Vertrag zur Auftragsverarbeitung

Dieser Vertrag nach Art. 28 DSGVO ergänzt den Nutzungsvertrag über estiMate und wird mit diesem geschlossen. Er gilt zwischen dem Kunden („Verantwortlicher“) und der FutSoft UG (haftungsbeschränkt), Weinberg 8, 96479 Weitramsdorf („Auftragsverarbeiter“). Wer eine unterschriebene Fassung braucht, erhält sie über das Kontaktformular.

Er greift, wenn Sie als Trainerin, Trainer, Verein oder Unternehmen Daten Ihrer Athletinnen und Athleten in estiMate verarbeiten. Nutzen Sie estiMate ausschließlich für sich selbst, sind Sie selbst betroffene Person und brauchen ihn nicht.

Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit das für den Betrieb von estiMate nötig ist. Der Vertrag gilt, solange der Nutzungsvertrag läuft, und endet mit ihm.

Art, Zweck und Betroffene

Laktat-, Herzfrequenz- und Leistungsdaten sowie die daraus abgeleiteten Stoffwechselkennwerte sind Gesundheitsdaten (Art. 9 DSGVO). Sie sind für diesen Vertrag vorgesehen. Der Verantwortliche stellt sicher, dass für jede betroffene Person eine Rechtsgrundlage vorliegt, insbesondere deren ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), und dass er sie informiert hat.

Weisungen

1. Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen. Der Nutzungsvertrag und die Einstellungen in der Anwendung gelten als Weisung; weitere Weisungen erfolgen in Textform.
2. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf sie bis zur Klärung aussetzen.

Pflichten des Auftragsverarbeiters

1. Alle Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
2. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und entwickelt sie fort.
3. Er unterstützt den Verantwortlichen mit geeigneten Mitteln bei Anträgen betroffener Personen (Art. 12 bis 22 DSGVO) und bei seinen Pflichten aus Art. 32 bis 36 DSGVO. Anfragen betroffener Personen leitet er unverzüglich weiter. Export und Löschung einzelner Athleten und Tests stehen dem Verantwortlichen direkt in der Anwendung zur Verfügung.
4. Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, in der Regel binnen 48 Stunden nach Kenntnis, mit den Angaben, die der Verantwortliche für seine Meldung braucht.
5. Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
6. Er verarbeitet Daten ausschließlich in der Europäischen Union bzw. im Europäischen Wirtschaftsraum.
7. Der Zugriff des Supports auf ein Konto erfolgt nur mit Begründung und wird nachvollziehbar protokolliert.

Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung gegenüber seinen Athletinnen und Athleten verantwortlich, einschließlich Einwilligung, Information und Widerruf.
2. Bindet er externe Systeme an (z. B. intervals.icu über den Import, eigene Systeme über API-Schlüssel), geschieht das auf seine Veranlassung und in seiner Verantwortung. Diese Systeme sind keine Unterauftragnehmer des Auftragsverarbeiters.
3. Er informiert den Auftragsverarbeiter, wenn eine betroffene Person ihre Einwilligung widerruft, damit die Daten nach Abschnitt 8 gelöscht werden können.

Unterauftragnehmer

Der Verantwortliche stimmt dem Einsatz des folgenden Unterauftragnehmers zu. Mit ihm besteht ein Vertrag nach Art. 28 DSGVO.

E-Mail-Versand (Anmelde-Codes, Rechnungen), Ticketsystem und Reichweitenmessung betreibt der Auftragsverarbeiter selbst auf diesen Servern. Die Mollie B.V., Amsterdam, wickelt Zahlungen des Verantwortlichen an den Auftragsverarbeiter ab. Sie verarbeitet dabei keine Daten im Auftrag des Verantwortlichen, sondern ist für die Zahlungsabwicklung selbst verantwortlich.

