AVV – Auftragsverarbeitungsvertrag

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck: Bereitstellung der jeweils genutzten App mit den Modulen, die der Auftraggeber aktiviert. Welche Zwecke, Datenkategorien und betroffenen Personen das im Einzelnen sind, regelt Abschnitt 1 der Anlage zur jeweiligen App.

Art der Verarbeitung: Erheben, Speichern, Anzeigen, Übermitteln (E-Mail, Push, Export), Abgleichen, Löschen.

Ort: Die Daten werden in Rechenzentren in Frankfurt am Main (Google Cloud, Region europe-west3) gespeichert, soweit die Anlage zur jeweiligen App nichts anderes bestimmt. Übermittlungen in Drittländer erfolgen nur über die Unterauftragsverarbeiter nach Abschnitt 2 der jeweiligen Anlage.

Nicht Gegenstand: Soweit der Auftragsverarbeiter Daten für eigene Zwecke verarbeitet – Vertragsabwicklung und Abrechnung des Tarifs mit dem Auftraggeber, Fehleranalyse der App, das appübergreifende Nutzerkonto – ist er selbst Verantwortlicher; das regelt die Datenschutzerklärung.

§ 3 Weisungen und Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind die Einstellungen und Aktionen des Auftraggebers in der App sowie Weisungen in Textform an homepage@dsv.gmbh.
2. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Klärung aussetzen. Das gilt auch für Weisungen, die gesetzlichen Aufzeichnungs- und Aufbewahrungspflichten widersprechen, etwa der Kassensicherungsverordnung.
3. Der Auftragsverarbeiter verpflichtet alle Personen mit Zugriff auf die Daten zur Vertraulichkeit.
4. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Abschnitt 3 der Anlage zur jeweiligen App und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
5. Zugriffe des Auftragsverarbeiters auf Daten des Auftraggebers erfolgen nur, soweit sie für Betrieb, Support oder Fehlerbehebung nötig sind.
6. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information der Betroffenen und für Daten, die er selbst importiert oder an Dritte wie nuLiga übermitteln lässt.

§ 4 Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt die Unterauftragsverarbeiter, die Abschnitt 2 der Anlage zur jeweiligen App nennt.
2. Der Auftragsverarbeiter kündigt jede Änderung mindestens 30 Tage vorher in Textform an. Der Auftraggeber kann in dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Änderungszeitpunkt kündigen.
3. Der Auftragsverarbeiter vereinbart mit jedem Unterauftragsverarbeiter Pflichten, die diesem Vertrag entsprechen (Art. 28 Abs. 4 DSGVO).
4. Bei Übermittlung in ein Drittland stützt sich der Auftragsverarbeiter auf einen Angemessenheitsbeschluss, insbesondere das EU-US Data Privacy Framework, oder auf die EU-Standardvertragsklauseln.
5. Keine Unterauftragsverarbeiter sind Dienste, die der Auftraggeber mit eigenem Vertrag anbindet – etwa sein eigenes Stripe- oder PayPal-Konto für Platzgebühren oder Kioskzahlungen oder nuLiga.

§ 5 Betroffenenrechte, Meldepflichten, Kontrolle

1. Der Auftragsverarbeiter unterstützt den Auftraggeber bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit). Die Apps stellen dazu Export, Profilbearbeitung, Änderungshistorie und Löschfunktionen bereit. Erreicht eine Anfrage den Auftragsverarbeiter direkt, leitet er sie unverzüglich weiter.
2. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO.
3. Er unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde, soweit sie die App betreffen.
4. Der Auftraggeber kann die Einhaltung dieses Vertrags prüfen, vorrangig durch Auskünfte und Nachweise (z. B. Zertifikate der Unterauftragsverarbeiter), nach rechtzeitiger Anmeldung auch vor Ort während der Geschäftszeiten.

§ 6 Laufzeit, Löschung, Schlussbestimmungen

1. Der Vertrag gilt, solange der Auftraggeber eine der in § 1 genannten Apps nutzt, und endet für die jeweilige App mit dem Nutzungsvertrag nach den AGB.
2. Vor Vertragsende kann der Auftraggeber seine Daten über die Exportfunktionen der App sichern. Wie und mit welchen Fristen danach gelöscht wird, regelt Abschnitt 4 der Anlage zur jeweiligen App.
3. Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters und des Auftraggebers bleiben unberührt und gehen der Löschung vor. Das betrifft insbesondere Kassendaten aus Kiosk Kasse, für die steuerrechtliche Aufbewahrungsfristen von in der Regel zehn Jahren gelten.
4. Änderungen dieses Vertrags veröffentlicht der Auftragsverarbeiter mit neuer Versionsnummer und holt die Zustimmung des Auftraggebers in der App ein. Frühere Fassungen bleiben unter ihrer eigenen Adresse abrufbar.
5. Bei Widersprüchen geht dieser Vertrag den AGB vor. Es gilt deutsches Recht; Gerichtsstand ist, soweit zulässig, Wächtersbach.

Anlage 1 – MyClub

1.1 Zweck, Datenkategorien und Betroffene

Zweck: Bereitstellung der Vereinsverwaltung MyClub mit den Modulen, die der Auftraggeber aktiviert: Mitgliederverwaltung und Beiträge, Training und Saison, Platzbuchung, Clubhaus, Clubmeisterschaften, Aufgaben, Chat, Vereins-Mailversand, Vereinswebseite, Buchhaltung.

