Auftragsverarbeitungsvertrag (AVV)

Fassung 2026-09-29 · Stand 29. September 2026

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Fassung 2026-09-29 · Stand 29. September 2026

Dieser Vertrag wird zwischen dem im Vereinsvertrag konkret bezeichneten Verantwortlichen und Daniel Schimpf, Einzelunternehmer, Ulmenweg 9, 84375 Kirchdorf am Inn, als Auftragsverarbeiter geschlossen. Er gilt nur für den konkreten Auftrag und die darin bezeichneten Vereinsinhalte; die Löschung oder Beendigung eines einzelnen Nutzerkontos beendet ihn nicht automatisch.

1. Gegenstand, Dauer und Rang

Gegenstand ist die weisungsgebundene Verarbeitung personenbezogener Vereinsinhalte bei Bereitstellung von VereinsMomente. Beginn, Zweck und Dauer folgen dem konkret abgeschlossenen Vereinsvertrag und diesem AVV. Datenschutzpflichten, insbesondere Rückgabe, Löschung, Vertraulichkeit und Nachweise, gelten ungeachtet einer Beendigung des Hauptvertrags fort, soweit sie ihrem Zweck nach fortwirken.

2. Art, Zweck, Daten und betroffene Personen

• Zwecke: Vereinsverwaltung, Rollen, Beiträge, Medien, Freigaben, beauftragte externe Veröffentlichungen, transaktionale Kommunikation sowie vereinbarte KI- und Diktatfunktionen.
• Daten: Vereins-, Kontakt-, Rollen-, Inhalts-, Medien-, Kommunikations-, Integrations-, Nutzungs- und technische Protokolldaten. Übliche Vereins-, Mannschafts-, Spiel-, Trainings- und Veranstaltungsfotos sind umfasst; sie sind nicht allein deshalb eine besondere Kategorie personenbezogener Daten.
• Ausgeschlossene Datenkategorien: Gesundheitsdaten und andere besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO sind nicht Gegenstand dieses Auftrags. Dazu gehören zum Beispiel Verletzungen und Diagnosen (etwa „fällt mit Kreuzbandriss aus“ oder „nach Gehirnerschütterung pausiert“), Krankheiten, Behinderungen, Reha- oder Therapieangaben, Schwangerschaft, Angaben zu Religion oder Weltanschauung, ethnischer Herkunft, politischer Meinung, Gewerkschaftszugehörigkeit, Sexualleben oder sexueller Orientierung, genetische oder biometrische Daten sowie Fotos oder Dokumente, deren erkennbarer Inhalt solche Angaben zeigt, zum Beispiel ärztliche Unterlagen oder eine Verletzungsbehandlung.
• Weisung: Der Verantwortliche stellt keine solchen Angaben ein und weist seine berechtigten Nutzer an, dies zu unterlassen; das gilt für Freitexte, Beitragsentwürfe, Bildunterschriften, Dateinamen, Diktate, Fotos, Videos und andere Medien, KI-Eingaben (Prompts) sowie importierte oder übernommene Angaben. VereinsMomente prüft Inhalte nicht automatisch auf solche Angaben und sagt keine zuverlässige Erkennung zu. Werden solche Angaben erkennbar, informiert VereinsMomente den Verantwortlichen; der Verantwortliche entfernt sie oder weist ihre Löschung oder Einschränkung an.
• Betroffene: Mitglieder, Mitarbeitende, Funktionsträger, Sportlerinnen und Sportler, Kinder und Jugendliche, Sorgeberechtigte, Zuschauende, Sponsoren, Gegner sowie sonstige in Inhalten genannte oder abgebildete Personen.
• Zeitweilige Ablage, berechtigtes Wiederabrufen und anschließende Löschung erzeugter KI-Ergebnisse und Diktat-Transkripte (Beitragstexte, Diktat-Texte, Spielgrafiken, KI-Bildvorlagen) einschließlich Zuordnungs-Metadaten und einer kurzen Textvorschau für 24 Stunden ab Speicherung. Für Vereinsinhalte geschieht dies weisungsgebunden im Rahmen der beauftragten Funktion; ein eigener neuer Inhaltszweck entsteht dadurch nicht.