Über beabsichtigte Änderungen (neue oder ersetzte Unterauftragnehmer) informiert der Auftragsverarbeiter mindestens 30 Tage vorher in Textform. Der Verantwortliche kann aus wichtigem Datenschutzgrund innerhalb dieser Frist widersprechen. Bleibt der Widerspruch ungelöst, kann jede Seite den Nutzungsvertrag außerordentlich kündigen. Dem Unterauftragnehmer werden dieselben Datenschutzpflichten auferlegt wie in diesem Vertrag.

Rechte und Kontrolle

1. Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind.
2. Der Verantwortliche darf Überprüfungen vornehmen, auch vor Ort, nach rechtzeitiger Anmeldung (in der Regel 14 Tage), zu üblichen Geschäftszeiten und ohne Störung des Betriebs. Der Auftragsverarbeiter darf sie durch aktuelle Zertifikate und Prüfberichte seines Rechenzentrumsbetreibers sowie eigene Dokumentation ersetzen, wenn sie ausreichen. Unverhältnismäßigen Aufwand darf er angemessen vergüten lassen.

Rückgabe und Löschung

Athleten- und Testdaten einschließlich der hochgeladenen Dateien werden gelöscht, wenn eine betroffene Person ihre Einwilligung widerruft oder der Verantwortliche die Daten selbst in der Anwendung löscht oder sein Konto löschen lässt. Eine Kündigung oder das Ende des Nutzungsvertrags löscht nichts: Der Verantwortliche kann die Daten weiter ansehen, als JSON und CSV exportieren (die hochgeladenen Rohdateien sind im Export enthalten) oder löschen; neue Daten nimmt die Anwendung nur mit Tarif oder Guthaben an. Der Widerruf einer betroffenen Person geht an den Verantwortlichen; der Auftragsverarbeiter löscht auf dessen Weisung, spätestens innerhalb von 30 Tagen nach dem Widerruf. Nach einem Widerruf werden für den Athleten keine neuen Daten mehr angenommen. Bei einem Wechsel zu einem anderen Anbieter gelten die Fristen aus den AGB: Übergangsfrist von 30 Tagen, danach Datenabrufzeitraum von 30 Tagen, erst dann auf Verlangen die Löschung. Sicherungskopien werden innerhalb von 60 Tagen überschrieben. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Andere Fristen gibt der Verantwortliche in Textform vor; sie werden im Rahmen des technisch Möglichen umgesetzt.

Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Innenverhältnis gelten die Haftungsregeln des Nutzungsvertrags. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

• Zutritt: Betrieb in Rechenzentren von Hetzner mit Zutrittskontrolle; kein Zutritt Dritter zu den Servern des Auftragsverarbeiters.
• Zugang: Anmeldung mit Einmalcode per E-Mail; Sitzungen verfallen; Begrenzung wiederholter Anmeldeversuche; Server nur per Schlüssel erreichbar.
• Zugriff: Rollen je Organisation; Daten verschiedener Organisationen sind strikt getrennt (Mandantentrennung). API-Schlüssel werden nur als Hash gespeichert. Support-Zugriffe nur mit Begründung und Protokollierung.
• Weitergabe: Verschlüsselte Übertragung (TLS) mit HSTS; Dateizugriffe nur nach Berechtigung.
• Eingabe: Anmeldungen, Änderungen an Rechten und Abrechnungsdaten sowie Support-Zugriffe werden mit Zeitpunkt und Person protokolliert; die Protokolle sind per Hash-Kette verknüpft, sodass nachträgliche Änderungen erkennbar sind.
• Verfügbarkeit: Regelmäßige Datensicherung, Überwachung des Betriebs, zeitnahes Einspielen von Sicherheitsupdates.
• Trennung: Entwicklungs- und Produktivumgebung sind getrennt; Echtdaten werden nicht für Tests verwendet.
• Datenschutz durch Technik: Speicherfristen nach dokumentiertem Löschkonzept; hochgeladene Dateien werden bei Löschung des Tests aus dem Speicher entfernt; die Seiten der Anwendung laden keine Inhalte von Drittanbietern.
• Organisation: Verpflichtung der Beschäftigten auf Vertraulichkeit, Meldeweg für Datenschutzvorfälle, regelmäßige Überprüfung dieser Maßnahmen.

Zur Startseite