Auftragsverarbeitung.

Verantwortlicher ist die Mannschaft bzw. der Verein, für die bzw. den die den Vertrag abschließende Person handelt. Maßgeblich sind der in der App hinterlegte Mannschaftsname sowie Name und Funktion der unterzeichnenden Person, wie sie beim Abschluss erfasst wurden.

Auftragsverarbeiter ist Tom Winkelius, August-Bebel-Straße 8, 50259 Pulheim, Deutschland — Betreiber von Handvance. Kontakt in allen Datenschutzfragen: hi@handvance.de.

Dieser Vertrag ergänzt die Nutzungsbedingungen und geht ihnen bei Widersprüchen in Datenschutzfragen vor.

(1)Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche über Handvance erfasst oder erfassen lässt — insbesondere Kader-, Spiel- und Videodaten. Einzelheiten regelt Anlage 1.

(2)Der Vertrag läuft, solange der Verantwortliche Handvance nutzt. Er endet automatisch mit der Löschung der Mannschaft oder des Kontos; einer gesonderten Kündigung bedarf es nicht.

(3)Die Verarbeitung findet ausschließlich im Gebiet der Europäischen Union bzw. des EWR statt, soweit Anlage 3 nichts anderes ausweist.

(1)Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich (Art. 24 DSGVO). Er stellt insbesondere sicher, dass für die Erfassung der Spielerdaten eine Rechtsgrundlage besteht und dass die betroffenen Personen — bei Minderjährigen deren Erziehungsberechtigte — nach Art. 13 und 14 DSGVO informiert wurden.

(2)Lädt der Verantwortliche Videoaufnahmen hoch, sichert er zu, über die dafür erforderlichen Rechte zu verfügen — datenschutzrechtlich wie nach dem Recht am eigenen Bild (§§ 22, 23 KunstUrhG). Das betrifft auch Personen, die nur zufällig im Bild sind.

(3)Der Verantwortliche erteilt Weisungen grundsätzlich durch die Nutzung der Funktionen der Anwendung. Weisungen außerhalb davon bedürfen der Textform.

(4)Stimmt der Verantwortliche dem KI-Training nach Ziffer 4 Abs. 5 zu, informiert er die Spieler:innen seiner Mannschaft, die kein eigenes Konto bei Handvance haben, über die Verwendung und ihr Widerspruchsrecht. Widerspricht eine solche Person ihm gegenüber, teilt er das Handvance in Textform mit.

(1)Handvance verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO) — nicht für eigene Zwecke.

(2)Hält Handvance eine Weisung für rechtswidrig, wird sie unverzüglich darauf hingewiesen. Handvance darf die Ausführung bis zur Klärung aussetzen.

(3)Verarbeitet Handvance Daten für eigene Zwecke, ist Handvance insoweit selbst Verantwortlicher (Art. 28 Abs. 10 DSGVO). Das betrifft ausschließlich die Vertragsabwicklung mit dem Verantwortlichen — Konto, Abrechnung, Support — sowie das in Ziffer 4 geregelte Training eigener Erkennungsmodelle.

(1)KI-Analyse bezeichnet in diesem Vertrag den von einem Sprachmodell verfassten Auswertungstext zu einem Spiel, einer Person oder einer Spielzeit. Die Zahlen jeder KI-Analyse berechnet Handvance selbst, nach festen Regeln und ohne KI. Den Fließtext dazu formuliert ein Sprachmodell von Anthropic (Anthropic PBC, USA; Anlage 3). Übermittelt werden dafür ausschließlich die berechneten Leistungswerte und die Spielposition. Namen von Spieler:innen, Mannschaft und Gegner werden vor der Übermittlung durch Platzhalter ersetzt(„Person 1“) und erst in der fertigen Antwort wieder eingesetzt. Videos, Kontaktdaten und Geburtsdaten werden nicht übermittelt.

(2)Die Übermittlung erfolgt in die USA auf Grundlage der EU-Standardvertragsklauseln. Anthropic verarbeitet die Inhalte weisungsgebunden, nutzt sie nicht zum Training eigener Modelle und speichert sie nicht über die Bearbeitung der Anfrage hinaus. Die Pseudonymisierung nimmt den Daten nicht ihre Eigenschaft als personenbezogene Daten (Erwägungsgrund 26) — sie senkt das Risiko, sie hebt die Verantwortung nicht auf.

(3)Ist das Sprachmodell nicht erreichbar, entsteht keine KI-Analyse. Handvance teilt dies mit und belastet das Kontingent des Verantwortlichen nicht. Ein anderweitig erzeugter Ersatztext wird nicht ausgeliefert.

(4)Spieldaten verwendet Handvance nicht zum Training von KI-Modellen und gibt sie nicht zu diesem Zweck weiter.

(5)Spielvideos.Stimmt der Verantwortliche in der Anwendung ausdrücklich zu („Hilf uns Handvance zu verbessern“), gestattet er Handvance, aus den im Rahmen der Video-Auswertung hochgeladenen Aufnahmen Bewegungsdaten zu gewinnen — Positionen von Personen und Ball über die Zeit — und diese zum Training eigener Erkennungsmodelle zu verwenden (Art. 28 Abs. 3 lit. a DSGVO). Die Zustimmung erteilt die Mannschaftsleitung für die gesamte Mannschaft; sie ist freiwillig und jederzeit in der Anwendung mit Wirkung für die Zukunft widerruflich. Ohne Zustimmung wird keine Aufnahme verwendet.

