Vertrag über die Auftragsverarbeitung (AVV)

Gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO) · Stand: 30. August 2026

§ 1 Gegenstand, Dauer und Zweck der Verarbeitung

1. Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der webbasierten Softwareplattform MedalMaker als Software-as-a-Service (SaaS) zur digitalen Verwaltung von Trainings-, Periodisierungs-, Leistungs- und Athletendaten des Auftraggebers.
2. Die Laufzeit dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages (Nutzungsvertrag / SaaS-Abonnement) über die Nutzung von MedalMaker.
3. Die Verarbeitung dient ausschließlich dem Zweck, dem Auftraggeber Werkzeuge zur Trainingsplanung, Belastungssteuerung (ACWR), Wellness-Überwachung, Leistungsdiagnostik und Kommunikation mit Athleten und Trainern bereitzustellen.

§ 2 Art der Daten und Kategorien betroffener Personen

1. Kategorien betroffener Personen:
   • Athletinnen und Athleten (einschließlich minderjähriger Nachwuchssportler).
   • Trainer, Co-Trainer, Chef- und Verbandstrainer.
   • Physiotherapeuten, Ärzte und medizinisches Betreuungspersonal.
   • Erziehungsberechtigte und Eltern minderjähriger Athleten.
   • Vereins- und Organisations-Administratoren.
2. Kategorien personenbezogener Daten:
   • Stamm- und Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Geschlecht, Notfallkontakte, Sportart.
   • Trainings- und Leistungsdaten: Trainingspläne, RPE-Belastungswerte, Trainingsdauer, Periodisierungsgrid-Einträge, Testergebnisse (z. B. FMS), Krafttrainingsprotokolle, Video-Formchecks.
   • Besondere Kategorien von Daten (Gesundheitsdaten gem. Art. 9 DSGVO): Tägliche Wellness-Scores (Schlaf, Stress, Muskelkater), Verletzungs- und Rehaprotokolle, Schmerzkartierung (2D/3D), Menstruationszyklus-Trackingdaten, biometrische Wearable-Messdaten (Herzfrequenz, HRV, Schlafphasen).
   • Organisations- und Planungsdaten: Anwesenheitslisten, Abwesenheitsbegründungen, Reise- und Turnierteilnahmestatus, Kalendertermine.
   • Kommunikationsdaten: In-App-Nachrichten und automatisierte WhatsApp-Check-in-Erinnerungen.

§ 3 Pflichten des Auftraggebers (Verantwortlichen)

1. Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung und die Wahrung der Rechte der betroffenen Personen allein verantwortlich (Art. 4 Nr. 7 DSGVO).
2. Der Auftraggeber sichert zu, dass er alle erforderlichen datenschutzrechtlichen Rechtsgrundlagen (insbesondere die ausdrückliche Einwilligung gem. Art. 9 Abs. 2 lit. a DSGVO für Gesundheitsdaten) vor der Eingabe der Daten in MedalMaker wirksam eingeholt hat.
3. Minderjährige Athleten (< 16 Jahre): Der Auftraggeber gewährleistet ausdrücklich, dass für Athleten unter 16 Jahren die wirksame Einwilligung der Erziehungsberechtigten vorliegt (§ 8 BDSG, Art. 8 DSGVO).

§ 4 Pflichten des Auftragnehmers

1. Weisungsgebundenheit: Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO).
2. Vertraulichkeit: Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben (Art. 28 Abs. 3 lit. b DSGVO).
3. Sicherheit der Verarbeitung (Art. 32 DSGVO): Der Auftragnehmer trifft alle erforderlichen technischen und organisatorischen Maßnahmen (TOMs) zum Schutz der Daten (siehe Anhang 1).
4. Unterstützung bei Betroffenenrechten: Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen Werkzeugen (z. B. automatisierter DSGVO-ZIP-Datenexport gem. Art. 20 DSGVO, Art. 17 Löschfunktionen).
5. Meldung von Datenschutzverletzungen: Der Auftragnehmer benachrichtigt den Auftraggeber unverzüglich, sobald ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird (Art. 33 Abs. 2 DSGVO).

