Vertrag zur Auftragsverarbeitung

§ 1 Die Parteien

Verantwortlicher ist der Verein, der den Zugang nutzt, mit den Angaben, die er bei der Einrichtung gemacht hat.

Auftragsverarbeiter ist Oskar Tyll, Operonic, Liebigstr. 11, 39104 Magdeburg, kontakt@operonic.de.

§ 2 Gegenstand, Dauer, Art und Zweck

Gegenstand ist der Betrieb der Anwendung „Matchsnap", mit der der Verein Spieltagsgrafiken erzeugt, aus eigenen Angaben und aus Spielplandaten, die er aus unserer Spielplan-Datenbank übernimmt.

Art der Verarbeitung: Erheben durch Eingabe und Einlesen, Speichern, Ordnen, Anzeigen, Verändern, Auslesen, Erzeugen von Bilddateien, Löschen.

Zweck: ausschließlich die Erstellung und Bereitstellung der Grafiken für den Verein. Eine eigene Nutzung der Daten durch uns findet nicht statt, insbesondere keine Auswertung über Vereine hinweg, keine Werbung, kein Training von KI-Modellen.

Dauer: Der Vertrag läuft, solange der Verein den Zugang nutzt. Er endet mit dem Ende der Nutzung.

Ort der Verarbeitung: Alle Daten des Vereins werden in Deutschland gespeichert (Rechenzentrum Nürnberg). Eine Ausnahme gibt es, und nur eine: Lädt der Verein ein Foto hoch, wird dieses Foto zum Freistellen des Motivs kurzzeitig an einen Dienst in den Vereinigten Staaten übermittelt und dort binnen einer Minute wieder gelöscht. Einzelheiten und die Rechtsgrundlage stehen in § 6, der technische Ablauf in Anlage 2. Kaderdaten, Spieldaten und Zugangsdaten verlassen Deutschland nicht.

Abgrenzung zur Spielplan-Datenbank. Matchsnap führt eine eigene Spielplan-Datenbank aus öffentlich zugänglichen Struktur- und Spielplandaten von fussball.de (Verbände, Staffeln, Vereine, Mannschaften, Spieltermine mit Anstoß, Spielstätte und Gegner, Wappen; für bayerische Vereine kommen die Wappen einzeln von bfv.de). Sie enthält keine Personen, keine Aufstellungen, keine Torschützen und keine Ergebnisse. Sie ist nicht Gegenstand dieses Vertrages: Sie entsteht nicht im Auftrag des Vereins, und sie enthält keine personenbezogenen Daten.

• Wählt der Verein beim Einrichten Mannschaften und Spiele aus der Datenbank, werden sie in seinen Bereich kopiert. Ab dann gehören sie zu den Daten des Vereins und werden wie seine eigenen behandelt; soweit sie zusammen mit Angaben zu Personen Personenbezug erhalten, gilt dieser Vertrag.
• Aus den Bereichen der Vereine fließt nichts in die Datenbank zurück: keine Kader, keine Fotos, keine Eingaben. Genutzt wird allein die Vereinskennung von fussball.de, damit klar ist, welcher Spielplan täglich abzugleichen ist.
• Kader- und Spielerdaten kommen ausschließlich vom Verein, nie aus der Datenbank, vom Verband oder von einem anderen Portal.

Die verarbeiteten Datenarten und die betroffenen Personengruppen stehen in Anlage 1.

§ 3 Weisungsgebundenheit

Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich einer Übermittlung in ein Drittland oder an eine internationale Organisation, sofern wir nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet sind. In einem solchen Fall teilen wir dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

Wir informieren den Verantwortlichen unverzüglich, wenn wir der Auffassung sind, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Wir dürfen die Ausführung einer solchen Weisung aussetzen, bis sie bestätigt oder geändert wird.

Die Bedienung des Werkzeugs durch den Verein gilt als Weisung. Weisungen darüber hinaus erfolgen in Textform an kontakt@operonic.de; mündliche Weisungen werden von uns in Textform bestätigt.

§ 4 Vertraulichkeit

Zur Verarbeitung sind ausschließlich Personen befugt, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.

Derzeit hat ausschließlich der Auftragsverarbeiter selbst Zugriff. Werden künftig weitere Personen einbezogen, werden sie vor dem ersten Zugriff schriftlich verpflichtet und auf die Vertraulichkeit hingewiesen.

§ 5 Technische und organisatorische Maßnahmen

Wir treffen die Maßnahmen nach Art. 32 DSGVO. Sie sind in Anlage 2 im Einzelnen beschrieben und werden auf dem Stand der Technik gehalten. Änderungen dürfen das Schutzniveau nicht unterschreiten; wesentliche Änderungen werden dokumentiert.

