Auftragsverarbeitungsvertrag

TeamStride — Solidini
Version 1.0
Datum des Inkrafttretens: 7. Oktober 2026

Dies ist eine Übersetzung. Bei Abweichungen gilt der englische Text.

Dieser Auftragsverarbeitungsvertrag wird nach Artikel 28 der Datenschutz-Grundverordnung geschlossen. Er ist Bestandteil des Vertrags zwischen Solidini und dem Kunden nach den Nutzungsbedingungen von TeamStride.

1. Parteien, Vertragsschluss und Verhältnis zu den Nutzungsbedingungen

1.1 Dieser AVV wird geschlossen zwischen:

(a) Solidini, mit Sitz in den Niederlanden, eingetragen bei der Handelskammer (KvK) unter der Nummer 97133981, mit der im Impressum auf teamstride.app angegebenen Geschäftsanschrift („Solidini“); und

(b) dem Sportverein, dem Verband, der Stiftung, der Schule oder der sonstigen Organisation, die die Nutzungsbedingungen angenommen hat („Kunde“).

1.2 Der Inhaber nimmt diesen AVV im Namen des Kunden an, wenn er die Nutzungsbedingungen annimmt. Der Inhaber sichert zu, dass er befugt ist, den Kunden zu verpflichten.

1.3 Dieser AVV tritt zum selben Zeitpunkt wie der Vertrag in Kraft. Er endet, wenn Solidini keine personenbezogenen Kundendaten mehr verarbeitet. Ziffer 17 regelt, welche Ziffern danach fortgelten.

1.4 Solidini stellt diesen AVV vor oder bei Abschluss des Vertrags elektronisch in einer Form zur Verfügung, die der Kunde speichern und wiedergeben kann.

1.5 Dieser AVV ist Bestandteil des Vertrags. Widersprechen sich dieser AVV und ein anderer Teil des Vertrags, einschließlich einer Zusatzvereinbarung, hinsichtlich der Verarbeitung oder des Schutzes personenbezogener Daten, so hat dieser AVV Vorrang.

1.6 Maßgeblich ist die englische Fassung dieses AVV. Übersetzungen ins Niederländische, Französische und Deutsche dienen nur der Information. Weicht eine Übersetzung von der englischen Fassung ab, so geht die englische Fassung vor.

2. Begriffsbestimmungen und Auslegung

2.1 Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Aufsichtsbehörde“, „besondere Kategorien personenbezogener Daten“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die ihnen in der DSGVO zugewiesen ist.

2.2 In den Nutzungsbedingungen definierte Begriffe haben in diesem AVV dieselbe Bedeutung. Dazu gehören „Vertrag“, „Autorisierter Nutzer“, „Kunde“, „Kundendaten“, „Entgelte“, „Zusatzvereinbarung“, „Organisation“, „Ergebnisse“, „Eigene Übung“, „Inhaber“, „Zeitraum“, „Spielerdaten“, „Datenschutzerklärung“, „Verbotene Daten“, „Nur-Lesen“, „Dienst“, „Besondere Kategorien personenbezogener Daten“, „Nutzungsbedingungen“ und „Werktag“.

2.3 In diesem AVV gilt:

(a) AVV bezeichnet diesen Auftragsverarbeitungsvertrag einschließlich seiner Anlagen.

(b) DSGVO bezeichnet die Verordnung (EU) 2016/679.

(c) Datenschutzrecht bezeichnet die DSGVO, das niederländische Ausführungsgesetz zur DSGVO (Uitvoeringswet Algemene verordening gegevensbescherming) sowie jedes sonstige Recht der EU oder eines Mitgliedstaats zum Schutz personenbezogener Daten, das auf die Verarbeitung nach diesem AVV anwendbar ist.

(d) Personenbezogene Kundendaten bezeichnet die in den Kundendaten enthaltenen personenbezogenen Daten.

(e) Verletzung des Schutzes personenbezogener Daten bezeichnet eine Verletzung des Schutzes personenbezogener Daten im Sinne von Artikel 4 Nr. 12 DSGVO, die personenbezogene Kundendaten betrifft.

(f) Unterauftragsverarbeiter bezeichnet einen Auftragsverarbeiter, den Solidini beauftragt, im Auftrag des Kunden Verarbeitungstätigkeiten an personenbezogenen Kundendaten durchzuführen.

(g) Liste der Unterauftragsverarbeiter bezeichnet die Liste der Unterauftragsverarbeiter, die auf der Seite der Unterauftragsverarbeiter des Dienstes veröffentlicht und in Anlage 3 wiedergegeben ist.

(h) Standardvertragsklauseln bezeichnet die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer, die mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission erlassen wurden.

(i) Modellanbieter bezeichnet einen in Anlage 3 genannten Unterauftragsverarbeiter, der ein großes Sprachmodell (Large Language Model) bereitstellt.

2.4 „Schriftlich“ umfasst auch E-Mail. Solidini sendet Mitteilungen nach diesem AVV an die E-Mail-Adresse des Inhabers, sofern der Kunde nicht im Dienst oder per E-Mail an privacy@getteamstride.com eine andere Kontaktperson für Datenschutzangelegenheiten benannt hat.

3. Gegenstand, Art, Zweck und Dauer

3.1 Solidini verarbeitet personenbezogene Kundendaten im Auftrag des Kunden, um den Dienst nach dem Vertrag zu erbringen.

3.2 Anlage 1 beschreibt Gegenstand, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten, die Kategorien betroffener Personen und die Dauer der Verarbeitung.

3.3 Der Kunde ist Verantwortlicher für die personenbezogenen Kundendaten. Solidini ist Auftragsverarbeiter.

3.4 Für die folgenden Verarbeitungen ist Solidini Verantwortlicher und nicht Auftragsverarbeiter. Dieser AVV gilt nicht für sie. Die Datenschutzerklärung beschreibt sie. In Artikel 9.3 der Nutzungsbedingungen ist das Einverständnis des Kunden festgehalten, dass Solidini Teile der Kundendaten für (a), (b), (f) und (h) verwendet.

