Auftragsbearbeitungsvereinbarung

1. Parteien und Status

Parteien sind Janis Zarins als Betreiber von MyTeamTravel und der im Workspace-Vertrag bezeichnete Kunde. Dieser AVV gilt, wenn er für den Workspace wirksam angenommen wurde.

2. Rollen

Der Kunde ist Verantwortlicher für instruierte Club-, Mitglieder- und Reisebearbeitung; MyTeamTravel ist für diesen Umfang Auftragsbearbeiter. Für Kontosicherheit, Missbrauchsprävention, Providerverwaltung und rechtliche Pflichten kann MyTeamTravel selbst Verantwortlicher sein, wenn es diese Zwecke bestimmt.

3. Gegenstand und Dauer

Bearbeitung dient Konto-, Club-/Team- und TravelPlan-Betrieb während der Dienstlaufzeit sowie vereinbarter Rückgabe/Löschung und rechtlicher Aufbewahrung.

4. Zwecke und Weisungen

Weisungen folgen aus Vertrag, konfigurierten Funktionen und autorisierten Kundenaktionen. Bearbeitung erfolgt zur Bereitstellung, Sicherheit und Unterstützung, ausser gesetzliche Pflicht verlangt anderes.

5. Betroffene und Kategorien

• Admins, Manager, Coaches, Staff, Spieler, Minderjährige, Eltern/Familie, Fahrer, verantwortliche Personen, Eingeladene und Supportkontakte.
• Identität/Kontakt, Mitgliedschaft/Rollen/Beziehungen, Adressen/Orte, TravelPlans/Zeiten, Auswahlen/Fahrgemeinschaften, Notizen, Bestätigungen, Mitteilungen, Exporte, Fahrerzugriff, Audit/Sicherheit und Abo/Promotion.

6. Vertraulichkeit

Berechtigte Personen müssen angemessener Vertraulichkeit und Zugriffsbeschränkung unterliegen.

7. Sicherheitsmassnahmen

• Passwort-Hashing und verifizierte E-Mail.
• Rollen-, Mitgliedschafts-, Club-/Team- und Abo-Prüfungen.
• Serverseitige Schlüssel; gehashte oder signierte Tokens, wo umgesetzt.
• Transportverschlüsselung durch HTTPS und Providerkontrollen.
• Audit, Ablauf- oder Widerrufsprüfungen, Provider-Backups und Incident-Prozess.

8. Provider und Unterauftragnehmer

Die aktuelle Providerliste umfasst Vercel, Supabase/PostgreSQL und Resend. Google Maps Platform ist separat aufgeführt, weil seine Rolle von Funktion und Bearbeitungskontext abhängt. Wesentliche Provideränderungen werden, soweit erforderlich, über die aktuellen Dienstleisterinformationen mitgeteilt.

9. Internationale Transfers

Die primäre Datenbank ist in Zürich konfiguriert; Support oder Unterauftragnehmer können anderswo bearbeiten. Garantien und Transfermechanismen gelten, soweit sie nach Bearbeitungskontext und anwendbarem Recht erforderlich sind.

10. Unterstützung bei Rechten

Angemessene Unterstützung bei Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch unter Berücksichtigung der Bearbeitung und Weisung.

11. Vorfälle und DSFA

MyTeamTravel informiert ohne unangemessene Verzögerung nach Bestätigung eines relevanten Vorfalls und unterstützt Meldungen sowie DSFA/Behördenkonsultation. Fristen sind zu vereinbaren.

12. Rückgabe und Löschung

Aktuell gelten 30 Tage Wiederherstellung und danach Soft Delete. Vollständiger Self-Service-Export, physischer Purge und verifizierte Backup-Rotation sind keine technische Garantie. Weitere rechtmässige Aufbewahrungs- oder Löschweisungen werden nach anwendbarer Kundenvereinbarung und Recht behandelt.

13. Audit und Behördenanfragen

MyTeamTravel stellt angemessene Nachweise und Audit-Unterstützung unter Wahrung von Vertraulichkeit, Sicherheit, Verhältnismässigkeit und angemessenen Kostenregelungen bereit. Behördenanfragen werden geprüft; Information erfolgt, soweit rechtlich erlaubt.

14. Haftung und Vorrang

Die Kundenbedingungen regeln Haftung und allgemeine Vertragsfragen. Bei Konflikten zur instruierten Bearbeitung von Personendaten hat dieser AVV den erforderlichen Vorrang, vorbehaltlich zwingenden Rechts.

Anhang — technische und organisatorische Massnahmen

• Zugriffskontrolle und rollenbasierte Minimalberechtigung.
• Credential-Hashing, Verifizierung, Token-Ablauf/Widerruf und sichere Server-Secrets.
• Logging, Incident-Verfahren und Providerüberwachung.
• Datenminimierung in Read Models und Exporten.
• Soft-Delete-Wiederherstellung und geschützter Finalizer mit dokumentierter Purge-Lücke.
• Change Control, Tests und Umgebungstrennung.