Auftragsverarbeitungsvertrag

Stand: 13. Oktober 2026 · Anlage zu den AGB

Präambel

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Vertragsparteien aus Anlass der Verarbeitung personenbezogener Daten durch Sascha Derp, Pilotengasse 15/11, 1220 Wien, als Betreiber der Plattform "Discbase" (im Folgenden "Auftragsverarbeiter"), im Auftrag eines Verbands (im Folgenden "Auftraggeber") im Rahmen des zwischen den Parteien bestehenden Hauptvertrags (AGB). Der Auftraggeber handelt bei Abschluss dieses Vertrags auch für die ihm zugeordneten Mitgliedsvereine, die die Plattform im Rahmen der Berechtigung des Auftraggebers nutzen (siehe AGB § 7 Abs. 2); der Auftraggeber sichert zu, hierzu berechtigt zu sein bzw. die erforderlichen Vereinbarungen mit seinen Mitgliedsvereinen zu treffen.

Nutzt ein Verein oder Veranstalter Discbase ohne Verbandslizenz (AGB Abschnitt II), gilt dieser Vertrag unmittelbar zwischen dem Auftragsverarbeiter und diesem Verein bzw. Veranstalter, der dann selbst Auftraggeber und Verantwortlicher im Sinne der DSGVO ist. Er wird beim Anlegen des Vereins bzw. beim ersten Veröffentlichen eines Turniers zusammen mit den AGB akzeptiert. Tritt der Verein später einem Verband bei, gilt ab dann der Vertrag des Verbands.

§ 1 Gegenstand und Dauer des Auftrags

1. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Auftraggebers im Rahmen des Betriebs der Turnierverwaltungsplattform Discbase (Registrierung, Turnierorganisation, Ergebnis- und Ranglistenerfassung, Mitgliederverwaltung, Zahlungsanbindung, Benachrichtigungen).
2. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags (AGB § 9 bzw. § 13). Er endet nicht automatisch mit einzelnen Turnieren oder Kalenderjahren.

§ 2 Art und Zweck der Verarbeitung, Kategorien

1. Zweck der Verarbeitung: Bereitstellung der technischen Infrastruktur für Turnieranmeldung und -durchführung, Vereins- und Verbandsmitgliederverwaltung, Ergebniserfassung, Kommunikation zwischen Turnierteilnehmern und Veranstaltern, Zahlungsabwicklung (Vermittlung, siehe § 2 Abs. 4), sowie Versand turnierbezogener E-Mail-Benachrichtigungen.
2. Art der Verarbeitung: Erheben, Speichern, Verändern, Auslesen, Verwenden, Übermitteln und Löschen personenbezogener Daten im Rahmen des in § 2 Abs. 1 genannten Zwecks, automatisiert durch die Software der Plattform.
3. Kategorien betroffener Personen: Turnierteilnehmer (Spieler/innen), Team-Captains und -Mitglieder, Vereins- und Verbandsfunktionäre, sonstige Nutzer mit Plattform-Zugang.
4. Kategorien personenbezogener Daten: Kontaktdaten (Name, E-Mail-Adresse), Stammdaten (Geschlecht, Geburtsdatum, Adresse bei Verbandsmitgliedschaft), PDGA-Nummer und -Rating, Zahlungsstatus und -referenzen (keine vollständigen Zahlungsmitteldaten - siehe § 2 Abs. 5), Nutzungsdaten (Logins, IP-Adressen in Zugriffslogs), Nachrichteninhalte zwischen Nutzern der Plattform. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden im Rahmen der Plattformnutzung nicht bewusst verarbeitet.
5. Zahlungen, die Turnierteilnehmer über Stripe oder PayPal leisten, laufen über die vom jeweiligen Verein selbst hinterlegten Zahlungsanbieter-Zugangsdaten; insoweit ist der Verein unmittelbar Vertragspartner des Zahlungsanbieters. Der Auftragsverarbeiter übermittelt die hierfür erforderlichen Daten technisch im Namen des Vereins (siehe Anlage 2) - eine Weiterverarbeitung durch den Auftragsverarbeiter selbst über die reine Vermittlung hinaus findet nicht statt.

§ 3 Verantwortung des Auftraggebers

1. Der Auftraggeber ist für die Zulässigkeit der Datenverarbeitung nach den geltenden Datenschutzvorschriften verantwortlich ("Verantwortlicher" im Sinne des Art. 4 Nr. 7 DSGVO), insbesondere für die Rechtmäßigkeit der Erhebung von Daten von Turnierteilnehmern und Vereinsmitgliedern durch ihn und die ihm zugeordneten Vereine.
2. Der Auftraggeber ist berechtigt, dem Auftragsverarbeiter Weisungen zur Art und Weise der Verarbeitung zu erteilen; im Regelfall erfolgen Weisungen durch die bestimmungsgemäße Nutzung der von der Plattform bereitgestellten Funktionen.

§ 4 Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und der dokumentierten Weisungen des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zu einer Verarbeitung verpflichtet.
2. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
3. Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Anlage 1).
4. Der Auftragsverarbeiter unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung von Anfragen betroffener Personen (Art. 12-22 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32-36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung).
5. Der Auftragsverarbeiter meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten (Art. 33 DSGVO) unverzüglich, nachdem ihm diese bekannt geworden ist.
6. Der Auftragsverarbeiter stellt dem Auftraggeber alle zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen - einschließlich Inspektionen - durch den Auftraggeber oder einen von diesem beauftragten Prüfer, wobei angemessene Vorlauffristen und die berechtigten Interessen des Auftragsverarbeiters (insbesondere Geheimhaltung der Daten anderer Kunden) zu berücksichtigen sind.

