Vertrag zur Auftragsverarbeitung (DPA)

Der vorliegende Vertrag zur Auftragsverarbeitung (nachfolgend die „Vereinbarung“ oder das „DPA“) regelt die Verarbeitungen personenbezogener Daten, die KAWLET EURL, Anbieterin des Dienstes TITU, im Auftrag eines gewerblichen Partners durchführt, in den Fällen und nach den Modalitäten, die in Anlage 1 beschrieben sind.

Sie wird in Anwendung von Artikel 28 der Verordnung (EU) 2016/679 (nachfolgend die „DSGVO“) geschlossen und bildet eine untrennbare Einheit mit dem Dienstleistungsvertrag, der Vereinbarung über die Aufnahme in das Verzeichnis oder der Integrationsvereinbarung, die zwischen den Parteien geschlossen wurden (nachfolgend der „Hauptvertrag“).

1.1. Die Parteien

• Der „Auftragsverarbeiter“ bezeichnet KAWLET EURL, Einpersonengesellschaft mit beschränkter Haftung französischen Rechts mit Sitz in 15 Square Rameau, 59000 Lille (Frankreich), eingetragen im Handels- und Gesellschaftsregister (RCS) von Lille Métropole unter der Nummer 993 159 250, Anbieterin des Dienstes TITU.
• Der „Partner“ bezeichnet die gewerbliche juristische Person, die den Hauptvertrag unterzeichnet und als Verantwortlicher handelt: Betreiber einer Sportanlage, Sportverein, Verein, Verband, Liga, Bezirk oder technischer Integrationspartner.

1.2. Definitionen

Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“ haben die Bedeutung, die ihnen Artikel 4 der DSGVO gibt.

„Anvertraute Daten“ bezeichnet ausschließlich diejenigen personenbezogenen Daten, die der Partner dem Auftragsverarbeiter übermittelt oder zu denen er ihm Zugang gewährt, um den Hauptvertrag zu erfüllen.

1.3. Was diese Vereinbarung nicht abdeckt

Die vorliegende Vereinbarung gilt nicht für die Verarbeitungen, bei denen KAWLET als Verantwortlicher handelt; diese sind in Absatz 2.2 beschrieben und unterliegen der Datenschutzerklärung des Dienstes TITU, nicht der vorliegenden Vereinbarung.

Sie gilt ebenso wenig für die privaten Nutzer des Dienstes TITU. Kein Spieler, kein Mitglied einer Gruppe und kein Verwalter einer Gruppe ist Partei dieser Vereinbarung, unterzeichnet sie oder soll sie unterzeichnen.

Die Einordnung einer Partei ergibt sich weder aus ihrer vertraglichen Bezeichnung noch aus dem Willen der Parteien, sondern aus der tatsächlichen Festlegung der Zwecke und Mittel der Verarbeitung (Artikel 4 Nr. 7 DSGVO). Die Parteien vereinbaren ausdrücklich die folgende Aufteilung.

2.1. Von dieser Vereinbarung erfasste Verarbeitungen

Ausschließlich für die in Anlage 1 beschriebenen Verarbeitungen, die auf dokumentierte Weisung des Partners und in seinem Interesse erfolgen, gilt:

• der Partner ist Verantwortlicher;
• KAWLET ist Auftragsverarbeiter.

2.2. Ausgenommene Verarbeitungen: KAWLET als Verantwortlicher

Für die gesamte Nutzeroberfläche des Dienstes TITU handelt KAWLET als Verantwortlicher und nicht als Auftragsverarbeiter. Dies umfasst insbesondere:

• die Anlage und Verwaltung eines Spielerkontos, die Authentifizierung über einen per SMS empfangenen Einmalcode, das Profil und die Sprache des Kontos;
• das Leben einer Gruppe: wiederkehrende Sessions, Anwesenheiten, Warteschlange, Ersatzspieler, Gäste, Ergebnisse, Tabellen und Abstimmungen;
• die an die Spieler gerichteten Benachrichtigungen;
• die Nutzungsmessung des Produkts;
• den freiwilligen Abgleich eines Spielerkontos mit den öffentlichen Wettbewerbsergebnissen, wenn der Spieler dies verlangt und bestätigt.

Es wird ausdrücklich vereinbart, dass:

1. Die Einwilligung einer betroffenen Person bewirkt keinerlei Übergang der Verantwortlichkeit. Ein Spieler, der seinen Verein angibt und anschließend eine vorgeschlagene Übereinstimmung bestätigt, liefert eine Rechtsgrundlage für die Verarbeitung im Sinne von Artikel 6 Absatz 1 Buchstabe a DSGVO. Er bleibt die betroffene Person und wird in keiner Hinsicht Verantwortlicher.
2. KAWLET legt die Zwecke und die Mittel dieser Verarbeitungen allein fest: welche öffentlichen Quellen zu welchem Zeitpunkt abgefragt werden, die Anonymisierung nicht betroffener Personen, die Dauer der Bereitstellung, die Zähler zur Missbrauchsbegrenzung, das Verfahren für Beanstandung und Widerruf.
3. Ein Verwalter oder Administrator einer Gruppe ist nicht Verantwortlicher für die Daten der Mitglieder seiner Gruppe. Die vom Dienst vorgesehenen Verwaltungsrollen (admin, co-admin) sind anwendungsseitige Funktionen zur Steuerung einer Amateurgruppe. Sie begründen keine Einordnung im Sinne der DSGVO, keine Pflicht aus Artikel 28 und keine persönliche Haftung des Verwalters für die Verarbeitung.

