Vertrag zur Auftragsverarbeitung
gemäß Art. 28 DSGVO – Anlage zu den Allgemeinen Geschäftsbedingungen von activfit
Du betreust deine Kunden, also gehören dir ihre Daten und du bestimmst darüber („Verantwortlicher“). Wir stellen nur die Technik und dürfen mit den Daten nichts anderes machen, als du sagst („Auftragsverarbeiter“). Dieser Vertrag hält das fest – die DSGVO verlangt ihn. Du schließt ihn mit der Anmeldung deines Studios ab; ausdrucken und unterschreiben musst du nichts. Wenn du ihn trotzdem unterschrieben in deiner Akte haben möchtest, schreib uns an info@activfit.de – du bekommst ihn als PDF zurück.
Die Parteien
Verantwortlicher (Auftraggeber): der Kunde, der sein Studio in activfit angelegt hat, mit den Angaben, die er bei der Anmeldung und in den Studio-Einstellungen hinterlegt hat.
Auftragsverarbeiter (Auftragnehmer): openTS GmbH, Röntgenstraße 8, 60388 Frankfurt am Main, vertreten durch den Geschäftsführer Alexander-Sean Dont, Amtsgericht Frankfurt am Main, HRB 116964.
§ 1 Gegenstand und Dauer
(1) Der Auftragnehmer stellt dem Auftraggeber die Software activfit als Dienst über das Internet bereit und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Grundlage ist der zwischen den Parteien geschlossene Nutzungsvertrag (Hauptvertrag).
(2) Dieser Vertrag beginnt mit dem Hauptvertrag und endet ohne gesonderte Kündigung mit ihm, spätestens wenn der Auftragnehmer keine Daten des Auftraggebers mehr verarbeitet.
§ 2 Art, Zweck und Umfang der Verarbeitung
(1) Zweck: Betrieb einer Coaching-App, in der der Auftraggeber Trainings-, Ernährungs- und Betreuungspläne für seine Kunden erstellt und diese ihre Trainings, Rückmeldungen, Check-ins und Nachrichten erfassen.
(2) Art der Verarbeitung: Erheben, Speichern, Hosten, Anzeigen, Übermitteln (E-Mail und Push), Sichern, Wiederherstellen, Fehleranalyse, Löschen.
(3) Betroffene Personen: Kunden und Interessenten des Auftraggebers sowie dessen Coaches und Mitarbeiter.
(4) Datenarten:
- Stammdaten: Name, E-Mail-Adresse, Telefonnummer, Geburtsjahr, Geschlecht, Größe, Profilbild
- Nutzungs- und Vertragsdaten: Konto, Pläne, Termine, Nachrichten, Sprachnachrichten und Videoantworten, Push-Kennungen
- Gesundheitsdaten (Art. 9 DSGVO): Gewicht und Körpermaße, Beschwerden und Einschränkungen, Trainings- und Ernährungseinträge, Anstrengung (RPE), Schlaf, Stimmung, Check-in-Antworten, Fortschrittsfotos, Screenshots; bei eingeschaltetem Modul zusätzlich Lebensphase und Symptome
- Technische Daten: IP-Adressen, Zugriffs- und Anmeldeprotokolle
(5) Die Verarbeitung findet in der Europäischen Union statt; die Datenbank liegt in Frankfurt am Main. Eine Übermittlung in Drittländer erfolgt nur über die in Anlage 2 genannten Unterauftragsverarbeiter und nur mit den dort genannten Garantien.
§ 3 Weisungen
(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dies vorab mit, sofern das Gesetz es nicht verbietet.
(2) Die Nutzung der Funktionen der Software durch den Auftraggeber gilt als Weisung. Darüber hinausgehende Weisungen erfolgen in Textform an info@activfit.de.
(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf ihre Ausführung bis zur Bestätigung aussetzen.
(4) Der Auftragnehmer nutzt die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, nicht zur Auswertung über den Auftrag hinaus und nicht zum Training von KI-Modellen.
§ 4 Pflichten des Auftragnehmers
(1) Vertraulichkeit: Alle Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet. Der Zugriff ist auf das beschränkt, was für Betrieb, Wartung und Fehlerbehebung nötig ist.
(2) Sicherheit: Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 32 DSGVO) und passt sie dem Stand der Technik an. Wesentliche Verschlechterungen sind unzulässig.
(3) Unterstützung: Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen, bei Datenschutz-Folgenabschätzungen, bei Meldungen an Aufsichtsbehörden und bei der Erfüllung der Pflichten aus Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter.
(4) Datenpannen: Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit allen verfügbaren Angaben (Art, betroffene Datenarten und Personen, mögliche Folgen, ergriffene Maßnahmen).
(5) Ansprechperson für den Datenschutz beim Auftragnehmer: Alexander-Sean Dont, info@activfit.de.
(6) Der Auftragnehmer führt ein Verzeichnis aller Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
§ 5 Pflichten des Auftraggebers
(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für eine Rechtsgrundlage, für die Information seiner Kunden nach Art. 13 DSGVO und für die ausdrückliche Einwilligung in die Verarbeitung von Gesundheitsdaten.
(2) Er hinterlegt in den Studio-Einstellungen vollständige und richtige Angaben zu seinem Unternehmen, damit seine Kunden erkennen können, wer Verantwortlicher ist.
(3) Er hält seine Zugangsdaten geheim und meldet einen Missbrauchsverdacht unverzüglich.
(4) Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
§ 6 Unterauftragsverarbeiter
(1) Der Auftraggeber genehmigt die in Anlage 2 aufgeführten Unterauftragsverarbeiter.
