Vertrag zur Auftragsverarbeitung (AVV)

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Plattformbetreiber (nachfolgend Auftragsverarbeiter) im Auftrag des Coaches (nachfolgend Verantwortlicher) bei der Nutzung des ProgressCompass Coach-Portals.

• Verantwortlicher: der jeweilige Coach (Kontoinhaber).
• Auftragsverarbeiter: ProgressCompass, Dominik Schwoch, Schüttenrode 8, 48282 Emsdetten, info@progresscompass.de.

1. Gegenstand, Art und Zweck

Gegenstand ist die Verarbeitung von Teilnehmerdaten zur Erstellung und Bereitstellung von Ernährungs- und Trainingsplänen sowie zur Synchronisation mit der ProgressCompass-App. Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen.

2. Dauer

Die Verarbeitung erfolgt für die Laufzeit des Nutzungsverhältnisses.

3. Art der Daten

Stammdaten (Name, optional E-Mail), Profil-/Bedarfsdaten sowie Gesundheitsdaten (Gewicht, Körpermaße – Art. 9 DSGVO).

4. Kategorien betroffener Personen

Die vom Coach betreuten Teilnehmer.

5. Pflichten des Auftragsverarbeiters

• Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen.
• Verpflichtung der mit der Verarbeitung befassten Personen zur Vertraulichkeit.
• Umsetzung technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe Anhang).
• Unterstützung des Verantwortlichen bei der Wahrung der Betroffenenrechte und bei Meldepflichten (Art. 33/34 DSGVO).
• Löschung oder Rückgabe der Daten nach Ende der Verarbeitung nach Wahl des Verantwortlichen.
• Nachweis der Einhaltung und Ermöglichung von Überprüfungen.

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:

• Hetzner Online GmbH – Hosting inkl. Object Storage (Bild-Uploads) in der EU (Deutschland).
• Hostinger (UAB Hostinger, Kaunas, Litauen – EU) – Versand von System- und Einladungs-E-Mails an Teilnehmer.
• Stripe Payments Europe, Ltd. (Dublin, Irland – EU) – Zahlungsabwicklung kostenpflichtiger Abonnements.

Anhang: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: TLS für alle Verbindungen (Let's Encrypt).
• Zugriffskontrolle: Login mit individuellen Konten; strenge Mandantentrennung – jeder Coach sieht ausschließlich seine eigenen Daten.
• Token-Sicherheit: Sync-Token sind zufällig, lang und widerrufbar; Übertragung nur über HTTPS.
• Datentrennung: Datenbankseitige Zuordnung jeder Abfrage zum jeweiligen Coach.
• Verfügbarkeit: regelmäßige Datenbank-Backups.
• Datenminimierung: Nährwerte werden berechnet, nicht dauerhaft gespeichert; keine Tracker.