Auftrags­verarbeitungs­vertrag (AVV)

Vertragsparteien

Verantwortlicher (nachfolgend “Verein”): der Kunde, der VereinsNeo nach den AGB nutzt — in der Regel ein Sportverein, vertreten durch den Inhaber des Hauptzugangs.

Auftragsverarbeiter (nachfolgend “VereinsNeo”): Michael Blautzik, Einzelunternehmer, An der Tiefenriede 45, 30173 Hannover, E-Mail datenschutz@vereinsneo.de.

Dieser Vertrag gilt für alle Verarbeitungen, die VereinsNeo bei der Bereitstellung des Dienstes für den Verein durchführt. Er wird mit den AGB Bestandteil des Nutzungsvertrags und gilt in elektronischer Form (Art. 28 Abs. 9 DSGVO). Bei Widersprüchen geht er den AGB in Fragen des Datenschutzes vor.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Bereitstellung der Software VereinsNeo als Online-Dienst: Speichern, Anzeigen, Auswerten und Übermitteln der Daten, die der Verein und die von ihm berechtigten Personen im Dienst erfassen, sowie der Versand der vom Dienst ausgelösten E-Mails und Mitteilungen.

(2) Der Vertrag läuft so lange wie der Nutzungsvertrag. Die Pflichten zur Löschung und Rückgabe (§ 9) und zur Vertraulichkeit gelten darüber hinaus.

(3) Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die VereinsNeo selbst verantwortlich ist: Vertrags- und Abrechnungsdaten des Vereins, die Zugänge der Vereinsnutzer als Kunden-Konten, die Personen-Konten von Mein Team als solche (Anmeldung, Sicherheit, Konto löschen, Auskunft), die Bearbeitung von Meldungen und Hinweisen auf rechtswidrige Inhalte, zu der VereinsNeo als Anbieter eines Hosting-Dienstes selbst verpflichtet ist (Verordnung (EU) 2022/2065, Digital Services Act), und die Webseite. Diese beschreibt die Datenschutzerklärung.

§ 2 Art, Zweck, Daten und Betroffene

(1) Zweck: Organisation des Sport- und Vereinsbetriebs des Vereins — Platz-, Hallen- und Kabinenbelegung, Trainings- und Spielbetrieb, Mannschaften und Kader, Anträge, Aufgaben und Verbandspost, je nach den Modulen, die der Verein nutzt.

(2) Kategorien betroffener Personen: Mitglieder und Spieler des Vereins einschließlich Minderjähriger, deren Erziehungsberechtigte, Trainer, Betreuer und Funktionsträger, weitere Nutzer des Vereins, Ansprechpartner von Gastvereinen und Spielgemeinschaften, Antragsteller sowie Absender und Empfänger von Verbandspost.

(3) Arten personenbezogener Daten:

(4) Besondere Kategorien: Der Absagegrund “Krank” kann einen Bezug zur Gesundheit haben (Art. 9 DSGVO). Der Dienst zeigt ihn nur Personen mit dem Recht, Antworten zu setzen, nie den übrigen Mitgliedern der Mannschaft, verschickt ihn nicht per E-Mail oder Mitteilung und löscht ihn — wie jeden Absagegrund und jede Notiz — 30 Tage nach dem Termin. Der Verein entscheidet, ob er die Angabe eines Grundes verlangt.

§ 3 Weisungen

(1) VereinsNeo verarbeitet die Daten nur auf dokumentierte Weisung des Vereins, auch bei Übermittlungen in Drittländer, es sei denn, das Recht der Union oder Deutschlands verpflichtet dazu; dann teilt VereinsNeo dies vorher mit, soweit das Recht es nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Die Weisungen ergeben sich aus diesem Vertrag, den AGB und den Einstellungen und Handlungen, die der Verein und die von ihm berechtigten Personen im Dienst vornehmen. Einzelweisungen erteilt der Verein in Textform an datenschutz@vereinsneo.de.

(3) Hält VereinsNeo eine Weisung für rechtswidrig, teilt es dies dem Verein unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

§ 4 Vertraulichkeit

VereinsNeo setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Zugriff auf Vereinsdaten erhält nur, wer ihn für Betrieb, Fehlerbehebung oder Unterstützung des Vereins braucht. Sieht VereinsNeo zur Unterstützung einen Zugang des Vereins an, geschieht das nur lesend; Änderungen nimmt es nur auf Wunsch des Vereins vor.

§ 5 Sicherheit der Verarbeitung

VereinsNeo trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Anlage 1 beschreibt. Es darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Verein genehmigt allgemein den Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten stehen in Anlage 2 und gelten als genehmigt.

(2) Will VereinsNeo einen Unterauftragsverarbeiter hinzunehmen oder ersetzen, teilt es dies dem Verein mindestens 30 Tage vorher per E-Mail mit. Der Verein kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Nutzungsvertrag zum Zeitpunkt des Wechsels kündigen.

(3) VereinsNeo legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf (Art. 28 Abs. 4 DSGVO) und haftet für ihn wie für eigenes Handeln.

§ 7 Drittländer

Eine Verarbeitung außerhalb der EU und des EWR findet nur statt, soweit Anlage 2 sie nennt, und nur unter den Voraussetzungen der Art. 44 ff. DSGVO (Angemessenheitsbeschluss, insbesondere EU-U.S. Data Privacy Framework, oder Standardvertragsklauseln).

