Rechtliches
Der vollständige Vertragstext zur Auftragsverarbeitung nach Art. 28 DSGVO, den Sie als Verantwortlicher mit nutriam abschließen. Die Zustimmung erfolgt nachweisbar im Onboarding, bevor Sie echte Endkundendaten verarbeiten.
Dieser Vertrag wird mit Ihrer Bestätigung im Onboarding Bestandteil Ihres Nutzungsvertrags. Für Gesundheitsdaten Ihrer Endkund:innen (Art. 9 DSGVO) benötigen Sie als Verantwortlicher eine gültige Rechtsgrundlage, in der Regel deren ausdrückliche Einwilligung.
Dieser Auftragsverarbeitungsvertrag („AVV") wird geschlossen zwischen Ihnen als Kunde (Coach bzw. Praxis) — nachfolgend „Verantwortlicher" — und dem Anbieter nutriam UG (haftungsbeschränkt), Dülkener Straße 160, 41747 Viersen — nachfolgend „Anbieter" bzw. „Auftragsverarbeiter".
Sie sind Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die Daten Ihrer Endkund:innen und bleiben für die Rechtmäßigkeit der Verarbeitung verantwortlich — insbesondere für eine gültige Rechtsgrundlage nach Art. 6 DSGVO sowie, bei Gesundheitsdaten und anderen besonderen Kategorien, nach Art. 9 Abs. 2 DSGVO (in der Regel die ausdrückliche Einwilligung der Endkund:innen). Der Anbieter verarbeitet personenbezogene Daten ausschließlich als Auftragsverarbeiter nach Art. 28 DSGVO.
Der AVV wird mit Ihrer Bestätigung im Onboarding wirksam und ist Bestandteil des Nutzungsvertrags (Hauptvertrag).
Gegenstand, Art, Zweck, Datenarten und Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1. Der Anbieter verarbeitet personenbezogene Daten ausschließlich zur Erbringung der im Hauptvertrag vereinbarten SaaS-Leistung und nicht für eigene Zwecke.
Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags. Pflichten, die ihrer Natur nach fortbestehen (insbesondere Löschung/Rückgabe und Vertraulichkeit), gelten über das Vertragsende hinaus.
Der Anbieter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, er ist nach Unionsrecht oder deutschem Recht zur Verarbeitung verpflichtet; in diesem Fall teilt er dies vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
Die initiale Weisung ergibt sich aus Hauptvertrag, Leistungsbeschreibung und diesem AVV. Einzelweisungen bedürfen mindestens der Textform. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.
Der Anbieter erfüllt insbesondere die folgenden Pflichten:
Der Anbieter setzt die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen (TOMs) um und hält sie auf dem Stand der Technik. Wesentliche nachteilige Änderungen werden vorab mitgeteilt. Die Maßnahmen dürfen fortentwickelt werden, solange das vereinbarte Schutzniveau nicht unterschritten wird.
Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung zum Einsatz der in Anlage 3 gelisteten Unterauftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO). Der Anbieter informiert mindestens 30 Tage vor Hinzunahme oder Wechsel eines Unterauftragsverarbeiters in Textform; der Verantwortliche kann aus wichtigem, datenschutzbezogenem Grund widersprechen.
Der Anbieter verpflichtet jeden Unterauftragsverarbeiter auf ein im Wesentlichen gleichwertiges Datenschutzniveau (Art. 28 Abs. 4 DSGVO). Drittlandübermittlungen werden durch geeignete Garantien nach Kapitel V DSGVO abgesichert (Angemessenheitsbeschluss, insb. EU-US Data Privacy Framework, und/oder EU-Standardvertragsklauseln), siehe Anlage 3.
Der Anbieter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Art. 12–22 DSGVO). Direkt an den Anbieter gerichtete Betroffenenanfragen zu Daten des Verantwortlichen werden nicht selbst beantwortet, sondern unverzüglich weitergeleitet.
Der Anbieter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit verfügbar, und unterstützt bei Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).
Nach Beendigung des Hauptvertrags stellt der Anbieter für 30 Tage einen strukturierten Datenexport (CSV, JSON) bereit. Anschließend werden die im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben (Art. 28 Abs. 3 lit. g DSGVO), sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
Gesetzliche Aufbewahrungspflichten (z. B. § 147 AO, § 257 HGB) bleiben unberührt; entsprechende Daten (insbesondere Rechnungsbelege) werden getrennt weiterverarbeitet und nach Fristablauf gelöscht. Backups verlassen das Point-in-Time-Restore-Fenster spätestens nach 30 Tagen.
