Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO · Fassung vom 1. Oktober 2026

1. Vertragsparteien, Abschluss und Laufzeit

Dieser Vertrag gilt zwischen dem Verein, der Schatu nutzt und dort unter seinem Namen geführt wird („Verein“), als Verantwortlichem und

als Auftragsverarbeiter („wir“). Er kommt zustande, wenn eine für den Verein vertretungsberechtigte Person ihn in Schatu auf der Seite des Vereins annimmt oder ihn uns in Textform, etwa per E-Mail, bestätigt. Damit liegt er in elektronischem Format vor (Art. 28 Abs. 9 DSGVO). Wir speichern, welche Fassung wann und von wem für den Verein angenommen wurde.

Der Vertrag läuft, solange der Verein Schatu nutzt. Der Verein kann die Nutzung und diesen Vertrag jederzeit beenden, indem er uns das in Textform mitteilt. Wir können ihn mit einer Frist von vier Wochen in Textform beenden, wenn wir Schatu für den Verein nicht mehr bereitstellen. Das Recht beider Seiten zur fristlosen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt insbesondere vor, wenn eine Seite schwerwiegend gegen diesen Vertrag oder das Datenschutzrecht verstößt.

2. Gegenstand, Art und Zweck der Verarbeitung

Wir stellen dem Verein Schatu bereit, eine Anwendung zur Verwaltung von Vereinsmitgliedern, Rollen und Schachturnieren. Dabei speichern wir Daten, zeigen sie berechtigten Nutzern an, losen Paarungen aus, berechnen Tabellen und löschen Daten auf Anweisung des Vereins. Mitgliederlisten und Turniere des Vereins einschließlich Teilnehmernamen, Wertungszahlen und Ergebnissen sind nur für Mitglieder des Vereins sichtbar, soweit der Verein sie nicht auf seiner öffentlichen Vereinsseite veröffentlicht. Darüber hinaus können die Plattform-Administratoren von Schatu (derzeit ausschließlich der Betreiber) alle Vereine mit ihren Mitgliederlisten und Turnieren einsehen, aber nur zu den in Abschnitt 5 genannten Zwecken.

Öffentliche Vereinsseite

Auf Weisung des Vereins stellen wir eine öffentliche Vereinsseite bereit, die jeder ohne Konto im Internet abrufen kann. Ob es sie gibt und was sie zeigt, legen die Vereinsadmins in Schatu fest: Beschreibung, Kontaktangaben und Website des Vereins, DSB-Vereinsnummer, Zahl der Mitglieder, Anzeigenamen der Vereinsadmins sowie vom Verein ausgewählte Turniere, auf Wunsch mit Teilnehmernamen, Paarungen, Ergebnissen und Tabellen und zusätzlich mit Wertungszahlen und Vereinszugehörigkeit der Teilnehmer. DSB-Mitgliedsnummern veröffentlichen wir nie. Ohne Freigabe durch den Verein bitten wir Suchmaschinen, die Seite nicht aufzunehmen. Was öffentlich ist, können Dritte kopieren; solche Kopien können wir nicht zurückholen.

Betroffene Personen

• Mitglieder des Vereins mit einem Schatu-Konto,
• Teilnehmer an Turnieren des Vereins, auch Personen ohne eigenes Konto,
• Personen, die der Verein in Beschreibung oder Kontaktangaben seiner öffentlichen Vereinsseite nennt.

Arten von Daten

• bei Mitgliedern: Anzeigename, Rolle im Verein, Beitrittszeitpunkt in Schatu, verknüpfte DSB-Mitgliedsnummer,
• bei Turnierteilnehmern: Name, Wertungszahl, Verein oder Zugehörigkeit, gegebenenfalls DSB-Mitgliedsnummer, Startnummer und Rückzug,
• Turnierdaten: Name, Modus, Termine, Paarungen, Ergebnisse und Tabellen,
• Angaben der öffentlichen Vereinsseite: Beschreibung, Kontaktangaben und Website, die der Verein dafür eingibt.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Verein gibt solche Daten nicht in Schatu ein.