2.3. Verarbeitungen, bei denen jede Partei eigenständig Verantwortlicher ist

Wenn der Partner und KAWLET jeweils eigene Zwecke mit unterschiedlichen Daten verfolgen — etwa der Partner für seine Kundenbeziehung, KAWLET für den Betrieb ihres Verzeichnisses —, handelt jede Partei als eigenständig Verantwortlicher und trägt ihre Pflichten allein. Die vorliegende Vereinbarung gilt für diese Verarbeitungen nicht.

Die Merkmale der Verarbeitungen, die KAWLET im Auftrag des Partners durchführt — Gegenstand, Art, Zweck, Dauer, Kategorien der Daten und Kategorien der betroffenen Personen —, sind gemäß Artikel 28 Absatz 3 DSGVO in Anlage 1 der vorliegenden Vereinbarung beschrieben.

Anlage 1 ist abschließend. **Jede nicht in Anlage 1 beschriebene Verarbeitung gilt als außerhalb des Anwendungsbereichs dieser Vereinbarung** und darf erst nach einer von beiden Parteien unterzeichneten schriftlichen Änderung dieser Anlage durchgeführt werden.

Die Parteien erkennen an, dass in mehreren der in Anlage 1 beschriebenen Anwendungsfälle **keine personenbezogenen Daten an KAWLET übermittelt werden**: Die Aufnahme einer Sportanlage, eines Buchungsangebots oder eines Vereins beruht auf organisatorischen Daten (Bezeichnung, Anschrift, Öffnungszeiten, Preise, Kapazitäten), die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen. In diesen Fällen bleibt die vorliegende Vereinbarung für die betreffende Leistung gegenstandslos, ohne dass die Parteien sie kündigen müssten.

In seiner Eigenschaft als Verantwortlicher verpflichtet sich der Partner:

• Rechtmäßigkeit. KAWLET nur Daten zu übermitteln, die rechtmäßig und auf einer gültigen Rechtsgrundlage im Sinne von Artikel 6 DSGVO erhoben und verarbeitet wurden, und über das Recht zu verfügen, sie für die in Anlage 1 beschriebenen Zwecke einem Auftragsverarbeiter anzuvertrauen.
• Information der betroffenen Personen. Die Information der betroffenen Personen nach den Artikeln 13 und 14 DSGVO sicherzustellen, einschließlich der Einschaltung von KAWLET als Auftragsverarbeiter, und gegebenenfalls deren Einwilligung einzuholen.
• Dokumentierte Weisungen. Seine Weisungen schriftlich zu erteilen, auch auf elektronischem Weg. Der Hauptvertrag und die vorliegende Vereinbarung einschließlich Anlage 1 bilden die ursprünglichen Weisungen des Partners. Jede spätere Weisung ist an den in Artikel 8 genannten Kontakt zu richten.
• Datenminimierung. Nur die für die Leistung unbedingt erforderlichen Daten zu übermitteln. Der Partner unterlässt es insbesondere, KAWLET auf welchem Weg auch immer Daten zu übermitteln, die unter die besonderen Kategorien des Artikels 9 DSGVO fallen (insbesondere Gesundheitsdaten, Meinungen, Gewerkschaftszugehörigkeit, biometrische Daten), Daten über strafrechtliche Verurteilungen (Artikel 10) sowie Kontaktdaten von lizenzierten Spielern, Funktionären, Schiedsrichtern oder Minderjährigen, für die der Dienst TITU weder Verwendung noch eine Struktur zur Aufnahme hat.
• Richtigkeit. Für die Richtigkeit und Aktualität der anvertrauten Daten zu sorgen und KAWLET unverzüglich jede Berichtigung, jeden Widerspruch und jede Löschung mitzuteilen, die nachvollzogen werden muss.
• Rechte der Personen. Die Anträge der betroffenen Personen auf Ausübung ihrer Rechte selbst zu beantworten, mit der in Artikel 5.5 vorgesehenen Unterstützung durch KAWLET.
• Sicherheit der eigenen Umgebung. Die Vertraulichkeit der seinen Mitarbeitern übergebenen Zugangsdaten sicherzustellen und jeden Verdacht auf Kompromittierung unverzüglich zu melden.
• Dokumentation. Ein eigenes Verzeichnis von Verarbeitungstätigkeiten zu führen und gegebenenfalls die Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO durchzuführen.

Der Partner stellt KAWLET von allen Ansprüchen, Klagen und Sanktionen frei, die sich aus der Nichteinhaltung der ihm nach diesem Artikel obliegenden Pflichten ergeben.

