Vereinbarung zur Auftragsverarbeitung (AVV)

§ 1 Gegenstand, Parteien und Dauer

Diese Vereinbarung konkretisiert die Pflichten nach Art. 28 DSGVO für die Verarbeitung personenbezogener Daten, die kursbar im Auftrag der/des Verantwortlichen (Trainerin/Studio) durchführt.

Auftragsverarbeiter ist:
Thomas Raba
Am Hochrain 5
86643 Rennertshofen
Deutschland
E-Mail: [email protected]

Die Vereinbarung gilt für die Dauer der Nutzung von kursbar und endet mit Beendigung des Nutzungsverhältnisses. Maßgeblich ist der unten angegebene Stand.

§ 2 Art, Zweck, Daten und betroffene Personen

Art und Zweck der Verarbeitung

Verwaltung von Yoga-Kursen und Teilnehmenden: Speicherung von Stamm- und Kursdaten, Anmeldung/Authentifizierung, Anwesenheits- und Buchungsverwaltung, transaktionale Kommunikation sowie die Erstellung von Teilnahmebescheinigungen für Krankenkassen (§ 20 SGB V). Den Antragsteil der Bescheinigung (Teil 2) mit den Angaben zur Krankenversicherung befüllt kursbar nur, wenn die Teilnehmerin ausdrücklich eingewilligt hat, und zwar in der Fassung des Einwilligungstexts, die seit dem 12. Oktober 2026 gilt; sonst bleibt er leer. Wer vorher eingewilligt hat, willigt einmal neu ein, damit Teil 2 befüllt wird.

Die Einwilligung holt kursbar im Portal im Namen der/des Verantwortlichen ein, mit dem dort angezeigten Einwilligungstext, und dokumentiert sie (Zeitpunkt, Fassung des Einwilligungstexts, IP-Adresse als Hashwert). Widerruft die Teilnehmerin ihre Einwilligung im Portal, löscht kursbar die gespeicherten Angaben zur Krankenversicherung. Das Einholen und Dokumentieren der Einwilligung sowie die Löschung nach einem Widerruf gelten als Weisung der/des Verantwortlichen.

Art der personenbezogenen Daten

• Stamm- und Kontaktdaten (z. B. Name, E-Mail-Adresse, Telefonnummer, Geburtsdatum)
• Kurs-, Anmelde- und Anwesenheitsdaten
• Abrechnungs-/Zahlungsbezogene Daten (sofern Zahlungsfunktion genutzt)
• Angaben für den Antragsteil der Bescheinigung, vorsorglich wie besondere Kategorien (Art. 9 DSGVO) behandelt: Krankenkasse, Versichertennummer, Bankverbindung (IBAN) und Unterschrift der Teilnehmerin sowie Name und Geburtsdatum, soweit sie in den Antragsteil übernommen werden. Gespeichert bzw. übernommen werden sie nur mit ausdrücklicher Einwilligung der Teilnehmerin, die sie jederzeit widerrufen kann; nach einem Widerruf löscht kursbar die gespeicherten Angaben
• Einwilligungsnachweise der Teilnehmenden (Zeitpunkt, Fassung des Einwilligungstexts, IP-Adresse als Hashwert)

Kategorien betroffener Personen

• Kursteilnehmende der/des Verantwortlichen
• Ggf. weitere Trainer:innen/Mitarbeitende des Studios

§ 3 Weisungsbindung

kursbar verarbeitet die Daten ausschließlich auf dokumentierte Weisung der/des Verantwortlichen, sofern keine gesetzliche Verpflichtung etwas anderes vorschreibt. Die in der Anwendung ausgelösten Aktionen (Anlegen, Ändern, Löschen von Daten) gelten als Weisung. kursbar informiert, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen Datenschutzrecht verstößt.

§ 4 Pflichten des Auftragsverarbeiters

• Verarbeitung nur im Rahmen dieser Vereinbarung und der Weisungen
• Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)
• Umsetzung technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe § 5)
• Unterstützung der/des Verantwortlichen bei Betroffenenrechten und bei den Pflichten nach Art. 32–36 DSGVO (Art. 28 Abs. 3 lit. e, f DSGVO), soweit technisch möglich
• Unverzügliche Information bei Verdacht auf eine Verletzung des Schutzes personenbezogener Daten (vgl. § 8)

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselte Übertragung über TLS (HTTPS)
• Zugriffskontrolle auf Datenbankebene durch Zeilenebene-Sicherheit (Row Level Security): Zugriff grundsätzlich nur auf eigene Studio- bzw. eigene Teilnehmerdaten
• Hosting der Anwendungsdaten im EWR (Frankfurt am Main)
• Datenminimierung: Verarbeitung nur der für den jeweiligen Zweck erforderlichen Daten
• KI-Funktionen: Die KI-Funktionen greifen nicht auf Gesundheits- und Versicherungsdaten zu. Gibt eine Nutzerin solche Daten selbst ein oder diktiert sie, werden sie mit übermittelt. Die Übermittlung an den KI-Anbieter erfolgt nur mit Ausschluss der Nutzung zum Modelltraining.

