Datenschutzinformationen für Vereinsmitglieder nach Art. 13 DSGVO
Nutzung des Sportision Webportals im Tennisclub
Stand: Juni 2026
Willkommen beim Tennisclub R.C. Sport e.V. Leipzig. Zur Organisation des Vereinsbetriebs
nutzen wir das Sportision Webportal (nachfolgend „Sportision“, „Webportal“ oder „Plattform“).
Über Sportision können insbesondere die Mitgliederverwaltung, Platzbuchungen und die
Rechnungsstellung abgewickelt werden.
Die Datenschutz-Grundverordnung (DS-GVO) verpflichtet uns, Sie zum Zeitpunkt der
Datenerhebung über die Rahmenbedingungen der Verarbeitung zu informieren. Diese
Datenschutzinformationen klären Sie darüber auf, welche personenbezogenen Daten wir im
Zusammenhang mit Sportision verarbeiten, zu welchen Zwecken dies erfolgt und welche
Rechte Ihnen zustehen.
A. Allgemeine Informationen
1. Verantwortlicher für die Datenverarbeitung
Verantwortlicher im Sinne der DS-GVO ist:
Tennisclub R.C. Sport e.V. Leipzig
Am Elsterwehr 2
04109 Leipzig
Vertreten durch: Dr. Kerstin Laufs
E-Mail: info@rcsport-leipzig.de
2. Kontakt für Datenschutzanfragen
Datenschutzanfragen können Sie an info@rcsport-leipzig.de richten.
3. Ihre Betroffenenrechte
Sie haben ein Recht auf Auskunft (Art. 15 DS-GVO), Berichtigung (Art. 16 DS-GVO),
Löschung (Art. 17 DS-GVO), Einschränkung der Verarbeitung (Art. 18 DS-GVO) und
Datenübertragung (Art. 20 DS-GVO), sofern die jeweils gesetzlich definierten
Voraussetzungen erfüllt sind und keine Ausnahmeregelung greift. Sie können diese Rechte
jederzeit geltend machen. Der Erfüllung können allerdings gesetzliche Vorgaben wie
Aufbewahrungspflichten entgegenstehen.
Wenn wir personenbezogene Daten zur Wahrung unserer berechtigten Interessen nach Art.
6 Abs. 1 f) DS-GVO verarbeiten, steht Ihnen ein Widerspruchsrecht nach Art. 21 DS-GVO zu.
Soweit besondere Gründe vorliegen, die sich aus Ihrer besonderen Situation ergeben und
wir kein überwiegendes Interesse an der Verarbeitung haben, werden wir die Verarbeitung
im Falle Ihres Widerspruchs beenden.
Sofern wir für bestimmte Verarbeitungen eine Einwilligung benötigen, fragen wir diese vorher
ausdrücklich ab. Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft
widerrufen werden. Die bis dahin erfolgte Datenverarbeitung wird hiervon nicht
beeinträchtigt.Der Widerruf der Einwilligung kann uns gegenüber z. B. per E-Mail an info@rcsport-
leipzig.de oder schriftlich per Brief an die oben genannte Anschrift erklärt werden.
Sie haben außerdem das Recht, sich jederzeit bei der zuständigen
Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DS-GVO). Zuständig ist in der Regel
die Aufsichtsbehörde Ihres üblichen Aufenthaltsortes oder unseres Vereinssitzes.
4. Empfänger der Daten
Ihre Daten werden bei uns von den jeweils zuständigen Personen zur Kenntnis genommen
und verwendet. Da Daten in IT-Systemen gespeichert werden, kann es außerdem dazu
kommen, dass IT-Dienstleister im Rahmen von Hosting, Wartung, Fehlerbehebung und
Support Kenntnis von personenbezogenen Daten erlangen, soweit dies erforderlich ist.
Sofern wir im Rahmen unserer Verarbeitung Daten gegenüber anderen Personen und
Unternehmen (Auftragsverarbeitern oder Dritten) offenbaren, sie an diese übermitteln oder
ihnen sonst Zugriff auf die Daten gewähren, erfolgt dies nur auf Grundlage einer gesetzlichen
Erlaubnis, Ihrer Einwilligung, einer rechtlichen Verpflichtung oder auf Grundlage unserer
berechtigten Interessen. Berechtigte Interessen liegen insbesondere vor, wenn wir
Dienstleister einsetzen, die uns eine effiziente und effektive Erfüllung unserer
Vereinsaufgaben ermöglichen.
Es besteht die Möglichkeit, dass rechtlich relevante Dokumente und die darin enthaltenen
personenbezogenen Daten von Aufsichtsbehörden, Gerichten, Rechtsanwälten oder
Steuerberatern eingesehen werden.
5. Datenübertragung in ein Drittland
Wir beabsichtigen, personenbezogene Daten im Zusammenhang mit Sportision
grundsätzlich innerhalb der Europäischen Union (EU) oder des Europäischen
Wirtschaftsraums (EWR) zu verarbeiten.
Nach den uns derzeit vorliegenden Informationen werden die Daten des Sportision-
Webportals einschließlich der Datensicherungen ausschließlich in der AWS-Region „eu-
central-1“ in Frankfurt am Main, Deutschland, verarbeitet und gespeichert. Support, Wartung
und Administration erfolgen nach aktueller Auskunft des Anbieters ausschließlich von
Standorten innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums.
