Auftragsverarbeitungsvertrag (AVV)

1. Parteien und Geltungsbereich

Verantwortlicher („Verantwortlicher“): der Inhaber des Profi-Kontos, identifiziert durch die Kontodaten; bei Teams der Teaminhaber im Sinne der Nutzungsbedingungen. Auftragsverarbeiter („wir“): Vasco José Cardoso Correia, Einzelunternehmer, Steuernummer (NIF) 262045630, Rua de Campezinhos, 27, Lomba, 4600-663 Amarante, Portugal, der MyFitnessClient betreibt ([email protected]).

Dieser AVV gilt für die personenbezogenen Daten, die der Verantwortliche im Rahmen der Betreuung über seine Kunden und andere Personen erfasst oder erhält („Daten des Verantwortlichen“), gemäß Art. 28 der Verordnung (EU) 2016/679 (DSGVO).

Nicht erfasst sind, weil wir dafür Verantwortliche sind und dafür die Datenschutzerklärung gilt: die Konten und die Abrechnung; die Sicherheit und die Nutzungsanalyse der Plattform; der Marktplatz (öffentliche Profile, Anfragen, bis sie angenommen werden, und Kontaktanfragen von Besuchern, bis sie dem Verantwortlichen übergeben werden); und die Daten, die ein Kunde in seinem eigenen Konto erfasst, solange er nicht mit einem Profi verbunden ist. Ebenso sind die Dienste, die der Verantwortliche auf Grundlage eines eigenen Vertrags direkt verbindet, nicht unsere Unterauftragsverarbeiter, etwa sein Stripe-Konto, sein Google-Calendar-Konto oder die Videoplattformen, deren Inhalte er einbettet.

2. Gegenstand, Dauer, Art und Zweck

Wir verarbeiten die Daten des Verantwortlichen, solange sein Konto besteht und bis zum Ablauf der Fristen nach Abschnitt 9, ausschließlich, um ihm den in den Nutzungsbedingungen beschriebenen Dienst zu erbringen: Hosten, Anzeigen, Berechnen, Übermitteln und Benachrichtigen, Anfertigen von Sicherungskopien und Löschen dieser Daten, gemäß seinen Weisungen. Wir verwenden sie nicht für eigene Zwecke, insbesondere nicht für Werbung, Profiling, Verkauf oder das Training von Modellen künstlicher Intelligenz. Die einzige Ausnahme sind aggregierte und anonyme Statistiken über die Nutzung des Dienstes, die weder den Verantwortlichen noch die betroffenen Personen identifizieren.

3. Betroffene Personen und Datenarten

Betroffene Personen: Kunden und Trainierende des Verantwortlichen, mit oder ohne eigenes Konto; Personen, die seine Formulare beantworten oder seine Kurse und Pakete kaufen; Mitglieder seines Teams; Besucher, die ihm im öffentlichen Profil Kontaktdaten hinterlassen; in Notizen oder Nachrichten erwähnte Dritte.

Daten: Identifikations- und Kontaktdaten; NIF und Zahlungsaufzeichnungen; Messungen, Körperzusammensetzung, Fotos und Videos; Anamnese und Fragebögen, die Gesundheitsdaten enthalten können; aus den Messungen berechnete Werte (zum Beispiel BMI und geschätzte Körperzusammensetzung); Pläne und Protokolle zu Training, Ernährung, Supplementierung und Gewohnheiten; Text- und Audionachrichten und Dateien; Kalender; Metadaten von Anrufen. Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO).

4. Weisungen

Wir verarbeiten die Daten des Verantwortlichen nur auf Grundlage seiner dokumentierten Weisungen: der Nutzungsbedingungen, dieses AVV und der Art und Weise, wie er den Dienst nutzt und konfiguriert. Zusätzliche Weisungen werden schriftlich an [email protected] erteilt; solche, die über den normalen Betrieb des Dienstes und das in den Nutzungsbedingungen und in diesem AVV Vorgesehene hinausgehen, bedürfen unserer Zustimmung und können in Rechnung gestellt werden. Sind wir nach dem Recht der Union oder eines Mitgliedstaats verpflichtet, die Daten anders zu verarbeiten, teilen wir dies dem Verantwortlichen vorher mit, sofern das betreffende Recht dies nicht verbietet. Sind wir der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, informieren wir den Verantwortlichen unverzüglich; hält er an ihr fest, können wir die betreffende Verarbeitung aussetzen und, wenn er weiterhin daran festhält, den Vertrag kündigen.