Gemäß Artikel 28 Absatz 3 DSGVO verpflichtet sich KAWLET zu Folgendem.

5.1. Verarbeitung auf dokumentierte Weisung

KAWLET verarbeitet die anvertrauten Daten **ausschließlich auf dokumentierte Weisung des Partners**, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, KAWLET unterliegt einer rechtlichen Verpflichtung. In diesem Fall unterrichtet KAWLET den Partner vor der Verarbeitung über diese rechtliche Verpflichtung, sofern das anwendbare Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

KAWLET informiert den Partner unverzüglich, wenn eine erhaltene Weisung nach ihrer Auffassung gegen die DSGVO oder gegen eine andere anwendbare Datenschutzbestimmung verstößt. Sie kann in diesem Fall die Ausführung der beanstandeten Weisung aussetzen, bis der Partner sie schriftlich bestätigt oder ändert.

KAWLET unterlässt es, die anvertrauten Daten für eigene Zwecke zu nutzen, insbesondere zur Akquise, zur Anreicherung ihres Verzeichnisses, zur Bildung vermarktbarer Statistiken oder zum Training von Modellen des maschinellen Lernens.

5.2. Vertraulichkeit

KAWLET gewährleistet, dass die anvertrauten Daten streng vertraulich bleiben. Hierzu gilt:

• der Zugriff auf die Daten ist auf die Personen beschränkt, die ihn zur Erbringung der Leistung benötigen, nach dem Grundsatz der geringsten Rechte;
• die zur Verarbeitung der Daten befugten Personen sind zur Vertraulichkeit vertraglich oder gesetzlich verpflichtet, auch nach dem Ende ihrer Tätigkeit;
• KAWLET gibt keine Daten an Dritte weiter, mit Ausnahme der in Anlage 2 aufgeführten Unterauftragsverarbeiter und mit Ausnahme behördlicher Anordnungen;
• bei einer gerichtlichen oder behördlichen Anordnung, die die anvertrauten Daten betrifft, unterrichtet KAWLET den Partner schnellstmöglich, sofern dies nicht gesetzlich untersagt ist.

5.3. Sicherheit der Verarbeitung

KAWLET setzt geeignete technische und organisatorische Maßnahmen im Sinne von Artikel 32 DSGVO um, die in Anlage 3 beschrieben sind. Diese Maßnahmen sind so dargestellt, wie sie zum Zeitpunkt der vorliegenden Vereinbarung tatsächlich umgesetzt sind; **KAWLET beansprucht keine Zertifizierung** in Bezug auf Sicherheit oder Konformität.

KAWLET kann diese Maßnahmen weiterentwickeln, um dem Stand der Technik Rechnung zu tragen, sofern das Gesamtniveau der Sicherheit dadurch nicht sinkt. Anlage 3 wird dann aktualisiert.

5.4. Einschaltung weiterer Auftragsverarbeiter

Der Partner erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung zur Einschaltung von Unterauftragsverarbeitern nach Maßgabe von Artikel 28 Absätze 2 und 4 DSGVO.

Die zum Zeitpunkt der vorliegenden Vereinbarung geltende Liste der Unterauftragsverarbeiter findet sich in Anlage 2. Diese Liste ist als **abschließendes Inventar der tatsächlich aufgerufenen Drittdienste** des Dienstes TITU angelegt, einschließlich derjenigen, die keinerlei personenbezogene Daten verarbeiten, damit der Partner einen vollständigen Überblick über die Datenflüsse hat.

KAWLET verpflichtet sich:

• den Partner über jede Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters mit angemessener Vorlaufzeit zu informieren, in jedem Fall bevor der neue Auftragsverarbeiter anvertraute Daten verarbeitet;
• dem Partner eine Frist von dreißig (30) Tagen für einen begründeten Einspruch einzuräumen. Kann ein Einspruch von den Parteien nicht ausgeräumt werden, kann der Partner die betreffende Leistung entschädigungslos kündigen;
• jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten aufzuerlegen, die denen der vorliegenden Vereinbarung im Wesentlichen gleichwertig sind;
• gegenüber dem Partner voll verantwortlich für die Erfüllung der Pflichten ihrer Unterauftragsverarbeiter zu bleiben.

5.5. Unterstützung des Partners

Unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen unterstützt KAWLET den Partner:

• Rechte der betroffenen Personen. Durch geeignete technische und organisatorische Maßnahmen, die es dem Partner ermöglichen, Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit nachzukommen. Jeder unmittelbar bei KAWLET eingehende Antrag wird unverzüglich an den Partner weitergeleitet und von KAWLET nicht bearbeitet, außer auf gegenteilige Weisung.
• Sicherheit, Verletzungen, Folgenabschätzungen. Durch Bereitstellung der Informationen, die der Partner zur Erfüllung seiner Pflichten aus den Artikeln 32 bis 36 DSGVO benötigt, einschließlich der Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde.

