Auftragsverarbeitungsvereinbarung

1. Parteien und Geltungsbereich

Diese Auftragsverarbeitungsvereinbarung („AVV“) ist Bestandteil der Allgemeinen Geschäftsbedingungen zwischen RungGym (dem „Auftragsverarbeiter“) und Ihnen, dem Trainer, Coach oder Unternehmen, das das Abonnement hält (dem „Verantwortlichen“). Sie gilt automatisch ab dem Moment, in dem Sie den Dienst nutzen. Eine Unterschrift ist nicht erforderlich. Sie setzt Artikel 28 Absatz 3 der DSGVO um für alle personenbezogenen Daten Ihrer Kunden, die Sie in RungGym eingeben.

2. Gegenstand, Dauer, Art und Zweck

Wir verarbeiten die personenbezogenen Daten Ihrer Kunden zu einem einzigen Zweck: die RungGym-Software für Ihr Konto zu betreiben: Kundenprofile speichern, Trainingsblöcke erstellen und PDF-Exporte erzeugen sowie das Kundenportal betreiben, über das Ihre Kunden Training, Ernährung, Gewohnheiten, tägliche Regenerationschecks, Check-ins und Fortschrittsfotos erfassen, Ihnen Nachrichten senden und Sitzungen bei Ihnen buchen. Die Verarbeitung dauert so lange wie Ihr Abonnement plus das in den Bedingungen beschriebene 30-tägige Exportfenster. Wir verwenden diese Daten nie für eigene Zwecke, verkaufen sie nicht und nutzen sie weder für Werbung noch für Profiling.

3. Kategorien von Daten und betroffenen Personen

Betroffene Personen sind Ihre Kunden und die potenziellen Kunden, die Ihnen über Ihre öffentliche Seite eine Anfrage senden (Name, E-Mail-Adresse, optionale Telefonnummer und Nachricht). Zu den Daten, die Sie oder sie eingeben können, gehören: Name, Trainingsziel, Erfahrungsniveau, verfügbare Ausstattung, Trainingsnotizen, erfasste Gewichte, Ernährungsprotokolle und Ernährungsziele, Gewohnheiten, tägliche Regenerationschecks (Schlafqualität, Müdigkeit, Stress, Muskelkater, Schlafstunden, Notizen), Check-ins (Körpergewicht, Körpermaße, Energie, Schlaf, Notizen), Fortschrittsfotos, Nachrichten, gebuchte Sitzungen und Verletzungsinformationen. Verletzungsinformationen, Körpermaße, Ernährungsprotokolle, Regenerationschecks und Fortschrittsfotos sind Gesundheitsdaten im Sinne von Artikel 9 DSGVO. Als Verantwortlicher sind Sie dafür verantwortlich, dass Sie eine Rechtsgrundlage für deren Erfassung haben, in der Praxis die ausdrückliche Einwilligung Ihres Kunden, und dass Sie Ihren Kunden informieren, bevor Sie dessen Portal-Link teilen. Erheben Sie nur, was Sie zum Coaching benötigen.

4. Unsere Pflichten

Als Auftragsverarbeiter:

• verarbeiten wir die Daten nur auf Ihre dokumentierte Weisung, in der Praxis die Handlungen, die Sie in der Software vornehmen, es sei denn, das Recht der Union oder eines Mitgliedstaats verlangt etwas anderes; in diesem Fall informieren wir Sie vorab, soweit dies zulässig ist;
• stellen wir sicher, dass sich alle zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben;
• ergreifen wir die technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO, darunter Verschlüsselung bei der Übertragung, Zugriffskontrolle auf Zeilenebene, damit ein Trainer die Kundendaten eines anderen Trainers nie lesen kann, und Speicherung in der EU (siehe Punkt 5);
• unterstützen wir Sie unter Berücksichtigung der Art der Verarbeitung bei der Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Übertragbarkeit): Die Daten Ihrer Kunden sind in Ihrem Dashboard sichtbar und bearbeitbar und jederzeit als PDF exportierbar;
• unterstützen wir Sie bei Ihren Pflichten nach den Artikeln 32 bis 36 DSGVO, unter anderem indem wir Sie unverzüglich benachrichtigen, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt wurde, die die Daten Ihrer Kunden betrifft;
• löschen wir alle personenbezogenen Kundendaten am Ende des Dienstes, wie in den Bedingungen beschrieben (30 Tage nach der Kündigung oder auf Anfrage früher), es sei denn, das Recht der Union oder eines Mitgliedstaats verlangt die Speicherung;
• stellen wir die Informationen bereit, die zum Nachweis der Einhaltung dieser AVV erforderlich sind, und ermöglichen Überprüfungen, einschließlich Inspektionen, die von Ihnen oder einem von Ihnen beauftragten Prüfer durchgeführt werden, und tragen zu ihnen bei. Zunächst tun wir dies durch Bereitstellung von Dokumentation; eine Prüfung vor Ort erfordert eine Ankündigung von 30 Tagen, findet höchstens einmal pro Jahr statt und geht auf Ihre Kosten.

5. Unterauftragsverarbeiter

Sie erteilen eine allgemeine schriftliche Genehmigung für die folgenden Unterauftragsverarbeiter, die wir zum Betrieb des Dienstes benötigen:

• Supabase (Datenbank, Authentifizierung und Dateispeicher, einschließlich Fortschrittsfotos in einem privaten Bucket): Daten in der EU gespeichert (AWS-Region eu-west-1, Irland);
• Vercel (Hosting der Anwendung);
• Stripe (Zahlungen): Stripe verarbeitet Ihre eigenen Abrechnungsdaten als eigenständiger Verantwortlicher; es erhält nie die Daten Ihrer Kunden.

Wir erlegen jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die denen dieser AVV gleichwertig sind, und haften Ihnen gegenüber weiterhin in vollem Umfang für deren Erfüllung. Jede beabsichtigte Änderung eines Unterauftragsverarbeiters kündigen wir mindestens 30 Tage im Voraus per E-Mail an; wenn Sie widersprechen, können Sie kündigen, bevor die Änderung wirksam wird.

6. Internationale Datenübermittlungen

Kundendaten werden in der Europäischen Union gespeichert. Soweit der Support oder die Infrastruktur eines Unterauftragsverarbeiters einen Zugriff von außerhalb des EWR mit sich bringt, ist diese Übermittlung durch die Standardvertragsklauseln der Europäischen Kommission oder einen Angemessenheitsbeschluss abgedeckt (für US-Anbieter: das EU-US-Datenschutzrahmenwerk).

7. Vorrang und Kontakt

Widerspricht diese AVV in einem datenschutzrechtlichen Punkt den Allgemeinen Geschäftsbedingungen, hat diese AVV Vorrang. Fragen: info@runggym.com.