Auftragsverarbeitungsvertrag (AVV)

Stand: 13.07.2026 (Subprocessor-Tabelle: Sentry, Apple APNs, Google FCM ergänzt; Meta WhatsApp und ManyContacts entfernt — WhatsApp-Funktion wurde zum 28.06.2026 aus der Software entfernt)

Was ist ein AVV und wer braucht ihn?

Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist verpflichtend, wenn ein Dienstleister personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet.

Unsere Kunden – in der Regel Personal Trainer und Studios – sind datenschutzrechtlich Verantwortliche für die Daten ihrer Endkunden (Mitglieder, Klienten). Sobald diese Daten in New Prime verwaltet, gespeichert oder verarbeitet werden, fungieren wir, der Anbieter, als Auftragsverarbeiter. Für diese Konstellation ist ein AVV gesetzlich vorgeschrieben (Art. 28 Abs. 3 DSGVO).

Ohne AVV wäre die Verarbeitung rechtswidrig. Die folgenden Inhalte stellen den vollständigen AVV-Text dar, der mit Abschluss eines kostenpflichtigen Tarifs zwischen dem Kunden (Verantwortlicher) und Niklas Pape (Auftragsverarbeiter) zustande kommt.

AVV als PDF anfordern

Sie können den AVV jederzeit als unterzeichnete PDF-Version per E-Mail anfordern an:info@niklaspape.de

Bitte geben Sie in Ihrer Anfrage folgende Informationen an:

• Vollständiger Firmen-/Unternehmensname
• Rechtsform
• Anschrift
• Vertretungsberechtigte Person
• Ihre New-Prime-Konto-E-Mail

Sie erhalten den ausgefüllten AVV dann innerhalb von 2–5 Werktagen per E-Mail.

§1 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten, die der Kunde (Verantwortlicher) im Rahmen der Nutzung der Software New Prime in diese einstellt oder von dieser verarbeiten lässt.

(2) Dauer: Die Verarbeitung beginnt mit dem Vertragsschluss über die Nutzung der Software und endet mit der Beendigung des Nutzungsvertrags zuzüglich einer Nachwirkungsfrist für Datenrückgabe bzw. Löschung.

(3) Art und Zweck der Verarbeitung: Bereitstellung einer cloudbasierten Software zur Verwaltung von Trainings-, Ernährungs-, Termin- und Abrechnungsdaten sowie zur Kommunikation mit Endkunden des Verantwortlichen. Die Verarbeitung erfolgt ausschließlich zur vertragsgemäßen Erbringung der vereinbarten SaaS-Leistungen.

§2 Art der personenbezogenen Daten

Folgende Kategorien personenbezogener Daten werden verarbeitet:

• Kontaktdaten: Name, Vorname, Anschrift, Telefon, E-Mail, Geburtsdatum
• Vertragsdaten: Kundennummer, Vertragsstatus, Laufzeit, Kündigungsdaten
• Zahlungsdaten: IBAN (für SEPA), Rechnungsdaten, Zahlungsstatus (ohne Klartext-Kartendaten – diese werden ausschließlich durch den jeweils gewählten Zahlungsdienstleister Stripe Payments Europe Ltd. oder Mollie B.V. verarbeitet)
• Trainingsdaten: Trainingspläne, Sessions, Übungen, Gewichte, Wiederholungen, Messwerte, Fortschritt
• Ernährungsdaten: Makronährstoffe, Ernährungspläne, Food-Scans, Gewichtsverlauf
• Gesundheitsbezogene Daten: Anamnese, Zielsetzung, selbstberichtete Beschwerden (sofern vom Verantwortlichen erhoben)
• Terminbezogene Daten: Kalendereinträge, Termine, Buchungshistorie
• Kommunikationsdaten: Chat-Nachrichten zwischen Trainer und Endkunde, E-Mail-Kommunikation
• Nutzungsdaten: Login-Zeiten, IP-Adresse, Session-Tokens

Gesundheitsdaten sind besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO. Der Verantwortliche stellt sicher, dass für deren Verarbeitung eine geeignete Rechtsgrundlage, insbesondere die ausdrückliche Einwilligung der betroffenen Person nach Art. 9 Abs. 2 lit. a DSGVO, vorliegt.

