Vereinbarung zur Auftragsverarbeitung für die Online-Turnierseite

1. Vertragsparteien und Abschluss

Auftragnehmer („Auftragsverarbeiter“) ist Daniel Brosch – Software Development, Breslauer Straße 40, 63303 Dreieich, Deutschland, Telefon +49 1522 6542907, E-Mail info@tatamio.de.

Auftraggeber („Verantwortlicher“) ist der Veranstalter des Turniers, für das die Online-Veröffentlichung in Tatamio eingeschaltet wird. Das ist in der Regel der Lizenznehmer. Stellt ein Verband seine Lizenz einem Mitgliedsverein für dessen Veranstaltung zur Verfügung, ist dieser Verein Auftraggeber. Der Auftraggeber wird in Tatamio unter „Online-Veröffentlichung“ als Veranstalter angegeben und auf der Turnierseite genannt.

Die Vereinbarung wird in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO): Die für den Auftraggeber handelnde Person bestätigt sie in Tatamio vor dem Einschalten der Online-Veröffentlichung. Tatamio übermittelt beim Hochladen die bestätigte Version, den Zeitpunkt der Bestätigung, den angegebenen Veranstalter und die Lizenz bzw. das Kunden-Token; der Auftragnehmer speichert diese Angaben als Nachweis. Ohne Bestätigung nimmt der Server keine Daten an. Auf Wunsch übersendet der Auftragnehmer eine unterschriebene Ausfertigung.

Diese Vereinbarung ergänzt die Allgemeinen Geschäftsbedingungen (AGB). In Fragen des Datenschutzes geht sie den AGB vor.

2. Gegenstand und Dauer

Gegenstand ist der Betrieb der Online-Turnierseite: Der Auftragnehmer empfängt die vom Auftraggeber freigegebenen Turnierdaten aus Tatamio, speichert sie auf seinem Server, zeigt sie unter einer eigenen Adresse je Turnier öffentlich im Internet an und löscht sie wieder.

Nicht Gegenstand ist die Nutzung von Tatamio in der Halle. Dort verarbeitet der Auftraggeber die Daten auf eigenen Rechnern; der Auftragnehmer hat darauf keinen Zugriff.

Die Vereinbarung gilt ab der Bestätigung für alle Turniere, die der Auftraggeber online veröffentlicht. Sie endet, wenn alle Turnierdaten des Auftraggebers nach Abschnitt 11 gelöscht sind. Die Pflichten aus den Abschnitten 6, 11 und 12 gelten darüber hinaus, solange der Auftragnehmer noch Daten des Auftraggebers verarbeitet.

3. Art und Zweck der Verarbeitung, Art der Daten, betroffene Personen

Art der Verarbeitung: Empfangen (verschlüsselt), Speichern, Bereitstellen zum Abruf im Internet, Löschen.

Zweck: Information von Teilnehmenden, Betreuern, Angehörigen und Zuschauern über Zeitplan, Paarungen, laufende Kämpfe und Ergebnisse des Turniers.

Art der personenbezogenen Daten (nur soweit in der Wettkampfsoftware des Auftraggebers hinterlegt):

• Name, Verein, Landesverband bzw. Nation der Teilnehmenden, bei Paardisziplinen die Namen der Paar-Mitglieder, die interne Kennung aus der Wettkampfsoftware;
• Wettkampfklasse (Disziplin, Alters- und Gewichtsklasse, Geschlecht der Klasse), Kampf- und Startnummern, Wettkampffläche;
• geplante, geschätzte und tatsächliche Kampfzeiten, Kampfverlauf (Punkte, Wertungen, Strafen, Siegart), Wertungen der Kampfrichter in Punktetabellen, Ergebnisse und Platzierungen;
• vom Auftraggeber selbst eingetragene Zeitplaneinträge (Titel, Bemerkung) sowie Name und Kontaktangabe des Veranstalters für die Fußzeile.

Nicht übertragen werden Geburtsdaten, Anschriften, Kontaktdaten der Teilnehmenden und Fotos. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand; der Auftraggeber trägt solche Daten nicht in Namens-, Vereins- oder Freitextfelder ein.

Betroffene Personen: Teilnehmende des Turniers, darunter regelmäßig Kinder und Jugendliche; Personen, die der Auftraggeber in Zeitplaneinträgen nennt (z. B. Kampfrichter, Helfer); Ansprechpartner des Veranstalters.

