögen werden automatisch spätestens 90 Tage nach dem letzten Wettkampftag gelöscht; jeder Löschlauf wird protokolliert. Veröffentlichte Inhalte bleiben bis zum „Vom Netz nehmen" (§ 8 Abs. 2).
• Portal-Nutzer können ihr Konto selbst löschen und ihre Daten als Datei exportieren (Art. 15, 17, 20). Mit dem Konto werden offene Meldungen, Profil, Verein, Athletinnen-Bestand und Musikdateien entfernt. Meldungen, die ein Veranstalter bereits übernommen hat, bleiben dort als seine Wettkampfunterlage, ebenso die mit ihnen übermittelten Kontaktdaten des Vereins (Ziffer 4.5 der Nutzungsbedingungen).
• Aus dem Athletinnen-Bestand Gelöschtes liegt 30 Tage im Papierkorb und wird dann endgültig entfernt.

7. Verfügbarkeit und Integrität

• Der Wettkampftag hängt nicht an der Plattform: Die Kür App arbeitet lokal und ohne Internet; ein Ausfall der Plattform hält keinen laufenden Wettkampf an.
• Updates der Kür App sind digital signiert und werden vor der Installation geprüft.

8. Datensparsamkeit

• Die Online-Meldung ist ohne Konto möglich; erhoben wird nur, was für die Meldung nötig ist.
• Gerätezugänge führen keine Klarnamen und keine erreichbaren E-Mail-Adressen.

Anlage 2 — Unterauftragsverarbeiter

Änderungen dieser Liste werden nach § 7 mit 30 Tagen Vorlauf angekündigt; die jeweils aktuelle Liste wird öffentlich einsehbar gehalten.

Anlage 3 — Übermittlung in Drittländer

1. Die Wettkampf- und Meldedaten werden in der Europäischen Union gespeichert (Supabase, Frankfurt am Main). In die USA gelangen Daten, soweit die in Anlage 2 genannten Anbieter dort ihren Sitz haben und im Rahmen ihrer Leistung auf Daten zugreifen können, außerdem bei der weltweiten Auslieferung veröffentlichter Inhalte (Meldelisten, Startlisten, Ergebnisse) und beim E-Mail-Versand (Inhalt der jeweiligen E-Mail).

2. Für jede dieser Übermittlungen bestehen geeignete Garantien nach Art. 46 Abs. 2 lit. c DSGVO: die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914), vereinbart in den in Anlage 2 verlinkten Auftragsverarbeitungsverträgen. Vercel Inc. und Resend, Inc. sind darüber hinaus unter dem EU-US Data Privacy Framework zertifiziert; für zertifizierte Unternehmen besteht ein Angemessenheitsbeschluss der Kommission vom 10.07.2023. Entfällt der Angemessenheitsbeschluss, tragen die Standardvertragsklauseln die Übermittlung weiter.

3. Der Auftragsverarbeiter hat die Verträge der Unterauftragsverarbeiter auf diese Garantien geprüft. Der Verantwortliche kann sie jederzeit über die Verweise in Anlage 2 einsehen.

4. Meldedaten, Musikdateien, Antworten auf Zusatzformulare und Wettkampfstände werden ausschließlich in der EU gespeichert, und die Serverfunktionen, mit denen der Verantwortliche sie im Kür Event Manager bearbeitet, laufen dort. Meldebestätigungen enthalten nur die Angaben der jeweiligen Meldung und gehen ausschließlich an die meldende Person.

Fassung vom 12.10.2026 · Nutzungsbedingungen · Datenschutz · Impressum