(a) Kontoverwaltung für Anmeldung, Sicherheit sowie zur Verhinderung von Betrug und Missbrauch.

(b) Das interne Zugriffsprotokoll über Lesezugriffe von Mitarbeitern von Solidini, das festhält, welcher Mitarbeiter welches Trainingsdokument gelesen hat.

(d) Webanalyse und das Kontaktformular.

(e) Vertriebskontakte mit Vereinen.

(f) Das Lesen von Rückmeldungen zu Übungen nach der Trainingseinheit, um die Übungsbibliothek zu verbessern. Der Dienst informiert den Autorisierten Nutzer darüber.

(g) Die Aufzeichnung der Einwilligung, wenn ein Autorisierter Nutzer eine Eigene Übung so kennzeichnet, dass Solidini die darin enthaltenen Ideen verwenden darf (Artikel 8.7 der Nutzungsbedingungen). Solidini verwendet eine solche Idee ohne den Namen des Autorisierten Nutzers oder des Kunden.

(h) Produktverbesserung auf der Grundlage aggregierter, de-identifizierter Nutzungsstatistiken.

3.5 Solidini verwendet personenbezogene Kundendaten nicht zum Training oder Feintuning eines Modells der künstlichen Intelligenz. Es gilt Ziffer 13.

4. Pflichten des Kunden

4.1 Der Kunde ist für die Rechtmäßigkeit der Verarbeitung personenbezogener Kundendaten verantwortlich. Der Kunde stellt sicher, dass er für jede Verarbeitungstätigkeit, die er anweist, über eine Rechtsgrundlage verfügt.

4.2 Der Kunde informiert seine Autorisierten Nutzer über die Verarbeitung ihrer personenbezogenen Daten im Dienst, wie es die Artikel 13 und 14 DSGVO verlangen.

4.3 Der Kunde stellt sicher, dass jeder Autorisierte Nutzer mindestens 16 Jahre alt ist und dass der Inhaber mindestens 18 Jahre alt ist.

4.4 Der Kunde stellt sicher, dass kein Autorisierter Nutzer Verbotene Daten in den Dienst eingibt. Dies gilt für jedes Feld, einschließlich des Gesprächs mit dem Assistenten, des wöchentlichen Check-ins, des Mannschaftsgedächtnisses, Eigener Übungen und Rückmeldungen zu Übungen. Artikel 6 der Nutzungsbedingungen enthält dasselbe Verbot. Eine ohne Personenbezug erfasste Einschränkung, etwa „2 Spieler: keine Sprünge“, fällt nicht unter die Spielerdaten, solange aus ihr kein Spieler identifiziert werden kann.

4.5 Der Dienst ist so gestaltet, dass er keine Verbotenen Daten abfragt und keine benötigt. Solidini verarbeitet im Rahmen des Dienstes keine Verbotenen Daten.

4.6 Werden Verbotene Daten in den Dienst eingegeben:

(a) verletzt der Kunde den Vertrag einschließlich dieses AVV;

(b) bleibt der Kunde Verantwortlicher für diese Daten und ist für sie verantwortlich;

(c) weist der Kunde Solidini an, diese Daten, oder den Datensatz, der sie enthält, wenn sich die Daten nicht trennen lassen, ohne vorherige Ankündigung zu löschen, sobald Solidini sie feststellt. Solidini informiert den Inhaber nach der Löschung per E-Mail;

(d) ist Solidini nicht verpflichtet, nach Verbotenen Daten zu suchen.

4.7 Der Kunde erteilt seine Weisungen im Einklang mit dem Datenschutzrecht.

5. Verarbeitung auf dokumentierte Weisung

5.1 Solidini verarbeitet personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden. Dies gilt auch für die Übermittlung an ein Drittland.

5.2 Die Weisungen des Kunden bestehen abschließend aus:

(a) dem Vertrag einschließlich dieses AVV; und

(b) der Nutzung der Funktionen des Dienstes durch den Kunden und seine Autorisierten Nutzer.

5.3 Der Kunde kann schriftlich eine zusätzliche Weisung erteilen. Solidini befolgt sie, wenn sie mit dem Vertrag und den Funktionen des Dienstes vereinbar ist. Ist sie dies nicht, erörtern die Parteien sie nach Treu und Glauben. Solidini kann für eine zusätzliche Weisung, die Arbeiten außerhalb des regulären Dienstes erfordert, angemessene Kosten berechnen, sofern Solidini dem Kunden die Kosten mitteilt, bevor die Arbeiten ausgeführt werden.

5.4 Ist Solidini nach dem Recht der EU oder eines Mitgliedstaats verpflichtet, personenbezogene Kundendaten anders als auf Weisung zu verarbeiten, teilt Solidini dies dem Kunden vor der Verarbeitung mit. Dies gilt nicht, wenn das betreffende Recht eine solche Mitteilung wegen eines wichtigen öffentlichen Interesses verbietet.

5.5 Solidini informiert den Kunden unverzüglich, wenn eine Weisung nach Auffassung von Solidini gegen das Datenschutzrecht verstößt. Solidini kann die Ausführung dieser Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

6. Vertraulichkeit

6.1 Solidini gewährt Zugang zu personenbezogenen Kundendaten nur Personen, die ihn benötigen, um den Dienst zu erbringen, zu unterstützen oder abzusichern.

6.2 Solidini stellt sicher, dass jede dieser Personen einer schriftlichen Verpflichtung zur Vertraulichkeit oder einer gesetzlichen Verschwiegenheitspflicht unterliegt.

6.3 Diese Verpflichtung gilt auch nach dem Ende der Tätigkeit dieser Person für Solidini fort.

7. Sicherheit

7.1 Solidini setzt die technischen und organisatorischen Maßnahmen nach Anlage 2 um. Diese Maßnahmen gewährleisten ein dem Risiko angemessenes Schutzniveau, wie es Artikel 32 DSGVO verlangt.

