Auftragsverarbeitungsvertrag (AVV)

Hinweis: Dieser AVV ist eine Vertragsvorlage auf Basis gängiger Muster (u.a. Bitkom) und ersetzt keine Einzelfallprüfung durch eine Rechtsberatung. Vereine, die SWINGZ zur Verarbeitung von Mitgliederdaten nutzen, sind als Verantwortliche verpflichtet, mit SWINGZ als Auftragsverarbeiter einen AVV zu schließen (Art. 28 DSGVO). Zur Unterzeichnung bitte Kontakt über datenschutz@swingz.cloud aufnehmen.

1. Gegenstand und Dauer

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Nutzung der SWINGZ-Plattform (nachfolgend „Auftragsverarbeitung") ergeben. Der Verein (nachfolgend „Verantwortlicher") beauftragt die SWINGZ GmbH (nachfolgend „Auftragsverarbeiter") mit der Verarbeitung personenbezogener Daten im Rahmen der Mitgliederverwaltung, Trainingsplanung, Buchungsverwaltung und Zahlungsabwicklung.

Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags (Nutzungsvertrag über die SWINGZ-Plattform, siehe Nutzungsbedingungen).

2. Art, Zweck und Kategorien der Verarbeitung

Zweck: Bereitstellung einer SaaS-Plattform zur Verwaltung von Mitgliedern, Trainingsangeboten, Platzbuchungen, Beitragsabrechnung und automatischer Saisonplanung.

Kategorien betroffener Personen: Vereinsmitglieder, Trainer, Vereinsfunktionäre, ggf. Erziehungsberechtigte bei minderjährigen Mitgliedern.

Kategorien personenbezogener Daten: Stammdaten (Name, Adresse, Geburtsdatum), Kontaktdaten (E-Mail, Telefon), Mitgliedschaftsdaten, Buchungs-/Anwesenheitsdaten, Zahlungsdaten (SEPA-Mandat, Rechnungsdaten — keine vollständigen Kartendaten, diese verarbeitet ausschließlich Stripe als Zahlungsdienstleister direkt).

3. Pflichten des Auftragsverarbeiters

Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, eine Verpflichtung nach dem Recht der Union oder der Mitgliedstaaten verlangt etwas anderes.
Sicherstellung, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet wurden.
Ergreifen aller nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Ziffer 4).
Unterstützung des Verantwortlichen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit).
Unterstützung bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Meldepflichten bei Datenschutzverletzungen, Datenschutz-Folgenabschätzung).
Löschung oder Rückgabe aller personenbezogenen Daten nach Beendigung der Vertragsbeziehung, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht (siehe Ziffer 7).
Bereitstellung aller erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten sowie Ermöglichung von Überprüfungen durch den Verantwortlichen (siehe Ziffer 6).

4. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter setzt insbesondere folgende Maßnahmen um:

Verschlüsselte Übertragung (TLS) für alle Client-Server-Verbindungen und verschlüsselte Speicherung sensibler Felder in der Datenbank.
Mandantentrennung auf Datenbankebene je Verein mittels Row-Level-Security (RLS) — über 120 aktive RLS-Policies.
Rollenbasierte Zugriffskontrolle (owner/superadmin/admin/trainer/member) mit serverseitiger Autorisierungsprüfung auf jeder API-Route.
CSRF-Schutz, Rate-Limiting auf sensiblen Endpunkten (Login, Registrierung, Kontaktformular) sowie signaturbasierte Validierung eingehender Webhooks (Stripe).
Strukturiertes Error-Monitoring (Sentry) ohne Ausgabe von Klartext-Stacktraces an Endnutzer.
Regelmäßige Backups über den Infrastrukturanbieter (siehe Ziffer 5).

5. Unterauftragsverarbeiter

Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zum Einsatz folgender Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert über Änderungen dieser Liste; der Verantwortliche kann der Einbeziehung neuer Unterauftragsverarbeiter aus wichtigem Grund widersprechen.

Dienst	Zweck	Ort / Absicherung
manitu GmbH	Serverhosting für Datenbank, Authentifizierung und Datei-Storage (selbstbetriebene Supabase-Instanz)	Deutschland (St. Wendel); kein Drittlandtransfer
Upstash	Zwischenspeicher für die Begrenzung der Zugriffsrate (IP-Adressen)	EU-Region; ggf. Drittlandtransfer über SCC abgesichert
Vercel	Hosting, Deployment	EU-Region wählbar; SCC/EU-US Data Privacy Framework
Stripe	Zahlungsabwicklung	EU/US; SCC-abgesichert, eigener AVV mit Stripe
Resend	Transaktionale E-Mails	EU/US; SCC-abgesichert
Sentry	Fehler-Monitoring	EU-Region konfigurierbar; SCC-abgesichert

6. Kontrollrechte

Der Verantwortliche hat das Recht, sich von der Einhaltung der in diesem Vertrag vereinbarten Pflichten des Auftragsverarbeiters zu überzeugen. Der Auftragsverarbeiter stellt hierfür auf Anfrage geeignete Nachweise (z.B. Selbstauskunft, Dokumentation der TOM) zur Verfügung.

7. Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Nutzungsvertrags werden personenbezogene Daten des Verantwortlichen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten (z.B. handels-/steuerrechtliche Fristen für Rechnungsdaten) entgegenstehen. Auf Wunsch erhält der Verantwortliche vor Löschung einen Datenexport.

8. Haftung und Schlussbestimmungen

Es gelten die Haftungsregelungen der Nutzungsbedingungen. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.