AVV — so sieht der Vertrag aus

Vertrag über die Verarbeitung personenbezogener Daten

Art. 28 DSGVO · Stand 8. Oktober 2026

zwischen

und

1. Gegenstand und Dauer

Der Auftragnehmer stellt dem Auftraggeber die Plattform Matchwin zur Organisation von Turnieren, Schulsportfesten und Vereinsveranstaltungen bereit (Anmeldung, Spielplanung, Ergebnisse, Kommunikation, optional Zahlungsabwicklung). Die Verarbeitung erfolgt für die Dauer der Nutzung der Plattform bzw. bis zur Löschung der betreffenden Daten.

2. Art und Zweck der Verarbeitung

Speicherung und Verarbeitung von Konten-, Anmelde-, Team-/Klassen-, Spielplan- und Ergebnisdaten sowie organisatorischer Nachrichten, soweit der Auftraggeber sie in Matchwin einstellt oder Teilnehmende sich über die Plattform anmelden. Zweck: Durchführung und Dokumentation der Veranstaltung des Auftraggebers.

3. Art der Daten / betroffene Personen

• Stammdaten: Name, E-Mail, ggf. Telefon, Alter/Jahrgang, Klassen- oder Mannschaftszugehörigkeit
• Nutzungsdaten: Anmeldungen, Ergebnisse, Chat-/Organisationsnachrichten
• ggf. Guardian-Bestätigung bei unter 16-Jährigen
• Betroffene: Spielerinnen/Spieler, Eltern/Erziehungsberechtigte (soweit angegeben), Lehrkräfte/Orga, Schiedsrichter/Helfer

Besondere Kategorien (Art. 9 DSGVO) sind nicht Gegenstand dieses Auftrags, es sei denn, der Auftraggeber stellt sie ausdrücklich ein — das ist zu vermeiden.

4. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, eine gesetzliche Pflicht verlangt etwas anderes. Weisungen erfolgen über die Plattformfunktionen und schriftlich/per E-Mail an lars.gundlach.manager@gmail.com.

5. Technische und organisatorische Maßnahmen

Angemessene TOM u. a. Zugangskontrolle (Konten/Auth), Transportverschlüsselung (HTTPS), rollenbasierte Rechte, professionelles Hosting, Möglichkeit zur Kontolöschung. Details in der Datenschutzerklärung von Matchwin.

6. Unterauftragsverarbeiter

• Cloudflare, Inc. / Cloudflare Germany GmbH — Hosting der Website (Workers), CDN, Sicherheit (EU-Verarbeitung mit globalem Edge-Netz; DPA/AVV des Anbieters)
• Supabase (Supabase Inc.) — Datenbank, Authentifizierung, Dateispeicher (EU-Region (Projektkonfiguration))
• Stripe Payments Europe Ltd. und verbundene Unternehmen — Online-Zahlungen, SEPA/Karte, Stripe Connect (Auszahlung an Veranstalter) (EU / ggf. internationale Stripe-Gesellschaften)
• Resend (Resend, Inc.) — Transaktions-E-Mails (z. B. Bestätigungen, Hinweise) (USA — Übermittlung über Standardvertragsklauseln (SCC) des Anbieters)
• OpenAI, L.L.C. (soweit API-Schlüssel aktiv) — Unterstützung des Hilfe-Chats „Klausi“ (Textverarbeitung) (USA — Übermittlung über Standardvertragsklauseln (SCC) des Anbieters)
• Cloudflare Workers AI — Fallback / Ergänzung für Hilfe-Chat und Assistenzfunktionen (Cloudflare-Infrastruktur)

7. Betroffenenrechte und Meldepflichten

Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit bei Auskunft, Berichtigung, Löschung und bei der Meldung von Verletzungen des Schutzes personenbezogener Daten.

8. Löschung und Rückgabe

Nach Ende der Nutzung bzw. auf Weisung löscht der Auftragnehmer personenbezogene Daten des Auftrags, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

9. Kontrollrechte

Der Auftraggeber kann Auskünfte zu den TOM verlangen. Zumutbare Nachweise (Zertifikate, DPA der Unterauftragsverarbeiter) genügen in der Regel.

10. Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Ergänzend gelten die AGB und die Datenschutzerklärung von Matchwin.

Unterschriften

In der Vorschau noch offen. Nach digitalem Abschluss erscheinen hier Name und Zeitpunkt beider Seiten.