7.2 Der Kunde hat Anlage 2 geprüft und erkennt an, dass die Maßnahmen für die in Anlage 1 beschriebene Verarbeitung angemessen sind. Diese Bewertung berücksichtigt, dass keine Verbotenen Daten eingegeben werden dürfen.

7.3 Solidini kann die Maßnahmen nach Anlage 2 ändern, um der technischen Entwicklung zu folgen. Eine Änderung darf das Gesamtschutzniveau nicht absenken.

7.4 Der Kunde ist für die Sicherheit seiner eigenen Geräte und E-Mail-Konten sowie für die Zugänge verantwortlich, die er Autorisierten Nutzern gewährt. Der Kunde entfernt einen Autorisierten Nutzer im Dienst aus der Organisation, sobald diese Person nicht mehr für den Kunden tätig ist.

8. Unterstützung bei den Rechten betroffener Personen

8.1 Solidini unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO.

8.2 Soweit möglich, erbringt der Dienst diese Unterstützung in Form von Selbstbedienungsfunktionen. Dazu gehören:

(a) die Seite des Mannschaftsgedächtnisses, auf der ein Autorisierter Nutzer lesen und löschen kann, was sich der Assistent über eine Mannschaft merkt;

(b) die Funktion, mit der ein Autorisierter Nutzer seine eigenen Gespräche, Check-ins, persönlichen Gedächtnisnotizen und Rückmeldungen zu Übungen löscht;

(d) die Funktionen, mit denen ein Koordinator oder der Inhaber einen Autorisierten Nutzer entfernt und mit denen der Inhaber die Organisation schließt;

(e) die Anzeige, der Druck und die Bearbeitung von Plänen und Trainingseinheiten im Dienst.

8.3 Der Dienst bietet keinen Export in Selbstbedienung. Für eine Kopie der Kundendaten gilt Ziffer 15.1.

8.4 Reichen die Selbstbedienungsfunktionen nicht aus, kann der Kunde Solidini schriftlich unter privacy@getteamstride.com um Unterstützung bitten. Solidini leistet die Unterstützung innerhalb von 10 Werktagen nach Eingang der Anfrage.

8.5 Richtet eine betroffene Person einen Antrag zu personenbezogenen Kundendaten unmittelbar an Solidini, leitet Solidini ihn unverzüglich an den Kunden weiter. Solidini beantwortet den Antrag nicht selbst, außer um den Eingang zu bestätigen, die betroffene Person an den Kunden zu verweisen oder die betroffene Person auf eine Selbstbedienungsfunktion zu verweisen. Anträge zu Verarbeitungen, für die Solidini nach Ziffer 3.4 Verantwortlicher ist, bleiben hiervon unberührt.

8.6 Die Unterstützung nach dieser Ziffer ist Teil des Dienstes und wird nicht gesondert berechnet.

9. Folgenabschätzungen, vorherige Konsultation und Verzeichnisse

9.1 Solidini unterstützt den Kunden bei einer Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO und bei einer vorherigen Konsultation der Aufsichtsbehörde nach Artikel 36 DSGVO, soweit sich die Folgenabschätzung oder Konsultation auf den Dienst bezieht. Solidini stellt unter Berücksichtigung der Art der Verarbeitung die ihm vorliegenden Informationen zur Verfügung.

9.2 Solidini kann für erheblichen Aufwand nach Ziffer 9.1 angemessene Kosten berechnen. Solidini teilt dem Kunden die voraussichtlichen Kosten mit, bevor die Arbeiten ausgeführt werden.

9.3 Solidini führt ein Verzeichnis zu allen Kategorien von Verarbeitungstätigkeiten, die Solidini im Auftrag des Kunden durchführt, wie es Artikel 30 Abs. 2 DSGVO verlangt. Solidini stellt dieses Verzeichnis der Aufsichtsbehörde auf Anfrage zur Verfügung.

10. Verletzung des Schutzes personenbezogener Daten

10.1 Solidini meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch 48 Stunden, nachdem Solidini davon Kenntnis erlangt hat. Dies gilt auch für eine Verletzung des Schutzes personenbezogener Daten bei einem Unterauftragsverarbeiter.

10.2 Die Meldung enthält, soweit verfügbar:

(a) die Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;

(b) den Namen und die Kontaktdaten der Anlaufstelle bei Solidini, nämlich privacy@getteamstride.com;

(d) die von Solidini ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

10.3 Kann Solidini nicht alle Informationen zur selben Zeit bereitstellen, stellt Solidini die Informationen ohne weitere unangemessene Verzögerung schrittweise zur Verfügung.

10.4 Solidini ergreift die ihm zur Verfügung stehenden angemessenen Maßnahmen, um die Verletzung des Schutzes personenbezogener Daten einzudämmen und ihre Folgen zu mindern. Solidini hält den Kunden über wesentliche Entwicklungen auf dem Laufenden.

10.5 Der Kunde entscheidet, ob er die Aufsichtsbehörde und die betroffenen Personen nach den Artikeln 33 und 34 DSGVO benachrichtigt. Solidini unterstützt den Kunden auf Anfrage bei diesen Meldungen.

10.6 Solidini meldet der Aufsichtsbehörde oder den betroffenen Personen nichts im Namen des Kunden, es sei denn, der Kunde weist Solidini schriftlich dazu an. Pflichten, die Solidini als Verantwortlicher für seine eigenen Verarbeitungen nach Ziffer 3.4 treffen, bleiben hiervon unberührt.

10.7 Solidini führt ein Protokoll über jede Verletzung des Schutzes personenbezogener Daten. Das Protokoll hält die Fakten, die Auswirkungen und die ergriffenen Abhilfemaßnahmen fest. Solidini stellt dem Kunden die Protokolleinträge, die den Kunden betreffen, auf Anfrage zur Verfügung.

10.8 Eine Meldung nach dieser Ziffer ist kein Eingeständnis eines Verschuldens oder einer Haftung von Solidini.

11. Unterauftragsverarbeiter

11.1 Der Kunde erteilt Solidini eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Zum Datum des Inkrafttretens dieses AVV genehmigt der Kunde die in der Liste der Unterauftragsverarbeiter aufgeführten Unterauftragsverarbeiter.