3. Weisungen und berechtigte Personen

VereinsMomente verarbeitet Vereinsinhalte ausschließlich im Rahmen dieses Vertrags, des Unions- oder Mitgliedstaatenrechts und dokumentierter Weisungen. Weisungen können durch die Nutzung freigegebener Funktionen oder in Textform erfolgen. Weisungsberechtigt sind nur die vom Verantwortlichen benannten oder nach dem Rollen- und Berechtigungskonzept tatsächlich befugten Personen. Eine technische Rolle ersetzt keinen Nachweis der Vertretungsmacht zum Vertragsabschluss.

Weisungen können auch die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation betreffen; dabei bleiben die Voraussetzungen der Art. 44 ff. DSGVO unberührt. Muss VereinsMomente aufgrund des Rechts der Union oder eines Mitgliedstaats abweichend von einer Weisung verarbeiten, informiert es den Verantwortlichen vor der Verarbeitung über diese rechtliche Verpflichtung, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

Erscheint eine Weisung datenschutzwidrig, informiert VereinsMomente den Verantwortlichen unverzüglich und darf ihre Ausführung bis zur Klärung aussetzen.

4. Pflichten von VereinsMomente

• Nur Personen einsetzen, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
• Angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO entsprechend der beigefügten TOM-Anlage treffen und deren Wirksamkeit prüfen.
• Den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei Betroffenenrechten sowie den Pflichten nach Art. 32 bis 36 DSGVO unterstützen.
• Datenschutzverletzungen unverzüglich nach Kenntnis mit den verfügbaren erforderlichen Informationen melden und fehlende Informationen schrittweise nachreichen; gesetzliche Fristen des Verantwortlichen bleiben unberührt.
• Nach Abschluss der Leistungen Daten nach Wahl des Verantwortlichen zurückgeben oder löschen und vorhandene Kopien löschen, sofern keine unions- oder mitgliedstaatliche Aufbewahrungspflicht besteht.

5. Unterstützung bei Betroffenenrechten

VereinsMomente leitet erkennbare Anfragen zu Vereinsinhalten an den Verantwortlichen weiter und unterstützt nach Art und Umfang des Auftrags. Der persönliche JSON-Export ist kein vollständiger Export aller Vereinsdaten oder Originalmedien. Erforderliche Such-, Rückgabe-, Berichtigungs-, Einschränkungs- und Löschmaßnahmen werden für den konkreten Auftrag abgestimmt.

Soweit temporäre KI-Ergebnisse und zugehörige personenbezogene Metadaten noch vorhanden sind, sind sie als zusätzliche Datenquelle bei Betroffenenanfragen zu berücksichtigen. Dies gilt auch, wenn die reguläre Abruffrist bereits abgelaufen ist, die physische Bereinigung aber noch aussteht. Daraus folgt keine Verlängerung der regulären Wiederherstellungsfunktion.

6. Unterauftragnehmer

Eine allgemeine Genehmigung gilt ausschließlich für die in der jeweils vereinbarten Unterauftragnehmeranlage konkret bezeichneten Empfänger und Leistungen. VereinsMomente informiert vor einer beabsichtigten Hinzuziehung oder Ersetzung so rechtzeitig, dass der Verantwortliche aus sachlich begründeten Datenschutzgründen tatsächlich widersprechen kann. Bis zur Klärung erfolgt keine stille Einbeziehung eines unbekannten Anbieters für den betroffenen Auftrag.

Unterauftragnehmer werden, soweit Art. 28 DSGVO anwendbar ist, mindestens gleichwertig verpflichtet. Direkte Vertragspartner, weitere Unterauftragnehmer in einer Leistungskette und eigenständig verantwortliche Empfänger wie Meta-Dienste werden in der Anlage unterschieden.

