Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

zwischen dem Kunden (Studio, „Verantwortlicher“) und Lucksmith e.K., Untere Trift Straße 11, 56357 Bogel („Auftragsverarbeiter“).

1. Gegenstand und Dauer

Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software deinFitti. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

2. Art und Zweck der Verarbeitung, Arten von Daten, Betroffene

• Betroffene: Mitglieder, Interessenten und Kunden des Studios, Mitarbeitende des Studios.
• Daten: Stammdaten, Kontaktdaten, Vertrags- und Zahlungsdaten (inkl. Bankverbindung), Kurs- und Anwesenheitsdaten, Zutrittsereignisse, Fotos; mit gesonderter Einwilligung Gesundheitsdaten (Anamnese, Messwerte) und biometrische Daten (Gesichtserkennung).
• Zweck: Mitgliederverwaltung, Abrechnung, Einlass, Kurs- und Terminbuchung, Kommunikation, Website und App.

3. Weisungen und Pflichten des Auftragsverarbeiters

Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeitsverpflichtung der Mitarbeitenden, Unterstützung bei Betroffenenrechten, Meldung von Datenschutzverletzungen unverzüglich, Löschung oder Rückgabe nach Vertragsende.

4. Technische und organisatorische Maßnahmen

• Hosting in Rechenzentren in Deutschland: eigener Kubernetes-Cluster von Lucksmith e.K. auf Servern der Hetzner Online GmbH, Rechenzentren in Deutschland
• Strikte Mandantentrennung in der Datenbank, verschlüsselte Übertragung (TLS).
• Feldweise Verschlüsselung von Gesundheits- und Zugangsdaten, Protokollierung von Zugriffen auf Gesundheitsdaten.
• Rollen- und Rechtekonzept; Support-Zugriffe nur lesend, zeitlich begrenzt und im Studio protokolliert.
• Tägliche, verschlüsselte Sicherung an einem zweiten Standort.

5. Unterauftragsverarbeiter

[BETREIBER: Liste: Hosting, E-Mail-Versand, Zahlungsdienstleister (soweit Auftragsverarbeitung), Push-Dienst]

6. Kontrollrechte, Haftung

[BETREIBER: Regelungen zu Kontrollen/Audits, Haftung, Schlussbestimmungen]

Stand: [BETREIBER: Datum] · Version 2026-10