Eine Übermittlung personenbezogener Daten in sogenannte Drittländer, also Länder
außerhalb der EU oder des EWR, ist im Zusammenhang mit dem Betrieb des Webportals
nach derzeitigem Stand daher nicht vorgesehen.
Sollten künftig weitere Dienstleister eingesetzt werden oder sich Verarbeitungsorte ändern,
werden wir diese Datenschutzinformationen entsprechend anpassen.
6. Speicherdauer
Wir speichern personenbezogene Daten grundsätzlich nur so lange, wie dies für die
jeweiligen Zwecke erforderlich ist. Anschließend löschen oder anonymisieren wir die Daten,
sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Konkrete Lösch- und
Aufbewahrungsfristen finden Sie unter Abschnitt D sowie in den jeweiligen
Verarbeitungsvorgängen unter Abschnitt B.
7. Automatisierte Entscheidungen / Profiling
Automatisierte Entscheidungen im Sinne von Art. 22 DS-GVO einschließlich Profiling finden
im Rahmen der Nutzung von Sportision durch den Tennisclub nicht statt.
8. Quelle der Daten
Wir verarbeiten personenbezogene Daten, die
- Sie uns im Rahmen Ihrer Mitgliedschaft und der Nutzung der Vereinsangebote
zur Verfügung stellen,
- im Rahmen der Vereinsverwaltung anfallen, z. B. Buchungen,
Abrechnungsdaten, Organisationsdaten,
- aus Mitgliedsanträgen, SEPA-Mandaten oder sonstigen vereinsbezogenen
Unterlagen übernommen werden, oder
- von berechtigten Personen im Verein in Sportision erfasst werden.
Nach aktuellem Stand können Mitglieder ihre Daten im Sportision-Webportal nicht
selbst anlegen oder ändern. Die Anlage und Änderung von Mitgliederdaten erfolgt
durch die hierfür berechtigten Administratoren des Vereins, insbesondere durch den
Vorstand und die für die Mitgliederdatei zuständigen Beigeordneten.
B. Welche Daten werden im Zusammenhang mit Sportision verarbeitet
1. Bereitstellung und Nutzung der Plattform (Nutzerkonto, Zugang, Authentifizierung)
Zweck der Verarbeitung
Wir verarbeiten personenbezogene Daten, um Ihnen die Nutzung des Sportision Webportals
zu ermöglichen. Dies umfasst die Einrichtung und Verwaltung von Nutzerkonten, die
Authentifizierung beim Login, die Verwaltung von Rollen und Berechtigungen sowie die
technische Bereitstellung der Plattform.
Nach aktuellem Stand dient das Nutzerkonto insbesondere der Nutzung der
Plattformfunktionen, etwa der Platzbuchung und der Einsicht in vereinsbezogene
Informationen. Die Anlage und Änderung von Mitgliederdaten erfolgt derzeit nicht durch die
Mitglieder selbst, sondern durch hierzu berechtigte Administratoren des Vereins.
Welche Daten werden verarbeitet
Insbesondere:
- Name, Vorname
- Kontaktdaten, z. B. E-Mail-Adresse, Telefonnummer, Anschrift
- Zugangsdaten, z. B. Benutzername, Passwort beziehungsweise Passwort-Hash,
Authentifizierungs-Tokens
- Rollen- und Berechtigungsdaten, z. B. Mitglied, Trainer, Vorstand, Administrator
- technische Protokolldaten zu Login und Zugriffen, soweit erforderlich, z. B. Zeitpunkt,
technische Ereignisse, Fehlermeldungen und sicherheitsrelevante Hinweise
Weshalb ist die Verarbeitung erlaubt
Die Zulässigkeit richtet sich nach
- Art. 6 Abs. 1 b) DS-GVO, soweit die Verarbeitung zur Durchführung des
Mitgliedschaftsverhältnisses und zur Nutzung der Plattformfunktionen erforderlich ist
- Art. 6 Abs. 1 f) DS-GVO, soweit Protokoll- und Sicherheitsdaten zur Gewährleistung
der IT-Sicherheit, zur Missbrauchsprävention und zur stabilen Bereitstellung
verarbeitet werden
Empfänger
- Vereinsinterne berechtigte Stellen nach Rollen- und Berechtigungskonzept
- Sportision GmbH als Auftragsverarbeiter (siehe Abschnitt C)
- ggf. weitere IT-Dienstleister von Sportision als Unterauftragsverarbeiter (siehe
Abschnitt C)
Speicherdauer
- Deaktivierung des Nutzerkontos bei Austritt oder Ende der Berechtigung: spätestens
innerhalb von 14 Tagen
- Löschung des Nutzerkontos: 3 Monate nach Deaktivierung
- reduzierter Nachweisdatensatz, soweit erforderlich (z. B. Name, Zeitraum der
Mitgliedschaft, Status zu offenen Forderungen): bis zum Ablauf der regelmäßigen
Verjährung, regelmäßig 3 Jahre ab Ende des Jahres des Austritts, sofern keine
längeren gesetzlichen Pflichten greifen
2. Mitgliederverwaltung (Modul „MGV“)
Zweck der Verarbeitung
Wir verarbeiten personenbezogene Daten zur Verwaltung der Mitgliedschaft und zur
Organisation des Vereinsbetriebs. Dies umfasst insbesondere Mitgliederstammdaten,
Kontaktdaten, Mitgliedsstatus, Gruppenzuordnungen und die Verwaltung von
Berechtigungen.
