Auftragsverarbeitung

Version 1.0 · Stand 22.08.2026 Ab wann diese Fassung gilt, steht im Fassungs-Register und auf der Website — nicht hier: ein Datum im Text veraltet in dem Moment, in dem sich die Freigabe verschiebt. Er ist die Erlaubnis, mit den Daten der Mitglieder eines Vereins überhaupt zu arbeiten — ohne ihn ist der Betrieb rechtswidrig, und zwar auf beiden Seiten.

dem Verein — nachfolgend „Verantwortlicher" (Name, Anschrift und vertretungsberechtigte Person ergeben sich aus den Vereins-Stammdaten in Pllaybook zum Zeitpunkt der Zustimmung)

und

der Improwe Systems GmbH, Grottenberg 9, 86929 Penzing, eingetragen beim Amtsgericht Augsburg unter HRB 43053, vertreten durch den Geschäftsführer Martin Bergmann — nachfolgend „Auftragsverarbeiter"

Der Auftragsverarbeiter stellt dem Verantwortlichen die Software „Pllaybook" zur Verwaltung seines Vereins bereit und verarbeitet dabei personenbezogene Daten ausschließlich in dessen Auftrag.

Der Verantwortliche entscheidet über Zweck und Mittel der Verarbeitung. Er ist dafür verantwortlich, dass er die Daten erheben und verarbeiten darf, und dass er seine Mitglieder darüber informiert hat.

Was das für den Verein konkret heißt — und es ist der Punkt, den Vereine am häufigsten übersehen: Die Datenschutzerklärung des Vereins muss die Datenkategorien abdecken, die in Pllaybook tatsächlich verarbeitet werden. Viele Vereinssatzungen zählen dafür eine geschlossene Liste auf (Name, Adresse, Bankverbindung) und decken damit weder Rollen- und Teamzugehörigkeit noch Trainingsanwesenheit, hochgeladene Nachweise oder Zahlungshistorie ab. Vor dem Produktivstart gehört das geprüft.

Der Auftragsverarbeiter verarbeitet die Daten nicht für eigene Zwecke. Er gibt sie nicht weiter, nutzt sie nicht zur Verbesserung von KI-Modellen und verwendet sie insbesondere nicht für eigene Werbung — auch nicht, um Mitgliedern des Verantwortlichen andere Produkte anzubieten.

Eine einzige Ausnahme, ausdrücklich vereinbart: anonyme Auswertungen.

Der Verantwortliche gestattet dem Auftragsverarbeiter, aus den Daten anonyme, zusammengefasste Kennzahlen zu bilden und diese zeitlich unbegrenzt zu nutzen — für die Weiterentwicklung der Software, für Vergleichswerte zwischen Vereinen und für regionale Auswertungen.

Diese Erlaubnis ist nötig, weil bereits der Vorgang der Anonymisierung eine Verarbeitung ist: Ohne sie dürfte der Auftragsverarbeiter sie nicht vornehmen. Sie ist an drei Bedingungen gebunden:

1. Unwiderruflich. Der Personenbezug wird entfernt, nicht ersetzt. Eine Rückführung auf einzelne Personen ist weder vorgesehen noch mit verhältnismäßigem Aufwand möglich.
2. Keine kleinen Gruppen. Kennzahlen werden nicht ausgegeben, wenn die zugrunde liegende Gruppe so klein ist, dass eine einzelne Person erkennbar würde.
3. Keine Identifikationsmerkmale. Namen, Anschriften, Bankverbindungen, Dokumente und Freitextfelder fließen nicht ein.

Ist das Ergebnis anonym, unterliegt es nicht mehr der Verordnung (Erwägungsgrund 26) und bleibt vom Ende dieses Vertrags unberührt — es ist dann kein personenbezogenes Datum des Verantwortlichen mehr. Der Verantwortliche kann dieser Nutzung jederzeit mit Wirkung für die Zukunft widersprechen.

Davon zu unterscheiden sind die Konto- und Vertragsdaten (Anmeldung, Abrechnung, Support): Für sie ist der Auftragsverarbeiter selbst Verantwortlicher; sie sind nicht Gegenstand dieses Vertrags.

