Bedingungen zur Auftragsverarbeitung.

1. Anwendungsbereich und Rollen

UID des Auftragsverarbeiters: ATU57394867

Diese Bedingungen gelten, soweit ein Nutzer des Gold · Performancelabs personenbezogene Daten anderer Personen verarbeitet und dabei selbst über Zwecke und wesentliche Mittel dieser Verarbeitung entscheidet. In dieser Konstellation ist der Nutzer Verantwortlicher im Sinn der DSGVO und Alexander Keck e.U. als Betreiber von schwimmtrainer.at Auftragsverarbeiter.

Verarbeitet ein Nutzer ausschließlich eigene Daten, finden diese Auftragsverarbeitungsbedingungen auf diese eigene Verarbeitung keine Anwendung.

PerformanceHub bezeichnet den Bereich für öffentliche Profile und Angebote auf der Plattform. Die gemeinsame Darstellung als Ökosystem von schwimmtrainer.at verändert für sich allein weder die datenschutzrechtlichen Rollen noch erweitert sie die Weisungen zur Verarbeitung geschützter PerformanceLab-Daten. Die öffentliche Präsentation eines Coaches berechtigt nicht automatisch zur Veröffentlichung vertraulicher Athletendaten.

2. Gegenstand, Dauer, Art und Zweck

Gegenstand ist die technische Bereitstellung des Gold · Performancelabs einschließlich Speicherung, Organisation, Darstellung, Filterung, gruppen- und disziplinbezogener Verlaufsauswertung einschließlich Performance Monitor, nutzerseitig veranlasster serverseitiger PDF-Berichtserstellung mit unmittelbarem Download ohne dauerhafte Ablage der erzeugten Berichtsdatei, frei konfigurierbarer Testbatterien, Zuordnung mehrerer Personen zu Wettkampf- und Testterminen, Termin- und Wettkampfplanung, Verwaltung trainerdefinierter persönlicher und gruppenbezogener Ziel- und Entwicklungskorridore sowie Lösch- und Exporthilfen im Rahmen der jeweils bereitgestellten Plattformfunktionen. Die Verarbeitung dauert grundsätzlich für die Dauer der Nutzung des Performancelabs und darüber hinaus nur, soweit eine vereinbarte Übergangsphase, technische Sicherung, gesetzliche Pflicht oder zulässige Rechtsanspruchssicherung dies erfordert.

3. Kategorien betroffener Personen und Daten

Betroffene Personen können insbesondere Athletinnen und Athleten, Trainer, Coaches, Instruktoren sowie sonstige betreute oder organisatorisch zugeordnete Personen sein. Verarbeitet werden können Stammdaten, Kontaktdaten, Vereins-/Organisationsdaten, Para-Klassifikationen, Wettkampf- und Planungsdaten, Termine, Ziele einschließlich persönlicher und gruppenbezogener Zielkorridore, Notizen, Körper- und Leistungsdaten, Messwerte aus Schwimm- und Athletikdiagnostik sowie daraus abgeleitete Seitenasymmetrien und Kraftverhältnisse. Einzelne Daten können besondere Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten nach Art. 9 DSGVO, darstellen.

4. Weisungsgebundene Verarbeitung

schwimmtrainer.at verarbeitet die vom Verantwortlichen eingegebenen Daten nur zur Bereitstellung der vereinbarten Funktionen und nach den dokumentierten Weisungen des Verantwortlichen. Die Nutzung der Plattformfunktionen, insbesondere Eingabe, Änderung, Zuordnung, Planung, Auswertung und Löschung, gilt insoweit als dokumentierte Weisung. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, weist er den Verantwortlichen darauf hin, soweit dies gesetzlich zulässig ist.

5. Pflichten des Verantwortlichen

Der Verantwortliche stellt sicher, dass die Verarbeitung rechtmäßig ist, Betroffene ordnungsgemäß informiert werden und – soweit erforderlich – Einwilligungen oder andere Rechtsgrundlagen einschließlich einer Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegen. Bei Minderjährigen sind die jeweils erforderlichen Vertretungs- und Informationspflichten zu beachten. Der Verantwortliche entscheidet außerdem über erforderliche Löschfristen und Zugriffsberechtigungen innerhalb seines organisatorischen Bereichs.