5.6. Verletzung des Schutzes personenbezogener Daten

KAWLET meldet dem Partner jede Verletzung des Schutzes personenbezogener Daten, die die anvertrauten Daten betrifft, unverzüglich, nachdem sie davon Kenntnis erlangt hat, gemäß Artikel 33 Absatz 2 DSGVO, damit der Partner gegebenenfalls seiner Pflicht zur Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Artikel 33 Absatz 1 nachkommen kann.

Die Meldung enthält, soweit die Informationen zum Zeitpunkt ihrer Abgabe verfügbar sind: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie einen Ansprechpartner. Fehlende Informationen werden nach und nach ohne unangemessene weitere Verzögerung nachgereicht.

Keine Bestimmung dieses Artikels macht KAWLET zur Schuldnerin der Meldung an die Aufsichtsbehörde oder an die betroffenen Personen; diese obliegt dem Partner in seiner Eigenschaft als Verantwortlicher.

5.7. Dokumentation und Audit

KAWLET stellt dem Partner alle erforderlichen Informationen zur Verfügung, um die Einhaltung der Pflichten aus Artikel 28 DSGVO nachzuweisen.

KAWLET ermöglicht Audits, einschließlich Überprüfungen vor Ort, durch den Partner oder einen von ihm beauftragten Prüfer, unter der Voraussetzung, dass:

• das Audit mit einer Frist von mindestens dreißig (30) Tagen schriftlich angekündigt wird, außer bei einer durch einen nachgewiesenen Sicherheitsvorfall begründeten Dringlichkeit;
• es während der Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs stattfindet;
• es weder die Vertraulichkeit der Daten anderer Kunden oder Nutzer von KAWLET noch Geschäftsgeheimnisse beeinträchtigt;
• der Prüfer einer Vertraulichkeitsverpflichtung unterliegt;
• seine Häufigkeit einmal pro Kalenderjahr nicht überschreitet, abgesehen von einem nachgewiesenen Sicherheitsvorfall oder einer Anforderung einer Aufsichtsbehörde.

KAWLET kann diese Pflicht erfüllen, indem sie die einschlägige Dokumentation bereitstellt, einschließlich — soweit vorhanden — der Auditberichte oder Bescheinigungen ihrer eigenen Unterauftragsverarbeiter.

5.8. Verzeichnis von Verarbeitungstätigkeiten

KAWLET führt gemäß Artikel 30 Absatz 2 DSGVO ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten, die im Auftrag des Partners durchgeführt werden, und stellt es der Aufsichtsbehörde auf Anfrage zur Verfügung.

5.9. Übermittlungen außerhalb der Europäischen Union

KAWLET hostet die anvertrauten Daten innerhalb der Europäischen Union. Übermittlungen in ein Drittland, die sich aus der Einschaltung der in Anlage 2 aufgeführten Unterauftragsverarbeiter ergeben, werden durch die in dieser Anlage genannten geeigneten Garantien abgesichert, insbesondere durch die von der Europäischen Kommission erlassenen Standardvertragsklauseln.

KAWLET nimmt ohne dokumentierte Weisung des Partners keine weitere Übermittlung außerhalb der Europäischen Union vor.

6.1. Herausgabe

Jederzeit während der Laufzeit des Hauptvertrags sowie dreißig (30) Tage ab dessen Ende kann der Partner die Herausgabe der anvertrauten Daten verlangen. KAWLET stellt sie in einem strukturierten, gängigen und maschinenlesbaren Format bereit.

6.2. Löschung

Nach Ablauf dieser Frist von dreißig (30) Tagen oder unmittelbar auf schriftliche Weisung des Partners löscht KAWLET die anvertrauten Daten sowie die vorhandenen Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. KAWLET bestätigt diese Löschung auf Verlangen des Partners schriftlich.

6.3. Was nicht gelöscht wird

Von der Löschung nach 6.2 nicht erfasst sind:

• die Daten, die KAWLET nach Absatz 2.2 als Verantwortlicher verarbeitet und die ihrem eigenen Lebenszyklus folgen;
• die nicht personenbezogenen organisatorischen Fakten (Bezeichnung einer Anlage oder eines Vereins, Anschrift, Merkmale eines Platzes, Spielplan) aus öffentlichen Quellen oder aus der Aufnahme in das Verzeichnis, die keine personenbezogenen Daten darstellen und weiterhin dem Hauptvertrag und nicht der vorliegenden Vereinbarung unterliegen;
• die technischen Protokolle und die Sicherungen, die nach ihrem eigenen Rotationszyklus gelöscht werden.

Jede Partei trägt die Verantwortung, die ihr nach den Artikeln 82 und 83 DSGVO aufgrund der ihr eigenen Pflichten obliegt.

KAWLET haftet für den durch eine Verarbeitung verursachten Schaden nur dann, wenn sie die speziell den Auftragsverarbeitern auferlegten Pflichten der DSGVO nicht eingehalten hat oder wenn sie außerhalb der rechtmäßigen Weisungen des Partners oder entgegen diesen Weisungen gehandelt hat (Artikel 82 Absatz 2 DSGVO).

