Vereinbarung zur Auftragsverarbeitung

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Coach, der die Vereinbarung annimmt (nachfolgend „Coach"). Er entscheidet, welche Athleten er betreut, welche Trainings- und Ernährungsvorgaben er macht, welche Angaben und Videos er von seinen Athleten anfordert und wie er sie auswertet.

Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO ist der im Impressum genannte Betreiber der Plattform IronAxis (nachfolgend „Betreiber"). Er stellt die Plattform bereit und verarbeitet die Daten der vom Coach betreuten Athleten für diese Betreuung ausschließlich im Auftrag des Coaches.

Abgrenzung der eigenen Verantwortung des Betreibers

Nicht Gegenstand dieser Vereinbarung sind Verarbeitungen, für die der Betreiber selbst Verantwortlicher ist: die Verwaltung aller Nutzerkonten einschließlich des Kontos des Coaches, der sichere Betrieb der Plattform, Sicherungskopien, Server-Protokolle, die Einholung und der Nachweis der Einwilligung der Athleten in die Verarbeitung ihrer Gesundheitsdaten sowie das eigene Nutzungsverhältnis jedes Athleten mit dem Betreiber. Jeder Athlet hat ein eigenes Konto und einen eigenen Nutzungsvertrag mit dem Betreiber; seine Daten bleiben ihm auch nach dem Ende einer Betreuung erhalten. Für diese Verarbeitungen gilt die Datenschutzerklärung.

Gegenstand ist die Bereitstellung der Plattform IronAxis zur Trainings- und Ernährungsbetreuung der Athleten des Coaches: die Speicherung und Anzeige der vom Coach angelegten Pläne und Vorgaben, der von seinen Athleten protokollierten Trainings-, Körper-, Befindens- und Ernährungsdaten, der Satz- und Check-in-Videos sowie die daraus berechneten Kennzahlen und Vorschläge.

Die Vereinbarung gilt ab ihrer Annahme für die gesamte Dauer, in der der Coach über die Plattform mindestens einen Athleten betreut oder Athletenkonten anlegen darf. Sie endet mit dem Ende der letzten Betreuung oder mit der Löschung des Coach-Kontos; Abschnitt 10 gilt fort.

Zweck

Trainingsplanung, Trainingsprotokollierung, Auswertung von Leistung und Belastung, Technik-Feedback per Video, wöchentlicher Check-in und Ernährungsplanung im Kraftsport — jeweils für die Betreuung der dem Coach zugeordneten Athleten.

Art der Verarbeitung

Erheben über die App, Speichern, Anzeigen für Coach und Athlet, Berechnen von Kennzahlen und Vorschlägen, Sichern, Löschen. Auf Veranlassung des Coaches außerdem das Einlesen einer Planvorlage mit KI (Planimport, siehe Anlage 2).

Kategorien betroffener Personen

Die vom Coach betreuten Athletinnen und Athleten.

Kategorien personenbezogener Daten

• Bestandsdaten der Athleten (Name, Anmeldename)
• Trainings- und Leistungsdaten (Pläne, Sätze mit Last, Wiederholungen und Reserve, Kennzahlen, Equipment)
• Gesundheitsdaten nach Art. 9 DSGVO: Körpergewicht, Schlaf, Tagesbefinden, Ermüdung, Anstrengung, Schmerzangaben, Ernährungs- und Trinkdaten sowie die Ernährungsvorgaben des Coaches
• Videoaufnahmen (Satz-Videos der Athleten, Check-in-Aufnahmen)
• Rückmeldungen und Notizen zwischen Coach und Athlet

Die Verarbeitung von Gesundheitsdaten setzt eine ausdrückliche Einwilligung des Athleten voraus (Art. 9 Abs. 2 lit. a DSGVO). Der Betreiber holt sie technisch in der App ein und sperrt ohne sie die Erfassung dieser Daten; die Einwilligung nennt den Coach als Empfänger. Der Coach stellt sicher, dass er seine Athleten im Rahmen seiner Betreuung ordnungsgemäß über die Verarbeitung informiert.

Der Betreiber verarbeitet die Daten nur auf dokumentierte Weisung des Coaches. Weisungen erteilt der Coach in erster Linie durch die Nutzung der Funktionen der Plattform: Anlegen und Beenden von Betreuungen, Erstellen von Plänen, Anfordern von Videos, Löschen von Einträgen. Weitergehende Weisungen — etwa die Löschung oder Herausgabe der Daten eines Athleten — erteilt der Coach in Textform an mail@ironaxis.app.