Nicht unter diesen Vertrag fallen die Benutzerkonten selbst (E-Mail-Adresse, Passwort, Sitzungen), die E-Mails zur Anmeldung und die Abfrage von DWZ-Daten beim Wertungsportal des Deutschen Schachbundes. Dafür sind wir selbst verantwortlich, wie in unserer Datenschutzerklärung beschrieben. Schatu speichert keine Kopie der DWZ-Daten.

Um die aktuelle DWZ verknüpfter Mitglieder und Teilnehmer anzuzeigen, übermitteln wir die vom Verein verknüpfte DSB-Mitgliedsnummer und, bei der Mitgliederliste, die DSB-Vereinsnummer des Vereins an das Wertungsportal. Weitere Daten des Vereins, etwa Anzeigenamen, Rollen oder Turnierdaten, übermitteln wir nicht. Das Wertungsportal verarbeitet keine Daten in unserem Auftrag und ist daher kein Unterauftragsverarbeiter.

Ort der Verarbeitung

Die Daten werden in Rechenzentren in der Europäischen Union gespeichert und verarbeitet. Eine Übermittlung in ein Drittland, auch durch Zugriff von dort, findet nur nach Abschnitt 7 statt.

3. Pflichten des Vereins

Der Verein ist dafür verantwortlich, dass die Verarbeitung rechtmäßig ist. Das betrifft insbesondere die Rechtsgrundlage, die Information der betroffenen Personen nach Art. 13 und 14 DSGVO und die Beantwortung ihrer Anfragen. Er vergibt Rollen in Schatu nur an Personen, die die jeweiligen Daten sehen oder bearbeiten sollen. Stellt der Verein Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, teilt er uns das unverzüglich mit.

Ob der Verein eine öffentliche Vereinsseite betreibt und welche Daten sie zeigt, entscheidet allein der Verein. Er prüft vor jeder Veröffentlichung, dass sie rechtmäßig ist: dass eine Rechtsgrundlage besteht, etwa eine Einwilligung oder ein überwiegendes berechtigtes Interesse des Vereins, dass die betroffenen Personen vorher informiert sind, dass er Widersprüche beachtet und Daten nicht länger als nötig öffentlich zeigt, und dass er Minderjährige besonders schützt. Er hält Vorgaben Dritter ein, etwa des Deutschen Schachbundes zur Veröffentlichung von Wertungszahlen, und ist für die Angaben verantwortlich, die er selbst auf der Seite veröffentlicht, einschließlich etwaiger Pflichtangaben wie eines Impressums. Ein Vereinsadmin bestätigt diese Verantwortung in Schatu jedes Mal, wenn er die Seite eingeschaltet speichert. Wir speichern, wer das wann bestätigt hat.

4. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Vereins (Art. 28 Abs. 3 lit. a DSGVO), auch bei Übermittlungen in Drittländer. Weisungen sind die Eingaben und Einstellungen, die Personen mit den entsprechenden Rechten im Verein in Schatu vornehmen. Weitere Weisungen erteilen die Vereinsadmins oder die vertretungsberechtigten Personen des Vereins in Textform an mail@schatu.com. Wir bewahren Weisungen in Textform für die Dauer dieses Vertrags und drei weitere Jahre auf.

Abweichen dürfen wir nur, wenn uns das Recht der EU oder Deutschlands dazu verpflichtet. Dann teilen wir dem Verein das vorher mit, sofern das Recht es nicht verbietet. Halten wir eine Weisung für rechtswidrig, weisen wir den Verein unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO). Wir dürfen ihre Ausführung aussetzen, bis der Verein sie bestätigt oder ändert. Das gilt auch für die öffentliche Vereinsseite: Plattform-Administratoren können sie oder einzelne Turniere darauf abschalten und informieren den Verein darüber; einschalten oder ändern können sie sie nicht.