11.2 Maßgeblich ist die Liste der Unterauftragsverarbeiter auf der Seite der Unterauftragsverarbeiter des Dienstes. Anlage 3 gibt sie mit dem Stand des Datums des Inkrafttretens dieses AVV wieder.

11.3 Solidini beauftragt einen Unterauftragsverarbeiter nur auf der Grundlage eines schriftlichen Vertrags, der dem Unterauftragsverarbeiter dieselben Datenschutzpflichten auferlegt wie dieser AVV, wie es Artikel 28 Abs. 4 DSGVO verlangt. Der Vertrag muss hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten.

11.4 Solidini haftet dem Kunden gegenüber in vollem Umfang für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters. Es gilt Ziffer 16.5.

11.5 Solidini kündigt die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage vor dem Wirksamwerden der Änderung an. Solidini erteilt diese Ankündigung per E-Mail an den Inhaber und auf der Seite der Unterauftragsverarbeiter des Dienstes. Die Ankündigung nennt den Namen des Unterauftragsverarbeiters, den Zweck, den Ort der Verarbeitung und den Übermittlungsmechanismus.

11.6 Der Kunde kann innerhalb der Ankündigungsfrist schriftlich Einspruch gegen die Änderung erheben. Der Einspruch muss auf berechtigten, datenschutzbezogenen Gründen beruhen. Der Kunde richtet den Einspruch an privacy@getteamstride.com.

11.7 Erhebt der Kunde Einspruch, erörtern die Parteien den Einspruch nach Treu und Glauben. Solidini kann eine angemessene Alternative vorschlagen, etwa eine Änderung der Konfiguration des Dienstes.

11.8 Finden die Parteien innerhalb der Ankündigungsfrist keine Lösung, kann der Kunde den Vertrag durch schriftliche Erklärung vor dem Wirksamwerden der Änderung kündigen. Solidini erstattet dann die im Voraus gezahlten Entgelte für den Teil des Zeitraums nach dem Kündigungsdatum anteilig. Um seine Kundendaten von dem neuen Unterauftragsverarbeiter fernzuhalten, kann der Inhaber eine Kopie nach Ziffer 15.1 anfordern und die Organisation vor dem Wirksamwerden der Änderung schließen.

11.9 Erhebt der Kunde innerhalb der Ankündigungsfrist keinen Einspruch, gilt die Änderung als vom Kunden genehmigt.

11.10 Solidini kann einen Unterauftragsverarbeiter ohne Einhaltung der Ankündigungsfrist nach Ziffer 11.5 ersetzen, wenn dies in einem Notfall erforderlich ist, etwa bei einem Sicherheitsrisiko, einem Rechtsverstoß oder einer plötzlichen Einstellung des Dienstes durch den Unterauftragsverarbeiter. Solidini erteilt die Ankündigung dann so bald wie möglich. Die Ziffern 11.6 bis 11.8 gelten, und die Einspruchsfrist beginnt mit dem Datum dieser Ankündigung.

12. Internationale Übermittlungen

12.1 Solidini übermittelt personenbezogene Kundendaten nur dann in ein Land außerhalb des Europäischen Wirtschaftsraums, wenn die Bedingungen von Kapitel V DSGVO erfüllt sind.

12.2 Solidini stützt jede Übermittlung auf eine der folgenden Garantien:

(a) einen Angemessenheitsbeschluss der Europäischen Kommission, einschließlich des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework für einen danach zertifizierten Empfänger und des Angemessenheitsbeschlusses für das Vereinigte Königreich; oder

(b) die Standardvertragsklauseln, Modul drei (Auftragsverarbeiter an Auftragsverarbeiter), zwischen Solidini und dem Unterauftragsverarbeiter oder zwischen dem Unterauftragsverarbeiter und dessen eigenem Auftragsverarbeiter, erforderlichenfalls zusammen mit ergänzenden Maßnahmen.

12.3 Solidini dokumentiert für jede Übermittlung, die auf die Standardvertragsklauseln gestützt wird, vor Beginn der Übermittlung eine Transfer-Folgenabschätzung (Transfer Impact Assessment). Solidini stellt dem Kunden auf Anfrage eine Zusammenfassung zur Verfügung.

12.4 Der Kunde genehmigt die in Anlage 3 aufgeführten Übermittlungen mit den dort genannten Garantien.

12.5 Wird eine Garantie unwirksam, informiert Solidini den Kunden unverzüglich. Solidini ergreift dann die erforderlichen Schritte, um die Übermittlung wieder rechtmäßig zu machen, oder stellt die Übermittlung ein. Für einen ersatzweise beauftragten Unterauftragsverarbeiter gilt Ziffer 11.10.

13. Sprachmodelle und künstliche Intelligenz

13.1 Der Dienst nutzt einen Modellanbieter, um Ergebnisse zu erzeugen. Solidini übermittelt personenbezogene Kundendaten an einen Modellanbieter nur, um Ergebnisse für den Kunden zu erzeugen.

13.2 Solidini übermittelt an einen Modellanbieter nur die Inhalte, die zur Erzeugung der Ergebnisse erforderlich sind. Diese Inhalte sind die aggregierten Mannschaftsdaten, der Plan, das Mannschaftsgedächtnis und der Text, den ein Autorisierter Nutzer im Dienst verfasst.

13.3 Solidini stellt sicher, dass jeder Modellanbieter vertraglich verpflichtet ist, personenbezogene Kundendaten nicht zum Training oder zur Verbesserung seiner Modelle zu verwenden.

13.4 Ein Modellanbieter darf personenbezogene Kundendaten für einen begrenzten Zeitraum speichern, um Missbrauch seines Dienstes zu überwachen. Anlage 3 gibt diesen Zeitraum für jeden Modellanbieter an. Nach Ablauf dieses Zeitraums löscht der Modellanbieter die Daten.

