Rechtliches

Auftragsverarbeitungsvertrag

Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Verein, der einen Vereins-Account auf der Plattform fanXXL Clubs anlegt („Verantwortlicher“), und der shiftQ UG (haftungsbeschränkt), Knappensiedlung 35 C, 58456 Witten („Auftragsverarbeiter“). Der Vertrag kommt mit dem Anlegen des Vereins zustande; eine unterschriebene Ausfertigung stellen wir auf Anfrage an hallo@fanxxl.com bereit.

§ 1 Gegenstand und Dauer

Gegenstand ist der Betrieb der Vereinsplattform fanXXL Clubs (Web und App) für den Verantwortlichen. Die Dauer entspricht der Laufzeit des Nutzungsverhältnisses gemäß AGB.

§ 2 Art, Zweck, Datenarten, Betroffene

• Zweck: Vereinsorganisation — Termine, Zu-/Absagen, Helfer- und Dienstpläne, Kader, Kassenbuchführung, Fahrgemeinschaften, Belegung.
• Datenarten: Stammdaten (Name, Rolle, Mannschaft), Kontaktdaten (E-Mail, Telefonnummer des Notfallkontakts), Termin-, Anwesenheits- und Dienstdaten, Kassendaten (Buchungen, Strafen, Belegfotos — kein Zahlungsverkehr), Fotos (Profil-, Teambilder), Einwilligungsprotokolle.
• Betroffene: Mitglieder, Trainer, Vorstand, Helfer, Eltern und Kinder des Vereins.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und der dokumentierten Weisungen des Verantwortlichen; Weisungen werden in der Regel durch die Nutzung der Plattform-Funktionen erteilt. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

§ 4 Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet und mit den Schutzanforderungen vertraut.

§ 5 Technische und organisatorische Maßnahmen (TOM)

• Verschlüsselte Übertragung (TLS) für Web, App und E-Mail-Versand
• Mandantentrennung auf Anwendungsebene: Vereinsdaten sind nur für berechtigte Mitglieder des Vereins zugänglich (Rollen- und Rechtemodell)
• Passwörter nur als Hash; Zugriffsschutz auf Server und Datenbanken; Prinzip der geringsten Rechte
• Regelmäßige Backups, Protokollierung sicherheitsrelevanter Ereignisse, zeitnahes Einspielen von Sicherheitsupdates
• Serverstandort Deutschland

§ 6 Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:

• Hosting der Plattform: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen — Serverstandorte Falkenstein und Nürnberg, Deutschland
• E-Mail-Versand: Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA — Übermittlung auf Grundlage von EU-Standardvertragsklauseln (Art. 46 DSGVO)
• Hosting der Website fanxxl.club: lima-city (Trendhosting GbR), Deutschland

Änderungen kündigt der Auftragsverarbeiter vorab in Textform an; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Unterauftragsverarbeiter werden mit gleichwertigen Pflichten gebunden.

§ 7 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO, soweit ihm dies möglich ist. Betroffenenanfragen, die direkt beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter.

§ 8 Meldung von Verletzungen

Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich nach Bekanntwerden mit den Informationen nach Art. 33 Abs. 3 DSGVO.

§ 9 Löschung und Rückgabe

Nach Ende des Nutzungsverhältnisses löscht der Auftragsverarbeiter die Vereinsdaten, sofern keine gesetzliche Aufbewahrungspflicht besteht. Zuvor kann der Verantwortliche seine Daten über die Exportfunktionen sichern.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anfrage durch geeignete Informationen nach (z. B. Beschreibung der TOM). Kontrollen vor Ort sind nach Ankündigung während der Geschäftszeiten möglich, soweit erforderlich.

§ 11 Schlussbestimmungen

Es gilt deutsches Recht. Im Übrigen gelten die AGB. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Stand: August 2026