Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

zwischen der jeweiligen Schule (nachfolgend „Verantwortliche") und Lyudmila Nazirogullary, Grevenbroicher Weg 35, 40547 Düsseldorf (nachfolgend „Auftragsverarbeiterin").

§ 1 Gegenstand und Dauer

Gegenstand ist der Betrieb der Plattform Tatamido (Hosting, Speicherung und Verarbeitung der von der Schule eingegebenen personenbezogenen Daten). Die Dauer entspricht dem Hauptvertrag (AGB).

§ 2 Art, Zweck, Datenkategorien, betroffene Personen

Zweck: Mitglieder-, Gruppen-, Prüfungs-, Anwesenheits- und Kommunikationsverwaltung der Schule sowie deren öffentliche Schulseite mit Online-Aufnahme.

Datenkategorien: Stammdaten (Name, Geburtsdatum, Geschlecht), Kontaktdaten (E-Mail, Telefon, Adresse), Notfallkontakte, Anmelde-/Vertragsdaten, Anwesenheits- und Prüfungsdaten, Gurt-Historie, Kommunikationsinhalte (Chats, Umfragen), Dokumente, Fotos (nur mit dokumentierter Einwilligung), Gesundheitsdaten (Art. 9 DSGVO — nur mit gesonderter Einwilligung, gesondert gekennzeichnet).

Betroffene Personen: Mitglieder (auch Minderjährige), Eltern/Sorgeberechtigte, Trainer und Mitarbeitende der Schule, Interessenten (Probetraining).

§ 3 Weisungsrecht

Die Auftragsverarbeiterin verarbeitet die Daten ausschließlich im Rahmen der Plattformfunktionen und der dokumentierten Weisungen der Verantwortlichen (Konfiguration in der Plattform gilt als Weisung). Hält sie eine Weisung für rechtswidrig, informiert sie die Verantwortliche unverzüglich.

§ 4 Pflichten der Auftragsverarbeiterin

• Vertraulichkeit: mit der Verarbeitung befasste Personen sind zur Vertraulichkeit verpflichtet
• technische und organisatorische Maßnahmen gemäß Anlage 1 (TOM), Art. 32 DSGVO
• Unterstützung bei Betroffenenrechten (Art. 12–23) — die Plattform stellt Auskunfts- und Exportfunktionen bereit
• unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten (Unterstützung bei Art. 33/34)
• Unterstützung bei Datenschutz-Folgenabschätzungen (Art. 35/36), soweit erforderlich
• nach Vertragsende: Rückgabe der Daten per Export und anschließende Löschung, sofern keine gesetzliche Aufbewahrungspflicht besteht

§ 5 Subunternehmer (Art. 28 Abs. 2)

Die Verantwortliche erteilt die allgemeine Genehmigung für die folgenden Subunternehmer; über beabsichtigte Änderungen wird sie vorab informiert und kann widersprechen:

• Amazon Web Services EMEA SARL — Hosting (Server, Datenbank, Dateispeicher), EU — Region Frankfurt (eu-central-1)
• Resend Inc. — Versand von System-E-Mails, USA — EU-Standardvertragsklauseln / Data-Privacy-Framework

§ 6 Kontrollrechte

Die Verantwortliche kann die Einhaltung dieses Vertrags überprüfen; Nachweise erfolgen vorrangig durch Dokumentation der TOM. Vor-Ort-Kontrollen erfolgen nach Ankündigung, zu üblichen Geschäftszeiten.

§ 7 Testphase-Hinweis

Während der Testphase werden ausschließlich Testdaten erwartet; alle Daten der Testumgebung werden nach Abschluss der Testphase gelöscht (siehe Datenschutzerklärung Testphase).

Anlage 1 — Technische und organisatorische Maßnahmen (TOM)

• Zutritts-/Zugangskontrolle: Hosting in gesicherten AWS-Rechenzentren (EU-Frankfurt); Serverzugang nur per SSH-Schlüssel; Plattformzugriff nur mit persönlichem Konto
• Zugriffskontrolle: Rollenmodell (Admin / Co-Admin / Trainer / Mitglied / Eltern) mit serverseitiger Rechteprüfung; Trainer sehen nur eigene Gruppen; Zwei-Schritt-Einladungen (Zugangscodes) statt Passwortvergabe
• Mandantentrennung: Row-Level-Security in der Datenbank — Daten jeder Schule sind auf Datenbankebene isoliert
• Übertragungskontrolle: TLS-Verschlüsselung sämtlicher Verbindungen (HTTPS); signierte, kurzlebige Upload-URLs für Dateien
• Verschlüsselung: Passwörter mit Argon2id-Hashing; Bankverbindungen (IBAN) mit AES-256-GCM, Anzeige nur maskiert mit protokolliertem Aufdecken
• Eingabekontrolle: Protokollierung sicherheitsrelevanter Aktionen (Einwilligungs-Zeitpunkte mit Quelle, Bestätigungs-Journal, Token-Rotation mit Widerruf)
• Besondere Kategorien: Gesundheitsdaten nur mit gesonderter, protokollierter Einwilligung (Art. 9); Fotos nur mit dokumentierter Einwilligung, Widerruf jederzeit wirksam
• Verfügbarkeit: Container-Betrieb mit Health-Checks; Datenbank-Backups im Regelbetrieb (Testphase: Reset möglich)
• Löschung / Datenrückgabe: Exportfunktion je Schule; Löschmechaniken; Löschung der Testdaten nach Testphase
• Datenminimierung: datensparsame Voreinstellungen (öffentliche Team-/Zahlenanzeige standardmäßig aus); keine Werbe-Tracker