Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 DSGVO — Stand: Juli 2026

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch Thimo Stender (Kassencapitano, "Auftragsverarbeiter") im Auftrag des jeweiligen Vereins/Teams, das eine Mannschaftskasse registriert ("Verantwortlicher"). Er wird durch das Anhaken der entsprechenden Checkbox bei der Registrierung wirksam geschlossen.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten (Spielernamen, Zahlungsstatus, ggf. E-Mail-Adressen) im Rahmen der Bereitstellung des Kassencapitano-Dienstes. Die Verarbeitung erfolgt für die Dauer der Nutzung des Dienstes durch den Verantwortlichen.

2. Art und Zweck der Verarbeitung

Die Verarbeitung dient der Verwaltung von Mitgliedsbeiträgen, Strafen und Kassenständen einer Sportmannschaft. Betroffene sind die Spieler und Kassenwarte des jeweiligen Vereins/Teams. Verarbeitete Datenarten: Namen, Zahlungsstatus, ggf. E-Mail-Adressen der Kassenwarte sowie ggf. hochgeladene Belegdateien zu Ausgaben.

3. Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen (die Nutzung der App-Funktionen gilt als solche Weisung).
• Gewährleistung der Vertraulichkeit; zum Zugriff befugte Personen sind auf das Erforderliche beschränkt.
• Umsetzung angemessener technischer und organisatorischer Maßnahmen (TOM) gemäß Art. 32 DSGVO (siehe Ziff. 4).
• Unterstützung des Verantwortlichen bei der Erfüllung von Betroffenenrechten und Meldepflichten.
• Löschung oder Rückgabe aller personenbezogenen Daten nach Beendigung der Nutzung, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

4. Technische und organisatorische Maßnahmen (TOM)

• Verschlüsselte Übertragung (HTTPS/TLS) für sämtliche Verbindungen.
• Gehashte, gesalzene Speicherung von Passwörtern (kein Klartext).
• Zugriffsbeschränkung auf Kassendaten auf Datenbankebene: Lesezugriff ist nur mit einer zur jeweiligen Kasse passenden, bestätigten Anmeldesitzung möglich (persönlicher Login, geteiltes Passwort bei älteren Kassen, oder Spieler-PIN).
• Infrastruktur bei Google (Firebase) und Stripe, jeweils mit eigenen, vertraglich zugesicherten Sicherheitsmaßnahmen.

5. Unterauftragsverarbeiter

Der Verantwortliche genehmigt hiermit den Einsatz folgender Unterauftragsverarbeiter:

• Google Ireland Limited / Google LLC — Hosting, Datenbank, Authentifizierung, Speicherung von Belegdateien (Datenbank und Server-Funktionen in der EU)
• Stripe Payments Europe, Ltd. / Stripe, Inc. — Zahlungsabwicklung
• Brevo SAS — Versand automatisierter System-E-Mails über die Domain kassencapitano.de

Über den Wechsel oder die Hinzuziehung weiterer Unterauftragsverarbeiter wird der Verantwortliche informiert.

6. Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, sich von der Einhaltung der in diesem Vertrag vereinbarten Pflichten zu überzeugen, insbesondere durch Einholung von Auskünften beim Auftragsverarbeiter.

7. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Verletzungen des Schutzes personenbezogener Daten, die die verarbeiteten Daten betreffen.

8. Haftung

Es gelten die gesetzlichen Haftungsregelungen der Art. 82, 28 DSGVO sowie die Haftungsbegrenzungen der AGB.

9. Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.