6. Vertraulichkeit und technische Organisation

Der Betreiber verpflichtet zur Vertraulichkeit und setzt angemessene technische und organisatorische Maßnahmen ein, um die Plattformdaten gegen unbefugten Zugriff, Verlust, Manipulation und unzulässige Offenlegung zu schützen. Dazu gehören insbesondere kontobezogene Zugriffskontrollen, serverseitige Berechtigungsprüfungen, geschützte Sitzungen, CSRF-Schutz für schreibende Aktionen sowie eine logische Trennung von Daten nach Benutzerkonto. Die Maßnahmen werden entsprechend Risiko und technischem Stand weiterentwickelt.

7. Unterauftragsverarbeiter

Für das Hosting des Produktivsystems wird World4You Internet Services GmbH, Wolfgang-Pauli-Straße 2, BT3, 4020 Linz, Österreich eingesetzt. Weitere technische Dienstleister dürfen eingesetzt werden, wenn dies für die Plattformleistung erforderlich ist und die datenschutzrechtlichen Voraussetzungen erfüllt sind. Wesentliche Änderungen bei Unterauftragsverarbeitern werden in geeigneter Form bekanntgegeben; soweit gesetzlich erforderlich, erhält der Verantwortliche Gelegenheit zum Widerspruch aus wichtigem datenschutzrechtlichem Grund.

Die für „Finden“ eingesetzten Karten- und Geocodierungsdienste werden ausschließlich für öffentlich bestimmte Standortdaten von Profilen, Angeboten und Terminen verwendet. Im Gold · Performancelab hinterlegte Athleten-, Test-, Wettkampf- oder Diagnostikdaten werden nicht an diese Kartendienste übermittelt.

Persönliche Lesefreigaben für volljährige Athleten

Der Auftragsverarbeiter ermöglicht zudem auf dokumentierte Weisung des Trainers individuelle, ausschließlich lesende Zugänge für Athletinnen und Athleten ab 18 Jahren. Jede Einladung betrifft genau ein trainerseitiges Personenprofil und ein bestätigtes E-Mail-Postfach; sie verwendet einen befristeten Einladungslink, passwortlose Einmalcodes und dokumentierte Aktivierungsschritte. Die E-Mail-Prüfung stellt keinen amtlichen Identitäts- oder Altersnachweis dar. Der Verantwortliche muss sicherstellen, dass der richtige Empfänger eingeladen wird, geeignete Rechtsgrundlagen nach Art. 6 und gegebenenfalls Art. 9 DSGVO vorliegen und bestehende Daten minderjähriger Personen rechtmäßig verarbeitet werden. Die Athletenansicht zeigt weder Daten Dritter noch interne Trainernotizen. Beide Seiten können den künftigen Zugriff widerrufen; ein Widerruf löscht nicht automatisch die Originaldaten des Verantwortlichen oder dessen Pflichten zur Bearbeitung von Betroffenenrechten.

Bei dokumentierten Sicherheitsvorfällen kann der Betreiber ein Trainer- oder Athletenkonto nach protokollierter administrativer Prüfung vorläufig sperren, ohne die zugrunde liegenden Trainingsdaten zu löschen. Zugriff auf Maßnahmenvermerke haben nur berechtigte Betreiberkonten. Die Sperre beendet auch bestehende authentifizierte Sitzungen. Nach Klärung kann eine Freigabe den Zugang wiederherstellen. Datenschutzpflichten der Verantwortlichen bleiben bestehen; Zugriffs-, Abrechnungs-, Vertrags- und Löschanfragen werden gesondert geprüft.

