Vereinbarung zur Auftragsverarbeitung

Diese Seite ersetzt die Vereinbarung nicht. Eine Vereinbarung nach Artikel 28 DSGVO wird je Veranstalter geschlossen und unterschrieben. Was hier steht, ist ihr Inhalt, soweit er aus dem Betrieb der Anwendung feststeht — die Datenschutzerklärung von FightReg ist die Quelle. Was offen ist, steht kursiv.

1. Wer ist wer

Verantwortlicher ist der Veranstalter beziehungsweise der Verband, der die Veranstaltung ausrichtet. Er entscheidet, welche Daten erhoben werden.

Auftragsverarbeiter ist Lehnert-Advisory, Volker Lehnert, Flurweg 7, 89250 Senden, als Betreiberin der Plattform.

Trainer und Vereine, die Teilnehmer melden, handeln für ihre eigenen Mitgliederdaten eigenverantwortlich; sie sind nicht Auftragsverarbeiter des Veranstalters.

2. Gegenstand und Dauer

Betrieb der Plattform für die Veranstaltung, ihre Vorbereitung und die anschließende Auswertung. Die Vereinbarung läuft, solange der Veranstalter die Plattform nutzt.

3. Art der Verarbeitung und Zweck

Anmeldung und Kategorien, Auslosung, Check-in, Wertung, Ergebnisse, Urkunden, Ranglisten, Rechnungen und Belege, Benachrichtigungen an Teilnehmer und Trainer.

4. Kategorien betroffener Personen

Teilnehmer, Trainer, Betreuer, Kampfrichter sowie die Mitarbeiter des Veranstalters mit einem Zugang.

5. Kategorien personenbezogener Daten

• Stammdaten der Teilnehmer: Vorname, Nachname, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Geschlecht, Gewicht
• Zuordnung zu Verein und Kategorie, Startnummer, Ergebnisse und Platzierungen
• Hochgeladene Dateien: Teilnehmerfotos, Vereinslogos, Rechnungsdokumente
• Zugangsdaten und technische Daten der Benutzerkonten, Push-Endpunkte bei aktivierter Benachrichtigung
• Atteste und Gesundheitsangaben, soweit der Veranstalter sie verlangt — besondere Kategorien nach Artikel 9 DSGVO. Zu regeln: ob sie erhoben werden, wer sie sehen darf und wann sie gelöscht werden.

6. Weisungsrecht

Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen. Zu regeln: Form der Weisung und wer sie erteilen darf.

7. Technische und organisatorische Maßnahmen

Als Anlage zur Vereinbarung. Aus dem Betrieb steht fest:

• Übertragung ausschließlich verschlüsselt (HTTPS)
• Trennung der Mandanten: jede Veranstaltung und jeder Verband sieht nur die eigenen Daten
• Rollen und Rechte je Zugang; Dateien nur für berechtigte Nutzer abrufbar
• Serverstandort Deutschland
• Zu beschreiben: Sicherung und Wiederherstellung, Protokollierung, Verschlüsselung im Ruhezustand, Umgang mit Zugriffen durch den Betreiber.

8. Unterauftragsverarbeiter

• ALL-INKL.COM — Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland: Betrieb der Server und des Postausgangs. Server in Deutschland; mit dem Hoster besteht eine eigene Vereinbarung zur Auftragsverarbeitung.
• OpenAI und Anthropic: nur für die Übersetzungsfunktion im Backoffice. Übertragen werden Texte der Oberfläche; personenbezogene Daten werden dorthin nicht gezielt übermittelt. Zu regeln, ob der Veranstalter diese Funktion für seine Veranstaltung abschalten kann.

Zu regeln: wie über den Wechsel eines Unterauftragsverarbeiters unterrichtet wird und in welcher Frist widersprochen werden kann.

9. Unterstützung des Verantwortlichen

Bei Auskunft, Berichtigung und Löschung gegenüber Betroffenen, bei Meldungen nach Artikel 33 und 34 DSGVO und bei einer Datenschutz-Folgenabschätzung. Reaktionszeiten offen — sie hängen an derselben Frage wie die zugesagte Verfügbarkeit in den AGB.

10. Löschung und Rückgabe

Aus dem Betrieb der Anwendung gelten:

• Server-Protokolle: 14 Tage
• Push-Anmeldungen: bis zum Widerruf
• Teilnehmerdaten: bis zwei Jahre nach der Veranstaltung; danach werden sie anonymisiert, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht
• Rechnungen und Belege: nach den steuerlichen Aufbewahrungsfristen
• Benutzerkonten: bis der Nutzer sie löscht

Zu regeln: Frist und Format der Rückgabe bei Vertragsende und der Nachweis der Löschung.

11. Nachweise und Kontrollen

Offen: welche Nachweise der Verantwortliche verlangen kann und in welchem Rahmen er prüfen darf.