Databehandleraftale — Badminton Planner

Version: UDKAST 0.1 (7. juli 2026) — ikke juridisk gennemgået Bilag til: Abonnementsvilkårene; tiltrædes elektronisk, når Klubben oprettes på badmintonplanner.dk.

[TJEK inden lancering]: Bilag B (underdatabehandlere) skal verificeres — de konkrete DPA'er og overførselsgrundlag hos hver underleverandør. Railway-regionen er afklaret: EU (Amsterdam, Holland). Udkastet er struktureret efter GDPR art. 28, stk. 3, og kan med fordel holdes op mod Datatilsynets standardaftale.

1. Parterne

Dataansvarlig: Klubben, som identificeret ved oprettelsen på badmintonplanner.dk ("Klubben").

Databehandler: GOTTLIEB IT ApS, CVR-nr. 30727592, Plantagevej 10, 2800 Kgs. Lyngby ("Leverandøren").

2. Baggrund og omfang

2.1. Leverandøren stiller Tjenesten badmintonplanner.dk til rådighed for Klubben, jf. Abonnementsvilkårene. Klubben er dataansvarlig for de personoplysninger om medlemmer m.fl., som Klubben registrerer i Tjenesten; Leverandøren behandler dem alene som databehandler på Klubbens vegne.

2.2. Behandlingens karakter, formål, varighed samt kategorier af oplysninger og registrerede fremgår af Bilag A.

3. Instruks

3.1. Leverandøren behandler kun personoplysningerne efter dokumenteret instruks fra Klubben. Klubbens brug af Tjenestens funktioner udgør instruksen; herudover kan Klubben instruere skriftligt via support.

3.2. Leverandøren underretter Klubben, hvis en instruks efter Leverandørens opfattelse strider mod GDPR eller anden databeskyttelsesret.

3.3. Er Leverandøren efter EU-ret eller dansk ret forpligtet til at behandle oplysningerne på anden vis, underrettes Klubben inden behandlingen, medmindre loven forbyder det.

4. Fortrolighed

4.1. Kun personer med arbejdsbetinget behov har adgang til Klubbens oplysninger, og de er underlagt fortrolighedsforpligtelse.

5. Behandlingssikkerhed (art. 32)

5.1. Leverandøren gennemfører passende tekniske og organisatoriske foranstaltninger, jf. Bilag C, herunder: krypteret transport (TLS), adskilt database pr. klub, adgangsstyring via centraliseret login (Auth0), løbende backups og adskilt test-/produktionsmiljø.

6. Underdatabehandlere

6.1. Klubben giver en generel godkendelse til, at Leverandøren anvender underdatabehandlere. De aktuelle fremgår af Bilag B.

6.2. Ændringer varsles til Klubbens administrator pr. e-mail senest 30 dage før ikrafttræden. Gør Klubben berettiget indsigelse, og kan parterne ikke finde en løsning, kan Klubben opsige abonnementet til ændringens ikrafttræden.

6.3. Leverandøren pålægger underdatabehandlere de samme databeskyttelsesforpligtelser som i denne aftale og hæfter over for Klubben for deres behandling.

7. Overførsler til tredjelande

7.1. Behandling sker som udgangspunkt i EU/EØS. Hvor en underdatabehandler er etableret i et tredjeland (se Bilag B), sker overførsel kun på gyldigt overførselsgrundlag: EU-Kommissionens tilstrækkelighedsafgørelse (herunder EU-U.S. Data Privacy Framework) eller EU's standardkontraktbestemmelser (SCC).

8. Bistand til den dataansvarlige

8.1. Leverandøren bistår — under hensyntagen til behandlingens karakter og de oplysninger, Leverandøren råder over — Klubben med:

9. Brud på persondatasikkerheden

9.1. Leverandøren underretter Klubben uden unødig forsinkelse og senest 48 timer efter at være blevet bekendt med et brud, der vedrører Klubbens oplysninger, med de oplysninger Klubben skal bruge til en eventuel anmeldelse til Datatilsynet (art. 33). Anmeldelse til tilsyn og registrerede er Klubbens ansvar.

10. Sletning og tilbagelevering

10.1. Ved abonnementets ophør opbevares Klubbens database i 30 dage (genoptagelsesmulighed), hvorefter den slettes permanent, medmindre EU-ret eller dansk ret kræver fortsat opbevaring.

10.2. Klubben kan inden sletning anmode om udlevering af sine data i et almindeligt maskinlæsbart format.

10.3. Data i backups slettes ved backup-rotationens udløb [TJEK: retention-periode] og genindlæses ikke.

11. Dokumentation og revision

11.1. Leverandøren stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af art. 28, og muliggør og bidrager til revisioner. Henset til Tjenestens karakter (standardiseret SaaS til foreninger) opfyldes dette som udgangspunkt ved skriftlig dokumentation (denne aftale, Bilag B/C og underdatabehandlernes egne certificeringer og revisionserklæringer). Fysisk audit kan aftales mod dækning af Leverandørens rimelige omkostninger.

12. Varighed og ophør

12.1. Aftalen gælder, så længe Leverandøren behandler personoplysninger på Klubbens vegne, og afløses/ophører sammen med Abonnementsvilkårene.

13. Lovvalg

13.1. Som Abonnementsvilkårene: dansk ret.

Bilag A — Behandlingen
Formål Drift af planlægnings- og tilmeldingstjeneste for Klubbens badmintontræning
Karakter Registrering, opbevaring, visning, mailudsendelse, push-notifikationer, generering af spilleplaner, sletning
Varighed Abonnementsperioden + 30 dages opbevaring efter ophør
Registrerede Klubbens medlemmer/spillere; Klubbens administratorer; evt. trænere og gæstespillere
Oplysningskategorier Navn; e-mailadresse; evt. telefonnummer; tilmeldinger og fremmøde; spillerindstillinger (fx styrkeniveau, ønsket mødetid); beskeder og billeder i klub-chat; tekniske identifikatorer (push-abonnementer, login-id, Holdsport-bruger-id ved aktiveret integration)
Følsomme oplysninger Behandles ikke og må ikke registreres i Tjenesten (Klubbens ansvar, jf. instruksen)

Bilag B — Underdatabehandlere [TJEK: verificér inden lancering]

Leverandør Ydelse Etableret Behandlingssted Overførselsgrundlag
Railway Corp. Hosting af applikation og MySQL-databaser USA EU (Amsterdam, Holland) EU-U.S. DPF / SCC (relevant ved evt. support-/fjernadgang fra USA)
Okta, Inc. (Auth0) Login/autentifikation af administratorer USA EU-tenant (eu.auth0.com) EU-U.S. DPF / SCC
Stripe, Inc. Abonnementsbetaling (kortdata: Stripe er selvstændig dataansvarlig for selve betalingstransaktionen) USA/Irland EU EU-U.S. DPF / SCC
Microsoft Ireland Operations Ltd. E-mailudsendelse (Microsoft Graph) Irland EU — (EU)
Cloudflare, Inc. DNS og netværks-proxy USA Globalt edge-netværk EU-U.S. DPF / SCC

Bilag C — Tekniske og organisatoriske foranstaltninger (TOMs)