1. Parteien und Abschluss
Diese Vereinbarung wird geschlossen zwischen:
Kunde: der beruflich handelnden Person oder Stelle, die in Bestellung, gewerblicher Anmeldung oder Abonnementvereinbarung sowie in Anhang I bezeichnet ist, vertreten durch die ausreichend bevollmächtigte Person, die sie annimmt.
Anbieter: Trainingforever OÜ, einer estnischen Gesellschaft, eingetragen im Handelsregister unter der Nummer 16941437, mit der Umsatzsteuer-Identifikationsnummer EE102717330, Sitz in Narva mnt 5, Kesklinna linnaosa, Tallinn, Harju maakond, 10117, Estonia und Datenschutz- und Sicherheitskontakt [email protected], nachfolgend „TrainingForever“.
Der Kunde und TrainingForever werden schriftlich gebunden, auch durch eine nachprüfbare elektronische Annahme. Bestellung, Identität des Annehmenden, seine Vertretungsmacht, die vollständige Version dieser Vereinbarung und ihre Anhänge müssen so miteinander verknüpft sein, dass sie eingesehen und aufbewahrt werden können.
Die gewöhnliche Annahme von Bedingungen durch einen Sportler stellt keinen Abschluss dieses DPA im Namen seines Trainers oder Vereins dar. Die Vereinbarung ersetzt auch nicht die Information oder Einwilligung der Sportler.
2. Gegenstand, Rollen und Vorrang
Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch TrainingForever im Auftrag des Kunden zur Bereitstellung der vertraglich vereinbarten TrainingForever-Funktionen gemäß Artikel 28 der Verordnung (EU) 2016/679, „DSGVO“.
Der Kunde handelt gewöhnlich als Verantwortlicher und TrainingForever als Auftragsverarbeiter. Handelt der Kunde als Auftragsverarbeiter einer anderen Stelle, ist TrainingForever für diese Verarbeitung Unterauftragsverarbeiter. Der Kunde benennt den ursprünglichen Verantwortlichen und weist die erforderliche Genehmigung und Weisungen nach. Die Pflichten sind so auszulegen, dass die Schutzkette nach Artikel 28 erhalten bleibt, ohne dem Kunden Befugnisse zuzuschreiben, die er nicht besitzt.
Kontodaten, eigene Abrechnungsdaten, Sicherheitsdaten und andere Vorgänge, die TrainingForever rechtmäßig für eigene Zwecke bestimmt, unterliegen seiner Datenschutzerklärung. Daten von Sportlern werden nicht allein deshalb zu eigenen Zwecken verarbeitet, weil sie auf der Infrastruktur von TrainingForever oder mithilfe von KI verarbeitet werden.
Bestimmen die Parteien Zwecke und wesentliche Mittel gemeinsam, müssen sie die gemeinsame Verantwortlichkeit nach Artikel 26 gesondert regeln. Diese Vereinbarung ersetzt sie nicht und beseitigt nicht die sich aus den tatsächlichen Umständen ergebende Einordnung.
Für die erfassten Verarbeitungen hat dieses DPA Vorrang vor unvereinbaren Klauseln der Nutzungsbedingungen oder der Bestellung. Zwingende Vorschriften und anwendbare gültige Garantien für internationale Übermittlungen haben Vorrang vor beiden.
3. Umfang und Dauer des Auftrags
Anhang I konkretisiert Gegenstand, Dauer, Art, Zweck, Personen- und Datenkategorien, Vorgänge, Weisungen und Kontakte. Anhang II enthält die erforderlichen Sicherheitsmaßnahmen und Anhang III die genehmigten Unterauftragsverarbeiter und Übermittlungen.
Die Verarbeitung beginnt, wenn eine wirksame Vereinbarung besteht und Informationen im Auftrag des Kunden freigeschaltet oder empfangen werden. Sie dauert so lange, wie dies für den vertraglich vereinbarten Dienst erforderlich ist, und nach dessen Ende ausschließlich zur Rückgabe, Löschung oder Aufbewahrung aufgrund einer anwendbaren gesetzlichen Pflicht. Vertraulichkeits- und Schutzpflichten bestehen fort, solange Daten aufbewahrt werden.
Die Verarbeitung zusätzlicher Kategorien oder anderer Zwecke ist nicht allein dadurch erlaubt, dass sie technisch in ein Freitextfeld oder eine Datei eingegeben werden können.
Die Zweck-, Übermittlungs- und Aufbewahrungsgrenzen des Quellanbieters der Daten gelten auch für den Auftrag. Eine allgemeine Frist dieses DPA erlaubt nicht die Überschreitung einer strengeren Einschränkung der Quelle.
4. Dokumentierte Weisungen
TrainingForever verarbeitet die Daten ausschließlich nach dokumentierten Weisungen des Kunden, einschließlich solcher zu Empfängern, Unterbeauftragung und Übermittlungen, sofern nicht das Recht der Union oder eines Mitgliedstaats eine andere Verarbeitung vorschreibt. In diesem Fall informiert es den Kunden vorab über diese Anforderung, sofern dies nicht aus wichtigen Gründen des öffentlichen Interesses gesetzlich verboten ist.
Dokumentierte Weisungen sind diese Vereinbarung, die Bestellung und ihre Anhänge, die gültige Konfiguration von Funktionen und Berechtigungen, Vorgänge autorisierter Personen sowie über die vertraglichen Kanäle verifizierte Anfragen. Die Weisung muss innerhalb des Dienstumfangs und der Befugnisse ihres Erteilenden liegen.
