Auftragsverarbeitung mit MyTeamZone.

1. Gegenstand und Dauer der Verarbeitung

Soweit Vereine, Mannschaften, Trainer oder sonstige berechtigte Nutzer personenbezogene Daten innerhalb von MyTeamZone für Vereins-, Mannschafts- und Organisationszwecke verarbeiten, bleibt der jeweilige Verein bzw. die jeweilige Organisation Verantwortlicher im Sinne der DSGVO.

MyTeamZone stellt die technische Plattform bereit und verarbeitet diese Daten regelmäßig als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Die Dauer der Auftragsverarbeitung richtet sich nach dem Hauptvertrag über die Nutzung von MyTeamZone sowie nach den dort beschriebenen Lösch- und Deaktivierungsfristen.

2. Art und Zweck der Verarbeitung

Die Verarbeitung dient der digitalen Vereins- und Mannschaftsorganisation. Hierzu gehören insbesondere die Verwaltung von Vereinen, Sportarten, Mannschaften, Rollen und Berechtigungen, Nutzerkonten, Trainings- und Spielterminen, Anwesenheiten, Abmeldungen einschließlich Absagegründen, Materialdiensten, Dokumenten, Beiträgen, Abstimmungen, Aufstellungen, Trainingsplanung, teaminterner Kassen- und Regelverwaltung einschließlich Strafenkatalog/Mannschaftskasse sowie organisatorischer Kommunikation.

Bei Jugendteams kann die Plattform außerdem zur Verknüpfung von Elternaccounts mit einzelnen Spielerprofilen genutzt werden. Kommunikationskontexte zwischen Trainerteam und einzelnen Spielern können, soweit konfiguriert, verknüpfte Elternaccounts einbeziehen.

3. Kategorien betroffener Personen

Von der Verarbeitung können insbesondere folgende Personengruppen betroffen sein:

• Vereinsadmins und sonstige organisatorische Verantwortliche
• Sportadmins, Trainer und Betreuer
• Spielerinnen und Spieler
• Eltern- bzw. Erziehungsberechtigtenkonten bei Jugendteams
• Kassenwarte und Mannschaftsräte
• sonstige ausdrücklich eingeladene oder zugewiesene Nutzer

4. Kategorien personenbezogener Daten

Je nach Rolle und Nutzung können insbesondere folgende Datenkategorien verarbeitet werden:

• Stamm- und Kontaktdaten, z. B. Name, E-Mail-Adresse, Vereins- oder Mannschaftsbezug
• Login-, Account- und Berechtigungsdaten
• Rollen-, Vereins-, Sportarten- und Mannschaftszuordnungen
• Trainings-, Termin-, Spiel- und Anwesenheitsdaten einschließlich Abmeldungen, allgemeinen Absagegründen und optionalen kurzen Freitexten
• Kommunikationsdaten aus Trainer-Spieler-Eltern-Chats sowie organisatorischen Beiträgen und Abstimmungen
• Dokumente, freiwillig hochgeladene Profilbilder und zulässige Bild-Uploads in Chats
• Daten zur teaminternen Kassen- und Regelverwaltung, einschließlich Mannschaftskasse und Strafenkatalog
• technische Nutzungsdaten, Push-Token sowie sicherheits- und abrechnungsrelevante Metadaten

5. Besondere Daten und Gesundheitsstatus

MyTeamZone ist nicht für die Verarbeitung medizinischer Diagnosen oder sonstiger detaillierter Gesundheitsdaten bestimmt. Soweit innerhalb der Plattform ein temporärer Status wie „krank“ oder „verletzt“ verwendet wird, dient dieser ausschließlich der kurzfristigen organisatorischen Verfügbarkeitsplanung.

Diagnosen, ärztliche Unterlagen oder sonstige medizinische Detailinformationen sollen nicht eingegeben werden. Freitextdiagnosen sind nicht vorgesehen. Dies gilt auch für Freitexte bei sonstigen Abmeldungen; dort sollen keine sensiblen Details eingetragen werden. Statuswerte „krank“ oder „verletzt“ werden nach Ablauf des jeweiligen Zeitraums gelöscht und nicht dauerhaft historisiert.

