Vereinbarung zur Auftragsverarbeitung (AVV)

§ 1 Gegenstand, Parteien und Dauer

Diese Vereinbarung konkretisiert die Pflichten nach Art. 28 DSGVO für die Verarbeitung personenbezogener Daten, die kursbar im Auftrag der/des Verantwortlichen (Trainerin/Studio) durchführt.

Auftragsverarbeiter ist:
Thomas Raba
Am Hochrain 5
86643 Rennertshofen
Deutschland
E-Mail: info@yogi.thraba.de

Die Vereinbarung gilt für die Dauer der Nutzung von kursbar und endet mit Beendigung des Nutzungsverhältnisses. Maßgeblich ist der unten angegebene Stand.

§ 2 Art, Zweck, Daten und betroffene Personen

Art und Zweck der Verarbeitung

Verwaltung von Yoga-Kursen und Teilnehmenden: Speicherung von Stamm- und Kursdaten, Anmeldung/Authentifizierung, Anwesenheits- und Buchungsverwaltung, transaktionale Kommunikation sowie — auf Grundlage gesonderter ausdrücklicher Einwilligung — die Erstellung von Teilnahmebescheinigungen für Krankenkassen (§ 20 SGB V).

Art der personenbezogenen Daten

• Stamm- und Kontaktdaten (z. B. Name, E-Mail-Adresse, Telefonnummer)
• Kurs-, Anmelde- und Anwesenheitsdaten
• Abrechnungs-/Zahlungsbezogene Daten (sofern Zahlungsfunktion genutzt)
• Besondere Kategorien (Art. 9 DSGVO): Angaben zur Krankenversicherung und Gesundheitsvorsorge — ausschließlich auf Grundlage ausdrücklicher Einwilligung und nur zur Bescheinigungserstellung

Kategorien betroffener Personen

• Kursteilnehmende der/des Verantwortlichen
• Ggf. weitere Trainer:innen/Mitarbeitende des Studios

§ 3 Weisungsbindung

kursbar verarbeitet die Daten ausschließlich auf dokumentierte Weisung der/des Verantwortlichen, sofern keine gesetzliche Verpflichtung etwas anderes vorschreibt. Die in der Anwendung ausgelösten Aktionen (Anlegen, Ändern, Löschen von Daten) gelten als Weisung. kursbar informiert, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen Datenschutzrecht verstößt.

§ 4 Pflichten des Auftragsverarbeiters

• Verarbeitung nur im Rahmen dieser Vereinbarung und der Weisungen
• Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)
• Umsetzung technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe § 5)
• Unterstützung der/des Verantwortlichen bei Betroffenenrechten und bei den Pflichten nach Art. 32–36 DSGVO (Art. 28 Abs. 3 lit. e, f DSGVO), soweit technisch möglich
• Unverzügliche Information bei Verdacht auf eine Verletzung des Schutzes personenbezogener Daten (vgl. § 8)

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselte Übertragung über TLS (HTTPS)
• Zugriffskontrolle auf Datenbankebene durch Zeilenebene-Sicherheit (Row Level Security): Zugriff grundsätzlich nur auf eigene Studio- bzw. eigene Teilnehmerdaten
• Hosting der Anwendungsdaten im EWR (Frankfurt am Main)
• Datenminimierung: Verarbeitung nur der für den jeweiligen Zweck erforderlichen Daten
• KI-Assistent ohne Zugriff auf Gesundheits-, Versicherungs- oder Bescheinigungsdaten; solche Daten werden nicht an den Modellanbieter übermittelt

§ 6 Unterauftragsverhältnisse (Art. 28 Abs. 2 und 4 DSGVO)

Die/der Verantwortliche erteilt die allgemeine Genehmigung, die im Anhang 1 genannten Unterauftragsverarbeiter einzusetzen. kursbarinformiert über beabsichtigte Änderungen (Hinzunahme oder Austausch); die/der Verantwortliche kann einer Änderung aus wichtigem datenschutzrechtlichen Grund widersprechen.

kursbar verpflichtet die Unterauftragsverarbeiter auf gleichwertige Datenschutzpflichten (Art. 28 Abs. 4 DSGVO). Dienste, die für ihre jeweiligen Daten eigenständig Verantwortliche sind (im Anhang gekennzeichnet), sind keine Unterauftragsverarbeiter.

§ 7 Unterstützung bei Betroffenenrechten

kursbar unterstützt die/den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Anfragen betroffener Personen, die direkt an kursbar gerichtet werden, werden an die/den Verantwortlichen weitergeleitet.

§ 8 Meldung von Datenschutzverletzungen

kursbar meldet eine festgestellte Verletzung des Schutzes personenbezogener Daten unverzüglich an die/den Verantwortlichen und stellt die zur Erfüllung der Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO) erforderlichen Informationen bereit.

§ 9 Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Nutzungsverhältnisses werden die im Auftrag verarbeiteten Daten nach Wahl der/des Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 28 Abs. 3 lit. g DSGVO).

§ 10 Nachweise und Kontrollen

kursbar stellt der/dem Verantwortlichen die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO).

§ 11 Drittlandübermittlung

Soweit Daten außerhalb des EWR verarbeitet werden, erfolgt dies nur auf Grundlage geeigneter Garantien (insbesondere EU-Standardvertragsklauseln gemäß Art. 46 DSGVO bzw. einer Zertifizierung unter dem EU-US Data Privacy Framework). Die betroffenen Dienste sind im Anhang 1 mit der jeweiligen Garantie gekennzeichnet.

Anhang 1: Unterauftragsverarbeiter und eingesetzte Dienste

Die folgende Liste wird zentral gepflegt und entspricht der Übersicht in der Datenschutzerklärung. Bei Änderungen gilt die Informationspflicht nach Art. 28 Abs. 2 DSGVO.