Art der Verarbeitung: Erheben, Speichern, Anzeigen, Übermitteln (E-Mail, Push, Export), Abgleichen (nuLiga), Löschen.

Betroffene: Mitglieder, Neumitglieder (Antragsteller), Gäste, Trainer, Funktionäre und Ansprechpartner des Auftraggebers, beitragsfreie Familienmitglieder.

Ort: Rechenzentren in Frankfurt am Main (Google Cloud, Region europe-west3).

1.2 Unterauftragsverarbeiter

Die Liste ist aus dem Quellcode von MyClub abgeleitet (Stand 18.09.2026).

Nicht aufgeführt, weil kein Unterauftragsverarbeiter: Stripe für die Abrechnung des Tarifs (eigene Vertragsbeziehung des Auftragsverarbeiters), das eigene Stripe- oder PayPal-Konto des Vereins für Platzgebühren, nuLiga sowie die Anmeldung mit Google- oder Apple-Konto, die Nutzer selbst wählen.

1.3 Technische und organisatorische Maßnahmen

1.4 Löschung und Aufbewahrung

Nach Vertragsende wird der Verein gesperrt und nach einer Frist von 28 Tagen mit allen Vereinsdaten, Dateien und den Nutzerkonten gelöscht, die keinem anderen Verein angehören. Innerhalb der Frist kann der Verein reaktiviert werden. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Anlage 2 – Kiosk Kasse und Kiosk Client

Diese Anlage gilt für beide Apps zusammen. Kiosk Kasse ist die Kasse des Auftraggebers, Kiosk Client die zugehörige App für dessen Kundinnen und Kunden. Beide arbeiten auf demselben Datenbestand; der Auftraggeber bleibt für diesen Datenbestand verantwortlich.

2.1 Zweck, Datenkategorien und Betroffene

Zweck: Betrieb des Kassensystems für Kiosk, Theke und Vereinsgastronomie des Auftraggebers: Produkt- und Preispflege, Buchung von Verkäufen, Führen von Kundenkonten („Anschreiben“), Abrechnung offener Beträge, Auswertungen sowie – bei aktiviertem TSE-Modul – die gesetzlich vorgeschriebene Aufzeichnung der Kassenvorgänge nach Kassensicherungsverordnung einschließlich DSFinV-K-Export. Über Kiosk Client erhalten die Kundinnen und Kunden Einsicht in ihre eigenen Umsätze und können offene Beträge begleichen.

Art der Verarbeitung: Erheben, Speichern, Anzeigen, Signieren (TSE-Aufzeichnung), Übermitteln (Push, Export, Rechnungsversand), Löschen.

Betroffene: Kundinnen und Kunden des Auftraggebers mit Kundenkonto (insbesondere Vereinsmitglieder und Gäste), Nutzer der App Kiosk Client sowie die Personen, die die Kasse bedienen (Verkäufer, Thekendienst, Verwaltung des Auftraggebers).

Ort: Rechenzentren in Frankfurt am Main (Google Cloud, Region europe-west3). Die Aufzeichnung über die Cloud-TSE erfolgt in Rechenzentren innerhalb der Europäischen Union.

Nicht Gegenstand: Zahlt eine Kundin oder ein Kunde über Kiosk Client mit einem Zahlungsdienst, den der Auftraggeber mit eigenem Konto angebunden hat (z. B. sein eigenes Stripe- oder PayPal-Konto), verarbeitet dieser Dienst die Zahlungsdaten auf Grundlage des Vertrags zwischen ihm und dem Auftraggeber. Der Auftragsverarbeiter erhält daraus nur die Rückmeldung, ob eine Zahlung erfolgreich war.

2.2 Unterauftragsverarbeiter

Nicht aufgeführt, weil kein Unterauftragsverarbeiter: Stripe für die Abrechnung des Tarifs (eigene Vertragsbeziehung des Auftragsverarbeiters), das eigene Stripe- oder PayPal-Konto des Auftraggebers für Kioskzahlungen sowie die Anmeldung mit Google- oder Apple-Konto, die Nutzer selbst wählen.

Ohne aktiviertes TSE-Modul findet keine Verarbeitung bei fiskaly statt.

2.3 Technische und organisatorische Maßnahmen

2.4 Löschung und Aufbewahrung

1. Vor Vertragsende kann der Auftraggeber seine Daten exportieren, bei aktiviertem TSE-Modul zusätzlich im DSFinV-K-Format.
2. Nach Vertragsende wird der Kiosk gesperrt und nach einer Frist von 28 Tagen mit Produkt-, Kunden- und Kontodaten sowie den Nutzerkonten gelöscht, die keinem anderen Kiosk und keiner anderen App angehören. Innerhalb der Frist kann der Kiosk reaktiviert werden.
3. Hiervon ausgenommen sind Kassen- und Transaktionsdaten, die steuerrechtlichen Aufbewahrungspflichten unterliegen – in der Regel zehn Jahre ab Ende des Kalenderjahres. Sie werden bis zum Ablauf der Frist in ihrer Verarbeitung eingeschränkt aufbewahrt und danach gelöscht. Der Auftraggeber weist den Auftragsverarbeiter an, diese Daten für die Dauer der Frist aufzubewahren; ein Löschverlangen einer betroffenen Person steht dem nicht entgegen (Art. 17 Abs. 3 lit. b DSGVO).
4. Die Aufbewahrung der TSE-Aufzeichnungen richtet sich nach denselben Fristen und erfolgt beim Unterauftragsverarbeiter nach 2.2.