Teilnehmende, die der Auftraggeber in Tatamio unter „Online ausblenden“ einträgt, erscheinen online nur als „N. N.“ ohne Verein, Kennung und Paar-Mitglieder. Das wird in der Halle angewendet, bevor Daten übertragen werden.

Verbindungsdaten der Besucher der Turnierseite (IP-Adresse, Zeitpunkt, abgerufene Adresse, Browserkennung) verarbeitet der Auftragnehmer in eigener Verantwortung zum sicheren Betrieb des Servers; sie werden nach 7 Tagen gelöscht. Einzelheiten stehen in der Datenschutzerklärung.

4. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In einem solchen Fall teilt er dem Auftraggeber diese Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Weisungen erteilt der Auftraggeber in erster Linie über die Einstellungen in Tatamio. Insbesondere gelten als Weisung:

• das Ein- und Ausschalten der Online-Veröffentlichung und die Freigabe eines einzelnen Turniers;
• die Liste der online auszublendenden Teilnehmenden;
• die Löschfrist („Online löschen nach … Tagen“, 7 bis 365 Tage, voreingestellt 90 Tage);
• die Schaltfläche „Online-Seite löschen“ für das sofortige Löschen eines Turniers;
• die Angaben zu Veranstalter, Kontakt, Impressum und Datenschutzhinweisen für die Fußzeile.

Weitere Weisungen erteilt der Auftraggeber in Textform an info@tatamio.de. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO) und darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

5. Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Veröffentlichung verantwortlich. Er sorgt insbesondere dafür, dass

• eine Rechtsgrundlage für die Veröffentlichung besteht, etwa nach der Ausschreibung und Wettkampfordnung, einem berechtigten Interesse oder einer Einwilligung, und dass er bei Minderjährigen deren besondere Schutzwürdigkeit berücksichtigt;
• die Teilnehmenden bzw. ihre Sorgeberechtigten vor dem Turnier nach Art. 13 und 14 DSGVO über die Online-Veröffentlichung informiert werden, einschließlich der Möglichkeit, online ausgeblendet zu werden;
• Widersprüche und Löschwünsche über „Online ausblenden“ oder „Online-Seite löschen“ umgesetzt werden;
• auf der Turnierseite Veranstalter, Kontakt und ein Link zu seinen Datenschutzhinweisen angegeben sind.

Stellt der Auftraggeber Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er den Auftragnehmer unverzüglich.

6. Vertraulichkeit

Der Auftragnehmer verarbeitet die Daten selbst. Setzt er weitere Personen ein, gewährleistet er, dass sie sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO), und dass sie die Daten nur auf Weisung verarbeiten. Die Pflicht besteht auch nach Ende dieser Vereinbarung fort.

Die Turnierdaten sind zur Veröffentlichung bestimmt. Vertraulich zu behandeln sind insbesondere die Daten von Turnieren, die nicht mehr online sind, sowie Zugangsdaten und Nachweise.

7. Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Sie berücksichtigen, dass die Daten veröffentlicht werden und Minderjährige betreffen. Der Auftragnehmer darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.

8. Unterauftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Abschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage 2 und gelten als genehmigt.

Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor jeder beabsichtigten Hinzuziehung oder Ersetzung in Textform, in der Regel per E-Mail an die Adresse aus dem Kauf bzw. durch eine neue Version dieser Vereinbarung, die in Tatamio neu zu bestätigen ist. Der Auftraggeber kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist in Textform widersprechen. Widerspricht er, kann er die Online-Veröffentlichung beenden und die Löschung seiner Daten verlangen; weitere Ansprüche bestehen insoweit nicht.

Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die sich aus dieser Vereinbarung ergeben (Art. 28 Abs. 4 DSGVO). Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikation, Post oder die Wartung durch Dritte ohne Zugriff auf die Turnierdaten.

9. Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in der Europäischen Union statt. Eine Übermittlung in ein Drittland erfolgt nur nach vorheriger Zustimmung des Auftraggebers in Textform und wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Die Turnierseite ist naturgemäß weltweit abrufbar; das ist die vom Auftraggeber gewollte Veröffentlichung, keine Übermittlung durch den Auftragnehmer.