Dieser Vertrag beginnt mit der Zustimmung und läuft, solange der Verantwortliche Pllaybook nutzt. Er endet mit dem Hauptvertrag; die Pflichten aus §§ 8 und 9 gelten darüber hinaus.

Zweck: Vereinsverwaltung — Mitgliederverwaltung, Beitragswesen, Sport- und Trainingsbetrieb, Kommunikation, Finanz- und Belegwesen, öffentliche Vereinsdarstellung.

Betroffene Personengruppen: Mitglieder · Erziehungsberechtigte und Vormunde · Trainerinnen und Trainer, Betreuende · Schiedsrichterinnen und Schiedsrichter · Interessenten und Schnuppernde · Kontakte ohne Mitgliedschaft (Sponsoren, Lieferanten, Presse, Behörden) · Gäste aus Spielgemeinschaften und Nachbarvereinen · Beschäftigte und Ehrenamtliche des Verantwortlichen.

Datenkategorien — vollständig, weil eine unvollständige Aufzählung die häufigste Schwachstelle solcher Verträge ist:

Besondere Kategorien (Art. 9 DSGVO): Sie sind nicht vorgesehen. Gesundheitsdaten, Religionszugehörigkeit oder Ähnliches gehören nicht in Pllaybook. Trägt der Verantwortliche sie dennoch in ein Freitextfeld ein, geschieht das auf seine Verantwortung; er hat dann selbst für die Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO zu sorgen.

Die Verarbeitung erfolgt ausschließlich nach dokumentierten Weisungen des Verantwortlichen. Als Weisung gilt auch die Nutzung der Funktionen der Software durch ihn selbst.

Weitergehende Weisungen bedürfen der Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das mit und darf ihre Ausführung aussetzen.

Pllaybook kann Daten aus Verbandssystemen übernehmen. Das geschieht auf zwei Wegen, und für beide trägt der Verantwortliche allein die Verantwortung:

1. Öffentlich verfügbare Verbandsdaten werden auf Veranlassung des Verantwortlichen eingespielt.
2. Der Verantwortliche hinterlegt eigene Zugangsdaten zu einem geschlossenen Verbandssystem, und der Auftragsverarbeiter ruft damit Daten ab. Er handelt dabei mit der Kennung des Verantwortlichen, in dessen Namen und auf dessen Weisung.

Der Verantwortliche sichert zu, dass er zu diesem Abruf berechtigt ist — nach den Nutzungsbedingungen des jeweiligen Verbandsportals, nach seiner Verbandsmitgliedschaft und nach etwaigen Absprachen mit dem Verband. Er hat die dafür erforderliche Erlaubnis des Verbands eingeholt. Diese Zusicherung erklärt er ausdrücklich, bevor der Abruf eingerichtet werden kann.

Der Auftragsverarbeiter stellt hierfür ausschließlich die Technik bereit. Er ist nicht Partei des Verhältnisses zwischen Verantwortlichem und Verband, kennt weder dessen Verbandsvertrag noch die Bedingungen, unter denen dessen Portalzugang steht, und prüft die Berechtigung nicht — er kann es nicht. Er übernimmt für Zulässigkeit und Umfang des Abrufs keine Verantwortung.

Die hinterlegten Zugangsdaten werden verschlüsselt gespeichert, nie im Klartext angezeigt und ausschließlich für den vom Verantwortlichen eingerichteten Abruf verwendet. Der Verantwortliche kann sie jederzeit entfernen; der Abruf endet damit.

Untersagt der Verband dem Verantwortlichen den Abruf oder entfallen dessen Voraussetzungen, hat der Verantwortliche den Abruf unverzüglich einzustellen. Ansprüche des Verbands wegen eines Abrufs ohne dessen Erlaubnis richten sich gegen den Verantwortlichen; er stellt den Auftragsverarbeiter insoweit von Ansprüchen Dritter frei.

Der praktische Kern in einem Satz: Wir drücken den Knopf, den Sie eingerichtet haben — dass Sie ihn drücken dürfen, wissen nur Sie.