Der Verantwortliche erteilt hiermit folgende dauerhafte Weisungen: (a) Wenn ein Kunde mit eigenem Konto sein Konto löscht, entfernen wir aus den Daten des Verantwortlichen die Profildaten dieses Kunden (Name, E-Mail-Adresse, Kontaktdaten, Foto, Geburtsdatum, Geschlecht, Größe, Gewicht, NIF und Krankengeschichte), die Aufzeichnungen der Betreuung verbleiben im Konto des Verantwortlichen, der entscheidet, ob er sie löscht, und wenn die Betreuung lief oder geplant war, teilen wir dem Verantwortlichen unter Nennung des Namens des Kunden mit, dass das Konto gelöscht wurde und die Betreuung beendet ist; (b) Kundenkonten, die 12 Monate lang keine Aktivität aufweisen, können gemäß der Datenschutzerklärung gelöscht werden; (c) gehostete Dateien können 90 Tage nach dem Ende eines kostenpflichtigen Abonnements gemäß Abschnitt 9 der Nutzungsbedingungen gelöscht werden; (d) die von Besuchern im öffentlichen Profil hinterlassenen Kontaktanfragen werden ein Jahr nach ihrem Eingang gelöscht.

5. Vertraulichkeit und Zugriff

Auf die Daten des Verantwortlichen greift nur das Personal zu, das dies benötigt und zur Vertraulichkeit sowie zur Verschwiegenheit nach Art. 29 Abs. 4 des portugiesischen Gesetzes Nr. 58/2019 verpflichtet ist. Der Zugriff ist auf das beschränkt, was erforderlich ist, um den Dienst zu erbringen, zu warten und zu schützen (insbesondere auf Anfrage des Verantwortlichen oder der betroffenen Person über den Support, zur Untersuchung von Sicherheitsvorfällen oder Fehlern oder zum Testen von Updates), oder um eine gesetzliche Verpflichtung zu erfüllen. Jede Sitzung, in der sich das Personal in ein Konto einloggt, um Support zu leisten, wird protokolliert und ist zeitlich begrenzt; was das Personal in dieser Sitzung speichert, wird wie jede andere Änderung im Konto gespeichert. Weder diese Sitzungen noch die Verwaltungswerkzeuge zeigen private Dateien (Fotos und Dokumente) an, mit Ausnahme eines Fotos, das beim Auftreten eines Fehlers auf dem Bildschirm der mobilen App angezeigt wurde und im Screenshot des Fehlerberichts erscheint; auf Bildschirmen wie Fortschritt, Körperanalysen, Anamnese und Nachrichten, erstellt die App diesen Screenshot nicht.

6. Sicherheit

Wir wenden die technischen und organisatorischen Maßnahmen nach Anhang II an, die wir regelmäßig überprüfen, ohne das Gesamtschutzniveau zu senken, unter Berücksichtigung des Stands der Technik und des Risikos der Verarbeitung, einschließlich der Verarbeitung von Gesundheitsdaten.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für die Unterauftragsverarbeiter nach Anhang III. Wir informieren den Verantwortlichen mindestens 30 Tage im Voraus per E-Mail über jede Hinzufügung oder Ersetzung, außer bei einer dringenden Ersetzung aus Sicherheitsgründen oder wegen Einstellung des Dienstes des Anbieters; in diesem Fall informieren wir ihn so bald wie möglich. Der Verantwortliche kann aus begründeten Datenschutzgründen widersprechen; finden wir keine Lösung, kann er den Vertrag ohne Vertragsstrafe kündigen, mit anteiliger Erstattung des bezahlten Zeitraums und Export der Daten. Wir erlegen jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die denen dieses AVV gleichwertig sind, und haften gegenüber dem Verantwortlichen weiterhin in vollem Umfang für deren Einhaltung (Art. 28 Abs. 4 DSGVO).

8. Unterstützung und Datenschutzverletzungen

Anfragen betroffener Personen, die uns erreichen, leiten wir unverzüglich an den Verantwortlichen weiter; wir beantworten sie nicht ohne Genehmigung, außer um mitzuteilen, an wen sie sich wenden müssen. Wir stellen im Dienst Werkzeuge bereit, um die Daten jedes Kunden einzusehen, zu berichtigen und zu löschen, sowie auf Anfrage deren Export oder deren vollständige Löschung. Wir unterstützen den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation).

Bei einer Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, benachrichtigen wir ihn per E-Mail unverzüglich und nach Möglichkeit innerhalb von 48 Stunden, nachdem wir davon Kenntnis erlangt haben, mit der Art der Verletzung, den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, der Anlaufstelle, den wahrscheinlichen Folgen und den ergriffenen oder vorgeschlagenen Maßnahmen. Informationen, die noch nicht vorliegen, werden schrittweise und ohne unangemessene weitere Verzögerung übermittelt.

9. Ende der Verarbeitung

Solange das Konto besteht und nach dem Ende eines kostenpflichtigen Abonnements kann der Verantwortliche den Export der Daten des Verantwortlichen gemäß den Abschnitten 20 und 23 der Nutzungsbedingungen verlangen. Wird das Konto gelöscht, löschen wir die Daten des Verantwortlichen innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht; was noch in den Audit-Protokollen und den Sicherungskopien enthalten ist, wird nach Ablauf der Fristen nach Anhang II gelöscht, und die Fehlerberichte bis zu 90 Tage danach. Die Daten, die ein Kunde in sein eigenes Konto eingegeben hat, verbleiben in diesem Konto; ab diesem Zeitpunkt sind sie keine Daten des Verantwortlichen mehr und unterliegen der Datenschutzerklärung. Ausgenommen sind die Fotos und Dateien, die der Kunde im Rahmen der Betreuung durch den Verantwortlichen gesendet hat: Sie werden im Konto des Verantwortlichen gehostet und mit diesem gelöscht.

