Vertrag zur Auftragsbearbeitung
Anhang zu den AGB, Art. 9 DSG
Wenn ein Verein oder eine Trainerin beziehungsweise ein Trainer Daten von Spielenden in TacticTrain erfasst, bearbeiten wir diese Daten im Auftrag. Verantwortlich bleibt der Verein beziehungsweise die Person, die die Daten erfasst; wir handeln nach deren Weisung.
Dieser Vertrag regelt, was das konkret bedeutet. Er gilt als Anhang zu den AGB und wird mit deren Annahme wirksam. Er ist nicht nötig für Ihre eigenen Kontodaten, dafür sind wir selbst verantwortlich.
1 Parteien
Verantwortlicher
Der Verein, der ein Vereinskonto führt, oder die Trainerin beziehungsweise der Trainer, die ohne Verein Spielerdaten erfasst.
Auftragsbearbeiter
TacticTrain KlG, Gehrenweg 2a, 6243 Egolzwil, Schweiz
info@tactictrain.com
2 Gegenstand, Zweck und Dauer
Gegenstand ist der Betrieb der Plattform TacticTrain: Trainingsplanung, Mannschafts- und Spielerverwaltung, Anwesenheiten, Leistungsbeurteilungen, Kommunikation mit Spielenden und deren Erziehungsberechtigten sowie die zugehörige Mobile-App.
Zweck ist ausschliesslich die Erbringung dieser Leistung. Wir bearbeiten die Daten nicht für eigene Zwecke, geben sie nicht weiter und verkaufen sie nicht.
Die Dauer entspricht der Laufzeit des Nutzungsverhältnisses. Endet dieses, gilt Ziffer 9.
3 Kategorien von Daten und betroffenen Personen
Betroffene Personen
- • Spielende, überwiegend minderjährig
- • Erziehungsberechtigte, soweit Kontaktdaten hinterlegt sind
- • Trainerinnen, Trainer und Funktionäre des Vereins
Datenkategorien
- • Stammdaten: Name, Geburtsdatum, Trikotnummer, Position, Körpergrösse
- • Kontaktdaten: E-Mail, Telefonnummer, E-Mail der Erziehungsberechtigten
- • Leistungs- und Entwicklungsdaten: Bewertungen, Anwesenheiten, Ziele, Notizen
- • J+S-Personennummer für den BASPO-Export
- • Kleidergrössen, sofern der Verein Bestellungen erfasst
- • Profilbilder, sofern hochgeladen
- • Einwilligungen der Erziehungsberechtigten mit Zeitpunkt und Art
- • Zugangsdaten und technische Protokolldaten
Besonders schützenswerte Personendaten im Sinne von Art. 5 lit. c DSG sind nicht vorgesehen. Freitextfelder wie Notizen und Entwicklungsgespräche erlauben es dem Verantwortlichen technisch, solche Daten einzutragen, etwa Angaben zur Gesundheit. Er ist dafür verantwortlich, dies zu unterlassen oder eine eigene Grundlage dafür zu haben.
4 Weisungsbindung und Vertraulichkeit
- • Wir bearbeiten die Daten nur im Rahmen dieses Vertrags und nach Weisung des Verantwortlichen. Die Nutzung der Plattform selbst gilt als Weisung.
- • Halten wir eine Weisung für rechtswidrig, weisen wir darauf hin und dürfen ihre Ausführung aussetzen.
- • Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Diese Pflicht besteht nach Ende der Tätigkeit fort.
- • Zugriff auf Kundendaten erfolgt nur, soweit es für Betrieb, Support oder Fehlerbehebung nötig ist.
5 Technische und organisatorische Massnahmen
- • Übertragung ausschliesslich verschlüsselt (TLS), erzwungene Weiterleitung auf HTTPS
- • Passwörter nur als Hash gespeichert, Mindestanforderungen an die Passwortstärke
- • Schutz gegen automatisierte Loginversuche (Sperre nach wiederholten Fehlversuchen)
- • Zwei-Faktor-Authentisierung für administrative Zugänge verfügbar
- • Rollen- und Mannschaftsbezogene Zugriffsrechte: Trainerinnen und Trainer sehen nur ihre eigenen Mannschaften
- • Regelmässige Sicherungen der Datenbank
- • Getrennte Umgebungen für Entwicklung und Produktion
Die Massnahmen werden dem Stand der Technik angepasst. Wesentliche Verschlechterungen sind ausgeschlossen.
