1. Parteien und Rollen
Auftragnehmer:
Kevin Lenzmann
Richterstr. 26
44357 Dortmund
Deutschland
support@schockout.de
Auftraggeber: der über seinen persönlichen SchockOut-Code eindeutig zugeordnete Organisator. Er bestätigt, für die von ihm verwaltete Veranstaltung handeln und die erforderlichen Weisungen erteilen zu dürfen.
Der Auftraggeber entscheidet bei seinen Turnieren, Ligen und Spielabenden insbesondere über Teilnehmerkreis, Regeln, Anzeige und Aufbewahrung und ist dafür datenschutzrechtlich Verantwortlicher. Der Auftragnehmer verarbeitet diese Veranstaltungsdaten grundsätzlich nur zur Bereitstellung der gewählten Funktionen und nach dokumentierten Weisungen. Für eigene Zwecke wie Plattformschutz, Missbrauchsabwehr, Vertragsverwaltung und Support handelt der Betreiber als eigener Verantwortlicher.
2. Gegenstand, Zweck, Art und Dauer
Gegenstand ist die technische Bereitstellung von SchockOut für Anmeldung, Tisch- und Phasenzuordnung, Ergebnis- und Rundenverwaltung, Rundenaufruf, Push, QR-Zugänge, Kameraübertragung, Ligen, Online-Spiel, Berichte, Uploads und Backups. Art der Verarbeitung sind insbesondere Erheben, Erfassen, Ordnen, Speichern, Abfragen, Anzeigen, Übermitteln innerhalb freigegebener Ansichten, Berichtigen, Wiederherstellen, Einschränken und Löschen.
Der Auftrag beginnt mit Annahme dieser Vereinbarung und endet mit vollständiger Löschung des Organisator-Accounts oder anderweitigem Ende der Nutzung. Gesetzlich erforderliche oder technisch unvermeidbare befristete Nachläufe bleiben hiervon unberührt.
3. Daten und betroffene Personen
Betroffen sein können Organisatoren, Teilnehmer, Schriftführer, Gäste, Zuschauer in freigegebenen Ansichten und Personen in freiwilligen Kameraaufnahmen. Verarbeitet werden insbesondere Aliase oder Namen, Veranstaltungs- und Organisationsdaten, Tisch- und Sitzplätze, Anwesenheit, Ergebnisse, Wertungen, Nachrichten, Zugangs- und Gerätekennungen, Push-Adressen, technische Protokoll- und Verbindungsdaten sowie freiwillig bereitgestellte Bilder und Kamerainhalte.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht vorgesehen. Der Auftraggeber weist niemanden an, solche Daten in Freitexten, Bildern oder Uploads zu erfassen.
4. Weisungen
Die Nutzung der vorgesehenen Bedienelemente, Einstellungen, Freigaben, Exporte und Löschfunktionen sowie schriftliche Anfragen an die öffentliche Kontaktstelle gelten als dokumentierte Weisungen. Der Auftragnehmer informiert den Auftraggeber, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt, und kann ihre Ausführung bis zur Klärung aussetzen.
Zusätzliche Weisungen sind nur geschuldet, soweit sie vom vereinbarten Funktionsumfang erfasst, rechtmäßig und technisch zumutbar sind. Dadurch entstehender Aufwand kann vor Ausführung gesondert vereinbart werden.
5. Pflichten des Auftragnehmers
Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung, verpflichtet zugriffsberechtigte Personen zur Vertraulichkeit, setzt angemessene technische und organisatorische Maßnahmen ein und unterstützt den Auftraggeber im zumutbaren Umfang bei Betroffenenrechten, Sicherheitsvorfällen, Datenschutz-Folgenabschätzungen und Behördenanfragen.
Bekannt gewordene Verletzungen des Schutzes der Auftragsdaten werden dem betroffenen Auftraggeber ohne unangemessene Verzögerung über die in SchockOut vorhandenen Nachrichtenwege oder eine verfügbare Kontaktmöglichkeit mit den jeweils bekannten Informationen mitgeteilt. Gesetzliche Meldeentscheidungen des Auftraggebers werden dadurch nicht vorweggenommen.
6. Pflichten des Organisators
Der Organisator gewährleistet die Rechtmäßigkeit seiner Verarbeitung, informiert Teilnehmer transparent, legt einen angemessenen Empfängerkreis und eine erforderliche Aufbewahrung fest, schützt QR- und Zugangscodes und kontrolliert Schriftführerfreigaben. Für Kamera, Push, Veröffentlichungen, Minderjährige und hochgeladene Inhalte holt er erforderliche Einwilligungen oder andere Rechtsgrundlagen selbst ein.
