Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Version 1.1 · Stand 14.10.2026

zwischen dem registrierten Verein bzw. der registrierten Organisation (Verantwortlicher, im Folgenden „Auftraggeber“)

und der iqmeta GmbH, Am Sonnenhang 24, 71111 Waldenbuch, Deutschland, vertreten durch den Geschäftsführer Otto Neff, E-Mail kontakt@svscore.de (Auftragsverarbeiter, im Folgenden „Auftragnehmer“).

Dieser Vertrag wird bei der Registrierung auf svscore.de durch Zustimmung abgeschlossen und ergänzt die Allgemeinen Geschäftsbedingungen (AGB).

§ 1 Gegenstand und Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers bei der Bereitstellung der Plattform svscore.de (Software as a Service zur Wettkampf- und Vereinsverwaltung für Schützenvereine).
2. Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags (einschließlich des kostenlosen Pakets „Basis“). Regelungen, die über das Vertragsende hinaus wirken (insbesondere § 9), bleiben bestehen.

§ 2 Art und Zweck der Verarbeitung

1. Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung (z. B. E-Mail-Versand, öffentliche Ergebnislisten nach Vorgabe des Auftraggebers), Löschen.
2. Zweck: Durchführung und Verwaltung von Schießwettkämpfen, Vereinsmeisterschaften, Ligen und Vereinsveranstaltungen; Kasse und Abrechnung von Startgeldern; Ergebnis- und Ranglistenerstellung, Urkunden; Online-Anmeldung, Mitgliederbereich und Teilnehmer-App mit Trainingsbuch, Waffenbuch und Dokumenten; Standbetrieb (Anwesenheit, Standaufsicht, Dienstplan, Schießstandtagebuch); Schießnachweis; Versand von Einladungen, Benachrichtigungen und Erinnerungen; Export an Verbände.

§ 3 Art der Daten und Kreis der Betroffenen

1. Datenarten:
   • Stammdaten von Schützen, Teilnehmern und Mitgliedern (Name, Vorname, Geschlecht, Geburtsdatum, Heimatverein, Mitgliedsnummer, Startnummer, Altersklasse)
   • Kontaktdaten (Anschrift, E-Mail-Adresse, Telefon/Mobil)
   • Wettkampf- und Ergebnisdaten (Serien, Ringe, Teiler, Schussbilder, Platzierungen, Titel, Meldungen, Standzeiten)
   • Kassendaten (gekaufte Serien, Beträge, Zahlungsstatus von Startgeldern)
   • Trainingsdaten (Trainingsserien mit Trefferlagen, Ringen, Teilern, Notizen)
   • Waffenbuch (Bezeichnung, Kaliber, Hersteller, Seriennummer sofern eingetragen, Schusszähler, Pflegeeinträge) und Dokumente (Art, Nummer, Gültigkeit, optional Datei, z. B. WBK, Sachkunde, Jagdschein)
   • Anwesenheits- und Standbetriebsdaten (Check-in/Check-out, Stand, Disziplin, Standaufsicht, Dienstplan, Schießstandtagebuch)
   • Einwilligungen und Verteilerzugehörigkeit (Einladungen, Datenschutzerklärungen)
   • Benutzerdaten der Vereinsverwaltung (Name, E-Mail, Rolle, Anmeldeprotokolle)
   • Zahlungs- und Rechnungsdaten der Vereine für svscore.de (Rechnungsadresse, Paket, Rechnungen; Zahlungsmitteldaten werden ausschließlich beim Zahlungsdienstleister gespeichert)
2. Betroffene: Schützen/Teilnehmer von Veranstaltungen, Vereinsmitglieder, Empfänger von Einladungen, Benutzer der Vereinsverwaltung, Ansprechpartner der Vereine.

§ 4 Pflichten des Auftragnehmers

1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers, sofern er nicht gesetzlich zu einer anderen Verarbeitung verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO).
2. Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
3. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1.
4. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte der Betroffenen (Art. 12–23 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO. Die Plattform stellt hierfür u. a. Export-, Änderungs- und Löschfunktionen bereit.
5. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn ihm Verletzungen des Schutzes personenbezogener Daten bekannt werden.
6. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzvorschriften verstößt.
7. Die Verarbeitung erfolgt grundsätzlich in einem Mitgliedstaat der EU bzw. des EWR. Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 5 Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, insbesondere das Vorliegen einer Rechtsgrundlage (z. B. Einwilligung, Mitgliedschaftsverhältnis), verantwortlich.
2. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
3. Der Auftraggeber entscheidet selbst, welche Daten öffentlich angezeigt werden (z. B. öffentliche Ergebnislisten, TV-Anzeige) und welche Funktionen genutzt werden.

§ 6 Weisungen

1. Weisungen ergeben sich zunächst aus diesem Vertrag und der Nutzung der Funktionen der Plattform durch den Auftraggeber (Konfiguration in der Verwaltung).
2. Darüber hinausgehende Weisungen erteilt der Auftraggeber in Textform an kontakt@svscore.de. Weisungsberechtigt sind die als Administrator des Vereins eingetragenen Benutzer.

