Auftragsverarbeitungsvertrag

zwischen dem Verein, der oneLnk nutzt und diesen Vertrag in der Club-Verwaltung angenommen hat (nachfolgend „Verein“ oder „Verantwortlicher“), und

(nachfolgend „oneLnk“ oder „Auftragsverarbeiter“). Version 1.0 (30.10.2026).

§ 1 Gegenstand und Dauer

oneLnk stellt dem Verein die Buchungsplattform oneLnk zur Verfügung (Platzbuchung, Mitgliederverwaltung, Benachrichtigungen, Abrechnung, Kiosk). Dabei verarbeitet oneLnk personenbezogene Daten der Mitglieder und Gäste des Vereins im Auftrag und nach Weisung des Vereins. Gegenstand, Art, Zweck der Verarbeitung sowie Datenarten und betroffene Personen ergeben sich aus Anlage 1.

Dieser Vertrag gilt ab Annahme durch den Verein für die Dauer der Nutzung von oneLnk. Er endet, wenn der Club in oneLnk gelöscht wird oder der Verein die Nutzung kündigt.

§ 2 Weisungen

oneLnk verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und der dokumentierten Weisungen des Vereins. Weisungen erteilt der Verein in der Regel durch die Nutzung der Funktionen in der Club-Verwaltung (etwa Anlegen, Ändern und Löschen von Mitgliedern, Regeln, Preisen). Darüber hinausgehende Weisungen erteilen Vereinsverwalter in Textform an hallo@onelnk.de. Hält oneLnk eine Weisung für rechtswidrig, weist es den Verein darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

§ 3 Pflichten von oneLnk

• Verarbeitung nur nach Weisung; keine Nutzung der Daten für eigene Zwecke, insbesondere keine Werbung und kein Verkauf.
• Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO gemäß Anlage 2; oneLnk darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
• Unterstützung des Vereins bei der Beantwortung von Anfragen betroffener Personen (Art. 12 bis 22 DSGVO). Anfragen, die oneLnk direkt erreichen und den Verein betreffen, leitet oneLnk unverzüglich an den Verein weiter.
• Unterstützung bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung) unter Berücksichtigung der verfügbaren Informationen.
• Meldung von Verletzungen des Schutzes personenbezogener Daten an den Verein unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.
• Bereitstellung aller Informationen, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und Ermöglichung von Überprüfungen nach § 6.
• Ein Datenschutzbeauftragter ist bei oneLnk nicht benannt, weil die gesetzlichen Voraussetzungen nicht vorliegen. Ansprechpartner für Datenschutz ist die Geschäftsführung unter hallo@onelnk.de.

§ 4 Pflichten des Vereins

Der Verein ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich. Er trägt nur Daten ein, die er rechtmäßig verarbeiten darf, informiert seine Mitglieder über den Einsatz von oneLnk (etwa durch Verweis auf die Datenschutzerklärung von oneLnk) und sorgt dafür, dass nur berechtigte Personen Zugang zur Club-Verwaltung haben. Die Person, die diesen Vertrag in der Club-Verwaltung annimmt, versichert, dazu für den Verein berechtigt zu sein.

§ 5 Unterauftragsverarbeiter

Der Verein genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter. oneLnk darf weitere Unterauftragsverarbeiter hinzuziehen oder ersetzen; oneLnk informiert den Verein darüber mindestens 30 Tage vorher per E-Mail an die in der Club-Verwaltung hinterlegte Adresse und durch Aktualisierung dieser Seite. Der Verein kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen; kommt keine Einigung zustande, kann jede Seite die Nutzung beenden. oneLnk verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Pflichten, die denen dieses Vertrags entsprechen.

§ 6 Kontrollrechte

Der Verein kann die Einhaltung dieses Vertrags überprüfen. oneLnk erfüllt das in erster Linie durch Auskünfte, Dokumentation und Nachweise der Unterauftragsverarbeiter (Zertifizierungen, Berichte). Eine Prüfung vor Ort kann der Verein bei konkretem Anlass mit angemessener Frist während der Geschäftszeiten verlangen.

§ 7 Übermittlung in Drittländer

Die Datenbank und die Anwendung werden in der Europäischen Union betrieben (Anlage 3). Einzelne Unterauftragsverarbeiter haben ihren Sitz in den USA; soweit dabei Daten dorthin übermittelt werden, geschieht dies auf Grundlage des EU-U.S. Data Privacy Framework oder der Standardvertragsklauseln der EU-Kommission.

