Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 DSGVO — Stand: August 2026

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch Thimo Stender Digital Solutions (Kassencapitano, "Auftragsverarbeiter") im Auftrag des jeweiligen Vereins/Teams, das eine Mannschaftskasse registriert ("Verantwortlicher"). Er wird durch das Anhaken der entsprechenden Checkbox bei der Registrierung wirksam geschlossen.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten (Spielernamen, Zahlungsstatus, ggf. E-Mail-Adressen) im Rahmen der Bereitstellung des Kassencapitano-Dienstes. Die Verarbeitung erfolgt für die Dauer der Nutzung des Dienstes durch den Verantwortlichen.

2. Art und Zweck der Verarbeitung

Die Verarbeitung dient der Verwaltung von Mitgliedsbeiträgen, Strafen und Kassenständen einer Sportmannschaft. Betroffene sind die Spieler und Kassenwarte des jeweiligen Vereins/Teams. Verarbeitete Datenarten: Namen, Zahlungsstatus, ggf. E-Mail-Adressen der Kassenwarte sowie ggf. hochgeladene Belegdateien zu Ausgaben.

3. Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen (die Nutzung der App-Funktionen gilt als solche Weisung).
• Gewährleistung der Vertraulichkeit; zum Zugriff befugte Personen sind auf das Erforderliche beschränkt.
• Umsetzung angemessener technischer und organisatorischer Maßnahmen (TOM) gemäß Art. 32 DSGVO (siehe Ziff. 4).
• Unterstützung des Verantwortlichen bei der Erfüllung von Betroffenenrechten und Meldepflichten.
• Löschung oder Rückgabe aller personenbezogenen Daten nach Beendigung der Nutzung, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

4. Technische und organisatorische Maßnahmen (TOM)

• Verschlüsselte Übertragung (HTTPS/TLS) für sämtliche Verbindungen.
• Gehashte, gesalzene Speicherung von Passwörtern (kein Klartext).
• Zugriffsbeschränkung auf Kassendaten auf Datenbankebene: Lesezugriff ist nur mit einer zur jeweiligen Kasse passenden, bestätigten Anmeldesitzung möglich (persönlicher Login, geteiltes Passwort bei älteren Kassen, oder Spieler-PIN).
• Infrastruktur bei Google (Firebase) und Stripe, jeweils mit eigenen, vertraglich zugesicherten Sicherheitsmaßnahmen.

5. Unterauftragsverarbeiter

Der Verantwortliche genehmigt hiermit den Einsatz folgender Unterauftragsverarbeiter:

• Google Ireland Limited / Google LLC — Hosting, Datenbank, Authentifizierung, Speicherung von Belegdateien (Datenbank und Server-Funktionen in der EU)
• Stripe Payments Europe, Ltd. / Stripe, Inc. — Zahlungsabwicklung
• Brevo SAS — Versand automatisierter System-E-Mails über die Domain kassencapitano.de

Über den Wechsel oder die Hinzuziehung weiterer Unterauftragsverarbeiter wird der Verantwortliche informiert.

Klarstellung zu nutzergesteuerten Übermittlungen: Die Anwendung bietet Funktionen an, mit denen der Verantwortliche selbst Daten an Dritte übergibt — insbesondere das Teilen vorbereiteter Nachrichten (mit Namen und Beträgen der Mitglieder) über WhatsApp sowie die optionale Weiterleitung von Mitgliedern zu PayPal samt Betrag. Diese Dritten sind keine Unterauftragsverarbeiter des Auftragsverarbeiters: Die Übergabe erfolgt ausschließlich durch eine aktive Handlung des Verantwortlichen bzw. des Mitglieds, und die Verantwortung für die Zulässigkeit dieser Übermittlung liegt beim Verantwortlichen. Wer die Weitergabe an WhatsApp vermeiden möchte, nutzt die Kopier-Funktion mit einem Kanal eigener Wahl.

6. Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, sich von der Einhaltung der in diesem Vertrag vereinbarten Pflichten zu überzeugen, insbesondere durch Einholung von Auskünften beim Auftragsverarbeiter.

7. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Verletzungen des Schutzes personenbezogener Daten, die die verarbeiteten Daten betreffen.

8. Haftung

Es gelten die gesetzlichen Haftungsregelungen der Art. 82, 28 DSGVO sowie die Haftungsbegrenzungen der AGB.

9. Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.