Ein von einem Modell erzeugtes Ergebnis gilt für sich allein nicht als eigenständige und gültige Weisung des Kunden. Aktionen des Assistenten oder von MCP erfordern den Autorisierungskontext des Nutzers und die entsprechenden Kontrollen. Sie erweitern nicht die genehmigten Zwecke oder Empfänger.
Ist TrainingForever der Ansicht, dass eine Weisung gegen die DSGVO oder eine andere anwendbare Datenschutzvorschrift verstößt, teilt es dies dem Kunden unverzüglich mit und kann den betroffenen Vorgang bis zur Klärung aussetzen. Nicht betroffene Verarbeitungen werden nicht ohne verhältnismäßige Notwendigkeit ausgesetzt.
Erfordert die technische Umsetzung einer Weisung eine Erweiterung des Dienstes, vereinbaren die Parteien gegebenenfalls deren Umfang und Kosten. Dies erlaubt nicht, wesentliche gesetzliche Pflichten durch unverhältnismäßige Kosten an Bedingungen zu knüpfen oder zu umgehen.
5. Pflichten des Kunden
Dem Kunden obliegt:
Der Kunde garantiert nicht das völlige Ausbleiben von Vorfällen und übernimmt nicht die eigenen Pflichtverletzungen von TrainingForever. Eine Erklärung des Kunden befreit TrainingForever nicht von der Pflicht, über rechtswidrige Weisungen zu informieren, Sicherheitsmaßnahmen anzuwenden oder seine gesetzlichen Pflichten zu erfüllen.
6. Allgemeine Pflichten von TrainingForever
TrainingForever verpflichtet sich:
Würde TrainingForever entgegen dieser Vereinbarung eigene Zwecke und Mittel bestimmen, übernimmt es für diese Verarbeitung die ihm gesetzlich zukommende Rolle und Verantwortung. Keine Klausel erlaubt ihm eine einseitige Änderung des Auftragszwecks.
7. Vertraulichkeit und Personalzugriff
Die Vertraulichkeitspflicht besteht auch nach Ende der Arbeits-, Geschäfts- oder Vertragsbeziehung fort. TrainingForever muss den Zugriff auf Personal beschränken, das ihn für Betrieb oder Support des Dienstes benötigt, mit individueller Zuweisung, Kontrolle und Überprüfung der Berechtigungen.
Der Supportzugriff auf Gesundheitsdaten setzt einen dokumentierten Bedarf und den geringstmöglichen Umfang voraus. Ein gewöhnlicher Personalzugriff auf Verläufe aus allgemeinen Qualitäts-, Entwicklungs- oder Schulungsgründen ist nicht genehmigt. Privilegierte Zugriffe müssen verstärkte Maßnahmen und Nachvollziehbarkeit aufweisen.
Eine behördlich angeordnete Offenlegung wird auf die gesetzlich erforderlichen Daten und den gesetzlich erforderlichen Umfang begrenzt, mit Information des Kunden, soweit nicht verboten, und Prüfung rechtlich möglicher Anfechtungen oder Schutzvorkehrungen.
8. KI, Ableitungen und Werkzeuge
KI wird für Auftragsdaten nur eingesetzt, wenn die Funktion vertraglich vereinbart ist, der Kunde eine gültige Weisung erteilt hat und die anwendbare Rechtsgrundlage für die Daten der betroffenen Personen besteht. Die Einwilligung einer vertretenden Person des Kunden ersetzt nicht die Einwilligung dieser Personen.
Der KI-Anbieter, jeder Routing-Vermittler und die endgültigen Anbieter, die Daten erhalten können, müssen vor der Aktivierung in Anhang III aufgeführt sein. Die Genehmigung eines Vermittlers bedeutet nicht die Genehmigung jedes Modells, Ziels oder Landes, das dieser auswählen kann.
Eingaben werden auf erforderliche Daten begrenzt. Nachrichten, Verlauf, Kontext und Werkzeugergebnisse unterliegen derselben Kontrolle: Namen aus der ersten Nachricht auszuschließen reicht nicht aus, wenn ein Werkzeug anschließend identifizierbare Daten oder Gesundheitsdaten zurückgibt. Ableitungen, Zusammenfassungen und Ergebnisse behalten den entsprechenden Schutz.
Aufbewahrung beim Anbieter, Missbrauchsprotokolle, Cache und Unterbeauftragung müssen dokumentiert und mit dieser Vereinbarung vereinbar sein. Der Verzicht auf Training bedeutet weder Nullspeicherung noch ausschließlich europäische Speicherung.
Werkzeugaufrufe erhalten keine weitergehenden Befugnisse als das autorisierte Konto. Erforderliche Grenzen, Validierungen und Bestätigungen werden angewendet, insbesondere für Massenänderungen, Vernichtung, externe Kommunikation und sensible Daten. Importierter Text Dritter darf nicht zu einer Erlaubnis werden, Aktionen auszuführen oder Daten offenzulegen.
Die KI des Auftrags wird ohne gesonderte Vereinbarung und Information sowie vorherige Rechtmäßigkeitsprüfung nicht für Entscheidungen nach Artikel 22 mit rechtlichen oder ähnlich erheblichen Auswirkungen eingesetzt. Eine erforderliche menschliche Überprüfung muss wirksam sein.
