Auftragsverarbeitung
Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO zwischen dem Studio oder Verein, das Kampfwerk nutzt (Verantwortlicher), und der JPR Consulting GmbH, Letteallee 91, 13409 Berlin (Auftragsverarbeiter). Er gilt mit Abschluss des Kampfwerk-Vertrags und für dessen Laufzeit.
1. Gegenstand, Art und Zweck
Der Auftragsverarbeiter betreibt die Software Kampfwerk für den Verantwortlichen: Website mit Probetraining-Buchung, Mitglieder- und Vertragsverwaltung, Beitragsabrechnung und Lastschrift, Mitgliederbereich, E-Mail-Benachrichtigungen sowie auf Wunsch die Übertragung von Rechnungen an ein Buchhaltungsprogramm des Verantwortlichen.
2. Arten von Daten und betroffene Personen
Betroffen sind Mitglieder, Interessenten (Probetraining), Erziehungsberechtigte, Trainer und Mitarbeitende des Verantwortlichen. Verarbeitet werden Stamm- und Kontaktdaten, Vertrags- und Abrechnungsdaten, Bankverbindung (SEPA-Mandat), Anwesenheiten, Gürtelgrade, Unterschriften, Einwilligungen sowie – nur wenn der Verantwortliche es nutzt – Gesundheitsdaten wie ärztliche Atteste (Art. 9 DSGVO).
3. Pflichten des Auftragsverarbeiters
- Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Software gilt als Weisung.
- Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet.
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Abschnitt 6).
- Unterstützung bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Export) – die Software bietet dafür Export und Löschung.
- Meldung von Datenschutzverletzungen unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden.
- Nach Vertragsende: Herausgabe der Daten als Export und Löschung innerhalb von 30 Tagen, soweit keine Aufbewahrungspflicht besteht.
- Nachweis der Einhaltung dieses Vertrags und Ermöglichung von Kontrollen nach Absprache.
4. Unterauftragsverarbeiter
Der Verantwortliche stimmt folgenden Unterauftragsverarbeitern zu. Über Änderungen informieren wir vorab; er kann aus wichtigem Grund widersprechen.
| Dienstleister | Leistung | Ort |
|---|---|---|
| Hetzner Online GmbH, Gunzenhausen | Server und Rechenzentrum | Deutschland |
| Nomads Digital (Server bei Hetzner Online GmbH) | Verschlüsselte Datensicherung (ohne Zugriff auf den Schlüssel) | Deutschland |
Nutzt der Verantwortliche die Anbindung an sevDesk oder Lexoffice, übermittelt er die Rechnungsdaten auf eigene Weisung an seinen eigenen Vertragspartner; dieser ist kein Unterauftragsverarbeiter von uns.
5. Rechte und Pflichten des Verantwortlichen
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung zuständig, insbesondere für Einwilligungen seiner Mitglieder und seine Datenschutzerklärung. Er kann jederzeit Weisungen erteilen, Daten exportieren und löschen.
6. Technische und organisatorische Maßnahmen
- Server ausschließlich in Rechenzentren in Deutschland; Zugriff nur über verschlüsselte Verbindungen (HTTPS/TLS, SSH mit Schlüssel).
- Datenbank ist nur intern erreichbar; Firewall lässt von außen nur die verschlüsselte Web-Verbindung und Wartungszugang zu.
- Passwörter und PINs nur als gesalzener Hash (PBKDF2), nie im Klartext.
- Rollen- und Rechtekonzept: Trainer und Empfang sehen weder Bankverbindungen noch Gesundheitsdaten; Dokumente wie Atteste öffnen nur Inhaber und Admins.
- Änderungsprotokoll über Verträge, Beiträge und Zugriffe auf Gesundheitsdokumente.
- Tägliche Datensicherung, verschlüsselt (AES-256) auf einem zweiten Server in Deutschland, 14 Tage aufbewahrt; Wiederherstellung getestet.
- Mandantentrennung: Jedes Studio sieht ausschließlich seine eigenen Daten.
- Fehlerprotokolle enthalten keine Passwörter, IBAN, Unterschriften oder Dokumente.
7. Schlussbestimmungen
Es gilt deutsches Recht. Bei Widersprüchen geht dieser Vertrag den übrigen Vereinbarungen in Fragen des Datenschutzes vor. Auf Wunsch stellen wir den Vertrag zur Unterschrift als PDF bereit: jan@workwithjpr.com.
Stand: September 2026