6 Unterauftragsbearbeiter
Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsbearbeiter zu:
| Anbieter | Leistung | Standort |
|---|---|---|
| Railway | Betrieb der Anwendung und der Datenbank | Niederlande (EU) |
| Cloudinary | Speicherung und Auslieferung von Bildern | USA |
| Brevo | Versand von E-Mails | Frankreich (EU) |
| Google Firebase | Push-Nachrichten an die Mobile-App | USA |
| Stripe | Zahlungsabwicklung (nur Rechnungsdaten des Vereins) | USA / EU |
Weitere Unterauftragsbearbeiter setzen wir nur ein, wenn wir den Verantwortlichen vorgängig informieren. Widerspricht er innert 30 Tagen aus sachlichem Grund, kann er das Nutzungsverhältnis auf den Zeitpunkt der Umstellung kündigen.
Wir verpflichten Unterauftragsbearbeiter auf ein Schutzniveau, das diesem Vertrag entspricht.
7 Bekanntgabe ins Ausland
Die Datenbank und damit der weitaus grösste Teil der Daten liegt in den Niederlanden. Hochgeladene Bilder werden in den USA gespeichert, Push-Nachrichten laufen über einen US-Anbieter.
Die USA verfügen aus Schweizer Sicht über kein gleichwertiges Datenschutzniveau. Die Übermittlung stützt sich auf die Standardvertragsklauseln der jeweiligen Anbieter. Ein Zugriff durch US-Behörden lässt sich nicht vollständig ausschliessen.
Praktischer Hinweis: Profilbilder sind freiwillig. Verzichtet ein Verein darauf, verlassen die Daten seiner Spielenden die EU nicht, mit Ausnahme der Push-Nachrichten an die App.
8 Unterstützung des Verantwortlichen
- • Betroffenenrechte: Wenden sich Spielende oder deren Erziehungsberechtigte an uns, leiten wir die Anfrage an den Verantwortlichen weiter und beantworten sie nicht selbst. Wir unterstützen ihn bei Auskunft, Berichtigung, Löschung und Herausgabe.
- • Einwilligungen: Die Plattform stellt Werkzeuge bereit, um Einwilligungen von Erziehungsberechtigten einzuholen, zu dokumentieren und zu widerrufen. Das Einholen bleibt Sache des Verantwortlichen.
- • Verletzungen der Datensicherheit: Wir melden dem Verantwortlichen jede uns bekannt gewordene Verletzung unverzüglich, spätestens innert 48 Stunden, mit den bekannten Angaben zu Art, Umfang und Folgen, und unterstützen ihn bei seiner Meldung nach Art. 24 DSG.
- • Nachweis: Auf Anfrage erteilen wir die für den Nachweis der Einhaltung dieses Vertrags nötigen Auskünfte. Vor-Ort-Kontrollen sind nach Voranmeldung und in verhältnismässigem Rahmen möglich.
9 Rückgabe und Löschung
Nach Ende des Nutzungsverhältnisses geben wir die Daten auf Verlangen in einem gängigen Format heraus oder löschen sie. Ohne Verlangen löschen wir sie nach 90 Tagen.
Ausgenommen sind Daten, die wir gesetzlich aufbewahren müssen, insbesondere Rechnungsdaten während zehn Jahren. Sicherungskopien werden im Rahmen der üblichen Aufbewahrungszyklen überschrieben.
10 Haftung und Verhältnis zu den AGB
Der Verantwortliche haftet dafür, dass er die Daten bearbeiten darf und dass die nötigen Einwilligungen vorliegen. Wir haften für die Einhaltung unserer Pflichten aus diesem Vertrag.
Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag vor, soweit es um die Bearbeitung von Daten im Auftrag geht. Im Übrigen gelten die AGB, einschliesslich der Regelungen zu Recht und Gerichtsstand.
Stand: August 2026