6. Rechte und Pflichten des Kunden als Verantwortlicher

Der Kunde ist dafür verantwortlich, dass für die Verarbeitung personenbezogener Daten eine geeignete Rechtsgrundlage besteht. Dies gilt insbesondere für die Anlage von Nutzerkonten, die Zuordnung von Rollen, die Verknüpfung von Elternaccounts bei Jugendteams, die Verarbeitung teaminterner Kommunikationsdaten sowie die Nutzung von Mannschaftskasse und Strafenkatalog.

Der Kunde ist ferner dafür verantwortlich, dass:

• nur berechtigte Personen Zugriff auf die Plattform erhalten,
• Rollen und Berechtigungen sachgerecht vergeben werden,
• keine unzulässigen, beleidigenden, diskriminierenden oder medizinisch sensiblen Inhalte eingestellt werden,
• Betroffenenrechte geprüft und, soweit der Kunde verantwortlich ist, ordnungsgemäß bearbeitet werden.

7. Pflichten von MyTeamZone als Auftragsverarbeiter

MyTeamZone verarbeitet personenbezogene Daten ausschließlich im Auftrag des Kunden und nur insoweit, wie dies zur Bereitstellung, Sicherung, Wartung und Unterstützung der Plattform erforderlich ist. Eine Nutzung der auftragsbezogenen Daten zu eigenen inhaltlichen oder vereinsfremden Zwecken erfolgt nicht.

Davon unberührt bleiben Verarbeitungen, die MyTeamZone als eigener Verantwortlicher vornehmen muss oder darf, insbesondere für Vertragsabwicklung, Abrechnung, Zahlungsverwaltung, IT-Sicherheit, Missbrauchsprävention, Nachweisführung und gesetzliche Pflichten.

Administrative Zugriffe durch MyTeamZone erfolgen nur, soweit dies für Betrieb, Sicherheit, Wartung, Support, Fehlerbehebung, Missbrauchsprävention oder gesetzliche Pflichten erforderlich ist. Eine inhaltliche Auswertung von Vereins-, Team- oder Kommunikationsdaten zu eigenen Zwecken findet nicht statt.

8. Dokumentierte Weisungen

MyTeamZone verarbeitet Daten auf Grundlage der dokumentierten Weisungen des Kunden. Solche Weisungen ergeben sich insbesondere aus der Nutzung der Plattform, den vorgenommenen Einstellungen, Rollen- und Kontextzuweisungen sowie aus ergänzenden schriftlichen oder textförmigen Anweisungen des Kunden. Hierzu zählen auch mannschaftsbezogene Einstellungen, etwa ob und unter welchen Voraussetzungen Spieler Trainings oder Spiele über die App absagen können.

Hält MyTeamZone eine Weisung für datenschutzrechtlich bedenklich, wird der Kunde hierauf hingewiesen, soweit dies nach den Umständen zumutbar und rechtlich zulässig ist.

9. Vertraulichkeit

MyTeamZone stellt sicher, dass Personen, die mit der Verarbeitung personenbezogener Daten betraut sind, auf Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

10. Technische und organisatorische Maßnahmen

MyTeamZone trifft angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Die aktuell beschriebenen Maßnahmen ergeben sich aus der Seite TOMs. Hierzu gehören insbesondere Zugriffsschutz, Rollen- und Berechtigungskonzept, Mandantentrennung nach Vereins- und Mannschaftskontexten, Transportverschlüsselung, Datenminimierung, Löschkonzept und betriebliche Schutzmaßnahmen.

Die jeweils geltenden TOMs sind Bestandteil dieses AV-Vertrags.

11. Unterauftragnehmer

MyTeamZone ist berechtigt, die auf der Seite Unterauftragnehmer genannten Unterauftragnehmer einzusetzen, soweit dies für Bereitstellung, Betrieb, Sicherheit, Abrechnung oder technische Zustellung erforderlich ist.