9. Vom Kunden gewählte externe Dienste und MCP
Eine Verbindung zu ChatGPT, Claude oder einem anderen externen Dienst kann einen anderen Datenfluss als der integrierte KI-Anbieter erzeugen. Empfänger, Rolle, Vertragstarif, Berechtigungen, Daten, Land und Aufbewahrung müssen vor der Freigabe von Auftragsdaten bestimmt werden.
Handelt dieser Dienst als von TrainingForever beauftragter Unterauftragsverarbeiter, wird er in Anhang III aufgenommen und unterliegt sämtlichen Unterbeauftragungspflichten. Beauftragt ihn der Kunde unmittelbar, muss dieser die rechtliche Beziehung und die erforderlichen Garantien vereinbaren und die Übermittlungsweisung dokumentieren. TrainingForever behält bei Ausführung dieser Weisung seine Pflichten als Auftragsverarbeiter und gibt auf eine nicht autorisierte oder offensichtlich rechtswidrige Anordnung keine Daten heraus.
Es wird nicht vorausgesetzt, dass ein persönliches Konto oder eine Standardkonfiguration eines externen KI-Clients für Gesundheitsdaten Dritter geeignet ist. Die technische Autorisierung über MCP erlaubt für sich allein keinen neuen Zweck, keine Übermittlung und keine Verarbeitung von Gesundheitsdaten.
Einschränkungen der Datenquelle müssen eingehalten werden. Eine Verbindung darf Informationen nicht an KI oder andere Nutzer übermitteln, wenn ein Sportanbieter diese Nutzungsweise verbietet, auch wenn der Kunde dies wünscht.
10. Unterauftragsverarbeiter
Der Kunde genehmigt die in Anhang III benannten und vollständig beschriebenen Unterauftragsverarbeiter und erteilt eine allgemeine Genehmigung für deren Änderungen unter dem folgenden Verfahren. Eine leere Liste, eine Kandidatenliste oder eine Liste ohne relevante Empfängerländer stellt keine ausreichende Genehmigung für den Produktivbetrieb dar.
TrainingForever teilt die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Kalendertage im Voraus über einen Weg mit, der die Aufbewahrung der Mitteilung ermöglicht. Die Mitteilung benennt Stelle, Dienst, Daten, Länder und ausreichende Garantien zur Bewertung der Änderung.
Der Kunde kann vor der Aktivierung aus angemessenen Datenschutzgründen widersprechen, vorzugsweise innerhalb der ersten 15 Tage, um die Klärung zu erleichtern. TrainingForever beginnt während der Ankündigungsfrist nicht mit dem neuen Zugriff. Ein noch offener angemessener Einwand wird vor Übermittlung der betroffenen Daten behandelt.
Die Parteien suchen eine verhältnismäßige Alternative. Gibt es keine vereinbare Lösung, kann der Kunde den betroffenen Teil ohne Vertragsstrafe beenden, mit anteiliger Erstattung vorausgezahlter Beträge für nicht erbrachte Dienstleistungen sowie Rückgabe oder Löschung der Daten. Eine ausbleibende Antwort wird nicht als Einwilligung in einen neuen Gesundheitszweck ausgelegt; dieses Verfahren betrifft die Unterbeauftragung innerhalb des genehmigten Auftrags.
TrainingForever schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm im einschlägigen Umfang dieselben Pflichten hinsichtlich Schutz, Vertraulichkeit, Sicherheit, Unterstützung, Löschung und Übermittlungen auferlegt. Es prüft ausreichende Garantien und bleibt dem Kunden gegenüber gemäß Artikel 28.4 für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich.
11. Standorte und internationale Übermittlungen
Speicherregionen, Fernzugriffs- und Unterbeauftragungsländer werden in Anhang III aufgeführt. Die Änderung einer europäischen Region erlaubt nicht, die Bewertung von Support oder Verarbeitung außerhalb des EWR auszulassen.
Es erfolgen keine Übermittlungen oder Zugriffe aus einem Drittland ohne dokumentierte Weisungen des Kunden und eine gültige Grundlage nach Kapitel V DSGVO. Die für das Ziel anwendbare Angemessenheit wird geprüft oder geeignete Garantien werden mit der erforderlichen Bewertung und zusätzlichen Maßnahmen vereinbart.
Werden Standardvertragsklauseln für Übermittlungen verwendet, wird das Modul entsprechend den Parteien und ihren tatsächlichen Rollen ausgewählt, die Anhänge werden ausgefüllt und die einschlägigen Unterlagen bereitgestellt. Wird ein Angemessenheitsrahmen für eine zertifizierte Stelle herangezogen, werden dessen Gültigkeit und konkreter Geltungsbereich geprüft.
Dieses DPA ist für sich allein keine Standardvertragsklausel für internationale Übermittlungen. Es stellt auch keine Einwilligung der Sportler in Ausnahmen nach Artikel 49 dar. Regelmäßige Übermittlungen werden nicht allgemein auf die Einwilligung bei der Anmeldung gestützt.
Wird eine Garantie ungültig, informiert TrainingForever unverzüglich und setzt den betroffenen Datenfluss aus, wenn keine rechtmäßige Alternative besteht, und wirkt an den erforderlichen Maßnahmen und der Wiedererlangung der Daten mit.
12. Anträge zur Ausübung von Rechten
TrainingForever leistet angemessene Unterstützung, damit der Kunde Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit und Rechte in Bezug auf automatisierte Entscheidungen erfüllen kann.
