Vertrag zur Auftragsverarbeitung

Vertragsparteien

Verantwortlicher

Der Coach, der die Plattform zur Betreuung eigener Klientinnen und Klienten nutzt.

Auftragsverarbeiter

PhysiQ — Einzelunternehmen Dominic Michael Müller, Kainachgasse 20a, 1210 Wien, Österreich.

Dieser Vertrag ergänzt die Allgemeinen Geschäftsbedingungen und wird mit ihnen geschlossen. Bei Widersprüchen in Fragen des Datenschutzes geht dieser Vertrag den AGB vor.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten von Klientinnen und Klienten des Verantwortlichen durch den Auftragsverarbeiter im Rahmen des Betriebs der Plattform.

Der Vertrag beginnt mit der Freischaltung des Coach-Zugangs und läuft, solange der Hauptvertrag besteht. Er endet mit dessen Ende, unabhängig vom Grund der Beendigung. Die Pflichten aus Punkt 10 und 11 bestehen darüber hinaus fort.

2. Art, Zweck und Umfang der Verarbeitung

Zweck: Bereitstellung einer Software, mit der der Verantwortliche Klientenakten führt, Trainings- und Ernährungspläne erstellt und zuweist, Check-ins auswertet, Nachrichten austauscht und Benachrichtigungen versendet.

Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Auslesen, Verändern, Auswerten, Übermitteln an die berechtigte betroffene Person, Löschen.

Kategorien betroffener Personen: Klientinnen und Klienten des Verantwortlichen sowie von ihm eingetragene Kontaktpersonen.

Kategorien personenbezogener Daten:

• Stammdaten: Name, Kontaktdaten, Anschrift, Geburtsdatum, Geschlecht, Körpergröße, Zielsetzung, Notizen des Coaches;
• Kontodaten: E-Mail-Adresse, Anbieterkennung, Zeitstempel;
• Trainings- und Ernährungsdaten: Pläne, Übungen, Mahlzeiten, Mengen, Nährwerte, Einkaufslisten;
• Gesundheitsdaten nach Art. 9 DSGVO: Körpergewicht, Schlafqualität, Energielevel, Muskelkater, weitere Messwerte aus Check-ins sowie Körperfotos;
• Ernährungstagebuch aus der PhysiQ-App — Lebensmittel, Mengen, Kalorien und Makronährstoffe je Tag. Diese Daten gehören ebenfalls den besonderen Kategorien nach Art. 9 Abs. 1 DSGVO an. Sie werden dem Verantwortlichen nur dann zugänglich gemacht, wenn die betroffene Person sie selbst freigegeben hat; die Freigabe ist im Klientenbereich jederzeit widerrufbar und wird technisch in der Datenbank durchgesetzt;
• Kommunikationsdaten: Nachrichten samt Anhängen, Lesezeiten;
• technische Daten: Push-Anmeldungen der Geräte, Protokolldaten des Betriebs.

Beiden Parteien ist bewusst, dass ein erheblicher Teil dieser Daten besonderen Kategorien nach Art. 9 Abs. 1 DSGVO angehört und deshalb erhöhte Sorgfalt verlangt.

3. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Zulässigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Er hat insbesondere die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO einzuholen, bevor er Gesundheitsdaten in der Plattform erfasst, und die Information nach Art. 13 DSGVO zu erteilen.

Für das Ernährungstagebuch gilt eine eigene Einwilligung, die die betroffene Person unmittelbar in der Anwendung erteilt und dort auch widerrufen kann. Der Auftragsverarbeiter speichert Zeitpunkt der Erteilung und Zeitpunkt eines Widerrufs und stellt sie dem Verantwortlichen für den Nachweis nach Art. 7 Abs. 1 DSGVO zur Verfügung. Der Verantwortliche darf diese Freigabe nicht zur Bedingung seiner Leistung machen (Art. 7 Abs. 4 DSGVO).

Er erteilt seine Weisungen über die Bedienung der Anwendung sowie ergänzend in Textform an support@getphysiq.at.

4. Weisungsbindung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich einer Übermittlung in ein Drittland, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats dazu verpflichtet ist. In diesem Fall teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilt er dies dem Verantwortlichen unverzüglich mit (Art. 28 Abs. 3 letzter Satz DSGVO). Er ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung der Weisung auszusetzen.

Eine Verarbeitung zu eigenen Zwecken, insbesondere zu Werbung, Weiterverkauf oder zum Training von Modellen künstlicher Intelligenz, findet nicht statt.

5. Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Diese Personen werden mit den einschlägigen Bestimmungen des Datenschutzrechts vertraut gemacht.

Der Zugriff auf Klientendaten ist auf jene Personen beschränkt, die ihn zur Erbringung der vertraglichen Leistung tatsächlich benötigen, insbesondere zur Störungsbehebung. Solche Zugriffe werden protokolliert.

6. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Eingerichtet sind insbesondere:

• Zeilenweise Zugriffsbeschränkung in der Datenbank (Row Level Security). Jede Abfrage wird in der Datenbank gegen die Identität des angemeldeten Kontos geprüft. Ein Coach erhält ausschließlich die Datensätze seiner eigenen Klientinnen und Klienten, eine Klientin oder ein Klient ausschließlich die eigene Akte. Die Prüfung liegt damit nicht in der Anwendung, sondern in der Datenbank selbst und greift auch dann, wenn die Anwendung fehlerhaft ist.
• Verschlüsselte Übertragung. Sämtliche Verbindungen zur Anwendung und zur Datenbank laufen ausschließlich über TLS.
• Verschlüsselte Speicherung. Datenbank und Dateispeicher werden verschlüsselt abgelegt.
• Speicherort in der Europäischen Union. Datenbank und Dateien liegen in der Region eu-north-1 (Stockholm, Schweden).
• Signierte Adressen mit kurzer Gültigkeit für Check-in-Fotos. Körperfotos liegen in einem nicht öffentlichen Speicher. Ein Abruf ist nur über eine eigens erzeugte, signierte Adresse möglich, die nach kurzer Zeit verfällt. Weitergegebene Adressen laufen daher ins Leere.
• Anmeldung ohne Passwortspeicher. Die Anmeldung erfolgt über Google, Apple oder einen einmaligen Link per E-Mail. Der Auftragsverarbeiter speichert keine Passwörter.
• Getrennte Übergabe von Handy-Uploads. Das Hochladen von Fotos vom Mobilgerät läuft über einen Token mit kurzer Gültigkeit, der nur diesen einen Vorgang erlaubt.
• Papierkorb und automatische Bereinigung. Gelöschte Einträge liegen 30 Tage im Papierkorb und werden danach endgültig entfernt. Anhänge in Nachrichten werden 90 Tage nach dem Hochladen automatisch gelöscht.
• Sicherungen und Wiederherstellbarkeit. Regelmäßige Sicherungen der Datenbank mit der Möglichkeit, einen früheren Stand wiederherzustellen.
• Protokollierung und Trennung der Umgebungen. Betriebsprotokolle für Fehlersuche und Angriffserkennung; Entwicklung und Test laufen getrennt vom Echtbetrieb und ohne echte Klientendaten.

Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, solange das Schutzniveau nicht unterschritten wird. Der jeweils aktuelle Stand ist auf Anfrage in Textform erhältlich.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zur Heranziehung folgender Unterauftragsverarbeiter:

Supabase Inc.

Datenbank, Dateispeicher und Anmeldedienst. Verarbeitungsort: Region eu-north-1 (Stockholm, Schweden). [Anschrift laut Vertrag.]

Vercel Inc.

Ausführung und Auslieferung der Anwendung sowie die dabei anfallenden Protokolldaten. [Anschrift laut Vertrag; Verarbeitungsregion angeben.]

Google Ireland Limited

Gordon House, Barrow Street, Dublin 4, Irland. Ausschließlich Prüfung der Identität bei der Anmeldung über Google. Kein Zugriff auf Inhalte der Plattform.

Apple Distribution International Ltd.

Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Ausschließlich Prüfung der Identität bei der Anmeldung über Apple. Kein Zugriff auf Inhalte der Plattform.

Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem mindestens dieselben Pflichten auferlegt, die hier vereinbart sind.

Wechsel oder Ergänzungen werden dem Verantwortlichen mindestens [Frist, z. B. 30 Tage] im Voraus in Textform mitgeteilt. Der Verantwortliche kann aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen. Bleibt der Widerspruch bestehen, ist der Verantwortliche berechtigt, den Hauptvertrag zum Zeitpunkt der Umstellung zu kündigen.

8. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen betroffener Personen nach Art. 15 bis 22 DSGVO nachzukommen. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den zuständigen Verantwortlichen weiter und beantwortet es nicht selbst.

Er unterstützt den Verantwortlichen außerdem bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen und einer Datenschutz-Folgenabschätzung, jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

9. Verletzungen des Schutzes personenbezogener Daten

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie dem Verantwortlichen unverzüglich, jedenfalls binnen [Frist, z. B. 24 Stunden] ab Kenntnis, in Textform an die vom Verantwortlichen hinterlegte Adresse.

Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Verständigung der betroffenen Personen nach Art. 34 DSGVO obliegen dem Verantwortlichen.

10. Löschung und Rückgabe

Nach Ende des Hauptvertrags stehen die Daten für [Frist, z. B. 30 Tage] zum Export bereit. Danach werden sie nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, einschließlich bestehender Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Trifft der Verantwortliche keine Wahl, werden die Daten gelöscht.

Sicherungskopien werden im Zuge des üblichen Zyklus überschrieben und spätestens nach [Frist, z. B. 30 Tagen] endgültig entfernt.

Die Löschung wird auf Verlangen in Textform bestätigt.

11. Nachweise und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen.

Der Nachweis kann durch aktuelle Zertifikate, Prüfberichte oder eine Selbstauskunft erbracht werden. Reicht das im Einzelfall nicht aus, kann der Verantwortliche nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebs vor Ort prüfen oder prüfen lassen. Prüfende Personen dürfen nicht in Wettbewerb zum Auftragsverarbeiter stehen und sind zur Verschwiegenheit verpflichtet.

Der Auftragsverarbeiter führt ein Verzeichnis der im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und legt es auf Verlangen vor.

12. Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und im Verhältnis der Parteien zueinander ergänzend nach den AGB.

Änderungen bedürfen der Textform. Es gilt österreichisches Recht. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.