Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO) und dem österreichischen Datenschutzgesetz (DSG). Durch die Bestätigung dieses AVV im Rahmen der Registrierung bzw. Onboarding schließt der Verantwortliche diesen Vertrag mit dem Auftragsverarbeiter ab.

1. Vertragsparteien

Verantwortlicher (Auftraggeber): Der Verein oder Einzeltrainer, der die App „Trainer to go" nutzt und über die Verarbeitung personenbezogener Daten entscheidet (jene Person, die den Verein anlegt bzw. ein Einzel-Abo abschließt).

Auftragsverarbeiter: Trainer to go – Gerhard Kresak, Neuhausen 22, A-6391 Fieberbrunn, Österreich, office@trainer-to-go.at.

2. Gegenstand und Dauer

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung und Nutzung der App „Trainer to go" (Mitgliederverwaltung, Trainingsplanung, Turnierorganisation, Kommunikation, Beitragsverwaltung, KI-gestützte Analyse von Trainings- und Spieldaten, Abonnement- und Lizenzverwaltung inklusive Preiserhöhungs-Prozess und Plattform-Abrechnung). Der Vertrag gilt ab Bestätigung und endet mit der Löschung des Vereins- bzw. Einzel-Abo-Kontos. Die Laufzeit entspricht der Dauer der Nutzung der App durch den Verantwortlichen.

3. Art, Umfang und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet die in der Datenschutzerklärung (Ziffer 3) genannten Datenarten. Verarbeitungszweck ist ausschließlich die Bereitstellung der App-Funktionen für den Verantwortlichen. Der Umfang der Verarbeitung ergibt sich aus den in der App erfassten Daten und den dortigen Funktionen. Die Verarbeitung umfasst insbesondere das Speichern, Übermitteln, Analysieren und Anzeigen von Daten innerhalb der App.

4. Weisungsrecht

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich nach dokumentierter Weisung des Verantwortlichen, es sei denn, eine rechtliche Pflicht verlangt eine abweichende Verarbeitung. Der Verantwortliche bestätigt mit Annahme dieses AVV, dass die Nutzung der App-Funktionen die Weisung an den Auftragsverarbeiter darstellt. Die Weisung kann jederzeit durch den Verantwortlichen (z. B. durch Löschen von Daten oder Deaktivieren von Funktionen) angepasst werden.

5. Pflichten des Auftragsverarbeiters

• Daten nur im Rahmen der Weisung des Verantwortlichen zu verarbeiten;
• die im Zusammenhang mit der Verarbeitung beschäftigten Personen zur Verschwiegenheit zu verpflichten (Art. 28 Abs. 3 lit. b DSGVO);
• technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu treffen (insbesondere verschlüsselte Übertragung, Zugangsbeschränkungen, Vereins-Trennung);
• den Verantwortlichen bei der Erfüllung seiner Auskunfts- und Betroffenenrechte-Pflichten zu unterstützen;
• bei Verletzungen des Schutzes personenbezogener Daten den Verantwortlichen unverzüglich zu informieren (Art. 33 DSGVO, siehe Ziffer 10);
• die Löschung oder Rückgabe der Daten nach Abschluss der Leistung zu gewährleisten;
• dem Verantwortlichen auf Anforderung alle für die Durchführung von Kontrollen erforderlichen Informationen bereitzustellen.

6. Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein:

• Base44 Inc. (bzw. deren Hosting-Partner) als Hosting- und Plattform-Dienstleister. Sämtliche Datenverarbeitung erfolgt in Rechenzentren innerhalb der Europäischen Union.
• Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland, für die Zahlungsabwicklung von Einzel-Abonnements.
• KI-Dienstleister über die Plattform Base44 für die KI-gestützte Analyse und Trainingsplanung. Diese Dienste verarbeiten Daten ausschließlich in der EU bzw. unter DSGVO-konformen Bedingungen.

Die Einbeziehung weiterer Unterauftragsverarbeiter bedarf der vorherigen Zustimmung des Verantwortlichen, die durch die Nutzung der App als erteilt gilt, soweit es sich um branchenübliche IT-Dienstleistungen handelt. Der Auftragsverarbeiter stellt sicher, dass mit allen Unterauftragsverarbeitern entsprechende AVV abgeschlossen werden. Eine Datenverarbeitung außerhalb der EU findet nicht statt.

7. Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter setzt mindestens folgende Maßnahmen gemäß Art. 32 DSGVO um:

• Verschlüsselte Datenübertragung (TLS/HTTPS);
• Zugriffskontrolle und Authentifizierung (rollenbasiert);
• Strikte Vereins-Trennung (Multi-Tenancy), sodass Daten eines Vereins nicht für andere Vereine einsehbar sind;
• Regelmäßige Backups und Verfügbarkeitsmanagement;
• Trennung von Test- und Produktivumgebung;
• Pseudonymisierung und Datenminimierung („Privacy by Design", Art. 25 DSGVO);
• Protokollierung von Zugriffen und Änderungen;
• Regelmäßige Überprüfung der Wirksamkeit der Maßnahmen.

8. Kontrolle und Auskunft

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Durchführung von Kontrollen und der Beantwortung von Auskunftsersuchen betroffener Personen. Auf Anforderung stellt der Auftragsverarbeiter dem Verantwortlichen die zur Erfüllung seiner Pflichten erforderlichen Informationen bereit. Der Auftragsverarbeiter dokumentiert die Verarbeitungsvorgänge in einem Verzeichnis gemäß Art. 30 Abs. 2 DSGVO.

9. Löschung und Rückgabe

Nach Beendigung des Auftrags löscht der Auftragsverarbeiter die personenbezogenen Daten, soweit keine gesetzlichen Aufbewahrungspflichten bestehen, oder gibt sie an den Verantwortlichen zurück. Eine darüber hinausgehende Speicherung ist nur zulässig, soweit eine gesetzliche Verpflichtung besteht. Die Löschung erfolgt innerhalb von 30 Tagen nach Vertragsende, soweit nicht längere gesetzliche Aufbewahrungsfristen (z. B. § 132 BAO) gelten.

10. Verletzung des Schutzes personenbezogener Daten

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntnisnahme, über Verletzungen des Schutzes personenbezogener Daten (Art. 33 DSGVO). Die Information enthält mindestens:

• Art der Verletzung und die voraussichtlich betroffenen Daten;
• den Zeitpunkt des Eintritts;
• die möglichen Folgen für die betroffenen Personen;
• die getroffenen oder vorgeschlagenen Maßnahmen zur Behebung.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Meldung an die Aufsichtsbehörde (innerhalb von 72 Stunden gemäß Art. 33 Abs. 1 DSGVO) und bei der Information betroffener Personen (Art. 34 DSGVO).

11. Haftung und Schlussbestimmungen

Die Haftung richtet sich nach den gesetzlichen Bestimmungen der DSGVO (Art. 82 DSGVO) sowie dem anwendbaren österreichischen Recht. Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anwendbares Recht ist österreichisches Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters (Fieberbrunn, Österreich), soweit gesetzlich zulässig.

Bestätigung

Mit der Bestätigung dieses AVV im Onboarding-Prozess (Vereins-Beitritt oder Einzel-Abo) erklärt der Verantwortliche, diesen Vertrag gelesen und akzeptiert zu haben. Die Bestätigung wird mit Zeitstempel beim Benutzerkonto gespeichert.