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet und im Datenschutz unterwiesen sind. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen und hält sie auf dem Stand der Technik. Änderungen dürfen das Schutzniveau nicht verringern.

Der Verantwortliche erteilt hiermit die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten sind in Anlage 1 aufgeführt.

Bei einer Änderung informiert der Auftragsverarbeiter mindestens 30 Tage vorher in Textform. Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem, datenschutzbezogenem Grund widersprechen. Widerspricht er, und lässt sich keine Einigung erzielen, kann jede Seite den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

Der Auftragsverarbeiter verpflichtet jeden weiteren Auftragsverarbeiter auf dieselben Pflichten und haftet für ihn wie für eigenes Handeln.

Der Auftragsverarbeiter unterstützt den Verantwortlichen — soweit ihm möglich und mit angemessenem Aufwand:

• bei Betroffenenanfragen (Auskunft, Berichtigung, Löschung, Übertragbarkeit). Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, beantwortet er sie nicht selbst, sondern leitet sie unverzüglich weiter.
• bei Datenschutz-Verletzungen: Meldung an den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit allen Angaben, die dieser für seine Meldung nach Art. 33 DSGVO braucht. Die Meldung an die Aufsichtsbehörde ist Sache des Verantwortlichen — seine 72-Stunden-Frist beginnt mit unserer Nachricht.
• bei Datenschutz-Folgenabschätzungen und vorheriger Konsultation der Aufsichtsbehörde.

Nach Ende des Vertrags stellt der Auftragsverarbeiter dem Verantwortlichen die Daten in einem gängigen, maschinenlesbaren Format zur Verfügung und löscht sie anschließend samt vorhandener Kopien.

Frist: Bereitstellung innerhalb von 30 Tagen nach Vertragsende, Löschung 90 Tage nach Vertragsende. Diese Spanne ist Absicht — sie gibt dem Verantwortlichen Zeit, den Export zu prüfen, bevor die Daten weg sind.

Ausgenommen ist, was gesetzlich aufbewahrt werden muss; solche Daten werden gesperrt statt gelöscht.

Ebenfalls nicht betroffen sind die nach § 1 Abs. 4 gebildeten anonymen Kennzahlen: Sie enthalten keine personenbezogenen Daten mehr und lassen sich einzelnen Vereinen oder Personen nicht mehr zuordnen — eine „Löschung" wäre technisch gegenstandslos.

Sicherungskopien werden nicht einzeln bereinigt; sie laufen nach 7 Tagen turnusmäßig aus. Bis dahin sind sie ausschließlich zur Wiederherstellung zugänglich.

Der Auftragsverarbeiter weist die Einhaltung auf Anfrage nach — vorrangig durch Auskunft und vorhandene Nachweise. Genügt das nicht, ermöglicht er eine Überprüfung vor Ort nach vorheriger Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebs.

Es gilt Art. 82 DSGVO. Die Haftungsregelungen des Hauptvertrags bleiben im Übrigen unberührt.

Beide Anlagen sind Bestandteil dieses Vertrags. Sie werden gesondert geführt und fortgeschrieben, weil sie sich häufiger ändern als der Vertrag: Ein Wechsel des E-Mail-Dienstleisters oder eine verbesserte Schutzmaßnahme soll keine neue Zustimmung des Vereins erfordern. Für Änderungen gilt das Verfahren nach § 7.3 — Anzeige in Textform mit Frist, kein neuer Vertragsschluss.

• Anlage 1 — Weitere Auftragsverarbeiter. Wer außer uns Daten verarbeitet, mit Leistung, verarbeiteten Daten, Ort und Grundlage.
• Anlage 2 — Technische und organisatorische Maßnahmen nach Art. 32 DSGVO.

Der Verantwortliche stimmt diesem Vertrag in Textform zu, indem die einrichtende, vertretungs­ berechtigte Person ihn in Pllaybook bestätigt. Zeitpunkt, Version und handelnde Person werden protokolliert und sind für beide Seiten abrufbar.