Auftragsverarbeitungsvertrag (AVV)

Parteien und Rollen

Dieser Auftragsverarbeitungsvertrag („AVV") wird geschlossen zwischen Ihnen als Kunde (Coach bzw. Praxis) — nachfolgend „Verantwortlicher" — und dem Anbieter nutriam UG (haftungsbeschränkt), Dülkener Straße 160, 41747 Viersen — nachfolgend „Anbieter" bzw. „Auftragsverarbeiter".

Sie sind Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die Daten Ihrer Endkund:innen und bleiben für die Rechtmäßigkeit der Verarbeitung verantwortlich — insbesondere für eine gültige Rechtsgrundlage nach Art. 6 DSGVO sowie, bei Gesundheitsdaten und anderen besonderen Kategorien, nach Art. 9 Abs. 2 DSGVO (in der Regel die ausdrückliche Einwilligung der Endkund:innen). Der Anbieter verarbeitet personenbezogene Daten ausschließlich als Auftragsverarbeiter nach Art. 28 DSGVO.

Der AVV wird mit Ihrer Bestätigung im Onboarding wirksam und ist Bestandteil des Nutzungsvertrags (Hauptvertrag).

1. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand, Art, Zweck, Datenarten und Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1. Der Anbieter verarbeitet personenbezogene Daten ausschließlich zur Erbringung der im Hauptvertrag vereinbarten SaaS-Leistung und nicht für eigene Zwecke.

2. Dauer

Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags. Pflichten, die ihrer Natur nach fortbestehen (insbesondere Löschung/Rückgabe und Vertraulichkeit), gelten über das Vertragsende hinaus.

3. Weisungsrecht des Verantwortlichen

Der Anbieter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, er ist nach Unionsrecht oder deutschem Recht zur Verarbeitung verpflichtet; in diesem Fall teilt er dies vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

Die initiale Weisung ergibt sich aus Hauptvertrag, Leistungsbeschreibung und diesem AVV. Einzelweisungen bedürfen mindestens der Textform. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.

4. Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 DSGVO)

Der Anbieter erfüllt insbesondere die folgenden Pflichten:

• Verarbeitung nur auf dokumentierte Weisung (Ziffer 3)
• Verpflichtung der befugten Personen auf Vertraulichkeit
• Umsetzung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage 2)
• Einhaltung der Bedingungen für Unterauftragsverarbeiter (Ziffer 6)
• Unterstützung bei Anträgen betroffener Personen (Ziffer 7)
• Unterstützung bei Art. 32–36 DSGVO (Sicherheit, Meldung, Datenschutz-Folgenabschätzung)
• Löschung oder Rückgabe nach Wahl des Verantwortlichen (Ziffer 9)
• Bereitstellung der Nachweise und Ermöglichung von Überprüfungen (Ziffer 10)

5. Technisch-organisatorische Maßnahmen

Der Anbieter setzt die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen (TOMs) um und hält sie auf dem Stand der Technik. Wesentliche nachteilige Änderungen werden vorab mitgeteilt. Die Maßnahmen dürfen fortentwickelt werden, solange das vereinbarte Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung zum Einsatz der in Anlage 3 gelisteten Unterauftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO). Der Anbieter informiert mindestens 30 Tage vor Hinzunahme oder Wechsel eines Unterauftragsverarbeiters in Textform; der Verantwortliche kann aus wichtigem, datenschutzbezogenem Grund widersprechen.

Der Anbieter verpflichtet jeden Unterauftragsverarbeiter auf ein im Wesentlichen gleichwertiges Datenschutzniveau (Art. 28 Abs. 4 DSGVO). Drittlandübermittlungen werden durch geeignete Garantien nach Kapitel V DSGVO abgesichert (Angemessenheitsbeschluss, insb. EU-US Data Privacy Framework, und/oder EU-Standardvertragsklauseln), siehe Anlage 3.

7. Unterstützung bei Betroffenenrechten

Der Anbieter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Art. 12–22 DSGVO). Direkt an den Anbieter gerichtete Betroffenenanfragen zu Daten des Verantwortlichen werden nicht selbst beantwortet, sondern unverzüglich weitergeleitet.

8. Meldung von Verletzungen des Datenschutzes

Der Anbieter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit verfügbar, und unterstützt bei Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).