§3 Kategorien betroffener Personen

• Endkunden des Verantwortlichen (Trainings-Klienten, Mitglieder, Interessenten/Leads)
• Mitarbeiter des Verantwortlichen (Trainer, Administratoren, Rezeption)
• Sonstige durch den Verantwortlichen angelegte Kontakte (z. B. Notfallkontakte der Endkunden)

§4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

1. die Daten ausschließlich im Rahmen der dokumentierten Weisungen des Verantwortlichen zu verarbeiten;
2. die mit der Verarbeitung befassten Mitarbeiter auf Vertraulichkeit zu verpflichten oder eine gesetzliche Verschwiegenheitspflicht sicherzustellen;
3. geeignete technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO zu treffen;
4. Unterauftragsverarbeiter nur mit vorheriger allgemeiner schriftlicher Genehmigung einzusetzen und bei Änderungen den Verantwortlichen zu informieren;
5. den Verantwortlichen bei der Erfüllung der Betroffenenrechte (Art. 15–22 DSGVO) im Rahmen des technisch Möglichen zu unterstützen;
6. den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Datensicherheit, Meldepflichten, Datenschutz-Folgenabschätzung) zu unterstützen;
7. nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Abschluss der Erbringung der Verarbeitungsleistungen zu löschen oder zurückzugeben, sofern keine gesetzlichen Aufbewahrungspflichten bestehen;
8. dem Verantwortlichen alle erforderlichen Informationen zur Verfügung zu stellen, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen, und Überprüfungen und Inspektionen (Audits) zu ermöglichen und dazu beizutragen.

§5 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter hat folgende technische und organisatorische Maßnahmen zur Gewährleistung der Datensicherheit nach Art. 32 DSGVO getroffen:

Vertraulichkeit

• Zutrittskontrolle: Server werden ausschließlich in zertifizierten Rechenzentren der Unterauftragsverarbeiter betrieben (EU – Frankfurt/Main für Primärdaten der Software). Physischer Zutritt ist durch die jeweiligen Betreiber streng reglementiert.
• Zugangskontrolle: Authentifizierung über E-Mail und Passwort mit Passwort-Stärke-Anforderungen (Mindestlänge, Komplexitäts-Prüfung). Passwort-Hashing nach Industriestandard (bcrypt/Argon2). Adaptive 2-Faktor-Authentifizierung nach Best Practice 2026: Geräte werden 14–90 Tage als „vertraut" markiert (Admin 14 Tage, Trainer 30 Tage, Endkunde 90 Tage), um die Häufigkeit von 2FA-Prompts zu reduzieren ohne Sicherheit zu verringern. Passkeys (FIDO2/WebAuthn) als phishing-resistente Alternative zu Passwörtern (Face ID, Touch ID, Windows Hello, iCloud Keychain). Recovery-Codes als Backup für 2FA-Verlust. Step-Up Authentication vor sensitiven Aktionen (Konto löschen, Daten-Export).
• Zugriffskontrolle: Row-Level-Security (RLS) auf Datenbank-Ebene stellt sicher, dass Kunden ausschließlich auf Daten ihrer eigenen Organisation zugreifen können (Multi-Tenant-Isolation). Granulares Rollen- und Rechtesystem mit 13 differenzierten Berechtigungen + 5 Templates (Vollzugriff, Trainer Standard, Trainer Erweitert, Empfang/Rezeption, Buchhaltung). Sub-Permissions für privacy-sensitive Aktionen (alle Chats sehen, Datenexport, Vertragsvorlagen bearbeiten).
• Pseudonymisierung: Wo technisch sinnvoll, werden UUIDs anstelle personenbezogener Identifikatoren verwendet. Kontextuelle Pseudonymisierung in Logs (z. B. Hashed-Email statt Klartext).
• Vertraute-Geräte-Verwaltung: Nutzer:innen können in den Einstellungen alle ihre vertrauten Geräte einsehen, einzeln entziehen oder gesammelt zurücksetzen (Settings → Sicherheit). Push-Benachrichtigung bei jedem neu hinzugefügten Gerät.

Integrität

• Weitergabekontrolle: Transportverschlüsselung (TLS 1.3) für alle Datenübertragungen. HSTS-Header mit Preload.
• Eingabekontrolle: Audit-Logs für sicherheitsrelevante Operationen (Login, Datenexport, Rechteänderungen, AGB-Akzeptanz mit Schriftform-Nachweis nach Art. 7 DSGVO inkl. IP-Adresse, Zeitstempel und Wortlaut der Einwilligung).
• JWT-Token-Hardening: Auth-Tokens mit kurzer Lebensdauer (10 Minuten), Refresh-Token-Rotation. Stop-Lists für widerrufene Tokens.

Verfügbarkeit und Belastbarkeit

• Backups: Tägliche automatisierte Backups der Produktionsdatenbank durch Supabase, Aufbewahrung mindestens 7 Tage bzw. bis zu 30 Tage (Studio-Tarif). Point-in-Time-Recovery (PITR) verfügbar.
• Wiederherstellbarkeit: Dokumentierte Disaster-Recovery-Prozesse mit definiertem RPO (Recovery Point Objective) und RTO (Recovery Time Objective).
• Verschlüsselung im Ruhezustand: Verschlüsselung (AES-256) der Datenbank und Object-Storage bei den Unterauftragsverarbeitern. OAuth-Refresh-Tokens für Google Calendar werden zusätzlich application-seitig verschlüsselt.
• DDoS-Schutz: Cloudflare DDoS-Mitigation auf Edge-Ebene.