13.5 Solidini verwendet personenbezogene Kundendaten nicht zum Training oder Feintuning eines Modells, weder eines eigenen noch eines Modells Dritter.

13.6 Ergebnisse werden von einem Sprachmodell erzeugt und können fehlerhaft sein. Die Nutzungsbedingungen regeln die Verantwortlichkeiten der Parteien für Ergebnisse.

14. Informationen und Audits

14.1 Solidini stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO und dieses AVV erforderlich sind. Zu diesen Informationen gehören:

(a) dieser AVV und Anlage 2;

(b) die Liste der Unterauftragsverarbeiter;

(c) auf Anfrage die Auditberichte oder Zertifizierungen, die ein Unterauftragsverarbeiter Solidini zur Verfügung stellt, soweit der Unterauftragsverarbeiter deren Offenlegung gestattet;

(d) auf Anfrage schriftliche Antworten auf angemessene Fragen zur Verarbeitung.

14.2 Reichen die Informationen nach Ziffer 14.1 zum Nachweis der Einhaltung nicht aus, kann der Kunde ein Audit durchführen lassen. Dabei gelten folgende Bedingungen:

(a) ein unabhängiger Prüfer führt das Audit durch;

(b) der Prüfer unterliegt einer schriftlichen Verpflichtung zur Vertraulichkeit und ist kein Wettbewerber von Solidini;

(d) ein Audit findet höchstens einmal in jedem Zeitraum von zwölf Monaten statt;

(e) das Audit findet während der Geschäftszeiten an Werktagen statt und beeinträchtigt den Geschäftsbetrieb von Solidini nicht unangemessen;

(f) der Prüfer erhält keinen Zugang zu Daten anderer Kunden von Solidini oder zu Informationen, deren Offenlegung Vertraulichkeitspflichten von Solidini gegenüber Dritten verletzen würde;

(g) das Audit umfasst keine Besichtigung der Räumlichkeiten eines Unterauftragsverarbeiters; für einen Unterauftragsverarbeiter gelten die Informationen nach Ziffer 14.1(c);

(h) der Kunde trägt die Kosten des Audits einschließlich der Kosten des Prüfers.

14.3 Zusätzlich zu Ziffer 14.2(d) kann der Kunde nach einer Verletzung des Schutzes personenbezogener Daten, die seine personenbezogenen Kundendaten betrifft, ein Audit durchführen lassen. Dieses Audit ist auf die Verletzung des Schutzes personenbezogener Daten und die damit zusammenhängenden Maßnahmen beschränkt. Die übrigen Bedingungen von Ziffer 14.2 gelten.

14.4 Der Kunde stellt Solidini kostenlos eine Kopie des Auditberichts zur Verfügung. Der Bericht ist eine vertrauliche Information von Solidini. Der Kunde darf ihn einer Aufsichtsbehörde vorlegen. Ergibt das Audit, dass Solidini diesen AVV nicht einhält, behebt Solidini die Abweichung unverzüglich.

14.5 Solidini gestattet jederzeit ein Audit oder eine Inspektion durch eine zuständige Aufsichtsbehörde und arbeitet mit ihr zusammen.

15. Rückgabe und Löschung

15.1 Während der Laufzeit des Vertrags, einschließlich des Nur-Lesen-Status, kann der Inhaber Solidini per E-Mail an support@getteamstride.com um eine Kopie der Kundendaten bitten. Solidini liefert die Kopie innerhalb von 10 Werktagen nach der Anfrage kostenlos in einem maschinenlesbaren Format (JSON oder CSV). Autorisierte Nutzer können die Kundendaten in dieser Zeit außerdem mit den Funktionen des Dienstes ansehen und drucken.

15.2 Schließt der Inhaber die Organisation, im Dienst oder per E-Mail an support@getteamstride.com, löscht Solidini die Kundendaten dieser Organisation sofort. Vor der Schließung weist der Dienst den Inhaber darauf hin, dass die Schließung alle Kundendaten löscht und nicht rückgängig gemacht werden kann. Der Inhaber sollte die Kopie nach Ziffer 15.1 vor der Schließung anfordern.

15.3 Wird die Organisation nach den Nutzungsbedingungen auf Nur-Lesen gesetzt, bewahrt Solidini die Kundendaten 12 Monate lang auf. Solidini sendet dem Inhaber 30 Tage vor der Löschung eine E-Mail. Nach Ablauf der 12 Monate löscht Solidini die Kundendaten. Der Inhaber kann die Organisation vor diesem Datum schließen. Es gilt dann Ziffer 15.2.

15.4 Mit den Ziffern 15.1 bis 15.3 wählt der Kunde zwischen Rückgabe und Löschung der personenbezogenen Kundendaten nach Abschluss der Verarbeitung, wie es Artikel 28 Abs. 3 Buchst. g DSGVO verlangt.

15.5 Gelöschte Kundendaten verbleiben bis zu 7 Tage in Backups. Die Backups werden innerhalb von 7 Tagen nach der Löschung rotiert, und die gelöschten Daten werden dann überschrieben. Während dieses Zeitraums stellt Solidini die gelöschten Daten nicht wieder her, außer um den Dienst nach einem Vorfall wiederherzustellen. In diesem Fall löscht Solidini die wiederhergestellten Kundendaten erneut.

15.6 Die Ziffern 15.2, 15.3 und 15.5 gelten nicht, soweit Solidini nach dem Recht der EU oder eines Mitgliedstaats zur Speicherung der Daten verpflichtet ist.

15.7 Rechnungen und Abrechnungsunterlagen sind keine Kundendaten. Solidini bewahrt sie als Verantwortlicher 7 Jahre lang auf, wie es das niederländische Steuerrecht verlangt (Artikel 52 des Allgemeinen Gesetzes über Staatssteuern, AWR).

15.8 Die Aufbewahrungsfristen für bestimmte Kundendaten während der Laufzeit des Vertrags ergeben sich aus Anlage 1. Diese Fristen gelten zusätzlich zu dieser Ziffer.