9. Löschung und Rückgabe

Nach Beendigung des Hauptvertrags stellt der Anbieter für 30 Tage einen strukturierten Datenexport (CSV, JSON) bereit. Anschließend werden die im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben (Art. 28 Abs. 3 lit. g DSGVO), sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

Gesetzliche Aufbewahrungspflichten (z. B. § 147 AO, § 257 HGB) bleiben unberührt; entsprechende Daten (insbesondere Rechnungsbelege) werden getrennt weiterverarbeitet und nach Fristablauf gelöscht. Backups verlassen das Point-in-Time-Restore-Fenster spätestens nach 30 Tagen.

10. Nachweise und Überprüfungen

Der Anbieter weist die Einhaltung seiner Pflichten primär durch eine Beschreibung der eigenen TOMs (Anlage 2) sowie durch aktuelle Zertifikate und Testate seiner Unterauftragsverarbeiter nach (z. B. ISO 27001, SOC 1/2/3, BSI C5 für Microsoft Azure; PCI-DSS für Stripe). Reichen diese im Einzelfall nicht aus, ermöglicht der Anbieter nach angemessener Vorankündigung Überprüfungen durch den Verantwortlichen oder eine:n zur Vertraulichkeit verpflichtete:n Prüfer:in.

11. Haftung

Der Anbieter haftet unbeschränkt für Vorsatz und grobe Fahrlässigkeit, für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, nach dem Produkthaftungsgesetz sowie im Umfang übernommener Garantien. Die Haftung nach Art. 82 DSGVO gegenüber betroffenen Personen bleibt unberührt.

Bei einfacher Fahrlässigkeit haftet der Anbieter nur bei Verletzung einer wesentlichen Vertragspflicht (Kardinalpflicht), begrenzt auf den vertragstypischen, vorhersehbaren Schaden, höchstens jedoch auf die im betreffenden Vertragsjahr gezahlte Netto-Jahresvergütung.

Die Haftung für mittelbare Schäden und entgangenen Gewinn ist bei einfacher Fahrlässigkeit ausgeschlossen. Für den Verlust von Daten ist die Haftung auf den Wiederherstellungsaufwand begrenzt, der bei ordnungsgemäßer, regelmäßiger Datensicherung auch bei Wiederherstellung aus der letzten Sicherung entstanden wäre. Im Übrigen ist die Haftung ausgeschlossen.

12. Schlussbestimmungen

Änderungen bedürfen der Textform. Bei Widersprüchen zwischen Hauptvertrag und diesem AVV gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor. Es gilt deutsches Recht; Gerichtsstand richtet sich nach dem Hauptvertrag. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Zuständige Aufsichtsbehörde des Anbieters: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf.

Anlage 1 — Beschreibung der Verarbeitung

Gegenstand: Betrieb der nutriam-SaaS-Plattform für Praxismanagement, Ernährungsberatung und aktives Kundenportal im Auftrag des Verantwortlichen. Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Auslesen, Verwenden, Übermitteln innerhalb der Plattform, Einschränken und Löschen.

Kategorien betroffener Personen: Endkund:innen des Verantwortlichen; dessen Mitarbeitende/Coaches; ggf. Interessent:innen. Ort der Verarbeitung: Rechenzentren innerhalb der EU (Microsoft Azure, Region Germany West Central / Frankfurt; EU-Datengrenze für die KI-Bildanalyse; Datenlokation Deutschland für die Videoberatung), ergänzt um die in Anlage 3 genannten Übermittlungen.