(6)Trainiert wird ausschließlich auf diesen Bewegungsdaten. Das Bildmaterial fließt in kein Modell — weder vollständig noch als Einzelbild oder Ausschnitt. Nach der Gewinnung der Bewegungsdaten sind die abgebildeten Personen nicht mehr bestimmbar; auf die Trainingsdaten findet die Verordnung keine Anwendung mehr (Erwägungsgrund 26). Diese Beschränkung ist wesentliche Bedingung der Gestattung nach Absatz 5.

(7)Ausgeschlossen sind Aufnahmen, bei denen der Verantwortliche beim Hochladen nicht bestätigt hat, dass alle eingesetzten Spieler:innen der eigenen Mannschaft volljährig sind, Aufnahmen von Testspielen sowie Aufnahmen von Spielen, bei denen eine im gemeldeten Kader geführte Person der Verwendung widersprochen hat. Die Angabe zur Volljährigkeit ist eine Angabe über Tatsachen, keine Einwilligung für Dritte.

(8)Widerspruch. Jede betroffene Person kann der Verwendung von Aufnahmen, auf denen sie zu sehen ist, jederzeit und ohne Begründung widersprechen (Art. 21 Abs. 1 DSGVO); Handvance stellt dafür in der Anwendung eine Möglichkeit bereit und nimmt Widersprüche auch per E-Mail entgegen. Der Widerspruch wirkt für die Zukunft und sperrt die Spiele, bei denen die Person im gemeldeten Kader geführt wurde. Dem Verantwortlichen wird nicht angezeigt, wer widersprochen hat. Bereits abgeschlossene Trainingsläufe lassen sich nicht rückabwickeln.

(9)Die Aufnahmen verbleiben im Kreis der in Anlage 3 genannten Unterauftragsverarbeiter. Eine Übermittlung an den Anbieter des Sprachmodells findet nicht statt.

(1)Handvance verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

(2)Zugriff erhält nur, wer ihn für die Erbringung der Leistung benötigt. Ziffer 8 regelt, wie dieser Zugriff begrenzt und protokolliert wird.

(1)Handvance trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie über die Vertragslaufzeit aufrecht.

(2)Die Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

(1)Der Verantwortliche stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu (allgemeine Genehmigung nach Art. 28 Abs. 2 Satz 2 DSGVO).

(2)Wechsel oder Hinzunahme kündigt Handvance mindestens 30 Tage vorher per E-Mail an die hinterlegte Adresse an. Der Verantwortliche kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen; kommt keine Einigung zustande, darf er den Vertrag ohne Einhaltung einer Frist beenden.

(3)Handvance verpflichtet jeden Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht, und haftet für ihn wie für eigenes Handeln.

(1)Ein Zugriff auf Kader-, Spiel- oder Videodaten findet nur statt, wenn er für eine beauftragte Leistung erforderlich ist — insbesondere für eine bestellte Video-Auswertung oder eine Support-Anfrage — oder wenn eine gesetzliche Pflicht dazu zwingt.

(2)Jeder Zugriff läuft über eine befristete Sitzung mit hinterlegtem Grund. Ohne offene Sitzung geben die Zugriffsregeln der Datenbank die Daten nicht frei; die Begrenzung ist technisch durchgesetzt, nicht bloß organisatorisch zugesagt.

(3)Alle Zugriffe und daraus folgenden Änderungen werden protokolliert. Der Verantwortliche sieht diese Protokolle selbst in der App unter Menü → Einstellungen → Rechtliches → Zugriffe durch Handvance.

(4)Ein Zugriff auf die Daten zu Werbe- oder Analysezwecken findet nicht statt. Für das KI-Training mit Spielvideos gilt ausschließlich Ziffer 4.

(1)Handvance unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 15–22 DSGVO). Wendet sich eine betroffene Person direkt an Handvance, wird sie an den Verantwortlichen verwiesen und dieser unverzüglich informiert.

(2)Handvance unterstützt bei der Einhaltung der Art. 32–36 DSGVO — Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung — soweit die dafür nötigen Informationen bei Handvance liegen.

(3)Die Unterstützung ist im Nutzungsentgelt enthalten, soweit sie nicht auf einem Umstand beruht, den der Verantwortliche zu vertreten hat.

(1)Wird Handvance eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert Handvance den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis (Art. 33 Abs. 2 DSGVO) — auch dann, wenn noch nicht alle Einzelheiten feststehen.

(2)Die Meldung enthält, soweit bekannt: Art des Vorfalls, betroffene Datenkategorien, ungefähre Zahl der Betroffenen, wahrscheinliche Folgen und ergriffene Gegenmaßnahmen.

(3)Die Meldung an die Aufsichtsbehörde und an die betroffenen Personen (Art. 33, 34 DSGVO) obliegt dem Verantwortlichen.

