Auftragsverarbeitungsvertrag (AVV)

1. Vertragsparteien und Vertragsschluss

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist das Studio (der Kunde), das REPPPS zur Verwaltung seines Trainingsbetriebs nutzt. Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO ist REPPPS, betrieben von Stefan Pasch, Alte Bäckerei 9, 19057 Schwerin, Deutschland, E-Mail: hi@reppps.app. Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch REPPPS im Auftrag des Studios gemäß Art. 28 DSGVO.

Dieser AVV wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO): Die für das Studio handelnde Person nimmt ihn beim Start des Studios durch Setzen des entsprechenden Häkchens an. REPPPS protokolliert dabei die angenommene Version dieses AVV, den Zeitpunkt der Annahme, das Studio und das Benutzerkonto, mit dem die Annahme erklärt wurde.

2. Abgrenzung der Verantwortlichkeiten

REPPPS ist nur insoweit Auftragsverarbeiter, als personenbezogene Daten für den Coach-Bereich des Studios verarbeitet werden (Ziffer 6). Jedes Mitglied nutzt REPPPS zugleich mit einem eigenen Konto und einem eigenen Trainingsprotokoll. Für dieses Konto und die Verarbeitung im Rahmen der eigenen Nutzung durch das Mitglied ist REPPPS eigenständiger Verantwortlicher; diese Verarbeitung ist nicht Gegenstand dieses AVV.

Einzelheiten zur Verarbeitung, für die REPPPS Verantwortlicher ist, finden Sie in unserer Datenschutzerklärung.

3. Gegenstand der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung einer Trainings-Tracking-Anwendung, mit der das Studio das Training seiner Mitglieder begleiten, einsehen und dokumentieren kann.

4. Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer der vertraglichen Nutzung von REPPPS durch das Studio. Sie endet mit der Beendigung des Studio-Abonnements bzw. der Löschung des Studio-Kontos; Löschung und Rückgabe der Daten richten sich nach Ziffer 16.

5. Art und Zweck der Verarbeitung

REPPPS verarbeitet die in Ziffer 6 genannten Daten ausschließlich zu dem Zweck, dem Studio die in diesem AVV beschriebene Trainingsbegleitung seiner Mitglieder zu ermöglichen. Dazu gehört insbesondere, die Trainingsdaten und den Trainingsfortschritt der Mitglieder im Coach-Bereich des Studios anzuzeigen, einschließlich des Zeitpunkts des letzten Trainings, damit das Studio Mitglieder nach längerer Trainingspause kontaktieren kann, sowie auf Veranlassung des Studios Einladungen per E-Mail zu versenden. Die Verarbeitung umfasst das Speichern, Auswerten (z. B. Bestleistungen und Trainingshäufigkeit) und Anzeigen dieser Daten.

6. Art der personenbezogenen Daten

Im Rahmen des Coach-Bereichs verarbeitet REPPPS im Auftrag des Studios ausschließlich die folgenden Kategorien personenbezogener Daten:

• Stammdaten der Mitglieder: Name und E-Mail-Adresse
• Trainingseinheiten
• Sätze mit Wiederholungen, Gewicht und RIR
• Persönliche Bestleistungen (PRs)
• Auslassungsgründe (siehe Ziffer 7)
• Fortschrittsdiagramme
• Vom Studio zugewiesene Trainingspläne und der Fortschritt darin
• E-Mail-Adressen von Personen, die das Studio per E-Mail einlädt

Nicht Gegenstand dieses AVV sind Daten, die das Mitglied privat führt und die das Studio nicht einsehen kann, insbesondere Körpergewicht und persönliche Notizen.

7. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Auslassungsgründe können Rückschlüsse auf den Gesundheitszustand eines Mitglieds zulassen, etwa wenn eine Übung wegen „Schmerzen“ ausgelassen wird. Solche Angaben können Gesundheitsdaten im Sinne von Art. 9 DSGVO sein. Sie werden nur im Rahmen der Einwilligung verarbeitet, die das Mitglied beim Beitritt zum Studio für die Sichtbarkeit im Coach-Bereich erteilt hat, und sind nach einem Widerruf dieser Einwilligung für das Studio nicht mehr sichtbar. Das Studio darf diese Angaben ausschließlich zur Begleitung des Trainings des betreffenden Mitglieds nutzen und nicht für andere Zwecke verwenden.

