Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

1 Gegenstand und Dauer

Wir speichern und verarbeiten die Daten deiner Klientinnen und Klienten, die du im Klienten-Bereich von Studio Pro anlegst. Schreibst du Angaben zu Klientinnen oder Klienten in deine Notizen, gilt dieser Vertrag auch dafür. Bietest du in Studio Pro Kurse an, gilt er außerdem für die Daten der Lernenden, die du freischaltest, und für die Videos, die du in deine Kurse lädst. Schaltest du die Funktion „Termine“ ein, gilt er auch für die Daten der Personen, die über deine Buchungsseite einen Termin anfragen oder buchen (Name, Kontaktdaten, Zeitpunkt, freiwillige Vor-Angaben); wir betreiben dafür unser eigenes Werkzeug mit Datenbank und Verarbeitung in Irland (EU). Nutzt du dafür SysthetIQ aPoint, zeigen wir auf deine Weisung beim jeweiligen Klienten die Termin-Angaben aus aPoint an; wir speichern sie dabei nicht dauerhaft. Das tun wir nur, um dir diese Funktionen bereitzustellen. Der Vertrag gilt, solange du solche Daten in Studio Pro speicherst. Er endet mit der Löschung deines Kontos. Hast du beim Löschen deines Kontos oder eines Kurses Lernende mit Zugang, verarbeiten wir deren Daten und die Kursinhalte noch 3 Monate weiter, damit sie den Kurs wie angekündigt nutzen können; danach löschen wir sie.

2 Art der Daten und Betroffene

• Betroffene: deine Klientinnen, Klienten und Interessenten; bei Kursen außerdem deine Lernenden.
• Daten: Name, E-Mail-Adresse (freiwillig), Phase (z. B. „Aktiv“), nächster Schritt mit Datum, nächste Sitzung mit Datum und Uhrzeit, Verlaufseinträge (Freitext), Zuordnung zu deinen Systemen und die Vorschläge für nächste Schritte, die du anforderst.
• Notizen sind Freitext ohne Zuordnung zu einem Klienten. Trägst du dort Angaben zu Klienten ein, gilt für sie dieser Vertrag.
• Daten der Lernenden: E-Mail-Adresse, Anmeldedaten (Zeitpunkte, Sitzung), welche Kurse du freigeschaltet oder wieder entzogen hast und wann, welche Lektionen sie als erledigt markiert haben, sowie technische Zugriffsdaten (IP-Adresse, Browser) beim Anmelden und beim Abspielen von Videos.
• Kurs-Videos: die Videodateien, die du hochlädst, samt den Personen, die darin zu sehen oder zu hören sind.
• Buchende Personen deiner Buchungsseite (Termine): Name, E-Mail-Adresse, optional Telefonnummer, der gebuchte Zeitpunkt und freiwillige Antworten auf deine Fragen. Nur die Angaben, die der Buchende selbst in die Buchungsseite eingibt. Die Vor-Antworten können besondere Kategorien im Sinne des Art. 9 DSGVO enthalten (z. B. Gesundheitsangaben), wenn du als Coach solche Fragen stellst; die ausdrückliche Einwilligung dafür holt das Buchungsformular ein, bevor die Antworten gespeichert werden.
• Termin-Angaben aus aPoint beim Klienten: Zeit, Terminart, Status, Frage vorab mit Antwort, Ergebnis und nächster Schritt aus der Nachbereitung, das Versanddatum einer Nachricht (nicht ihr Text) und Notizen nur, wenn du sie für den jeweiligen Termin freigibst.
• Besondere Kategorien: Die Angaben können besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO enthalten (z. B. Gesundheitsangaben), wenn du sie einträgst, vor allem in Verlaufseinträgen und Notizen. Du entscheidest, was du einträgst, und trägst nur ein, was für deine Arbeit nötig ist. Für solche Angaben bist du dafür verantwortlich, dass eine Rechtsgrundlage besteht, etwa eine ausdrückliche Einwilligung deiner Klientin oder deines Klienten. Studio Pro sperrt sie technisch nicht.

3 Art und Zweck der Verarbeitung

Die Daten werden gespeichert, dir angezeigt, geändert und gelöscht. Klickst du auf „Vorschlagen“ (Pro), senden wir Name, Phase, nächsten Schritt mit Datum, Verlauf sowie Name und Positionierung der verknüpften Systeme dieses einen Kontakts an einen KI-Dienst (Anlage 2); die E-Mail-Adresse, den Sitzungstermin und deine Notizen nicht. Der Dienst erzeugt daraus Vorschläge für nächste Schritte. Ohne deinen Klick geht nichts an KI-Dienste. Notizen und der Sitzungstermin gehen nicht an KI-Dienste. Daten der Lernenden und Kurs-Videos gehen nicht an KI-Dienste.

Bei Kursen: Wir legen für jede Person, die du freischaltest, einen Zugang an, schicken ihr die Mails zur Anmeldung, zeigen ihr die freigeschalteten Kurse und speichern ihren Fortschritt. Kurs-Videos speichern wir samt Originaldatei (für deinen Export), bereiten sie zum Abspielen auf und spielen sie nur angemeldeten Lernenden mit Freischaltung ab.

4 Weisungen

Wir verarbeiten die Daten nur nach deinen Weisungen. Deine Weisungen gibst du durch die Nutzung der Funktionen (Anlegen, Ändern, Löschen, Vorschlagen) oder in Textform an den Support. Halten wir eine Weisung für rechtswidrig, sagen wir es dir.

5 Vertraulichkeit

Wer bei uns Zugriff auf die Daten haben könnte, ist zur Vertraulichkeit verpflichtet. Zugriff gibt es nur, wenn er für Betrieb oder Fehlerbehebung nötig ist.

