Auftragsverarbeitungsvertrag

Letzte Aktualisierung: 28/09/2026

Dieser Auftragsverarbeitungsvertrag (der „AVV“) wird zwischen dem Club, der CtrlCourt abonniert (der „Club“, handelnd als Verantwortlicher), und DEVBOX (der „Auftragsverarbeiter“) gemäß Artikel 28 der Datenschutz-Grundverordnung (DSGVO) geschlossen.

1. Parteien und Annahme

Der Auftragsverarbeiter ist:

Dieser AVV ist fester Bestandteil der Nutzungsbedingungen. Er wird vom Club bei der Erstellung seines Kontos gemeinsam mit den Bedingungen elektronisch angenommen und gilt, solange der Auftragsverarbeiter im Auftrag des Clubs personenbezogene Daten verarbeitet.

2. Gegenstand

Dieser AVV legt die Bedingungen fest, unter denen der Auftragsverarbeiter im Auftrag des Clubs personenbezogene Daten verarbeitet, um den Dienst CtrlCourt (der „Dienst“) bereitzustellen. Er erfasst nicht die Daten, für die der Auftragsverarbeiter als Verantwortlicher handelt (Konto, Abonnement und Abrechnung des Clubs); diese unterliegen der Datenschutzerklärung.

3. Dauer

Dieser AVV gilt für die Dauer der Nutzung des Dienstes durch den Club (Testphase und Abonnement) und bis die Daten gemäß Artikel 11 gelöscht oder zurückgegeben wurden.

4. Art und Zweck der Verarbeitung

Die Verarbeitung besteht im Hosten, Speichern, Organisieren, Abfragen, Ändern, Anzeigen und Löschen von Daten über den Dienst sowie im Versand von Transaktions-E-Mails, für folgende Zwecke:

• Verwaltung der Konten von Spielern, Trainern und Mitarbeitern;
• Platzbuchungen, Trainerstunden und Kurse, Veranstaltungen und Turniere;
• Verwaltung vorausbezahlter Credits (Tokens) und Erfassung der vom Club gewählten Zahlungsarten;
• Versand von Service-E-Mails (Buchungsbestätigungen und Erinnerungen, Zurücksetzen des Passworts);
• Statistiken zur eigenen Nutzung durch den Club;
• Support, Wartung und Sicherheit des Dienstes.

5. Kategorien betroffener Personen und Daten

Betroffene Personen: die Spieler und Mitglieder, Trainer, Mitarbeiter und Administratoren des Clubs, die den Bereich des Clubs nutzen.

Datenkategorien:

• Identifikations- und Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer;
• Kontodaten: Passwort (gehasht), Rolle, Sprache, optionales Spielniveau;
• Aktivitätsdaten: Buchungen, Teilnahme, Kursanmeldungen, Veranstaltungsanmeldungen;
• Finanzdaten im Zusammenhang mit dem Club: Credit-Guthaben und Transaktionen, vom Club erfasste Beträge und Zahlungsarten (keine Zahlungskartendaten);
• für Trainer: Verfügbarkeiten, Biografie, Stundensatz;
• technische Daten: IP-Adresse, Verbindungs- und Sicherheitsprotokolle.

Der Dienst ist nicht für die Verarbeitung besonderer Datenkategorien (Gesundheit usw.) konzipiert. Der Club verpflichtet sich, solche Daten dort nicht einzugeben.

6. Pflichten des Clubs

Der Club ist als Verantwortlicher verantwortlich für: die Rechtmäßigkeit der Verarbeitung und ihre Rechtsgrundlage; die Information der betroffenen Personen; die Richtigkeit der von ihm eingegebenen Daten; die Beantwortung von Anfragen betroffener Personen; und die Weisungen, die er dem Auftragsverarbeiter erteilt. Seine Weisungen werden durch diese Bedingungen, diesen AVV und die von ihm im Dienst vorgenommenen Einstellungen dokumentiert.

7. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• Weisungen: die Daten nur auf dokumentierte Weisung des Clubs zu verarbeiten, auch in Bezug auf Übermittlungen, es sei denn, er ist gesetzlich dazu verpflichtet; in diesem Fall informiert er den Club vorab, sofern das Gesetz dies nicht verbietet. Er informiert den Club, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt.
• Vertraulichkeit: sicherzustellen, dass die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind und nur bei Bedarf darauf zugreifen.
• Sicherheit: die nach Artikel 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen umzusetzen, die in Artikel 8 beschrieben sind.
• Unterauftragsverarbeiter: die Bedingungen von Artikel 9 einzuhalten.
• Rechte der betroffenen Personen: den Club nach Möglichkeit bei der Beantwortung von Anfragen zur Ausübung von Rechten (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch) zu unterstützen, insbesondere durch die Funktionen des Dienstes oder durch die Bereitstellung eines Exports auf Anfrage. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Club weiter und beantwortet sie nicht selbst, es sei denn, der Club weist ihn dazu an.
• Unterstützung: den Club unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei seinen Sicherheitspflichten, bei Folgenabschätzungen und, soweit erforderlich, bei der vorherigen Konsultation der Aufsichtsbehörde zu unterstützen.
• Verletzungen: dem Club jede Verletzung des Schutzes personenbezogener Daten innerhalb von 48 Stunden nach Kenntniserlangung zu melden und dabei die verfügbaren Informationen zu übermitteln (Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen) und diese zu ergänzen, sobald weitere Informationen vorliegen.
• Verzeichnis: ein Verzeichnis der im Auftrag des Clubs durchgeführten Verarbeitungstätigkeiten zu führen.
• Transparenz: dem Club die Informationen zur Verfügung zu stellen, die erforderlich sind, um die Einhaltung dieses AVV nachzuweisen (Artikel 10).

