Auftragsverarbeitung

Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

zwischen dem Betreiber, der auf PadelPunch Ligen für seine Kunden führt (Verantwortlicher), und Patrick Eckhard, Handelsagentur Patrick Eckhard, Braukestr. 47a, 49163 Bohmte, contact@padelpunch.de (Auftragsverarbeiter, „PadelPunch“). Sie wird angenommen, indem der Betreiber den Betreiber-Tarif nutzt oder den Betreibervertrag annimmt.

1. Gegenstand. PadelPunch verarbeitet für den Betreiber die Daten der Spieler und Kapitäne seiner Ligen, soweit die Plattform das braucht: Name, Handynummer, Stufe, Gruppe, Ergebnisse, Warteliste, Niveau-Selbsteinschätzung, Pausenstatus, Push-Kennung des Geräts, kurzfristig technische Protokolle. Zweck: die Ligen des Betreibers organisieren. Dauer: solange der Betreiber Ligen auf PadelPunch führt, bis zur Löschung. Nicht erfasst: technischer Betrieb, ligaübergreifendes Spielerprofil und Vertragsdaten des Betreibers – dafür ist PadelPunch selbst verantwortlich (padelpunch.de/datenschutz).

2. Weisungen. Die Nutzung der Plattform durch den Betreiber gilt als Weisung; weitere Weisungen in Textform an contact@padelpunch.de. Hält PadelPunch eine Weisung für rechtswidrig, sagt PadelPunch das und darf sie bis zur Klärung aussetzen.

3. Pflichten von PadelPunch. Verarbeitung nur im Auftrag und nicht für eigene Zwecke (außer Ziffer 1); Vertraulichkeit aller Zugriffsberechtigten (derzeit nur Patrick Eckhard); technische und organisatorische Maßnahmen nach Ziffer 4; Unterstützung bei Betroffenenrechten, Folgenabschätzungen und Behördenanfragen (bei erheblichem Aufwand gegen vorher vereinbarte Vergütung); Meldung einer Datenpanne, die Spieler des Betreibers betrifft, unverzüglich mit den Angaben für dessen Meldung nach Art. 33 DSGVO. Jeder Spieler kann sein Profil selbst löschen; Ergebnisse werden anonymisiert.

4. Maßnahmen. Datenbank in der EU (Supabase, AWS-Region eu-west-1, Dublin/Irland; App-Funktionen bei Vercel in Dublin); Verschlüsselung bei Übertragung und Speicherung; Zugriff nur über persönliche, nicht erratbare Links oder angemeldete Admin-Konten; Trennung der Ligen auf Datenbankebene (Row Level Security); keine Handynummern auf der öffentlichen Liga-Seite; automatische Datensicherung; Admin-Zugang nur mit Zwei-Faktor-Schutz; Zugriffe des Plattform-Admins werden im Protokoll der Liga vermerkt; keine Werbenetzwerke, kein Tracking.

5. Unterauftragsverarbeiter (genehmigt).

Stripe verarbeitet nur Zahlungsdaten des Betreibers und ist kein Unterauftragsverarbeiter für Spielerdaten. Neue Unterauftragsverarbeiter kündigt PadelPunch vier Wochen vorher in Textform an; der Betreiber kann binnen zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen und, wenn keine Lösung gefunden wird, seine Ligen beenden. Unterauftragsverarbeiter sind vertraglich auf gleichwertige Pflichten verpflichtet.

6. Kontrolle. Auf Anfrage erhält der Betreiber Nachweise (Selbstauskunft, Zertifikate und Berichte der Dienstleister). Eine Prüfung vor Ort nur bei konkretem Anlass, mit zwei Wochen Ankündigung.

7. Ende. Beendet der Betreiber seine Ligen, stellt PadelPunch die Spieler- und Ergebnisdaten auf Anfrage binnen 14 Tagen als CSV bereit und löscht sie auf Weisung, spätestens nach den Löschfristen der AGB; gesetzlich aufzubewahrende Rechnungsdaten bleiben für die Dauer der Fristen. Das ligaübergreifende Spielerprofil bleibt beim Spieler, bis er es selbst löscht.

8. Haftung. Es gelten die Haftungsregeln der AGB (Ziffer 8) beziehungsweise des Betreibervertrags (Ziffer 7). Art. 82 DSGVO bleibt unberührt.