15.9 Auf Anfrage des Kunden bestätigt Solidini die Löschung schriftlich.

16. Haftung und Geldbußen

16.1 Die Haftung von Solidini nach diesem AVV unterliegt Artikel 15 der Nutzungsbedingungen.

16.2 Diese Beschränkung gilt nicht für Schäden, die durch Vorsatz oder bewusste Leichtfertigkeit (opzet of bewuste roekeloosheid) von Solidini oder seiner Geschäftsleitung verursacht wurden.

16.3 Dieser AVV schränkt die Rechte betroffener Personen nach Artikel 82 DSGVO nicht ein.

16.4 Jede Partei trägt die Geldbußen, die eine Aufsichtsbehörde gegen sie verhängt. Eine Partei kann eine solche Geldbuße nicht von der anderen Partei ersetzt verlangen. Hat eine Partei einer betroffenen Person vollständigen Schadenersatz geleistet, kann sie von der anderen Partei den Teil des Schadenersatzes zurückfordern, der dem Anteil der anderen Partei an der Verantwortung für den Schaden entspricht, wie es Artikel 82 Abs. 5 DSGVO vorsieht. Für einen solchen Anspruch gegen Solidini gilt Ziffer 16.1.

16.5 Die Haftung von Solidini gegenüber dem Kunden für seine Unterauftragsverarbeiter nach Artikel 28 Abs. 4 DSGVO und Ziffer 11.4 ist nicht ausgeschlossen. Sie unterliegt weiterhin Artikel 15 der Nutzungsbedingungen, ausgenommen Schäden, die durch Vorsatz oder bewusste Leichtfertigkeit von Solidini oder seiner Geschäftsleitung verursacht wurden.

17. Laufzeit, Beendigung und Fortgeltung

17.1 Dieser AVV kann nicht getrennt vom Vertrag gekündigt werden.

17.2 Dieser AVV gilt, solange Solidini personenbezogene Kundendaten verarbeitet, bis die Löschung nach Ziffer 15 abgeschlossen ist.

17.3 Die Ziffern 6, 10, 14, 15, 16 und 18 gelten nach dem Ende dieses AVV fort, soweit dies für ihren Zweck erforderlich ist.

18. Anwendbares Recht, Gerichtsstand und Änderungen

18.1 Dieser AVV unterliegt niederländischem Recht. Das Übereinkommen der Vereinten Nationen über Verträge über den internationalen Warenkauf (CISG) findet keine Anwendung.

18.2 Für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist ausschließlich das zuständige Gericht des Bezirks zuständig, in dem Solidini seinen satzungsmäßigen Sitz hat, sofern zwingendes Recht nichts anderes bestimmt.

18.3 Solidini kann diesen AVV nach Artikel 18 der Nutzungsbedingungen ändern. Solidini kann diesen AVV ohne dieses Verfahren ändern, wenn eine Änderung des Datenschutzrechts, eine Entscheidung einer Aufsichtsbehörde oder eine gerichtliche Entscheidung dies erfordert. Eine Änderung senkt den Schutz personenbezogener Kundendaten nicht ab, es sei denn, das Gesetz verlangt dies.

18.4 Ist eine Ziffer dieses AVV unwirksam, bleiben die übrigen Ziffern wirksam. Die Parteien ersetzen die unwirksame Ziffer durch eine wirksame Ziffer, die ihrem Zweck so nahe wie möglich kommt.

18.5 Solidini sendet Mitteilungen nach diesem AVV an den Inhaber, wie in Ziffer 2.4 festgelegt. Der Kunde sendet Mitteilungen an legal@getteamstride.com und Angelegenheiten zu personenbezogenen Daten und Verletzungen des Schutzes personenbezogener Daten an privacy@getteamstride.com.

Anlage 1: Beschreibung der Verarbeitung

A1.1 Gegenstand und Art

Solidini hostet, speichert, strukturiert, ruft ab, zeigt an, übermittelt, erzeugt Inhalte aus und löscht personenbezogene Kundendaten, um den Dienst zu erbringen.

A1.2 Zwecke

#	Zweck
1	Autorisierten Nutzern Zugang zur Organisation, ihren Mannschaften und deren Plänen gewähren
2	Saisonpläne, Wochenpläne und Trainingseinheiten erzeugen und Autorisierten Nutzern über den Assistenten antworten
3	Das Mannschaftsgedächtnis führen, damit der Assistent frühere Informationen über die Mannschaft berücksichtigt
4	Die von Autorisierten Nutzern verfassten Inhalte speichern: Gespräche, Check-ins, Gedächtnisnotizen, Eigene Übungen und Rückmeldungen zu Übungen
5	Einladungen und sonstige Dienst-E-Mails mit Bezug zur Organisation versenden
6	Den Dienst unterstützen, warten und absichern, einschließlich der Fehlerdiagnose
7	Eine Kopie personenbezogener Kundendaten bereitstellen und personenbezogene Kundendaten löschen, nach diesem AVV und auf Weisung

A1.3 Kategorien betroffener Personen

Kategorie	Hinweise
Autorisierte Nutzer des Kunden	Inhaber, Koordinatoren und Trainer. Der Inhaber ist 18 Jahre oder älter; Koordinatoren und Trainer sind 16 Jahre oder älter
Zur Organisation eingeladene Personen	Nur die E-Mail-Adresse, bis die Einladung angenommen wird oder abläuft
Jede im Freitext genannte Person	Nur beiläufig und entgegen dem Vertrag. Es gilt Ziffer 4.6

A1.4 Arten personenbezogener Daten

Art	Beispiele
Identitäts- und Kontaktdaten	E-Mail-Adresse, optionaler Anzeigename
Anmeldung	Einmalige Anmeldelinks (Magic-Link-Token), Sitzungen
Organisation und Rolle	Mitgliedschaften, Rollen, Mannschaftszuordnungen, Einladungen (eingeladene E-Mail-Adresse)
Von Autorisierten Nutzern verfasste Inhalte	Gespräche mit dem Assistenten, wöchentliche Check-ins, Notizen im Mannschaftsgedächtnis, Eigene Übungen, Rückmeldungen zu Übungen nach der Trainingseinheit
Nutzungs- und technische Daten	Nutzungsprotokolle, IP-Adresse in technischen Protokollen

Mannschaftsdaten sind aggregiert: Mannschaftsname, Sportart, Altersklasse, Anzahl der Spieler, Leistungsniveau, Trainingszeiten, Spiele und Ziele. Sie sind keine personenbezogenen Daten von Spielern. Eine ohne Personenbezug erfasste Einschränkung, etwa „2 Spieler: keine Sprünge“, ist kein personenbezogenes Datum, solange aus ihr kein Spieler identifiziert werden kann.

