Zum Hauptinhalt springen

Vertrag zur Auftragsverarbeitung (AVV)

Entwurf

Diese Seite ist ein Entwurf, geschrieben anhand des Codes und der Server-Konfiguration am 14. Oktober 2026. Sie ist noch nicht anwaltlich geprüft und nicht unterschriftsreif. Sie beschreibt, was Clubkit heute tatsächlich tut; offene Punkte sind als offen markiert.

Der Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) zwischen deinem Verein und dem Anbieter von Clubkit. Die deutsche Fassung ist maßgeblich; die englische dient zur Information.

Stand: 14.10.2026 (Entwurf)

Vertragsparteien​

Verantwortlicher (im Folgenden „Verein"):

[Name des Vereins] [Anschrift] vertreten durch [Name, Funktion]

Auftragsverarbeiter (im Folgenden „Anbieter"):

Mac Beagan – Web Development Isartalstr. 16 80469 München E-Mail: hello@clubkit.team

Der Anbieter betreibt die Vereinsplattform Clubkit (Web-Verwaltung, Mitglieder-App, öffentliche Vereinswebsite) unter clubkit.team.

1. Gegenstand und Dauer​

1.1 Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Vereins, indem er ihm Clubkit zur Verfügung stellt. Grundlage ist die Nutzung von Clubkit durch den Verein ([Hauptvertrag / Nutzungsbedingungen, Datum]).

1.2 Dieser Vertrag gilt, solange der Anbieter für den Verein personenbezogene Daten verarbeitet. Er endet automatisch mit dem Hauptvertrag; Ziffer 11 (Löschung und Rückgabe) gilt darüber hinaus.

2. Art, Zweck und Umfang der Verarbeitung​

2.1 Zweck: Organisation des Vereinslebens: Mitgliederverwaltung, Mannschaften und Kader, Termine mit Zu- und Absagen, Anwesenheit, Spiele mit Live-Ergebnis, Mitteilungen per App, Push und E-Mail, Beitragsstatus, Einwilligungen (z. B. Fotos), Verwaltung von Erziehungsberechtigten und die öffentliche Vereinswebsite.

2.2 Art der Verarbeitung: Erheben, Speichern, Ordnen, Abgleichen (Synchronisieren) auf die Geräte der berechtigten Nutzer, Anzeigen, Übermitteln (E-Mail, Push), Veröffentlichen auf der Vereinswebsite (nur soweit der Verein es freigibt und die Einwilligung vorliegt), Sichern, Anonymisieren und Löschen.

2.3 Kategorien betroffener Personen:

  • Vereinsmitglieder (Erwachsene und Minderjährige)
  • Erziehungsberechtigte und Kontaktpersonen minderjähriger Mitglieder
  • Trainerinnen, Trainer und Funktionsträger
  • Fans bzw. Follower des Vereins (nur Kontodaten und Vereinsfolge)
  • Personen, die eine Beitrittsanfrage stellen oder eine Einladung erhalten

2.4 Kategorien personenbezogener Daten:

  • Stammdaten: Name, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Nationalität, Spielposition, Rückennummer, Mannschaftszugehörigkeit, Rolle im Verein
  • Notfallkontakt (Name, Telefon)
  • Profil- und Mitgliedsfotos
  • Teilnahmedaten: Zu- und Absagen, Anwesenheit, Verfügbarkeit samt Notizen, Aufstellungen, Spielereignisse (z. B. Torschützen)
  • Beitragsdaten: Beitragsstufe, Zahlungsstatus, Notizen der Vereinsverwaltung (keine Bankdaten)
  • Einwilligungen (je Kanal: intern, Vereinswebsite, Facebook, Instagram, Presse) mit Zeitpunkt und erteilender Person
  • Verknüpfungen zwischen Erziehungsberechtigten und Kindern
  • Kontodaten: Login-E-Mail, Passwort (nur als Hash gespeichert), Sitzungen mit IP-Adresse und Browser-/Gerätekennung, Push-Token, Benachrichtigungseinstellungen
  • Inhalte: Mitteilungen und Nachrichten, die im Verein verschickt werden

2.5 Besondere Kategorien (Art. 9 DSGVO): Das Feld „Medizinische Hinweise" kann Gesundheitsdaten enthalten. Der Verein entscheidet, ob und wofür er es nutzt. Die Plattform zeigt es nur dem Mitglied selbst, seinen Erziehungsberechtigten, der Vereinsverwaltung und den Trainern der Mannschaften des Mitglieds.

3. Weisungen des Vereins​

3.1 Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Vereins. Als Weisung gelten dieser Vertrag und die Einstellungen und Aktionen, die der Verein in Clubkit vornimmt. Weitere Weisungen erteilt der Verein in Textform an die oben genannte E-Mail-Adresse.

