Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 12. Oktober 2026

Diese Übersetzung dient der Information. Bei Abweichungen gilt die spanische Fassung.

Dieser Vertrag (Art. 28 Abs. 3 der Verordnung (EU) 2016/679, DSGVO, und Art. 33 des spanischen Organgesetzes 3/2018, LOPDGDD) ist Bestandteil der Nutzungsbedingungen und wird mit ihnen angenommen. Vertragsparteien sind:

• Verantwortlicher: der Kunde (der Verein, die Organisation oder die Person, der das Konto gehört).
• Auftragsverarbeiter: Tomás Hernández, Steuernummer 02648307H, Calle Padre Antonio Salelles 7, Oliva, Valencia, Anbieter von HandBrain.

1. Gegenstand, Dauer, Art und Zweck

• Gegenstand: die personenbezogenen Daten, die der Kunde in HandBrain eingibt.
• Verarbeitungen: Hosting, Erfassung, Abfrage, Berechnung von Statistiken, Erstellung und Export von Berichten, Übermittlung an den vom Kunden eingerichteten KI-Anbieter (nur wenn er diese Funktionen nutzt) sowie Löschung.
• Zweck: ausschließlich die Erbringung des Dienstes für den Kunden.
• Dauer: die des Kontos; danach gilt Abschnitt 10.

2. Datenarten und betroffene Personen

• Daten:
  • grundlegende Identifikationsdaten (Name oder Spitzname, Rückennummer, Position);
  • sportliche und statistische Daten (Spielaktionen, Minuten, Aufstellungen);
  • E-Mail-Adressen der Vereinsnutzer.
  Besondere Kategorien personenbezogener Daten (Gesundheit usw.) werden nicht verarbeitet und dürfen vom Kunden nicht eingegeben werden.
• Betroffene Personen: Spielerinnen und Spieler (auch Minderjährige), Trainerpersonal und Vereinsnutzer sowie gegnerische Spieler, die per Rückennummer oder Name erfasst werden.

3. Pflichten des Kunden

• Für die Verarbeitung eine Rechtsgrundlage haben. Bei Minderjährigen die Zustimmung der Eltern oder Erziehungsberechtigten einholen, wo das Gesetz sie verlangt; in Deutschland bei Kindern unter 16 Jahren, soweit die Verarbeitung auf einer Einwilligung beruht (Art. 8 DSGVO).
• Die betroffenen Personen informieren.
• Nur die erforderlichen Daten eingeben.
• Rechtmäßige Weisungen erteilen.
• Die Rechte der betroffenen Personen erfüllen.

4. Pflichten von HandBrain als Auftragsverarbeiter

1. Die Daten nur auf dokumentierte Weisung des Kunden verarbeiten: diese Bedingungen und die Art, wie er die Anwendung nutzt. Das gilt auch für Übermittlungen in Drittländer. Hält HandBrain eine Weisung für rechtswidrig, informiert es den Kunden unverzüglich.
2. Sicherstellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.
3. Die Sicherheitsmaßnahmen nach Abschnitt 5 umsetzen (Art. 32 DSGVO).
4. Unterauftragsverarbeiter nur unter den Bedingungen von Abschnitt 6 einsetzen.
5. Den Kunden nach Möglichkeit bei Anfragen betroffener Personen unterstützen. Erreicht HandBrain eine Anfrage direkt, leitet es sie unverzüglich weiter.
6. Den Kunden bei Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation unterstützen (Art. 32 bis 36 DSGVO).
7. Den Kunden über Verletzungen des Schutzes seiner Daten unverzüglich und spätestens 48 Stunden nach Kenntnis informieren, mit den verfügbaren Angaben.
8. Nach Ende des Dienstes die Daten gemäß Abschnitt 10 löschen.
9. Dem Kunden die zum Nachweis der Einhaltung nötigen Informationen bereitstellen und angemessene Überprüfungen ermöglichen. Überprüfungen sind mit 30 Tagen Vorlauf anzumelden, höchstens einmal jährlich außer nach einer Verletzung, und gehen auf Kosten des Kunden.
10. Die Daten nicht an Dritte weitergeben, außer an genehmigte Unterauftragsverarbeiter oder aufgrund gesetzlicher Pflicht.
11. Ein Verzeichnis der Verarbeitungstätigkeiten als Auftragsverarbeiter führen (Art. 30 Abs. 2 DSGVO).

5. Sicherheitsmaßnahmen

• Verschlüsselte Verbindungen (HTTPS).
• Passwörter als Hash gespeichert (bcrypt).
• Geschützte Sitzungscookies.
• Schlüssel Dritter verschlüsselt in der Datenbank.
• Logische Trennung der Daten jedes Kunden und Zugriffskontrolle pro Nutzer.
• Zugriff des HandBrain-Personals beschränkt auf das für Support oder eine Anfrage des Kunden Nötige.
• Aktualisierung der Abhängigkeiten und Prüfung von Änderungen vor der Veröffentlichung.

6. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung für den Einsatz von Unterauftragsverarbeitern. HandBrain kündigt jede Hinzufügung oder Ersetzung mindestens 15 Tage vorher per E-Mail an. Der Kunde kann aus berechtigten Gründen widersprechen und, wenn keine Einigung zustande kommt, den Vertrag beenden. Jeder Unterauftragsverarbeiter unterliegt denselben Datenschutzpflichten. Aktuelle Unterauftragsverarbeiter:

Den KI-Anbieter (Anthropic, OpenAI oder Azure OpenAI) beauftragt der Kunde direkt, mit eigenem Schlüssel und zu dessen eigenen Bedingungen. HandBrain übermittelt ihm nur dann Daten, wenn der Kunde diese Funktionen nutzt, und zwar auf dessen Weisung; dieser Anbieter ist kein Unterauftragsverarbeiter von HandBrain.

7. Übermittlungen in Drittländer

Übermittlungen außerhalb des Europäischen Wirtschaftsraums erfolgen nur mit den Garantien nach Kapitel V DSGVO: Angemessenheitsbeschluss (EU-US Data Privacy Framework) oder Standardvertragsklauseln der Europäischen Kommission.

8. Zugriff für den Support

Das HandBrain-Personal greift nur dann auf die Daten des Kunden zu, wenn dies zur Behebung einer Störung, zur Bearbeitung einer Anfrage des Kunden oder zur Erfüllung einer gesetzlichen Pflicht nötig ist, und unter Verpflichtung zur Vertraulichkeit.

9. Haftung

Jede Partei haftet für ihre eigenen Verstöße nach Art. 82 DSGVO, im gesetzlich zulässigen Rahmen mit den Grenzen der Nutzungsbedingungen.

10. Ende der Auftragsverarbeitung

Vor der Schließung des Kontos kann der Kunde seine Daten exportieren (PDF und Excel). Nach der Schließung löscht HandBrain die Daten innerhalb von höchstens 30 Tagen. Datensicherungen des Hosting-Anbieters werden in dessen regulären Zyklen gelöscht. Nur Daten, die gesetzlich aufbewahrt werden müssen, bleiben für die vorgeschriebene Frist gesperrt gespeichert.