Die im Hauptvertrag vereinbarten Haftungsobergrenzen und Haftungsausschlüsse gelten für die vorliegende Vereinbarung, soweit die anwendbaren Vorschriften dies zulassen.

Alle Fragen, Weisungen, Meldungen und Anträge zu dieser Vereinbarung sind zu richten an:

KAWLET EURL 15 Square Rameau 59000 Lille — Frankreich RCS Lille Métropole 993 159 250

Kontakt Datenschutz: yo@titu.app

8.1. Kein Datenschutzbeauftragter

KAWLET hat keinen Datenschutzbeauftragten (DSB) im Sinne von Artikel 37 DSGVO benannt, da sie bis heute die Voraussetzungen für eine verpflichtende Benennung nicht erfüllt. Der oben genannte Kontakt ist die einzige Anlaufstelle für die Themen dieser Vereinbarung; er genießt weder den Status noch die Unabhängigkeitsgarantien, die mit der Funktion des Datenschutzbeauftragten verbunden sind.

Diese Lage wird bei jeder wesentlichen Veränderung der Tätigkeit erneut geprüft. Die Benennung eines Datenschutzbeauftragten wird, sollte sie erfolgen, Gegenstand einer Aktualisierung dieses Artikels sein.

8.2. Aufsichtsbehörde

Die für KAWLET zuständige Aufsichtsbehörde ist die **Commission nationale de l'informatique et des libertés (CNIL)**, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Frankreich.

9.1. Rangfolge der Dokumente

Die vorliegende Vereinbarung ist Bestandteil des Hauptvertrags. Bei Widersprüchen zwischen einer Bestimmung des Hauptvertrags und einer Bestimmung der vorliegenden Vereinbarung **über die Verarbeitung personenbezogener Daten** geht die vorliegende Vereinbarung vor. In allen übrigen Fragen geht der Hauptvertrag vor.

Bei Widersprüchen zwischen der vorliegenden Vereinbarung und von der Europäischen Kommission erlassenen und von den Parteien unterzeichneten Standardvertragsklauseln gehen Letztere vor.

9.2. Laufzeit

Die vorliegende Vereinbarung tritt zum Wirksamkeitsdatum des Hauptvertrags in Kraft und bleibt so lange anwendbar, wie KAWLET anvertraute Daten im Auftrag des Partners verarbeitet. Die Artikel 5.2 (Vertraulichkeit), 6 (Verbleib der Daten) und 7 (Haftung) überdauern ihr Ende.

9.3. Änderung

KAWLET kann die vorliegende Vereinbarung ändern, um einer Änderung der Rechtslage, einer Entscheidung einer Aufsichtsbehörde oder einer technischen Weiterentwicklung des Dienstes Rechnung zu tragen. Jede wesentliche Änderung wird dem Partner mit angemessener Vorlaufzeit mitgeteilt. Erfolgt binnen dreißig (30) Tagen kein schriftlicher und begründeter Einspruch, gilt die Änderung als angenommen.

Die Anlagen 2 und 3 können nach den in den Artikeln 5.4 bzw. 5.3 vorgesehenen Modalitäten aktualisiert werden, ohne dass diese Aktualisierung eine wesentliche Änderung der Vereinbarung darstellt.

9.4. Teilnichtigkeit

Wird eine Bestimmung der vorliegenden Vereinbarung für nichtig oder undurchführbar erklärt, bleiben die übrigen Bestimmungen in Kraft. Die Parteien bemühen sich, die unwirksame Bestimmung durch eine wirksame Bestimmung mit gleichwertiger wirtschaftlicher und rechtlicher Wirkung zu ersetzen.

9.5. Anwendbares Recht und zuständiges Gericht

Die vorliegende Vereinbarung unterliegt dem französischen Recht. Kommt keine gütliche Einigung zustande, fällt jeder Streit über ihre Wirksamkeit, ihre Auslegung oder ihre Erfüllung in die ausschließliche Zuständigkeit der Gerichte im Bezirk Lille, vorbehaltlich zwingender Zuständigkeitsvorschriften.

Die vorliegende Anlage beschreibt gemäß Artikel 28 Absatz 3 DSGVO die Verarbeitungen, die KAWLET im Auftrag des Partners durchführt. Sie ist abschließend.

A1.1. Bereitstellung des Verzeichnisses der Anlagen und der Vereine

Dem Partner wird empfohlen, funktionsbezogene Kontaktdaten („Empfang“, „Geschäftsstelle“) statt namentlicher zu übermitteln. Werden keine personenbezogenen Daten übermittelt, bleibt die vorliegende Vereinbarung für diese Leistung gegenstandslos.

A1.2. Aufnahme eines Buchungsangebots eines Betreibers

Die Buchung selbst wird nicht von KAWLET durchgeführt. Der Spieler, der klickt, wird zum Dienst des Partners weitergeleitet, wo er dessen Kunde wird. Die ab dieser Weiterleitung erhobenen Daten fallen in die alleinige Verantwortung des Partners als eigenständig Verantwortlicher und liegen außerhalb des Anwendungsbereichs der vorliegenden Vereinbarung.