Erhält es unmittelbar einen Antrag zu Auftragsdaten, leitet es diesen unverzüglich und vertraglich innerhalb von höchstens drei Arbeitstagen an den Kundenkontakt weiter. Es antwortet ohne Weisung nicht im Namen des Kunden, sofern es nicht gesetzlich dazu verpflichtet ist oder der Antrag eine andere eigene Verarbeitung betrifft.
Es stellt die erforderlichen Daten, Suchvorgänge und Maßnahmen rechtzeitig unter Berücksichtigung der mitgeteilten Dringlichkeit bereit, damit die gesetzlichen Fristen eingehalten werden können. Technische Komplexität erlaubt nicht, die Frist ohne Mitteilung verstreichen zu lassen. Identitätsprüfungen werden verhältnismäßig abgestimmt.
Gegebenenfalls unterstützt es bei der Mitteilung von Berichtigungen, Löschungen oder Einschränkungen an Empfänger und Unterauftragsverarbeiter sowie bei der Bestimmung von Daten, die aufgrund einer konkreten gesetzlichen Pflicht nicht gelöscht werden dürfen.
13. Datenschutzverletzungen, Folgenabschätzung und Konsultation
TrainingForever meldet dem Kunden eine Verletzung der Sicherheit von Auftragsdaten unverzüglich und jedenfalls innerhalb von 24 Stunden nach Bekanntwerden. Die erste Meldung wird nicht bis zum Abschluss einer Untersuchung verzögert. Ein begründeter Verdacht, der dringende Maßnahmen erfordert, wird mitgeteilt, ohne auf umfassende Gewissheit zu warten.
Nach Verfügbarkeit werden schrittweise folgende Informationen bereitgestellt:
TrainingForever sichert Nachweise, wirkt an der Untersuchung mit, dokumentiert die Maßnahmen und stimmt die Mitteilungen ab. Es benachrichtigt Personen oder Behörden nicht ohne Weisung im Namen des Kunden, außer aufgrund eigener gesetzlicher Pflicht. Die Fristen des Kunden bleiben bestehen: Die vertraglichen 24 Stunden des Auftragsverarbeiters verlängern nicht die gesetzliche Frist des Verantwortlichen.
Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt TrainingForever den Kunden bei der Einhaltung der Artikel 32 bis 36, einschließlich Folgenabschätzungen, Maßnahmenanalysen, Anbieterinformationen und gegebenenfalls vorheriger Konsultation. Die Unterstützung umfasst die zur Bewertung von KI, Gesundheitsdaten, Minderjährigen, Profilen und Übermittlungen des Dienstes erforderlichen Daten.
14. Rückgabe, Beendigung und Löschung
Am Ende des Auftrags gibt TrainingForever nach Wahl des Kunden die Daten zurück oder löscht sie und löscht vorhandene Kopien, sofern nicht das Recht der Union oder eines Mitgliedstaats eine Aufbewahrung vorschreibt.
Die ursprüngliche Auswahl in Anhang I kann durch eine gültige Weisung geändert werden. Als anfängliche Standardweisung wird die Rückgabe und anschließende Löschung vereinbart: Dem Kunden werden ein sicherer Export und ein Wiedererlangungszeitraum von 30 Tagen ab Beendigung bereitgestellt, wobei die Verarbeitung auf diesen Zweck beschränkt bleibt. Am Ende dieses Zeitraums werden die Daten aus den aktiven Systemen gelöscht, sofern keine andere rechtmäßige Weisung erteilt wurde oder eine andere gesetzliche Frist gilt. Vorbereitung und Bereitstellung des Exports werden innerhalb dieses Zeitraums abgeschlossen.
Wählt der Kunde die Löschung ohne Rückgabe, wird sie unverzüglich und jedenfalls innerhalb von 30 Tagen nach der gültigen Weisung ausgeführt. Fristen für die Ausübung von Rechten oder strengere gesetzliche Fristen haben Vorrang. Sind besondere Fristen für Anbieterwechsel oder Wiedererlangung nach der Datenverordnung anwendbar, wird der Zeitplan vor der Löschung entsprechend angepasst.
Aus aktiven Systemen gelöschte Daten werden innerhalb von höchstens 90 Tagen nach dieser Löschung aus Sicherungskopien gelöscht oder überschrieben. Während dieses Zyklus stehen sie weder für gewöhnliche Nutzung noch für Modelltraining oder kommerzielle Auswertung zur Verfügung. Bei einer Wiederherstellung müssen Löschungen erneut angewendet werden. Benötigt der Anbieter einen anderen Zyklus, muss dies geklärt werden, bevor er als mit dieser Vereinbarung vereinbar akzeptiert wird.
TrainingForever verlangt dieselbe Durchführung von seinen Unterauftragsverarbeitern mit den gegebenenfalls geltenden kürzeren spezifischen Zyklen und stellt auf Antrag des Kunden eine Bestätigung der Rückgabe oder Löschung bereit. Die Trennung einer API belegt für sich genommen nicht, dass die Löschung durchgeführt wurde. Für Garmin-Connect-Daten weist der Kunde die automatische Löschung nach Abschnitt 9.1 der Datenschutzerklärung bei Trennung oder Eingang des Widerrufs an, einschließlich abgeleiteter Ergebnisse mit diesen Daten und der Weitergabe der Löschpflicht an Unterauftragsverarbeiter. Ein weiterer Antrag des Kunden ist nicht erforderlich; die Rückgabe- oder Wiedererlangungsfrist verschiebt die Löschung nicht. Erforderliche kürzere Fristen werden eingehalten.
