Databehandleraftale — Badminton Planner

Version: 1.3 (30. august 2026) Bilag til: Abonnementsvilkårene; tiltrædes elektronisk, når Klubben oprettes på badmintonplanner.dk. Den accepterede version registreres, og afløste versioner arkiveres uændret og kan fremvises på anmodning til support.

1. Parterne

Dataansvarlig: Klubben, som identificeret ved oprettelsen på badmintonplanner.dk ("Klubben").

Databehandler: GOTTLIEB IT ApS, CVR-nr. 30727592, Plantagevej 10, 2800 Kgs. Lyngby ("Leverandøren").

2. Baggrund og omfang

2.1. Leverandøren stiller Tjenesten badmintonplanner.dk til rådighed for Klubben, jf. Abonnementsvilkårene. Klubben er dataansvarlig for de personoplysninger om medlemmer m.fl., som Klubben registrerer i Tjenesten; Leverandøren behandler dem alene som databehandler på Klubbens vegne.

2.2. Behandlingens karakter, formål, varighed samt kategorier af oplysninger og registrerede fremgår af Bilag A.

3. Instruks

3.1. Leverandøren behandler kun personoplysningerne efter dokumenteret instruks fra Klubben. Klubbens brug af Tjenestens funktioner udgør instruksen; herudover kan Klubben instruere skriftligt via support.

3.2. Leverandøren underretter Klubben, hvis en instruks efter Leverandørens opfattelse strider mod GDPR eller anden databeskyttelsesret.

3.3. Er Leverandøren efter EU-ret eller dansk ret forpligtet til at behandle oplysningerne på anden vis, underrettes Klubben inden behandlingen, medmindre loven forbyder det.

4. Fortrolighed

4.1. Kun personer med arbejdsbetinget behov har adgang til Klubbens oplysninger, og de er underlagt fortrolighedsforpligtelse.

5. Behandlingssikkerhed (art. 32)

5.1. Leverandøren gennemfører passende tekniske og organisatoriske foranstaltninger, jf. Bilag C, herunder: krypteret transport (TLS), adskilt database pr. klub, adgangsstyring via centraliseret login (Auth0), løbende backups og adskilt test-/produktionsmiljø.

6. Underdatabehandlere

6.1. Klubben giver en generel godkendelse til, at Leverandøren anvender underdatabehandlere. De aktuelle fremgår af Bilag B.

6.2. Ændringer varsles til Klubbens administratorer (jf. Abonnementsvilkårenes pkt. 6.1) pr. e-mail senest 30 dage før ikrafttræden. Gør Klubben berettiget indsigelse, og kan parterne ikke finde en løsning, kan Klubben opsige abonnementet til ændringens ikrafttræden.

6.3. Leverandøren pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i denne aftale og hæfter over for Klubben for deres behandling.

7. Overførsler til tredjelande

7.1. Behandling sker som udgangspunkt i EU/EØS. Hvor en underdatabehandler er etableret i et tredjeland (se Bilag B), sker overførsel kun på gyldigt overførselsgrundlag: EU-Kommissionens tilstrækkelighedsafgørelse (herunder EU-U.S. Data Privacy Framework) eller EU's standardkontraktbestemmelser (SCC).

8. Bistand til den dataansvarlige

8.1. Leverandøren bistår — under hensyntagen til behandlingens karakter og de oplysninger, Leverandøren råder over — Klubben med:

9. Brud på persondatasikkerheden

9.1. Leverandøren underretter Klubben uden unødig forsinkelse og senest 48 timer efter at være blevet bekendt med et brud, der vedrører Klubbens oplysninger, med de oplysninger Klubben skal bruge til en eventuel anmeldelse til Datatilsynet (art. 33). Fristen er sat kortere end Klubbens egen 72-timers frist, så Klubben har reel tid til at nå at anmelde. Anmeldelse til tilsyn og registrerede er Klubbens ansvar. Leverandørens interne fremgangsmåde ved brud er beskrevet i en drejebog, der fremvises på anmodning.

9.2. Underretningen sker pr. e-mail til Klubbens registrerede administratorer (jf. Abonnementsvilkårenes pkt. 6.1) og indeholder — i det omfang oplysningerne foreligger — bruddets karakter, de berørte kategorier og omtrentlige antal registrerede, de sandsynlige konsekvenser og de foranstaltninger, Leverandøren har truffet. Foreligger alle oplysninger ikke inden for fristen, underretter Leverandøren rettidigt om det, der er kendt, og supplerer løbende.

10. Sletning og tilbagelevering

10.1. Ved abonnementets ophør opbevares Klubbens database i 30 dage (genoptagelsesmulighed), hvorefter den slettes permanent, medmindre EU-ret eller dansk ret kræver fortsat opbevaring.

10.2. Klubben kan inden sletning anmode om udlevering af sine data; Leverandøren udleverer inden for 14 dage efter anmodningen et databaseudtræk (SQL) og Klubbens medlemsliste (CSV), jf. Abonnementsvilkårenes pkt. 5.2.