(2) Der Auftragnehmer informiert den Auftraggeber mindestens 14 Tage vorher in Textform über die beabsichtigte Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter. Der Auftraggeber kann binnen 14 Tagen aus einem wichtigen datenschutzrechtlichen Grund widersprechen; wird daraufhin keine Lösung gefunden, kann er den Hauptvertrag außerordentlich kündigen.
(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht (Art. 28 Abs. 4 DSGVO), und stellt bei Übermittlungen in Drittländer geeignete Garantien sicher (Angemessenheitsbeschluss, insbesondere EU-US Data Privacy Framework, oder EU-Standardvertragsklauseln).
(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikation oder Reinigungsdienste.
§ 7 Kontrollrechte
(1) Der Auftraggeber kann sich von der Einhaltung dieses Vertrags überzeugen. Kontrollen erfolgen nach vorheriger Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs.
(2) Der Auftragnehmer stellt die erforderlichen Auskünfte bereit. Für den Bereich der Unterauftragsverarbeiter genügt die Vorlage aktueller Nachweise (z. B. SOC-2-Berichte, ISO-27001-Zertifikate).
§ 8 Ende des Auftrags
Nach Ende des Hauptvertrags gibt der Auftragnehmer die Daten nach Wahl des Auftraggebers in einem gängigen Format heraus oder löscht sie, einschließlich vorhandener Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Bis dahin hält er die Daten 30 Tage zum Abruf bereit. Die Löschung wird auf Verlangen in Textform bestätigt. Datensicherungen werden nach Ablauf ihres Speicherzyklus gelöscht.
§ 9 Haftung und Schlussbestimmungen
(1) Für die Haftung gilt Art. 82 DSGVO; im Innenverhältnis gelten ergänzend die Haftungsregeln des Hauptvertrags.
(2) Änderungen dieses Vertrags bedürfen der Textform. Bei Widersprüchen geht dieser Vertrag in Datenschutzfragen dem Hauptvertrag vor.
(3) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.
(4) Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, Frankfurt am Main.
Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
| Bereich | Maßnahme |
|---|---|
| Zutritt | Keine eigenen Server. Die Rechenzentren der Unterauftragsverarbeiter (AWS Frankfurt über Supabase, Netlify) verfügen über zertifizierte Zutrittskontrollen (SOC 2 / ISO 27001). |
| Zugang | Anmeldung über E-Mail und Passwort; Passwörter nur als Hashwert gespeichert. Verwaltungszugänge zu allen eingesetzten Diensten mit eigenem Konto und Zwei-Faktor-Anmeldung, keine geteilten Zugänge. Schlüssel und Zugangsdaten liegen ausschließlich als verschlüsselte Secrets, nie im Quellcode. |
| Zugriff | Trennung auf Datenbankebene (Row Level Security): Jeder Kunde sieht nur seine eigenen Daten, jeder Coach nur die Daten seines eigenen Studios. Fortschrittsfotos, Screenshots, Sprachnachrichten und Videoantworten liegen in nicht öffentlichen Speichern und sind nur über zeitlich begrenzte Links erreichbar. Die Trennung wird nach jeder Änderung automatisiert geprüft. |
| Weitergabe | Transportverschlüsselung (HTTPS/TLS) für alle Verbindungen; Verschlüsselung der gespeicherten Daten beim Anbieter (Encryption at rest). |
| Eingabe | Änderungen an der Datenbankstruktur ausschließlich als nachvollziehbare Migrationen; Zeitstempel an Einträgen, Nachrichten und Einwilligungen. |
| Verfügbarkeit | Tägliche Datensicherung der Datenbank mit Wiederherstellungsmöglichkeit; Änderungen werden vor der Veröffentlichung getestet. |
| Trennung | Mandantentrennung je Studio; getrennte Umgebungen für Test, Demo und Betrieb; Demodaten enthalten keine echten Personendaten. |
| Datenschutz durch Technik | Keine Tracking- oder Werbe-Cookies, kein Analysewerkzeug, keine Schriften oder Skripte von fremden Servern. Gesundheitsdaten erst nach ausdrücklicher Einwilligung der betroffenen Person. An den KI-Dienst werden nur die eingegebenen Texte ohne Namen und Kontodaten übermittelt. |
| Wiederherstellbarkeit | Wiederherstellung aus der täglichen Sicherung durch den Auftragnehmer; Export der Daten des Auftraggebers jederzeit möglich. |
Anlage 2 – Genehmigte Unterauftragsverarbeiter
| Anbieter | Leistung | Ort | Garantie |
|---|---|---|---|
| Supabase Inc., USA | Datenbank, Anmeldung, Dateispeicher, Serverfunktionen | EU – Frankfurt am Main (AWS eu-central-1) | AV-Vertrag mit EU-Standardvertragsklauseln |
| Netlify Inc., USA | Hosting und Auslieferung der App | weltweites CDN, USA | AV-Vertrag; EU-US Data Privacy Framework / Standardvertragsklauseln |
| Resend Inc., USA | Versand von System-E-Mails | USA | AV-Vertrag mit EU-Standardvertragsklauseln |
| Stripe Payments Europe, Ltd., Irland | Zahlungsabwicklung der Abonnements des Auftraggebers (keine Daten seiner Kunden) | EU / USA | Eigenverantwortlich; EU-Standardvertragsklauseln |
| Anthropic PBC, USA | KI-Hilfe (Textvorschläge, Nährwerte schätzen) – nur der eingegebene Text | USA | AV-Vertrag mit EU-Standardvertragsklauseln |
Nicht als Unterauftragsverarbeiter gelten: Open Food Facts (Abruf direkt vom Gerät der betroffenen Person, ohne Kontodaten) sowie die Push-Dienste von Apple und Google (Zustellung durch Browser bzw. Betriebssystem des Geräts).
Stand: 22. September 2026