8. Kategorien betroffener Personen

Betroffene Personen sind die Mitglieder des Studios, die den Einladungslink des Studios nutzen und der Coach-Sichtbarkeit zugestimmt haben, sowie Personen, die das Studio per E-Mail zum Beitritt einlädt.

9. Verarbeitung nur auf Weisung

REPPPS verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Studios, es sei denn, REPPPS ist durch das Recht der Europäischen Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet. In einem solchen Fall teilt REPPPS dem Studio diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Die Weisungen des Studios ergeben sich aus diesem AVV und aus der Nutzung der Funktionen von REPPPS durch das Studio. Weitere Weisungen erteilt das Studio in Textform (z. B. per E-Mail). Ist REPPPS der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert REPPPS das Studio unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO).

10. Vertraulichkeit

REPPPS gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

11. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

REPPPS trifft angemessene technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören insbesondere:

• Verschlüsselte Übertragung (TLS/HTTPS) aller Verbindungen zwischen den Endgeräten der Nutzer und REPPPS
• Hosting in der EU in professionell betriebenen Rechenzentren; Anwendung, Datenbank und Cache kommunizieren über das private Netzwerk des Hosting-Anbieters
• Speicherung von Passwörtern ausschließlich als Hash sowie optionale Zwei-Faktor-Authentifizierung (Authenticator-App/TOTP, Einmalcode per E-Mail, Backup-Codes)
• Rollenbasierte Zugriffskontrolle: Das Studio sieht ausschließlich Mitglieder, die der Coach-Sichtbarkeit zugestimmt haben; dies wird bei jedem Abruf serverseitig für jedes einzelne Mitglied geprüft
• Begrenzung der Anfragerate (Rate Limiting) für Anmeldung, Registrierung, Passwort-Zurücksetzung und Zwei-Faktor-Prüfung zum Schutz vor Brute-Force-Angriffen
• Protokollierung sicherheitsrelevanter Ereignisse (z. B. Aktivierung und Deaktivierung der Zwei-Faktor-Authentifizierung, Kontolöschungen, administrative Eingriffe)
• Tägliche automatische Datenbanksicherungen mit rotierender Aufbewahrung von 6 Tagen sowie Point-in-Time-Recovery
• Zugriff auf Produktivsysteme und -daten ausschließlich durch den Betreiber und nur, soweit dies für Betrieb, Wartung, Fehlerbehebung oder Support erforderlich ist

12. Unterauftragsverarbeiter

Das Studio erteilt REPPPS hiermit die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) in Anspruch zu nehmen (Art. 28 Abs. 2 DSGVO). Die bei Abschluss dieses AVV eingesetzten Unterauftragsverarbeiter gelten als genehmigt.

Eine vollständige, aktuelle Liste mit Rolle, Gerichtsstand und Datenschutzvereinbarung finden Sie auf unserer Unterauftragsverarbeiter-Seite.

REPPPS informiert das Studio vorab über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, indem REPPPS die Unterauftragsverarbeiter-Seite aktualisiert und den Inhaber des Studio-Kontos per E-Mail benachrichtigt. Das Studio kann der Änderung innerhalb von 14 Tagen nach Zugang der Benachrichtigung in Textform widersprechen; die Änderung wird frühestens nach Ablauf dieser Frist wirksam. Lässt sich nach einem Widerspruch keine einvernehmliche Lösung finden, kann das Studio das Studio-Abonnement zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.

REPPPS erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet REPPPS gegenüber dem Studio für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters.

13. Ort der Verarbeitung und Drittlandübermittlungen

Die Verarbeitung erfolgt grundsätzlich in der Europäischen Union: Anwendung, Datenbank und Cache werden in der Region europe-west4 (Niederlande) des Hosting-Anbieters betrieben. Soweit Unterauftragsverarbeiter ihren Sitz in einem Drittland haben oder bei der Erbringung ihrer Leistungen personenbezogene Daten in ein Drittland übermitteln, erfolgt dies nur unter Einhaltung der Art. 44 ff. DSGVO, insbesondere auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework, soweit der Empfänger danach zertifiziert ist, und/oder von Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

14. Unterstützung des Studios

REPPPS unterstützt das Studio nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen betroffener Personen (Art. 12-23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, einschließlich der Meldung von Datenschutzverletzungen (Ziffer 15).