3.2 Ist der Anbieter gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Verein vorher mit, sofern das Gesetz es nicht verbietet.

3.3 Hält der Anbieter eine Weisung für rechtswidrig, weist er den Verein unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Verein sie bestätigt oder ändert.

4. Pflichten des Vereins​

Der Verein ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der Mitglieder (Art. 13/14 DSGVO), die Einholung von Einwilligungen (z. B. für Fotos und für Minderjährige) und die Vergabe von Rollen im Verein. Der Verein informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

5. Vertraulichkeit​

Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Derzeit hat ausschließlich der Inhaber (Mac Beagan) Zugriff auf die Produktivsysteme.

6. Sicherheit der Verarbeitung (Art. 32 DSGVO)​

Der Anbieter trifft die technischen und organisatorischen Maßnahmen, die in Anlage 1 (TOMs) beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er und teilt sie dem Verein mit.

7. Unterauftragsverarbeiter​

7.1 Der Verein erteilt die allgemeine Genehmigung, die in Anlage 2 (Unterauftragsverarbeiter) genannten Unterauftragsverarbeiter einzusetzen.

7.2 Der Anbieter informiert den Verein mindestens [30] Tage vorher in Textform über jeden neuen oder ausgetauschten Unterauftragsverarbeiter. Der Verein kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, darf der Verein den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

7.3 Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen.

7.4 Eine Verarbeitung außerhalb der EU / des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss einschließlich EU-US Data Privacy Framework, oder Standardvertragsklauseln). Welche Dienste das betrifft, steht in Anlage 2.

8. Unterstützung bei Betroffenenrechten​

8.1 Der Anbieter unterstützt den Verein mit geeigneten technischen Mitteln dabei, Anfragen betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

8.2 In Clubkit sind dafür heute vorhanden:

  • Mitglieder können ihre Profildaten selbst ändern.
  • Mitglieder können ihre Daten selbst als Datei exportieren (Auskunft, Datenübertragbarkeit).
  • Mitglieder können ihr Konto selbst löschen; ihre Mitgliedschaft wird dann anonymisiert (Einzelheiten in Aufbewahrung und Löschung).
  • Einwilligungen können jederzeit in der App geändert werden.
  • Die Vereinsverwaltung kann Mitgliederdaten ändern und Mitglieder ohne Konto löschen.

8.3 Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Verein weiter.

9. Unterstützung bei weiteren Pflichten (Art. 32–36 DSGVO)​

Der Anbieter unterstützt den Verein bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde, soweit ihm die nötigen Informationen vorliegen.

10. Datenschutzverletzungen​

Der Anbieter meldet dem Verein eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von [48] Stunden nach Kenntnis. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, betroffene Personen und Daten, wahrscheinliche Folgen, ergriffene Maßnahmen). Der Verein bleibt für die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen verantwortlich.

11. Löschung und Rückgabe nach Vertragsende​

11.1 Nach Ende der Leistungen stellt der Anbieter dem Verein auf Wunsch einen Export der Vereinsdaten bereit (z. B. Mitgliederliste als CSV) und löscht anschließend die Daten des Vereins, spätestens [90] Tage nach Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht besteht.

11.2 Daten in Datensicherungen werden nicht einzeln gelöscht; sie verschwinden mit dem regulären Ablauf der Sicherungen (derzeit 30 Tage, siehe Anlage 1).

11.3 Benutzerkonten, die auch in anderen Vereinen genutzt werden, bleiben bestehen; gelöscht werden die Daten, die zu diesem Verein gehören.

12. Nachweise und Kontrollen​

12.1 Der Anbieter stellt dem Verein auf Anfrage die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen (insbesondere die aktuelle Fassung der TOMs).

12.2 Der Verein darf Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, nach Anmeldung mit angemessener Frist (in der Regel [14] Tage) und ohne den Betrieb unverhältnismäßig zu stören. Da die Systeme bei Hetzner laufen, beschränkt sich eine Vor-Ort-Kontrolle auf die Arbeitsweise des Anbieters; für das Rechenzentrum gelten die Nachweise von Hetzner.

13. Haftung​

Für die Haftung gilt Art. 82 DSGVO. [Weitere Haftungsregeln aus dem Hauptvertrag, falls vorhanden.]

14. Schlussbestimmungen​

14.1 Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.

14.2 Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor.

14.3 Ist eine Bestimmung unwirksam, bleibt der Rest wirksam.

14.4 Es gilt deutsches Recht. [Gerichtsstand: München, soweit zulässig.]

14.5 Maßgeblich ist die deutsche Fassung. Die englische Fassung dient nur der Information.

Anlagen​

Ort, Datum: ____________________

Für den Verein: ____________________

Für den Anbieter (Mac Beagan – Web Development): ____________________