Er beantwortet Betroffenenanfragen zu seiner Veranstaltung, berichtigt fehlerhafte Ergebnisse und meldet Sicherheitsprobleme unverzüglich. Zugangscodes oder besondere Kategorien personenbezogener Daten dürfen nicht in Kontakttexten übermittelt werden.
7. Technische und organisatorische Maßnahmen
- Zutritts- und Zugangskontrolle
- Infrastrukturzugriffe werden durch die eingesetzten Hostinganbieter geschützt. Die Anwendung trennt Systemverwaltungs-, Organisator-, Teilnehmer-, Schriftführer-, Gast- und Kameraberechtigungen.
- Zugriffskontrolle
- Organisatorabfragen sind an die interne Organisatorkennung gebunden. Berechtigende Codes werden als kryptografische Prüfwerte und, nur soweit für Wiederverwendung nötig, zusätzlich verschlüsselt gespeichert.
- Übertragung und Speicherung
- Die Übertragung erfolgt über HTTPS. Besonders schutzbedürftige technische Zugangsdaten, Push-Abos, Anwendungsbackups und öffentliche Kontaktinhalte werden anwendungsseitig verschlüsselt. Nicht jeder fachliche Datensatz ist zusätzlich zur Speicherverschlüsselung einzeln verschlüsselt.
- Verfügbarkeit und Wiederherstellung
- Hostingplattform, Datenbank, Objektspeicher und anwendungsbezogene Backups unterstützen Verfügbarkeit und Wiederherstellung. Eine absolute oder unterbrechungsfreie Verfügbarkeit wird nicht zugesichert.
- Trennung und Nachvollziehbarkeit
- Mandanten werden über Organisatorkennungen getrennt. Sicherheits- und Verwaltungsaktionen können protokolliert, Anfragen begrenzt und doppelte Ergebnisübertragungen technisch abgefangen werden.
- Löschung und Prüfung
- Turniere und Accounts besitzen Löschfunktionen. Befristete Datensätze werden je nach Funktion ereignis- oder zugriffsabhängig bereinigt; langfristige Turnierbestände werden nach dem veröffentlichten Löschkonzept geprüft.
Die Maßnahmen werden risikoorientiert weiterentwickelt. Änderungen dürfen das vereinbarte Schutzniveau insgesamt nicht unterschreiten. Kein technisches System kann absolute Sicherheit garantieren.
8. Weitere Auftragsverarbeiter und Übermittlungen
Der Organisator erteilt eine allgemeine Genehmigung für weitere Auftragsverarbeiter, die zur Bereitstellung der Plattform erforderlich sind. Derzeit technisch beteiligt sind OpenAI/ChatGPT Sites und die von der Plattform eingesetzte Cloudflare-Infrastruktur; STRATO wird für Domain, DNS und E-Mail eingesetzt. Freiwilliger Push kann zusätzlich den Push-Dienst des jeweiligen Browsers oder Betriebssystems einbeziehen.
Wesentliche Änderungen werden Organisatoren grundsätzlich vorab über das News-System angekündigt. Ein begründeter datenschutzrechtlicher Widerspruch ist über die öffentliche Kontaktstelle möglich. Kann keine zumutbare Lösung gefunden werden, kann der Organisator die Nutzung beenden und seine Daten löschen.
Soweit Verarbeitungen außerhalb des EWR stattfinden, müssen die jeweils anwendbaren Garantien der Dienstleister, etwa Angemessenheitsbeschlüsse oder Standardvertragsklauseln, in der konkreten Vertragskette gelten. Die noch ausstehende Bestätigung der Hostingvertragskette ist im Datenschutzkonzept offen ausgewiesen und wird nicht durch diese Vereinbarung ersetzt.
9. Kontrolle, Nachweise und Rückgabe
Der Auftragnehmer stellt die zur Verfügung stehenden Informationen über die Maßnahmen bereit. Prüfungen sind mit angemessener Vorankündigung, unter Wahrung der Sicherheit anderer Nutzer und vorrangig anhand vorhandener Nachweise durchzuführen. Vor-Ort-Prüfungen bei Infrastruktur-Unterauftragnehmern können nur im Rahmen ihrer Vertragsbedingungen verlangt werden.
Nach Vertragsende löscht der Auftragnehmer die zugeordneten Anwendungsdaten auf Weisung oder stellt die vorgesehenen Exporte bereit, soweit keine gesetzliche Pflicht entgegensteht. Bereits vom Auftraggeber exportierte Daten, Ausdrucke und Kopien Dritter liegen außerhalb des technischen Zugriffs von SchockOut.
10. Schlussbestimmungen
Diese Vereinbarung ergänzt die Datenschutzerklärung und geht für die Auftragsverarbeitung spezielleren Regelungen vor. Unwirksame Einzelbestimmungen berühren die übrige Vereinbarung nicht. Gesetzliche zwingende Rechte und Pflichten bleiben unberührt.
Version: 2026-09-08