10. Informationen und Audits

Wir stellen dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, und ermöglichen Audits, einschließlich Inspektionen, durch den Verantwortlichen oder einen von ihm gewählten, zur Vertraulichkeit verpflichteten Prüfer. Audits erfolgen nach angemessener Vorankündigung, höchstens einmal jährlich, außer bei Anzeichen einer Pflichtverletzung oder auf Verlangen der CNPD (portugiesische Datenschutzbehörde), vorrangig anhand von Dokumentation und Fragebögen und ohne die Sicherheit der übrigen Kunden zu gefährden. Die Kosten trägt der Verantwortliche, sofern sich keine Pflichtverletzung unsererseits bestätigt. Wir stellen diese Informationen der Aufsichtsbehörde auf Anfrage zur Verfügung.

11. Internationale Übermittlungen

Wir übermitteln Daten des Verantwortlichen nur mit den Garantien nach Kapitel V DSGVO in Länder außerhalb des Europäischen Wirtschaftsraums. Anhang III gibt den Standort jedes Unterauftragsverarbeiters an und, wenn die Verarbeitung außerhalb des Europäischen Wirtschaftsraums erfolgt, die anwendbare Garantie. Auf Anfrage senden wir eine Kopie der Standardvertragsklauseln.

12. Pflichten des Verantwortlichen

Dem Verantwortlichen obliegt es: für jede Verarbeitung eine Rechtsgrundlage zu haben und für Gesundheitsdaten eine Grundlage nach Art. 9 Abs. 2 DSGVO (in der Regel die ausdrückliche Einwilligung der betroffenen Person; Angehörige der Gesundheitsberufe, die der Schweigepflicht unterliegen, können sich auf Buchst. h in Verbindung mit Abs. 3 berufen); die betroffenen Personen zu informieren (Art. 13 und 14), einschließlich der Personen, die er ohne eigenes Konto erfasst; die Zustimmung der gesetzlichen Vertreter von Minderjährigen einzuholen; sicherzustellen, dass die Mitglieder seines Teams unter seiner Weisungsbefugnis und vertraulich handeln (Art. 29); die Datenschutz-Folgenabschätzung durchzuführen, wenn sie erforderlich ist; und rechtmäßige Weisungen zu erteilen.

13. Haftung, Vorrang und Änderungen

Die Haftungsbeschränkungen der Nutzungsbedingungen gelten nur zwischen den Parteien und berühren nicht die Rechte der betroffenen Personen (Art. 82 DSGVO). Bei Widersprüchen hinsichtlich der Verarbeitung der Daten des Verantwortlichen hat dieser AVV Vorrang vor den Nutzungsbedingungen. Änderungen dieses AVV richten sich nach Abschnitt 25 der Nutzungsbedingungen. Dieser AVV unterliegt portugiesischem Recht. Nicht definierte Begriffe haben die Bedeutung, die ihnen die DSGVO gibt.

Anhang I: Übersicht über die Verarbeitung

Anhang II: Technische und organisatorische Maßnahmen

• Produktionsserver in der Europäischen Union (Deutschland)
• Verschlüsselung bei der Übertragung (HTTPS/TLS) bei Verbindungen über das Internet
• Gehashte Passwörter; Zwei-Faktor-Geheimnisse und Verbindungen zu externen Diensten auf den Servern verschlüsselt
• Zwei-Faktor-Authentifizierung für alle Konten verfügbar
• Trennung der Daten nach Konto und Team, mit vom Verantwortlichen konfigurierbaren Berechtigungen
• Begrenzung von Versuchen, Bot-Schutz und Überwachung von Zugriffen
• Audit-Protokolle von Änderungen (180 Tage; 365 Tage für Konto und Zahlungen) und von Support-Zugriffen (365 Tage)
• Support-Sitzungen innerhalb der Konten, protokolliert und zeitlich begrenzt; weder sie noch die Verwaltungswerkzeuge gewähren Zugriff auf private Dateien, mit Ausnahme dessen, was im Screenshot eines Fehlerberichts der mobilen App sichtbar ist
• Sicherungskopien der Datenbank, im Rahmen der Rotation gelöscht, in der Regel nach 30 Tagen
• Anrufe ohne Aufzeichnung; Weiterleitung (Relay) und Gruppenanrufe auf eigenen Servern
• Zur Vertraulichkeit verpflichtetes Personal mit Zugriff

Anhang III: Unterauftragsverarbeiter