Auftragsverarbeitungsvertrag (AVV)

Vereinbarung über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO · Bestandteil jedes gym141-Cloud-Vertrags · Stand: 29.08.2026

1. Parteien und Gegenstand

Dieser AVV wird geschlossen zwischen dem Kunden (Verein oder Unternehmen, das gym141 Cloud bestellt) als Verantwortlichem und der DevWorld LLC, 30 N Gould St, Ste R, Sheridan, WY 82801, USA, als Auftragsverarbeiter. Er wird mit Abschluss der Bestellung Vertragsbestandteil und konkretisiert die datenschutzrechtlichen Pflichten aus dem Hosting-Vertrag (AGB).

Gegenstand ist der Betrieb einer Gym141-Instanz für den Kunden (Hosting, Sicherung, Wartung und Support der Vereinsverwaltung samt optionaler Website).

2. Hinweis: Auftragsverarbeiter mit Sitz in den USA

Der Auftragsverarbeiter ist eine Gesellschaft nach US-Recht. Die Verarbeitung der Daten erfolgt ausschließlich auf Servern in der Europäischen Union (Ziffer 6). Ein administrativer Zugriff durch den Auftragsverarbeiter aus einem Drittland ist möglich; für diesen Fall verpflichtet sich der Auftragsverarbeiter zur Einhaltung des Schutzniveaus dieses AVV und der DSGVO. Der Kunde erteilt hierfür seine Weisung im Sinne des Art. 28 Abs. 3 lit. a DSGVO.

3. Art, Zweck und Dauer der Verarbeitung

Speicherung, Bereitstellung, Sicherung und Löschung der vom Kunden in seiner Instanz erfassten Daten zum Zweck der Vereinsverwaltung. Die Dauer entspricht der Laufzeit des Hosting-Vertrags.

4. Kategorien betroffener Personen und Daten

• Betroffene: Mitglieder (auch Minderjährige samt Erziehungsberechtigten), Funktionäre, Trainer, Benutzer des Kunden, Besucher der Vereins-Website.
• Datenarten: Stammdaten (Name, Adresse, Geburtsdatum, Kontaktdaten), Mitgliedschafts- und Beitragsdaten, Buchhaltungsdaten, Trainings- und Anwesenheitsdaten, Fotos und Dokumente, Zugangsdaten.
• Besondere Kategorien (Art. 9 DSGVO): soweit der Kunde sie erfasst, insbesondere Gesundheitsdaten (z. B. ärztliche Untersuchungsbestätigungen, Gewichtsverlauf). Der Kunde stellt sicher, dass er hierfür über eine geeignete Rechtsgrundlage verfügt.

5. Pflichten des Auftragsverarbeiters

• Verarbeitung nur auf dokumentierte Weisung des Kunden; die Nutzung der Verwaltungsoberfläche durch den Kunden gilt als Weisung.
• Vertraulichkeit: Zugriff nur für Personen, die zur Vertraulichkeit verpflichtet sind und nur soweit für Betrieb und Support nötig.
• Umsetzung der technischen und organisatorischen Maßnahmen (Ziffer 7).
• Unterstützung des Kunden bei Betroffenenrechten (Art. 12–23 DSGVO) sowie bei Pflichten nach Art. 32–36 DSGVO, soweit erforderlich.
• Meldung von Verletzungen des Schutzes personenbezogener Daten an den Kunden ohne unangemessene Verzögerung.
• Nach Vertragsende: Bereitstellung eines Datenexports (30 Tage), anschließend Löschung aller Daten einschließlich Sicherungen im regulären Sicherungszyklus.

6. Unterauftragsverarbeiter

Der Kunde genehmigt allgemein den Einsatz folgender Unterauftragsverarbeiter:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Rechenzentrum/Server (EU)
• Hetzner Finland Oy, Huurrekuja 10, 04360 Tuusula, Finnland – Rechenzentrum/Server (EU)
• Stripe Payments Europe, Ltd. / Stripe, Inc. – Zahlungsabwicklung (nur Bestell-/Abrechnungsdaten des Kunden, keine Mitgliederdaten)

Änderungen kündigt der Auftragsverarbeiter mindestens 30 Tage vorher an (E-Mail oder Hinweis in der Verwaltung); der Kunde kann aus wichtigem Grund widersprechen und den Vertrag andernfalls kündigen. Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 Abs. 4 DSGVO.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• TLS-Verschlüsselung sämtlicher Verbindungen (automatisch verwaltete Zertifikate);
• Mandantentrennung: je Kunde eine eigene Instanz mit eigenem Systembenutzer, eigener Datenbank und Dateisystem-Beschränkung (open_basedir);
• Zugriffskontrolle: Serverzugang nur schlüsselbasiert (kein Passwort-Login), Firewall, rollenbasierte Benutzerrechte in der Anwendung, Login-Ratenbegrenzung;
• tägliche Sicherungen (konsistente Datenbank-Kopien und Datei-Spiegel) mit begrenzter Aufbewahrung;
• Protokollierung administrativer Vorgänge, zeitnahes Einspielen von Sicherheitsupdates;
• Wiederherstellbarkeit: dokumentiertes Einspielen von Sicherungen.

8. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Kunden auf Anfrage die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung. Kontrollen vor Ort sind nach Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten möglich, soweit sie den Betrieb nicht unangemessen stören; sie können durch geeignete Nachweise (z. B. Berichte, Bescheinigungen der Rechenzentren) ersetzt werden.

9. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregelungen der AGB. Bei Widersprüchen zwischen diesem AVV und den AGB geht in datenschutzrechtlichen Fragen dieser AVV vor. Es gilt das in den AGB vereinbarte Recht, soweit nicht zwingendes Datenschutzrecht (insbesondere die DSGVO) vorgeht.