Welche Daten werden verarbeitet
Insbesondere:
- Stammdaten und Kontaktdaten, z. B. Name, Anschrift, E-Mail-Adresse,
Telefonnummer
- Mitgliedschaftsdaten, z. B. Eintritt, Austritt, Status, Beitragsgruppe, vereinsinterne
Kennziffern
- Organisationsdaten, z. B. Team- oder Trainingsgruppenzuordnung, Berechtigungen
- interne Verwaltungsvermerke oder Notizen, soweit solche Felder im Portal genutzt
werden und dies für die Mitgliederverwaltung erforderlich ist; Gesundheitsdaten oder
vergleichbare sensible Angaben sollen dort nicht erfasst werden
Weshalb ist die Verarbeitung erlaubt
Die Zulässigkeit richtet sich nach
- Art. 6 Abs. 1 b) DS-GVO, soweit die Verarbeitung für die Durchführung des
Mitgliedschaftsverhältnisses erforderlich ist
- Art. 6 Abs. 1 f) DS-GVO, soweit die Verarbeitung der effizienten Vereinsorganisation
dient und keine überwiegenden Interessen der betroffenen Person entgegenstehen
Empfänger
- Vereinsinterne berechtigte Stellen, insbesondere Vorstand, Kasse, Verwaltung sowie
die für die Mitgliederdatei zuständigen Beigeordneten, soweit jeweils erforderlich
- Sportision GmbH als Auftragsverarbeiter
- ggf. Unterauftragsverarbeiter von Sportision (siehe Abschnitt C)Speicherdauer
- während der Mitgliedschaft
- nach Austritt: Löschung oder Anonymisierung der nicht mehr erforderlichen Daten
grundsätzlich nach 3 Monaten, sofern keine Aufbewahrungs- oder Nachweispflichten
entgegenstehen
- Nachweise, die zur Abwehr oder Durchsetzung von Ansprüchen erforderlich sein
können: regelmäßig bis zum Ablauf der Verjährung, in der Regel 3 Jahre ab Ende des
Jahres der letzten Relevanz
- Abrechnungs- und Belegdaten siehe Abschnitt B.4 und Abschnitt D
3. Platzbuchungen (Modul „PBG“)
Zweck der Verarbeitung
Wir verarbeiten personenbezogene Daten, um die Nutzung der Tennisplätze zu organisieren.
Dies umfasst die Erstellung, Verwaltung und Dokumentation von Platzbuchungen sowie die
Vermeidung von Doppelbuchungen und die Nachvollziehbarkeit der Platzbelegung.
Welche Daten werden verarbeitet
Insbesondere:
- Buchungsdaten, z. B. Datum, Uhrzeit, Platz und Dauer
- Zuordnungsdaten, z. B. Mitglied und ggf. Spielpartner, soweit im System abgebildet
Angaben dazu, ob eine Buchung mit einem Gast erfolgt, soweit dies für die
Vereinsorganisation oder Abrechnung erforderlich ist
- Status- und Änderungsdaten, z. B. Storno oder Umbuchung
- ggf. Hinweise zur Buchung, soweit solche Angaben im Portal genutzt werden und
erforderlich sind
Weshalb ist die Verarbeitung erlaubt
Die Zulässigkeit richtet sich nach
- Art. 6 Abs. 1 b) DS-GVO, soweit die Verarbeitung zur Erbringung der
vereinsbezogenen Leistungen und zur Durchführung der Buchung erforderlich ist
- Art. 6 Abs. 1 f) DS-GVO, soweit eine weitergehende Dokumentation für Organisation,
Konfliktklärung und Missbrauchsvermeidung erforderlich ist
Empfänger
- Vereinsinterne berechtigte Stellen, insbesondere Platzwart, Sportwart, Verwaltung
- Sportision GmbH als Auftragsverarbeiter
- ggf. Unterauftragsverarbeiter von Sportision
Speicherdauer
- personenbezogene Buchungsdaten: 12 Monate
- anschließend Löschung oder Anonymisierung, sofern keine Einzelfallgründe eine
längere Aufbewahrung erfordern
- Soweit wir Statistiken zur Platzbelegung oder zur Nutzung der Vereinsangebote
erstellen, erfolgt dies nach Möglichkeit aggregiert. Soweit im Einzelfall
mitgliedsbezogene Auswertungen erforderlich sind, etwa zur Auswertung, wie häufig
Mitglieder mit Gästen spielen, wird der Zugriff hierauf auf den Vorstand beschränkt.
4. Rechnungen, Abrechnung und Lastschrifteinzug (Modul „R“)
Zweck der Verarbeitung
Wir verarbeiten personenbezogene Daten zur Erstellung, Übermittlung und Verwaltung von
Rechnungen, Beiträgen und Zahlungsstatus, soweit Beiträge oder nutzungsbezogene
Abrechnungen über die Plattform abgebildet werden. Der Lastschrifteinzug erfolgt über die
Sparkasse Leipzig. Hierzu werden Bankdaten im Sportision-Webportal gespeichert und eine
Zahlungsdatei erstellt, die anschließend im Webportal der Sparkasse Leipzig hochgeladen
wird.