§ 6 Unterauftragsverhältnisse (Art. 28 Abs. 2 und 4 DSGVO)

Die/der Verantwortliche erteilt die allgemeine Genehmigung, die im Anhang 1 genannten Unterauftragsverarbeiter einzusetzen. kursbarinformiert über beabsichtigte Änderungen (Hinzunahme oder Austausch); die/der Verantwortliche kann einer Änderung aus wichtigem datenschutzrechtlichen Grund widersprechen.

kursbar verpflichtet die Unterauftragsverarbeiter auf gleichwertige Datenschutzpflichten (Art. 28 Abs. 4 DSGVO). Dienste, die für ihre jeweiligen Daten eigenständig Verantwortliche sind (im Anhang gekennzeichnet), sind keine Unterauftragsverarbeiter.

§ 7 Unterstützung bei Betroffenenrechten

kursbar unterstützt die/den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Anfragen betroffener Personen, die direkt an kursbar gerichtet werden, werden an die/den Verantwortlichen weitergeleitet.

§ 8 Meldung von Datenschutzverletzungen

kursbar meldet eine festgestellte Verletzung des Schutzes personenbezogener Daten unverzüglich an die/den Verantwortlichen und stellt die zur Erfüllung der Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO) erforderlichen Informationen bereit.

§ 9 Löschung und Rückgabe

Nach Beendigung des Nutzungsverhältnisses werden die im Auftrag verarbeiteten Daten nach Wahl der/des Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 28 Abs. 3 lit. g DSGVO).

Beantragt und bestätigt die/der Verantwortliche in der Anwendung die Löschung des Studios, gilt das als Weisung, alle im Auftrag verarbeiteten Daten zu löschen, auch vor Ende des Nutzungsverhältnisses (Art. 28 Abs. 3 lit. g DSGVO). Die Löschung erfolgt frühestens 14 Tage nach der Bestätigung; bis einen Tag vorher kann die/der Verantwortliche sie zurücknehmen.

Bis zur Löschung kann die/der Verantwortliche auf der Seite „Studio löschen“ herunterladen:

• Zahlungen der Teilnehmenden
• Wertkarten mit Einlösungen und Restguthaben
• Teilnehmende mit Kontaktdaten
• Termine mit Anwesenheit
• die Rechnungen von kursbar an das Studio
• soweit vorhanden, die Einnahmen-Überschuss-Rechnung

Teilnahmebescheinigungen lassen sich einzeln im jeweiligen Kurs herunterladen. Angaben zur Krankenversicherung sind in keinem dieser Exporte enthalten und lassen sich nicht gesondert herunterladen; sie stehen nur in Bescheinigungen, deren Antragsteil mit Einwilligung der Teilnehmerin ausgefüllt wurde. Auf Anforderung per E-Mail an [email protected] stellt kursbar sie der/dem Verantwortlichen bis zur Löschung in einem gängigen, maschinenlesbaren Format bereit. Mit dem Studio werden sie gelöscht.

Nach Abschluss der Löschung schickt kursbar der Person, die die Löschung beantragt hat, eine Bestätigung per E-Mail, sofern ihre Adresse zustellbar ist.

Gelöschte Daten können noch für begrenzte Zeit in den Datensicherungen des Datenbank-Anbieters (Anhang 1) liegen und verschwinden dort, wenn die Sicherungen regulär durch neue ersetzt werden. Was kursbar nach der Löschung als eigene Pflicht aufbewahrt (Rechnungen an das Studio, Löschprotokoll), steht in der Datenschutzerklärung.

§ 10 Nachweise und Kontrollen

kursbar stellt der/dem Verantwortlichen die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO).

§ 11 Drittlandübermittlung

Soweit Daten außerhalb des EWR verarbeitet werden, erfolgt dies nur auf Grundlage geeigneter Garantien (insbesondere EU-Standardvertragsklauseln gemäß Art. 46 DSGVO bzw. einer Zertifizierung unter dem EU-US Data Privacy Framework). Die betroffenen Dienste sind im Anhang 1 mit der jeweiligen Garantie gekennzeichnet.

Anhang 1: Unterauftragsverarbeiter und eingesetzte Dienste

Die folgende Liste wird zentral gepflegt und entspricht der Übersicht in der Datenschutzerklärung. Bei Änderungen gilt die Informationspflicht nach Art. 28 Abs. 2 DSGVO.