Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO · Stand: Juni 2026

        Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch GymDocu im Auftrag
        des Studio-Betreibers. Durch Registrierung und Zustimmung im Anmeldeformular kommt dieser
        Vertrag elektronisch zustande und wird mit Datum und IP-Adresse dokumentiert.
    

§ 1 Vertragsparteien

Auftraggeber (Verantwortlicher) Der registrierte Studio-Betreiber, dessen Kontaktdaten bei der Registrierung angegeben wurden.

Auftragnehmer (Verarbeiter) Ronny Hartmann
Bornsche Straße 81
39340 Haldensleben
kontakt@gymdocu.com

§ 2 Gegenstand und Dauer

Gegenstand der Auftragsverarbeitung ist der Betrieb der GymDocu-Plattform zur digitalen Dokumentation von Fitnessstudio-Abläufen, einschließlich der gesetzlich vorgeschriebenen Erste-Hilfe-Dokumentation (Verbandbuch). Die Dauer entspricht der Laufzeit des Nutzungsvertrages.

§ 3 Art der Verarbeitung und Kategorien personenbezogener Daten

Im Rahmen der Plattformnutzung werden folgende Daten verarbeitet:

Namen und digitale Unterschriften von Mitarbeitern
Arbeitszeiten und Pausenzeiten von Mitarbeitern
Protokolle über Gerätenutzung und -prüfungen
Belehrungsnachweise mit Unterschrift, Datum und IP-Adresse
Gesundheitsdaten aus dem Verbandbuch (Erste-Hilfe-Dokumentation): Art, Hergang und Zeitpunkt von Verletzungen, durchgeführte Erste-Hilfe-Maßnahmen sowie Angaben zur verletzten und zur erstversorgenden Person
Namen und Mitgliedsnummern von Kunden (bei Fundsachen-Abholung)
Namen von Dienstleistern und Besuchszeiten

Betroffene Personen: Mitarbeiter des Studio-Betreibers, gelegentlich Kunden bzw. Besucher des Studios sowie Personen, die im Studio Erste Hilfe erhalten haben.

        Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO):
        Die im Verbandbuch dokumentierten Gesundheitsdaten zählen zu den besonderen Kategorien
        personenbezogener Daten nach Art. 9 DSGVO. Ihre Verarbeitung erfolgt zur Erfüllung der
        gesetzlichen Erste-Hilfe-Dokumentationspflicht (§ 24 Abs. 6 DGUV Vorschrift 1) und stützt
        sich auf Art. 9 Abs. 2 lit. b DSGVO i. V. m. den einschlägigen arbeits- und
        sozialrechtlichen Vorschriften. Diese Daten unterliegen besonderen technischen und
        organisatorischen Schutzmaßnahmen (siehe § 5) sowie einer gesetzlichen Aufbewahrungsfrist
        von fünf Jahren (siehe § 9).
    

§ 4 Pflichten des Auftragnehmers

GymDocu verpflichtet sich:

Daten ausschließlich auf Weisung des Auftraggebers zu verarbeiten
Vertraulichkeit der verarbeiteten Daten zu gewährleisten
Technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO umzusetzen
Keine Weitergabe der Daten an Dritte ohne Weisung des Auftraggebers
Den Auftraggeber unverzüglich über Datenschutzverletzungen zu informieren
Nach Vertragsende alle Daten zu löschen oder zurückzugeben

Nachweis und Überprüfung (Art. 28 Abs. 3 lit. h DSGVO)

GymDocu stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO genannten Pflichten erforderlich sind, und ermöglicht Überprüfungen – einschließlich Inspektionen –, die der Auftraggeber oder ein von ihm beauftragter Prüfer durchführt. In der Regel erfolgt der Nachweis durch geeignete Dokumentation (z. B. das TOM-Verzeichnis nach § 5, Berichte oder Bestätigungen). Eine Vor-Ort-Prüfung ist möglich, sofern konkrete Anhaltspunkte dies erfordern; sie wird mit angemessener Vorankündigung (in der Regel zwei Wochen) während der üblichen Geschäftszeiten und ohne Beeinträchtigung des Betriebsablaufs durchgeführt. Die Vertraulichkeit der Daten anderer Studios bleibt dabei jederzeit gewahrt.

