Data Processing Agreement

Stand: 4. September 2026

Dieser Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (nachfolgend „Vertrag“) ist Anlage zu den Allgemeinen Geschäftsbedingungen und gilt zwischen

dem Kunden im Sinne der AGB (nachfolgend „Verantwortlicher“)

und

Frank Nägler (NeoBlack), Anne-Becker-Ring 23, 21031 Hamburg (nachfolgend „Auftragsverarbeiter“).

Er wird mit der Annahme der AGB geschlossen und bedarf keiner gesonderten Unterzeichnung. Der Verantwortliche kann diesen Vertrag jederzeit auf dieser Seite abrufen und speichern.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die unter oche.one betriebene Anwendung zur Verwaltung von Dartligen als Software as a Service bereit. Die Einzelheiten der Leistung ergeben sich aus den AGB.

(2) Im Rahmen dieser Leistung verarbeitet der Auftragsverarbeiter personenbezogene Daten, die der Verantwortliche in die Anwendung einstellt oder dort erzeugen lässt, ausschließlich im Auftrag und nach Weisung des Verantwortlichen.

(3) Art und Zweck der Verarbeitung sind das Speichern, Ordnen, Auslesen, Verändern, Berechnen, Ausgeben und Löschen der eingestellten Daten zum Zweck der Ligaverwaltung, ferner die Veröffentlichung dieser Daten, soweit der Verantwortliche eine Liga öffentlich schaltet.

(4) Die Verarbeitung findet ausschließlich in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Eine Verlagerung in ein Drittland erfolgt nur unter den Voraussetzungen des Kapitels V der DSGVO; für den Unterauftragsverarbeiter Anthropic gilt § 6 Abs. 5.

(5) Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags zwischen den Parteien.

§ 2 Art der Daten und Kreis der betroffenen Personen

(1) Gegenstand der Verarbeitung sind insbesondere folgende Arten personenbezogener Daten:

Namen von Spielerinnen und Spielern sowie deren Zugehörigkeit zu Ligen und Spieltagen,
Spielergebnisse und daraus berechnete Statistiken (unter anderem Legs, Sets, Averages, Checkout-Quoten, Highscores),
Bilder und Bilddateien, die der Verantwortliche zur Erfassung von Ergebnissen hochlädt, einschließlich der darauf enthaltenen personenbezogenen Angaben,
Stamm- und Kontaktdaten der Personen, denen der Verantwortliche Zugang zu seinem Account einräumt (Name, E-Mail-Adresse, Rolle, zugewiesene Ligen).

(2) Betroffene Personen sind die vom Verantwortlichen erfassten Spielerinnen und Spieler sowie die Personen, denen der Verantwortliche Zugang zu seinem Account einräumt.

(3) Nicht Gegenstand dieses Vertrags sind die Bestands-, Vertrags- und Abrechnungsdaten des Verantwortlichen selbst. Diese verarbeitet der Auftragsverarbeiter als eigener Verantwortlicher; Einzelheiten regelt die Datenschutzerklärung.

(4) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sicher, dass er solche Daten nicht in die Anwendung einstellt.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als dokumentierte Weisung gelten dieser Vertrag, die AGB sowie die Nutzung der in der Anwendung vorgesehenen Funktionen durch den Verantwortlichen. Weitere Weisungen erteilt der Verantwortliche in Textform an die im Impressum genannten Kontaktdaten.

(2) Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Der Auftragsverarbeiter nutzt die Daten insbesondere nicht zu Werbezwecken, gibt sie nicht an Dritte weiter und verwendet sie nicht zum Training von Modellen künstlicher Intelligenz.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

(4) Ist der Auftragsverarbeiter aufgrund des Rechts der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, unterrichtet er den Verantwortlichen vor der Verarbeitung über diese Anforderung, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

§ 4 Vertraulichkeit

(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die auf die Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.

(2) Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen mit den einschlägigen Vorgaben des Datenschutzes vertraut sind und Zugriff nur im erforderlichen Umfang erhalten.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Der zum Zeitpunkt des Vertragsschlusses umgesetzte Stand ergibt sich aus Anlage 1.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie fortentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er in Anlage 1.

(3) Der Verantwortliche kennt die Maßnahmen nach Anlage 1 und hält sie im Hinblick auf die Art der verarbeiteten Daten für angemessen.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2.

(2) Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Verantwortlichen mindestens vier Wochen vorher in Textform. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen nach Zugang der Mitteilung aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen.

(3) Widerspricht der Verantwortliche, kann der Auftragsverarbeiter den Vertrag mit einer Frist von einem Monat kündigen, wenn ihm die Fortführung der Leistung ohne den betreffenden Unterauftragsverarbeiter nicht zumutbar ist. Bereits im Voraus gezahlte Entgelte erstattet er für die Zeit nach Wirksamwerden der Kündigung anteilig.

(4) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die ihm nach diesem Vertrag obliegen. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Einhaltung.