10. Unterstützung des Auftraggebers

Rechte der betroffenen Personen: Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 12 bis 22 DSGVO). Tatamio stellt dafür das Ausblenden einzelner Teilnehmender und das sofortige Löschen eines Turniers bereit. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst, es sei denn, der Auftraggeber weist ihn dazu an. Ist der Auftraggeber nicht rechtzeitig erreichbar und betrifft die Anfrage einen Widerspruch gegen die Online-Nennung eines Kindes oder Jugendlichen, darf der Auftragnehmer die betroffene Seite vorläufig sperren und informiert den Auftraggeber darüber.

Weitere Pflichten: Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der ihm vorliegenden Informationen bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung und Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

Verletzungen des Schutzes personenbezogener Daten: Der Auftragnehmer meldet dem Auftraggeber eine Verletzung unverzüglich, möglichst innerhalb von 24 Stunden, nachdem sie ihm bekannt geworden ist. Die Meldung erfolgt an die Kontaktangabe des Veranstalters bzw. die E-Mail-Adresse aus dem Kauf und enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Fehlende Angaben reicht er nach, sobald sie vorliegen. Der Auftragnehmer ergreift unverzüglich die nötigen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen zu mindern. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Auftraggeber.

11. Löschung und Rückgabe

Der Server löscht die Daten eines Turniers automatisch, wenn sie länger als die vom Auftraggeber eingestellte Löschfrist nicht aktualisiert wurden (7 bis 365 Tage, voreingestellt 90 Tage). Auf Weisung löscht der Auftragnehmer früher; mit der Schaltfläche „Online-Seite löschen“ in Tatamio geschieht das sofort.

Nach Ende der Vereinbarung löscht der Auftragnehmer alle Turnierdaten des Auftraggebers, soweit nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Eine Rückgabe ist nicht erforderlich, weil alle Daten aus der Wettkampfsoftware des Auftraggebers stammen und dort vollständig vorhanden sind. Auf Wunsch stellt der Auftragnehmer den gespeicherten Stand eines Turniers vor der Löschung als Datei bereit.

Sofern Sicherungskopien des Servers bestehen, werden darin enthaltene Daten rollierend spätestens 30 Tage nach der Löschung überschrieben und bis dahin nur zur Wiederherstellung nach einem Ausfall verwendet. Wird eine Sicherung zurückgespielt, löscht der Auftragnehmer die bereits gelöschten Turnierdaten erneut.

Der Nachweis der Bestätigung dieser Vereinbarung (Version, Zeitpunkt, Veranstalter, Lizenz) wird zur Erfüllung der Nachweispflicht für die Dauer der Vereinbarung und danach bis zum Ablauf der Verjährungsfristen für Ansprüche aus ihr, in der Regel drei Jahre zum Jahresende, aufbewahrt. Er enthält keine Turnierdaten. Auf Wunsch bestätigt der Auftragnehmer die Löschung in Textform.

12. Nachweise und Überprüfungen

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, in der Regel durch eine aktuelle Selbstauskunft und die Beschreibung der Maßnahmen in Anlage 1. Er ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragnehmers ist (Art. 28 Abs. 3 lit. h DSGVO). Überprüfungen vor Ort werden mit angemessener Frist, in der Regel zwei Wochen, angemeldet und während der üblichen Geschäftszeiten ohne Störung des Betriebs durchgeführt. Die Rechenzentren des Unterauftragsverarbeiters werden anhand seiner Zertifikate und Nachweise geprüft. Jede Partei trägt ihre eigenen Kosten einer Überprüfung. Rechte der Aufsichtsbehörden bleiben unberührt.

13. Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen Auftraggeber und Auftragnehmer gelten die Haftungsregeln der AGB (Abschnitt Haftung), soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt. Der Auftraggeber stellt den Auftragnehmer von Ansprüchen Dritter frei, die darauf beruhen, dass für die vom Auftraggeber veranlasste Veröffentlichung keine Rechtsgrundlage bestand oder Informationspflichten nicht erfüllt wurden, soweit der Auftraggeber dies zu vertreten hat.

14. Änderungen und Schlussbestimmungen

Ändert der Auftragnehmer diese Vereinbarung, veröffentlicht er eine neue Version auf dieser Seite. Tatamio fordert vor dem nächsten Hochladen zur Bestätigung der neuen Version auf; bis dahin werden keine neuen Daten angenommen. Bereits veröffentlichte Daten bleiben bis zur Löschung unter der zuvor bestätigten Version.

Änderungen und Nebenabreden bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleiben die übrigen wirksam. Es gilt das Recht der Bundesrepublik Deutschland; die Gerichtsstandsregel der AGB gilt entsprechend.