Die Beauftragung weiterer Auftragsverarbeiter lässt die Verantwortung von VereinsMomente gegenüber dem Verantwortlichen für die Erfüllung der Datenschutzpflichten dieser Unterauftragnehmer unberührt.

7. Drittlandübermittlungen

Eine Verarbeitung außerhalb des EWR, insbesondere in den USA, findet bei Lovable und dessen Unterauftragsverarbeitern statt oder ist dort möglich; dazu gehören Supabase (Lovable Cloud), Cloudflare (Edge-Routing, DNS, Workers; weltweit) und die KI-Modellanbieter Google und OpenAI. Für KI-Funktionen gilt: Der Einstieg in das Lovable AI Gateway erfolgt in der EU; die eigentliche Verarbeitung (Inferenz) findet bei Endpunkten der Modellanbieter in den USA statt. Die übermittelten Inhalte gelangen dabei tatsächlich in die USA.

Für Übermittlungen durch Lovable und die Weitergabe an dessen Unterauftragsverarbeiter, einschließlich der KI-Modellanbieter, sind nach § 8 Abs. 2 des Lovable-Auftragsverarbeitungsvertrags die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), Modul 3, gegebenenfalls ergänzt um das UK Addendum einbezogen; für diesen Auftrag, in dem VereinsMomente Auftragsverarbeiter des Verantwortlichen ist, gilt Modul 3. Lovable ist nicht unter dem EU-US Data Privacy Framework zertifiziert; diese Übermittlungen stützen sich nicht auf einen Angemessenheitsbeschluss, sondern auf die genannten Standardvertragsklauseln.

Der von Lovable für transaktionale E-Mails eingesetzte Zustelldienstleister ist nicht projektbezogen benannt; eine darüber hinausgehende projektbezogene Übermittlungsgarantie wird hierfür nicht behauptet. Eine ausschließliche EU-Verarbeitung wird nicht zugesagt; die Regionsangabe Irland gilt nur für die Projektdatenbank.

8. Nachweise und Prüfungen

VereinsMomente stellt die zur Prüfung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht angemessene Prüfungen einschließlich Inspektionen. Prüfungen werden grundsätzlich rechtzeitig abgestimmt und auf das erforderliche Maß beschränkt. Bei konkretem Sicherheitsvorfall, behördlicher Vorgabe oder sonstiger Dringlichkeit gilt keine starre Vorlaufzeit von 30 Tagen.

9. Rückgabe, Datenmitnahme und Löschung

Nach vertraglichem Ende bleiben rechtmäßig verfügbare Vereinsdaten für mindestens 30 Kalendertage zur Datenmitnahme abrufbar; der konkrete letzte Abruftag wird mitgeteilt. Soweit gesetzliche Übergangsregeln längere Fristen vorsehen, endet die Abrufmöglichkeit nicht vor deren Ablauf. Die Bereitstellung soll über einen gesicherten Export nach Anforderung per E-Mail oder Kontaktformular erfolgen und verfügbare Originalmedien sowie zugehörige strukturierte Vereins-, Beitrags- und Mediendaten in einem gängigen maschinenlesbaren Format umfassen.

Nach der maßgeblichen Abruffrist werden die im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht und verbleibende Kopien gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Eine vorzeitige Löschung erfolgt nur auf wirksame Weisung oder aufgrund einer vorrangigen Pflicht. Aufbewahrte Daten werden gesperrt beziehungsweise auf den zulässigen Zweck beschränkt.

Für die temporäre Ablage erzeugter KI-Ergebnisse gilt abweichend eine Abruffrist von 24 Stunden ab Speicherung. Ein Wiederabruf verlängert sie nicht, und die allgemeine Datenmitnahmephase nach Vertragsende verlängert sie ebenfalls nicht. Nach Fristablauf wird der Abruf verweigert; die physische Entfernung erfolgt beim nächsten erfolgreichen Bereinigungslauf. Getrennt davon bleiben bewusst in Beiträge, Vorlagen oder die Mediathek übernommene Vereinsinhalte sowie Kontingent-, Nutzungs- und Vertragsnachweise und archivierte Nachweise des früheren Abrechnungssystems mit ihren eigenen Regeln. Eine Löschung aus Sicherungskopien oder bei Anbietern exakt nach 24 Stunden wird nicht zugesagt.

10. Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und dem Hauptvertrag. Änderungen bedürfen der Textform. Unwirksame Einzelregelungen berühren den übrigen Vertrag nicht. Es gilt deutsches Recht, soweit zwingendes Datenschutzrecht nicht entgegensteht.

11. Einbezogene Anlagen

• Technische und organisatorische Maßnahmen: 2026-09-25.
• Unterauftragnehmer: 2026-09-29.

Anlage: Technische und organisatorische Maßnahmen

Fassung 2026-09-25 · Stand 25. September 2026

A. Im Anwendungscode belegte Maßnahmen

• Authentifizierte Bereiche und serverseitige Funktionsaufrufe mit gebundener Nutzeridentität.
• Mandanten- und Rollenprüfungen für zentrale Vereinsfunktionen; gesonderter Schutz vor Entzug der letzten Administratorrolle.
• Private Medienablage mit zeitlich begrenzten signierten Anzeigeadressen und serverseitigen Typ-, Größen- und Vereinsquota-Prüfungen.
• Freigabezustände und erneute serverseitige Prüfung unmittelbar vor Instagram- oder Facebook-Aufrufen; relevante Änderungen machen eine Freigabe ungültig oder sind nach externer Veröffentlichung gesperrt.
• Serverseitige, idempotente Vormerkung von Bild-, Text- und Videokontingenten vor Provideraufrufen mit Schutz gegen parallele Aufträge; Zählung erst bei erfolgreichem Ergebnis, Freigabe der Vormerkung bei Fehlern und Recovery abgebrochener Vorgänge. Nach Ablauf der Probe serverseitige Sperre schreibender, KI- und Autopilot-Aktionen.
• Begrenzte öffentliche Kontaktanfragen mit globaler, datenbankgestützter Rate-Limit-Reservierung und begrenztem Request-Body.
• Versionierte Rechtsdokumente und append-only Annahmenachweise für die derzeit geltenden Fassungen; Entwürfe bleiben getrennt und nicht akzeptierbar.

A2. Maßnahmen zur temporären KI-Ergebnisablage

• Serverseitige Prüfung der ursprünglichen Identität zusammen mit den aktuell erforderlichen kontextbezogenen Rechten an Verein, Beitrag oder Vorlage.
• Direkte anonyme oder angemeldete Clientzugriffe auf die Ergebnistabelle sind gesperrt; der Zugriff läuft ausschließlich über geprüfte Serverfunktionen.
• Begrenzte Ergebnisliste nur mit Metadaten und kurzer Vorschau; der vollständige Inhalt wird nur beim gezielten berechtigten Einzelabruf geladen.
• Feste Abruffrist von 24 Stunden ohne Verlängerung durch wiederholten Abruf.
• Ergebnisablage und erfolgreiche Kontingentzählung sind gekoppelt; scheitert die Ablage, wird keine Einheit gezählt. Diktate werden ohne Kontingentzählung abgelegt.
• Ein erneuter reiner Abruf löst weder eine neue KI-Erzeugung noch eine weitere Kontingentzählung aus.
• Regelmäßige Bereinigung abgelaufener Einträge über den bestehenden Zeitplan.

C. Grundsätze für die Fortentwicklung

Maßnahmen werden risikoorientiert überprüft und dürfen fortentwickelt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert. Geplante oder unbestätigte Maßnahmen gelten nicht allein durch ihre Aufnahme in diese Anlage als umgesetzt.

Anlage: Unterauftragnehmer und weitere Empfänger

Fassung 2026-09-29 · Stand 29. September 2026

Diese Anlage unterscheidet Auftragsverarbeiter, weitere Unterauftragsverarbeiter einer Leistungskette und eigenständig verantwortliche Empfänger. Die Einordnung als Unterauftragsverarbeiter erfolgt nur, soweit sie vertraglich belegt ist.

