Auftragsverarbeitungsvertrag
Gemäß Art. 28 DSGVO · Stand: 2026-10-03
Vertragsparteien
Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag zwischen dem Verein (nachfolgend „Verantwortlicher“) und Maximilian-Walter Esser, Westrandsiedlung 303/2, 8786 Rottenmann, Österreich, als Betreiber von Esportshub (nachfolgend „Auftragsverarbeiter“). Er wird durch Auswahl des entsprechenden Kontrollkästchens bei Anlage eines Vereins auf der Plattform wirksam abgeschlossen (Art. 28 Abs. 9 DSGVO — Textform genügt).
1. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen der Nutzung der Plattform Esportshub erfasst. Die Dauer entspricht der Laufzeit des Hauptvertrags (Nutzung der Plattform durch den Verein).
2. Art und Zweck der Verarbeitung
Bereitstellung einer Software zur Vereinsverwaltung: Speicherung, Anzeige, Änderung und Löschung von Mitglieds-, Spieler-, Team-, Sponsoren- und Eventdaten; Versand vereinsbezogener E-Mails (Anmeldebestätigungen, Ankündigungen); Erstellung digitaler Mitgliedsausweise; Verwaltung von LAN-Event-Registrierungen.
3. Kategorien betroffener Personen
- Vereinsmitglieder (ggf. einschließlich Minderjähriger, je nach Kategorie)
- Spieler:innen und Teammitglieder
- Vereins-Staff / Funktionär:innen
- Ansprechpartner:innen von Sponsoren
- Teilnehmer:innen an LAN-Events / Turnieren
4. Art der personenbezogenen Daten
- Stammdaten: Vor-/Nachname, Geburtsdatum, Adresse, Telefonnummer, E-Mail
- Vereinsbezogene Daten: Mitgliedsnummer, Kategorie, Status, Beitrittsdatum, Foto
- Team-/Spieldaten: Nickname, Rolle, Spielhistorie, Vertragsstatus
- Veranstaltungsdaten: LAN-Anmeldungen, Check-in-Status, Sitzplatzzuordnung
- Finanzdaten auf Vereinsebene: Beitragszahlungen, Sponsoring-Beträge
5. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (die sich aus dessen Eingaben in der Plattform ergibt), es sei denn, er ist durch das Unionsrecht oder mitgliedstaatliches Recht zur Verarbeitung verpflichtet. Er gewährleistet, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind, und trifft die in § 7 genannten technischen und organisatorischen Maßnahmen.
Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO). Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, nachdem sie ihm bekannt geworden sind (Art. 33 Abs. 2 DSGVO), mit den ihm vorliegenden Informationen nach Art. 33 Abs. 3 DSGVO.
6. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Dienst | Zweck | Ort / Schutzniveau |
|---|---|---|
| Vercel Inc. | Hosting der Plattform, Performance-Monitoring | USA — EU-U.S. Data Privacy Framework, hilfsweise Standardvertragsklauseln |
| Cloudflare, Inc. (R2) | Speicherung von Mediendateien (Fotos, Uploads) | USA (Speicherregion konfigurierbar) — Data Privacy Framework, hilfsweise Standardvertragsklauseln |
| Cloudmersive | Virenscan hochgeladener Dateien (z. B. Verträge, Dokumente, Bilder) | USA — Standardvertragsklauseln |
| Resend | Versand von Transaktions- und Vereins-E-Mails | USA — Data Privacy Framework, hilfsweise Standardvertragsklauseln |
| Stripe, Inc. | Zahlungsabwicklung (nur Vereins-Owner-Daten, kein Mitgliederdurchgriff) | Irland (Stripe Payments Europe, Ltd.), Übermittlung in die USA möglich — Data Privacy Framework |
| Esports Central | Vereinsbeitritt über Connect-Code, Turnier-/LAN-Anmeldungen (Name, Central-Handle/-Nutzer-ID, Anmeldedaten) — nur soweit der Verein diese Verknüpfung aktiv nutzt | Eigener Dienst desselben Auftragsverarbeiters — kein Unterauftragsverarbeiter i. S. d. Art. 28 Abs. 2 DSGVO, da keine externe dritte Stelle beauftragt wird; wird hier nachrichtlich aufgeführt, damit der Verein seine eigenen Informationspflichten gegenüber Mitgliedern erfüllen kann. |
Der Verantwortliche wird über den Austausch oder die Hinzuziehung weiterer Unterauftragsverarbeiter vorab per E-Mail informiert und kann dem innerhalb von 30 Tagen widersprechen; im Fall des Widerspruchs kann er den Hauptvertrag beenden. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), und haftet gegenüber dem Verantwortlichen für deren Einhaltung.
7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verschlüsselte Übertragung (TLS) für sämtlichen Datenverkehr
- Passwörter ausschließlich als bcrypt- bzw. Argon2-Hash gespeichert
- Optionale Zwei-Faktor-Authentifizierung (TOTP); TOTP-Secrets verschlüsselt gespeichert
- Virenscan hochgeladener Dateien vor der Speicherung
- Mandantentrennung: jede Datenabfrage ist auf die Organisation des angemeldeten Nutzers beschränkt
- Zugriffskontrolle über rollenbasierte Berechtigungen je Organisation
- Sicherheits-Header (HSTS, CSP, X-Frame-Options) aktiv
- Rate-Limiting gegen Missbrauch und automatisierte Angriffe
- Regelmäßige Löschroutinen für abgelaufene Sicherheitsdaten
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit möglich, bei der Erfüllung von Betroffenenanfragen (Art. 15–22 DSGVO) sowie bei der Meldung von Datenschutzverletzungen (Art. 33, 34 DSGVO) und stellt hierfür die Kontaktadresse maxi@silvarrion.at bereit.
9. Löschung und Rückgabe
Nach Beendigung der Nutzung gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten zurück (auf Anfrage als Export in einem gängigen, maschinenlesbaren Format) oder löscht sie (Art. 28 Abs. 3 lit. g DSGVO). Ohne gegenteilige Weisung werden die Daten gemäß den in der Datenschutzerklärung genannten Fristen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
10. Nachweis- und Kontrollrechte
Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zur Nachweisführung erforderlichen Informationen zur Verfügung und ermöglicht angemessene Kontrollen, einschließlich Inspektionen, im Rahmen des wirtschaftlich Zumutbaren.