A1.3. Aggregierte Rückmeldung von Klicks auf ein Angebot

Wenn ein Spieler den Link eines Angebots des Partners aufruft, erhöht KAWLET einen **aggregierten Tageszähler**.

Dieser Zähler — Tabelle venue_offer_click_daily — enthält ausschließlich die folgenden Felder:

**Er enthält weder IP-Adresse noch Cookie oder Gerätekennung, noch Konto, noch Spielerkennung, noch Header oder Nutzdaten einer Anfrage. Dieses Fehlen ist strukturell**: Die Tabelle enthält keine Spalte, die diese Elemente aufnehmen könnte, und die Funktion zur Erhöhung des Zählers erhält nur die Kennung des Angebots und die Herkunftsfläche.

Daraus ergeben sich drei Folgen, die die Parteien ausdrücklich anerkennen:

1. Dieser Zähler ist keine Verarbeitung personenbezogener Daten. Aus diesen sechs Feldern ist keine natürliche Person identifiziert oder identifizierbar.
2. Dieser Zähler ist keine individuelle Reichweitenmessung. Er erlaubt es weder, eindeutige Besucher zu zählen, noch einen Verlauf zu rekonstruieren, noch zehn Klicks einer Person von einem Klick von zehn Personen zu unterscheiden. Er darf weder von KAWLET noch vom Partner als Reichweitenmessung, als Abrechnungsgrundlage nach Leistung oder als Vorrichtung zur Erkennung von Betrug oder Missbrauch dargestellt werden.
3. Er wird dem Partner zur Orientierung mitgeteilt, als rohes Produktsignal, ohne Gewähr für Richtigkeit, Vollständigkeit oder Übereinstimmung mit den Umsätzen, die der Partner in seinem eigenen System feststellt.

A1.4. Technische Integration eines Partners

Keine Integration darf in Produktion gehen, ohne dass die Kategorien der Daten und der betroffenen Personen schriftlich aufgezählt wurden. Die Ausschlüsse aus Artikel 4 (besondere Kategorien, Verurteilungen, Kontaktdaten von Funktionären, Schiedsrichtern oder Minderjährigen) gelten vollumfänglich.

A1.5. Von Anlage 1 ausgenommene Verarbeitungen

Um jede Unklarheit zu vermeiden: Folgendes fällt nicht unter die vorliegende Vereinbarung und wird von KAWLET als Verantwortlicher verarbeitet:

• sämtliche Konto-, Gruppen- und Spieldaten der Spieler;
• die an die Spieler gerichteten Benachrichtigungen;
• die Erhebung, Prüfung und Weiterveröffentlichung organisatorischer Fakten aus öffentlichen Quellen oder von Verbänden (Vereinsbezeichnung, Anschrift, Stadion, Spielklasse, Spielplan, Tabelle), die keinerlei personenbezogene Daten enthalten;
• der freiwillige Abgleich zwischen dem Konto eines Spielers und den öffentlichen Wettbewerbsergebnissen, auf Wunsch und nach Bestätigung des Spielers.

Die vorliegende Liste ist als abschließendes Inventar der tatsächlich aufgerufenen Drittdienste des Dienstes TITU zum Zeitpunkt dieser Vereinbarung angelegt, einschließlich derjenigen, an die keinerlei personenbezogene Daten übermittelt werden. Sie ist eine Obermenge der Unterauftragsverarbeiter im Sinne von Artikel 28 Absatz 4 DSGVO.

A2.1. Dienstleister, die personenbezogene Daten verarbeiten können

A2.2. Dienstleister, die keinerlei personenbezogene Daten verarbeiten

Diese Dienste werden aus Gründen der Transparenz aufgeführt: Sie werden vom Dienst oder von seinen Verarbeitungsketten für öffentliche Daten aufgerufen, ohne dass ihnen Daten eines Kontos, eines Spielers oder einer betroffenen Person übermittelt werden.

A2.3. Tatsächlicher Stand der Nutzung von Google Gemini

Der Dienst TITU umfasst zwei verschiedene Nutzungen eines Sprachmodells, die beide auf **Fakten und Beschreibungen zu Plätzen** beschränkt sind. In beiden Fällen gilt:

• keine Daten eines Spielers, eines Kontos, einer Gruppe oder einer betroffenen Person gelangen in einen Prompt; der übermittelte Inhalt stammt ausschließlich aus Anlagen-Datensätzen und öffentlichen Quellen;
• kein Werkzeug zum Surfen, zur externen Suche oder zum Zugriff auf eine kommerzielle Ortsdatenbank ist aktiviert;
• keine Ausgabe des Modells wird automatisch veröffentlicht.