Eine gesetzliche Aufbewahrungspflicht wird, soweit nicht gesetzlich verboten, mit Kategorien, Grund und Dauer benannt und mitgeteilt. Die Daten bleiben isoliert und auf diese Pflicht beschränkt und werden nach ihrem Ende gelöscht. Dieser Fall erlaubt nicht, den gesamten Verlauf aus kommerziellem Interesse oder wegen einer allgemeinen Möglichkeit von Ansprüchen zu behalten.
Protokolle, die TrainingForever als Verantwortlicher zum Nachweis dieses Vertrags oder seiner eigenen Abrechnung aufbewahren muss, werden auf diesen Zweck beschränkt und enthalten nicht unnötig Gesundheitsdaten des Auftrags.
15. Informationen, Audits und Inspektionen
TrainingForever stellt dem Kunden die zum Nachweis der Einhaltung erforderlichen Informationen bereit und ermöglicht und unterstützt Audits, einschließlich Inspektionen durch den Kunden oder einen bevollmächtigten unabhängigen Prüfer.
Für gewöhnliche Prüfungen können die Parteien zunächst eine Dokumentenprüfung organisieren und eine angemessene Ankündigungsfrist, gewöhnlich 15 Tage, Umfang, Vertraulichkeit und Maßnahmen zum Schutz der Daten anderer Kunden und der Sicherheit vereinbaren. Diese Organisation beseitigt nicht das Recht auf eine erforderliche Inspektion und beschränkt nicht die Befugnisse der Behörden.
Ein Vorfall, ein begründeter Anhaltspunkt für eine Pflichtverletzung oder eine behördliche Anforderung kann eine zusätzliche oder dringende Prüfung erfordern. Es werden weder eine Höchsthäufigkeit von einmal jährlich noch eine Ankündigungsfrist auferlegt, die die Pflichterfüllung verhindern. Zertifizierungen oder Berichte, soweit vorhanden, können als Nachweis dienen; eine Zertifizierung wird jedoch nicht vorausgesetzt, und sie ersetzen nicht sämtliche Auditrechte.
Außergewöhnliche Unterstützungskosten, die keine gewöhnliche Pflicht darstellen, können vorab und angemessen vereinbart werden. Sie werden nicht verwendet, um die Prüfung oder wirksame Erfüllung gesetzlicher Pflichten zu verhindern. Jede Partei teilt relevante Feststellungen unverzüglich mit und wirkt an deren Behebung mit.
16. Haftung und Zusammenarbeit
Jede Partei übernimmt die ihr aufgrund ihrer Beteiligung und nachgewiesener Pflichtverletzungen zukommende Verantwortung. Der Kunde entschädigt TrainingForever nicht automatisch für jeden Anspruch eines Sportlers, und TrainingForever wird nicht allein durch die Behauptung befreit, es habe Weisungen befolgt.
Schadensersatzrechte betroffener Personen, einschließlich Haftung und Rückgriff nach Artikel 82 DSGVO, sowie Sanktionsbefugnisse der Behörden werden durch dieses DPA oder eine kommerzielle Begrenzung nicht eingeschränkt. Die Verantwortlichkeit gegenüber Behörden bestimmt sich nach dem Gesetz; diese Vereinbarung garantiert nicht, dass eine Sanktion auf eine andere Partei übertragen werden kann.
Die Parteien arbeiten nach Treu und Glauben zusammen, um Schäden einzudämmen, Anträge zu bearbeiten und ihr Handeln zu dokumentieren. Ein Geschäftsstreit erlaubt nicht, Schutzmaßnahmen zu verweigern oder Daten entgegen den Vorschriften zurückzuhalten.
17. Änderungen, Recht und Streitigkeiten
Wesentliche Änderungen müssen dokumentiert, vor ihrer Anwendung mitgeteilt und, soweit erforderlich, angenommen werden. Sie dürfen die Garantien nach Artikel 28 nicht durch eine bloße stille Aktualisierung einer Seite verringern. Änderungen von Unterauftragsverarbeitern richten sich nach Abschnitt 10, und neue Zwecke erfordern eine eigene Vereinbarung.
Es gelten die DSGVO, das Unionsrecht und die für die Verarbeitung einschlägigen nationalen Vorschriften. Für die Vertragsbeziehung zwischen den Parteien gelten Recht und Gerichtsstand der Nutzungsbedingungen, unbeschadet zwingender Vorschriften, zuständiger Behörden und der Rechte betroffener Personen.
Anhang I. Beschreibung der Verarbeitung und Weisungen
A. Identifizierung und Kontakte
| Feld | Mit der Annahme zu verknüpfende Informationen |
|---|---|
| Kunde und Rolle | Ausstehend: razon social o nombre nif pais y papel |
| Anschrift des Kunden | Ausstehend: domicilio cliente |
| Vertretende Person | Ausstehend: nombre cargo y facultad |
| Ursprünglicher Verantwortlicher, wenn der Kunde Auftragsverarbeiter ist | Ausstehend: identidad contacto y autorizacion o no aplica |
| Operativer Datenschutzkontakt des Kunden | Ausstehend: nombre o funcion y correo |
| Vorfallkontakt des Kunden | Ausstehend: correo y medio urgente valido |
| Datenschutzbeauftragter des Kunden, soweit vorhanden | Ausstehend: contacto o no aplica |
| Kontakt von TrainingForever | [email protected], Betreff „Datenschutz“, „DPA“ oder „Sicherheitsvorfall“ |
| Bestellung, Organisation und vertraglich vereinbarte Funktionen | Ausstehend: identificador pedido organizacion y alcance |
| Angenommenes Datum und angenommene Version | Ausstehend: fecha hora version dpa y registro subencargados |
B. Gegenstand, Zweck und Vorgänge
Gegenstand: Bereitstellung der Trainingsverwaltungsplattform für vom Kunden autorisierte Personen.
