Auftragsbearbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Der Auftragsbearbeiter stellt dem Verantwortlichen die Software letsclub zur Verwaltung seines Vereins bereit und bearbeitet dabei Personendaten in dessen Auftrag. Der Vertrag gilt für die Dauer der Nutzung von letsclub.

2. Art und Zweck der Bearbeitung

Speichern, Ordnen, Anzeigen, Übermitteln (z. B. E-Mail-Versand), Auswerten, Exportieren und Löschen von Personendaten, damit der Verantwortliche Mitglieder, Teams, Termine, Kommunikation, Beiträge, Entschädigungen, Veranstaltungen und weitere Vereinsaufgaben mit letsclub erledigen kann.

3. Betroffene Personen

• Mitglieder, darunter Kinder und Jugendliche
• Eltern und Erziehungsberechtigte
• Trainer, Funktionäre und Helfer
• Interessenten aus Online-Anmeldungen
• Gönner, Sponsoren und deren Kontaktpersonen

4. Kategorien von Personendaten

• Stamm- und Kontaktdaten, Geburtsdatum, Geschlecht, Familienbeziehungen
• Mitgliedschaft, Beitragskategorie, Teams, Funktionen und Rechte
• Termine, Zu- und Absagen, Anwesenheiten
• AHV-Nummer und J+S-Personennummer, sofern der Verantwortliche sie für Jugend+Sport erfasst
• Rechnungs-, Zahlungs- und Buchhaltungsdaten, Bankverbindungen für Entschädigungen, Spesenbelege
• Chatnachrichten, Ankündigungen, Fotos und Medien mit Einwilligung
• Einwilligungen, Helfereinsätze, Material- und Schlüsselausgaben

Der Verantwortliche verzichtet darauf, besonders schützenswerte Personendaten wie Gesundheitsangaben in Freitextfeldern zu erfassen, sofern dies nicht nötig ist.

5. Weisungen

Der Auftragsbearbeiter bearbeitet die Daten nur im Rahmen dieses Vertrags und nach den dokumentierten Weisungen des Verantwortlichen. Als Weisung gelten insbesondere die Einstellungen und Aktionen, die der Verantwortliche in letsclub vornimmt. Hält der Auftragsbearbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen mit.

6. Pflichten des Auftragsbearbeiters

• Er verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.
• Er trifft die technischen und organisatorischen Massnahmen nach Anhang 1 und passt sie dem Stand der Technik an.
• Er unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Herausgabe), soweit der Verantwortliche diese nicht selbst in letsclub erledigen kann.
• Er meldet dem Verantwortlichen Verletzungen der Datensicherheit unverzüglich, nach Möglichkeit innert 48 Stunden nach Kenntnis, mit den verfügbaren Angaben zu Art, Umfang und Massnahmen.
• Er unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen und bei Meldungen an Behörden, soweit es seinen Bereich betrifft.

7. Unterauftragsbearbeiter

Der Verantwortliche genehmigt den Beizug folgender Unterauftragsbearbeiter:

• Infomaniak Network SA, Genf (Schweiz): Hosting, Datenbank, Datensicherungen, E-Mail-Versand; Bearbeitung in der Schweiz
• Nur bei Nutzung der jeweiligen Funktion: GIPHY bzw. Tenor (USA) für die GIF-Suche im Chat; Push-Dienste der Browser-Hersteller (Google, Apple, Mozilla) für die Zustellung von Push-Mitteilungen

Online-Zahlungen über Stripe nutzt der Verantwortliche mit einem eigenen Vertrag; Stripe ist insoweit kein Unterauftragsbearbeiter des Auftragsbearbeiters.

Der Auftragsbearbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus über neue oder geänderte Unterauftragsbearbeiter. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag gegebenenfalls kündigen. Der Auftragsbearbeiter verpflichtet seine Unterauftragsbearbeiter auf gleichwertige Datenschutzpflichten.

8. Ort der Bearbeitung

Die Daten werden in der Schweiz gespeichert. Eine Bekanntgabe ins Ausland erfolgt nur im Rahmen von Ziffer 7 und nur, wenn ein angemessener Datenschutz gewährleistet ist, etwa durch einen Angemessenheitsbeschluss, eine Zertifizierung oder Standardvertragsklauseln.

9. Kontrollrechte

Der Auftragsbearbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind. Prüfungen vor Ort sind nach rechtzeitiger Ankündigung während der Geschäftszeiten möglich; der Aufwand kann in Rechnung gestellt werden, wenn keine Verletzung festgestellt wird.

10. Rückgabe und Löschung

Nach Vertragsende kann der Verantwortliche seine Daten 30 Tage lang exportieren. Danach löscht der Auftragsbearbeiter die Daten, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen werden innert 14 Tagen überschrieben.

11. Haftung und Schlussbestimmungen

Für die Haftung gelten die AGB. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor. Es gilt schweizerisches Recht; Gerichtsstand ist der Sitz des Auftragsbearbeiters in Kloten.

Anhang 1: Technische und organisatorische Massnahmen

• Zutrittskontrolle: Betrieb in Rechenzentren von Infomaniak in der Schweiz mit Zutrittsschutz und Überwachung.
• Zugangskontrolle: Server nur über verschlüsselte Verbindungen mit Schlüsseln erreichbar, Firewall mit minimal geöffneten Ports, Passwörter der Nutzer nur als bcrypt-Hash.
• Zugriffskontrolle: Rollen- und Rechtekonzept in letsclub, Sicht auf Teams für Trainer beschränkt, sensible Angaben wie AHV-Nummern nur für Berechtigte.
• Trennung: Daten jedes Vereins sind logisch getrennt; jede Abfrage ist auf den Verein beschränkt.
• Weitergabekontrolle: Übertragung ausschliesslich verschlüsselt (TLS, HSTS); Zugangsschlüssel für Zahlungsdienste werden verschlüsselt gespeichert.
• Eingabekontrolle: Änderungsprotokoll für wichtige Aktionen in letsclub.
• Verfügbarkeit: tägliche Datensicherung mit 14 Tagen Aufbewahrung sowie Sicherung vor jeder Aktualisierung der Software.
• Organisation: Zugriff auf Produktivdaten nur durch den Inhaber und nur, soweit für Betrieb und Support nötig.