Zuständige Aufsichtsbehörde für den Auftragnehmer ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Datenminimierung und Schutz Minderjähriger

• Übertragen werden nur die in Abschnitt 3 genannten Daten. Interne Angaben aus der Halle (Status der Wettkampfsoftware, Lizenz, die Liste der Ausgeblendeten) verlassen das Hallennetz nicht.
• Ausgeblendete Teilnehmende werden bereits in der Halle durch „N. N.“ ohne Verein, Kennung und Paar-Mitglieder ersetzt, bevor Daten übertragen werden.
• Alle Seiten tragen „noindex, nofollow“ (Meta-Angabe und HTTP-Header X-Robots-Tag), und die robots.txt sperrt die ganze Turnierseite für Suchmaschinen.
• Jedes Turnier wird erst nach ausdrücklicher Freigabe in Tatamio hochgeladen; ein anderes in der Wettkampfsoftware geöffnetes Turnier braucht eine neue Freigabe.
• Kein Tracking, keine Analyse- oder Werbedienste, keine Cookies; Schriften und Grafiken werden vom eigenen Server geladen.

Zutritts- und Zugangskontrolle

• Der Server steht im Rechenzentrum der Hetzner Online GmbH in Helsinki, Finnland (ISO/IEC 27001-zertifiziert). Physischer Zutritt ist nur dem Personal des Rechenzentrums möglich.
• Verwaltung des Servers nur per SSH mit Schlüssel; Anmeldung mit Passwort und als root ist abgeschaltet. Das Hetzner-Konto ist mit einem zweiten Faktor geschützt.
• Firewall: nur die Ports für SSH, HTTP und HTTPS sind offen. Die Anwendung ist nur lokal (127.0.0.1) hinter dem Reverse Proxy erreichbar und läuft unter einem eigenen Benutzer ohne Anmelderecht.

Zugriffskontrolle und Trennung

• Die öffentliche Seite ist nur lesend. Es gibt dort keine Verwaltungsfunktionen, keine Programmierschnittstelle und keinen Zugriff auf die Wettkampfsoftware in der Halle.
• Daten können nur von der Tatamio-Instanz des Veranstalters übertragen werden. Sie meldet sich mit ihrer vom Auftragnehmer digital signierten Lizenzdatei (Ed25519) oder einem eigenen Kunden-Token an. Jedes Turnier ist dem Kunden zugeordnet, der es zuerst hochgeladen hat; andere Kunden können es weder überschreiben noch löschen.
• Jedes Turnier wird in einem eigenen Verzeichnis gespeichert und kann einzeln gelöscht werden.

Weitergabekontrolle und Integrität

• Übertragung ausschließlich verschlüsselt (HTTPS bzw. WSS mit TLS, Zertifikate werden automatisch erneuert).
• Tatamio greift auf die Wettkampfsoftware in der Halle nur lesend zu.
• Keine Weitergabe der Turnierdaten an Dritte außer an den Unterauftragsverarbeiter nach Anlage 2.

Verfügbarkeit und Belastbarkeit

• Fällt die Internetverbindung der Halle aus, laufen die Anzeigen in der Halle weiter; Tatamio verbindet sich neu und überträgt den vollständigen Stand erneut.
• Sicherheitsupdates des Betriebssystems werden automatisch eingespielt; der Dienst startet nach Fehlern selbständig neu.
• Die Turnierseite ist eine Zusatzinformation; maßgeblich bleiben die Wettkampfsoftware und die Turnierleitung.

Löschung

• Turnierdaten: automatische Löschung nach der eingestellten Frist seit der letzten Aktualisierung (7 bis 365 Tage, voreingestellt 90 Tage), sofort über „Online-Seite löschen“ oder auf Weisung.
• Zugriffsprotokolle des Webservers: Löschung nach 7 Tagen.
• Sicherungskopien, soweit vorhanden: verschlüsselt, rollierend überschrieben nach spätestens 30 Tagen.

Organisation und Überprüfung

• Der Auftragnehmer betreibt den Server selbst; es gibt keine weiteren Personen mit Zugang.
• Die Maßnahmen werden mindestens jährlich und nach jeder wesentlichen Änderung überprüft.

Anlage 2: Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Leistung: Bereitstellung des Servers (Cloud-Server) und des Rechenzentrums. Ort der Verarbeitung: Helsinki, Finnland (Europäische Union). Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.