§ 5 Unterauftragsverhältnisse (Sub-Auftragsverarbeiter)

1. Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Subunternehmer) hinzuzuziehen.
2. Die derzeit genehmigten Subunternehmer sind in Anhang 2 aufgeführt.
3. Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mit einer Frist von mindestens 14 Tagen vor deren Wirksamwerden. Dem Auftraggeber steht ein Widerspruchsrecht aus wichtigem datenschutzrechtlichem Grund zu.

§ 6 Löschung und Rückgabe von Daten

1. Nach Beendigung des Hauptvertrages löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers innerhalb von 30 Tagen unwiderruflich, sofern keine gesetzlichen Aufbewahrungspflichten (z. B. § 147 AO, § 257 HGB) entgegenstehen.
2. Der Auftraggeber hat vor Vertragsende jederzeit die Möglichkeit, die vollständigen Daten über die integrierte Exportfunktion im maschinenlesbaren Format (JSON/CSV) herunterzuladen.

---

Anhang 1: Technische und organisatorische Maßnahmen (TOMs gem. Art. 32 DSGVO)

Der Auftragnehmer setzt zum Schutz der Daten folgende Sicherheitsmaßnahmen um:

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle: Hosting in zertifizierten Rechenzentren (ISO 27001, SOC 2) der Google Cloud Platform und Supabase in Frankfurt am Main (Deutschland) mit biometrischer Zugangssicherung und 24/7-Überwachung.
• Zugangskontrolle: Strikte Passwortrichtlinien, bcrypt/Argon2-Passworthashing, JWT-Token-Authentifizierung mit Refresh-Token-Rotation, optionaler Single-Sign-On-Schutz.
• Zugriffskontrolle & Mandantentrennung (Multi-Tenancy): Rollenbasierte Zugriffskontrolle (RBAC). Jede Datenbankabfrage erzwingt die Filterung nach der Organisations-ID (Tenant-Isolation). Cross-Tenant-Abfragen sind technisch unterbunden.
• Verschlüsselung: Durchgängige Transportverschlüsselung via TLS 1.3 für alle Web- und API-Verbindungen. Verschlüsselung ruhender Daten (Encryption at Rest) mit AES-256.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Eingabekontrolle: Revisionssichere Audit-Protokollierung (AuditLog) von administrativen Zugriffen, Datenexporten und Kontolöschungen.
• Eingabevalidierung: Strikte Zod-Schemavalidierung aller eingehenden API-Payloads zur Abwehr von Injection-Angriffen.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Verfügbarkeitskontrolle: Hochverfügbare, serverlose Architektur (Google Cloud Run) mit automatischer Lastskalierung.
• Offline-First-Betrieb: Lokale Datenspeicherung in der Browser-IndexedDB (Dexie.js) mit asynchroner Hintergrund-Synchronisation für unterbrechungsfreien Hallenbetrieb.
• Datensicherung: Tägliche automatisierte Backups der PostgreSQL-Datenbank mit georedundanter Speicherung innerhalb der EU.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Regelmäßige Sicherheitsaudits und Dependency-Schwachstellen-Scans.
• Datenschutzfreundliche Standardeinstellungen (Privacy by Design / Privacy by Default).

---

Anhang 2: Verzeichnis der Unterauftragsverarbeiter

Unterauftragsverarbeiter	Standort	Gegenstand / Dienstleistung	Garantie
Supabase Inc.	EU (Frankfurt, Deutschland)	Bereitstellung PostgreSQL-Datenbank & Speicherung	AVV gem. Art. 28 DSGVO, ISO 27001
Google Cloud EMEA Ltd.	EU (Frankfurt, europe-west3)	API-Hosting, Serverless Backend (Cloud Run)	AVV gem. Art. 28 DSGVO, SCCs
Google Ireland Limited	EU / Globales CDN	Firebase Web-Hosting, Web-Push-Dienst (FCM)	AVV gem. Art. 28 DSGVO, DPF
Google Ireland Limited	EU	Google Drive API zur Form-Check-Videospeicherung	AVV gem. Art. 28 DSGVO, DPF
Stripe Payments Europe Ltd.	Irland / EU	Zahlungsabwicklung & Rechnungsstellung	PCI-DSS Level 1, AVV gem. Art. 28 DSGVO
Google Workspace / SMTP	EU / DPF	Transaktions-E-Mails (Einladungen, Passwort-Reset)	AVV gem. Art. 28 DSGVO