Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO · Stand: Juli 2026

Dieser Vertrag wird mit Abschluss des Hauptvertrags über die Nutzung von ClubCoPilot Bestandteil desselben. Er regelt, wie wir personenbezogene Daten in deinem Auftrag verarbeiten.

Zwischen

dem Verein (nachfolgend „Verantwortlicher“) – die Angaben ergeben sich aus dem Hauptvertrag –

und

TekkCore UG (haftungsbeschränkt), Kolonnenstraße 8, 10827 Berlin (nachfolgend „Auftragsverarbeiter“).

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um die Software ClubCoPilot bereitzustellen.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck: Bereitstellung einer Vereinsverwaltungssoftware.

Betroffene Personen:

• Mitglieder des Vereins und deren Erziehungsberechtigte
• Interessenten und Antragsteller (Online-Beitritt, Probetraining)
• Funktionsträger, Trainer und Nutzer der Verwaltungsoberfläche

Kategorien personenbezogener Daten:

• Stammdaten (Name, Anschrift, Geburtsdatum, Kontaktdaten, Foto)
• Mitgliedschaftsdaten (Eintritt, Austritt, Status, Abteilung, Funktion)
• Zahlungsdaten (Bankverbindung/IBAN, Beitragsforderungen, Zahlungen, Mahnstatus)
• Kommunikationsdaten (versendete Briefe und E-Mails, Zustellnachweise)
• Trainingsdaten (Zu- und Absagen, Anwesenheit)
• Nutzungsdaten der Verwaltung (Anmeldungen, Änderungsprotokoll)

Besondere Kategorien (Art. 9 DSGVO): Der Verantwortliche entscheidet selbst, ob er Gesundheitshinweise erfasst. Der Auftragsverarbeiter fordert solche Daten nicht an und wertet sie nicht aus.

§ 3 Weisungsbindung

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Software durch den Verantwortlichen gilt als Weisung.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen Datenschutzrecht verstößt.

(3) Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke – weder zur Produktverbesserung noch zum Training von KI-Modellen noch zu Werbezwecken.

§ 4 Vertraulichkeit

Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet und entsprechend unterwiesen. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter setzt insbesondere die folgenden Maßnahmen um. Sie sind nicht angekündigt, sondern in der Software implementiert:

Vertraulichkeit

• Mandantentrennung auf Datenbankebene: Jeder Verein erhält eine eigene Datenbank. Daten verschiedener Vereine liegen nicht in derselben Tabelle.
• Verschlüsselung sensibler Felder: IBANs und Ausweisnummern werden verschlüsselt gespeichert, nicht im Klartext.
• Transportverschlüsselung: Sämtlicher Datenverkehr ausschließlich über TLS (HTTPS).
• Zero-Trust-Rechtekonzept: Jede Berechtigung wird explizit vergeben. Es gibt keinen pauschalen Super-Admin-Zugriff.
• Getrennte Objektspeicher je Verein: Dokumente und Belege werden pro Verein getrennt abgelegt.

Integrität

• Lückenloses Änderungsprotokoll: Jede Änderung wird mit Zeitpunkt und auslösendem Nutzer protokolliert und ist für den Verantwortlichen einsehbar.
• Wiederherstellbarkeit: Versehentlich gelöschte Datensätze können aus dem Protokoll wiederhergestellt werden.
• Uploads werden geprüft: Hochgeladene Dateien werden auf Schadsoftware gescannt und bereinigt.

Verfügbarkeit und Belastbarkeit

• Regelmäßige, verschlüsselte Sicherungen
• Serverstandort ausschließlich Deutschland
• Überwachung von Betrieb und Verfügbarkeit

Verfahren zur Überprüfung

• Automatisierte Tests und statische Code-Analyse vor jeder Auslieferung
• Regelmäßige Aktualisierung von Betriebssystem und Abhängigkeiten

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt der Beauftragung der folgenden Unterauftragsverarbeiter zu:

(2) Objektspeicher, Identitätsverwaltung und E-Mail-Versand betreibt der Auftragsverarbeiter selbst. Hierfür werden keine weiteren Dienstleister eingesetzt.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor der Beauftragung eines weiteren Unterauftragsverarbeiters. Der Verantwortliche kann widersprechen; bei berechtigtem Widerspruch kann er den Hauptvertrag außerordentlich kündigen.

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen. Die Software stellt hierfür bereit:

• Datenauskunft nach Art. 15 DSGVO als vollständiges PDF auf Knopfdruck
• Berichtigung und Löschung einzelner Datensätze
• Export der Daten in einem gängigen, maschinenlesbaren Format (CSV)

(2) Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, und unterstützt ihn bei der Meldung nach Art. 33, 34 DSGVO.

§ 8 Löschung und Rückgabe

(1) Der Verantwortliche kann seine Daten jederzeit selbst exportieren, auch während der Vertragslaufzeit.

(2) Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter die Daten 30 Tage lang zum Export bereit und löscht sie danach unwiderruflich, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

(3) Innerhalb der Software gilt zusätzlich ein gestaffeltes Löschkonzept, das der Verantwortliche selbst konfiguriert: Kontaktdaten nach 3 Jahren, Kommunikationsdaten nach 6 Jahren, danach Anonymisierung. Beitrags- und Buchungsdaten bleiben für die steuerlichen Aufbewahrungsfristen erhalten, der Personenbezug entfällt.

§ 9 Nachweise und Kontrollrechte

(1) Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach.

(2) Der Verantwortliche ist berechtigt, sich von der Einhaltung zu überzeugen – nach rechtzeitiger Ankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebs.

§ 10 Haftung

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.

§ 11 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit sie den Datenschutz betreffen.

(2) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt deutsches Recht.