Verfahren zur regelmäßigen Überprüfung

• Datenschutz-Management: Regelmäßige Überprüfung der Verarbeitungsprozesse durch den Verantwortlichen für Datenschutz-Belange (Niklas Pape).
• Incident-Response: Definierter Prozess zur Erkennung und Meldung von Datenschutzvorfällen innerhalb von 72 Stunden gegenüber dem Verantwortlichen (Art. 33 DSGVO).
• Error-Tracking: Sentry (mit aktiver Datenminimierung – keine personenbezogenen Daten im Error-Payload, scrubbing von E-Mail/IBAN/Passwort).
• Penetration-Testing: Multi-Tenant-Security-Audits (intern + extern), zuletzt Round 1–5 (April 2026) mit Fokus auf Cross-Org-Isolation, RLS-Vollständigkeit, Service-Role-Spoofing-Resistenz und Edge-Function-Auth.

§6 Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, folgende Unterauftragsverarbeiter einzusetzen. Beabsichtigte Änderungen werden dem Verantwortlichen mit angemessener Frist mitgeteilt; der Verantwortliche kann der Änderung aus berechtigtem Grund widersprechen.

Alle außerhalb der EU ansässigen Unterauftragsverarbeiter sind durch die Standardvertragsklauseln (SCCs) der EU-Kommission abgesichert. Die aktuelle Liste der Unterauftragsverarbeiter wird auf Anfrage unter info@niklaspape.de zur Verfügung gestellt.

§7 Betroffenenrechte

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung der Rechte betroffener Personen nach Art. 15 bis 22 DSGVO. Soweit sich betroffene Personen direkt an den Auftragsverarbeiter wenden, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

§8 Prüfrechte

(1) Der Verantwortliche hat das Recht, sich von der Einhaltung der Verpflichtungen des Auftragsverarbeiters, insbesondere hinsichtlich der getroffenen TOMs, zu überzeugen. Er kann hierzu jederzeit Auskünfte einholen, vorhandene Testate, Zertifikate oder interne Prüfungen einsehen oder – soweit erforderlich – nach vorheriger Abstimmung während üblicher Geschäftszeiten und ohne Störung des Betriebsablaufs Prüfungen durchführen bzw. durch einen sachkundigen Dritten durchführen lassen.

(2) Der Auftragsverarbeiter kann nach eigenem Ermessen die Vorlage eines aktuellen Testats eines unabhängigen Prüfers als Nachweis anbieten. Die Kosten für Prüfungen, die über einfache Auskünfte hinausgehen, trägt der Verantwortliche.

§9 Haftung

Für die Haftung zwischen den Parteien gelten die Bestimmungen aus dem zugrundeliegenden Nutzungsvertrag (AGB §10) entsprechend. Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO.

§10 Laufzeit, Beendigung, Rückgabe/Löschung

(1) Dieser AVV tritt mit Abschluss eines kostenpflichtigen Tarifs in Kraft und endet automatisch mit Beendigung des Nutzungsvertrags.

(2) Nach Beendigung des Vertrags kann der Verantwortliche seine Daten innerhalb einer Frist von 30 Tagen über die in der Software bereitgestellten Export-Funktionen exportieren.

(3) Nach Ablauf dieser Frist werden die personenbezogenen Daten unwiderruflich gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Aufbewahrungspflichten betreffen insbesondere Rechnungs- und Buchhaltungsdaten (§ 147 AO, § 257 HGB).

§11 Schlussbestimmungen

(1) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(2) Im Fall von Widersprüchen zwischen diesem AVV und sonstigen Vereinbarungen der Parteien (insbesondere den AGB) gehen die Regelungen dieses AVV vor.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Lübeck, soweit der Verantwortliche Unternehmer, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Kontakt für AVV-Anforderungen

Für die Anforderung eines individuell ausgefüllten und unterzeichneten AVV wenden Sie sich bitte an:

Niklas Pape
Niklas Pape Gesundheits und Fitnesstraining
Mengstraße 40
23552 Lübeck
Deutschland
E-Mail: info@niklaspape.de

Dieser AVV wurde zuletzt am 05.05.2026 aktualisiert. Wesentliche Änderungen: §5 TOMs erweitert um Adaptive 2FA, Passkeys (FIDO2/WebAuthn), Recovery-Codes, Step-Up Authentication, Vertraute-Geräte-Verwaltung, granulare Rollen-Permissions und Pen-Test-Audit-Round.