Auftragsverarbeitung.

Verantwortlicher ist die Mannschaft bzw. der Verein, für die bzw. den die den Vertrag abschließende Person handelt. Maßgeblich sind der in der App hinterlegte Mannschaftsname sowie Name und Funktion der unterzeichnenden Person, wie sie beim Abschluss erfasst wurden.

Auftragsverarbeiter ist [Vor- und Nachname / Firma], [Straße & Hausnummer], [PLZ Ort] — Betreiber von Handvance. Kontakt in allen Datenschutzfragen: hi@handvance.de.

Dieser Vertrag ergänzt die Nutzungsbedingungen und geht ihnen bei Widersprüchen in Datenschutzfragen vor.

(1)Gegenstand ist die Verarbeitung personenbezogener Daten, die der Verantwortliche über Handvance erfasst oder erfassen lässt — insbesondere Kader-, Spiel- und Videodaten. Einzelheiten regelt Anlage 1.

(2)Der Vertrag läuft, solange der Verantwortliche Handvance nutzt. Er endet automatisch mit der Löschung der Mannschaft oder des Kontos; einer gesonderten Kündigung bedarf es nicht.

(3)Die Verarbeitung findet ausschließlich im Gebiet der Europäischen Union bzw. des EWR statt, soweit Anlage 3 nichts anderes ausweist.

(1)Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich (Art. 24 DSGVO). Er stellt insbesondere sicher, dass für die Erfassung der Spielerdaten eine Rechtsgrundlage besteht und dass die betroffenen Personen — bei Minderjährigen deren Erziehungsberechtigte — nach Art. 13 und 14 DSGVO informiert wurden.

(2)Lädt der Verantwortliche Videoaufnahmen hoch, sichert er zu, über die dafür erforderlichen Rechte zu verfügen — datenschutzrechtlich wie nach dem Recht am eigenen Bild (§§ 22, 23 KunstUrhG). Das betrifft auch Personen, die nur zufällig im Bild sind.

(3)Der Verantwortliche erteilt Weisungen grundsätzlich durch die Nutzung der Funktionen der Anwendung. Weisungen außerhalb davon bedürfen der Textform (E-Mail genügt).

(4)Er benennt Handvance gegenüber eine ansprechbare Person und hält die Zugangsdaten seiner Konten geheim.

(1)Handvance verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO) — nicht für eigene Zwecke.

(2)Hält Handvance eine Weisung für rechtswidrig, wird sie unverzüglich darauf hingewiesen. Handvance darf die Ausführung bis zur Klärung aussetzen.

(3)Verarbeitet Handvance Daten für eigene Zwecke, ist Handvance insoweit selbst Verantwortlicher (Art. 28 Abs. 10 DSGVO). Das betrifft ausschließlich die Vertragsabwicklung mit dem Verantwortlichen — Konto, Abrechnung, Support — sowie die in Ziffer 4 geregelte Produktverbesserung.

(1)Handvance verwendet keine personenbezogenen Daten des Verantwortlichen zum Training von KI-Modellen und gibt sie nicht zu diesem Zweck an Dritte weiter. Die Auswertungstexte der Anwendung werden deterministisch aus den erfassten Daten erzeugt; ein Sprachmodell ist daran nicht beteiligt und es werden dafür keine Daten an externe Anbieter übermittelt.

(2)Erteilt der Verantwortliche die gesonderte, freiwillige Freigabe zur Produktverbesserung, darf Handvance anonymisierte Spiel- und Leistungsdaten für die Weiterentwicklung von Auswertungen und Vergleichswerten nutzen. Anonymisiert heißt: ohne Namen, ohne Trikotnummern, ohne Mannschafts- oder Vereinsbezug, ohne Videoaufnahmen und ohne die Möglichkeit, einzelne Personen wieder zuzuordnen. Auf solche Daten findet die DSGVO keine Anwendung mehr (Erwägungsgrund 26).

(3)Die Freigabe ist freiwillig, keine Bedingung der Nutzung und jederzeit mit Wirkung für die Zukunft widerrufbar (Art. 7 Abs. 3 DSGVO) — in der App unter Menü → Rechtliches. Bereits anonymisierte Daten lassen sich nach einem Widerruf nicht mehr herauslösen, weil sie keiner Mannschaft mehr zugeordnet sind; ab dem Widerruf fließt nichts Neues mehr ein.

