← CLUBFORM

Auftragsverarbeitungsvertrag (AVV)

Anlage 1 zu den Nutzungsbedingungen (AGB) · ClubForm — Football Club Management · Stand: 30. Oktober 2026 · English version below

Dieser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO („AVV“) ist Bestandteil der Nutzungsbedingungen und des Lizenzvertrags jedes Vereins, der ClubForm nutzt. Er wird geschlossen zwischen dem jeweiligen Verein als Verantwortlichem („Verein“) und:

1. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Wir verarbeiten personenbezogene Daten im Auftrag des Vereins zum Betrieb der ClubForm-App und der zugehörigen Dienste: Speicherung, Anzeige, Auswertung (Statistiken), Export und Übermittlung (Push-Benachrichtigungen, E-Mails) von Vereinsdaten. Die Dauer dieses AVV entspricht der Laufzeit des Lizenzvertrags des Vereins zuzüglich der anschließenden Karenzfrist und der Zeit bis zur vollständigen Herausgabe oder Löschung der Vereinsdaten einschließlich des Überschreibens der Backups (Punkt 9).

2. Datenarten und betroffene Personen

Datenarten

• Spielerprofile: Name, Geburtsdatum, Position(en), Rückennummer, optionales Profilfoto.
• Spiel- und Trainingsdaten: Termine, Kader, Aufstellungen, Live-Ereignisse, Ergebnisse, Anwesenheiten, Zu-/Absagen.
• Optionale Freitext-Begründungen zu Abwesenheiten und Absagen.
• Daraus abgeleitete Statistiken und Trainer/innen-Bewertungen.
• Leistungstest-Daten (seit Version 1.7.0): Testtage je Team und sportliche Leistungswerte je Spieler/in (Zeiten, Weiten, Distanzen, Anzahlen je Test) aus dem Standardkatalog und aus vom Verein definierten Tests – keine Körpermaße, keine Vitalwerte.
• Spielvorbereitungen (seit Version 1.7.0): Aufstellung, Spielerhinweise, Standardschützen/innen, Spielplan sowie eine Gegneranalyse mit Spielweise und – soweit eingetragen – Rückennummer, Name, Position und spielbezogenen Notizen zu Schlüsselspieler/innen der gegnerischen Mannschaft.
• Interne Trainer/innen-Notizen (Gesprächsnotizen zu Elterngesprächen, Spieler-Kommentare, Bewertungs-Freitexte).
• Status-Hinweise zu Spieler/innen (gesperrt, verletzt, krank, Probetraining, sonstiges; Beginndatum, optionales Enddatum und optionale kurze Notiz) – können Gesundheitsdaten i. S. v. Art. 9 DSGVO enthalten.
• In der App gespeicherte Benachrichtigungen (Posteingang je Empfänger/in: Titel, Text, Art, Sprache, Zeitpunkt; 30 Tage).
• Beiträge und Dokumente innerhalb des Vereins.
• E-Mail-Adressen von Empfänger/innen vereinsbezogener Transaktions-E-Mails (z. B. Einladungen).

Diese Aufzählung beschreibt die Funktionen der App zum oben genannten Stand. Neue Funktionen, die weitere Datenarten verarbeiten, nehmen wir vor ihrer Freigabe in diese Aufzählung und in die Datenschutzerklärung auf; sie gelten nur, soweit der Verein die jeweilige Funktion nutzt (Punkt 11).

Betroffene Personen

• Spieler/innen (häufig Minderjährige), Erziehungsberechtigte, Trainer/innen, Funktionärinnen und Funktionäre sowie sonstige Mitglieder und eingeladene Personen des Vereins; in der Gegneranalyse einer Spielvorbereitung auch Spieler/innen gegnerischer Mannschaften, soweit der Verein sie erfasst.

3. Weisungsbindung

Wir verarbeiten Vereinsdaten ausschließlich auf dokumentierte Weisung des Vereins — auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation; im Regelfall wird die Weisung durch die Nutzung der App-Funktionen durch die berechtigten Nutzer/innen des Vereins erteilt — es sei denn, wir sind nach dem Recht der Union oder der Mitgliedstaaten zu einer Verarbeitung verpflichtet; in diesem Fall informieren wir den Verein vor der Verarbeitung, sofern rechtlich zulässig. Halten wir eine Weisung für rechtswidrig, informieren wir den Verein unverzüglich.