15. Meldung von Datenschutzverletzungen

REPPPS meldet dem Studio jede Verletzung des Schutzes personenbezogener Daten, die im Auftrag des Studios verarbeitete Daten betrifft, unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem REPPPS von ihr Kenntnis erlangt hat. Die Meldung erfolgt per E-Mail an den Inhaber des Studio-Kontos und enthält die Informationen nach Art. 33 Abs. 3 DSGVO: eine Beschreibung der Art der Verletzung, soweit möglich mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, eine Anlaufstelle für weitere Informationen, die wahrscheinlichen Folgen der Verletzung sowie die ergriffenen oder vorgeschlagenen Maßnahmen zu ihrer Behebung und Abmilderung. Soweit diese Informationen nicht zur selben Zeit bereitgestellt werden können, stellt REPPPS sie ohne unangemessene weitere Verzögerung schrittweise zur Verfügung.

16. Löschung und Rückgabe

Endet das Studio-Abonnement, benachrichtigt REPPPS den Inhaber des Studio-Kontos per E-Mail und nennt das Löschdatum. Das Löschdatum liegt 30 Tage nach Vertragsende, frühestens jedoch 14 Tage nach der Benachrichtigung. Bis zum Löschdatum kann das Studio das Abonnement im Coach-Bereich reaktivieren; damit entfällt die Löschung. Ebenso kann das Studio bis dahin per E-Mail an hi@reppps.app die Rückgabe der im Auftrag des Studios verarbeiteten personenbezogenen Daten verlangen; REPPPS übermittelt sie ihm dann in einem gängigen elektronischen Format und löscht sie erst danach. Andernfalls werden die Daten am Löschdatum automatisch gelöscht, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht. Gelöschte Daten können in Datensicherungen und im Archiv für die Point-in-Time-Wiederherstellung noch bis zu etwa 4 Wochen enthalten sein, bis sie im Rahmen der regulären Rotation überschrieben werden. Die eigenen Konten und Trainingsprotokolle der Mitglieder werden nicht gelöscht, da REPPPS für sie eigenständiger Verantwortlicher ist (Ziffer 2); für das Studio sind diese Daten nach Vertragsende nicht mehr sichtbar.

17. Informations- und Kontrollrechte

REPPPS stellt dem Studio alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO und in diesem AVV niedergelegten Pflichten erforderlich sind, und ermöglicht Überprüfungen, einschließlich Inspektionen, durch das Studio oder einen von ihm beauftragten Prüfer. Der Nachweis erfolgt vorrangig durch Dokumentation, insbesondere durch Auskünfte und Unterlagen zu den technischen und organisatorischen Maßnahmen. Kontrollen vor Ort sind mindestens 14 Tage im Voraus anzukündigen und finden während der üblichen Geschäftszeiten statt, ohne den Betrieb von REPPPS zu stören. Das Studio trägt die ihm im Zusammenhang mit Kontrollen entstehenden Kosten selbst.

18. Schlussbestimmungen

Laufzeit und Kündigung: Dieser AVV gilt für die Laufzeit des Studio-Abonnements einschließlich einer etwaigen Testphase und endet mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf. Pflichten, die ihrer Natur nach über das Vertragsende hinaus fortwirken, insbesondere nach Ziffer 10 (Vertraulichkeit) und Ziffer 16 (Löschung und Rückgabe), bleiben bestehen.

Vorrang: Bei Widersprüchen zwischen diesem AVV und den Allgemeinen Geschäftsbedingungen von REPPPS gehen in Bezug auf den Schutz personenbezogener Daten die Regelungen dieses AVV vor.

Haftung: Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen dem Studio und REPPPS gelten im Übrigen die Haftungsregelungen der Allgemeinen Geschäftsbedingungen.