gemäß Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO)
Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") wird geschlossen zwischen dem Unternehmen, das die Plattform sweatboard für seine Mitarbeiter nutzt (nachfolgend „Auftraggeber" oder „Verantwortlicher"), und:
Nick Krüger Digital Solutions
Nick Krüger
Parkstraße 74
87439 Kempten (Allgäu)
E-Mail: sweatboard.app@gmail.com
(nachfolgend „Auftragnehmer" oder „Auftragsverarbeiter")
Der AVV wird mit Nutzung der Plattform sweatboard durch den Auftraggeber wirksam und ergänzt die Allgemeinen Geschäftsbedingungen sowie die Datenschutzerklärung.
(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung der Plattform sweatboard — einer webbasierten Plattform für Firmen-Fitness-Challenges.
(2) Die Verarbeitung beginnt mit der Registrierung des ersten Nutzers des Auftraggebers und endet mit der vollständigen Löschung aller personenbezogenen Daten nach Beendigung der Nutzung.
(3) Die Dauer der Verarbeitung entspricht der Laufzeit der Nutzung der Plattform durch den Auftraggeber.
Die Verarbeitung umfasst folgende Tätigkeiten:
Zweck der Verarbeitung ist die Durchführung von Firmen-Fitness-Challenges und die Förderung der Mitarbeitergesundheit im Auftrag des Auftraggebers.
Im Rahmen der Auftragsverarbeitung werden folgende Arten personenbezogener Daten verarbeitet:
Hinweis zu besonderen Datenkategorien: Sportaktivitäten können als gesundheitsbezogene Daten im Sinne von Art. 9 Abs. 1 DSGVO eingestuft werden. Der Auftraggeber stellt sicher, dass die Einwilligung der Betroffenen gemäß Art. 9 Abs. 2 lit. a DSGVO vorliegt. Die Plattform holt bei der Registrierung eine entsprechende Einwilligung ein.
Die betroffenen Personen sind:
(1) Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem AVV und den zugehörigen Vereinbarungen. Weitergehende Weisungen können per E-Mail erteilt werden.
(2) Der Auftragnehmer gewährleistet, dass sich die mit der Verarbeitung der personenbezogenen Daten befassten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
(3) Der Auftragnehmer trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Anlage 2).
(4) Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit bei der Erfüllung der Anfragen und Ansprüche betroffener Personen gemäß Kapitel III der DSGVO (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch).
(5) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
(6) Der Auftragnehmer löscht nach Beendigung der Auftragsverarbeitung alle personenbezogenen Daten des Auftraggebers, sofern nicht gesetzliche Aufbewahrungspflichten bestehen. Die Löschung erfolgt innerhalb von 30 Tagen nach Beendigung.
(7) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.
(1) Der Auftraggeber ist im Rahmen dieses AVV für die Einhaltung der datenschutzrechtlichen Bestimmungen verantwortlich, insbesondere für die Rechtmäßigkeit der Datenverarbeitung (Art. 6 und Art. 9 DSGVO).
(2) Der Auftraggeber stellt sicher, dass die Teilnahme seiner Mitarbeiter an der Fitness-Challenge freiwillig erfolgt und die erforderlichen Einwilligungen vorliegen.
(3) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
(1) Der Auftraggeber stimmt dem Einsatz der in Anlage 1 genannten Unterauftragsverarbeiter zu.
(2) Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Auftraggeber kann gegen solche Änderungen innerhalb von 14 Tagen nach Benachrichtigung Einspruch erheben.
(3) Der Auftragnehmer stellt sicher, dass den Unterauftragsverarbeitern dieselben Datenschutzpflichten auferlegt werden wie in diesem AVV.
(1) Der Auftraggeber hat das Recht, die Einhaltung der datenschutzrechtlichen Vorschriften und der Regelungen dieses AVV zu überprüfen. Der Auftragnehmer verpflichtet sich, dem Auftraggeber die zur Durchführung der Kontrolle erforderlichen Auskünfte zu erteilen.
(2) Inspektionen können in Abstimmung mit dem Auftragnehmer nach angemessener Vorankündigung durchgeführt werden. Der Auftragnehmer kann alternativ aktuelle Prüfberichte, Zertifizierungen oder andere geeignete Nachweise zur Verfügung stellen.
(1) Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem er eine Verletzung des Schutzes personenbezogener Daten festgestellt hat.
(2) Die Meldung enthält mindestens:
(3) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gemäß Art. 33 und 34 DSGVO.
(1) Die Datenbankserver befinden sich in der EU (Frankfurt am Main, Deutschland). Einige der eingesetzten Unterauftragsverarbeiter haben ihren Sitz in den USA (siehe Anlage 1).
(2) Für den Datentransfer an Unterauftragsverarbeiter in den USA gelten folgende Garantien:
(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform.
(2) Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(3) Es gilt das Recht der Bundesrepublik Deutschland.
| Anbieter | Zweck | Sitz | Garantien |
|---|---|---|---|
| Supabase Inc. | Datenbank, Authentifizierung, Dateispeicherung | USA (DB-Standort: Frankfurt, EU) | DPA, SCCs |
| Vercel Inc. | Hosting, CDN, Serverless Functions | USA | DPA, SCCs, DPF |
| Google Ireland Ltd. | OAuth-Authentifizierung, Profilbilder | Irland (EU) / USA | DPF, SCCs |
| Slack Technologies (Salesforce) | Webhook-Benachrichtigungen (optional, vom Auftraggeber konfiguriert) | USA | DPA, SCCs, DPF |
Stand: März 2026. Änderungen werden dem Auftraggeber gemäß § 7 Abs. 2 mitgeteilt.
gemäß Art. 32 DSGVO
Kein physischer Serverbetrieb. Die Infrastruktur wird vollständig über Cloud-Anbieter (Supabase, Vercel) betrieben, die über zertifizierte Rechenzentren verfügen (SOC 2 Type II, ISO 27001).
Stand: März 2026