4. Vertraulichkeit

Alle Personen, die Zugang zu Vereinsdaten haben, sind zur Vertraulichkeit verpflichtet. Der Zugriff erfolgt nur, soweit er für Betrieb, Wartung und Support erforderlich ist.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Wir treffen die in Anlage A beschriebenen technischen und organisatorischen Maßnahmen und passen sie dem Stand der Technik an, ohne das Schutzniveau zu unterschreiten.

6. Sub-Auftragsverarbeiter

Der Verein erteilt die allgemeine Genehmigung zum Einsatz der in Anlage B genannten Sub-Auftragsverarbeiter. Über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) informieren wir die weisungsberechtigten Personen des Vereins mindestens zwei Wochen vor dem Einsatz in Textform; der Verein kann aus wichtigem, datenschutzrechtlichem Grund widersprechen (Folgen: Punkt 11). Mit jedem Sub-Auftragsverarbeiter bestehen Verträge, die diesem AVV im Wesentlichen entsprechende Pflichten auferlegen.

7. Unterstützung bei Betroffenenrechten

Wir unterstützen den Verein bei der Beantwortung von Anfragen betroffener Personen (Art. 12–23 DSGVO) durch geeignete Funktionen direkt in der App (Auskunft, Berichtigung, Löschung von Profilen und Inhalten) sowie auf Anfrage über support@clubform.app. Erreichen uns Betroffenenanfragen zu Vereinsdaten direkt, leiten wir sie unverzüglich an den Verein weiter.

8. Meldung von Datenschutzverletzungen

Wir melden dem Verein Verletzungen des Schutzes personenbezogener Daten, die Vereinsdaten betreffen, ohne unangemessene Verzögerung nach Bekanntwerden und unterstützen den Verein bei seinen Pflichten nach Art. 33 und 34 DSGVO sowie — soweit erforderlich — bei Datenschutz-Folgenabschätzungen (Art. 35, 36 DSGVO).

9. Löschung und Rückgabe

Der Verein kann Vereinsdaten während der Vertragslaufzeit direkt in der App löschen (zunächst Papierkorb, dann endgültig) und über die Export-Funktionen der App Kopien erstellen. Nach Beendigung des Lizenzvertrags geben wir die Vereinsdaten — nach Wahl des Vereins — in einem gängigen elektronischen Format heraus oder löschen sie; ohne anderslautende Weisung löschen wir spätestens 30 Tage nach Vertragsende (siehe Datenschutzerklärung). Verschlüsselte Backups werden spätestens 14 Tage nach der Löschung überschrieben. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

10. Nachweise und Audits

Wir stellen dem Verein alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind — insbesondere Beschreibungen der Maßnahmen nach Anlage A sowie verfügbare Zertifizierungen und Auditberichte der Sub-Auftragsverarbeiter (z. B. ISO 27001, SOC-Berichte von Google Cloud). Der Verein kann darüber hinaus Überprüfungen verlangen; diese erfolgen nach Vorankündigung, in angemessenen Abständen und vorrangig aus der Ferne (Fernaudit).

11. Änderungen dieses AVV

Wir können diesen AVV anpassen, wenn sich die Funktionen der App, die eingesetzten Sub-Auftragsverarbeiter oder die Rechtslage ändern. Änderungen teilen wir den weisungsberechtigten Personen des Vereins mindestens zwei Wochen vor dem Wirksamwerden in Textform mit und veröffentlichen die neue Fassung unter clubform.app/avv.