Welche Daten werden verarbeitet
Insbesondere:
- Rechnungsdaten, z. B. Rechnungsadresse, Rechnungspositionen, Betrag und
Zahlungsstatus
- Mitgliedszuordnung und Beitragsdaten
- Kontaktdaten für die Rechnungszustellung, z. B. E-Mail-Adresse und Anschrift
- Zahlungsdaten, insbesondere IBAN, Kontoinhaber, SEPA-Mandatsdaten,
Mandatsreferenz, Zahlungsstatus und Angaben zum Lastschrifteinzug
- Exportdateien für den Lastschrifteinzug, soweit diese aus dem Sportision-Webportal
erstellt und bei der Sparkasse Leipzig hochgeladen werden
Weshalb ist die Verarbeitung erlaubt
Die Zulässigkeit richtet sich nach
- Art. 6 Abs. 1 b) DS-GVO, soweit die Verarbeitung zur Durchführung des
Mitgliedschaftsverhältnisses, zur Abrechnung vereinbarter Beiträge oder Leistungen
und zum Lastschrifteinzug erforderlich ist
- Art. 6 Abs. 1 c) DS-GVO, soweit gesetzliche Aufbewahrungspflichten bestehen,
insbesondere steuer- und vereinsrechtliche Pflichten
- Art. 6 Abs. 1 f) DS-GVO, soweit die Verarbeitung zur ordnungsgemäßen
Zahlungszuordnung, Forderungsverwaltung und internen Finanzorganisation
erforderlich ist
Empfänger
- vereinsinterne berechtigte Stellen, insbesondere Kasse, Vorstand und Verwaltung
- Sportision GmbH als Auftragsverarbeiter, soweit Abrechnungs- und Zahlungsdaten im
Webportal verarbeitet werden
- Sparkasse Leipzig als ausführende Bank im Rahmen des Lastschrifteinzugs
- Steuerberater und Finanzbehörden, soweit dies im Einzelfall erforderlich ist
Speicherdauer
Rechnungen, buchhalterische Belege und steuerrelevante Unterlagen speichern wir
grundsätzlich 10 Jahre ab Schluss des Kalenderjahres der Entstehung, soweit gesetzliche
Aufbewahrungspflichten anwendbar sind.
SEPA-Mandatsdaten und Zahlungsdaten speichern wir, solange dies für die Durchführung
der Mitgliedschaft, den Lastschrifteinzug, die Zahlungszuordnung, den Nachweis der
Zahlungsermächtigung oder die Bearbeitung von Rücklastschriften erforderlich ist. Soweit
keine längere gesetzliche Aufbewahrungspflicht besteht, werden nicht mehr erforderliche
Zahlungsdaten gelöscht oder gesperrt.Sonstige abrechnungsbezogene Daten ohne Belegcharakter speichern wir grundsätzlich 3
Jahre ab Ende des Jahres der letzten Relevanz, sofern keine längere Aufbewahrung
erforderlich ist.
5. E-Mail-Kommunikation über Sportision
Zweck der Verarbeitung
Wir nutzen das Sportision-Webportal auch, um Mitglieder per E-Mail über den Vereinsbetrieb
zu informieren. Nach aktuellem Stand betrifft dies insbesondere Rechnungen sowie
Informationen zum Spielbetrieb, z. B. organisatorische Hinweise, Termine,
Platzinformationen oder vergleichbare vereinsbezogene Mitteilungen.
Ein Newsletter im eigentlichen Sinne, insbesondere für werbliche Inhalte oder
Sponsorenhinweise, ist nach aktuellem Stand nicht vorgesehen. In der Regel erhalten alle
Mitglieder diese vereinsorganisatorischen E-Mails.
Welche Daten werden verarbeitet
Insbesondere:
- Name und E-Mail-Adresse
- Mitgliedsstatus und ggf. Gruppenzuordnung, soweit Nachrichten nur an
bestimmte Mitgliedergruppen versendet werden
- Inhalt der jeweiligen Mitteilung
- Versandinformationen, z. B. Versandzeitpunkt, Empfängergruppe und
Zustellstatus, soweit diese technisch verarbeitet werden
Eine Auswertung von Öffnungen oder Klicks der E-Mails ist nach aktuellem Stand nicht
vorgesehen.
Weshalb ist die Verarbeitung erlaubt
Die Zulässigkeit richtet sich nach
- Art. 6 Abs. 1 b) DS-GVO, soweit die E-Mail-Kommunikation zur Durchführung der
Mitgliedschaft oder zur Erfüllung vereinsbezogener Leistungen erforderlich ist
- Art. 6 Abs. 1 f) DS-GVO, soweit wir ein berechtigtes Interesse daran haben,
Mitglieder effizient über den Vereinsbetrieb zu informieren
Empfänger
- vereinsinterne berechtigte Stellen, die Nachrichten vorbereiten oder versenden
- Sportision GmbH als Auftragsverarbeiter
Speicherdauer
E-Mail-Verteiler- und Versanddaten speichern wir für die Dauer der Mitgliedschaft, soweit die
Kommunikation für den Vereinsbetrieb erforderlich ist. Versandprotokolle werden gelöscht,
sobald sie für Zustellung, Nachweis oder Fehlerbehebung nicht mehr benötigt werden,
sofern keine längere Aufbewahrung im Einzelfall erforderlich ist.