5. Unsere Pflichten

• Wir verarbeiten die Daten nur zur Erfüllung dieses Vertrags und nicht für eigene Zwecke. Kopien erstellen wir nur, soweit sie für den Betrieb nötig sind, etwa als Sicherungen nach Anlage 1.
• Plattform-Administratoren greifen auf Daten eines Vereins, in dem ihre eigene Rolle diesen Zugriff nicht erlaubt, nur zu, soweit das für Bereitstellung, Wartung, Support oder Sicherheit von Schatu, zur Ausführung von Weisungen des Vereins oder zur Erfüllung gesetzlicher Pflichten erforderlich ist. Diese Lesezugriffe werden protokolliert (Anlage 1). Ist ein Plattform-Administrator selbst Mitglied eines Vereins, gelten seine Zugriffe im Rahmen seiner Rolle dort als gewöhnliche Zugriffe eines Mitglieds.
• Zugriff auf die Daten haben nur Personen, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Derzeit ist das ausschließlich der Betreiber selbst. Die Pflicht zur Vertraulichkeit gilt über das Ende dieses Vertrags hinaus.
• Wir führen ein Verzeichnis der Verarbeitungstätigkeiten, die wir im Auftrag von Vereinen durchführen (Art. 30 Abs. 2 DSGVO).
• Wir sind nicht verpflichtet, einen Datenschutzbeauftragten zu benennen (Art. 37 DSGVO, § 38 BDSG). Ansprechpartner für den Datenschutz ist der Betreiber unter mail@schatu.com.
• Prüft eine Aufsichtsbehörde unsere Verarbeitung der Daten des Vereins oder ergreift sie Maßnahmen, informieren wir den Verein unverzüglich, sofern das Recht es nicht verbietet.

6. Sicherheit der Verarbeitung

Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Wir dürfen sie dem Stand der Technik anpassen, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentieren wir und nehmen sie in eine neue Fassung von Anlage 1 auf.

7. Unterauftragsverarbeiter

Der Verein genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Weitere oder andere Unterauftragsverarbeiter kündigen wir mindestens vier Wochen vorher per E-Mail an die Vereinsadmins an. Der Verein kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können wir dem nicht abhelfen, kann der Verein die Nutzung von Schatu und diesen Vertrag fristlos beenden.

Der Verein genehmigt außerdem die weiteren Unterauftragsverarbeiter, die Railway nach seinem Auftragsverarbeitungsvertrag einsetzt. Railway kündigt Änderungen mit kürzerer Frist an. Wir geben sie unverzüglich an die Vereinsadmins weiter, und der Verein kann wie oben widersprechen.

Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO). Erfüllt ein Unterauftragsverarbeiter seine Pflichten nicht, haften wir dem Verein dafür wie für eigenes Handeln. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO. Keine Unterauftragsverarbeitung sind Nebenleistungen ohne Zugriff auf die Daten des Vereins, etwa Telekommunikation oder die Auflösung von Domainnamen (DNS).

8. Unterstützung des Vereins

Wenden sich betroffene Personen mit Anliegen zu Daten des Vereins an uns, leiten wir diese unverzüglich an den Verein weiter und beantworten sie nicht selbst, außer auf Weisung des Vereins. Wir unterstützen den Verein mit geeigneten Maßnahmen dabei, Auskunft zu geben, Daten zu berichtigen, einzuschränken oder zu löschen und die weiteren Rechte nach Kapitel III DSGVO zu erfüllen. Vieles davon kann der Verein in Schatu selbst erledigen, etwa Teilnehmer, Turniere oder Mitgliedschaften bearbeiten und löschen.

Außerdem unterstützen wir den Verein bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit es unsere Verarbeitung betrifft: bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde.

