Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen die Software-as-a-Service-Plattform AMRAPP (Verwaltung im Browser, App für Mitglieder und Personal) bereit und verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen. Grundlage ist der Nutzungsvertrag nach den AGB des Auftragsverarbeiters (Hauptvertrag).
Dieser Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter Daten des Verantwortlichen verarbeitet.
Nicht Gegenstand dieses Vertrags sind Daten, für die der Auftragsverarbeiter selbst verantwortlich ist (AMRAPP-Konto der Nutzer, Vertragsdaten der Box, Sicherheit der Plattform), sowie Zahlungsdaten, die Stripe bei Online-Zahlungen der Mitglieder als eigener Verantwortlicher verarbeitet.

§ 2 Art, Zweck, Daten und Betroffene

Art der Verarbeitung: Erheben, Speichern, Ordnen, Anzeigen, Ändern, Übermitteln (z. B. Push-Benachrichtigungen, E-Mails), Löschen.

Zweck: Kurs- und Mitgliederverwaltung, Kursbuchung mit Warteliste, Paket- und Zahlungsverwaltung, Rechnungen an Mitglieder, Kommunikation (Neuigkeiten, Benachrichtigungen), Trainingsergebnisse und Ranking, Diagnostik, Dokumente, Auswertungen für die Box.

Kategorien betroffener Personen: Mitglieder und Interessenten (inkl. Gäste in Kursen), Personal des Verantwortlichen (Inhaber, Administratoren, Trainer).

Kategorien von Daten:

Stammdaten: Name, Profilbild, Geburtsdatum, Geschlecht, Kontaktdaten (E-Mail, Telefon, Adresse)
Mitgliedschaft: Rolle, Beitritt, Zustimmungen zu Rechtstexten der Box
Buchungen, Wartelisten, Teilnahmen, Stornierungen und deren Protokoll
Pakete, Zahlungsstatus, Rechnungen, Stripe-Kundennummern (keine vollständigen Bank- oder Kartendaten)
Trainingsdaten: Ergebnisse, Bestleistungen, Kommentare
Gesundheitsdaten (Art. 9 DSGVO): Körperwerte, Herzfrequenzzonen, Dokumente mit Gesundheitsangaben; nur mit Einwilligung der betroffenen Person, die über die Plattform eingeholt und nachgewiesen wird
Dokumente, die der Verantwortliche hochlädt (z. B. Verträge, Trainingspläne)
Nutzungs- und Protokolldaten (Änderungsprotokoll der Box, technische Zugriffsprotokolle)

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet; in diesem Fall teilt er dies vorher mit, soweit das Gesetz es nicht verbietet.
Weisungen sind der Hauptvertrag, dieser Vertrag und die Nutzung der Funktionen der Plattform durch den Verantwortlichen. Weitere Weisungen erteilt der Verantwortliche in Textform.
Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

§ 4 Pflichten des Auftragsverarbeiters

Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
Er unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei Anfragen betroffener Personen (Art. 15 bis 22 DSGVO). Die Plattform bietet dafür u. a. Datenexport, Berichtigung, Löschung von Konten und Widerruf von Einwilligungen. Anfragen, die beim Auftragsverarbeiter eingehen, leitet er unverzüglich weiter.
Er unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation).
Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
Er stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Pflichten zur Verfügung und ermöglicht Überprüfungen (§ 7).
Er verarbeitet die Daten nicht für eigene Zwecke. Daten werden nicht verkauft und nicht für Werbung genutzt. Testsysteme werden nur mit anonymisierten Daten betrieben.

§ 5 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Information der betroffenen Personen verantwortlich, insbesondere für eigene AGB und Datenschutzhinweise gegenüber seinen Mitgliedern.
Gesundheitsdaten erfasst der Verantwortliche nur mit wirksamer Einwilligung der betroffenen Person. Erfasst er eine schriftliche Einwilligung in der Plattform, bewahrt er den Nachweis auf. Widerruft eine Person ihre Einwilligung, werden die betroffenen Daten gelöscht.
Verbindet der Verantwortliche Dienste Dritter mit seiner Box (z. B. einen KI-Assistenten oder Stripe für Online-Zahlungen), entscheidet er selbst über deren Einsatz; diese Dienste sind keine Unterauftragnehmer des Auftragsverarbeiters. An KI-Assistenten übermittelt die Plattform keine Daten von Mitgliedern.

§ 6 Unterauftragnehmer

Der Verantwortliche genehmigt den Einsatz der in Anlage 2 genannten Unterauftragnehmer.
Der Auftragsverarbeiter darf weitere Unterauftragnehmer einsetzen oder bestehende ersetzen (allgemeine Genehmigung). Er informiert den Verantwortlichen mindestens vier Wochen vorher in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.
Der Auftragsverarbeiter verpflichtet Unterauftragnehmer vertraglich auf dieselben Datenschutzpflichten. Übermittlungen in Drittländer erfolgen nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO (Angemessenheitsbeschluss, insbesondere EU-US Data Privacy Framework, oder Standardvertragsklauseln).

§ 7 Kontrollrechte

Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen, vorrangig durch Auskünfte und Unterlagen des Auftragsverarbeiters, nach rechtzeitiger Anmeldung (mindestens zwei Wochen) auch durch Prüfungen vor Ort während der üblichen Geschäftszeiten, ohne den Betrieb unverhältnismäßig zu stören. Der Auftragsverarbeiter wirkt mit.

§ 8 Ende der Verarbeitung

Der Verantwortliche kann seine Daten bis zum Ende des Hauptvertrags über die Exportfunktionen der Plattform sichern. Nach Vertragsende werden die Daten nur noch gespeichert. 90 Tage nach Vertragsende löscht der Auftragsverarbeiter alle Daten des Verantwortlichen endgültig, auf Anforderung des Verantwortlichen auch früher, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht; Daten in Sicherungskopien werden mit deren regulärem Ablauf gelöscht. Konten von Mitgliedern, die weiteren Boxen angehören, bleiben ohne Zuordnung zum Verantwortlichen bestehen.

§ 9 Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln des Hauptvertrags.
Änderungen dieses Vertrags bedürfen der Textform; die Zustimmung über die Plattform genügt. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um Datenschutz geht.
Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit, Zutritt: Server in einem Rechenzentrum in Frankfurt am Main mit Zutrittskontrolle des Betreibers; keine Datenhaltung in eigenen Büroräumen.
Zugang: Serverzugang per SSH-Schlüssel; Administrationszugänge nur für den Inhaber; Passwörter der Nutzer nur als Hash (bcrypt), Passkeys (WebAuthn), Begrenzung von Anmeldeversuchen (Rate-Limits).
Zugriff: Rollen- und Rechtekonzept je Box (Mitglied, Trainer, Administrator, Inhaber); technische Trennung der Daten je Box (Mandantentrennung mit Prüfung bei jedem Zugriff); Dokumente in nicht öffentlichem Speicher, Abruf nur nach Berechtigungsprüfung.
Weitergabe: durchgehende Transportverschlüsselung (TLS); Push-Nachrichten nur mit nötigem Inhalt; keine Weitergabe an Dritte außer an Unterauftragnehmer (Anlage 2).
Eingabekontrolle: Änderungsprotokoll je Box (wer hat wann was geändert, Aufbewahrung 365 Tage); technische Zugriffsprotokolle (6 Monate); Sicherheitsprotokoll zu Konto-Änderungen (12 Monate).
Verfügbarkeit: regelmäßige Datensicherungen; Schutz vor Angriffen über Cloudflare; Wartungsmodus bei Updates; Updates zuerst auf einem Testsystem mit anonymisierten Daten.
Trennung: getrennte Live- und Testumgebung; Testdaten werden beim Kopieren automatisch anonymisiert.
Datenschutz durch Technikgestaltung: Gesundheitsdaten nur mit nachgewiesener Einwilligung, Widerruf mit Löschung; Kontolöschung und Datenexport durch die betroffene Person selbst; keine Tracking-Dienste in der App.
Organisation: Verzeichnis der Verarbeitungstätigkeiten, festgelegter Ablauf bei Datenschutzverletzungen, regelmäßige Überprüfung der Maßnahmen.

Anlage 2: Unterauftragnehmer

ready4 Ltd., 128 City Road, London EC1V 2NX, Vereinigtes Königreich: Hosting der Server und Datenbank; Serverstandort Frankfurt am Main, Deutschland (Vereinigtes Königreich: Angemessenheitsbeschluss)
Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA: Schutz vor Angriffen und Auslieferung (Durchleitung des Datenverkehrs); EU-US Data Privacy Framework
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Firebase Cloud Messaging): Zustellung von Push-Benachrichtigungen; mögliche Übermittlung an Google LLC, USA, EU-US Data Privacy Framework
STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin: Versand von E-Mails der Plattform