Vereinbarung zur Auftragsverarbeitung (AVV)

Gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

Verantwortlicher: Der Kunde der Martial Artministration (Verantwortlicher im Sinne der DSGVO)

Auftragsverarbeiter: Angermeyer Solutions, Michael Angermeyer, Frankenstraße 2, 86343 Königsbrunn

Stand: 15. Februar 2026

Diese AVV regelt die Auftragsverarbeitung personenbezogener Daten gemäß Art. 28 DSGVO. Sie ist integraler Bestandteil der AGB von Martial Artministration.

§ 1 Gegenstand und Dauer der Verarbeitung

Der Auftragsverarbeiter (Angermeyer Solutions) verarbeitet personenbezogene Daten ausschließlich auf Weisung des Verantwortlichen (Kunden) und zu den in § 2 beschriebenen Zwecken. Die Verarbeitung erfolgt für die Dauer des Vertrags gemäß den Allgemeinen Geschäftsbedingungen (AGB).

Nach Beendigung des Vertrags werden personenbezogene Daten gelöscht oder dem Verantwortlichen zur Verfügung gestellt, es sei denn, gesetzliche Aufbewahrungspflichten verhindern die Löschung.

Die Verarbeitung erfolgt in der Bundesrepublik Deutschland und ggf. in anderen EWR-Ländern.

§ 2 Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten für folgende Zwecke:

• Verwaltung und Speicherung von Mitgliederdaten (Namen, Kontaktdaten, Vertragsdaten)
• Verwaltung von Verträgen und Abrechnung (Rechnungsstellung, Zahlungsabwicklung)
• Versand von E-Mails und Benachrichtigungen (Reservierungen, Rechnungen, Updates)
• Verarbeitung von SEPA-Lastschrift-Mandaten (PAIN.008 XML-Format) zur Zahlungsabwicklung
• Erstellung von Dashboards, Berichten und Exportfunktionen für den Kunden
• Speicherung von vom Kunden hochgeladenen Dokumenten und Mediendateien
• Erstellung von automatisierten Backups und Sicherungskopien

Die Verarbeitung erfolgt unter Beachtung der Datenschutzverpflichtungen des Auftragsverarbeiters.

§ 3 Kategorien betroffener Personen

Die folgenden Kategorien betroffener Personen sind Gegenstand der Datenverarbeitung:

• Mitglieder und Interessenten des Verantwortlichen
• Sorgeberechtigte und Erziehungsberechtigte von minderjährigen Mitgliedern
• Geschäftspartner und Vertragspartner des Verantwortlichen (z. B. Trainer, Lieferanten)
• Benutzer und Administratoren der Plattform (Mitarbeiter des Verantwortlichen)

§ 4 Art der personenbezogenen Daten

Der Auftragsverarbeiter verarbeitet folgende Arten von personenbezogenen Daten:

• Stammdaten: Name, Vorname, Geburtsdatum, Geschlecht
• Kontaktdaten: E-Mail-Adresse, Telefonnummer, Adresse
• Vertragsdaten: Tarifbindung, Vertragsdauer, Leistungsumfang
• Bankdaten: IBAN, BIC, SEPA-Mandat (verschlüsselt mit AES-256-GCM)
• Nutzungsdaten: Login-Informationen, Zugriffsprotokolle, Aktivitätsverlauf
• Weitere Daten: Von Kunden hochgeladene Dokumente, Notizen, Verträge, Fotos

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• Vertragsgeheimnis: Alle Mitarbeiter sind auf Geheimhaltung verpflichtet und haben Zugriff nur auf Daten, die für ihre Tätigkeit erforderlich sind.
• Technische Sicherheit: Die Datenübertragung erfolgt über verschlüsselte Verbindungen (TLS/HTTPS). Bankdaten werden mit AES-256-GCM verschlüsselt. Authentifizierung erfolgt mittels JWT-Token mit rollengesteuerten Zugriffsrechten.
• Organisatorische Sicherheit: Zugriffe werden protokolliert und regelmäßig überprüft. Der Zugang zur Infrastruktur wird durch Multi-Tenancy-Isolation und separate Upload-Verzeichnisse gewährleistet.
• Datensicherung: Regelmäßige automatisierte Backups werden auf geografisch verteilten Servern gespeichert, um Datenverlust zu vermeiden.
• Überprüfungsverfahren: Regelmäßige Audits und Sicherheitsüberprüfungen werden durchgeführt, um die Einhaltung dieser AVV zu gewährleisten.

§ 6 Unterauftragsverarbeitung

Der Auftragsverarbeiter nimmt bei der Durchführung seiner Leistungen Unterauftragsverarbeiter in Anspruch. Diese sind in nachfolgender Tabelle aufgelistet:

Der Auftragsverarbeiter informiert den Verantwortlichen von Änderungen bei Unterauftragsverarbeitern mindestens 30 Tage im Voraus. Der Verantwortliche hat das Recht, Einwände gegen die Beauftragung zu erheben.

Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeiter das gleiche Datenschutzniveau einhalten wie dieser Auftragsverarbeiter.

§ 7 Rechte und Pflichten des Verantwortlichen

Der Verantwortliche ist verpflichtet, dem Auftragsverarbeiter transparente und verständliche Anweisungen zur Datenverarbeitung zu erteilen. Dies umfasst auch die Zwecke und Mittel der Verarbeitung.

Der Verantwortliche muss sicherstellen, dass betroffene Personen informiert sind und dass erforderliche Einwilligungen eingeholt wurden, bevor Daten in der Plattform verarbeitet werden.

Der Verantwortliche hat das Recht, Auskunft über die Verarbeitung personenbezogener Daten zu erhalten, Kontrollen durchzuführen und den Auftragsverarbeiter zu überprüfen.

§ 8 Meldepflicht bei Datenschutzverletzungen

Der Auftragsverarbeiter wird den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Feststellung einer Datenschutzverletzung informieren.

Die Mitteilung umfasst folgende Informationen:

• Art und Umfang der Datenschutzverletzung
• Betroffene Datenbestände und Anzahl betroffener Personen
• Wahrscheinliche Folgen der Datenschutzverletzung
• Getroffene oder empfohlene Maßnahmen zur Schadensbegrenzung

§ 9 Löschung und Rückgabe von Daten

Der Auftragsverarbeiter wird personenbezogene Daten nach Beendigung des Vertrags löschen oder dem Verantwortlichen zur Verfügung stellen, sofern nicht gesetzliche Aufbewahrungspflichten bestehen.

Der Verantwortliche hat das Recht, seine Daten für einen Zeitraum von 30 Tagen nach Vertragsbeendigung im CSV- oder Excel-Format zu exportieren. Nach dieser Frist werden alle Kundendaten unwiederbringlich gelöscht.

Diese Löschung erfolgt automatisiert und kann nicht rückgängig gemacht werden.

§ 10 Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter setzt folgende technische und organisatorische Maßnahmen um:

1. Zutrittskontrolle

Der physische Zugang zu Servern und Rechenzentren ist streng kontrolliert. Nur autorisierte Mitarbeiter und Partner haben Zugang zu den Räumlichkeiten, in denen sich Systeme und Daten befinden.

2. Zugangskontrolle

Die Authentifizierung erfolgt durch starke Passwörter, die mit bcrypt gehasht werden. JWT-Token werden verwendet für sichere API-Authentifizierung. Rollengesteuerte Zugriffskontrolle (RBAC) beschränkt Zugriffe auf berechtigte Benutzer.

3. Zugriffskontrolle

Multi-Tenancy-Isolation stellt sicher, dass Kunden nur auf ihre eigenen Daten zugreifen können. Bankdaten (IBAN, BIC) werden mit AES-256-GCM verschlüsselt. API-Anfragen werden authentifiziert und autorisiert.

4. Übertragungskontrolle

Datenübertragung erfolgt ausschließlich über HTTPS/TLS-verschlüsselte Verbindungen. SEPA-Transaktionen werden mit Browser-seitiger Validierung durchgeführt. Man-in-the-Middle-Attacken werden durch SSL-Zertifikate verhindert.

5. Eingabekontrolle

Alle Eingaben werden validiert und bereinigt. SQL-Injection und XSS-Attacken werden durch Prepared Statements und Input-Sanitization verhindert. Audit-Logs protokollieren alle Änderungen.

6. Verfügbarkeitskontrolle

Regelmäßige automatisierte Backups sichern die Daten. Backup-Daten werden geografisch verteilt gespeichert. Der Auftragsverarbeiter strebt eine Verfügbarkeit von 99% an.

7. Trennungskontrolle

Kundendaten sind durch Tenant-ID logisch voneinander getrennt. Upload-Verzeichnisse sind nach Kundennummer organisiert. Datenbankzugriffe erfolgen immer mit Tenant-Filter.

§ 11 Schlussbestimmungen

Diese AVV ist ein integraler Bestandteil des Vertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter und wird durch die AGB von Martial Artministration ergänzt.

Im Falle von Widersprüchen zwischen dieser AVV und den AGB gilt diese AVV mit Vorrang soweit es um Datenschutzbestimmungen gemäß DSGVO geht.

Diese AVV wird nach deutschem Recht ausgelegt. Alle Streitigkeiten unterliegen den Gerichten in Königsbrunn.

Änderungen dieser AVV können erforderlich sein, um Anforderungen von Datenschutzbehörden zu erfüllen oder um technische Verbesserungen umzusetzen. Der Auftragsverarbeiter wird den Verantwortlichen über wesentliche Änderungen informieren.