Individueller Athleten-/Erziehungsberechtigten-PDF-Download

Der Auftragsverarbeiter ermöglicht die bedarfsbezogene PDF-Berichtserstellung für Athleten und berechtigte Erziehungsberechtigte ausschließlich innerhalb einer aktiven, vom Verantwortlichen freigegebenen persönlichen Leseberechtigung. Es werden derselbe lokale A4-Querformat-PDF-Generator sowie die selbst gewählten Datengruppen und der Zeitraum verwendet. Interne Trainerkommentare, Daten anderer Personen und Gruppeninformationen werden nicht freigegeben. Optionale private Motivationsziele der Athleten bleiben gesondert gespeichert. Der Bericht wird direkt als authentifizierter Download ohne dauerhafte Berichtsdateispeicherung ausgeliefert. Die Funktion überträgt weder Verantwortlichkeiten noch berechtigt sie zur weiteren Offenlegung an Dritte.

Support nach dokumentierter Weisung

Soweit Support die vom Gold-Kunden als Verantwortlichem eingegebenen personenbezogenen Daten betrifft, wird der Betreiberzugriff auf die dokumentierte Supportanfrage sowie eine gesonderte, widerrufliche, inhaltlich und zeitlich begrenzte Freigabe beschränkt. Zweck und Maßnahmen werden protokolliert; eine Nutzung der Athletendaten für eigene Zwecke ist ausgeschlossen. Das Wiederherstellen fiktiver Beispielprofile erfolgt ausschließlich für das anfordernde Konto und stellt keine kontenübergreifende Datenweitergabe dar.

8. Unterstützung bei Betroffenenrechten und Datenschutzpflichten

schwimmtrainer.at unterstützt den Verantwortlichen im Rahmen der verfügbaren Informationen und Plattformfunktionen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit sowie bei der Erfüllung einschlägiger Pflichten zu Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen. Anfragen können an office@schwimmtrainer.at gerichtet werden.

9. Datenschutzverletzungen

Wird eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten des Verantwortlichen betrifft, informiert schwimmtrainer.at den Verantwortlichen unverzüglich, soweit dies nach Art. 33 Abs. 2 DSGVO erforderlich ist, und stellt die verfügbaren Informationen zur weiteren Bewertung bereit.

10. Rückgabe und Löschung

Der Verantwortliche kann Daten innerhalb der bereitgestellten Funktionen löschen. Nach Ende der Auftragsverarbeitung werden personenbezogene Daten nach Maßgabe der vereinbarten Produkt- und Löschlogik gelöscht oder – soweit technisch angeboten – zurückgegeben, sofern keine gesetzliche Pflicht oder zulässige Rechtsgrundlage zur weiteren Speicherung besteht.

11. Nachweise und Prüfungen

schwimmtrainer.at stellt die zur Nachweisführung erforderlichen Informationen in angemessenem Umfang zur Verfügung. Prüfungen oder Audits sind unter Wahrung von Vertraulichkeit, Sicherheit und Rechten anderer Nutzer nach vorheriger Abstimmung möglich, soweit Art. 28 DSGVO dies erfordert.

12. Einbeziehung in den Nutzungsvertrag

Diese Bedingungen sind Bestandteil der AGB/Nutzungsbedingungen, soweit der Gold-Nutzer das Performancelab zur Verarbeitung personenbezogener Daten anderer Personen nutzt. Im Übrigen gelten die AGB/Nutzungsbedingungen und die Datenschutzerklärung.

Nach eigenständiger Prüfung der gesetzlichen Vertretungsberechtigung durch den Verantwortlichen darf eine volljährige erziehungsberechtigte Person zur ausschließlich lesenden Einsicht in die Daten des minderjährigen Kindes eingeladen werden. Der Verantwortliche dokumentiert die Prüfung, stellt Rechtsgrundlagen einschließlich einer gegebenenfalls notwendigen Ausnahme nach Art. 9 DSGVO sicher und widerruft die Freigabe bei Wegfall der Berechtigung. Die private Motivationsplanung volljähriger Athleten wird getrennt von den Trainerdaten gehalten. Widerruf einer Zugangsberechtigung ist nicht gleichbedeutend mit einer Weisung zur Löschung des beim Verantwortlichen gespeicherten Datenbestands.