A1.5 Besondere Kategorien personenbezogener Daten

Keine. Besondere Kategorien personenbezogener Daten und sonstige Verbotene Daten sind untersagt (Ziffer 4.4).

A1.6 Häufigkeit und Dauer

Die Verarbeitung erfolgt fortlaufend während der Laufzeit des Vertrags. Sie endet, wenn Solidini die Kundendaten nach Ziffer 15 gelöscht hat.

A1.7 Aufbewahrung

Daten	Aufbewahrung
Gespräch mit dem Assistenten	90 Tage
Wöchentlicher Check-in einschl. Freitext	90 Tage
Rückmeldungen zu Übungen nach der Trainingseinheit	180 Tage
Nicht abgeschlossenes Onboarding	30 Tage
Internes Zugriffsprotokoll (wer bei Solidini welches Trainingsdokument angesehen hat)	730 Tage
Nachweis der Annahme (wer die Nutzungsbedingungen und den AVV wann angenommen hat)	solange die Organisation besteht, danach 7 Jahre
Mannschaftsgedächtnis	solange die Mannschaft besteht
Konto, Organisation, Mannschaften, Pläne	bis der Inhaber die Organisation schließt (sofortige Löschung); andernfalls Löschung 12 Monate, nachdem die Organisation auf Nur-Lesen gesetzt wurde, mit Vorankündigung per E-Mail 30 Tage im Voraus
Rechnungen und Abrechnungsunterlagen	7 Jahre (niederländisches Steuerrecht, Art. 52 AWR)
Technische Protokolle (Axiom)	30 Tage
Backups (Supabase)	bis zu 7 Tage rollierend; die Löschung wirkt sich bei der Rotation der Backups aus

Das interne Zugriffsprotokoll, der Nachweis der Annahme sowie Rechnungen und Abrechnungsunterlagen sind Daten, für die Solidini Verantwortlicher ist (Ziffer 3.4). Sie sind der Vollständigkeit halber in dieser Tabelle aufgeführt.

Anlage 2: Technische und organisatorische Maßnahmen

A2.1 Zugangskontrolle für Nutzer

Solidini speichert keine Passwörter. Ein Autorisierter Nutzer meldet sich ausschließlich über einen per E-Mail gesendeten Einmal-Link an (Anmeldelink).
Ein Anmeldelink läuft ab und kann nur einmal verwendet werden.
Sitzungen werden serverseitig gespeichert und können beendet werden.
Einladungstoken sind zufällig, nur einmal verwendbar und werden ausschließlich als kryptografischer Hashwert gespeichert.
Der Zugriff ist rollenbasiert. Die Rollen sind Inhaber, Koordinator und Trainer. Nur der Inhaber verwaltet das Abonnement und schließt die Organisation.
Ein Gespräch mit dem Assistenten, die persönlichen Gedächtnisnotizen eines Trainers und Rückmeldungen nach der Trainingseinheit sind für andere Autorisierte Nutzer nicht sichtbar. Das Mannschaftsgedächtnis ist für die Trainer dieser Mannschaft sichtbar.
Der Dienst begrenzt die Anzahl der Anmeldeanfragen je E-Mail-Adresse und je Quelle sowie die Anzahl der Nachrichten an den Assistenten je Autorisiertem Nutzer, um Missbrauch zu verhindern.

A2.2 Mandantentrennung

Jeder Kunde ist im Datenmodell eine eigene Organisation. Jede Abfrage von Kundendaten ist auf die Organisation beschränkt und, soweit die Rolle es erfordert, auf die Mannschaft.
Jede Kennung, die mit einer Anfrage eingeht, wird ihrer Organisation zugeordnet und vor dem Lesen von Daten mit den Zugriffsrechten des Autorisierten Nutzers abgeglichen.
Der Dienst gibt für „nicht Ihres“ und „existiert nicht“ dieselbe Antwort, damit er nicht offenlegt, welche Datensätze existieren.
Automatisierte Tests sichern die Regeln der Mandantentrennung ab.

A2.3 Verschlüsselung

Der gesamte Datenverkehr zwischen dem Browser und dem Dienst nutzt TLS. Der Dienst sendet HTTP-Strict-Transport-Security-Header.
Der Datenverkehr zwischen dem Dienst und seinen Unterauftragsverarbeitern nutzt TLS.
Der Datenbankanbieter verschlüsselt die Datenbank und ihre Backups im Ruhezustand.

A2.4 Anwendungssicherheit

Alle Datenbankabfragen verwenden gebundene Parameter.
Der Dienst gibt Modellausgaben als Text und nicht als Code wieder.
Der Dienst setzt Sicherheits-Header, darunter eine Content Security Policy und eine Richtlinie, die die Einbettung in Frames untersagt.
Geheimnisse werden in der Umgebungskonfiguration des Hosting-Anbieters vorgehalten und nicht im Quellcode gespeichert.
Geplante interne Endpunkte erfordern ein Geheimnis, das in konstanter Zeit verglichen wird.