1. Lovable / Lovable Cloud

• Rolle/Zweck: Plattformbereitstellung, Anwendungslaufzeit, Datenbank, Authentifizierung und Dateispeicher. Lovable ist insoweit Unterauftragsverarbeiter nach dem Lovable-Auftragsverarbeitungsvertrag (Fassung 17.11.2025) und setzt eigene Unterauftragsverarbeiter nach Maßgabe dieses Vertrags ein.
• Daten: Konto-, Vereins-, Inhalts-, Medien-, Integrations- und technische Daten entsprechend der genutzten Funktion; zusätzlich temporär gespeicherte KI-Ergebnisse, deren Zuordnungsdaten und kurze Vorschauen.
• Weiterer Unterauftragsverarbeiter: Supabase betreibt Datenbank, Authentifizierung und Dateispeicher von Lovable Cloud als von Lovable verwalteter Unterauftragsverarbeiter. Eine unmittelbare eigene Vertragsbeziehung zwischen VereinsMomente und Supabase besteht nicht.
• Region/Transfer: Projektdatenbank in der Region Irland (EU); diese Angabe gilt nur für die Projektdatenbank. Für weitere Komponenten und Unterauftragsverarbeiter von Lovable ist eine Verarbeitung oder ein Zugriff außerhalb des EWR möglich. Für Übermittlungen durch Lovable und die Weitergabe an dessen Unterauftragsverarbeiter sind nach § 8 Abs. 2 des Lovable-Auftragsverarbeitungsvertrags die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), Modul 3, gegebenenfalls ergänzt um das UK Addendum einbezogen. Lovable ist nicht unter dem EU-US Data Privacy Framework zertifiziert; diese Übermittlungen stützen sich nicht auf einen Angemessenheitsbeschluss, sondern auf die genannten Standardvertragsklauseln.
• Vertragsgrundlage: Der Lovable-Auftragsverarbeitungsvertrag (Fassung 17.11.2025) ist nach der öffentlichen DPA-Seite von Lovable im gebuchten Business-Tarif einbezogen. Eine Erstreckung auf gesondert geregelte Zusatzdienste wird daraus nicht abgeleitet.
• Abgrenzung: Weisungsgebunden verarbeitet werden nur die personenbezogenen Kundendaten des Auftrags. Service-, Nutzungs- und Protokolldaten, die beim Betrieb der Plattform anfallen, kann Lovable nach § 9 des Lovable-Auftragsverarbeitungsvertrags auch für eigene Zwecke verarbeiten; insoweit ist Lovable kein weisungsgebundener Unterauftragnehmer. Diese Daten sind nicht mit Kundeninhalten gleichzusetzen.

2. Lovable AI Gateway und Modellanbieter

• Rolle/Zweck: Weiterleitung und Verarbeitung von Text-, Bild- und Audiodaten für KI-Funktionen an den für die jeweilige Funktion angebundenen Modellanbieter: Google (Gemini-Modelle für Texte und Bilder) und OpenAI (Bildmodelle und Transkription von Diktaten). Stand der Modellauswahl: 29.09.2026; sie kann sich ändern.
• Daten: Prompts, Kontext, übermittelte Medien und Logos, Audiodaten, generierte Antworten sowie technische Nutzungs- und Fehlerdaten.
• Abgrenzung: Die reine Wiederherstellung eines bereits gespeicherten Ergebnisses erfolgt aus der Cloud-Anwendungsdatenbank und löst keine erneute Modellanfrage über das Gateway aus. Eine bereits erfolgte Verarbeitung und mögliche Aufbewahrung beim Anbieter bleiben davon unberührt.
• Region/Transfer: Der Einstieg in das Lovable AI Gateway erfolgt in der EU; die eigentliche Verarbeitung (Inferenz) findet bei Endpunkten der Modellanbieter in den USA statt. Die übermittelten Inhalte gelangen dabei tatsächlich in die USA.
• Einordnung: Die Modellanbieter sind Unterauftragsverarbeiter von Lovable. Für die Übermittlung sind nach § 8 Abs. 2 des Lovable-Auftragsverarbeitungsvertrags die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), Modul 3, gegebenenfalls ergänzt um das UK Addendum einbezogen. Lovable ist nicht unter dem EU-US Data Privacy Framework zertifiziert; diese Übermittlungen stützen sich nicht auf einen Angemessenheitsbeschluss, sondern auf die genannten Standardvertragsklauseln.
• Nutzung: Nach Auskunft von Lovable untersagen die Vereinbarungen mit den Modellanbietern das Training mit Kundeninhalten und beschränken deren Nutzung auf die Leistungserbringung; auch Lovable nutzt Kundeninhalte standardmäßig nicht zum Training eigener Modelle. Individuelle Aufbewahrungsfristen der Modellanbieter sind nicht bestätigt; eine bestimmte Speicherdauer wird daher nicht zugesagt.