§ 5 Technische und organisatorische Maßnahmen (TOM)

Verschlüsselte Übertragung via HTTPS/TLS
Passwort-Hashing mit bcrypt (Sicherheitsfaktor 12)
Datenisolierung: Jedes Studio hat eine eigene, isolierte Datenbank
Zugangskontrolle: Passwortschutz mit Zwei-Faktor-Authentifizierung (Admin) sowie persönlicher PIN (Tablet)
Gesonderter Schutz der Verbandbuch-Gesundheitsdaten (Art. 9 DSGVO): manipulationsgeschützte, fortlaufend verkettete Protokollierung sowie auf den Admin-Bereich beschränkter Zugriff
Regelmäßige Datensicherungen
Server in der EU (IONOS, Deutschland)

§ 6 Einsatz von Unterauftragsverarbeitern

GymDocu setzt folgende Unterauftragsverarbeiter ein:

IONOS SE (Hosting) – Elgendorfer Str. 57, 56410 Montabaur, Deutschland
IONOS SE (E-Mail-Versand) – Elgendorfer Str. 57, 56410 Montabaur, Deutschland

Der Auftraggeber erteilt seine allgemeine Genehmigung zum Einsatz der vorstehend genannten Unterauftragsverarbeiter. GymDocu informiert den Auftraggeber über jede beabsichtigte Hinzuziehung oder Ersetzung eines weiteren Unterauftragsverarbeiters vorab in Textform – in der Regel mindestens zwei Wochen im Voraus. Der Auftraggeber kann einer solchen Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Lässt sich kein Einvernehmen erzielen, steht dem Auftraggeber ein Sonderkündigungsrecht zu. GymDocu verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den in diesem Vertrag vereinbarten gleichwertig sind (Art. 28 Abs. 4 DSGVO).

§ 7 Pflichten des Auftraggebers

Der Studio-Betreiber verpflichtet sich:

Mitarbeiter gemäß Art. 13 DSGVO über die Datenverarbeitung zu informieren
Nur rechtmäßig erhobene Daten in GymDocu einzugeben
Zugangsdaten vertraulich zu behandeln
GymDocu unverzüglich über Datenschutzvorfälle zu informieren

§ 8 Betroffenenrechte

Der Auftraggeber ist verantwortlich für die Bearbeitung von Anfragen betroffener Personen (Auskunft, Löschung, Berichtigung). GymDocu unterstützt dabei soweit technisch möglich.

§ 9 Kündigung und Datenlöschung

Nach Kündigung des Vertrages werden alle Daten des Studios innerhalb von 90 Tagen unwiderruflich gelöscht. Vor der Löschung erhält der Auftraggeber eine letzte Datensicherung per E-Mail.

Gesetzliche Aufbewahrungspflichten bleiben hiervon unberührt. Insbesondere werden Verbandbuch-Einträge (Erste-Hilfe-Dokumentation) entsprechend der gesetzlichen Frist von fünf Jahren aufbewahrt und erst nach deren Ablauf gelöscht; bis dahin werden sie zugriffsbeschränkt und ausschließlich zu Nachweiszwecken vorgehalten.

§ 10 Haftung

Die Haftung richtet sich nach den allgemeinen gesetzlichen Bestimmungen sowie Art. 82 DSGVO. GymDocu haftet nicht für Datenschutzverstöße, die durch unsachgemäße Nutzung durch den Auftraggeber verursacht werden.

§ 11 Schlussbestimmungen

Es gilt deutsches Recht. Gerichtsstand ist Haldensleben. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.