Vertrag zur Auftragsverarbeitung

§ 1 Parteien und Gegenstand

(1) Verantwortlicher ist die Trainerin oder der Trainer, die oder der sich bei Coaching mit athleticasyn angemeldet hat (im Folgenden „Coach“).

(2) Auftragsverarbeiter ist Nils Jansen, Rummelsburger Str. 58, 44581 Castrop-Rauxel (im Folgenden „Betreiber“).

(3) Gegenstand ist die Verarbeitung personenbezogener Daten der Kunden des Coaches im Rahmen der Bereitstellung von Coaching mit athleticasyn unter coaching.athleticasyn.de.

(4) Dieser Vertrag ist Bestandteil der Nutzungsbedingungen und gilt für deren Laufzeit.

§ 2 Art, Umfang und Zweck der Verarbeitung

Zweck: Betreuung der Kunden des Coaches — Trainingsplanung, Ernährungsplanung, Fortschrittsdokumentation und Kommunikation.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an den Coach, Einschränken und Löschen.

Kategorien betroffener Personen:

• Kunden des Coaches, die eine Einladung angenommen haben,
• Personen, die eingeladen wurden und die Einladung noch nicht angenommen haben.

Kategorien der Daten:

• Stammdaten: Vor- und Nachname, Mailadresse, Zugangsdaten (Passwort-Hash),
• Trainingsdaten: Pläne, durchgeführte Einheiten, Sätze, Gewichte, Wiederholungen,
• Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO: Körpergewicht, Körpermaße, Körpergröße, Schrittzahl, Schlafdauer und Zeit im Bett, Selbsteinschätzungen zu Schlaf, Müdigkeit, Belastung und Muskelkater, Einträge im Ernährungstagebuch,
• Fotos: Fortschrittsfotos, sofern der Kunde gesondert eingewilligt hat,
• Kommunikationsdaten: Nachrichten, Anhänge, Termine.

Dauer: für die Laufzeit des Nutzungsvertrags, danach nach Maßgabe von § 9.

§ 3 Weisungen

(1) Der Betreiber verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und nach den dokumentierten Weisungen des Coaches. Die Nutzung der Anwendung durch den Coach — etwa das Anlegen eines Plans oder das Entfernen eines Kunden — gilt als Weisung.

(2) Weisungen, die über die Funktionen der Anwendung hinausgehen, erfolgen in Textform an coaching@coaching.athleticasyn.de oder über das Postfach in der Anwendung. Beides ist dokumentiert.

(3) Hält der Betreiber eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

(4) Eine Verarbeitung zu eigenen Zwecken des Betreibers findet nicht statt. Die Daten der Kunden werden insbesondere nicht ausgewertet, nicht zu Statistiken zusammengeführt und nicht für die Entwicklung anderer Angebote genutzt.

§ 4 Vertraulichkeit

(1) Der Betreiber arbeitet allein. Es gibt keine Beschäftigten, die Zugang zu den Daten hätten.

(2) Sollten künftig Personen hinzukommen, werden sie vor der Aufnahme ihrer Tätigkeit auf die Vertraulichkeit verpflichtet (Art. 28 Abs. 3 Buchst. b DSGVO) und in den Datenschutz eingewiesen.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Betreiber trifft insbesondere folgende Maßnahmen:

Zutritt und Zugang

• Betrieb in einem Rechenzentrum der IONOS SE in Deutschland; physischer Zutritt nur durch deren Personal.
• Anmeldung ausschließlich mit Mailadresse und Passwort; Passwörter werden ausschließlich als bcrypt-Hash gespeichert, im Klartext nirgends.
• Mindestanforderungen an Passwörter: neun Zeichen, Groß- und Kleinschreibung, Ziffer, Sonderzeichen.
• Gestaffelte Sperre nach wiederholten Fehlversuchen, damit Passwörter nicht durchprobiert werden können.
• Zugriff auf den Server ausschließlich über SSH mit Schlüssel.

Trennung

• Jede Abfrage ist an den jeweiligen Coach gebunden. Kennungen aus dem Browser werden geprüft, nicht geglaubt. Ein Coach kann die Daten eines anderen Coaches auch dann nicht abrufen, wenn er dessen Kennungen kennt.
• Kunden sehen ausschließlich ihre eigenen Daten und nur die Übungen, die ihr Coach ihnen zugeteilt hat — nie die Bibliothek und nie andere Kunden.
• Eigene Datenbank mit eigenem, eingeschränktem Datenbankbenutzer, getrennt von allen anderen Angeboten des Betreibers.
• Diese Trennung wird regelmäßig gegen den laufenden Dienst geprüft, einschließlich der Fälle, die scheitern müssen.

Weitergabe und Speicherung

• Verschlüsselte Übertragung durchgehend über TLS.
• Hochgeladene Bilder werden beim Empfang neu berechnet; dabei entfallen Metadaten wie GPS-Koordinaten.
• Dateien liegen außerhalb des öffentlich erreichbaren Bereichs und werden nur nach Rechteprüfung ausgeliefert; auf der Festplatte tragen sie zufällige Namen.
• Dateien, die nicht als Bild vorliegen, werden nie im Browser dargestellt, sondern ausschließlich zum Herunterladen ausgeliefert.
• Schutzkopfzeilen gegen Einbettung in fremde Seiten und gegen eingeschleuste Skripte.

Verfügbarkeit

• Tägliche Sicherung der Datenbank, Aufbewahrung 14 Tage. Jede Sicherung wird auf ihre Größe geprüft; eine leere gilt als Fehlschlag.
• Getrennter Bauordner, sodass ein fehlgeschlagenes Update den laufenden Dienst nicht mitnimmt.

Nachvollziehbarkeit

• Jeder Einblick des Betreibers in Kundendaten setzt eine befristete Freigabe des Coaches voraus und wird mit Zeitpunkt, Grund und handelnder Person protokolliert. Das Protokoll kann der Coach einsehen; löschen kann es niemand über die Oberfläche.
• Verwaltungshandlungen am Konto eines Coaches (Freigabe, Sperre, Änderung der Kundengrenze) werden ebenfalls protokolliert.

§ 6 Unterauftragsverarbeiter

(1) Der Coach stimmt der Beauftragung der folgenden Unterauftragsverarbeiter zu (Art. 28 Abs. 2 DSGVO):

(2) Die Übermittlung an Google erfolgt nur, wenn ein Kunde die Funktion „Foto erkennen“ selbst auslöst. Sie ist freiwillig; jedes Lebensmittel lässt sich auch ohne sie eintragen.

(3) Weitere Unterauftragsverarbeiter teilt der Betreiber mindestens vier Wochen vorher mit. Der Coach kann widersprechen; in diesem Fall kann jede Seite den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.

§ 7 Unterstützung des Coaches

(1) Der Betreiber unterstützt den Coach bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Die Anwendung enthält dafür bereits die nötigen Funktionen: der Coach kann Daten einsehen, berichtigen und einen Kunden samt aller Daten entfernen; jeder Kunde kann sich seine Daten selbst als Datei herunterladen.

(2) Wendet sich eine betroffene Person unmittelbar an den Betreiber, leitet er sie unverzüglich an den zuständigen Coach weiter und erteilt selbst keine Auskunft über Inhalte.

(3) Der Betreiber unterstützt bei der Einhaltung der Art. 32 bis 36 DSGVO, soweit ihm die Informationen vorliegen.

§ 8 Meldung von Verletzungen

(1) Wird dem Betreiber eine Verletzung des Schutzes personenbezogener Daten bekannt, unterrichtet er den betroffenen Coach unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

(2) Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen.

(3) Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und an die betroffenen Personen nach Art. 34 DSGVO obliegt dem Coach als Verantwortlichem. Der Betreiber unterstützt ihn dabei.

§ 9 Löschung und Rückgabe

(1) Entfernt der Coach einen Kunden, werden dessen Konto und alle zugehörigen Daten gelöscht — Pläne, Trainingsaufzeichnungen, Gesundheitsdaten, Ernährungseinträge, Nachrichten, Termine und Fotos. Dateien, die dabei auf der Festplatte zurückbleiben würden, entfernt ein nächtlicher Lauf.

(2) Endet der Nutzungsvertrag, hat der Coach 30 Tage Zeit, die Daten seiner Kunden zu sichern. Danach werden sie gelöscht.

(3) Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht — insbesondere Rechnungen nach § 147 AO — sowie die Zugriffsprotokolle nach § 5, die als Nachweis gegenüber den Betroffenen erhalten bleiben. Sie enthalten keine Gesundheitsdaten.

(4) Die Löschung wird auf Verlangen in Textform bestätigt.

§ 10 Nachweise und Überprüfung

(1) Der Betreiber weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage in Textform nach.

(2) Der Coach ist berechtigt, sich von der Einhaltung zu überzeugen. Prüfungen werden mit angemessener Frist angekündigt, finden zu üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unangemessen stören.

(3) Der Betreiber kann den Nachweis auch durch aktuelle Prüfberichte oder Zertifikate führen.

§ 11 Haftung

Es gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen der Nutzungsbedingungen.

§ 12 Schlussbestimmungen

(1) Dieser Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Der Coach stimmt ihm bei der Anmeldung zu; der Zeitpunkt wird festgehalten.

(2) Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag in Datenschutzfragen vor.

(3) Es gilt deutsches Recht.