Auftragsverarbeitungsvertrag (AVV)
nach Art. 28 DSGVO · Version 2.1 · Stand: November 2026
Vertragsparteien
Verantwortlicher („Verein“): der Sportverein, der Komingo nutzt, vertreten durch die Person, die diesen Vertrag in der App für den Verein bestätigt.
Auftragsverarbeiter („Betreiber“): Mahmut Dogan, Egenstraße 75, 42113 Wuppertal, E-Mail: kontakt@komingo.de
Abschluss: Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO), indem eine vertretungsberechtigte Person des Vereins ihn beim Einrichten des Vereins oder später unter Mehr → Rechtliches bestätigt. Zeitpunkt, Version und bestätigende Person werden gespeichert. Der Vertrag kann jederzeit unter club-pwa.mahmut-dogan.net/avv.html abgerufen, gedruckt und gespeichert werden.
§ 1 Gegenstand und Dauer
(1) Der Betreiber stellt dem Verein die Web-App „Komingo“ (Vereins-App) zur Organisation des Vereinsbetriebs bereit (Termine, Zu- und Absagen, Kommunikation, Spieltag, Mitgliederverwaltung u. a.) und verarbeitet dabei personenbezogene Daten im Auftrag des Vereins. Grundlage sind die Nutzungsbedingungen (Hauptvertrag).
(2) Der Vertrag gilt, solange der Verein die App nutzt, und endet automatisch mit dem Ende der Nutzung.
§ 2 Art, Zweck und Umfang der Verarbeitung
| Zweck | Bereitstellung und Betrieb der App für den Verein: Speichern, Anzeigen, Versenden von Benachrichtigungen (E-Mail, Push), Sichern und Löschen der Daten |
| Betroffene | Mitglieder, Spielerinnen und Spieler (auch Minderjährige), Eltern und Erziehungsberechtigte, Trainer, Vorstand und weitere Nutzer des Vereins |
| Datenarten | Name, E-Mail-Adresse, Rolle, Passwort-Hash, freiwillig Telefonnummer und Profilbild; Mannschaftszugehörigkeit, Geburtstag, Foto-Einwilligung; Termine, Zu- und Absagen, Notizen, Anwesenheit, Abwesenheiten; Mitteilungen, Umfragen, Dokumente, Fotos; Spieltags- und Turnierdaten; Fahrgemeinschaften, Aufgaben; bei Nutzung der Mitgliederverwaltung Geburtsdatum, Anschrift, Ein-/Austrittsdaten, Notizen; technische Daten (Push-Adressen, Anmeldezeitpunkte) |
| Besondere Kategorien | Gesundheitsangaben, soweit Nutzer bei Absagen oder Abwesenheiten freiwillig „krank“ oder „verletzt“ angeben (Art. 9 DSGVO) |
| Ort | Server und Datenbank in Deutschland (Hetzner, Nürnberg); E-Mail-Versand über ALL-INKL.COM (Deutschland), siehe § 6 |
§ 3 Weisungen
(1) Der Betreiber verarbeitet die Daten nur auf dokumentierte Weisung des Vereins, es sei denn, er ist gesetzlich dazu verpflichtet; dann teilt er dies dem Verein vorher mit, soweit das Gesetz es erlaubt. Weisungen sind insbesondere die Einstellungen und Handlungen in der App sowie Weisungen per E-Mail.
(2) Hält der Betreiber eine Weisung für datenschutzwidrig, weist er den Verein unverzüglich darauf hin.
(3) Der Betreiber greift auf Vereinsdaten nur zu, soweit es für Betrieb, Fehlerbehebung, Support oder auf Bitte des Vereins nötig ist.
§ 4 Pflichten des Betreibers
- Er verpflichtet alle Personen mit Zugriff auf die Daten zur Vertraulichkeit (derzeit nur der Betreiber selbst).
- Er trifft die technischen und organisatorischen Maßnahmen nach § 5 und Art. 32 DSGVO und passt sie dem Stand der Technik an.
- Er unterstützt den Verein bei Anfragen Betroffener (Art. 12–23 DSGVO), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei einer Datenschutz-Folgenabschätzung (Art. 32–36 DSGVO).
- Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, an die beim Verein hinterlegte E-Mail-Adresse – mit Art der Verletzung, betroffenen Daten, wahrscheinlichen Folgen und ergriffenen Maßnahmen.
- Er stellt dem Verein alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind (§ 8).