Erweiterungen der Datenarten nach Punkt 2, die nur gelten, soweit der Verein eine neue Funktion nutzt, sowie Änderungen ausschließlich zugunsten des Vereins werden mit der Veröffentlichung wirksam. Allen anderen Änderungen kann der Verein bis zum Wirksamwerden in Textform widersprechen; widerspricht er nicht, gilt die Änderung ab dem Wirksamwerden als angenommen — auf diese Folge weisen wir in der Mitteilung gesondert hin. Widerspricht der Verein und kommt keine Einigung zustande, kann jede Seite den Lizenzvertrag zum Wirksamwerden der Änderung kündigen; bereits im Voraus bezahltes Entgelt erstatten wir anteilig. Während einer laufenden Vertragslaufzeit wird der Zugang des Vereins wegen einer abgelehnten Änderung nicht eingeschränkt.

Anlage A — Technische und organisatorische Maßnahmen

• Übertragungsverschlüsselung: sämtliche Datenübertragung erfolgt TLS-verschlüsselt.
• Zugriffskontrolle in der App: serverseitige Sicherheitsregeln erzwingen das Rollen- und Sichtbarkeitsmodell des Vereins; Daten eines Vereins sind für andere Vereine nicht zugänglich.
• Geräte-Attestierung: der API-Zugriff wird durch Firebase App Check gegen nicht-originale Clients abgesichert.
• Authentifizierung: Passwörter werden ausschließlich als sichere Hashes gespeichert (Firebase Authentication); Registrierung nur über Vereinseinladungen.
• Administrativer Zugriff: Zugriff auf die Produktionsumgebung ist auf das erforderliche Minimum beschränkt (Least Privilege) und durch Zwei-Faktor-Authentisierung geschützt.
• Trennung: getrennte Entwicklungs- und Produktionsumgebungen; Entwicklung und Tests erfolgen ohne Produktionsdaten.
• Backups: verschlüsselte Sicherungen mit maximal 14 Tagen Aufbewahrung; gelöschte Daten verschwinden danach auch aus Backups.
• Löschkonzept: Soft-Delete mit Papierkorb und endgültiger Löschung durch den Verein; Löschungen werden mit Zeitstempel und ausführender Person protokolliert.
• Speicherzugriff: Bilder und Dokumente liegen in zugriffsgeschütztem Cloud-Speicher; Zugriff nur über berechtigte, authentifizierte Anfragen.

Anlage B — Genehmigte Sub-Auftragsverarbeiter

Data Processing Agreement (DPA)

Annex 1 to the Terms of Service · ClubForm — Football Club Management · Last updated: 30 October 2026

This data processing agreement under Art. 28 GDPR ("DPA") forms part of the Terms of Service and of the license agreement of every club using ClubForm. It is concluded between the respective club as controller (the "club") and:

1. Subject matter, duration, nature and purpose

We process personal data on the club's behalf to operate the ClubForm app and related services: storing, displaying, analysing (statistics), exporting and transmitting (push notifications, emails) club data. The term of this DPA matches the term of the club's license agreement plus the subsequent grace period and the time until the club's data has been fully returned or deleted, including the overwriting of backups (section 9).

2. Categories of data and data subjects

Categories of data

• Player profiles: name, date of birth, position(s), jersey number, optional profile photo.
• Match and training data: schedules, squads, lineups, live events, results, attendance, RSVP responses.
• Optional free-text reasons for absences and declines.
• Statistics derived from the above and coach evaluations.
• Performance test data (since version 1.7.0): test days per team and athletic performance values per player (times, distances, counts per test) from the standard catalogue and from club-defined tests — no body measurements, no vital signs.
• Match preparations (since version 1.7.0): lineup, player notes, set-piece takers, game plan and an opponent analysis with the playing style and — where entered — jersey number, name, position and match-related notes on key players of the opposing team.
• Internal coach notes (notes on parent conversations, player comments, free-text parts of evaluations).
• Player status notes (suspended, injured, ill, trial, other; start date, optional end date and optional short note) — may contain health data within the meaning of Art. 9 GDPR.
• Notifications stored in the app (per-recipient inbox: title, text, type, language, time; 30 days).
• Posts and documents shared inside the club.
• Email addresses of recipients of club-related transactional emails (e.g. invitations).

This list describes the app's features as of the date above. New features that process additional categories of data are added to this list and to the Privacy Policy before their release; they apply only insofar as the club uses the respective feature (section 11).