Zweck: Daten von Sportlern speichern und organisieren, Trainings planen und erfassen, Kommunikation und Sportanalyse ermöglichen und die konkret angewiesenen Integrationen oder optionalen Funktionen ausführen.
Art und Vorgänge: Erhebung oder Empfang, Erfassung, Speicherung, Organisation, Abfrage, Berechnung, Aktualisierung, Erzeugung von Messwerten, Übermittlung an autorisierte Personen, Import, Export, Einschränkung, Rückgabe und Löschung. KI und jegliche Profilerstellung sind nur mit der folgenden gesonderten Freigabe einbezogen.
Dauer und Häufigkeit: Während der Vertragsbeziehung und der begrenzten Ausstiegszeiträume; fortlaufende Verarbeitung mit Abfragen, Änderungen und Synchronisierungen entsprechend Nutzung und Berechtigungen. Eine unbegrenzte Weiterverwendung nach Beendigung ist nicht erfasst.
C. Personen und Daten
Betroffene Personen: Sportler des Kunden; Trainer und autorisiertes Personal; Kontakte und Vereinsmitglieder; gegebenenfalls gesetzliche Vertreter. Minderjährige sind nur einbezogen, wenn das anwendbare Verfahren und die rechtliche Grundlage bestehen.
Gewöhnliche Daten: Kennungen, Kontakt, Konto, Rolle, Zugehörigkeit, Disziplin, Ziele, Kalender, Trainings, Kraft und Ausdauer, Aktivitäten, Nachrichten, relevante Dateien, Teilnahme, minimale technische Daten und Verwaltungsdaten des Dienstes des Kunden.
Daten, die Gesundheitsinformationen offenlegen können: Herzfrequenz, Zonen, physiologische Messwerte, körperliche Verfassung, Erholung, Gewicht oder andere erforderliche Maße, Müdigkeit, Schmerzen, Verletzungen, Einschränkungen, Beobachtungen sowie Gesundheitsprofile oder -ableitungen. Routen und Standortdaten können sensible Informationen offenlegen.
Ausschlüsse: Die Aufnahme vollständiger Krankenakten, genetischer Daten, biometrischer Identifizierungsdaten, strafrechtlicher Daten, Überzeugungen oder anderer dienstfremder besonderer Kategorien ist nicht genehmigt. Ein Fall, der sie erfordert, setzt eine vorherige Bewertung und Vereinbarung voraus und nicht ihre Eingabe in Freitext.
Verstärkte Schutzmaßnahmen: Vom Verantwortlichen dokumentierte Grundlage nach Artikel 9; Trennung nach Organisation und Rolle; keine standardmäßige Veröffentlichung; Minimierung von Gesundheitsdaten in Nachrichten und Protokollen; genehmigte Anbieter und Länder; kontrollierter privilegierter Zugriff; Schulung und Vorfallverfahren.
D. Auswahl von Funktionen und Empfängern
| Element | Zu erfassende Weisung und Bedingung |
|---|---|
| Gewöhnliche Planung und Nachverfolgung | Vertraglich vereinbarte Funktionen, erforderliche Daten und autorisierte Personen |
| KI für Auftragsdaten | Ausstehend: activada o desactivada proveedor finalidades datos y habilitacion. Für diese Verarbeitung deaktiviert, wenn keine Rechtsgrundlage festgelegt wurde |
| Sportintegrationen | Ausstehend: servicio direccion datos permisos restricciones y destinatarios |
| MCP oder externe Clients | Ausstehend: destinatario papel plan contrato alcance y garantias o desactivado |
| Automatisierungen | Ausstehend: funcion objetivo disparador frecuencia limites y revocacion o no aplica |
| Vereine, Herausforderungen und Sichtbarkeit | Ausstehend: datos publico autorizado y base para publicacion o privado |
| Minderjährige | Ausstehend: no incluidos o procedimiento edades paises representacion y habilitacion |
| Vom Kunden angegebene Aufbewahrung während der Beziehung | Ausstehend: plazos por categoria y revision. Keine standardmäßig unbegrenzte Aufbewahrung Für Garmin gilt die Weisung zur Löschung bei Trennung nach Abschnitt 9.1 der Datenschutzerklärung, ohne Verlängerung durch allgemeine Aufbewahrungsweisungen. |
| Beendigung | Rückgabe und Löschung gemäß Abschnitt 14, sofern keine Auswahl der Löschung ohne Rückgabe erfasst wurde |
Anhang II. Technische und organisatorische Maßnahmen
Diese Maßnahmen sind vertragliche Mindestanforderungen, die vor der betroffenen Verarbeitung umzusetzen und zu überprüfen sind. Ihre operative Ausgestaltung kann sich weiterentwickeln, ohne das Schutzniveau zu verringern. Nachweise werden im Rahmen von Abschnitt 15 bereitgestellt.