§ 5 Technische und organisatorische Maßnahmen
- Rechenzentrum: Hetzner Online GmbH in Deutschland (zertifiziert nach ISO/IEC 27001); Zutritt nur für Hetzner-Personal.
- Serverzugang: nur der Betreiber, per SSH-Schlüssel.
- Verschlüsselung der Übertragung: ausschließlich HTTPS/TLS.
- Anmeldung: Passwörter nur als bcrypt-Hash; Begrenzung der Anmeldeversuche (10 pro Minute und IP-Adresse); Anmeldungen gelten bis zu 180 Tage, werden aber bei jeder Anfrage gegen das Konto geprüft – gelöschte Konten, geänderte Rollen und Passwortänderungen wirken sofort.
- Mandantentrennung und Rollen: jede Anfrage wird dem Verein der Anmeldung zugeordnet; der Zugriff auf Termine, Kinder, Mannschaften usw. wird serverseitig gegen den Verein geprüft; abgestufte Rechte für Vorstand, Trainer, Eltern und Spieler; sensible Angaben (Absagegründe, Notizen, Geburtstage, Anwesenheit) nur für Trainer und Vorstand.
- Eingabekontrolle: Datenbankzugriffe nur mit Platzhaltern (Schutz vor SQL-Injection); Prüfung von Eingaben und hochgeladenen Dateien.
- Verfügbarkeit: tägliche Datenbanksicherung (Aufbewahrung 14 Tage), automatischer Neustart des Dienstes, Fehlerprotokoll mit gekürzten E-Mail-Adressen (Löschung nach höchstens 180 Tagen).
- Datensparsamkeit: kein Tracking, keine Werbung, keine Weitergabe zu eigenen Zwecken.
§ 6 Unterauftragsverarbeiter
(1) Der Verein stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Dienstleister | Leistung | Ort / Garantien |
|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Server, Datenbank, Sicherungen | Deutschland |
| ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf | Versand von E-Mails (Empfänger, Betreff, Inhalt) | Deutschland |
(2) Push-Nachrichten werden über den Push-Dienst des jeweiligen Browsers bzw. Betriebssystems zugestellt (Google, Apple, Mozilla). Den Dienst wählt das Gerät des Nutzers; der Inhalt ist Ende-zu-Ende verschlüsselt und für den Dienst nicht lesbar.
(3) Der Betreiber informiert den Verein mindestens vier Wochen vorher per E-Mail über neue oder geänderte Unterauftragsverarbeiter. Der Verein kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist keine Einigung möglich, kann er die Nutzung beenden. Der Betreiber verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.
§ 7 Pflichten des Vereins
- Der Verein ist für die Rechtmäßigkeit der Verarbeitung verantwortlich – insbesondere für die Information seiner Mitglieder (Art. 13, 14 DSGVO) und für Einwilligungen, wo sie nötig sind (z. B. Fotos).
- Er vergibt Zugänge und Rechte (Vorstand, Trainer) sorgfältig und entzieht sie, wenn sie nicht mehr gebraucht werden (Mehr → App-Zugänge).
- Er informiert den Betreiber unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
§ 8 Nachweise und Kontrollen
Der Betreiber weist die Einhaltung dieses Vertrags auf Anfrage durch eine schriftliche Auskunft nach. Der Verein kann darüber hinaus – nach rechtzeitiger Ankündigung, zu den üblichen Zeiten und ohne Störung des Betriebs – Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen (Art. 28 Abs. 3 lit. h DSGVO).
§ 9 Ende der Verarbeitung, Löschung
(1) Nach Ende der Nutzung kann der Verein seine Daten in der App exportieren (Listen als Excel). Danach löscht der Betreiber alle Daten des Vereins innerhalb von 30 Tagen; Datensicherungen werden nach weiteren 14 Tagen überschrieben. Auf Wunsch bestätigt der Betreiber die Löschung per E-Mail.
(2) Einzelne Konten und Daten kann der Verein jederzeit selbst in der App löschen.
§ 10 Haftung und Schluss
(1) Für die Haftung gilt Art. 82 DSGVO.
(2) Es gilt deutsches Recht. Änderungen dieses Vertrags teilt der Betreiber mindestens vier Wochen vorher per E-Mail mit; der Verein kann widersprechen und die Nutzung beenden. Die jeweils gültige Fassung ist unter dieser Adresse abrufbar.
(3) Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht.