Auftragsverarbeitungsvertrag

Verantwortlicher ist der das Coach-Konto führende Kunde (nachfolgend auch Coach). Auftragsverarbeiter ist Yilmaz Atakan Kara, omniOne Fitness, Roedernstr. 13, 12459 Berlin, Deutschland; Datenschutzkontakt: support@omniOne.fitness. Der AVV wird gesondert und ausdrücklich im Coach-Konto angenommen, bevor erstmals Klienten eingeladen oder deren Auftragsdaten verarbeitet werden; der Plattformvertrag nach den Coach-AGB besteht zu diesem Zeitpunkt bereits. Er gilt für die Dauer der Auftragsverarbeitung. Vertraulichkeit, Unterstützung und Löschung/Rückgabe wirken nach, solange noch Auftragsdaten vorhanden sind. Die Auftragsverarbeitung ist von eigener Vertrags-, Abrechnungs- und zweckgebundener Sicherheitsverarbeitung von omniOne nach der Datenschutzerklärung zu unterscheiden.

omniOne verarbeitet die in Anlage 1 beschriebenen Daten ausschließlich zur Erbringung der vereinbarten Coaching-Plattformleistungen und nach dokumentierten Weisungen des Kunden. Der Vertrag, seine Anlagen und die vertragsgemäße Bedienung bilden die anfänglichen Weisungen. Ergänzende Weisungen können über support@omniOne.fitness dokumentiert werden; Ansprechpartner und Berechtigung werden geprüft. Weisungen zu Drittlandübermittlungen sind eingeschlossen. Besteht eine gesetzliche Verarbeitungspflicht, informiert omniOne den Kunden vorab, soweit dies rechtlich zulässig ist. Hält omniOne eine Weisung für datenschutzwidrig, informiert es den Kunden unverzüglich und setzt die betroffene Ausführung bis zur Klärung aus. Auftragsdaten werden nicht für eigene Werbung, Verkauf oder Modelltraining verwendet.

Der Kunde bestimmt rechtmäßige Zwecke, Umfang und Rechtsgrundlagen seiner Verarbeitung, erfüllt Informationspflichten, respektiert Betroffenenrechte und erteilt nur zulässige Weisungen. Bei Gesundheitsdaten stellt er insbesondere die Voraussetzungen nach Art. 9 DSGVO sicher; bei Personen, die nicht selbst wirksam einwilligen können, insbesondere Minderjährigen, holt er die Zustimmung der Sorgeberechtigten ein. omniOne unterstützt die ausdrückliche Einwilligung technisch im Auftrag und für den konkret benannten Coach; der Wortlaut ergibt sich aus der Gesundheitsdaten-Einwilligung in der dem Klienten angezeigten Fassung, die Nachweise stehen dem Kunden im Coach-Konto zur Verfügung. Die Eignung dieser Einwilligung für sein Angebot prüft der Kunde. Der Kunde informiert omniOne über relevante Beschränkungen, Widerrufe und Löschanweisungen, soweit diese nicht bereits über die vorgesehenen Funktionen mitgeteilt werden. Die Verantwortung von omniOne für seine eigenen gesetzlichen Pflichten bleibt unberührt.

omniOne beschränkt den Zugriff auf befugte Personen, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen müssen dem Risiko, insbesondere der Verarbeitung von Gesundheitsdaten, angemessen sein. Anpassungen an Technik und Betrieb sind zulässig, wenn das vereinbarte Schutzniveau nicht verringert wird. Wesentliche Änderungen werden nachvollziehbar dokumentiert und dem Kunden zugänglich gemacht.

Der Kunde erteilt eine allgemeine Genehmigung für die in Anlage 3 transparent beschriebenen Unterauftragsverarbeiter. Beabsichtigte Hinzuziehungen oder Ersetzungen werden vor ihrem Einsatz in Textform mit Leistung, betroffenen Daten, Ländern und vorgesehenem Beginn angekündigt; der Kunde erhält grundsätzlich mindestens 30 Tage vor dem vorgesehenen Einsatz Gelegenheit zum datenschutzrechtlich begründeten Widerspruch. Eine kürzere Frist, auch in dringenden Fällen, setzt nach dieser Information die ausdrückliche Zustimmung des Kunden in Textform zum konkret benannten Anbieter und zur verkürzten Frist voraus. Schweigen oder nachträgliche Information genügen hierfür nicht. omniOne prüft begründete Einwände und zumutbare datenschutzkonforme Alternativen. Ein widersprochener neuer Unterauftragsverarbeiter wird für die betroffenen Daten erst nach Klärung oder einer rechtmäßig vereinbarten Alternative eingesetzt.

Ist keine zumutbare datenschutzkonforme Lösung möglich, darf jede Partei die betroffene Leistung mit mindestens 30 Tagen Kündigungsfrist in Textform, frühestens zum angekündigten Einsatztermin, beenden. Der gesamte Vertrag darf nur beendet werden, wenn die betroffene Leistung wesentlich und nicht sinnvoll abtrennbar ist. Die Kündigungsfrist ist auch bei einem späten Widerspruch einzuhalten; der Einsatz für betroffene Daten ist erforderlichenfalls zu verschieben. Rückgabe und Löschung sowie zwingende Übergangs- und Datenabruffristen sind geordnet sicherzustellen, ohne betroffene Daten einem nicht genehmigten Anbieter zu übermitteln. Vorausbezahlte Entgelte für nicht erbrachte Zeiträume werden anteilig erstattet. omniOne legt jedem Unterauftragsverarbeiter vertraglich gleichwertige Datenschutzpflichten auf, prüft geeignete Garantien und bleibt gegenüber dem Kunden für dessen Pflichterfüllung verantwortlich. Eine bloße Änderung dieser Liste ersetzt die erforderliche Vorabinformation nicht.

omniOne unterstützt den Kunden unter Berücksichtigung der Verarbeitungsart mit geeigneten technischen und organisatorischen Maßnahmen bei Anträgen nach Kapitel III DSGVO und bei den Pflichten nach Art. 32 bis 36 DSGVO. Dazu gehören verfügbare Informationen zu Verarbeitung, Schutzmaßnahmen, Vorfällen sowie Unterstützung bei Datenschutz-Folgenabschätzung und erforderlicher vorheriger Konsultation. Anfragen zu Auftragsdaten werden unverzüglich an den Kunden weitergeleitet; ohne Weisung erfolgt keine inhaltliche Entscheidung über dessen Verarbeitung, soweit das Gesetz nichts anderes verlangt. Identität, Zuständigkeit und sichere Übermittlung sind vor einer Herausgabe zu prüfen.

Die übliche Unterstützung bei Datenschutzpflichten, erforderliche Standardnachweise und die reguläre Datenrückgabe einschließlich erforderlicher manueller Arbeit sind mit dem vereinbarten Entgelt abgegolten. Für individuell beauftragte Sonderaufbereitungen, zusätzliche Berichte oder sonstige Unterstützung über den bereits geschuldeten Umfang hinaus kann eine angemessene Vergütung nur berechnet werden, wenn Leistungsumfang und Vergütung vorab in Textform vereinbart wurden. Gesetzlich unentgeltliche Leistungen und Aufwand aufgrund eines von omniOne zu vertretenden Verstoßes werden nicht zusätzlich berechnet. Geschuldete Unterstützung und gesetzliche Fristen dürfen weder vom Abschluss einer Vergütungsvereinbarung abhängig gemacht noch durch einen Vergütungsstreit verzögert werden. Zwingende Vorgaben des Data Act bleiben unberührt; soweit anwendbar, sind insbesondere ab dem 12. Januar 2027 erforderliche Anbieterwechsel und der damit verbundene Datenexport ohne Wechsel- oder Datenübertragungsentgelte zu ermöglichen. Für Kontrollen gilt ergänzend Ziffer 8.

omniOne informiert den Kunden unverzüglich nach Bekanntwerden einer Verletzung des Schutzes von Auftragsdaten. Soweit bekannt, enthält die Information Art und Umfang des Vorfalls, betroffene Daten- und Personenkategorien, Kontakt, voraussichtliche Folgen und ergriffene oder vorgesehene Abhilfemaßnahmen. Noch fehlende Angaben werden ohne unangemessene Verzögerung ergänzt. omniOne sichert verfügbare Nachweise, begrenzt Auswirkungen und unterstützt den Kunden bei dessen Meldungen. Eine pauschale Frist verlängert die Pflicht zur unverzüglichen Information nicht.

omniOne stellt die erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO bereit und ermöglicht sowie unterstützt Überprüfungen einschließlich Inspektionen durch den Kunden oder dessen Prüfer. Vorhandene Nachweise und Fernprüfungen werden vorrangig genutzt, soweit sie zur wirksamen Prüfung ausreichen. Die Wahl einer erforderlichen, geeigneten Prüfung bleibt dem Kunden erhalten. Regelmäßige Vor-Ort-Prüfungen erfolgen grundsätzlich höchstens einmal innerhalb von zwölf Monaten je Kunde, mit 30 Tagen Vorankündigung während üblicher Geschäftszeiten. Bei begründeten Zweifeln an der Einhaltung, relevanten Vorfällen, aufsichtsbehördlichen Anforderungen oder sonstiger Erforderlichkeit sind häufigere oder kurzfristigere Prüfungen möglich. Kontrollen werden auf relevante Bereiche beschränkt und so abgestimmt, dass Vertraulichkeit, andere Kunden und der Betrieb geschützt bleiben; dies darf wirksame oder dringliche Prüfungen nicht vereiteln. Aufsichtsbehördliche Befugnisse bleiben unberührt.

Standardnachweise und übliche Auskünfte werden ohne zusätzliches Entgelt bereitgestellt. Der Kunde trägt grundsätzlich die Kosten seines eigenen Prüfers. Für zusätzliche Unterstützung durch omniOne kann eine angemessene, vorher vereinbarte Vergütung nach Ziffer 6 anfallen. Wird ein von omniOne zu vertretender Verstoß festgestellt, trägt omniOne die damit ursächlich verbundenen erforderlichen und angemessenen Prüfungskosten; die Behebung eigener Verstöße wird nicht zusätzlich berechnet. Notwendige Kontrollen dürfen wegen eines Vergütungsstreits weder verweigert noch verzögert werden.

Nach Ende der beauftragten Leistungen gibt omniOne nach Wahl des Kunden die Auftragsdaten zurück oder löscht sie; nach Rückgabe werden verbliebene Kopien gelöscht, soweit keine einschlägige gesetzliche Pflicht zur weiteren Speicherung besteht. Eine solche Pflicht und ihre Reichweite sind dem Kunden mitzuteilen, soweit zulässig; die verbleibende Verarbeitung wird auf diesen Zweck beschränkt. Die Wahl, sichere Abwicklung, Fristen, Nachweise und Sicherungskopien behandelt Anlage 4. Konto-Löschfristen ersetzen die Kundenwahl bei Ende der Auftragsverarbeitung nicht. Bis zum tatsächlichen Abschluss gelten die Schutz- und Vertraulichkeitspflichten weiter.

Bei Widersprüchen zu den Coach-AGB geht dieser AVV hinsichtlich der Auftragsverarbeitung vor. Gesetzliche Pflichten, Betroffenenrechte und Haftung nach Art. 82 DSGVO bleiben unberührt. Individualvereinbarungen haben im gesetzlich zulässigen Umfang Vorrang. Änderungen der Hauptpflichten bedürfen einer Vereinbarung; technische Fortschreibungen und Unterauftragsverarbeiteränderungen folgen den ausdrücklich beschriebenen Verfahren. Die nachfolgenden Anlagen sind Bestandteil dieser Fassung und dürfen nicht stillschweigend überschrieben werden.

Zweck und Vorgänge: Bereitstellung einer Arbeitsumgebung für digitale Coaching-Beziehungen: Entgegennahme, Erfassung, Ordnung, Speicherung, technische Aufbereitung, Zuordnung, Berechnung und Darstellung von Verlaufsinformationen, Bereitstellung an berechtigte Nutzer, Übermittlung, Berichtigung, Einschränkung und Löschung. Technische Berechnungen und Erinnerungen unterstützen den Coach; sie erlauben keine eigenständige medizinische Entscheidung oder neue Nutzung der Daten.

Betroffene Personen: Klienten und eingeladene Interessenten des Kunden; der Kunde bzw. seine berechtigten Personen, soweit sie in Coaching-Inhalten, Zuordnungen oder Kommunikation vorkommen.

Datenkategorien: Stamm-, Kontakt-, Profil- und Zuordnungsdaten; erforderliche Konto-/Berechtigungsdaten; Coaching-, Gesundheits- und Verlaufsdaten einschließlich zugehöriger Entwürfe, Bewertungen, Pläne und Änderungshistorien; Kommunikationsinhalte und Dateien einschließlich erforderlicher Medienmetadaten; zugehörige Bearbeitungs-, Zustell- und Nachweiszustände. Beispiele sind Fragebogenangaben, Ziele, Messwerte, Trainingseinträge, Fotos und Nachrichten. Besondere Kategorien nach Art. 9 DSGVO können in strukturierten Angaben und freien Inhalten enthalten sein. Nicht erforderliche Daten dürfen nicht vorsorglich gesammelt werden.

Umfang und Dauer: entsprechend der vertragsgemäßen Nutzung und den dokumentierten Weisungen; Löschung/Rückgabe nach Ziffer 9 und Anlage 4. Neue Verarbeitungszwecke, zusätzliche besondere Kategorien oder wesentlich andere Empfänger sind nicht durch eine unbegrenzte Feature-Klausel erlaubt.

Vertraulichkeit und Zugriff: persönliche authentifizierte Konten, Passwort-Hashing, zeitlich begrenzte und widerrufbare Sitzungs-/Einrichtungsnachweise, rollen- und beziehungsbezogene Autorisierung, private Vorbereitungsbereiche und aufgabenbezogene administrative Berechtigungen. Private Medien werden nur über autorisierte Anwendungszugriffe bereitgestellt.

Übertragung und Speicherung: HTTPS/TLS für öffentliche Zugriffe und Dienstverbindungen über öffentliche Netze; interne Dienstverbindungen werden mit TLS oder über nachweisbar geeignete, verschlüsselte und zugriffsbeschränkte private Verbindungen geschützt; Datenbank und Objektspeicher in der EU-Region des Hosting-Anbieters; private Objektspeicherung mit serverseitiger Verschlüsselung; Datenträgerverschlüsselung durch den Hosting-Anbieter. Schlüssel und Zugangsdaten werden getrennt vom Quellcode verwaltet und bei Verdacht auf Kompromittierung rotiert.

Integrität und Trennung: Eingabe-/Dateiprüfung, Mediennormalisierung, Rate-Limiting, Transaktions- und Versionskontrollen sowie Prüfung der Coach-/Klienten-Zuordnung bei jedem Zugriff. Automatisierte Tests prüfen Berechtigungs- und Löschgrenzen. Protokolle sind auf erforderliche technische Angaben begrenzt und werden spätestens nach 30 Tagen gelöscht.

Verfügbarkeit und Wiederherstellung: Technische Überwachung der Verfügbarkeit und des Betriebszustands wesentlicher Dienste, begrenzte automatische Fehlerwiederholungen, tägliche verschlüsselte Sicherungen der Datenbank mit gestaffelter Aufbewahrung von höchstens 90 Tagen, Sicherung der im Objektspeicher abgelegten Dateien und getrennte Wiederherstellung von Datenbank und Objekten. Wiederherstellungen werden in risikogerechten Abständen, mindestens jährlich und zusätzlich anlassbezogen, insbesondere bei wesentlichen Änderungen der Sicherungs- oder Wiederherstellungsverfahren, geprobt und dokumentiert. Nach einer Wiederherstellung werden zwischenzeitliche Löschungen und Anonymisierungen unverzüglich nachgeholt. Die betroffenen Daten bleiben bis zum Abschluss von der regulären Verarbeitung ausgeschlossen. Nicht betroffene Bereiche dürfen nur bei nachgewiesen wirksamer Abschottung der betroffenen Daten wieder genutzt werden. Eine bestimmte Wiederherstellungszeit wird ohne gesonderte Vereinbarung nicht zugesagt.

Organisation: Verpflichtung und Beschränkung befugter Personen, Zugangspflege, Bearbeitung von Sicherheitsvorfällen, dokumentierte Weisungen, Prüfung von Lieferanten, Verzeichnis der Verarbeitungstätigkeiten, regelmäßige Prüfung der Wirksamkeit sowie Datenschutzprüfung neuer Datenkategorien vor ihrer Einführung. Diese Anlage beschreibt Maßnahmen, keine Zertifizierung.

Railway Corporation, 548 Market St PMB 68956, San Francisco, CA 94104, USA: Hosting der Website und des App-Frontends sowie Backend, Datenbank und Objektspeicher; gewählte Region EU West (Amsterdam, Niederlande), Objektspeicher in der EU. Betroffen sind Konto-/Zuordnungsdaten, Coaching-Inhalte, Kommunikationsdaten, private Dateien und notwendige technische Betriebsdaten. Für Support- und Betriebszugriffe aus den USA sind EU-Standardvertragsklauseln (Modul 3) vorgesehen. omniOne prüft und dokumentiert vor der Übermittlung deren wirksame Einbeziehung, die erforderliche Transferbewertung und geeignete ergänzende Maßnahmen unter Berücksichtigung der EU-Speicherregion, Verschlüsselung und Zugriffsbeschränkungen. Die Vereinbarung mit dem Anbieter muss die tatsächlich verarbeiteten Daten einschließlich Gesundheitsdaten abdecken.

Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern (EU): E-Mail-Versand und zugehöriger E-Mail-Betrieb. Betroffen sind erforderliche Empfänger-/Absenderdaten, Systemnachrichten und Zustellinformationen; Coaching-Inhalte werden nicht in System-E-Mails aufgenommen.

Weitere Anbieter: Weitere unmittelbar von omniOne beauftragte Unterauftragsverarbeiter dürfen nur nach dem Verfahren in Ziffer 5 hinzugezogen werden. Stripe wird ausschließlich für die eigene Abrechnung von omniOne eingesetzt und verarbeitet keine Auftragsdaten. Die aktuelle Liste sowie Kopien der eingesetzten Garantien stellt omniOne dem Kunden auf Anfrage unter support@omniOne.fitness bereit.

Drittlandübermittlungen: Sie erfolgen nur nach dokumentierter Weisung und bei Vorliegen einer anwendbaren Grundlage nach Art. 44 ff. DSGVO. Eine EU-Speicherregion schließt Drittlandzugriffe nicht aus; deshalb muss omniOne die anwendbaren Garantien und erforderlichen Bewertungen und Maßnahmen je Anbieter vor einer Übermittlung prüfen und dokumentieren. Ohne tragfähige Grundlage erfolgt keine Übermittlung. Neue Übermittlungen oder Anbieter folgen dem Verfahren nach Ziffer 5.

Kundenwahl und vollständiger Exit: Der Coach teilt die Wahl zwischen Rückgabe und Löschung und deren Umfang in Textform an support@omniOne.fitness mit. omniOne prüft die Berechtigung, laufende Coaching-Beziehungen und zulässige Restaufbewahrung. Bei Rückgabewahl stellt omniOne die Auftragsdaten innerhalb von 30 Tagen nach Ende der beauftragten Leistungen und Eingang der Wahl über einen sicheren Übermittlungsweg bereit: strukturierte Daten als JSON oder CSV, Dateien im Originalformat. Die reguläre Rückgabe einschließlich erforderlicher manueller Durchführung ist ohne zusätzliches Entgelt umfasst. Eine Verlängerung ist nur bei konkreten, begründeten und rechtlich zulässigen Umständen möglich; omniOne teilt Gründe und neuen Termin rechtzeitig mit. Zwingende Fristen, insbesondere für Betroffenenrechte und nach dem anwendbaren Data Act, bleiben unberührt.

Löschung nach Exit: Nach abgeschlossener Rückgabe oder, bei Löschwahl, nach Ende der beauftragten Leistungen und Eingang der Wahl löscht omniOne die verbleibenden Auftragsdaten in Datenbank und Objektspeicher unverzüglich, spätestens innerhalb von 30 Tagen, und bestätigt den Abschluss in Textform. Zwingende Übergangs- und Datenabruffristen werden gewahrt; soweit sie einer früheren Löschung entgegenstehen, beginnt diese Löschfrist mit deren Ablauf. Gesetzliche Aufbewahrungspflichten werden im Einzelfall mitgeteilt und auf ihren Zweck beschränkt; Sicherungskopien richten sich nach dem letzten Absatz. Die Fristen für die Löschung einzelner Client-Konten verlängern diese Exitfrist nicht.

Konto-Löschablauf als dokumentierte Weisung: Nach technischer Konto-Löschung werden unmittelbare Profilanonymisierung, Kommunikationslöschung nach 30 Tagen, Health-/Coaching-Löschung des gelöschten Klienten nach 90 Tagen und Löschung minimierter Nachweise nach einem Jahr ausgelöst. Der Kunde erteilt diese Fristen mit Annahme dieses AVV als Weisung für Auftragsdaten; eine abweichende zulässige Einzelweisung geht vor. Fachliche Entwürfe, Historien und Fotos bleiben Health-/Coaching-Daten und werden nicht als langfristige Nachweisdaten umklassifiziert. Pause, Coaching-Ende, Aboende und Coach-Konto-Löschung ersetzen die Kundenwahl nach Absatz 1 nicht.

Private Objekte und Sicherungskopien: Löschung umfasst Datenbankbezüge, Dateien, Vorschaubilder und erforderliche Ableitungen; fehlgeschlagene Objektlöschungen werden bis zum Erfolg wiederholt. Sicherungskopien werden verschlüsselt aufbewahrt, sind auf befugte Personen beschränkt, dienen ausschließlich der Wiederherstellung und werden spätestens nach 90 Tagen überschrieben oder vernichtet. Nach einer Wiederherstellung werden zwischenzeitliche Löschungen und Anonymisierungen unverzüglich nachgeholt. Die betroffenen Daten bleiben bis zum Abschluss von der regulären Verarbeitung ausgeschlossen. Nicht betroffene Bereiche dürfen nur bei nachgewiesen wirksamer Abschottung der betroffenen Daten wieder genutzt werden.