(5) Der Unterauftragsverarbeiter Anthropic PBC hat seinen Sitz in den Vereinigten Staaten. Eine Übermittlung an ihn findet ausschließlich statt, wenn der Verantwortliche eine KI-Funktion durch eine ausdrückliche Handlung auslöst. Die Übermittlung erfolgt auf Grundlage der von der Europäischen Kommission erlassenen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

(6) Nicht als Unterauftragsverarbeitung gilt die Inanspruchnahme von Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt, ohne dass diese Zugriff auf die Daten des Verantwortlichen erhalten, etwa Telekommunikationsleistungen.

§ 7 Unterstützung bei den Rechten betroffener Personen

(1) Wenden sich betroffene Personen unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter. Der Auftragsverarbeiter beantwortet solche Anfragen nicht eigenständig, es sei denn, der Verantwortliche weist ihn hierzu an.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen nach Kapitel III der DSGVO, insbesondere bei Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit.

(3) Die Anwendung stellt dem Verantwortlichen Funktionen bereit, mit denen er die eingestellten Daten selbst einsehen, ändern, exportieren und löschen kann. Soweit der Verantwortliche ein Anliegen hierüber selbst erfüllen kann, erbringt der Auftragsverarbeiter seine Unterstützung durch die Bereitstellung dieser Funktionen.

§ 8 Unterstützung bei weiteren Pflichten des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten, soweit dies angesichts der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen erforderlich ist.

(2) Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten des Verantwortlichen bekannt, meldet er dies dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform. Die Meldung enthält, soweit bekannt, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.

(3) Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO obliegen dem Verantwortlichen.

§ 9 Löschung und Rückgabe nach Beendigung

(1) Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten, sofern der Verantwortliche nicht innerhalb von 30 Tagen nach Beendigung deren Rückgabe verlangt.

(2) Der Verantwortliche kann die Daten während der Vertragslaufzeit und innerhalb dieser Frist jederzeit über die Exportfunktionen der Anwendung selbst herausziehen.

(3) Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Diese Daten verarbeitet der Auftragsverarbeiter ausschließlich zu den Zwecken, die ihre Aufbewahrung rechtfertigen; im Übrigen schränkt er ihre Verarbeitung ein.

(4) Server-Logfiles, die im Rahmen des Betriebs anfallen, werden nach längstens 14 Tagen automatisch gelöscht.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind.

(2) Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags zu überprüfen. Die Überprüfung erfolgt vorrangig durch Einholung von Auskünften und Vorlage geeigneter Nachweise, etwa aktueller Zertifikate oder Prüfberichte der Unterauftragsverarbeiter.

(3) Reichen diese Nachweise im Einzelfall nicht aus, kann der Verantwortliche nach rechtzeitiger Ankündigung zu den üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs eine Überprüfung vor Ort durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein.

(4) Für den Aufwand einer Überprüfung nach Absatz 3 kann der Auftragsverarbeiter eine angemessene Vergütung verlangen, es sei denn, die Überprüfung erfolgt aus Anlass eines von ihm zu vertretenden Verstoßes.

§ 11 Schlussbestimmungen

(1) Ergänzend gelten die AGB des Auftragsverarbeiters. Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags vor, soweit sie die Verarbeitung personenbezogener Daten im Auftrag betreffen.

(2) Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach den Regelungen der AGB.

(3) Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Der Auftragsverarbeiter kann diesen Vertrag ändern, soweit dies zur Anpassung an geänderte rechtliche Vorgaben oder an Änderungen der eingesetzten Unterauftragsverarbeiter erforderlich ist. Er teilt Änderungen mindestens vier Wochen vor ihrem Wirksamwerden in Textform mit; § 6 Abs. 2 und 3 gelten entsprechend.

Anlage 1: Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen nach Art. 32 DSGVO sind umgesetzt:

1. Vertraulichkeit

Zutrittskontrolle: Die Anwendung wird in einem Rechenzentrum der Hetzner Online GmbH in Falkenstein, Deutschland, betrieben. Zutrittskontrolle, Videoüberwachung und Alarmierung obliegen dem Rechenzentrumsbetreiber nach dessen jeweils geltenden Sicherheitsstandards.
Zugangskontrolle: Der administrative Zugang zum Server erfolgt ausschließlich über SSH mit Schlüsselpaar; die Anmeldung mit Passwort ist deaktiviert, eine Anmeldung als Administrator mit Passwort ausgeschlossen. Eine Paketfilter-Firewall auf dem Server sowie eine vorgelagerte Firewall des Hostinganbieters lassen ausschließlich die Dienste SSH, HTTP und HTTPS zu.
Benutzerauthentifizierung: Passwörter der Anwendungsnutzer werden ausschließlich als Hashwert nach einem aktuellen, rechenaufwendigen Verfahren gespeichert; eine Wiederherstellung im Klartext ist nicht möglich.
Zugriffskontrolle und Mandantentrennung: Die Daten verschiedener Kunden sind logisch getrennt. Die Trennung wird an zwei voneinander unabhängigen Stellen erzwungen: durch eine Filterung sämtlicher Datenbankabfragen auf den jeweiligen Account und zusätzlich durch eine Rechteprüfung bei jedem Einzelzugriff. Personen, denen ein Kunde Zugang zu seinem Account einräumt, erhalten Zugriff ausschließlich auf die ihnen ausdrücklich zugewiesenen Ligen.
Trennungskontrolle: Produktiv-, Entwicklungs- und Testumgebung sind voneinander getrennt. In der Entwicklung und im Test werden keine Produktivdaten verwendet.