§ 5 Technische und organisatorische Maßnahmen

Die vom Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen im Sinne des Art. 32 DSGVO sind in Anlage 1 dieses Vertrags beschrieben. Der Auftragsverarbeiter ist berechtigt, die Maßnahmen anzupassen, solange das ursprüngliche Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverhältnisse

1. Der Auftraggeber erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, die in Anlage 2 genannten Unterauftragsverarbeiter einzusetzen.
2. Der Auftragsverarbeiter informiert den Auftraggeber vorab über die beabsichtigte Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter, sodass der Auftraggeber Gelegenheit hat, der Änderung zu widersprechen.
3. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter zu denselben datenschutzrechtlichen Pflichten, wie sie in diesem Vertrag festgelegt sind.

§ 7 Löschung und Rückgabe

Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten, die im Auftrag des Auftraggebers verarbeitet wurden, nach Ablauf der in AGB § 9 Abs. 3 genannten Übergangsfrist (bei Vereinen nach AGB Abschnitt II: 30 Tage nach Vertragsende), sofern nicht gesetzliche Aufbewahrungspflichten (insbesondere steuerrechtliche Vorschriften bezüglich Zahlungsdaten) entgegenstehen. Der Auftraggeber kann vor Ablauf dieser Frist eine Exportkopie der Daten anfordern.

§ 8 Haftung

Für die Haftung der Parteien gelten die Regelungen des Hauptvertrags (AGB § 5) entsprechend, soweit Art. 82 DSGVO keine zwingend abweichende Regelung vorsieht.

§ 9 Schlussbestimmungen

Es gilt österreichisches Recht. Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Im Übrigen gelten die Schlussbestimmungen des Hauptvertrags (AGB § 16) entsprechend.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zugangskontrolle: Passwörter werden ausschließlich als Hashwert (werkzeug/ scrypt) gespeichert, nie im Klartext. Ein erzwungener Mindeststandard für den Session-Signaturschlüssel verhindert einen produktiven Start ohne echten, zufälligen Schlüssel. Login-Routen (E-Mail/Passwort, Team-/Teilnehmer-Zugangscodes, Passwort-Reset) sind durch Rate-Limiting gegen automatisiertes Ausprobieren abgesichert.
• Zugriffskontrolle: Rollenbasierte Berechtigungen auf drei Ebenen (Plattform-Admin, Verbandsfunktionär, Vereins-/Turnier-Admin) - jede Anfrage wird gegen die tatsächliche Zuordnung von Nutzer zu Verein/Verband/Turnier geprüft, nicht nur gegen ein pauschales "eingeloggt"-Flag.
• Verschlüsselung: Team-/Teilnehmer-Zugangscodes und die von Vereinen hinterlegten Zahlungsanbieter-Zugangsdaten (Stripe/PayPal) werden im Ruhezustand verschlüsselt gespeichert (Fernet/AES), mit vom Session-Schlüssel getrennten, eigenständigen Schlüsseln. Die Übertragung erfolgt ausschließlich verschlüsselt (TLS) über das vorgeschaltete Content-Delivery-Network.
• Trennungskontrolle: Daten verschiedener Turniere, Vereine und Verbände werden in derselben Datenbank, aber durch eine durchgängige Zuordnung (Turnier-/Vereins-/ Verbands-ID) auf jeder Datenbankabfrage logisch getrennt gehalten - kein Nutzer kann über die normale Anwendung auf Daten außerhalb seiner eigenen Zuordnung zugreifen.

Integrität

• Eingabekontrolle: Von Nutzern eingegebene Rich-Text-Inhalte (z.B. Turnierbeschreibungen) werden serverseitig gegen eine Positivliste erlaubter HTML-Elemente gefiltert, um das Einschleusen von Schadcode (XSS) zu verhindern.
• Schutz vor Cross-Site-Request-Forgery: Alle zustandsändernden Anfragen erfordern ein serverseitig ausgestelltes, sitzungsgebundenes Sicherheitstoken.

Verfügbarkeit und Belastbarkeit

• Backup: Tägliche, verschlüsselte automatisierte Sicherung der Datenbank und hochgeladener Dateien; der Wiederherstellungsprozess ist dokumentiert und wurde erfolgreich getestet.
• Monitoring: Ein automatisierter Statusendpunkt ermöglicht die laufende externe Überwachung der Erreichbarkeit und Datenbankverfügbarkeit.

Verfahren zur regelmäßigen Überprüfung

• Eingesetzte Software-Abhängigkeiten werden auf bekannte Sicherheitslücken geprüft und bei Bedarf aktualisiert.
• Technische Fehler werden über eine automatisierte Fehlerüberwachung (Sentry) erfasst, damit Probleme zeitnah statt erst durch eine zufällige Meldung auffallen - personenbezogene bzw. vertrauliche Felder (Passwörter, Zugangscodes, Sitzungs-Cookies, Zahlungsanbieter-Zugangsdaten) werden vor der Übermittlung serverseitig herausgefiltert.

Physische Zugangskontrolle

Die Server-Infrastruktur wird bei Hetzner Online GmbH betrieben (Rechenzentrum Falkenstein, Deutschland). Das Rechenzentrum ist nach ISO/IEC 27001 zertifiziert; der physische Zutritt ist durch das Hosting-Unternehmen entsprechend abgesichert (u.a. Zutrittskontrollsysteme, Videoüberwachung, Sicherheitspersonal).

Anlage 2: Unterauftragsverarbeiter