Rechtliches
Diese Übersicht erläutert das Rollenmodell zwischen nutriam und seinen gewerblichen Kunden, die Einordnung als Auftragsverarbeitung nach Art. 28 DSGVO und die wichtigsten Unterauftragsverarbeiter. Sie ergänzt — und ersetzt nicht — die individuelle AVV vor Produktivnutzung.
Wichtig: Die hier veröffentlichte Übersicht ersetzt nicht die individuelle Auftragsverarbeitungsvereinbarung (AVV) nach Art. 28 DSGVO. Vor Verarbeitung echter Endkundendaten — insbesondere besonderer Kategorien nach Art. 9 DSGVO (Gesundheitsdaten) — sind AVV, TOMs und Subprozessoren-Anlage zwingend abzuschließen.
Diese öffentliche Übersicht erläutert das Rollenmodell zwischen dem Anbieter (nutriam) und seinen gewerblichen Kunden für die Verarbeitung personenbezogener Daten in der Plattform. Sie ergänzt — ersetzt aber nicht — die individuelle Auftragsverarbeitungsvereinbarung (AVV) nach Art. 28 DSGVO, die vor Produktivnutzung mit echten Endkundendaten zwingend vereinbart werden muss.
Maßgebliche Rechtsgrundlagen: Art. 28 DSGVO, § 62 BDSG (n.F.), Standardvertragsklauseln (SCC) der EU-Kommission gem. Durchführungsbeschluss (EU) 2021/914 für Drittlandtransfers sowie der EU-US Data Privacy Framework Beschluss vom 10.7.2023.
Für Kundenakten, Anamnesen, Bedarfsanalysen, Ernährungspläne, Check-ins, Verlaufsdaten, Termine, Aufgaben und vergleichbare Betreuungsdaten entscheidet das jeweilige Coach- oder Team-Unternehmen (im Folgenden „Tenant") über Zwecke und Mittel der Verarbeitung. Damit ist der Tenant Verantwortlicher i.S.v. Art. 4 Nr. 7 DSGVO.
nutriam verarbeitet diese Daten ausschließlich auf dokumentierte Weisung des Tenants im Rahmen des SaaS-Plattformbetriebs und ist insoweit Auftragsverarbeiter nach Art. 28 DSGVO.
Nicht jede Datenverarbeitung rund um das Produkt fällt unter dieselbe AVV. Folgende Verarbeitungen erfolgen außerhalb der Auftragsverarbeitung in eigener Verantwortung:
Diese Abgrenzung ist in Verträgen und Datenschutzhinweisen konsistent abzubilden und wirkt sich u.a. auf die Rechtsgrundlagen, Speicherdauer und Empfänger aus.
Im Rahmen der Auftragsverarbeitung verarbeitet nutriam für den Tenant insbesondere folgende Kategorien:
Betroffene Personen sind die Endkund:innen des Tenants (also die vom Coach betreuten Personen), seine Mitarbeitenden sowie ggf. Interessent:innen.
nutriam verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Tenants. Die initiale Weisung ergibt sich aus dem Vertrag und der Leistungsbeschreibung; abweichende Weisungen bedürfen der Textform.
nutriam unterstützt den Tenant bei der Wahrnehmung von Betroffenenrechten (Art. 12–22 DSGVO), bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO), bei der Einhaltung von Sicherheitspflichten (Art. 32 DSGVO) und bei Meldungen von Datenschutzverletzungen (Art. 33, 34 DSGVO) — Details regelt die individuelle AVV.
Sämtliche Mitarbeitenden sind auf das Datengeheimnis und die Vertraulichkeit verpflichtet (§ 53 BDSG, Art. 28 Abs. 3 lit. b DSGVO).
Nachfolgende Liste entspricht dem aktuellen Produktivstand des Plattformbetriebs. Maßgeblich ist die jeweils aktuelle Subprozessoren-Anlage zum individuellen Vertrag — diese öffentliche Übersicht wird bei wesentlichen Änderungen aktualisiert.
Für jeden Subprozessor liegt ein Vertrag nach Art. 28 Abs. 4 DSGVO mit gleichwertigem Schutzniveau vor (Microsoft DPA, Stripe DPA, sonstige spezifische AVV).
Die Plattformkomponenten (Container Apps, Static Web Apps) und die Datenbank (Azure Database for PostgreSQL Flexible Server) laufen in der Region germanywestcentral (Frankfurt); die KI-Bildauswertung nutzt eine Ressource in germanywestcentral (Frankfurt) und wird innerhalb der EU-Datengrenze verarbeitet. Alle zentralen Datenflüsse bleiben damit innerhalb der EU/EFTA.
Eine Datenübermittlung in Drittländer kann jedoch nicht ausgeschlossen werden — insbesondere können Microsoft-Konzerngesellschaften in den USA für Support- und Telemetriezwecke Zugriff erhalten; Stripe Inc. (USA) verarbeitet im Rahmen der Zahlungsabwicklung Daten in den USA. Für solche Drittlandtransfers stützt sich nutriam auf:
nutriam setzt nach Art. 32 DSGVO geeignete TOMs ein, um ein dem Risiko angemessenes Schutzniveau für besondere Datenkategorien (insb. Gesundheitsdaten nach Art. 9 DSGVO) sicherzustellen. Die konkrete Ausgestaltung wird in einer eigenen Anlage zur AVV dokumentiert; im Folgenden der Stand des Produktivbetriebs:
Support- oder Administrationszugriffe auf Tenant-Daten erfolgen anlassbezogen und mit nachvollziehbarem Zweck. Impersonationszugriffe (Support im Kontext eines Tenants) werden serverseitig auditiert.
Ein formalisiertes Break-Glass-Verfahren für kritische Notfälle wird derzeit dokumentiert und vor Produktivnutzung mit echten Endkundendaten finalisiert.
Nach Beendigung des Hauptvertrags stellt nutriam dem Tenant für 30 Tage einen strukturierten Datenexport (CSV, JSON) zur Verfügung. Auf Wunsch des Tenants werden alle verarbeiteten Daten anschließend gelöscht oder zurückgegeben (Art. 28 Abs. 3 lit. g DSGVO).
Eine darüber hinaus reichende Aufbewahrung erfolgt nur, soweit gesetzliche Aufbewahrungspflichten (z.B. §§ 147 AO, 257 HGB) entgegenstehen — diese Daten werden separat gespeichert und nach Fristablauf gelöscht.
nutriam informiert den Tenant rechtzeitig über die geplante Hinzunahme oder Ablösung von Subprozessoren — der Tenant kann der Änderung aus wichtigem Grund widersprechen.
Die jeweils aktuelle Subprozessoren-Liste wird im Tenant-Admin-Bereich bereitgestellt und kann auf Wunsch per E-Mail-Benachrichtigung abonniert werden.
Die individuelle AVV samt TOMs und Subprozessoren-Anlage ist Voraussetzung für die Produktivnutzung mit echten Kunden-, Gesundheits- oder Verlaufsdaten. Ohne wirksame AVV dürfen besondere Datenkategorien nach Art. 9 DSGVO nicht im Tenant verarbeitet werden.
Für Datenschutzfragen gilt der benannte Kontakt aus Vertrag oder Datenschutzhinweisen.
Den vollständigen Vertragstext finden Sie in der Vollfassung des Auftragsverarbeitungsvertrags (AVV). Kunden schließen ihn im Onboarding nachweisbar ab, bevor echte Endkundendaten verarbeitet werden.