6. Statistiken und Auswertungen
Zweck der Verarbeitung
Wir können Daten aus dem Sportision-Webportal nutzen, um Statistiken und Auswertungen
zum Vereinsbetrieb zu erstellen. Dies betrifft insbesondere Auswertungen zur Platzbelegung,
zur Nutzung von Buchungsfunktionen, zur Auslastung bestimmter Zeiten sowie zur
organisatorischen Planung.
Außerdem können wir Auswertungen erstellen, wie häufig Mitglieder mit Gästen spielen.
Eine darüber hinausgehende Analyse des Nutzerverhaltens, insbesondere ein Tracking über
Cookies oder vergleichbare Technologien, ist nach aktuellem Stand nicht vorgesehen.
Welche Daten werden verarbeitet
Je nach Auswertung können insbesondere folgende Daten verarbeitet werden:
- Buchungsdaten, z. B. Datum, Uhrzeit, Platz und Dauer
- Mitgliedszuordnung
- Angaben dazu, ob eine Buchung mit einem Gast erfolgt
- Zeiträume und Häufigkeiten der Nutzung
- zusammengefasste Statistikdaten zur Auslastung und Nutzung der
Vereinsangebote
Weshalb ist die Verarbeitung erlaubt
Die Zulässigkeit richtet sich nach Art. 6 Abs. 1 f) DS-GVO. Wir haben ein berechtigtes
Interesse daran, den Vereinsbetrieb organisatorisch sinnvoll zu planen, Platzkapazitäten
auszuwerten, die Nutzung der Vereinsangebote nachzuvollziehen und das Angebot für
Mitglieder zu verbessern.
Empfänger
- Vorstand des Vereins
- Sportision GmbH als Auftragsverarbeiter, soweit die Auswertungen technisch über
das Webportal erfolgen
Speicherdauer
Personenbezogene Auswertungsdaten speichern wir nur solange, wie dies für den jeweiligen
Auswertungszweck erforderlich ist. Soweit Statistiken für längerfristige Planungen benötigt
werden, sollen diese nach Möglichkeit anonymisiert oder aggregiert gespeichert werden.
7. Support, Fehlerbehebung und Betreuung
Zweck der Verarbeitung
Bei technischen Fragen oder Störungen kann es erforderlich sein, dass Supportfälle
bearbeitet werden. Dabei kann im Einzelfall Einsicht in personenbezogene Daten genommen
werden, soweit dies zur Lösung einer konkreten Support-Anfrage zwingend erforderlich ist.
Welche Daten werden verarbeitet
Insbesondere:
- Inhalte Ihrer Anfrage- technische Informationen und Protokolldaten, soweit diese zur Fehleranalyse
erforderlich sind
- ggf. Daten aus dem betroffenen Datensatz, soweit deren Einsicht zur Bearbeitung
des konkreten Vorgangs erforderlich ist
Weshalb ist die Verarbeitung erlaubt
Die Zulässigkeit richtet sich nach
- Art. 6 Abs. 1 b) DS-GVO, soweit die Supportbearbeitung zur Nutzung der Plattform
und zur Erfüllung des Mitgliedschaftsverhältnisses erforderlich ist
- Art. 6 Abs. 1 f) DS-GVO, soweit wir ein berechtigtes Interesse an Stabilität, Sicherheit
und Funktionsfähigkeit der eingesetzten Systeme haben
Empfänger
- Vereinsinterne zuständige Stellen
- Sportision GmbH als Auftragsverarbeiter
- ggf. Unterauftragsverarbeiter von Sportision, soweit diese im Rahmen des
Supportprozesses technisch eingebunden sind
Speicherdauer
Supportzugriffe erfolgen anlassbezogen. Zugriffe der Support-Mitarbeiter auf
personenbezogene Daten werden systemseitig automatisch protokolliert, sodass
nachvollzogen werden kann, wer wann auf welche Daten zugegriffen hat. Supporttickets und
Supportkommunikation speichern wir grundsätzlich für 24 Monate ab Ticketabschluss, soweit
nicht im Einzelfall eine längere Aufbewahrung zu Nachweiszwecken erforderlich ist.
8. IT-Sicherheit, Protokollierung, Backups und Wiederherstellbarkeit
Zweck der Verarbeitung
Wir verarbeiten Protokoll- und Sicherheitsdaten, um Störungen zu erkennen,
Sicherheitsvorfälle zu analysieren, Missbrauch zu verhindern und die Verfügbarkeit des
Webportals sicherzustellen. Darüber hinaus werden Datensicherungen erstellt, um Daten bei
technischen Störungen oder Ausfällen wiederherstellen zu können.