Data subjects

• Players (frequently minors), parents and legal guardians, coaches, club officials, and other members and invited persons of the club; in the opponent analysis of a match preparation also players of opposing teams insofar as the club records them.

3. Processing on documented instructions

We process club data only on the club's documented instructions — including with regard to transfers of personal data to a third country or an international organisation; as a rule, instructions are given through the use of the app's features by the club's authorized users — unless we are required to process by Union or Member State law; in that case we inform the club before processing where legally permitted. If we consider an instruction to infringe data protection law, we inform the club without delay.

4. Confidentiality

All persons with access to club data are bound by confidentiality obligations. Access takes place only to the extent required for operation, maintenance and support.

5. Technical and organisational measures (Art. 32 GDPR)

We implement the technical and organisational measures described in Annex A and keep them in line with the state of the art without reducing the level of protection.

6. Sub-processors

The club gives general authorisation for the sub-processors listed in Annex B. We will inform the club's authorised contact persons in text form of intended changes (additions or replacements) at least two weeks before deployment; the club may object on substantiated data-protection grounds (consequences: section 11). Each sub-processor is bound by a contract imposing obligations substantially equivalent to this DPA.

7. Assistance with data-subject rights

We assist the club in responding to data-subject requests (Art. 12–23 GDPR) through appropriate features directly in the app (access, rectification, deletion of profiles and content) and on request via support@clubform.app. If data-subject requests concerning club data reach us directly, we forward them to the club without delay.

8. Personal data breach notification

We notify the club of personal data breaches affecting club data without undue delay after becoming aware of them, and assist the club with its obligations under Art. 33 and 34 GDPR and — where required — with data protection impact assessments (Art. 35, 36 GDPR).

9. Deletion and return

During the contract term the club can delete club data directly in the app (trash first, then permanently) and create copies using the app's export features. Upon termination of the license agreement we — at the club's choice — return the club's data in a common electronic format or delete it; absent an instruction, we delete no later than 30 days after the end of the contract (see the Privacy Policy). Encrypted backups are overwritten at most 14 days after deletion. Statutory retention obligations remain unaffected.

10. Evidence and audits

We make available to the club all information necessary to demonstrate compliance with Art. 28 GDPR — in particular descriptions of the measures in Annex A and available certifications and audit reports of our sub-processors (e.g. ISO 27001, Google Cloud SOC reports). The club may additionally request audits; these take place upon reasonable prior notice, at reasonable intervals, and primarily remotely.

11. Amendments to this DPA

We may amend this DPA when the app's features, the sub-processors we use or the legal situation change. We notify the club's authorised contact persons in text form at least two weeks before an amendment takes effect and publish the new version at clubform.app/avv.

Additions to the categories of data under section 2 that apply only insofar as the club uses a new feature, and amendments exclusively in the club's favour, take effect upon publication. The club may object to any other amendment in text form before it takes effect; if it does not object, the amendment is deemed accepted as of the effective date — we point this consequence out separately in the notification. If the club objects and no agreement is reached, either party may terminate the license agreement as of the effective date of the amendment; fees paid in advance are refunded pro rata. During a running contract term, the club's access is not restricted because of a rejected amendment.

Annex A — Technical and organisational measures

• Encryption in transit: all data transfer is TLS-encrypted.
• In-app access control: server-side security rules enforce the club's role and visibility model; one club's data is not accessible to other clubs.
• Device attestation: API access is protected against non-genuine clients by Firebase App Check.
• Authentication: passwords are stored only as secure hashes (Firebase Authentication); registration only via club invitations.
• Administrative access: access to the production environment is restricted to the necessary minimum (least privilege) and protected by two-factor authentication.
• Separation: separate development and production environments; development and testing take place without production data.
• Backups: encrypted backups retained for at most 14 days; deleted data then disappears from backups as well.
• Deletion concept: soft delete with trash state and permanent deletion by the club; deletions are logged with timestamp and acting person.
• Storage access: images and documents reside in access-controlled cloud storage; access only via authorized, authenticated requests.

Annex B — Authorised sub-processors