8. Sicherheitsmaßnahmen

• Verschlüsselung der Kommunikation (HTTPS);
• eine eigene Datenbank für jeden Club, die seine Daten von denen anderer Clubs trennt;
• in gehashter Form gespeicherte Passwörter, niemals im Klartext;
• regelmäßige Backups der Datenbanken;
• rollenbasierte Zugriffskontrolle im Dienst (Administrator, Trainer, Spieler);
• auf befugte Personen beschränkter Zugriff auf die Produktionssysteme;
• Hosting in Rechenzentren in Frankreich (OVH SAS), mit physischer Sicherheit durch den Hosting-Anbieter;
• Sicherheitsprotokolle und Aktualisierungen der Softwarekomponenten.

Der Auftragsverarbeiter kann diese Maßnahmen ändern, sofern das Gesamtniveau der Sicherheit nicht gesenkt wird.

9. Unterauftragsverarbeiter

Der Club erteilt seine allgemeine Genehmigung zur Inanspruchnahme der folgenden Unterauftragsverarbeiter:

Paddle.com verarbeitet ausschließlich den Verkauf und die Bezahlung des Abonnements des Clubs, als Merchant of Record und eigenständiger Verantwortlicher; Paddle erhält keine Daten von Spielern und ist daher kein Unterauftragsverarbeiter im Sinne dieses AVV. Aktiviert der Club die Online-Zahlung von Buchungen, übermittelt CtrlCourt auf Weisung des Clubs die für die Zahlung erforderlichen Informationen (Betrag, E-Mail-Adresse des Spielers) an das eigene Stripe-Konto des Clubs: Stripe handelt dann im Namen des Clubs, auf Grundlage der Vereinbarung, die der Club direkt mit Stripe geschlossen hat.

Der Auftragsverarbeiter informiert den Club über jede beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters per E-Mail oder im Administrationsbereich mindestens 30 Tage im Voraus. Der Club kann aus berechtigten datenschutzbezogenen Gründen widersprechen; wird keine Lösung gefunden, kann der Club sein Abonnement vor Wirksamwerden der Änderung kündigen. Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die denen dieses AVV gleichwertig sind, und bleibt gegenüber dem Club für deren Erfüllung verantwortlich. Jede Übermittlung außerhalb des Europäischen Wirtschaftsraums unterliegt geeigneten Garantien (insbesondere den Standardvertragsklauseln der Europäischen Kommission).

10. Audits

Der Club kann die Informationen anfordern, die zur Überprüfung der Einhaltung dieses AVV erforderlich sind. Reichen diese Informationen nicht aus, kann der Club auf eigene Kosten höchstens einmal jährlich ein Audit durchführen, mit mindestens 30 Tagen schriftlicher Vorankündigung, selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer, in einer Weise, die den Dienst nicht stört und die Sicherheit oder Vertraulichkeit der Daten anderer Clubs nicht gefährdet. Audits von Unterauftragsverarbeitern erfolgen anhand der von diesen bereitgestellten Zertifizierungen und Berichte.

11. Ende der Verarbeitung

Nach Ende des Abonnements kann der Club innerhalb der nachstehend genannten Frist einen Export seiner Daten anfordern. Die Daten werden dann 30 Tage nach Ende des Abonnements (oder einer nicht umgewandelten Testphase) gelöscht, einschließlich der Datenbank des Clubs, vorbehaltlich der gesetzlich vorgeschriebenen Aufbewahrung; Backups werden im Rahmen ihres normalen Rotationszyklus überschrieben. Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage.

12. Haftung und Vorrang

Die Haftung jeder Partei richtet sich nach den Nutzungsbedingungen, unbeschadet der Bestimmungen der DSGVO. Bei einem Widerspruch zwischen diesem AVV und den Bedingungen in Bezug auf personenbezogene Daten hat dieser AVV Vorrang.

13. Kontakt

Bei Fragen zu diesem AVV oder zur Meldung eines Vorfalls: contact@ctrlcourt.com.