10.3. Data i backups slettes ved backup-rotationens udløb (længste retention: 3 måneder) og genindlæses ikke.

11. Dokumentation og revision

11.1. Leverandøren stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af art. 28, og muliggør og bidrager til revisioner. Henset til Tjenestens karakter (standardiseret SaaS til foreninger) opfyldes dette som udgangspunkt ved skriftlig dokumentation (denne aftale, Bilag B/C og underdatabehandlernes egne certificeringer og revisionserklæringer). Fysisk audit kan aftales mod dækning af Leverandørens rimelige omkostninger.

12. Ansvar

12.1. Abonnementsvilkårenes pkt. 7.5-7.6 (ansvarsbegrænsning og dens undtagelser) gælder også for krav i henhold til denne aftale. Hver part hæfter over for de registrerede efter GDPR art. 82; den part, der har betalt erstatning, kan kræve regres hos den anden i det omfang, denne er ansvarlig.

13. Varighed og ophør

13.1. Aftalen gælder, så længe Leverandøren behandler personoplysninger på Klubbens vegne, og afløses/ophører sammen med Abonnementsvilkårene.

14. Lovvalg

14.1. Som Abonnementsvilkårene: dansk ret.

Bilag A — Behandlingen
Formål Drift af planlægnings- og tilmeldingstjeneste for Klubbens badmintontræning
Karakter Registrering, opbevaring, visning, mailudsendelse, push-notifikationer, generering af spilleplaner, sletning
Varighed Abonnementsperioden + 30 dages opbevaring efter ophør
Registrerede Klubbens medlemmer/spillere; Klubbens administratorer; evt. trænere og gæstespillere
Oplysningskategorier Navn; e-mailadresse; evt. telefonnummer; køn (bruges til at sammensætte mixdoubler); tilmeldinger og fremmøde; spillerindstillinger (fx styrkeniveau, ønsket mødetid); beskeder og billeder i klub-chat; tilmeldinger til klubbens events; tekniske identifikatorer (push-abonnementer, login-id, Holdsport-bruger-id ved aktiveret integration); log over administratorhandlinger (se nedenfor)
Log over administratorhandlinger Tildeling og fjernelse af administratoradgang samt invitationer logges med handling, tidspunkt og e-mailadresse på den, der udførte handlingen, og den, det gik ud over. Formålet er ansvarlighed og sikkerhed (hvem gav hvem adgang). Loggen består ved sletning af en enkelt person — ellers ville den miste sin dokumentationsværdi — og slettes sammen med Klubbens database ved abonnementets ophør, jf. § 10
Følsomme oplysninger Behandles ikke og må ikke registreres i Tjenesten (Klubbens ansvar, jf. instruksen). Køn er ikke en følsom oplysning efter art. 9, men en almindelig personoplysning
Mindreårige Tjenesten er bygget til voksne spillere. Registrerer Klubben personer under 15 år, sker det på Klubbens instruks og med samtykke fra forældremyndighedens indehaver (Abonnementsvilkårenes pkt. 6.2); Klubben vurderer selv, om portalens chat er egnet til dem

Bilag B — Underdatabehandlere (verificeret 7. juli 2026; daterede kopier af underdatabehandlernes aftaler opbevares af Leverandøren og fremvises på anmodning)

Leverandør Ydelse Etableret Behandlingssted Overførselsgrundlag
Railway Corp. Hosting af applikation og MySQL-databaser USA EU (Amsterdam, Holland) EU-U.S. DPF / SCC (relevant ved evt. support-/fjernadgang fra USA)
Okta, Inc. (Auth0) Login/autentifikation af administratorer USA EU-tenant (eu.auth0.com) EU-U.S. DPF / SCC
Stripe, Inc. Abonnementsbetaling (kortdata: Stripe er selvstændig dataansvarlig for selve betalingstransaktionen) USA/Irland EU EU-U.S. DPF / SCC
Microsoft Ireland Operations Ltd. E-mailudsendelse (Microsoft Graph) og backup-opbevaring (Azure Storage) Irland EU — Azure Storage med geo-redundant lagring: primær West Europe (Holland), sekundær North Europe (Irland) — (EU/EØS, også for replikeringen)
Cloudflare, Inc. DNS og netværks-proxy USA Globalt edge-netværk EU-U.S. DPF / SCC
Browserleverandørernes push-tjenester (Apple Inc., Google LLC, Mozilla Corp.) Levering af push-notifikationer til medlemmer, der har slået dem til. Modtager kun det tekniske push-endpoint; beskedens indhold er krypteret (RFC 8291) og kan ikke læses af leverandøren USA Globalt EU-U.S. DPF / SCC

Holdsport er ikke underdatabehandler. Vælger Klubben at aktivere Holdsport-integrationen, er det Klubbens eget system, som Klubben selv har aftale med. Data går ind i Tjenesten: Tjenesten henter Klubbens egne tilmeldinger (navn, e-mail, evt. telefonnummer og Holdsport-bruger-id) på Klubbens instruks og opbevarer dem i Klubbens database. Leverandøren sender ikke personoplysninger til Holdsport og behandler ikke oplysninger på Holdsports vegne. Klubben er dataansvarlig for behandlingen begge steder og er ansvarlig for sit eget forhold til Holdsport. Integrationen er frivillig og slået fra som udgangspunkt.

Bilag C — Tekniske og organisatoriske foranstaltninger (TOMs)