§ 8 Löschung und Rückgabe

Nach Ende der Nutzung löscht oneLnk die Daten des Vereins auf Weisung innerhalb von 30 Tagen oder stellt sie dem Verein vorher in einem gängigen Format (CSV) zur Verfügung, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Nutzerkonten, die Mitglieder selbst angelegt haben und die auch in anderen Vereinen genutzt werden, bleiben bestehen; nur die Verknüpfung zum Verein wird gelöscht.

§ 9 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Änderungen dieses Vertrags bedürfen der Textform; eine neue Version wird dem Verein in der Club-Verwaltung zur Annahme vorgelegt. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Gegenstand der Verarbeitung

Zwecke

• Verwaltung von Mitgliedern, Rollen und Mitgliedsnummern
• Platzbuchung, Abos, Warteliste, Trainings und Events
• Gast- und Zusatzgebühren, Mitgliedskonto, Abrechnung, Kartenzahlung
• Benachrichtigungen und E-Mails an Mitglieder
• Statistik und Spielaktivität für den Vorstand
• Kiosk-Modus im Clubhaus

Datenarten

• Stammdaten: Name, Mitgliedsnummer, E-Mail-Adresse, Telefonnummer, Geburtsdatum
• Kontodaten: Rolle, Status, PIN (nur als Hash), Zeitpunkt der Freischaltung
• Buchungsdaten: Platz, Zeitraum, Teilnehmer, Gäste, Quelle, Status, Ergebnisse, Spielstärke
• Abrechnungsdaten: Beiträge, Gebühren, Zahlungsstatus, Stripe-Vorgangsnummern
• Kommunikationsdaten: Benachrichtigungen, Vereinsmitteilungen, Einstellungen

Betroffene Personen

• Mitglieder des Vereins und Vereinsverwalter
• Gäste, die Mitglieder mitbringen oder die am Kiosk buchen
• Personen, die eine Beitrittsanfrage stellen

Anlage 2: Technische und organisatorische Maßnahmen

• Zugangs- und Zugriffskontrolle: Anmeldung über Supabase Auth (Passwort-Hash, E-Mail-Bestätigung, Anmelde-Links), Bot-Schutz bei Registrierung und Login; Zugriffsrechte auf Datenbankebene (Row-Level-Security auf jeder Tabelle): Mitglieder sehen nur ihre eigenen Daten und die ihres Clubs, Verwalter nur ihren Club; Schutz vor Rechteausweitung; signierte Tokens für Einladungs-, Freigabe- und Kalender-Links; Kiosk-Geräte nur nach Kopplung durch den Verein.
• Übertragungskontrolle: Verschlüsselung aller Verbindungen (TLS); Verschlüsselung der gespeicherten Daten beim Hosting-Anbieter.
• Eingabekontrolle: Buchungen tragen Urheber, Quelle und Zeitstempel; Änderungen durch die Verwaltung sind dem Verwalterkonto zugeordnet.
• Verfügbarkeit: tägliche Sicherungen beim Datenbank-Anbieter; getrennte Umgebungen für Entwicklung und Betrieb; Doppelbuchungs-Ausschluss auf Datenbankebene.
• Trennung: Mandantentrennung über Club-Zuordnung und Row-Level-Security; öffentlicher Kalender ohne Personendaten.
• Organisation: Zugriff auf Produktionssysteme nur für die Geschäftsführung mit Mehrfaktor-Anmeldung; Geheimnisse nur in der Hosting-Umgebung, nicht im Quellcode; Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern.

Anlage 3: Unterauftragsverarbeiter

• Supabase, Inc., 970 Toa Payoh North #07-04, Singapur 318992 – Datenbank, Anmeldung, Dateispeicher, Edge Functions; Daten in Irland (EU-Region eu-west-1).
• Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA – Hosting der Anwendung; Anwendungscode in Frankfurt am Main, CDN und Logs global.
• Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA – Versand von Transaktions-E-Mails.
• Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, D02 H210, Irland – Kartenzahlung (eigenständig verantwortlich für die Zahlungsabwicklung).
• Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA – Bot-Schutz (Turnstile) bei Registrierung und Login.

Die KI-Anbindung (Claude, ChatGPT) ist kein Unterauftrag des Vereins: Mitglieder verbinden sie freiwillig mit ihrem eigenen Konto; Grundlage ist deren Einwilligung (Abschnitt 14 der Datenschutzerklärung).