Welche Daten werden verarbeitet
Je nach Systemkontext insbesondere:
- technische Zugriffs- und Systemprotokolle
- sicherheitsrelevante Protokolle zu administrativen Zugriffen und Änderungen auf
Systemebene
- Sicherungskopien von Daten, soweit personenbezogene Daten Bestandteil der
gesicherten Datenbestände sind
Weshalb ist die Verarbeitung erlaubt
Die Zulässigkeit richtet sich nach Art. 6 Abs. 1 f) DS-GVO. Wir haben ein berechtigtes
Interesse an IT-Sicherheit, Missbrauchsprävention, Wiederherstellbarkeit und einem stabilen
Betrieb der Systeme.
Empfänger
- Sportision GmbH als Auftragsverarbeiter
- Hostinganbieter Amazon Web Services (AWS) in der Region „eu-central-1“ (Frankfurt
am Main)
- ggf. weitere Unterauftragsverarbeiter von Sportision, soweit diese im Bereich Hosting,
Monitoring, Logging oder Betrieb eingebunden sind
Speicherdauer
Nach aktueller Auskunft des Anbieters unterliegen Systemprotokolle und Daten-Backups
einer fest definierten Aufbewahrungsfrist von bis zu 3 Jahren. Die Sicherungen werden in
verschiedenen Zyklen und Abständen vorgehalten, insbesondere als tägliche, wöchentliche,
monatliche und jährliche Sicherungspunkte, und nach Ablauf der 3-Jahres-Frist automatisiert
und unwiderruflich gelöscht.
Wird ein Datensatz im aktiven System gelöscht, kann er aus technischen Gründen
vorübergehend noch in bestehenden verschlüsselten Backups enthalten sein. Diese
Backups sind vor allgemeinen Zugriffen geschützt. Sollte ein Backup wiederhergestellt
werden müssen, werden zwischenzeitlich gelöschte Daten im wiederhergestellten System
erneut gelöscht.
9. Besondere Kategorien personenbezogener Daten (Art. 9 DS-GVO)
Im Sportision-Webportal sollen keine Gesundheitsdaten oder sonstigen besonderen
Kategorien personenbezogener Daten im Sinne des Art. 9 DS-GVO verarbeitet werden.
Der Anbieter hat zwar mitgeteilt, dass das Webportal technisch und organisatorisch auch auf
die Verarbeitung solcher Daten ausgelegt sein kann. Für den konkreten Einsatz beim
Tennisclub ist eine solche Verarbeitung nach derzeitigem Stand jedoch nicht vorgesehen.
Mitglieder werden daher gebeten, in Freitextfeldern, Notizfeldern oder sonstigen
Eingabemöglichkeiten keine Gesundheitsdaten oder vergleichbare sensible Informationen
einzutragen. Auch vereinsintern soll festgelegt werden, dass solche Angaben im Sportision-
Webportal nicht erfasst werden.
Sollte der Verein künftig besondere Kategorien personenbezogener Daten verarbeiten
wollen, wird dies vorab gesondert geprüft und nur auf einer geeigneten Rechtsgrundlage
erfolgen. In Betracht kommt insbesondere eine ausdrückliche Einwilligung nach Art. 9 Abs. 2
a) DS-GVO, sofern keine andere gesetzliche Grundlage greift.
C. Auftragsverarbeitung und Dienstleister (Art. 28 DS-GVO)
Für den Betrieb des Sportision Webportals setzen wir die Sportision GmbH,
Langenwiedenweg 121, 59457 Werl, E-Mail: info@sportision.de als Auftragsverarbeiter ein.
Die Verarbeitung erfolgt auf Grundlage der zwischen dem Tennisclub und Sportision
vereinbarten Auftragsverarbeitungsvereinbarung nach Art. 28 DS-GVO.
Sportision verarbeitet personenbezogene Daten ausschließlich nach dokumentierten
Weisungen des Tennisclubs und nur in dem Umfang, der für den Betrieb der Plattform und
die Erbringung der Leistungen erforderlich ist.
Nach aktueller Auskunft des Anbieters erfolgt das Hosting einschließlich der
Datensicherungen ausschließlich bei Amazon Web Services (AWS) in der Region „eu-central-1“ (Frankfurt am Main, Deutschland). Support, Wartung und Administration erfolgen
ausschließlich von Standorten innerhalb der EU oder des EWR.
Unterauftragsverarbeiter (Subdienstleister)
Sportision darf Unterauftragsverarbeiter nur unter den Bedingungen der
Auftragsverarbeitungsvereinbarung einsetzen.
Nach aktueller Auskunft des Anbieters erfolgt das Hosting einschließlich der
Datensicherungen über Amazon Web Services (AWS) in der Region „eu-central-1“ (Frankfurt
am Main, Deutschland). AWS ist damit der derzeit bekannte technische Hosting- und
Infrastrukturdienstleister für den Betrieb des Webportals.
Weitere Unterauftragsverarbeiter wurden uns für den konkreten Einsatz des Sportision-
Webportals bislang nicht benannt. Soweit künftig weitere Unterauftragsverarbeiter eingesetzt
werden oder sich die eingesetzten Dienstleister ändern, erfolgt dies nach Maßgabe der
Auftragsverarbeitungsvereinbarung. Diese Datenschutzinformationen werden
erforderlichenfalls angepasst.
D. Speicherdauer und Löschkonzept
Wir setzen ein Löschkonzept um, das sich an den folgenden Grundsätzen orientiert.