§ 6 Weitere Auftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter. Beim Vertragsschluss ist das:

Übermittlung in ein Drittland

Die Übermittlung der Fotos an fal ist eine Übermittlung in ein Drittland ohne Angemessenheitsbeschluss. Sie stützt sich auf die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss 2021/914), die Bestandteil des Auftragsverarbeitungsvertrages von fal sind; dieser gilt automatisch mit der Nutzung des Dienstes und geht dessen allgemeinen Nutzungsbedingungen im Konfliktfall vor.

fal verarbeitet die übermittelten Daten nach diesem Vertrag ausschließlich auf dokumentierte Weisung und damit nur zu dem Zweck, das Motiv freizustellen. Eine Nutzung der Fotos zum Training von KI-Modellen ist damit ausgeschlossen; zulässig ist fal allein die Auswertung anonymisierter Nutzungsdaten, die keinen Personenbezug haben.

Wir begrenzen die Übermittlung zusätzlich technisch: Das Foto wird mit einer Verfallsanweisung übertragen und ist nach etwa einer Minute nicht mehr abrufbar (nachgemessen am 27.08.2026). Übermittelt wird nur die Bilddatei, ohne Namen, ohne Zuordnung zu einem Verein und ohne weitere Angaben.

Hinweis zur Vertragskette: fal verwendet Modul 2 der Standardvertragsklauseln (Verantwortlicher an Auftragsverarbeiter). Da wir gegenüber dem Verein selbst Auftragsverarbeiter sind, wäre Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter) die genauere Abbildung. Wir benennen das offen, statt es zu übergehen. Die Pflichten, die uns § 6 Absatz 3 auferlegt, erfüllt fal der Sache nach: Weisungsbindung, Vertraulichkeit, Sicherheit, Unterstützung, Löschung. Der Verein kann der Hinzuziehung nach Absatz 2 widersprechen; in diesem Fall stellen wir seine Fotos ohne diesen Dienst frei (siehe Anlage 2).

Weitere Änderungen teilen wir mindestens 30 Tage vorher in Textform mit. Der Verantwortliche kann innerhalb dieser Frist widersprechen. Widerspricht er aus einem sachlichen, datenschutzbezogenen Grund und lässt sich keine Einigung erzielen, darf er den Vertrag fristlos kündigen; die Löschpflicht nach § 10 bleibt bestehen.

Wir verpflichten jeden weiteren Auftragsverarbeiter auf dieselben Pflichten, die uns hier auferlegt sind, und haften für ihn wie für eigenes Handeln.

Nicht als weitere Auftragsverarbeiter gelten Nebenleistungen ohne Bezug zu den Auftragsdaten (etwa Telekommunikation, Post, Wartung von Hardware). Ebenso gilt ein Zahlungsdienst nicht als weiterer Auftragsverarbeiter, der nur die Zahlungs- und Abodaten der Vertreter des Vereins erhält und keine Inhalte aus dem Bereich des Vereins (Kader, Fotos, Spieldaten).

§ 7 Unterstützung bei Betroffenenrechten

Betroffene wenden sich an den Verein. Wendet sich jemand an uns, leiten wir die Anfrage unverzüglich weiter und beantworten sie nicht selbst.

Wir unterstützen den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen. Der Verein kann seine Daten jederzeit selbst im Werkzeug einsehen, ändern und löschen; darüber hinausgehende Unterstützung leisten wir innerhalb von zehn Werktagen.

§ 8 Weitere Unterstützungspflichten

Wir unterstützen den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen des Schutzes personenbezogener Daten und, falls erforderlich, bei einer Datenschutz-Folgenabschätzung.

Verletzungen des Schutzes personenbezogener Daten melden wir dem Verantwortlichen unverzüglich nach Kenntnis, in der Regel innerhalb von 24 Stunden, mit den nach Art. 33 Abs. 3 DSGVO nötigen Angaben, soweit sie uns vorliegen. Die Meldung an die Aufsichtsbehörde nimmt der Verantwortliche vor.

§ 9 Nachweise und Überprüfung

Wir stellen dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglichen Überprüfungen einschließlich Inspektionen.

Überprüfungen erfolgen nach Ankündigung mit angemessener Frist, in der Regel zwei Wochen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs. Der Verantwortliche kann sie selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, der nicht in Wettbewerb zu uns steht. Auskünfte in Textform gehen einer Prüfung vor Ort vor, wenn sie den Zweck erfüllen.