Nutzung 1 — Extraktion technischer Fakten. Dieser Ablauf ist standardmäßig deaktiviert und wurde nie in Produktion ausgeführt. Seine Auslösung setzt das gleichzeitige Zusammentreffen mehrerer voneinander unabhängiger Bedingungen voraus: ein ausdrückliches Kennzeichen auf der Befehlszeile, die Aktivierung in einem versionierten Manifest, eine eigene Umgebungsvariable, ein entsprechendes Ausführungsziel, den exakten kryptografischen Fingerabdruck des Plans und eine lokale Datenbank. Das bloße Vorhandensein eines API-Schlüssels löst nichts aus. Der Umfang ist auf drei Validierungsfälle vor dem Start beschränkt.

Nutzung 2 — Beschreibungsentwürfe. Ein gesonderter Ablauf kann Beschreibungsentwürfe für Plätze erzeugen. Diese Entwürfe sind als nicht veröffentlichbar und nicht geprüft gekennzeichnet, gehen niemals ohne namentlich benannte menschliche Prüfung online und speisen weder das öffentliche Verzeichnis noch die indexierbaren Seiten. Dieser Ablauf läuft nur, wenn in der Umgebung der kontinuierlichen Integration ein API-Schlüssel konfiguriert ist.

Diese Beschreibung gibt den tatsächlichen Stand des Dienstes zum Zeitpunkt der vorliegenden Vereinbarung wieder und nimmt keine künftige Bereitstellung vorweg.

A2.4. Konfigurierte, aber inaktive Dienste

Aus Transparenzgründen: Die folgenden Dienste sind im Dienst technisch referenziert, werden aber bis heute nicht aufgerufen: Google Maps / Places (im Code existiert kein Aufruf; künftig könnte allein eine undurchsichtige Ortskennung in einer gesonderten Tabelle aufbewahrt werden, ohne dass irgendein Inhalt übernommen wird), Mapbox und OpenCage (Geokodierungsdienste als Reserve, nicht aktiviert). Keiner dieser Dienste erhält zum Zeitpunkt der vorliegenden Vereinbarung Daten. Ihre Aktivierung wäre Gegenstand einer Aktualisierung dieser Anlage nach Artikel 5.4.

Die nachstehenden Maßnahmen sind so beschrieben, **wie sie zum Zeitpunkt der vorliegenden Vereinbarung tatsächlich umgesetzt sind. KAWLET beansprucht keine Zertifizierung** in Bezug auf Sicherheit oder Konformität (insbesondere weder ISO/IEC 27001 noch SOC 2, HDS oder PCI-DSS) und macht im Rahmen dieser Vereinbarung keine geltend.

A3.1. Zugriffskontrolle auf die Daten

• Abschottung auf Zeilenebene. Die Sicherheit auf Zeilenebene (row level security) von PostgreSQL ist auf sämtlichen Anwendungstabellen einschließlich der Partitionen aktiviert. Eine Abfrage kann nur die Zeilen zurückgeben, die die an der Tabelle hängende Richtlinie dem Anfragenden erlaubt.
• Ausdrücklich erteilte Rechte. Die anonyme Rolle verfügt über keinerlei Rechte an den Tabellen. Die authentifizierte Rolle verfügt nur über die unbedingt erforderlichen Operationen, Tabelle für Tabelle erteilt. Der Zugriff wird damit schon vor der Auswertung der Sicherheitsrichtlinien auf der Ebene der Rechte verweigert.
• Dienstrolle. Eine vertrauenswürdige technische Rolle, die den Serververarbeitungen vorbehalten ist, unterliegt nicht den Sicherheitsrichtlinien auf Zeilenebene — das ist eine notwendige Eigenschaft ihrer Verwendung. Ihre Zugangsdaten werden niemals in einer Client-Anwendung verbreitet, insbesondere nicht in der öffentlichen Web-Anwendung.

A3.2. Integrität der Verarbeitungen

• Die Geschäftslogik liegt auf dem Server. Sensible Vorgänge laufen in transaktionalen Prozeduren in der Datenbank mit definierten Rechten ab, die die betroffene Zeile sperren, bevor sie entscheiden. Der Client ruft einen Vorgang auf; er bestimmt nicht dessen Ergebnis.
• Entscheidungen werden nicht an den Client delegiert. Kritische Werte — insbesondere der Rang in einer Warteschlange — werden von der Datenbank vergeben. Keine Aufrufsignatur erlaubt es einem Client, sie vorzugeben.
• Zeitliche Übergänge werden vom Server ausgelöst, durch eine in der Datenbank geplante Aufgabe, und nicht von der Anwendung. Eine Änderung der Uhr eines Endgeräts bleibt wirkungslos.

A3.3. Abschottung der Daten aus externen Quellen

• Die Tabellen, die den internen Bestand der Verbandsdaten bilden, stehen unter Sicherheit auf Zeilenebene ohne jede Richtlinie und sind Gegenstand eines ausdrücklichen Entzugs der Rechte für die anonyme und die authentifizierte Rolle. Keine öffentliche Route und keine ohne Authentifizierung erreichbare Prozedur liest sie.
• Ausgesetzt wird ausschließlich eine gesonderte öffentliche Projektion, die auf organisatorische Fakten beschränkt ist und keine Spalte enthält, die eine Person aufnehmen könnte.
• Das Fehlen personenbezogener Daten in diesen Tabellen ist eine strukturelle Eigenschaft des Schemas und keine Nutzungsanweisung.