Hält der Betreiber eine Weisung für rechtswidrig, teilt er das dem Coach unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen. Der Betreiber verarbeitet die Daten nicht zu eigenen Zwecken; ausgenommen sind die in Abschnitt 01 abgegrenzten Verarbeitungen und Fälle, in denen das Recht der Union oder eines Mitgliedstaats ihn zur Verarbeitung verpflichtet — dann informiert er den Coach vorab, sofern das Recht das nicht verbietet.

Der Betreiber ist ein Ein-Personen-Betrieb. Er verpflichtet sich selbst zur Vertraulichkeit und stellt sicher, dass jede weitere Person, die er künftig mit der Verarbeitung betraut, vorher schriftlich zur Vertraulichkeit verpflichtet wird. Zugriff auf Athletendaten nimmt der Betreiber nur, soweit Betrieb, Wartung, Fehlerbehebung oder eine Weisung des Coaches es erfordern.

Der Betreiber trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und entwickelt sie mit dem Stand der Technik weiter. Wesentliche Änderungen, die das Schutzniveau senken würden, sind ausgeschlossen; sonstige Änderungen werden dokumentiert und dem Coach auf Anfrage mitgeteilt.

Der Coach stimmt der Einschaltung der in Anlage 2 genannten weiteren Auftragsverarbeiter zu. Der Betreiber hat mit ihnen Verträge geschlossen, die ihnen dieselben Datenschutzpflichten auferlegen, die für den Betreiber gelten, und haftet dem Coach gegenüber für deren Einhaltung.

Beabsichtigt der Betreiber, einen weiteren Auftragsverarbeiter einzuschalten oder zu ersetzen, informiert er den Coach mindestens vier Wochen vorher in Textform. Der Coach kann innerhalb dieser Frist aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kann er die Betreuung über die Plattform beenden, und Abschnitt 10 gilt.

Nicht als Auftragsverarbeiter gelten Dienste, die die Athleten selbst über ihren Browser wählen und die keinen Zugriff auf Inhaltsdaten haben — insbesondere der Push-Dienst des Browsers, über den verschlüsselte Benachrichtigungen zugestellt werden.

Der Betreiber unterstützt den Coach mit den Mitteln der Plattform dabei, die Rechte der Athleten zu erfüllen: Auskunft und Datenkopie (der Athlet kann seine Daten in der App selbst exportieren), Berichtigung und Löschung einzelner Einträge (in der App), vollständige Löschung eines Kontos (auf Anfrage an den Betreiber, siehe Abschnitt 10). Geht ein Antrag eines Athleten beim Betreiber ein, leitet er ihn an den Coach weiter, soweit er die Betreuung betrifft.

Der Betreiber unterstützt den Coach ferner bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung, mit den ihm vorliegenden Informationen über die Verarbeitung und die Schutzmaßnahmen.

Wird dem Betreiber eine Verletzung des Schutzes personenbezogener Daten bekannt, die Athleten des Coaches betrifft, meldet er sie dem Coach unverzüglich — so früh, dass der Coach seine Meldefrist von 72 Stunden nach Art. 33 DSGVO einhalten kann — mit den ihm bekannten Angaben zu Art, Umfang, betroffenen Personen, Folgen und ergriffenen Maßnahmen. Fehlende Angaben reicht er nach.

Endet eine Betreuung — durch den Coach, den Athleten oder den Betreiber —, endet damit der Zugriff des Coaches auf die Daten dieses Athleten. Die Daten selbst werden nicht gelöscht: Sie gehören zum eigenen Konto des Athleten und bleiben dort unter der eigenen Verantwortung des Betreibers, bis der Athlet die Löschung verlangt oder sein Konto gelöscht wird. Eine Rückgabe an den Coach findet nicht statt, weil die Daten beim Athleten verbleiben; auf Weisung des Coaches stellt der Betreiber ihm vor Ende der Betreuung eine Kopie der Betreuungsdaten bereit.

Vom Coach selbst angelegte Inhalte ohne Athletenbezug — Vorlagen, Übungen, eigene Videos — bleiben in seinem Konto, bis es gelöscht wird. Eine Kontolöschung beantragt der Coach in Textform; der Betreiber löscht dann Konto und Inhalte und bestätigt es. Kopien in Sicherungen werden mit deren Rotation entfernt; die Fristen nennt die Datenschutzerklärung.