§ 8 Unterstützung des Vereins

(1) Rechte betroffener Personen: Der Dienst bietet dem Verein Funktionen zum Berichtigen, Exportieren und Löschen. Personen mit einem Konto für Mein Team laden ihre Daten im Profil selbst herunter und löschen ihr Konto dort selbst. Wendet sich eine betroffene Person mit einem Anliegen, das die Daten des Vereins betrifft, an VereinsNeo, leitet VereinsNeo es unverzüglich an den Verein weiter und unterstützt ihn bei der Antwort (Art. 28 Abs. 3 lit. e DSGVO).

(2) Datenpannen: VereinsNeo meldet dem Verein eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO), mit den Angaben, die es zu diesem Zeitpunkt hat, und unterstützt ihn bei Meldung und Benachrichtigung (Art. 33, 34 DSGVO).

(3) Weitere Pflichten: VereinsNeo stellt die Informationen bereit, die der Verein für eine Datenschutz-Folgenabschätzung und eine vorherige Konsultation braucht (Art. 35, 36 DSGVO), soweit sie den Dienst betreffen.

§ 9 Löschung und Rückgabe

(1) Während der Laufzeit löscht der Verein Daten selbst im Dienst oder weist VereinsNeo in Textform an, sie zu löschen.

(2) Nach Ende des Nutzungsvertrags kann der Verein seine Daten nach § 13 der AGB exportieren. Danach löscht VereinsNeo die Daten des Vereins, soweit keine gesetzliche Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO), und bestätigt die Löschung auf Wunsch in Textform. In Datensicherungen der Datenbank laufen gelöschte Daten mit deren Ablauf aus.

§ 10 Nachweise und Kontrollen

(1) VereinsNeo stellt dem Verein auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen durch den Verein oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer (Art. 28 Abs. 3 lit. h DSGVO).

(2) Überprüfungen vor Ort werden mit angemessener Frist angekündigt, finden während der üblichen Geschäftszeiten statt und gehen auf Kosten des Vereins. In der Regel genügt eine schriftliche Auskunft; vor Ort höchstens einmal im Jahr, es sei denn, ein Vorfall gibt Anlass.

§ 11 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen § 11 der AGB.

(2) Änderungen dieses Vertrags teilt VereinsNeo dem Verein mindestens 30 Tage vor ihrem Inkrafttreten direkt per E-Mail mit. Sie gelten, wenn der Verein zustimmt; stimmt er nicht zu, gilt die bisherige Fassung weiter, und beide Seiten können den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen. Für den Wechsel von Unterauftragsverarbeitern gilt § 6 Abs. 2.

(3) Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 — Technische und organisatorische Maßnahmen

• Hosting und Speicherort: Anwendung auf Servern der Hetzner Online GmbH in Deutschland, Datenbank bei Neon in der EU-Region; Datensicherungen der Datenbank durch den Anbieter.
• Übertragung: ausschließlich verschlüsselt per HTTPS (TLS 1.2 oder 1.3).
• Trennung der Vereine: Jede Abfrage der Vereinsdaten ist an die Kennung des Vereins gebunden; die Berechtigung wird bei jedem Aufruf auf dem Server geprüft.
• Zugriff: Rollen und Rechte je Verein und je Mannschaft; Passwörter nur als bcrypt-Hash (12 Runden); Sitzungen in httpOnly-Cookies; Personen-Konten von Mein Team ohne Passwort über zeitlich begrenzte Einmal-Links und Codes, Sitzungen dort für alle Geräte widerrufbar; Begrenzung wiederholter Anmeldeversuche; abgelaufene Anmelde-Links und Codes werden nach sieben Tagen gelöscht.
• Schutz von Kinderdaten in Mein Team: Konten für Kinder unter 16 Jahren nur über Erziehungsberechtigte; Absagegründe nur für Personen mit dem Recht, Antworten zu setzen; die Mannschaftskasse zeigt jeder Person nur den eigenen Stand; im Kanal Entferntes (Text, Bilder) wird sofort gelöscht.
• Löschfristen in Mein Team (täglich, automatisch): Absagegründe und Notizen 30 Tage nach dem Termin, Abwesenheiten 30 Tage nach ihrem Ende, Fahrgemeinschaften 30 Tage nach dem Termin, Zu- und Absagen, Nominierungen, Aufstellungen, Einsatzzeiten, Fragen und Dienste zum Ende der folgenden Saison, erledigte Meldungen nach zwölf Monaten. Buchungen der Mannschaftskasse und Inhalte des Kanals bleiben, bis der Verein bzw. die Verfasser sie löschen.
• Datensparsamkeit: Mitteilungen auf das Handy enthalten weder Absagegründe noch Geldbeträge; im Browser sind sie Ende-zu-Ende für das Gerät verschlüsselt, an die VereinsNeo-App (Zustellung über Apple bzw. Google, dort lesbar) tragen sie nur den Anlass — ohne Namen, Kommentare, Beträge und Gründe; E-Mails zu Absagen enthalten keinen Grund, E-Mails zu Meldungen keinen gemeldeten Inhalt und keine Namen; Bilder werden vor dem Hochladen im Browser verkleinert und ohne eingebettete Zusatzangaben gespeichert.
• Verschlüsselung gespeicherter Geheimnisse: Zugangsdaten zum Verbandspostfach werden verschlüsselt gespeichert.
• Unterstützungszugang: Sieht VereinsNeo einen Verein zur Unterstützung an (Ansehen-Modus, höchstens 8 Stunden), sind die Schreibwege der Module gesperrt.
• Belastbarkeit und Wiederherstellung: Überwachung der Erreichbarkeit mit Alarm an den Betreiber; Datensicherungen.

Anlage 2 — Unterauftragsverarbeiter

Stand: 11. Oktober 2026, geändert am 13. Oktober 2026 · Fragen zur Auftragsverarbeitung: datenschutz@vereinsneo.de