§ 7 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt die allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Derzeit sind beauftragt:

   Unterauftragsverarbeiter	Leistung	Ort der Verarbeitung
   Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen	Betrieb von Server und Datenbank	Rechenzentrum Falkenstein (Deutschland)
   Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland	Zahlungsabwicklung und Rechnungen für svscore.de-Pakete (nur Daten der Vereine als Kunden)	EU; Übermittlung in die USA möglich (Angemessenheitsbeschluss/Standardvertragsklauseln)
   eigener Mailserver der iqmeta GmbH	Versand von System-E-Mails (Anmeldelinks, Bestätigungen, Einladungen)	Falkenstein (Deutschland)

2. Der Auftragnehmer informiert den Auftraggeber vor der Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter in Textform oder über svscore.de. Der Auftraggeber kann innerhalb von vier Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen; in diesem Fall kann jede Partei den Vertrag kündigen.
3. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten.

§ 8 Kontrollrechte

1. Der Auftraggeber ist berechtigt, sich von der Einhaltung der Pflichten des Auftragnehmers zu überzeugen. Der Auftragnehmer stellt hierzu auf Anfrage die erforderlichen Informationen zur Verfügung (z. B. Beschreibung der TOMs, Nachweise, Zertifikate der Unterauftragsverarbeiter).
2. Vor-Ort-Kontrollen sind nach rechtzeitiger Anmeldung (in der Regel zwei Wochen) während der üblichen Geschäftszeiten ohne Störung des Betriebs möglich. Der Auftragnehmer kann für Kontrollen, die über eine Kontrolle je Kalenderjahr hinausgehen, eine angemessene Vergütung verlangen.

§ 9 Löschung und Rückgabe

1. Während der Vertragslaufzeit kann der Auftraggeber Daten jederzeit selbst exportieren und löschen.
2. Nach Beendigung des Vertrags löscht der Auftragnehmer sämtliche personenbezogenen Daten des Auftraggebers innerhalb von 30 Tagen, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht. Vor der Löschung kann der Auftraggeber einen Export anfordern.
3. Datensicherungen werden im Rahmen des regulären Sicherungszyklus (30 Tage) überschrieben.

§ 10 Haftung, Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregelungen der AGB.
2. Bei Widersprüchen gehen die Regelungen dieses Vertrags den AGB vor, soweit sie den Datenschutz betreffen.
3. Es gilt deutsches Recht. Gerichtsstand ist – soweit zulässig – Stuttgart.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle Rechenzentrum: durch den Hosting-Anbieter, Rechenzentrum Falkenstein (Deutschland), zertifiziert nach ISO/IEC 27001
• Zugangskontrolle: persönliche Benutzerkonten; Passwörter nur als Hash gespeichert (ASP.NET Core Identity PasswordHasher, PBKDF2); Mindestanforderungen an Passwörter; Begrenzung von Anmeldeversuchen (Rate-Limit)
• Zwei-Faktor-Anmeldung (TOTP) für Benutzer der Verwaltung verfügbar
• Zugriffskontrolle: Rollen (Administrator, Erfassung, Plattform-Betreiber); strikte Mandantentrennung – jede Datenabfrage ist auf den Verein des angemeldeten Benutzers beschränkt
• Mitgliederbereich und Teilnehmer-App mit Einmal-Anmeldelinks per E-Mail bzw. signierten persönlichen Zugangscodes (sperrbar und neu erzeugbar)
• Dokumente (z. B. WBK) nur für die betroffene Person und die Administratoren ihres Vereins einsehbar
• Fotos von Schießscheiben und Ausdrucken werden im Browser ausgewertet und nicht hochgeladen
• Trennungskontrolle: logische Trennung der Vereinsdaten in der Datenbank über die Vereinskennung

Integrität

• Übertragung ausschließlich verschlüsselt per HTTPS (TLS) mit HSTS; Weiterleitung von HTTP auf HTTPS
• Sicherheits-Header (u. a. X-Content-Type-Options, X-Frame-Options, Referrer-Policy)
• Fehlerprotokoll für Server- und Browserfehler mit begrenzter Aufbewahrung (erledigt 90 Tage, sonst höchstens 1 Jahr)
• Eingabekontrolle: Protokollierung relevanter Vorgänge (z. B. wer Ergebnisse erfasst/geändert, Kassenbuchungen und Stornos, Bezahlstatus), Kassenbuchungen nur per Gegenbuchung stornierbar

Verfügbarkeit und Belastbarkeit

• Regelmäßige Datensicherungen der Datenbank: täglich, Aufbewahrung 30 Tage, verschlüsselt in Deutschland
• Server-Standort: Rechenzentrum Falkenstein (Deutschland)
• Schutz vor Überlastung durch Rate-Limits öffentlicher Schnittstellen
• Einspielen von Sicherheitsupdates für Betriebssystem und Laufzeitumgebung: monatlich im Wartungsfenster, kritische Sicherheitsupdates unverzüglich

Verfahren zur regelmäßigen Überprüfung

• Überprüfung der Maßnahmen bei wesentlichen Änderungen der Plattform, mindestens jährlich
• Automatisierte Tests der Fachlogik vor jeder Auslieferung
• Zahlungsdaten (Karten-, Konto-, PayPal-Daten) werden nicht auf svscore.de verarbeitet, sondern ausschließlich beim Zahlungsdienstleister Stripe