2. Integrität

Transportverschlüsselung: Sämtliche Verbindungen zur Anwendung sind ausschließlich verschlüsselt über TLS in den Versionen 1.2 und 1.3 mit aktuellen Cipher-Suites möglich. Ein unverschlüsselter Aufruf wird auf die verschlüsselte Verbindung umgeleitet; über HTTP Strict Transport Security wird der Browser angewiesen, künftig nur verschlüsselt zu verbinden.
Weitergabekontrolle: Die Übermittlung an Unterauftragsverarbeiter erfolgt ausschließlich über verschlüsselte Verbindungen. Zahlungsdaten werden unmittelbar gegenüber dem Zahlungsdienstleister eingegeben und gelangen zu keinem Zeitpunkt auf die Systeme des Auftragsverarbeiters.
Eingabekontrolle: Zugriffe auf die Anwendung werden in Server-Logfiles protokolliert und nach längstens 14 Tagen automatisch gelöscht. Änderungen an Verträgen und Tarifen werden mit Zeitpunkt und auslösender Person in der Anwendung historisiert.
Schutz vor typischen Angriffen: Die Anwendung setzt Sicherheits-Header (unter anderem gegen Darstellung in fremden Rahmen und gegen Inhaltstyp-Verwechslung), einen Schutz gegen Anfragenfälschung über Formular-Token sowie eine Begrenzung der Aufrufe sicherheitsrelevanter, nicht angemeldeter Endpunkte ein.

3. Verfügbarkeit und Belastbarkeit

Datensicherung: Das System wird täglich automatisch gesichert. Die Sicherungen werden auf einer vom Server getrennten Infrastruktur des Hostinganbieters vorgehalten und rollierend für mindestens sieben Tage aufbewahrt. Der Datenbestand kann daraus nach einem Ausfall oder einer fehlerhaften Änderung wiederhergestellt werden.
Systempflege: Sicherheitsaktualisierungen des Betriebssystems werden automatisch eingespielt.
Betriebssicherheit: Die Auslieferung neuer Programmstände erfolgt ohne Unterbrechung des laufenden Betriebs; im Fehlerfall kann auf den vorherigen Stand zurückgewechselt werden.
Schutz vor Überlastung: Der Zugriff auf sicherheitsrelevante Endpunkte ist mengenmäßig begrenzt.

4. Verfahren zur regelmäßigen Überprüfung

Auftragskontrolle: Mit allen in Anlage 2 genannten Unterauftragsverarbeitern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.
Datenschutzfreundliche Voreinstellungen: Ligen sind nicht von sich aus öffentlich zugänglich. Die Veröffentlichung setzt eine ausdrückliche Entscheidung des Verantwortlichen voraus.
Datenminimierung: Die Anwendung erhebt für die Verwaltung einer Liga keine Kontaktdaten der Spielerinnen und Spieler. Zur Zuordnung genügt der Name.

Anlage 2: Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt die folgenden Unterauftragsverarbeiter ein:

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Bereitstellung der Serverinfrastruktur und des Speicherplatzes. Verarbeitungsort: Deutschland.
Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4–6, 32339 Espelkamp, Deutschland — technischer Versand der E-Mails der Anwendung. Verarbeitet werden Empfängeradresse, Absender und Inhalt der Nachricht für die Dauer der Zustellung. Verarbeitungsort: Deutschland.
Stripe Payments Europe, Limited, One Wilton Park, Dublin 2, D02 FX04, Irland — Abwicklung der Zahlungen für kostenpflichtige Tarife. Verarbeitungsort: Europäische Union. Hinsichtlich der Zahlungsabwicklung ist Stripe zugleich eigenständig Verantwortlicher.
Anthropic PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA — Bereitstellung eines KI-Sprachmodells für die Erfassung von Ergebnissen aus Bildern und die Erzeugung von Spielberichten. Die Übermittlung erfolgt nur auf ausdrückliche Auslösung durch den Verantwortlichen und auf Grundlage der EU-Standardvertragsklauseln. Nach den vertraglichen Zusagen von Anthropic werden über die Programmierschnittstelle übermittelte Daten nicht zum Training von Modellen verwendet.