1. Grundsätze
Wir speichern Daten nur, soweit dies zur Durchführung der Mitgliedschaft, zur Organisation
des Vereinsbetriebs, zur Platzverwaltung und zur Abrechnung erforderlich ist.
Buchungsdaten, Mitgliedsdaten, Abrechnungsdaten und Sicherheitsdaten unterliegen
unterschiedlichen Fristen.
Endet die Mitgliedschaft, wird der Zugang zur Plattform grundsätzlich zeitnah deaktiviert. Die
Löschung erfolgt nach einer kurzen Nachlaufzeit, soweit keine Aufbewahrungspflichten
entgegenstehen.
Personenbezogene Daten können in Sicherungskopien enthalten sein. Löschungen wirken
sich daher ggf. erst aus, wenn Backups überschrieben werden. Backups werden nicht zur
Dauerarchivierung genutzt.
2. Löschfristen
a. Nutzerkonto, Zugang, Rollen
- Deaktivierung bei Austritt: spätestens innerhalb von 14 Tagen
- Löschung des Nutzerkontos: 3 Monate nach Deaktivierung
- reduzierter Nachweisdatensatz, soweit erforderlich: regelmäßig 3 Jahre ab Ende des
Jahres des Austritts
b. Mitgliederstammdaten und Vereinsverwaltung
- während der Mitgliedschaft
- nach Austritt: Löschung oder Anonymisierung nicht mehr erforderlicher Daten
grundsätzlich nach 3 Monaten
- Nachweise mit Relevanz für Ansprüche oder Nachweisführung: regelmäßig 3 Jahre
ab Ende des Jahres der letzten Relevanz
c. Platzbuchungen
Personenbezogene Buchungsdaten speichern wir grundsätzlich 12 Monate. Anschließend
erfolgt eine Löschung oder Anonymisierung, sofern keine Einzelfallgründe eine längere
Aufbewahrung erfordern.
Statistiken zur Platznutzung, zur Auslastung und zur Nutzung der Vereinsangebote können
länger gespeichert werden, soweit sie anonymisiert oder aggregiert sind. Soweit
ausnahmsweise mitgliedsbezogene Auswertungen erforderlich sind, etwa zur Auswertung
der Häufigkeit von Buchungen mit Gästen, werden diese nur solange gespeichert, wie dies
für den jeweiligen Zweck erforderlich ist, und nur dem Vorstand zugänglich gemacht.
d. Rechnungen, Abrechnung und Lastschrifteinzug
Rechnungen und buchhalterische Belege speichern wir grundsätzlich 10 Jahre ab Ende des
Kalenderjahres der Entstehung, soweit gesetzliche Aufbewahrungspflichten anwendbar sind.
SEPA-Mandatsdaten, Bankdaten, Zahlungsdaten und Informationen zum Lastschrifteinzug
speichern wir, solange dies für die Durchführung der Mitgliedschaft, den Beitragseinzug, die
Zahlungszuordnung, den Nachweis der Zahlungsermächtigung oder die Bearbeitung von
Rücklastschriften erforderlich ist. Soweit keine längere gesetzliche Aufbewahrungspflicht
besteht, werden nicht mehr erforderliche Zahlungsdaten gelöscht oder gesperrt.
Sonstige abrechnungsbezogene Daten ohne Belegcharakter speichern wir grundsätzlich 3
Jahre ab Ende des Jahres der letzten Relevanz, sofern keine längere Aufbewahrung
erforderlich ist.
e. Support
Supporttickets und Supportkommunikation: grundsätzlich 24 Monate ab Ticketabschluss
f. Protokoll- und Sicherheitsdaten
Nach aktueller Auskunft des Anbieters unterliegen Systemprotokolle einer fest definierten
Aufbewahrungsfrist von bis zu 3 Jahren. Dies betrifft insbesondere sicherheitsrelevante
administrative Zugriffe und Änderungen auf Systemebene. Die Protokolle werden
automatisiert und manipulationssicher geführt und nach Ablauf der vorgesehenen Frist
gelöscht.
g. Backups
Nach aktueller Auskunft des Anbieters unterliegen auch Daten-Backups einer
Aufbewahrungsfrist von bis zu 3 Jahren. Die Sicherungen werden in verschiedenen Zyklen
und Abständen vorgehalten, insbesondere als tägliche, wöchentliche, monatliche und
jährliche Sicherungspunkte, und nach Ablauf der Frist automatisiert und unwiderruflich
gelöscht. Backups werden verschlüsselt und in geografisch getrennten Verfügbarkeitszonen
innerhalb der Region Frankfurt gespeichert.
3. Organisatorische Umsetzung
Wir setzen das Löschkonzept technisch und organisatorisch um, insbesondere durch:
- regelmäßige Löschprozesse und administrative Löschläufe
- ein Rollen- und Berechtigungskonzept
- regelmäßige Überprüfung der Datenbestände auf Erforderlichkeit
- klar geregelte Zuständigkeiten im VereinNach den uns vorliegenden Informationen können personenbezogene Daten nach einer
Löschung im aktiven System technisch bedingt vorübergehend noch in verschlüsselten
Backups enthalten sein. Diese Backups sind vor allgemeinen Zugriffen geschützt. Sollte ein
Backup wiederhergestellt werden müssen, werden zwischenzeitlich gelöschte Daten im
wiederhergestellten System erneut gelöscht.