(4)Sollte Handvance künftig KI-Systeme Dritter einsetzen, die personenbezogene Daten verarbeiten, wird dieser Vertrag zuvor angepasst und die Zustimmung erneut eingeholt.

(1)Handvance verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

(2)Zugriff erhält nur, wer ihn für die Erbringung der Leistung benötigt. Ziffer 8 regelt, wie dieser Zugriff begrenzt und protokolliert wird.

(1)Handvance trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie über die Vertragslaufzeit aufrecht.

(2)Die Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

(1)Der Verantwortliche stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu (allgemeine Genehmigung nach Art. 28 Abs. 2 Satz 2 DSGVO).

(2)Wechsel oder Hinzunahme kündigt Handvance mindestens 30 Tage vorher per E-Mail an die hinterlegte Adresse an. Der Verantwortliche kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen; kommt keine Einigung zustande, darf er den Vertrag ohne Einhaltung einer Frist beenden.

(3)Handvance verpflichtet jeden Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht, und haftet für ihn wie für eigenes Handeln.

Diese Ziffer beschreibt, was in vielen Verträgen ungesagt bleibt: wann Menschen beim Anbieter tatsächlich in eure Daten schauen.

(1)Ein Zugriff auf Kader-, Spiel- oder Videodaten findet nur statt, wenn er für eine beauftragte Leistung erforderlich ist — insbesondere für eine bestellte Video-Auswertung oder eine Support-Anfrage — oder wenn eine gesetzliche Pflicht dazu zwingt.

(2)Jeder Zugriff läuft über eine befristete Sitzung mit hinterlegtem Grund. Ohne offene Sitzung geben die Zugriffsregeln der Datenbank die Daten nicht frei; die Begrenzung ist technisch durchgesetzt, nicht bloß organisatorisch zugesagt.

(3)Alle Zugriffe und daraus folgenden Änderungen werden protokolliert. Der Verantwortliche sieht diese Protokolle selbst in der App unter Menü → Rechtliches → Zugriffe durch Handvance.

(4)Ein Zugriff auf die Daten zu Werbe-, Analyse- oder Trainingszwecken findet nicht statt.

(1)Handvance unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 15–22 DSGVO). Wendet sich eine betroffene Person direkt an Handvance, wird sie an den Verantwortlichen verwiesen und dieser unverzüglich informiert.

(2)Handvance unterstützt bei der Einhaltung der Art. 32–36 DSGVO — Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung — soweit die dafür nötigen Informationen bei Handvance liegen.

(3)Die Unterstützung ist im Nutzungsentgelt enthalten, soweit sie nicht auf einem Umstand beruht, den der Verantwortliche zu vertreten hat.

(1)Wird Handvance eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert Handvance den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis (Art. 33 Abs. 2 DSGVO) — auch dann, wenn noch nicht alle Einzelheiten feststehen.

(2)Die Meldung enthält, soweit bekannt: Art des Vorfalls, betroffene Datenkategorien, ungefähre Zahl der Betroffenen, wahrscheinliche Folgen und ergriffene Gegenmaßnahmen.

(3)Die Meldung an die Aufsichtsbehörde und an die betroffenen Personen (Art. 33, 34 DSGVO) obliegt dem Verantwortlichen.

(1)Handvance stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO).

(2)Der Verantwortliche kann sich nach Ankündigung mit angemessener Frist von der Einhaltung überzeugen. Vor-Ort-Kontrollen finden zu üblichen Geschäftszeiten statt, ohne den Betrieb unangemessen zu stören, und höchstens einmal jährlich — es sei denn, es besteht ein konkreter Anlass.

(1)Nach Beendigung löscht Handvance die verarbeiteten Daten (Art. 28 Abs. 3 lit. g DSGVO). Gelöschte Mannschaften und Spielerdaten bleiben zunächst 30 Tage wiederherstellbar und werden danach endgültig entfernt; Videodateien werden mit dem zugehörigen Auftrag gelöscht.

(2)Der Verantwortliche kann vor der Beendigung die Herausgabe der Daten in einem gängigen, maschinenlesbaren Format verlangen.

(3)Gesetzliche Aufbewahrungspflichten bleiben unberührt; die betroffenen Daten werden in diesem Fall gesperrt und nicht weiter verarbeitet.

Es gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen der Nutzungsbedingungen.