A2.5 Protokollierung und Überwachung

Technische Protokolle werden 30 Tage lang in der EU aufbewahrt.
Jede Protokollzeile durchläuft einen Schwärzungsschritt, bevor sie den Dienst verlässt. Die Schwärzung entfernt E-Mail-Adressen, IP-Adressen, Zugangsdaten, Token, Cookies und Datenbank-Verbindungszeichenfolgen.
Von Autorisierten Nutzern verfasster Freitext wird in der Produktion nicht protokolliert.
Jeder organisationsübergreifende Lesezugriff von Mitarbeitern von Solidini auf Trainingsdokumente und jeder Lesezugriff auf Rückmeldungen zu Übungen wird in einem internen Zugriffsprotokoll erfasst. Das Protokoll hält fest, wer was und wie viele Datensätze gelesen hat, nicht jedoch den Inhalt. Es wird 730 Tage lang aufbewahrt.

A2.6 Verfügbarkeit und Datensicherung

Der Datenbankanbieter erstellt tägliche Backups und bewahrt sie bis zu 7 Tage lang auf.
Der Dienst läuft auf der Infrastruktur des Hosting-Anbieters und des Datenbankanbieters, wie in Anlage 3 aufgeführt.

A2.7 Entwicklung und Änderungsmanagement

Test und Produktion nutzen getrennte Datenbanken.
Änderungen an der Datenbankstruktur erfolgen ausschließlich über versionskontrollierte Migrationen.
Die Produktion wird ausschließlich über einen festgelegten Freigabeprozess bereitgestellt.
Eine Test-Anmeldefunktion existiert nur außerhalb der Produktion. Sie kann in der Produktion nicht aktiviert werden.
Solidini prüft Softwareabhängigkeiten auf bekannte Schwachstellen.
Solidini überprüft die Sicherheit des Dienstes, wenn Solidini eine neue, von außen erreichbare Funktion hinzufügt.

A2.8 Personal und interner Zugriff

Der Zugriff auf Produktivsysteme ist nach dem Prinzip der minimalen Rechtevergabe auf namentlich benannte Mitarbeiter von Solidini beschränkt, die ihn benötigen.
Mitarbeiter nutzen für die Verwaltungskonsolen der in Anlage 3 genannten Anbieter eine Multi-Faktor-Authentifizierung.
Mitarbeiter unterliegen Vertraulichkeitspflichten (Ziffer 6).
Zugriffsrechte werden entzogen, wenn ein Mitarbeiter sie nicht mehr benötigt.

A2.9 Reaktion auf Vorfälle

Solidini verfügt über ein Verfahren, um eine Verletzung des Schutzes personenbezogener Daten zu erkennen, zu bewerten, einzudämmen und zu melden.
Solidini benachrichtigt den Kunden nach Ziffer 10 und führt ein Protokoll über Verletzungen.
Meldungen an Solidini sind an privacy@getteamstride.com zu richten.

A2.10 Datenminimierung durch Technikgestaltung

Der Dienst fragt keine Spielerdaten ab. Mannschaftsdaten sind aggregiert.
Der Dienst übermittelt an einen Modellanbieter nur die zur Erzeugung von Ergebnissen erforderlichen Inhalte (Ziffer 13).
Datensätze mit einer Aufbewahrungsfrist erhalten ein Löschdatum, das die Datenbank bei der Erstellung des Datensatzes setzt. Ein geplanter Job löscht Datensätze, sobald dieses Datum überschritten ist.
Autorisierte Nutzer können ihre eigenen Inhalte und das Mannschaftsgedächtnis mit Selbstbedienungsfunktionen löschen (Ziffer 8.2).

Anlage 3: Unterauftragsverarbeiter

Die Liste der Unterauftragsverarbeiter auf der Seite der Unterauftragsverarbeiter des Dienstes ist die maßgebliche und aktuelle Liste (Ziffer 11.2). Diese Tabelle gibt sie mit dem Stand des Datums des Inkrafttretens dieses AVV wieder. „SCC“ bezeichnet die Standardvertragsklauseln. „EU-US DPF“ bezeichnet das EU-US Data Privacy Framework.

Unterauftragsverarbeiter	Zweck	Ort der Verarbeitung	Übermittlungsmechanismus
Vercel Inc. (US)	Hosting der Webanwendung, Serverless-Funktionen, CDN, cookielose Webanalyse	Globales Edge-Netzwerk; Funktionen in Frankfurt, Deutschland (fra1)	EU-US Data Privacy Framework (Vercel ist zertifiziert) + SCC im AVV von Vercel
Supabase Inc. (US)	Hosting der Datenbank (PostgreSQL), Backups	London, Vereinigtes Königreich (AWS eu-west-2)	Angemessenheitsbeschluss für das Vereinigte Königreich (EU 2021, verlängert am 19. Dezember 2025); SCC für etwaige Zugriffe aus den USA
OpenAI, L.L.C. / OpenAI Ireland Ltd	Großes Sprachmodell, das Pläne und Antworten des Assistenten erzeugt. API-Daten werden nicht zum Training verwendet; OpenAI speichert sie bis zu 30 Tage zur Missbrauchsüberwachung und löscht sie danach	Vereinigte Staaten	SCC (Modul 3) im AVV von OpenAI
Resend (Plus Five Five Inc.)	Transaktionale E-Mails: Anmeldelinks, Einladungen, Abrechnungsmitteilungen	Vereinigte Staaten	EU-US DPF (Resend ist zertifiziert) + SCC im AVV von Resend
Axiom Inc.	Anwendungsprotokolle und Fehlerdiagnose (geschwärzt: keine E-Mail-Adressen, kein Freitext)	EU (eu-central-1, Frankfurt)	Verarbeitung in der EU; SCC für etwaige Supportzugriffe aus den USA

Der Modellanbieter im Sinne von Ziffer 13 ist OpenAI.

Stripe Payments Europe Ltd (Irland) verarbeitet Zahlungsdaten. Stripe handelt für Zahlungsdaten als eigenständiger Verantwortlicher nach seinen eigenen Bedingungen. Zahlungsdaten sind keine Kundendaten. Die Seite der Unterauftragsverarbeiter führt Stripe aus Gründen der Transparenz auf.