Auftragsverarbeitungsvertrag

Dieser Vertrag wird geschlossen zwischen dem Inhaber einer Gympli-Organisation („Verantwortlicher“) und [Vor- und Nachname], [Straße und Hausnummer], [PLZ] [Ort], Deutschland („Auftragsverarbeiter“). Er ist Bestandteil der AGB und kommt mit dem Abschluss eines Abonnements bzw. Testzeitraums zustande; die elektronische Form genügt (Art. 28 Abs. 9 DSGVO).

1. Gegenstand und Dauer

1. Der Auftragsverarbeiter stellt dem Verantwortlichen die Software Gympli bereit (Hauptvertrag). Dabei verarbeitet er personenbezogene Daten, die der Verantwortliche, sein Team und seine Kunden in der Organisation erfassen („Auftragsdaten“), ausschließlich im Auftrag des Verantwortlichen.
2. Nicht Gegenstand dieses Vertrags sind Daten, für die der Auftragsverarbeiter selbst verantwortlich ist: Benutzerkonten, Anmelde- und Sicherheitsdaten, die Abrechnung des Abonnements, Support-Anfragen und der Besuch der Website (siehe Datenschutzerklärung).
3. Der Vertrag läuft so lange, wie der Auftragsverarbeiter Auftragsdaten verarbeitet, und endet nicht vor dem Hauptvertrag.

2. Art, Zweck, Datenarten und Betroffene

3. Weisungen

1. Der Auftragsverarbeiter verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der EU oder eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese Pflicht vorher mit, sofern das Recht dies nicht verbietet.
2. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und der Nutzung der Funktionen und Einstellungen von Gympli durch den Verantwortlichen und sein Team. Weitere Weisungen erteilt der Verantwortliche in Textform an [E-Mail-Adresse].
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

4. Pflichten des Auftragsverarbeiters

1. Vertraulichkeit: Personen, die Zugang zu Auftragsdaten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Der Auftragsverarbeiter greift auf Auftragsdaten nur zu, soweit es für Betrieb, Wartung und Fehlerbehebung erforderlich ist; eine Verwaltungsoberfläche zum Lesen von Coaching-Inhalten gibt es nicht.
2. Sicherheit: Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Abschnitt 7) und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
3. Unterstützung: Er unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO) und bei den Pflichten aus Art. 32–36 DSGVO. Anträge, die ihn direkt erreichen, leitet er unverzüglich an den Verantwortlichen weiter.
4. Datenschutzverletzungen: Er meldet dem Verantwortlichen eine Verletzung des Schutzes von Auftragsdaten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.
5. Nachweise: Er stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Inspektionen sind mit angemessener Frist anzukündigen, während der Geschäftszeiten durchzuführen und dürfen den Betrieb und die Daten anderer Kunden nicht beeinträchtigen.
6. Verarbeitungsort: Auftragsdaten werden in Rechenzentren in Deutschland gespeichert. Eine Übermittlung in ein Land außerhalb der EU/des EWR erfolgt nur durch die in Abschnitt 6 genannten Unterauftragsverarbeiter und nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

5. Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für eine Rechtsgrundlage, die Information seiner Kunden und seines Teams und die Wahrung ihrer Rechte.
2. Für Gesundheitsdaten seiner Kunden (Art. 9 DSGVO) holt der Verantwortliche selbst die erforderliche Einwilligung ein, dokumentiert sie und beachtet ihren Widerruf. Er entscheidet über Auskunfts-, Berichtigungs- und Löschungsanfragen seiner Kunden; der Auftragsverarbeiter unterstützt ihn dabei (Ziffer 4 Abs. 3).
3. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

6. Unterauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Derzeit sind dies:

1. Stripe Payments Europe, Ltd. (Dublin, Irland) verarbeitet nur die Abrechnungsdaten des Inhabers, für die der Auftragsverarbeiter selbst verantwortlich ist, und ist deshalb kein Unterauftragsverarbeiter für Auftragsdaten.
2. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags. Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, und im Übrigen, wo anwendbar, auf die Standardvertragsklauseln der EU-Kommission.
3. Über eine beabsichtigte Hinzuziehung oder Ersetzung informiert der Auftragsverarbeiter den Verantwortlichen mindestens vier Wochen vorher per E-Mail. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

7. Technische und organisatorische Maßnahmen

• Verschlüsselung: Alle Verbindungen sind per TLS verschlüsselt (HTTPS mit HSTS). Datenexporte werden verschlüsselt (libsodium) erzeugt, sind 48 Stunden gültig und nur einmal abrufbar.
• Zugangskontrolle: Passwörter werden nur als bcrypt-Hash gespeichert; Zwei-Faktor-Anmeldung (TOTP) ist verfügbar, ihre Geheimnisse werden verschlüsselt gespeichert. Anmeldeversuche werden begrenzt. Nutzer sehen ihre Sitzungen und können sie beenden; eine Passwortänderung beendet alle anderen Sitzungen. Die mobile App speichert ihr Token im sicheren Speicher des Geräts.
• Zugriffskontrolle: Jede Anfrage ist auf die Organisation beschränkt, der das angemeldete Konto angehört; Kennungen aus der Anfrage werden dafür nicht verwendet. Innerhalb der Organisation gelten feste Rollen: Kunden sehen nur ihre eigenen Daten, Team-Mitglieder nur ihre zugewiesenen Kunden (bei Neuzuweisung entfällt der Zugriff sofort), der Inhaber alle Kunden. Unterhaltungen sind nur für Beteiligte und den zuständigen Trainer lesbar, nicht für den Inhaber als solchen.
• Speicherung von Dateien: Fotos, Anhänge und Exporte liegen in einem nicht öffentlichen Objektspeicher und werden nur nach Anmeldung und Berechtigungsprüfung ausgeliefert. Einzige Ausnahme sind verkleinerte Profilbilder, die über eine nicht erratbare Adresse abrufbar sind.
• Trennung: Daten verschiedener Organisationen werden logisch getrennt; Test- und Produktivsysteme sind getrennt.
• Eingabekontrolle: Ein Protokoll erfasst sicherheitsrelevante Vorgänge (z. B. Anmeldungen, Rollen- und Mitgliedsänderungen, Exporte, Abrufe von Anhängen) und wird 365 Tage aufbewahrt.
• Verfügbarkeit: Betrieb in Rechenzentren der Hetzner Online GmbH in Deutschland. [[Datensicherung: Verfahren, Häufigkeit, Aufbewahrung und Wiederherstellungstest beschreiben]]
• Löschung: Dateien gelöschter Konten werden durch einen Hintergrundprozess und eine tägliche Bereinigung entfernt; technische Daten werden nach festen Fristen gelöscht (siehe Datenschutzerklärung).
• Überprüfung: Abhängigkeiten werden auf bekannte Sicherheitslücken geprüft und aktualisiert; die Maßnahmen werden regelmäßig überprüft.

8. Löschung und Rückgabe

1. Während der Laufzeit kann der Verantwortliche Auftragsdaten in Gympli selbst bearbeiten und löschen.
2. Nach Ende des Hauptvertrags bleiben die Auftragsdaten gespeichert, damit der Verantwortliche das Abonnement fortsetzen kann, bis er sein Konto löscht oder ihre Löschung verlangt. Mit der Löschung des Inhaberkontos werden die Organisation und alle Auftragsdaten gelöscht; Dateien werden anschließend aus dem Objektspeicher entfernt.
3. Auf Verlangen vor der Löschung stellt der Auftragsverarbeiter dem Verantwortlichen die Auftragsdaten in einem gängigen, maschinenlesbaren Format zur Verfügung.
4. Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt.

9. Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.
2. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor.
3. Änderungen dieses Vertrags erfolgen nach dem Verfahren für Änderungen der AGB. Es gilt deutsches Recht.