9. Meldung von Datenschutzverletzungen

Wird uns eine Verletzung des Schutzes von Daten des Vereins bekannt, informieren wir den Verein unverzüglich, möglichst innerhalb von 24 Stunden, per E-Mail an die Vereinsadmins. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, betroffene Personen und Daten, wahrscheinliche Folgen und ergriffene Maßnahmen. Fehlende Angaben reichen wir nach, sobald sie vorliegen. Wir ergreifen unverzüglich die nötigen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen zu mindern. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen sind Sache des Vereins. Wir unterstützen ihn dabei.

10. Löschung während der Laufzeit

Löscht der Verein Daten in Schatu oder weist er uns dazu an, entfernen wir sie sofort aus der laufenden Datenbank. In den Sicherungen nach Anlage 1 bleiben sie, bis diese nach spätestens 90 Tagen automatisch gelöscht werden. Bis dahin nutzen wir Sicherungen nur, um nach einem Ausfall oder Fehler den Betrieb wiederherzustellen. Stellen wir eine Sicherung wieder her, löschen wir darin enthaltene, bereits gelöschte Daten erneut.

11. Löschung und Rückgabe nach Vertragsende

Endet dieser Vertrag, löschen wir die Daten des Vereins innerhalb von 30 Tagen aus der laufenden Datenbank, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Wunsch stellen wir dem Verein vorher eine Kopie in einem gängigen maschinenlesbaren Format (CSV oder JSON) bereit. Aus den Sicherungen verschwinden die Daten nach Abschnitt 10. Einträge im Sicherheitsprotokoll löschen wir unabhängig davon nach 90 Tagen. Auf Wunsch bestätigen wir die Löschung in Textform.

Den Nachweis über den Abschluss dieses Vertrags und Unterlagen, die belegen, dass wir die Daten ordnungsgemäß verarbeitet haben, dürfen wir über das Vertragsende hinaus aufbewahren, solange wir sie zur Erfüllung gesetzlicher Pflichten oder zur Abwehr von Ansprüchen benötigen.

12. Nachweise und Kontrollen

Wir stellen dem Verein alle Informationen bereit, die er braucht, um die Einhaltung dieses Vertrags und des Art. 28 DSGVO nachzuweisen. Wir ermöglichen Überprüfungen einschließlich Inspektionen durch den Verein oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer und wirken daran mit (Art. 28 Abs. 3 lit. h DSGVO). In der Regel genügen dafür schriftliche Auskünfte und Unterlagen. Weitere Überprüfungen kündigt der Verein mit angemessener Frist an. Sie dürfen den Betrieb nicht unverhältnismäßig stören und die Daten anderer Vereine nicht offenlegen.

13. Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen dem Verein und uns trägt jede Seite den Schaden, für den sie nach Art. 82 Abs. 2 bis 5 DSGVO verantwortlich ist.

