Auftragsbearbeitungsvereinbarung

1. Parteien und Status

Vorgesehene Parteien sind Janis Zarins als Betreiber von MyTeamTravel und der im Workspace-Vertrag bezeichnete Kunde. Dieser AVV ist als Entwurf nicht wirksam und benötigt qualifizierte Prüfung und Vereinbarung.

2. Rollen

Vorgesehen ist der Kunde als Verantwortlicher für instruierte Club-/Mitglieder-/Reisebearbeitung und MyTeamTravel als Auftragsbearbeiter. Für Kontosicherheit, Missbrauchsprävention, Providerverwaltung und Pflichten kann MyTeamTravel selbst Verantwortlicher sein. Einordnung offen.

3. Gegenstand und Dauer

Bearbeitung dient Konto-, Club-/Team- und TravelPlan-Betrieb während der Dienstlaufzeit sowie vereinbarter Rückgabe/Löschung und rechtlicher Aufbewahrung.

4. Zwecke und Weisungen

Weisungen folgen aus Vertrag, konfigurierten Funktionen und autorisierten Kundenaktionen. Bearbeitung erfolgt zur Bereitstellung, Sicherheit und Unterstützung, ausser gesetzliche Pflicht verlangt anderes.

5. Betroffene und Kategorien

• Admins, Manager, Coaches, Staff, Spieler, Minderjährige, Eltern/Familie, Fahrer, verantwortliche Personen, Eingeladene und Supportkontakte.
• Identität/Kontakt, Mitgliedschaft/Rollen/Beziehungen, Adressen/Orte, TravelPlans/Zeiten, Auswahlen/Fahrgemeinschaften, Notizen, Bestätigungen, Mitteilungen, Exporte, Fahrerzugriff, Audit/Sicherheit und Abo/Promotion.

6. Vertraulichkeit

Berechtigte Personen müssen angemessener Vertraulichkeit und Zugriffsbeschränkung unterliegen.

7. Sicherheitsmassnahmen

• Passwort-Hashing und verifizierte E-Mail.
• Rollen-, Mitgliedschafts-, Club-/Team- und Abo-Prüfungen.
• Serverseitige Schlüssel; gehashte/signierte Tokens, wo umgesetzt.
• Transportverschlüsselung durch HTTPS/Provider nach Deployment-Prüfung.
• Audit, Ablauf/Widerruf, Backups und Incident-Prozess nach finaler TOM-Prüfung.

8. Provider und Unterauftragnehmer

Entwurfsliste: Vercel, Supabase/PostgreSQL und Resend, vertraglich zu prüfen. Google Maps Platform ist bis Rollenprüfung separat. Änderungs-/Widerspruchsverfahren ist zu vereinbaren.

9. Internationale Transfers

Primäre Datenbank ist in Zürich konfiguriert; Support/Unterauftragnehmer können anderswo bearbeiten. Garantien und Transfermechanismen sind zu prüfen.

10. Unterstützung bei Rechten

Angemessene Unterstützung bei Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch unter Berücksichtigung der Bearbeitung und Weisung.

11. Vorfälle und DSFA

MyTeamTravel informiert ohne unangemessene Verzögerung nach Bestätigung eines relevanten Vorfalls und unterstützt Meldungen sowie DSFA/Behördenkonsultation. Fristen sind zu vereinbaren.

12. Rückgabe und Löschung

Aktuell 30 Tage Wiederherstellung und Soft Delete. Vollständiger Export, physischer Purge und verifizierte Backup-Rotation sind keine Garantie. Finale Weisungen/Ausnahmen/Nachweise sind zu vereinbaren.

13. Audit und Behördenanfragen

Nachweise/Audit, Vertraulichkeit, Kosten, Häufigkeit und Sicherheit benötigen finale Bedingungen. Behördenanfragen werden geprüft; Information erfolgt, soweit erlaubt.

14. Haftung und Vorrang

Haftung, Grenzen, Konflikt mit Kundenbedingungen und Vorrang sind offene Anwaltsfragen.

Anhang — technische und organisatorische Massnahmen

• Zugriffskontrolle und rollenbasierte Minimalberechtigung.
• Credential-Hashing, Verifizierung, Token-Ablauf/Widerruf und sichere Server-Secrets.
• Logging, Incident-Verfahren und Providerüberwachung.
• Datenminimierung in Read Models und Exporten.
• Soft-Delete-Wiederherstellung und geschützter Finalizer mit dokumentierter Purge-Lücke.
• Change Control, Tests und Umgebungstrennung.