§ 10 Löschung und Rückgabe

Nach Ende der Nutzung stehen die Daten 30 Tage zum Abruf bereit. Danach löschen wir sie, einschließlich vorhandener Kopien. Sicherungskopien werden im Rahmen ihres regulären Zyklus überschrieben, spätestens nach 30 weiteren Tagen. Wir bestätigen die Löschung auf Verlangen in Textform.

Ausgenommen sind das Zustimmungsprotokoll nach § 11 und die Rechnungsunterlagen. Das Protokoll ist der Nachweis dieses Vertrages und wird für drei Jahre aufbewahrt. Rechnungsunterlagen bewahren wir nach den steuerrechtlichen Fristen auf. Beides führen wir in eigener Verantwortung und es enthält keine Daten der Spielerinnen und Spieler. Ebenso bleibt der Stand des Startguthabens (Vereinskennung und Verbrauch, keine Personennamen) bestehen, damit es nicht erneut vergeben wird.

§ 11 Nachweis des Vertragsschlusses

Beim Einrichten des Zugangs werden gespeichert: Zeitpunkt, Benutzerkonto, Vereinskennung, Name und Funktion der zustimmenden Person, der Fassungsstand dieses Vertrages und der Nutzungsbedingungen sowie eine gekürzte IP-Adresse. Ändern wir diesen Vertrag inhaltlich, ist bei der nächsten Anmeldung erneut zuzustimmen.

§ 12 Pflichten des Verantwortlichen

Der Verein ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage der eingestellten Daten. Er stellt sicher, dass

• für Fotos von Personen eine Rechtsgrundlage besteht, bei Minderjährigen einschließlich der Einwilligung der Erziehungsberechtigten,
• Kaderdaten nur für zulässige Zwecke eingestellt werden,
• Betroffene nach Art. 13 und 14 DSGVO informiert sind,
• im Werkzeug keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO eingetragen werden. Das Werkzeug ist dafür nicht vorgesehen. Insbesondere gehören Angaben zu Verletzungen, Erkrankungen oder gesundheitlichen Einschränkungen nicht in Freitextfelder wie Spielberichte oder Notizen.

§ 13 Haftung

Es gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen der Nutzungsbedingungen.

§ 14 Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag vor, soweit es um die Verarbeitung personenbezogener Daten geht. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. Es gilt deutsches Recht.

Anlage 1: Daten und betroffene Personen

Betroffene Personengruppen:

• Spielerinnen und Spieler des Vereins, einschließlich minderjähriger
• Trainerinnen, Trainer und Betreuungspersonen
• Schiedsrichterinnen und Schiedsrichter, soweit im Spielbericht genannt
• Spielerinnen und Spieler gegnerischer Mannschaften, soweit als Torschützen genannt oder auf Fotos abgebildet
• weitere auf Fotos abgebildete Personen
• Vereinsvertreter mit einem Zugang

Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen (siehe § 12).

Anlage 2: Technische und organisatorische Maßnahmen

Stand: siehe Fassungsdatum oben.

Zutrittskontrolle

Die Server stehen im Rechenzentrum der Hetzner Online GmbH in Nürnberg. Dort liegen alle gespeicherten Daten; zur einzigen Ausnahme beim Freistellen von Fotos siehe „Weitergabekontrolle" weiter unten und § 6. Zutritt, Videoüberwachung, Vereinzelung und Brandschutz liegen dort; der Anbieter ist nach ISO/IEC 27001 zertifiziert. Es werden keine Auftragsdaten auf Arbeitsplatzrechnern dauerhaft gespeichert.

Zugangskontrolle (wer an das System kommt)

• Zugänge werden einzeln vergeben; es gibt keine offene Anmeldung und keine geteilten Sammelkonten.
• Passwörter werden nie im Klartext gespeichert, sondern als PBKDF2-SHA256 mit 600.000 Runden und einem eigenen Zufallssalz je Konto.
• Nach fünf Fehlversuchen wird das Konto fünf Minuten gesperrt. Der Passwortvergleich läuft in konstanter Zeit, damit die Antwortdauer nicht verrät, ob ein Benutzername existiert.
• Die Sitzung liegt in einem Cookie mit HttpOnly, SameSite=Lax und Secure; sie läuft nach 14 Tagen ab und wird beim Abmelden serverseitig gelöscht.
• Die Verbindung ist durchgehend TLS-verschlüsselt; unverschlüsselte Aufrufe werden umgeleitet.
• Der Verwaltungszugang zum Server erfolgt ausschließlich über SSH mit Schlüsselpaar; Passwortanmeldung ist abgeschaltet.