| Bereich | Erforderliche Maßnahmen |
|---|---|
| Steuerung und Risiko | Festgelegte interne Zuständigkeiten, Verzeichnis der Systeme und Verarbeitungen, Risikobewertung und Prüfung von Änderungen, die Gesundheitsdaten, KI, Minderjährige oder Übermittlungen betreffen |
| Organisationstrennung | Serverseitige Autorisierung jedes Zugriffs, Prüfung der Zugehörigkeit und Isolation zwischen Kunden; Überprüfung von Abfragen, Dateien, Exporten, Aufgaben und Werkzeugen, ohne sich allein auf die Oberfläche zu verlassen |
| Privilegien | Geringstmögliche Berechtigungen, individuelle Konten, regelmäßige Überprüfung, Entzug bei Funktionsende und Mehrfaktor-Authentifizierung für Administration und privilegierte Zugriffe |
| Authentifizierung und Sitzungen | Durch geeignete Ableitungs- oder Hashfunktionen geschützte Passwörter, sichere Wiederherstellungsverfahren, Sitzungsschutz und Reaktion auf Missbrauch; keine Klartextspeicherung von Passwörtern |
| Verschlüsselung | Verschlüsselte Kommunikation mit aktuellen Protokollen und risikogerechter kryptografischer Schutz von Speicher und Sicherungskopien; eingeschränkte Schlüsselverwaltung |
| Tokens und Geheimnisse | Geschützte Speicherung, begrenzte Berechtigungen, Rotation und Widerruf; Ausschluss aus Prompts, allgemeinen Protokollen, öffentlichem Code und Antworten an Kunden |
| Gesundheits- und Standortdaten | Minimierung, abgestufte Berechtigungen, standardmäßig private Profile und Routen, Beschränkung von Exporten und Supportzugriff |
| KI und MCP | Genehmigte Anbieter und begrenzte Ziele; serverseitige Prüfung von Argumenten und Berechtigungen; Schutz vor Anweisungen aus nicht vertrauenswürdigen Inhalten; verhältnismäßige Bestätigungskontrollen und keine Berechtigungserhöhung durch das Modell |
| KI-Verlauf und -Ergebnisse | Trennung zwischen Funktionsverlauf und Diagnoseprotokollen, Minimierung von Kennungen und Ergebnissen, begrenzte Aufbewahrung und Löschung einschließlich einschlägiger Nachrichten, Ergebnisse und Caches |
| Protokolle | Protokollierung relevanter Ereignisse und privilegierter Zugriffe, Integritätsschutz und eingeschränkter Zugriff; keine unnötigen vollständigen Ausgaben von Gesundheitsdaten, Prompts oder Tokens |
| Support | Begründeter und begrenzter Ausnahmezugriff, Protokollierung des Eingriffs und Vertraulichkeit des Personals |
| Entwicklung und Änderungen | Trennung von Umgebungen, Änderungsprüfung, Schwachstellenmanagement, Aktualisierungen und verhältnismäßige Prüfung der Autorisierungskontrollen |
| Tests | Standardmäßig synthetische oder wirksam anonymisierte Daten; tatsächliche Daten nur ausnahmsweise bei dokumentiertem Bedarf, rechtlicher Grundlage und Kontrollen |
| Sicherungskopien und Wiederherstellung | Gemäß dokumentiertem Plan geschützte Sicherungskopien, regelmäßige Wiederherstellungstests, mit Abschnitt 14 vereinbarer Höchstzyklus und erneute Anwendung von Löschungen nach einer Wiederherstellung |
| Kontinuität | Risikogerechter Wiederherstellungs- und Störungsmanagementplan; dokumentierte, mit dem vertraglich vereinbarten Angebot übereinstimmende Wiederherstellungsziele, ohne eine nicht bestehende SLA vorauszusetzen |
| Vorfälle | Eingangskanal, Bewertungs- und Eindämmungsverfahren, Nachweissicherung und Meldung an den Kunden gemäß Abschnitt 13 |
| Anbieter und physische Zugriffe | Bewertung von Garantien, Verträgen, Standorten und Unterbeauftragung; Anbieterkontrollen für physische Infrastruktur und administrative Zugriffe |
| Personen und Schulung | Vertraulichkeit, Weisungen zu Gesundheitsdaten und Minderjährigen, Sicherheitsschulung und der Beteiligung angemessene KI-Kompetenz |
| Rechte und Ausstieg | Verfahren zum Auffinden, Exportieren, Berichtigen, Einschränken und Löschen von Daten, einschließlich Weitergabe an Unterauftragsverarbeiter und Kontrolle von Kopien |
| Überprüfung | Regelmäßige Prüfung und Prüfung nach wesentlichen Änderungen; Dokumentation von Feststellungen und Korrekturmaßnahmen, ohne nicht vorhandene Zertifizierungen zu behaupten |
Anhang III. Verzeichnis der Unterauftragsverarbeiter, Standorte und Übermittlungen
Version des Verzeichnisses: TF-REG-2026-10-29-v2 Datum: 26. Oktober 2026.