(1)Handvance stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO).

(2)Der Verantwortliche kann sich nach Ankündigung mit angemessener Frist von der Einhaltung überzeugen. Vor-Ort-Kontrollen finden zu üblichen Geschäftszeiten statt, ohne den Betrieb unangemessen zu stören, und höchstens einmal jährlich — es sei denn, es besteht ein konkreter Anlass.

(1)Nach Beendigung löscht Handvance die verarbeiteten Daten (Art. 28 Abs. 3 lit. g DSGVO). Gelöschte Mannschaften und Spielerdaten bleiben zunächst 30 Tage wiederherstellbar und werden danach endgültig entfernt; Videodateien werden mit dem zugehörigen Auftrag gelöscht.

(2)Der Verantwortliche kann vor der Beendigung die Herausgabe der Daten in einem gängigen, maschinenlesbaren Format verlangen.

(3)Gesetzliche Aufbewahrungspflichten bleiben unberührt; die betroffenen Daten werden in diesem Fall gesperrt und nicht weiter verarbeitet.

Es gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen der Nutzungsbedingungen.

(1)Änderungen bedürfen der Textform. Handvance kann diesen Vertrag anpassen, wenn Gesetz, Rechtsprechung oder der Funktionsumfang es erfordern; die neue Fassung wird in der App zur Bestätigung vorgelegt.

(2)Es gilt das Recht der Bundesrepublik Deutschland. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.

Zweck: Erfassung, Auswertung und Darstellung handballspezifischer Leistungsdaten sowie die vom Verantwortlichen bestellte Video-Auswertung. Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Berechnen, Anzeigen, Löschen. Dauer: Laufzeit des Vertrags zuzüglich 30 Tage Wiederherstellungsfrist.

Besondere Kategorien nach Art. 9 DSGVO werden nicht verarbeitet. Der Verantwortliche wird darauf hingewiesen, dass Freitextfelder (z. B. Notizen zu einem Auftrag) nicht für Gesundheitsangaben oder andere sensible Informationen bestimmt sind.

Nach Art. 32 DSGVO. Beschrieben ist der tatsächliche Stand, nicht eine Wunschliste.

• Zugangskontrolle: Zugang ausschließlich über passwortgeschützte Konten; Passwörter werden nur gehasht gespeichert (bcrypt/scrypt durch den Authentifizierungsdienst). E-Mail-Adressen müssen vor der ersten Nutzung bestätigt werden.
• Zugriffskontrolle: Die Trennung der Mandanten erfolgt in der Datenbank selbst über zeilenbasierte Sicherheitsregeln (Row Level Security). Eine Mannschaft kann die Daten einer anderen technisch nicht abrufen — auch dann nicht, wenn die Anwendung einen Fehler hätte, denn die Regel sitzt unterhalb der Anwendung.
• Rollentrennung: Innerhalb einer Mannschaft trennen Rollen die Rechte: Spieler:innen sehen ausschließlich ihr eigenes Profil, Trainer:innen den Kader. Video-Uploads sind an den Tarif der Mannschaft gebunden.
• Betreiberzugriff: Zugriffe durch Handvance erfordern eine befristete Sitzung mit hinterlegtem Grund und werden protokolliert (Ziffer 8). Die Protokolle sind für den Verantwortlichen einsehbar.
• Übertragungskontrolle: Sämtliche Übertragung erfolgt ausschließlich TLS-verschlüsselt (HTTPS, HSTS). Videodateien sind nur über zeitlich befristete, signierte Adressen abrufbar — ein öffentlicher Direktzugriff auf den Speicher besteht nicht.
• Speicherkontrolle: Daten liegen verschlüsselt auf den Systemen der in Anlage 3 genannten Dienstleister.
• Verfügbarkeit: Tägliche automatische Sicherungen durch den Datenbankdienstleister mit zeitpunktgenauer Wiederherstellung; getrennte Ablage der Sicherungen.
• Trennungskontrolle: Produktiv- und Entwicklungsumgebung sind getrennt. Für Tests werden keine echten Kundendaten verwendet.
• Eingabekontrolle: Änderungen an Spielereignissen werden mit Zeitpunkt und auslösendem Konto festgehalten; Löschungen erfolgen zunächst als Kennzeichnung, nicht als endgültige Entfernung.
• Belastbarkeit und Wiederherstellung: Die Anwendung bleibt bei Ausfall einzelner Nebendienste (E-Mail-Versand, Fehlerdiagnose, Zahlung) funktionsfähig; diese sind bewusst nicht in den Kernbetrieb verwoben.
• Überprüfung: Fehler und Ausfälle werden über einen Diagnosedienst mit Serverstandort in Deutschland erfasst und ausgewertet.

Diese Dienstleister verarbeiten Daten im Auftrag von Handvance. Mit allen bestehen Verträge nach Art. 28 DSGVO.

Kein Unterauftragsverarbeiter ist Stripe (Stripe Payments Europe, Ltd., Irland): Für die Zahlungsabwicklung ist Stripe eigenständig Verantwortlicher. Spielerdaten erhält Stripe nicht.

Zum Einsatz des Sprachmodells siehe Ziffer 4.