A3.4. Speicherung der Dateien

• Der Speicherbereich für die Profilfotos ist privat; dieser Zustand wird bei jeder Migration idempotent neu gesetzt.
• Es wird keine dauerhafte öffentliche Adresse erzeugt. Der Zugriff erfolgt über eine kurzlebige signierte URL, beschränkt auf den Eigentümer der Datei oder auf einen Mitspieler derselben Gruppe.
• Die Löschung eines Kontos löst die Bereinigung der Datei durch eine eigens geplante Aufgabe aus, mit Wiederaufnahme im Fehlerfall.

A3.5. Verwaltung der Geheimnisse

• Die von der Datenbank verwendeten Geheimnisse (Adressen und Aufruf-Token der Serverfunktionen, Schlüssel zur Verschlüsselung der Token für den Identitätsabgleich) werden im integrierten Tresor des Datenbankanbieters aufbewahrt und erst im Moment der Nutzung gelesen.
• Kein Produktionsgeheimnis findet sich im Code-Repository oder in dessen Historie.

A3.6. Verschlüsselung

• Bei der Übertragung. Der Austausch zwischen den Anwendungen, der Datenbank und den Drittdiensten erfolgt über HTTPS/TLS. Auf keinem Weg, der personenbezogene Daten verarbeitet, gibt es einen unverschlüsselten Aufruf. Die TLS-Terminierung wird von den Hosting-Plattformen sichergestellt.
• Auf Anwendungsebene. Die Token für den Identitätsabgleich sind in der Datenbank verschlüsselt (pgcrypto), mit einem im Tresor aufbewahrten Schlüssel, und laufen nach zehn Minuten ab.
• Im Ruhezustand. Die Verschlüsselung der Anwendungsdaten im Ruhezustand wird vom Hosting-Auftragsverarbeiter entsprechend seinen eigenen vertraglichen Zusagen sichergestellt. KAWLET stellt sie nicht als eine Maßnahme dar, die sie selbst umsetzt.

A3.7. Datenminimierung und Verzicht auf Tracker

• Die Nutzungsmessung beruht auf einer abgeschlossenen Liste benannter Ereignisse, ohne automatische Erfassung und ohne Sitzungsaufzeichnung; die Bibliotheken, die diese Funktionen ermöglichen, sind nicht installiert.
• Die Weiterleitung zum Angebot eines Partners setzt und liest kein Cookie und speichert weder IP-Adresse noch Gerätekennung oder Kontokennung (siehe Anlage 1, A1.3).
• Die zur Zusammensetzung einer Benachrichtigung übermittelten Daten sind auf das für ihre Anzeige unbedingt Erforderliche beschränkt.

A3.8. Löschung und Lebenszyklus der Daten

• Löschung auf Verlangen. Ein Verfahren zur Löschung eines Kontos ist umgesetzt. Es wird vom Nutzer selbst ausgelöst, enthält keinen Parameter, der einen Dritten bezeichnet, verlangt eine ausdrückliche Bestätigung, gibt die gehaltenen Plätze in den kommenden Spielterminen frei, bevor es das Konto schließt, sperrt den Zugang zum Konto, bevor es die Bereinigung versucht (sodass das Konto auch bei einem Scheitern der Bereinigung unzugänglich bleibt), und löscht die zugeordneten Daten.
• Überprüfung durch flächendeckende Suche. Ein automatisierter Test sucht die Spuren des gelöschten Kontos in jeder Text- und Strukturspalte der Schemata für Anwendung, Authentifizierung und Speicher, statt in einer vorab festgelegten Liste von Tabellen.
• Funktionale Fristen. Mehrere technische Fristen sind konstruktionsbedingt umgesetzt: Ablauf der Token für den Abgleich (zehn Minuten), Rücknahmefenster für eine Absage, Sperrfrist gegen wiederholte Anfragen, Ablauf der reservierten Plätze und der Angebote, Ablauf der Buchungs-Zeitfenster.
• Reichweite dieser Zusage. KAWLET beansprucht keine Politik der automatischen, regelmäßigen Bereinigung der Anwendungsprotokolle und der Spielhistorien: Die Löschung personenbezogener Daten wird von der betroffenen Person oder vom Verantwortlichen ausgelöst und überprüft. Die verbleibenden Spieldaten werden anonymisiert.

A3.9. Organisation

• Zugang zu den Produktionsumgebungen beschränkt auf die Personen, die ihn benötigen.
• Trennung der Entwicklungs-, Test- und Produktionsumgebungen; die Entwicklungsdaten sind Demonstrationsdaten.
• Nachverfolgung der Schemaänderungen durch versionierte und geprüfte Migrationen.
• Automatisierte Tests, die sich insbesondere auf die Abschottung, die Gegenseitigkeit beim Zugriff auf die Abstimmungen, die Kontolöschung und die Privatheit des Dateispeichers beziehen.