Der Anbieter weist die Einhaltung seiner Pflichten primär durch eine Beschreibung der eigenen TOMs (Anlage 2) sowie durch aktuelle Zertifikate und Testate seiner Unterauftragsverarbeiter nach (z. B. ISO 27001, SOC 1/2/3, BSI C5 für Microsoft Azure; PCI-DSS für Stripe). Reichen diese im Einzelfall nicht aus, ermöglicht der Anbieter nach angemessener Vorankündigung Überprüfungen durch den Verantwortlichen oder eine:n zur Vertraulichkeit verpflichtete:n Prüfer:in.
Der Anbieter haftet unbeschränkt für Vorsatz und grobe Fahrlässigkeit, für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, nach dem Produkthaftungsgesetz sowie im Umfang übernommener Garantien. Die Haftung nach Art. 82 DSGVO gegenüber betroffenen Personen bleibt unberührt.
Bei einfacher Fahrlässigkeit haftet der Anbieter nur bei Verletzung einer wesentlichen Vertragspflicht (Kardinalpflicht), begrenzt auf den vertragstypischen, vorhersehbaren Schaden, höchstens jedoch auf die im betreffenden Vertragsjahr gezahlte Netto-Jahresvergütung.
Die Haftung für mittelbare Schäden und entgangenen Gewinn ist bei einfacher Fahrlässigkeit ausgeschlossen. Für den Verlust von Daten ist die Haftung auf den Wiederherstellungsaufwand begrenzt, der bei ordnungsgemäßer, regelmäßiger Datensicherung auch bei Wiederherstellung aus der letzten Sicherung entstanden wäre. Im Übrigen ist die Haftung ausgeschlossen.
Änderungen bedürfen der Textform. Bei Widersprüchen zwischen Hauptvertrag und diesem AVV gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor. Es gilt deutsches Recht; Gerichtsstand richtet sich nach dem Hauptvertrag. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.
Zuständige Aufsichtsbehörde des Anbieters: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf.
Gegenstand: Betrieb der nutriam-SaaS-Plattform für Praxismanagement, Ernährungsberatung und aktives Kundenportal im Auftrag des Verantwortlichen. Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Auslesen, Verwenden, Übermitteln innerhalb der Plattform, Einschränken und Löschen.
Kategorien betroffener Personen: Endkund:innen des Verantwortlichen; dessen Mitarbeitende/Coaches; ggf. Interessent:innen. Ort der Verarbeitung: Rechenzentren innerhalb der EU (Microsoft Azure, Region Germany West Central / Frankfurt; EU-Datengrenze für die KI-Bildanalyse; Datenlokation Deutschland für die Videoberatung), ergänzt um die in Anlage 3 genannten Übermittlungen.
Der aktuelle Stand entspricht der öffentlichen TOM-Übersicht unter /auftragsverarbeitung. Kernpunkte:
Maßgeblich ist die jeweils aktuelle Subprozessoren-Anlage; diese öffentliche Fassung wird bei wesentlichen Änderungen aktualisiert.
Zur KI-Bildanalyse (Azure OpenAI): Das Limited-Access-Opt-in „Modified Abuse Monitoring“ ist für den Anbieter nicht erreichbar; es gilt die dokumentierte, von der Geschäftsführung freigegebene Risikoakzeptanz (2026-08-31, Auflagen A1–A6). Microsoft speichert nur von automatischen Filtern als auffällig eingestufte Eingaben, zeitlich begrenzt innerhalb der EU; menschliche Prüfung nur im Ausnahmefall durch autorisiertes Personal im EWR. Details stellt der Anbieter auf Anfrage bereit (Art. 28 Abs. 3 lit. f). — Zur Videoberatung (Azure Communication Services): Ruhende Daten liegen in Deutschland; Signalisierung und Medienpfade können jedoch andere Regionen berühren, und der Dienst bietet keine Ende-zu-Ende-Verschlüsselung. Es gilt die dokumentierte, von der Geschäftsführung freigegebene Risikoakzeptanz (2026-08-31, Auflagen A1–A8). Gesprächsinhalte werden ohne Aufzeichnung und Transkription nicht gespeichert.
Wir führen jede Fassung dieses Vertrags mit Datum und Kennung. Klarstellungen und Aktualisierungen der Anlagen führen wir über den in Ziffer 5 (TOMs) und Ziffer 6 (Unterauftragsverarbeiter) vereinbarten Mitteilungs- und Widerspruchsweg ein; eine bereits erteilte Zustimmung zu einer früheren Fassung gilt in diesen Fällen fort. Solche Änderungen führen wir hier auf, ohne Sie dafür zu unterbrechen.
Ändert sich Wesentliches an der Verarbeitung oder am Vertragskern (Pflichten, Haftung, Weisungsrecht), bitten wir Sie aktiv um erneute Bestätigung im Produkt.
Welche Fassung Sie wann bestätigt haben, sehen Sie in Ihrem Arbeitsbereich unter Verwaltung, Rechtliches. Fragen zu einer Änderung oder Widerspruch aus wichtigem datenschutzbezogenem Grund (Ziffer 6): datenschutz@nutriam.app.