6 Sicherheit

Wir treffen die technischen und organisatorischen Maßnahmen aus Anlage 1 und passen sie dem Stand der Technik an.

7 Unterauftragsverarbeiter

Wir setzen die Dienste aus Anlage 2 ein. Du stimmst ihnen zu. Bevor wir einen weiteren Dienst hinzunehmen oder einen ersetzen, informieren wir dich per E-Mail an die Adresse deines Kontos, mindestens 30 Tage vorher. Du kannst in dieser Frist aus wichtigem Grund widersprechen. Können wir den Widerspruch nicht ausräumen, kannst du den Vertrag für den Klienten-Bereich beenden; deine Klientendaten löschen wir dann.

8 Unterstützung

Wir helfen dir, Anfragen Betroffener zu beantworten (Auskunft, Berichtigung, Löschung, Export) und deine Pflichten nach Art. 32–36 DSGVO zu erfüllen. In Studio Pro kannst du Kontakte selbst ändern, löschen und mit deinem Konto exportieren.

9 Datenpannen

Von einer Verletzung des Schutzes der Daten erfährst du von uns ohne unangemessene Verzögerung, mit den Angaben, die du für eine Meldung brauchst.

10 Löschung und Rückgabe

• Löschst du einen Kontakt, ist er samt Verlauf sofort aus Studio Pro entfernt. Nutzt du SysthetIQ aPoint, löschen wir auf deine Weisung auch die Angaben dieser Person dort und sagen ihre künftigen Termine ab; die Person wird über die Absage informiert.
• Löschst du einen Kurs, entfernen wir seine Freischaltungen und den Fortschritt der Lernenden, bei Lernenden mit Zugang nach 3 Monaten (Punkt 1). Ein Video, das du löschst, entfernen wir auch beim Video-Dienst, samt der dort gespeicherten Originaldatei.
• Endet der Vertrag, löschen wir alle Klientendaten mit deinem Konto. Bei eingeschalteter Funktion „Termine“ löschen wir auch die Buchungsdaten deiner Buchenden (Namen, Kontaktdaten, Zeitpunkte, freiwillige Vor-Angaben).
• Unser Datenbank-Anbieter erstellt täglich Sicherungen. Aus diesen Sicherungen verschwinden gelöschte Daten spätestens nach 7 Tagen automatisch; bis dahin nutzen wir sie nur, um nach einem Ausfall den Betrieb wiederherzustellen.
• Vorher kannst du alle Daten über den Export in den Einstellungen herunterladen.
• Gesetzliche Aufbewahrungspflichten bleiben unberührt.

11 Nachweise und Kontrolle

Auf Anfrage weisen wir dir die Einhaltung dieses Vertrags nach, in der Regel schriftlich. Kontrollen vor Ort stimmen wir vorher ab.

12 Schluss

Es gilt deutsches Recht. Im Übrigen gelten die AGB von Studio Pro. Beim Schutz der Klientendaten geht dieser Vertrag den AGB vor.

Anlage 1 Technische und organisatorische Maßnahmen (Kurzfassung)

• Rechenzentren in der EU: Datenbank und Server-Funktionen in AWS eu-west-1 (EU), gemessen 28.09.2026.
• Übertragung nur verschlüsselt (HTTPS/TLS). Die Datenbank ist beim Anbieter verschlüsselt gespeichert.
• Zeilenweise Zugriffsregeln (RLS): Jedes Konto sieht nur die eigenen Klientendaten.
• Keine Weitergabe an Marketing- oder Newsletter-Dienste. Brevo versendet für Lernende nur die Mails zur Anmeldung.
• Kurs-Videos werden nur über zeitlich begrenzte, signierte Abspiel-Links ausgeliefert.
• Zugriffe mit Admin-Rechten nur serverseitig, nicht aus dem Browser.
• Löschung beim Löschen des Kontakts sofort, beim Löschen des Kontos vollständig.

Anlage 2 Unterauftragsverarbeiter (geprüft im Code und in den Verträgen der Anbieter, 28.09.2026; Kurse ergänzt 13.10.2026; Termine und Kurs-Mails ergänzt 15.10.2026)

Google-Calendar (optional). Verknüpfst du deinen Google-Kalender mit der Funktion „Termine“, tragen wir Termine in deinem Auftrag in dein Google-Konto ein; dafür gilt dein eigener Vertrag mit Google.

Zu Anthropic nach dessen aktuellen Bedingungen:

• Speicherdauer: Eingaben und Antworten der Schnittstelle (API) werden innerhalb von 30 Tagen automatisch gelöscht (Stand 01.07.2026). Ausnahmen: bei einem Verstoß gegen die Nutzungsrichtlinien bis zu 2 Jahre (Bewertungen der Sicherheitsprüfung bis zu 7 Jahre), sowie soweit gesetzlich vorgeschrieben.
• Kein Training: Eingaben und Antworten aus der Schnittstelle werden standardmäßig nicht zum Training von Modellen verwendet (Stand 18.08.2026). Wir haben dem nicht zugestimmt.

Nicht mit Klientendaten: Brevo (deine eigenen Kontodaten; bei Kursen und bei der Funktion „Termine“ nur die zugehörigen Mails), Bunny (nur Kurs-Videos), Stripe (nur Zahlung), AWS SES (nur Kurs-Mails an Lernende, kein Zugriff auf Klienten-, Buchungs- oder Kontodaten). Anthropic erhält keine Daten der Lernenden, keine Kurs-Videos und keine Namen oder Kontaktdaten aus Terminbuchungen; bei eingeschalteter KI-Vorqualifizierung in der Funktion „Termine“ nur die freiwilligen Vor-Antworten der buchenden Person.