Änderungen der Unterauftragnehmerliste werden auf dieser Seite veröffentlicht. Kunden können gegen den Einsatz eines neuen Unterauftragnehmers aus berechtigten datenschutzrechtlichen Gründen innerhalb einer angemessenen Frist Einwände erheben, soweit der Einsatz des Unterauftragnehmers die im Auftrag verarbeiteten Daten des Kunden betrifft. Mit Unterauftragnehmern werden geeignete Datenschutzvereinbarungen geschlossen.

12. Drittlandübermittlungen

Soweit im Zusammenhang mit Hosting, Zahlungsabwicklung, technischer Zustellung oder unterstützenden Infrastrukturleistungen Daten in Drittländer übermittelt werden, erfolgt dies nur auf Grundlage geeigneter Garantien. Hierzu zählen insbesondere Standardvertragsklauseln; ergänzend kann, soweit der jeweilige Anbieter hierauf verweist, auch das EU-US Data Privacy Framework herangezogen werden.

13. Unterstützung bei Betroffenenrechten

MyTeamZone unterstützt den Kunden im angemessenen Umfang dabei, Anfragen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit oder Widerspruch zu bearbeiten, soweit eine Unterstützung über die vorhandenen Selbstverwaltungsfunktionen der Plattform hinaus erforderlich ist.

14. Unterstützung bei Datenschutzvorfällen

MyTeamZone informiert den Kunden unverzüglich über relevante Datenschutzvorfälle, soweit Daten des Kunden betroffen sind und die Kenntnis für die rechtliche oder organisatorische Bewertung erforderlich ist.

MyTeamZone unterstützt den Kunden angemessen bei der Erfüllung gesetzlicher Melde- und Informationspflichten, soweit diese den vom Kunden verantworteten Datenbestand betreffen und die hierfür erforderlichen Informationen MyTeamZone vorliegen oder zumutbar beschafft werden können.

15. Rückgabe, Deaktivierung und Löschung nach Vertragsende

Nach Vertragsende wird der jeweilige Vereinskontext deaktiviert. Eine Reaktivierung ist für einen Zeitraum von 12 Monaten möglich. Danach erfolgt die Löschung der Vereinsdaten, soweit keine gesetzlichen Aufbewahrungspflichten, berechtigten Nachweise oder sicherheitsbezogenen Gründe entgegenstehen.

Eine frühere Löschung ist auf berechtigte Anfrage möglich. Systemweite Backups werden ausschließlich zur Wiederherstellung und Betriebssicherheit genutzt, nicht produktiv ausgewertet und innerhalb begrenzter Fristen automatisch überschrieben oder gelöscht. Backups können neben Datenbankinhalten auch die im Vereinskontext referenzierten Datei-Inhalte enthalten, etwa Profilbilder, Dokumente, Chat-, Beitrags- oder Trainingsbilder, soweit dies für eine vollständige technische Wiederherstellung erforderlich ist. Bereits gelöschte oder fristbedingt entfernte Inhalte können vorübergehend noch in technischen Backups enthalten sein, bis diese turnusmäßig überschrieben oder gelöscht werden.

Gesetzliche Aufbewahrungspflichten betreffen insbesondere abrechnungs-, vertrags- oder handelsrechtlich relevante Daten. Operative Vereins-, Mannschafts- und Kommunikationsdaten werden hiervon grundsätzlich getrennt behandelt.

16. Nachweise und Kontrollrechte

MyTeamZone stellt dem Kunden auf angemessene Anfrage Informationen und Nachweise zur Verfügung, die erforderlich sind, um die Einhaltung dieser Vereinbarung nachvollziehbar darzustellen. Hierzu können insbesondere Rechtstexte, technische Beschreibungen, TOMs, Vertragsunterlagen mit Unterauftragnehmern sowie dokumentierte Prozesse gehören.

Weitergehende Prüfungen oder Audits sind nach vorheriger Abstimmung möglich, soweit sie verhältnismäßig sind und Betriebsabläufe, Sicherheit, Vertraulichkeit sowie Rechte anderer Kunden nicht unangemessen beeinträchtigen.