Auftragsverarbeitungsvertrag (AVV)

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO · Stand: 21.10.2026

Entwurf — Prüfung durch Anwalt/Steuerberater nötig.

Zwischen dir als Trainer/Studio-Betreiber („Verantwortlicher“) und Nauris Rande, Immenstädter Str. 43, 87435 Kempten, als Betreiber der Plattform BitFit GYM („Auftragsverarbeiter“). Dieser Vertrag ergänzt die Nutzungsbedingungen und wird mit der Registrierung als Trainer per Checkbox angenommen.

§1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten der Mitglieder des Verantwortlichen durch den Auftragsverarbeiter im Rahmen der Bereitstellung der Plattform BitFit GYM. Die Dauer entspricht der Laufzeit des Hauptvertrags (Nutzungsbedingungen).

§2 Art und Zweck der Verarbeitung, betroffene Personen und Daten

Zweck ist der Betrieb der Plattform (Mitgliederverwaltung, Trainingsplanung, Ernährungstracking, Zahlungsabwicklung, Kommunikation). Betroffene Personen sind die Mitglieder des Verantwortlichen. Verarbeitet werden insbesondere: Name, E-Mail-Adresse, Kontaktdaten, Zahlungsstatus, Trainingsdaten (Workouts, Trainingspläne, Ausdauereinheiten, Körpergewicht, Fortschrittsfotos), Ernährungsdaten, Chat-Nachrichten und Beiträge im Energy Feed. Ein Teil dieser Daten kann Gesundheitsbezug haben (Art. 9 DSGVO); der Verantwortliche stellt sicher, dass seine Mitglieder die hierfür nötige Einwilligung wirksam erteilt haben (die Plattform holt diese Einwilligung bei der jeweiligen Dateneingabe selbst beim Mitglied ein, siehe Datenschutzerklärung).

§3 Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen (diese ergibt sich aus der Konfiguration und Nutzung der Plattform durch den Verantwortlichen selbst), es sei denn, eine gesetzliche Pflicht verlangt etwas anderes.
• Vertraulichkeit: Personen, die Zugang zu den Daten haben, sind auf Vertraulichkeit verpflichtet.
• Umsetzung angemessener technischer und organisatorischer Maßnahmen (§4).
• Unterstützung des Verantwortlichen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und der Meldung von Datenschutzverletzungen (§6).
• Löschung oder Rückgabe der Daten nach Vertragsende (§8).

§4 Technische und organisatorische Maßnahmen (TOM)

Die Plattform wird auf Servern der Hetzner Online GmbH in Deutschland betrieben. Die Übertragung erfolgt verschlüsselt (HTTPS/TLS). Passwörter werden ausschließlich als Hash gespeichert, Sitzungen über zufällige, gehashte Token verwaltet. Es werden tägliche Backups erstellt. Zugriffsrechte sind rollenbasiert (Trainer sehen nur die Daten ihres eigenen Gyms; Mitglieder nur ihre eigenen Daten, soweit sie diese nicht ausdrücklich mit ihrem Trainer teilen). Details siehe Datenschutzerklärung.

§5 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu, die bereits in der Datenschutzerklärung genannt sind:

• Hetzner Online GmbH (Hosting, Deutschland)
• Stripe Payments Europe, Ltd. (Zahlungsabwicklung Karte, EU/Drittland)
• EmailJS Pte. Ltd. in Verbindung mit dem E-Mail-Postfach-Anbieter (System-E-Mails, Drittland USA mit Standardvertragsklauseln)
• Google LLC (Gemini API, nur bei aktiver Nutzung des Ernährungs-Scanners, Drittland USA)

Der Austausch eines Unterauftragsverarbeiters oder die Hinzunahme eines neuen wird dem Verantwortlichen per E-Mail mit angemessener Vorlaufzeit angekündigt; widerspricht der Verantwortliche nicht innerhalb von vier Wochen, gilt dies als genehmigt.

§6 Unterstützung des Verantwortlichen

Für Auskunfts-, Berichtigungs- und Löschersuchen seiner Mitglieder stellt die Plattform dem Verantwortlichen entsprechende Werkzeuge im Dashboard zur Verfügung bzw. unterstützt ihn auf Anfrage unter info@bitfitgym.com. Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert er den Verantwortlichen unverzüglich.

§7 Kontrollrechte

Der Verantwortliche kann sich von der Einhaltung der in diesem Vertrag vereinbarten Pflichten überzeugen, insbesondere durch Einholung von Auskünften. Weitergehende Vor-Ort-Kontrollen stimmen die Parteien im Einzelfall mit angemessener Vorlaufzeit ab.

§8 Löschung und Rückgabe

Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten Daten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Verantwortliche kann vor Löschung einen Datenexport anfordern (für Mitgliederdaten teilweise bereits selbst über „Profil & Passwort → Meine Daten herunterladen“ möglich).

§9 Haftung

Für die Haftung gilt §9 der Nutzungsbedingungen entsprechend.

§10 Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem AVV und den Nutzungsbedingungen geht dieser AVV in Bezug auf die Auftragsverarbeitung vor.