Vereinbarung über die Auftragsverarbeitung

1. Gegenstand, Dauer und Zweck

Wir betreiben für dich die Software Coavelo mit deiner App und Website. Dabei verarbeiten wir personenbezogene Daten, die du oder deine Kunden eingeben, in deinem Auftrag und nach deinen Weisungen. Zweck ist ausschließlich der Betrieb der von dir gebuchten Funktionen.

Die Vereinbarung gilt, solange wir Daten für dich verarbeiten, mindestens für die Dauer des Vertrags (AGB) einschließlich des Tests.

2. Art der Daten und Betroffene

Kategorien von Daten: Name, Kontaktdaten, Konto- und Anmeldedaten (Passwort nur verschlüsselt), Termine und Buchungen, Trainings- und Ernährungspläne und Protokolle, Chat-Nachrichten, Körperwerte, Messungen und Fortschrittsfotos, Essensfotos und Ernährungsangaben, Zahlungsstatus und Rechnungsdaten sowie Angaben zu Beschwerden und zur Gesundheit.

Dazu gehören Gesundheitsdaten im Sinn von Art. 9 DSGVO. Du bist dafür verantwortlich, dass die nötige Einwilligung oder eine andere Rechtsgrundlage vorliegt.

Betroffene: deine Kunden, Interessenten und Anfragende über deine Website und „Trainer finden“, sowie deine Mitarbeiter und Trainer, die Coavelo nutzen.

3. Deine Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung von dir. Deine Einstellungen und Eingaben in Coavelo sowie diese Vereinbarung sind die Weisung. Weitere Weisungen erteilst du in Textform. Halten wir eine Weisung für rechtswidrig, sagen wir es dir und können die Ausführung aussetzen, bis du sie bestätigst oder änderst.

Wir verwenden die Daten deiner Kunden nicht für eigene Zwecke, nicht für Werbung und nicht zum Training von KI-Modellen, und wir verkaufen sie nicht.

4. Vertraulichkeit

Alle Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet, auch nach Ende ihrer Tätigkeit. Zugriff haben nur Personen, die ihn für Betrieb, Wartung und Support brauchen.

5. Technische und organisatorische Maßnahmen

Wir treffen angemessene Maßnahmen nach Art. 32 DSGVO. Dazu gehören:

• Verschlüsselte Übertragung (HTTPS) zwischen Gerät und Server
• Passwörter werden nur als Hash gespeichert, Anmeldung über gesicherte Sitzungen
• Trennung der Mandanten: Jeder Coach hat einen abgetrennten Datenbereich; Zugriffe sind auf Datenbankebene beschränkt
• Rollen und Rechte: Kunden sehen nur ihre eigenen Daten, Mitarbeiter nur, was du freigibst
• Betrieb auf Infrastruktur in der EU (Rechenzentrum Frankfurt), regelmäßige Sicherung der Datenbank
• Zugang zu Verwaltung und Datenbank nur für befugte Personen mit persönlichem Zugang
• Nachvollziehbare Protokolle sicherheitsrelevanter Vorgänge

Wir entwickeln die Maßnahmen weiter und verschlechtern das Schutzniveau nicht. Wir behaupten keine Zertifizierungen, die wir nicht haben.

6. Unterauftragsverarbeiter

Du erteilst uns die allgemeine Genehmigung, die folgenden Unterauftragsverarbeiter einzusetzen, abhängig von den Funktionen, die du nutzt:

• Vercel (Hosting von App und Website, Rechenzentrum Frankfurt)
• Supabase (Datenbank, Anmeldung, Dateispeicher)
• Resend (Versand von E-Mails wie Bestätigungen und Einladungen), sofern du kein eigenes Postfach verbindest
• Google (Gemini, für KI-Funktionen wie Essen per Foto, Text oder Sprache, Planvorschläge und Assistent)
• Push-Dienste der Browser und Handys (Google, Apple, Mozilla), wenn Mitteilungen erlaubt sind
• Google oder Microsoft (Kalender), wenn du deinen Kalender verbindest

Zahlungen deiner Kunden wickelt dein eigener Zahlungsdienst (Stripe) mit dir als Vertragspartner ab, soweit du dieses Modul nutzt.

Wir schließen mit Unterauftragsverarbeitern Verträge, die ihnen dieselben Datenschutzpflichten auferlegen wie diese Vereinbarung. Über beabsichtigte Änderungen der Liste informieren wir dich mindestens vier Wochen vorher per E-Mail. Du kannst aus wichtigem Datenschutzgrund widersprechen; ist keine Einigung möglich, kannst du den Vertrag außerordentlich kündigen.

7. Drittländer

Einzelne Unterauftragsverarbeiter haben Sitz in den USA oder greifen von dort zu. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, sonst auf Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO).

8. Unterstützung bei Rechten Betroffener

Erreicht uns eine Anfrage deines Kunden (Auskunft, Löschung, Berichtigung, Übertragung), leiten wir sie an dich weiter und beantworten sie nicht selbst. Wir unterstützen dich mit den Funktionen von Coavelo (Datenexport, Löschung einer Person in der App) und, wo nötig, mit angemessener Hilfe.

9. Verletzungen des Schutzes

Bemerken wir eine Verletzung des Schutzes personenbezogener Daten in unserem Bereich, melden wir sie dir unverzüglich per E-Mail, mit den uns bekannten Angaben zu Art, Umfang, Folgen und Gegenmaßnahmen. Die Meldung an die Datenschutzbehörde (innerhalb von 72 Stunden) und die Benachrichtigung der Betroffenen übernimmst du; wir helfen dir dabei.

10. Unterstützung, Nachweise und Kontrolle

Wir unterstützen dich bei Datenschutz-Folgenabschätzungen und Konsultationen der Behörde, soweit sie die Verarbeitung durch uns betreffen. Wir stellen dir die Informationen zur Verfügung, die du zum Nachweis unserer Pflichten brauchst. Kontrollen kannst du mit angemessener Vorankündigung durchführen oder durchführen lassen, ohne unseren Betrieb unverhältnismäßig zu stören; in der Regel genügen schriftliche Auskünfte.

11. Löschung und Rückgabe

Nach Vertragsende gibst du deine Daten zurück, indem du sie exportierst, wir löschen sie danach. Unsere Löschung erfolgt auf deinen Wunsch oder nach angemessener Frist nach Vertragsende, spätestens wenn du sie verlangst. Daten, die wir gesetzlich aufbewahren müssen, bleiben bis zum Ablauf dieser Pflicht gesperrt. Sicherungskopien laufen nach kurzer Zeit planmäßig aus.

12. Schlussbestimmungen

Kollidieren diese Vereinbarung und die AGB beim Datenschutz, geht diese Vereinbarung vor. Es gilt österreichisches Recht. Für Haftung gelten die AGB, soweit Art. 82 DSGVO nichts anderes zwingend vorgibt. Kontakt für Datenschutzfragen: office@loooply.app. Stand: 10. November 2026.