In diesen Anhang wird die Beschreibung von Zweck, Daten, Ländern, Garantien und Aufbewahrung aus Abschnitt 2 des Anhangs A der Datenschutzerklärung, Version TF-REG-2026-10-29-v2, aufgenommen, die der angenommenen Kopie dieses DPA beizufügen und mit ihr aufzubewahren ist. Sie wird auch als gesondertes Verzeichnis bereitgestellt. Der Verweis bezieht sich auf diese konkrete Version; eine veränderliche Seite ersetzt nicht die Kopie des angenommenen Verzeichnisses. Spätere Änderungen folgen Abschnitt 10 dieser Vereinbarung.
| Benannte Stelle und Dienst | Funktion innerhalb des Auftrags, soweit einschlägig | Angegebener Hauptstandort und weitere zu bewertende Datenflüsse | Besondere Bedingung |
|---|---|---|---|
| Supabase Pte. Ltd. — Supabase | Für den Kunden genutzte Datenbank und zugehörige Dienste | Projekt in Irland; Bewertung verbundener Unternehmen, des Supports und weiterer Dienste | DPA, Tarif, Umfang und Datenzyklen |
| Vercel Inc. — Vercel | Hosting und Backend/API, die Auftragsdaten verarbeiten | Backend in EU/EWR; weitere Dienste und Zugriffe sind zu prüfen | DPA-Abdeckung des Tarifs prüfen, bevor sie als vorhanden angesehen wird |
| BunnyWay d.o.o. — Stream und Storage | Vom Kunden anvertraute Inhalte von Trainern und Sportlern | Speicherung und Replikate als ausschließlich in EU/EWR angegeben; CDN und Zugriffe noch offen | Konto-DPA, Datenschutz der Dateien und Löschung von Kopien/Caches |
| Plus Five Five, Inc. — Resend | Vom Kunden innerhalb seines Dienstes angewiesene Sendungen | Vereinigte Staaten gemäß Standardbedingungen | Keine unnötigen Gesundheitsdaten aufnehmen; Tarif, Vertrag und Aufbewahrung prüfen |
| OpenAI Ireland Ltd. — Standard-API EWR | Angewiesene Inferenz für Kundendaten | Keine besondere europäische Datenresidenz angegeben; internationale Datenflüsse sind zu bewerten | Funktion und Gesundheitsdatenverarbeitung freigegeben, Vertrag und Endpunktkonfiguration |
| Anthropic Ireland, Limited — Standard-API EWR | Angewiesene Inferenz für Kundendaten | Keine besondere europäische Datenresidenz angegeben; internationale Datenflüsse sind zu bewerten | Funktion und Gesundheitsdatenverarbeitung freigegeben, Vertrag, Modelle und Aufbewahrung |
| Molina Studio — Stridee API | Vom Kunden angewiesene Sportsynchronisierung | Schweiz und EWR gemäß veröffentlichter Infrastruktur | Unterauftragskette und Vereinbarkeit der Fristen validieren |
| Für Dienst und Vertrag einschlägige Stripe-Stelle | Nur tatsächlich im Auftrag des Kunden durchgeführte Vorgänge, etwa eine Funktion zur Verwaltung seiner Zahlungseingänge, sofern beauftragt | Je nach Dienst und Stripe-Dienstleistungskette | Eigene Abrechnungsdaten von TrainingForever und unabhängige Verarbeitungen durch Stripe trennen; Umfang vor Aufnahme in den Auftrag prüfen |
Diese Tabelle nimmt Verarbeitungen für eigenes Marketing von TrainingForever nicht als Unterauftragsverarbeitungen des Kunden auf und macht Google, Meta, Microsoft oder unabhängige Sportdienste nicht allein durch ihre Verbindung zu Auftragsverarbeitern. Jede Nutzung von Auftragsdaten für einen anderen Zweck erfordert eine eigene Analyse und Rechtsgrundlage.
Vom Kunden unmittelbar beauftragte MCP-Clients richten sich nach Abschnitt 9 und den verifizierten Weisungen in Anhang I. Die Nutzung von HealthKit erlaubt nicht, Apple automatisch die Rolle eines Unterauftragsverarbeiters zuzuschreiben. Die Sportdienste als Datenquellen werden in Abschnitt 4 des Verzeichnisses gesondert beschrieben.
Ausstehende Vereinbarkeitsprüfung: Die Zusagen dieses DPA zu Rückgabe, Löschung, Sicherungskopien, Unterstützung, Vorfällen und Änderungen von Unterauftragsverarbeitern mit den tatsächlich angenommenen Verträgen abgleichen. Die Standardfristen von Stridee, Resend und den KI-APIs dürfen nicht als Bestätigung der im Haupttext des Pakets vorgeschlagenen Fristen dargestellt werden. Eine Abweichung erfordert die Anpassung des Dienstes oder die Vereinbarung einer rechtmäßigen Formulierung vor Vertragsabschluss; sie wird nicht durch Entfernen des Hinweises behoben.
Anhang IV. Annahmenachweis
| Element | Mit dem Vertrag verknüpfter Nachweis |
|---|---|
| Kunde und Organisation | Ausstehend: identificador y razon social |
| Vertreter und erklärte oder geprüfte Befugnisse | Ausstehend: identidad y cargo |
| Bereitgestelltes DPA, Bestellung und Anhänge | Ausstehend: versiones y copias integras |
| Unterauftragsverarbeiterverzeichnis | Ausstehend: version y copia |
| Weg und Datum der Annahme | Ausstehend: fecha hora zona y accion afirmativa |
| Anfängliche optionale Weisungen | Ausstehend: selecciones ia mcp menores conexiones y salida |
| Dem Kunden bereitgestellte Kopie | Ausstehend: medio fecha y referencia |
Zusätzliche technische Nachweise müssen verhältnismäßig sein und dürfen nur so lange wie erforderlich aufbewahrt werden. Der Annahmenachweis darf keine Gesundheitsverläufe oder -messwerte enthalten.