Unterauftragsverarbeiter
Entwurf
Diese Seite ist ein Entwurf, geschrieben anhand des Codes und der Server-Konfiguration am 14. Oktober 2026. Sie ist noch nicht anwaltlich geprüft und nicht unterschriftsreif. Sie beschreibt, was Clubkit heute tatsächlich tut; offene Punkte sind als offen markiert.
Anlage 2 zum AVV: die Dienste, die Clubkit für die Verarbeitung der Daten deines Vereins nutzt.
Im Einsatz
| Dienst | Anbieter, Sitz | Wofür | Welche Daten | Ort der Verarbeitung |
|---|---|---|---|---|
| Hosting | Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland | Server, auf dem Clubkit läuft (Datenbank, Synchronisation, API, Vereinswebsites, Bilder, Datensicherungen) | alle Daten aus AVV Ziffer 2.4 | Deutschland |
| E-Mail-Versand | Resend, Inc., USA | Einladungen, Passwort-Mails, Mitteilungen und Erinnerungen per E-Mail | E-Mail-Adresse und Name der Empfänger, Inhalt der E-Mail | EU (Irland): Versand über Amazon SES, Region eu-west-1; Resend selbst ist ein US-Unternehmen; Absicherung: Standardvertragsklauseln (DPF-Zertifizierung prüfen) |
| Push-Dienst | 650 Industries, Inc. („Expo"), USA | Weiterleitung von Push-Benachrichtigungen an Apple und Google | Push-Token des Geräts, Text der Benachrichtigung | USA; Absicherung: (Standardvertragsklauseln / DPF prüfen) |
| Push-Zustellung iOS | Apple Inc., USA (Apple Push Notification service) | Zustellung der Push-Nachricht auf iPhones | Push-Token, Text der Benachrichtigung | USA (Rolle und Absicherung prüfen) |
| Push-Zustellung Android | Google LLC, USA / Google Ireland Ltd. (Firebase Cloud Messaging) | Zustellung der Push-Nachricht auf Android-Geräten | Push-Token, Text der Benachrichtigung | EU/USA (Rolle und Absicherung prüfen) |
Zur Information: Dienste ohne Vereinsdaten
Diese Dienste sind beteiligt, erhalten aber keine personenbezogenen Daten des Vereins. Sie stehen hier, damit das Bild vollständig ist.
| Dienst | Anbieter | Wofür | Hinweis |
|---|---|---|---|
| Domain und DNS | Cloudflare, Inc., USA | Domain clubkit.team, Namensauflösung, Nachweis für TLS-Zertifikate | Nur DNS. Der Datenverkehr läuft nicht über Cloudflare (kein Proxy). |
| TLS-Zertifikate | Internet Security Research Group (Let's Encrypt), USA | Ausstellung der HTTPS-Zertifikate | Keine Nutzerdaten. |
| App-Updates | 650 Industries, Inc. („Expo"), USA | Auslieferung von App-Updates (EAS Update) und Bau der App (EAS Build) | Beim Update-Abruf sieht Expo IP-Adresse und App-Version des Geräts, keine Vereinsdaten. |
| App Stores | Apple (App Store), Google (Google Play) | Verteilung der App | Eigene Verantwortliche gegenüber den Nutzern; keine Vereinsdaten. |
Nicht im Einsatz
Keine Analyse-, Tracking-, Werbe- oder Fehlerberichtsdienste (z. B. kein Google Analytics, kein Sentry). Keine Zahlungsdienste: Die Datenbank hat Felder für einen späteren Zahlungsanbieter, sie werden heute nicht genutzt.
Geplant
- Offsite-Datensicherung: Ein zweiter Speicherort (S3-kompatibel, z. B. Hetzner Object Storage) ist vorgesehen, aber noch nicht eingerichtet. Er wird vor der Inbetriebnahme hier ergänzt und den Vereinen nach AVV Ziffer 7.2 angekündigt.