Zugriffskontrolle und Trennung (wer welche Daten sieht)

• Jeder Verein hat ein eigenes Verzeichnis. Welcher Bereich ausgeliefert wird, entscheidet ausschließlich das angemeldete Konto, nie ein Wert aus der Anfrage, dem Pfad oder einer Kopfzeile.
• Der direkte Zugriff auf Vereinsverzeichnisse und auf die Zugangsdaten ist am Webserver gesperrt, auch für Anfragen, die nur prüfen wollen, ob eine Datei existiert.
• Für die Erzeugung der Grafiken stellt der Server eine kurzlebige Marke aus, die 15 Minuten gilt, an genau einen Vereinsbereich gebunden ist und ausschließlich Bilder und Vorlagen freigibt, keine Auskunft über Kader oder Spieldaten.
• Dateien mit Zugangsdaten haben die Rechte 0600, ihr Verzeichnis 0700.

Weitergabekontrolle

• In die Oberfläche werden keine Inhalte fremder Anbieter eingebunden: keine Schriften, keine Skripte, keine Zählpixel von anderen Servern.
• Ein einziger Dienst außerhalb erhält Daten, und nur Bilddaten: Zum Freistellen wird ein hochgeladenes Foto an fal (Vereinigte Staaten) übermittelt. Alles andere (Kaderdaten, Spieldaten, Zugangsdaten) verlässt den Server in Nürnberg nicht. Rechtsgrundlage und Zweckbindung stehen in § 6.
• Wappen bleiben auf unserem Server. Das Freistellen und das Hochrechnen unscharfer Wappen mit einem KI-Verfahren laufen auf unserer eigenen Hardware; Wappen werden nicht an Dritte übermittelt.
• Das übermittelte Foto verfällt nach etwa einer Minute. Wir übertragen es mit einer Verfallsanweisung; danach ist es unter seiner Adresse nicht mehr abrufbar (gemessen: HTTP 403 nach 60 Sekunden). Ohne diese Anweisung läge es 60 Tage lang öffentlich abrufbar, deshalb ist sie im Programm nicht abschaltbar.
• Das Ergebnis, der freigestellte Spieler ohne Hintergrund, bleibt beim Dienst länger abrufbar. Es ist dasselbe Motiv, das der Verein anschließend auf seiner Grafik veröffentlicht.
• Wir kommen ohne diesen Dienst aus. Das Freistellen läuft auch auf unserem eigenen Server; die dafür nötige Software bleibt installiert und springt ein, wenn der Dienst nicht erreichbar ist. Widerspricht ein Verein der Hinzuziehung nach § 6, stellen wir seine Fotos auf diesem Weg frei.

Eingabekontrolle

• Änderungen an Kadern führen mit, ob ein Eintrag von Hand oder aus einem Import stammt.
• Zustimmungen zu Vertragsfassungen werden mit Zeitpunkt und Konto protokolliert.

Verfügbarkeit und Wiederherstellbarkeit

• Tägliche automatische Sicherung der Vereinsverzeichnisse und der Zugangsdaten, verschlüsselt, mit einer Aufbewahrung von 14 Tagen.
• Die Sicherung liegt verschlüsselt auf demselben Server; der Schlüssel liegt nicht dort. Sie schützt vor versehentlichem Löschen und defekten Schreibvorgängen, nicht vor dem Verlust des Rechenzentrums.
• Die Wiederherstellung wird mindestens einmal jährlich erprobt.
• Die erzeugten Grafiken lädt der Verein herunter; das Werkzeug ist kein Archiv. Fertige Blätter werden nach 30 Tagen gelöscht (siehe Nutzungsbedingungen).

Trennung nach Zweck

• Es findet keine Verarbeitung von Vereinsdaten über Vereine hinweg statt: keine gemeinsame Kader- oder Fotosammlung, keine Vorbefüllung neuer Bereiche aus den Daten anderer Vereine, keine Auswertung über alle Vereine. Gemeinsam genutzt wird allein die Spielplan-Datenbank. Sie enthält nur öffentliche, nicht personenbezogene Daten und bekommt nichts aus den Vereinsbereichen. Neue Bereiche werden daraus mit Mannschaften, Spielen und Wappen vorbefüllt, wenn der Verein das wählt; bei bayerischen Vereinen holen wir die Wappen dafür einzeln von bfv.de.
• Entwicklung und Erprobung laufen mit erfundenen Vereinen und erfundenen Namen, nicht mit Daten aus dem Betrieb.

Belastbarkeit und Überprüfung

• Aktualisierungen des Betriebssystems werden regelmäßig eingespielt.
• Die Wirksamkeit dieser Maßnahmen wird mindestens jährlich überprüft und bei jeder wesentlichen Änderung der Anwendung.