3. Lovables verwalteter Dienst für transaktionale E-Mails

• Rolle/Zweck: Versand von Einladungs-, Freigabe-, Sicherheits- und sonstigen erforderlichen Nachrichten.
• Daten: Empfängeradresse, Name, Vorlagenkennung, notwendiger Nachrichteninhalt und Zustellinformationen.
• Rechtsträger/Region/Transfer: Versand über den von Lovable bereitgestellten E-Mail-Dienst (@lovable.dev/email-js) an einen von Lovable eingesetzten Zustelldienstleister. Lovable hat den konkreten Zustelldienstleister für dieses Projekt nicht benannt; maßgeblich ist Lovables veröffentlichte Unterauftragsverarbeiterliste (trust.lovable.dev/subprocessors). Verarbeitung außerhalb des EWR möglich. Eine projektbezogene Übermittlungsgarantie wird hierfür nicht behauptet.

4. Cloudflare (Ausführung und Auslieferung)

• Rolle/Zweck: Die Anwendung wird auf Cloudflare-Infrastruktur ausgeführt und ausgeliefert, einschließlich Netzwerk- und Angriffsschutz. Cloudflare ist in Lovables veröffentlichter Unterauftragsverarbeiterliste als Unterauftragsverarbeiter für Edge-Routing, DNS und Workers (weltweit) aufgeführt und wird daher als weiterer Unterauftragsverarbeiter in der Leistungskette von Lovable geführt.
• Daten: Verbindungs-, Request-, Geräte- und technische Fehlerdaten.
• Region/Transfer: weltweites Netz; Verarbeitung außerhalb des EWR möglich. Keine EU-Zusage. Für die Weitergabe durch Lovable an Cloudflare gelten die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), Modul 3, gegebenenfalls ergänzt um das UK Addendum nach § 8 Abs. 2 des Lovable-Auftragsverarbeitungsvertrags.

5. Browser-Push-Dienste (eigenständige Empfänger)

• Rolle/Zweck: Zustellung freiwillig aktivierter Push-Mitteilungen an das Gerät. Der Push-Dienst wird vom Browser des Nutzers bestimmt und nicht von VereinsMomente ausgewählt oder beauftragt; er wird daher nicht als Unterauftragnehmer geführt.
• Daten: Push-Endpoint und Zustellmetadaten; der Mitteilungsinhalt wird nach dem Web-Push-Verfahren verschlüsselt übergeben.

6. Meta-Dienste (eigenständige Empfänger)

• Rolle/Zweck: Vom Verantwortlichen gewählte Veröffentlichung auf Instagram und Facebook sowie Verwaltung der Verbindung.
• Daten: verbundene Konto- oder Seitenkennung, Token, ausgewählte Beiträge, Texte und Medien sowie Veröffentlichungsstatus.
• Einordnung: Meta Platforms Ireland Limited verarbeitet die vom Verantwortlichen zur Veröffentlichung übermittelten Daten als eigenständig Verantwortlicher und ist kein Unterauftragsverarbeiter von VereinsMomente.