# ENTWURF – Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

> **ENTWURF zur rechtlichen Prüfung – nicht unterzeichnen, keine Rechtsberatung.**
> Diese Vorlage beschreibt die Verarbeitung so, wie die Software sie heute tatsächlich durchführt.
> Eckige Klammern `[…]` markieren Angaben, die noch zu ergänzen oder zu bestätigen sind.
> Stand: [Datum]

## Parteien

**Verantwortlicher („Auftraggeber“):** der Coach bzw. das Studio, das Kundinnen und Kunden über die Plattform betreut
[Name, Anschrift]

**Auftragsverarbeiter („Auftragnehmer“):** HMO Europe B.V., Steenovenweg 36, 5708 HN Helmond, Niederlande,
KvK 87173442 [Vertretungsberechtigte Person, E-Mail ergänzen]

## § 1 Gegenstand und Dauer

1. Gegenstand ist die Bereitstellung der Coaching-Plattform [Produktname] (Web-App, iOS-App, API), über die der
   Auftraggeber Trainings-, Ernährungs-, Check-in- und Nachrichtendaten seiner Kundinnen und Kunden verwaltet.
2. Der Vertrag gilt für die Dauer der Nutzung der Plattform durch den Auftraggeber und endet mit dieser.

## § 2 Art, Zweck und Umfang der Verarbeitung

- **Zweck:** Planung und Begleitung von Training und Ernährung, Kommunikation zwischen Auftraggeber und Kunden,
  KI-gestützte Entwürfe (Pläne, Antworten, Rückblicke), die der Auftraggeber prüft, bevor sie versendet werden.
- **Arten von Daten:** Stammdaten (Name, E-Mail-Adresse, ggf. Telefonnummer), Trainingsprotokolle,
  Ernährungsprotokolle, Körpermaße und Gewicht, Check-ins, Nachrichten, hochgeladene Fotos und Videos,
  Bereitschaftswerte sowie freigegebene Gesundheitswerte (z. B. Schlaf, Ruhepuls, HRV) –
  **Gesundheitsdaten im Sinne von Art. 9 DSGVO**.
- **Betroffene:** Kundinnen und Kunden des Auftraggebers; der Auftraggeber selbst und seine Mitarbeitenden.

## § 3 Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers; die Nutzung der
Plattformfunktionen gilt als Weisung. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den
Auftraggeber unverzüglich.

## § 4 Vertraulichkeit

Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.

## § 5 Technische und organisatorische Maßnahmen

Die Maßnahmen nach Art. 32 DSGVO sind in **Anlage 2** beschrieben. Sie dürfen weiterentwickelt werden, solange das
Schutzniveau nicht sinkt.

## § 6 Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt die in **Anlage 1** genannten Unterauftragsverarbeiter.
2. Der Auftragnehmer informiert über beabsichtigte Änderungen [mindestens 30 Tage] im Voraus, u. a. auf der
   öffentlichen Seite „Wo deine Daten liegen“ (`/trust`). Der Auftraggeber kann aus wichtigem datenschutzrechtlichem
   Grund widersprechen.
3. Für Übermittlungen in Drittländer stellt der Auftragnehmer geeignete Garantien nach Art. 44 ff. DSGVO sicher
   [je Anbieter benennen: Angemessenheitsbeschluss / Standardvertragsklauseln].

## § 7 Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung,
Datenübertragbarkeit), bei Datenschutz-Folgenabschätzungen und bei Meldungen nach Art. 33, 34 DSGVO.
Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, spätestens innerhalb von [48] Stunden
nach Kenntnis.

## § 8 Löschung und Rückgabe

Nach Vertragsende löscht der Auftragnehmer die Daten des Auftraggebers, soweit keine gesetzliche
Aufbewahrungspflicht besteht. Datenbanksicherungen werden 14 Tage aufbewahrt und laufen danach ab.
[Ergänzen: Löschung hochgeladener Dateien – derzeit entfernt die Kontolöschung Datenbankeinträge, aber noch nicht
die Foto-/Videodateien auf dem Datenträger.] Auf Wunsch stellt der Auftragnehmer vorher einen Export bereit.

## § 9 Nachweise und Kontrollen

Der Auftragnehmer stellt die zum Nachweis erforderlichen Informationen bereit und ermöglicht Überprüfungen
[nach Vorankündigung, auf Kosten des Auftraggebers, höchstens einmal jährlich, sofern kein Anlass besteht].

## § 10 Haftung, Schlussbestimmungen

[Haftung nach Art. 82 DSGVO; anwendbares Recht; Gerichtsstand; Schriftform – mit Rechtsberatung festlegen.]

---

## Anlage 1 – Unterauftragsverarbeiter

| Anbieter | Leistung | Daten | Standort |
|---|---|---|---|
| Hetzner Online GmbH | Server-Hosting: App, Datenbank, Uploads, Sicherungen | alle Plattformdaten | [Rechenzentrum bestätigen] |
| Supabase | Anmeldung (Authentifizierung) | E-Mail-Adresse, Passwort-Hash, Sitzungen | [Region bestätigen] |
| OpenAI | KI-Funktionen; Anfragen mit Gesundheitskontext ausschließlich hier; Fotoanalyse | Inhalt der jeweiligen Anfrage, Fotos | [Region und Garantie bestätigen] |
| DeepSeek, Moonshot AI | weniger sensible KI-Textaufgaben, ohne Name/E-Mail | Anfragetext | China [Garantie benennen] |
| Sentry | Fehlerberichte, Versand personenbezogener Daten abgeschaltet | technische Fehlerdetails | [Region bestätigen] |
| Resend | Transaktions-E-Mails | E-Mail-Adresse, Nachrichteninhalt | [bestätigen] |
| Apple | Push-Benachrichtigungen; In-App-Käufe (nur Endkunden) | Push-Token, Benachrichtigungstext | [bestätigen] |
| Meta (WhatsApp), Telegram | Nachrichten, nur wenn der Auftraggeber den Kanal verbindet | Telefonnummer/Chat-ID, Nachrichten | [bestätigen] |
| Stripe | Zahlungen für Coach-Tarife, sobald angeboten | Rechnungsdaten des Auftraggebers | [bestätigen] |

## Anlage 2 – Technische und organisatorische Maßnahmen

- **Verschlüsselung der Übertragung:** HTTPS mit automatisch erneuerten TLS-Zertifikaten (Caddy / Let's Encrypt).
- **Netzwerk:** öffentlich erreichbar sind nur HTTP/HTTPS über den Reverse Proxy; die Datenbank ist nicht von außen
  erreichbar. Firewall: nur Ports 22, 80, 443.
- **Zugriffskontrolle:** Anmeldung über Supabase; Kundenzugriff über signierte Portal-Links; Datenzugriff je Coach
  und Kunde serverseitig geprüft. [Ergebnisse des Sicherheitsaudits 2026-07 referenzieren]
- **Verfügbarkeit:** nächtliche Datenbanksicherung mit 14 Tagen Aufbewahrung. [Externe Sicherungskopie bestätigen]
- **Datensparsamkeit:** Fehlerberichte ohne personenbezogene Daten; das KI-Gateway hat eigene Telemetrie
  abgeschaltet; an KI-Anbieter geht nur, was die jeweilige Anfrage braucht.
- **Menschliche Kontrolle:** KI-Entwürfe für Kunden werden vom Auftraggeber freigegeben.
- [Verschlüsselung ruhender Daten, Protokollierung, Zugriffsrechte des Personals, Notfallplan – ergänzen]