Vereinbarung zur Auftragsverarbeitung
gemäß Art. 28 DSGVO · Version 2026-08
Diese Vereinbarung gilt zwischen dem Verein bzw. der Organisation, die ClayFlow nutzt (Auftraggeber), und:
Andreas Mader – CLAYFLOW
Brennerweg 4
63785 Obernburg
Deutschland
E-Mail: kontakt@clayflow.de
1. Gegenstand und Geltungsbereich
Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch CLAYFLOW im Auftrag des Auftraggebers im Zusammenhang mit der Nutzung der Plattform CLAYFLOW.
Der Auftraggeber bleibt für die Rechtmäßigkeit der Verarbeitung, die Auswahl der verarbeiteten Daten, die Festlegung der Zwecke sowie die Wahrung der Rechte betroffener Personen verantwortlich, soweit er über Zwecke und Mittel der Verarbeitung entscheidet.
2. Dauer der Verarbeitung
Die Verarbeitung beginnt mit der Bereitstellung eines CLAYFLOW-Zugangs bzw. der erstmaligen Verarbeitung personenbezogener Daten und endet grundsätzlich mit der Beendigung des Nutzungsverhältnisses und der anschließenden vertragsgemäßen Löschung oder Rückgabe der Daten.
3. Art und Zweck der Verarbeitung
- Verwaltung von Teilnehmer- und Turnierdaten
- Verwaltung von Anmeldungen, Rotten, Startzeiten und Startnummern
- Erfassung und Berechnung von Wettkampf- und Finalergebnissen
- Bereitstellung von Start-, Rotten-, Live- und Ergebnislisten nach Freigabe
- Bereitstellung von Benutzerkonten und Zugriffsrechten
- Datensicherung, Wiederherstellung und Fehleranalyse
- technischer Betrieb und Support
4. Kategorien personenbezogener Daten
- Vor- und Nachname sowie Vereinszugehörigkeit
- Geburtsdatum und Geschlecht, soweit erforderlich
- E-Mail-Adresse und Telefonnummer
- Turnieranmeldungen, Klassen, Startnummern, Rotten und Startzeiten
- Wettkampf-, Runden-, Treffer- und Finalergebnisse
- Benutzerkontodaten und Rollen
- freiwillige Angaben und Nachrichten
- technische Zugriffsdaten wie IP-Adresse und Zeitstempel
5. Betroffene Personen
- Turnierteilnehmer
- Mitglieder und Gastschützen
- Vereinsansprechpartner
- Benutzer von CLAYFLOW
- Personen, die sich zu einem Turnier anmelden
6. Weisungsgebundenheit
CLAYFLOW verarbeitet personenbezogene Daten grundsätzlich nur auf dokumentierte Weisung des Auftraggebers, soweit keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht.
Hält CLAYFLOW eine Weisung für datenschutzrechtlich unzulässig, wird der Auftraggeber darauf hingewiesen.
7. Vertraulichkeit
Personen mit Zugriff auf personenbezogene Daten werden zur Vertraulichkeit verpflichtet. Zugriffe werden auf das für Betrieb, Wartung, Support und Sicherheit erforderliche Maß begrenzt.
8. Technische und organisatorische Maßnahmen
CLAYFLOW setzt geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein. Dazu gehören insbesondere:
- HTTPS mit TLS 1.2 und TLS 1.3
- HSTS und weitere HTTP-Sicherheitsheader
- rollen- und mandantenbezogene Zugriffskontrolle
- Secure-, HttpOnly- und SameSite-Sitzungscookies
- Schutz schreibender Anfragen durch Same-Origin-Prüfungen
- Rate-Limiting und Schutz gegen automatisierte Angriffe
- regelmäßige Datenbank- und Systembackups
- begrenzte Aufbewahrungsfristen für Logs und technische Sicherungen
9. Unterstützung des Auftraggebers
CLAYFLOW unterstützt den Auftraggeber im angemessenen Umfang bei datenschutzrechtlichen Pflichten, insbesondere bei Betroffenenanfragen, Sicherheitsvorfällen und erforderlichen Auskünften.
10. Datenschutzverletzungen
CLAYFLOW informiert den Auftraggeber unverzüglich, sobald eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die die Auftragsverarbeitung betrifft.
11. Unterauftragsverarbeiter
Der Auftraggeber erteilt CLAYFLOW eine allgemeine Genehmigung zum Einsatz erforderlicher Unterauftragsverarbeiter.
Derzeit eingesetzter wesentlicher Unterauftragsverarbeiter:
- IONOS SE, Elgendorfer Str. 57, 56410 Montabaur – Hosting und Server-Infrastruktur in Deutschland
Wesentliche Änderungen bei Unterauftragsverarbeitern werden dem Auftraggeber mitgeteilt.
12. Drittlandübermittlungen
Eine Verarbeitung außerhalb der EU bzw. des EWR erfolgt im Rahmen dieser Auftragsverarbeitung nur unter Beachtung der Voraussetzungen der Art. 44 ff. DSGVO.
13. Kontrollen und Nachweise
CLAYFLOW stellt dem Auftraggeber die zur Prüfung der Einhaltung von Art. 28 DSGVO erforderlichen Informationen in angemessenem Umfang zur Verfügung.
14. Löschung und Rückgabe
Nach Beendigung der Auftragsverarbeitung werden personenbezogene Daten nach Maßgabe des Auftraggebers gelöscht oder zurückgegeben, soweit keine gesetzlichen Pflichten entgegenstehen.
Gelöschte Daten können noch für einen begrenzten Zeitraum in Datensicherungen enthalten sein. Reguläre Datenbank- und Systembackups werden derzeit grundsätzlich nach etwa 14 bis 15 Tagen automatisiert entfernt.
15. Technische Aufbewahrungsfristen
- Webserver-Logs: etwa 14 Tage
- Turnier-Autosaves: höchstens 7 Tage
- Mandanten-Snapshots: höchstens 30 Tage und mengenmäßig begrenzt
- reguläre Datenbank- und Systembackups: etwa 14 bis 15 Tage
16. Pflichten des Auftraggebers
Der Auftraggeber stellt insbesondere sicher, dass für die Erfassung, Verarbeitung und gegebenenfalls Veröffentlichung von Teilnehmer- und Ergebnisdaten eine geeignete Rechtsgrundlage besteht.
Der Auftraggeber entscheidet über die Veröffentlichung öffentlicher Start-, Rotten-, Live- und Ergebnislisten.
17. Schlussbestimmungen
Diese Vereinbarung ergänzt das jeweilige Nutzungs- bzw. Vertragsverhältnis über CLAYFLOW. Änderungen werden dokumentiert und bei einer neuen Vertragsfassung durch eine neue Versionsnummer gekennzeichnet.
Stand und Vertragsversion: August 2026 / 2026-08