(1)Änderungen bedürfen der Textform. Handvance kann diesen Vertrag anpassen, wenn Gesetz, Rechtsprechung oder der Funktionsumfang es erfordern; die neue Fassung wird in der App zur Bestätigung vorgelegt.

(2)Es gilt das Recht der Bundesrepublik Deutschland. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.

Kurz vorweg, weil es die häufigste Rückfrage ist: Handvance erhebt kein Geburtsdatum, keine Anschrift, keine Telefonnummer und keine Gesundheitsdaten von Spieler:innen. Was fehlt, kann auch nicht abfließen.

Zweck: Erfassung, Auswertung und Darstellung handballspezifischer Leistungsdaten sowie die vom Verantwortlichen bestellte Video-Auswertung. Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Berechnen, Anzeigen, Löschen. Dauer: Laufzeit des Vertrags zuzüglich 30 Tage Wiederherstellungsfrist.

Besondere Kategorien nach Art. 9 DSGVO werden nicht verarbeitet. Der Verantwortliche wird darauf hingewiesen, dass Freitextfelder (z. B. Notizen zu einem Auftrag) nicht für Gesundheitsangaben oder andere sensible Informationen bestimmt sind.

Nach Art. 32 DSGVO. Beschrieben ist der tatsächliche Stand, nicht eine Wunschliste.

• Zugangskontrolle: Zugang ausschließlich über passwortgeschützte Konten; Passwörter werden nur gehasht gespeichert (bcrypt/scrypt durch den Authentifizierungsdienst). E-Mail-Adressen müssen vor der ersten Nutzung bestätigt werden.
• Zugriffskontrolle: Die Trennung der Mandanten erfolgt in der Datenbank selbst über zeilenbasierte Sicherheitsregeln (Row Level Security). Eine Mannschaft kann die Daten einer anderen technisch nicht abrufen — auch dann nicht, wenn die Anwendung einen Fehler hätte, denn die Regel sitzt unterhalb der Anwendung.
• Rollentrennung: Innerhalb einer Mannschaft trennen Rollen die Rechte: Spieler:innen sehen ausschließlich ihr eigenes Profil, Trainer:innen den Kader. Video-Uploads sind an den Tarif der Mannschaft gebunden.
• Betreiberzugriff: Zugriffe durch Handvance erfordern eine befristete Sitzung mit hinterlegtem Grund und werden protokolliert (Ziffer 8). Die Protokolle sind für den Verantwortlichen einsehbar.
• Übertragungskontrolle: Sämtliche Übertragung erfolgt ausschließlich TLS-verschlüsselt (HTTPS, HSTS). Videodateien sind nur über zeitlich befristete, signierte Adressen abrufbar — ein öffentlicher Direktzugriff auf den Speicher besteht nicht.
• Speicherkontrolle: Daten liegen verschlüsselt auf den Systemen der in Anlage 3 genannten Dienstleister.
• Verfügbarkeit: Tägliche automatische Sicherungen durch den Datenbankdienstleister mit zeitpunktgenauer Wiederherstellung; getrennte Ablage der Sicherungen.
• Trennungskontrolle: Produktiv- und Entwicklungsumgebung sind getrennt. Für Tests werden keine echten Kundendaten verwendet.
• Eingabekontrolle: Änderungen an Spielereignissen werden mit Zeitpunkt und auslösendem Konto festgehalten; Löschungen erfolgen zunächst als Kennzeichnung, nicht als endgültige Entfernung.
• Belastbarkeit und Wiederherstellung: Die Anwendung bleibt bei Ausfall einzelner Nebendienste (E-Mail-Versand, Fehlerdiagnose, Zahlung) funktionsfähig; diese sind bewusst nicht in den Kernbetrieb verwoben.
• Überprüfung: Fehler und Ausfälle werden über einen Diagnosedienst mit Serverstandort in Deutschland erfasst und ausgewertet.

Diese Dienstleister verarbeiten Daten im Auftrag von Handvance. Mit allen bestehen Verträge nach Art. 28 DSGVO.

Kein Unterauftragsverarbeiter ist Stripe (Stripe Payments Europe, Ltd., Irland): Für die Zahlungsabwicklung ist Stripe eigenständig Verantwortlicher. Spielerdaten erhält Stripe nicht.

Ebenfalls nicht beteiligt sind Anbieter von KI-Modellen — siehe Ziffer 4 Abs. 1.