Der Betreiber stellt dem Coach auf Anfrage die Informationen zur Verfügung, die dieser zum Nachweis der Einhaltung von Art. 28 DSGVO benötigt: die Beschreibung der Schutzmaßnahmen, das Verzeichnis der Verarbeitungstätigkeiten in den ihn betreffenden Teilen und die Verträge mit weiteren Auftragsverarbeitern in Zusammenfassung. Eine Überprüfung vor Ort ist nach angemessener Ankündigung und ohne besonderen Anlass höchstens einmal jährlich möglich; sie darf den Betrieb und die Daten anderer Coaches nicht beeinträchtigen.

Die Vereinbarung wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO): Der Coach nimmt sie im Coach-Bereich der App durch Setzen eines Häkchens an; der Betreiber speichert Fassung und Zeitpunkt der Annahme als Nachweis. Ohne Annahme steht das Coach-Modul nicht zur Verfügung.

Maßgeblich ist die hier veröffentlichte Fassung vom 13.10.2026. Ändert der Betreiber die Vereinbarung inhaltlich, wird sie dem Coach beim nächsten Öffnen des Coach-Bereichs erneut zur Annahme vorgelegt; bis dahin gilt die bisher angenommene Fassung fort. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt die Vereinbarung im Übrigen wirksam.

Zusammenfassung der Maßnahmen nach Art. 32 DSGVO, Stand der Fassung; die vollständige interne Beschreibung stellt der Betreiber auf Anfrage bereit.

• Standort und Infrastruktur: eigener Server in einem ISO-27001-zertifizierten Rechenzentrum in Deutschland; keine Analyse-, Werbe- oder Tracking-Dienste; verschlüsselte Übertragung (TLS, HSTS) auf allen Domains.
• Zugangskontrolle: Server-Zugang nur mit Schlüssel, Zwei-Faktor-Anmeldung an den Verwaltungskonten, Löschschutz des Servers; App-Konten werden nur vom Betreiber oder berechtigten Coaches angelegt, keine offene Registrierung.
• Zugriffs- und Trennungskontrolle: zeilenbezogene Zugriffsregeln auf allen Anwendungstabellen — jeder Nutzer sieht nur eigene Daten, jeder Coach nur die Daten der ihm zugeordneten Athleten; Zuordnungen entstehen ausschließlich serverseitig; Videos in privaten Speicherbereichen mit kurzlebigen Abrufadressen; Datenbank von außen nicht erreichbar.
• Verfügbarkeit: tägliche verschlüsselte Datensicherungen mit räumlich getrennter Kopie innerhalb Deutschlands; automatische Sicherheitsaktualisierungen des Betriebssystems.
• Datenminimierung: Satz-Videos werden nach 28 Tagen automatisch gelöscht und ohne Ton gespeichert; Gesundheitsdaten werden nur mit Einwilligung des Athleten erfasst.
• Organisation: wiederkehrende interne Sicherheitsprüfungen; zugesicherte Verhaltensweisen der Software sind durch automatisierte Tests abgesichert; dokumentierter Meldeweg bei Datenpannen; KI-gestützte Entwicklungswerkzeuge erhalten keine Datensätze einzelner Athleten.

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Betrieb des Servers und der Speicherinfrastruktur im Rechenzentrum Falkenstein/Vogtland einschließlich der verschlüsselten Sicherungskopien. Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO besteht.
• Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland — Lesen einer Planvorlage mit dem KI-Modell Claude beim Planimport. Die Verarbeitung findet nur beim Planimport statt und nur, wenn der Coach ihn selbst startet. Verarbeitet wird die Vorlage, die der Coach einreicht (Text, Bild, PDF oder Dokument), zusammen mit der gewählten Trainingswoche des Athleten, Übungen aus der Übungsbibliothek als Auswahl und den vom Coach gemerkten Übungszuordnungen (Vorlagenwörter und Übungen, keine Athletendaten). Die Verarbeitung erfolgt in den USA auf Grundlage der EU-Standardvertragsklauseln, die der Vertrag zur Auftragsverarbeitung von Anthropic enthält. Für diese Verarbeitung setzt Anthropic eigene weitere Auftragsverarbeiter ein, insbesondere die Cloud-Anbieter Google Cloud Platform, Amazon Web Services und Microsoft Azure; die vollständige Liste veröffentlicht Anthropic im Trust Center. Anthropic trainiert keine Modelle mit diesen Inhalten und löscht Ein- und Ausgaben binnen 30 Tagen, außer wenn ein Verstoß gegen die Nutzungsrichtlinien von Anthropic oder das Gesetz eine längere Aufbewahrung verlangt. Der Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO besteht über die Geschäftsbedingungen von Anthropic, die ihn einbeziehen.