Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen zwischen dir und uns und untrennbar mit ihnen verbunden. Weicht er von den Allgemeinen Geschäftsbedingungen ab, hat er in Fragen der Verarbeitung personenbezogener Daten Vorrang.

Dieser Vertrag gilt zwischen der T3 Technologies BV, USt-IdNr. BE 0566.940.947, Egemsesteenweg 41, 8700 Tielt, Belgien, Betreiberin des Dienstes Coachbox (der „Auftragsverarbeiter“, „wir“), und dem Kunden, der den Dienst Coachbox nutzt (der „Verantwortliche“, „du“).

Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die in der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, „DSGVO“) festgelegt ist.

Du bist Verantwortlicher für die personenbezogenen Daten, die du über den Dienst verarbeitest. Wir verarbeiten diese Daten ausschließlich in deinem Auftrag, als Auftragsverarbeiter, um den Dienst zu erbringen. Du sicherst zu, dass du über eine gültige Rechtsgrundlage für die Verarbeitung verfügst, die du uns anvertraust.

Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und die Arten personenbezogener Daten sind in Anhang 1 festgelegt. Die Verarbeitung dauert an, solange der Vertrag zwischen uns in Kraft ist, es sei denn, das Gesetz schreibt eine längere Aufbewahrung vor.

Wir verarbeiten die personenbezogenen Daten nur auf deine dokumentierte Weisung, auch hinsichtlich internationaler Übermittlungen, es sei denn, eine gesetzliche Verpflichtung erfordert die Verarbeitung. In diesem Fall informieren wir dich vorab, sofern das Gesetz dies nicht untersagt. Deine Nutzung des Dienstes und dieser Vertrag stellen deine vollständige Weisung dar. Sollte eine Weisung unserer Ansicht nach gegen die DSGVO verstoßen, informieren wir dich darüber.

Jeder, der die Daten unter unserer Verantwortung verarbeitet, ist zur Vertraulichkeit verpflichtet, sei es vertraglich oder gesetzlich.

Wir setzen geeignete technische und organisatorische Maßnahmen im Sinne von Artikel 32 DSGVO um. Eine Übersicht findet sich in Anhang 3. Wir berücksichtigen, dass sich der Stand der Technik und die Risiken weiterentwickeln, und passen die Maßnahmen bei Bedarf an.

Du erteilst uns eine allgemeine Genehmigung, Subunternehmer zur Erbringung des Dienstes einzusetzen. Für jeden neuen oder ersetzenden Subunternehmer informieren wir dich mindestens 30 Tage im Voraus über die Subunternehmer-Seite und, wo möglich, per E-Mail. Du kannst innerhalb dieser Frist aus berechtigten Gründen widersprechen. Können wir den Widerspruch nicht gemeinsam klären, kannst du den betroffenen Dienst kündigen.

Wir legen jedem Subunternehmer dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, und haften dir gegenüber weiterhin vollumfänglich für die Leistung unserer Subunternehmer.

Unter Berücksichtigung der Art der Verarbeitung unterstützen wir dich durch geeignete technische und organisatorische Maßnahmen dabei,

• Anfragen von betroffenen Personen zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). Der Dienst bietet dafür eine Selbstbedienungslösung: Kontoverwaltung, Datenexport und Kontolöschung;
• deine Pflichten hinsichtlich Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen (DSFA) und vorheriger Konsultation zu erfüllen, soweit uns die dafür erforderlichen Informationen vorliegen.

Sobald wir von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangen, informieren wir dich unverzüglich, spätestens jedoch innerhalb von 48 Stunden, mit den Informationen, die du benötigst, um deinen eigenen Meldepflichten gegenüber der Datenschutzbehörde und den betroffenen Personen nachzukommen.

Die personenbezogenen Daten werden innerhalb der Europäischen Union verarbeitet und gespeichert (Akamai/Linode in Frankfurt und AWS-Regionen in Frankfurt und Irland). Wir übermitteln personenbezogene Daten nicht außerhalb des EWR ohne einen gültigen Übermittlungsmechanismus im Sinne von Kapitel V DSGVO (zum Beispiel einen Angemessenheitsbeschluss oder Standardvertragsklauseln) und nicht ohne deine Weisung.

Nach Beendigung des Dienstes löschen oder übergeben wir die personenbezogenen Daten nach deiner Wahl und löschen bestehende Kopien, sofern nicht das Gesetz eine Aufbewahrung vorschreibt. Du kannst deine Daten während der Vertragslaufzeit über den Dienst exportieren.

Wir stellen die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung von Artikel 28 DSGVO nachzuweisen. Auf Anfrage stellen wir unsere Dokumentation zu den technischen und organisatorischen Maßnahmen sowie, sofern verfügbar, Berichte unabhängiger Dritter zur Verfügung. Dies ersetzt eine Vor-Ort-Prüfung.

Die Haftung im Rahmen dieses Vertrags richtet sich nach den Haftungsbestimmungen der Allgemeinen Geschäftsbedingungen.

Dieser Vertrag unterliegt belgischem Recht. Streitigkeiten fallen unter die Zuständigkeit der zuständigen Gerichte gemäß den Allgemeinen Geschäftsbedingungen.

Art und Zweck: Bereitstellung der Coachbox-Coaching-Plattform: Kontoverwaltung, Trainingsplanung, Leistungsverfolgung, Kommunikation zwischen Coach und Athlet sowie Abrechnung.

Dauer: die Laufzeit des Vertrags.

Kategorien betroffener Personen: Coaches, Athleten und von dir eingeladene Nutzer.

Kategorien personenbezogener Daten:

• Identitäts- und Kontaktdaten (Name, E-Mail);
• Kontodaten (Zugangsdaten, Rolle, Teamzugehörigkeit);
• Trainings- und Leistungsdaten, einschließlich physiologischer Daten (Herzfrequenz, Leistung, Laktat, VO₂ und ähnliche Messwerte), die als Gesundheitsdaten gelten können;
• Nutzungs- und Protokolldaten;
• Abrechnungsdaten (verarbeitet über unseren Zahlungsdienstleister).

Besondere Kategorien (Artikel 9 DSGVO): gesundheitsbezogene Trainings- und physiologische Daten, sofern zutreffend.

• Verschlüsselung bei der Übertragung: TLS 1.2 oder höher für den gesamten Datenverkehr, mit automatischer Weiterleitung von http auf https.
• Verschlüsselung bei der Speicherung: Produktionsdaten werden verschlüsselt gespeichert.
• Zugriffskontrolle: rollenbasierter Zugriff; Administratorzugriff mit Mehrfaktor-Authentifizierung; Zugriff nach dem Prinzip der geringsten Rechte.
• Isolierung: logische Trennung der Kundendaten pro Team.
• Backups: tägliche Backups mit 21 Tagen Aufbewahrung.
• Protokollierung: Zugriffs- und Anwendungsprotokolle.
• Entwicklungsprozess: Änderungen über Versionskontrolle, statische Codeanalyse und eine Staging-Umgebung vor der Produktion.
• Löschung: Selbstbedienungslöschung des Kontos und vollständige Löschung auf Anfrage.

Fragen zu diesem Auftragsverarbeitungsvertrag? Kontaktiere uns unter contact@coachbox.app.