14. Schlussbestimmungen

Änderungen dieses Vertrags bedürfen der Textform. Eine neue Fassung legen wir dem Verein in Schatu zur Annahme vor. Bis zur Annahme gilt die bisher angenommene Fassung weiter. Bei Widersprüchen zu anderen Vereinbarungen geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO entspricht und dem Gewollten am nächsten kommt.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutritt: Server und Datenbank laufen in Rechenzentren des Hosting-Anbieters Railway in der EU. Deren physische Sicherung übernimmt der Anbieter nach seinem Auftragsverarbeitungsvertrag. Eigene Server betreiben wir nicht.
• Zugang: Passwörter mit mindestens 12 Zeichen, gespeichert nur als gesalzene Argon2id-Hashwerte. Anmelde- und Passwortlinks sind einmalig verwendbar, nach 15 bzw. 30 Minuten ungültig und nur als Hashwerte gespeichert. Sitzungen enden nach 12 Stunden und sind einzeln oder gesammelt widerrufbar. Anmeldeversuche werden je IP-Adresse und E-Mail-Adresse begrenzt. Die Konten bei Hosting-Anbieter und Code-Verwaltung sind mit Zwei-Faktor-Authentifizierung geschützt, und nur der Betreiber hat Zugang zu ihnen.
• Zugriff: Rechte richten sich nach der Rolle im jeweiligen Verein und werden bei jeder Anfrage aus der Datenbank geprüft. Mitgliederlisten und Turniere sehen nur Vereinsmitglieder, soweit der Verein sie nicht auf seiner öffentlichen Vereinsseite freigibt; die Rolle und Rechte vergibt der Verein. Die öffentliche Vereinsseite zeigt nur, was ein Vereinsadmin dort einzeln eingeschaltet hat; alle Angaben zu Personen sind zunächst aus. Umfassende Rechte haben nur die Plattform-Administratoren (derzeit ausschließlich der Betreiber), zu den Zwecken nach Abschnitt 5.
• Trennung: Die Daten jedes Vereins sind einem Verein zugeordnet und nur über dessen Rechteprüfung erreichbar.
• Pseudonymisierung und Verschlüsselung: Ausgehende E-Mails liegen bis zum Versand verschlüsselt in der Datenbank. Zähler zum Schutz vor Missbrauch speichern IP- und E-Mail-Adressen nur als Hashwerte mit geheimem Schlüssel.

Integrität

• Weitergabe: Alle Verbindungen sind per TLS verschlüsselt (mit HSTS). Schreibende Anfragen werden nur von der eigenen Website angenommen (Prüfung von Origin und Fetch-Metadaten). Sitzungs-Cookies sind signiert, HttpOnly, Secure und SameSite.
• Eingabe: Sicherheitsrelevante Vorgänge, darunter Anmeldungen, Änderungen an Mitgliedschaften und Rollen, Verwaltungsvorgänge in Turnieren, Änderungen an der öffentlichen Vereinsseite und an veröffentlichten Turnieren sowie Lesezugriffe von Plattform-Administratoren auf Mitgliederlisten und Turniere eines Vereins, in dem ihre eigene Rolle das nicht erlaubt, werden mit Zeitpunkt, Nutzer und IP-Adresse protokolliert und nach 90 Tagen gelöscht.

Verfügbarkeit und Belastbarkeit

• Die Datenbank wird beim Hosting-Anbieter automatisch nach festem Zeitplan gesichert. Sicherungen werden nach spätestens 90 Tagen automatisch gelöscht. Aus einer Sicherung lässt sich die Datenbank wiederherstellen.
• Änderungen am Datenbankschema laufen als versionierte Migrationen. Überlastete Abläufe werden begrenzt, statt den Dienst zu blockieren.

Überprüfung und Auftragskontrolle

• Jede Änderung am Code durchläuft automatische Tests, darunter Tests der Rechteprüfung. Die Maßnahmen werden bei wesentlichen Änderungen und mindestens jährlich überprüft.
• Unterauftragsverarbeiter setzen wir nur mit einem Vertrag nach Art. 28 DSGVO ein. Daten, die Schatu nicht braucht, erheben wir nicht.

Anlage 2: Unterauftragsverarbeiter

• Railway Corporation, 548 Market St PMB 68956, San Francisco, CA 94104, USA: Hosting von Anwendung, Datenbank und Datensicherungen in der Region Europa. Drittlandübermittlung auf Grundlage des EU-US Data Privacy Framework, soweit Railway danach zertifiziert ist, sonst der EU-Standardvertragsklauseln, die Teil von Railways Auftragsverarbeitungsvertrag sind. Dazu kommen die weiteren Unterauftragsverarbeiter, die Railway in diesem Vertrag nennt (Abschnitt 7).
• Tutao GmbH, Deisterstraße 17a, 30449 Hannover, Deutschland: E-Mail-Postfach für die Kommunikation mit dem Verein, soweit dabei Daten des Vereins übermittelt werden.