E. Müssen Sie Ihre Daten bereitstellen
Die Nutzung wesentlicher Funktionen des Webportals, insbesondere Mitgliederverwaltung,
Platzbuchung, Rechnungsstellung, Lastschrifteinzug und vereinsbezogene E-Mail-
Kommunikation, setzt die Verarbeitung bestimmter personenbezogener Daten voraus. Ohne
die Bereitstellung dieser Daten können diese Funktionen nicht oder nicht vollständig genutzt
werden.
Die Bereitstellung von Gesundheitsdaten oder sonstigen besonderen Kategorien
personenbezogener Daten ist für die Nutzung des Sportision-Webportals im Tennisclub nicht
erforderlich. Solche Daten sollen im Webportal nicht eingetragen werden.
F. Technische und organisatorische Maßnahmen
Wir treffen technische und organisatorische Maßnahmen, um personenbezogene Daten
gegen Verlust, Zerstörung, unberechtigten Zugriff, unberechtigte Veränderung und
unberechtigte Offenlegung zu schützen. Art und Umfang der Maßnahmen orientieren sich am
Stand der Technik, an den Implementierungskosten, an Art, Umfang, Umständen und
Zwecken der Verarbeitung sowie an der Eintrittswahrscheinlichkeit und dem Schweregrad
der Risiken für die Rechte und Freiheiten natürlicher Personen.
Absolute Sicherheit in IT-Systemen kann nicht gewährleistet werden. Sicherheitsrisiken
können trotz angemessener Maßnahmen nicht vollständig ausgeschlossen werden.
1. Zugriffsschutz und Berechtigungskonzepte
Wir beschränken den Zugriff auf personenbezogene Daten auf diejenigen Personen und
Systeme, die ihn zur Erfüllung der jeweiligen Aufgaben benötigen. Zugriffe erfolgen nach
dem Prinzip der minimalen Rechtevergabe und nach dem sogenannten Need-to-Know-
Prinzip. Administrative Zugriffe sind nach aktueller Auskunft des Anbieters durch
rollenbasierte Zugriffskontrollen, Zwei-Faktor-Authentifizierung und zusätzliche technische
Zugriffsbeschränkungen abgesichert. Der Zugang zu Produktionsdatenbanken ist zusätzlich
geschützt.
2. Verschlüsselung und Schutz bei der Übertragung
Nach aktueller Auskunft des Anbieters erfolgt die Datenübertragung verschlüsselt über
TLS/SSL. Auch gespeicherte Daten werden verschlüsselt verarbeitet; für gespeicherte Daten
wird nach Anbieterangaben eine Verschlüsselung nach dem Standard AES-256 eingesetzt.
3. Schutz der Speicherung, Backup und Wiederherstellbarkeit
Soweit Daten auf Servern verarbeitet und gespeichert werden, setzt der Anbieter
angemessene Maßnahmen ein, um diese Daten gegen unberechtigten Zugriff zu schützen.
Datensicherungen werden automatisiert erstellt und verschlüsselt in geografisch getrennten
Verfügbarkeitszonen innerhalb der Region Frankfurt gespeichert. Ziel ist es, auch im Fall
technischer Störungen oder Ausfälle eine Wiederherstellung der Daten zu ermöglichen.
4. Protokollierung, Monitoring und Missbrauchsabwehr
Sicherheitsrelevante administrative Zugriffe und Änderungen auf Systemebene werden nach
aktueller Auskunft des Anbieters automatisiert und manipulationssicher protokolliert. Auch
Supportzugriffe auf personenbezogene Daten werden systemseitig dokumentiert, sodass
nachvollzogen werden kann, wer wann auf welche Daten zugegriffen hat. Die Protokollierung
dient der Erkennung von Störungen, der Analyse von Sicherheitsvorfällen und der
Missbrauchsabwehr.
5. Vorgehen bei Datenschutzvorfällen
Sollten wir Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangen,
prüfen wir den Sachverhalt und ergreifen angemessene Abhilfemaßnahmen. Soweit eine
Meldung an die zuständige Aufsichtsbehörde oder eine Benachrichtigung betroffener
Personen erforderlich ist, erfolgt dies nach Maßgabe der gesetzlichen Vorgaben,
insbesondere Art. 33 und Art. 34 DS-GVO.
6. Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
Wir berücksichtigen Datenschutzanforderungen bereits bei der Konzeption und dem Betrieb
der eingesetzten Systeme. Ziel ist es, personenbezogene Daten nur in dem Umfang zu
verarbeiten, der für die jeweilige Funktion erforderlich ist, und nachvollziehbare
Steuerungsmöglichkeiten zu geben. Wir orientieren uns an den Grundsätzen der
Datenminimierung, Zweckbindung sowie Integrität und Vertraulichkeit.
G. Aktualisierung dieser Datenschutzinformationen
Wir aktualisieren diese Datenschutzinformationen, wenn sich die eingesetzten Funktionen,
Empfänger, Dienstleister oder rechtlichen Rahmenbedingungen ändern.
Die jeweils aktuelle Fassung stellen wir Ihnen über www.rcsport-leipzig.de zur Verfügung.