• Zwecke: Kundenakte/Anamnese/Beratung; Labor- und Messwerte in der Kundenakte (der Verantwortliche trägt Befundwerte seiner Endkund:innen mit dem Referenzbereich laut Befund ein und gibt je Wert frei, ob die Endkund:in ihn im Kundenportal sieht; der Anbieter speichert die Werte und stellt sie im Zeitverlauf dar, bewertet sie nicht und leitet keine Maßnahmen ab; eine KI-Verarbeitung nur beim KI-Import von Laborbefunden); Ernährungstagebuch/Food-Tracking; KI-Foto-Food-Tracking; KI-Import handschriftlicher Ernährungsprotokolle durch den Verantwortlichen im Beraterportal (die Datei, Foto oder PDF, wird vom Anbieter nicht gespeichert; verfügbar, solange die KI-Funktionen für den Verantwortlichen eingeschaltet sind, was der Standard ist; auf Wunsch des Verantwortlichen schaltet der Anbieter sie ab); KI-Import von Laborbefunden durch den Verantwortlichen im Beraterportal (der KI-Dienst überträgt Parameter, Werte, Einheiten, Referenzbereiche und Datum eines Befunds, PDF oder Foto, in Labor- und Messwerte der Kundenakte, ohne sie zu bewerten; gespeichert werden nur die vom Verantwortlichen geprüften Werte, die Datei wird vom Anbieter nicht gespeichert; verfügbar unter denselben Bedingungen wie der Import von Ernährungsprotokollen); KI-Rezeptimport durch den Verantwortlichen im Beraterportal (der KI-Dienst überträgt ein Rezept, Text, PDF oder Foto, in einen Rezeptentwurf für die Rezeptbibliothek des Verantwortlichen, ohne Bezug zu einer Endkund:in; gespeichert wird nur das vom Verantwortlichen geprüfte Rezept, die Datei wird vom Anbieter nicht gespeichert; verfügbar unter denselben Bedingungen wie der Import von Ernährungsprotokollen); Zustimmungen der Endkund:innen zu Texten des Verantwortlichen im Kundenportal (der Verantwortliche legt eigene Texte an, der Anbieter hält Fassung, Prüfsumme, Zeitpunkt und Ergebnis als Nachweis fest und stellt keine Mustertexte bereit); Dokumentenspeicher; Termine/Aufgaben/Check-ins/Kommunikation; Angebote & Endkunden-Rechnungen; auf ausdrückliche Freischaltung Videoberatung 1:1
• Stammdaten (Name, Kontaktdaten, ggf. Geburtsdatum)
• Besondere Kategorien nach Art. 9 DSGVO: Gesundheits- und Ernährungsdaten (Anamnese, Körpermaße, Labor- und Messwerte mit den Referenzbereichen laut Befund, Tagebuch-, Fortschritts-/Essensfotos, Fotos oder PDF-Dateien handschriftlicher Ernährungsprotokolle und von Laborbefunden, die nur zur Auswertung übermittelt und vom Anbieter nicht gespeichert werden, selbst erstellte Beratungsdokumente und -zusammenfassungen sowie interne Beratungsnotizen)
• Verlaufs-, Termin-, Aufgaben- und Kommunikationsdaten
• Vertrags- und Rechnungsdaten der Endkund:innen

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der aktuelle Stand entspricht der öffentlichen TOM-Übersicht unter /auftragsverarbeitung. Kernpunkte:

• Zugangs-/Zugriffskontrolle: Authentifizierung über Microsoft Entra External ID; rollenbasierte Zugriffskontrolle (RBAC, Least-Privilege); getrennte Admin-/Tenant-Rollen; MFA für administrative Verwaltungszugänge
• Mandantentrennung: serverseitig erzwungene tenant_id-Bindung (Row-Level Security, fail-closed); regelmäßige Cross-Tenant-Negativtests
• Verschlüsselung: AES-256 at rest (Azure-managed); TLS in transit inkl. HSTS und Content-Security-Policy
• Verfügbarkeit: Container-Apps mit Auto-Scaling/Health-Probes; PostgreSQL Point-in-Time-Restore (30 Tage); geo-redundante Backups ab GeneralPurpose-SKU
• Geheimnis-Management: Secrets in Azure Key Vault, getrennt nach Umgebung; keine Secrets im Anwendungscode
• Sichere Entwicklung: CI/CD über GitHub Actions mit OIDC; Dependabot- und gitleaks-Scans als CI-Gate
• Protokollierung: Sicherheits-Event-Logging; auditierte Support-/Impersonations-Zugriffe

Anlage 3 — Unterauftragsverarbeiter

Maßgeblich ist die jeweils aktuelle Subprozessoren-Anlage; diese öffentliche Fassung wird bei wesentlichen Änderungen aktualisiert.

• Microsoft (Azure Container Apps, Static Web Apps, PostgreSQL, Blob Storage, Entra External ID, Key Vault, Monitor/App Insights; Azure OpenAI/Vision für KI-Foto, Blattimport, Befundimport und Rezeptimport in Germany West Central mit EU-Datengrenze; Microsoft 365/Exchange Online für System-/Auth-Mails) — EU/EWR; Microsoft Products & Services DPA inkl. Standardvertragsklauseln, EU-US Data Privacy Framework
• Microsoft (Azure Communication Services für die Videoberatung 1:1, Datenlokation Deutschland) — nur für Mandanten, für die die Videoberatung ausdrücklich freigeschaltet ist; pseudonyme Identität je Termin, kein Klarname gegenüber dem Dienst, keine Aufzeichnung, keine Transkription; Microsoft Products & Services DPA inkl. Standardvertragsklauseln (2021/914)
• Stripe (Zahlungsabwicklung des SaaS-Abos zwischen Anbieter und Kunde; verarbeitet keine im Auftrag des Kunden verarbeiteten Endkundendaten und handelt für die Zahlungsabwicklung teilweise als eigenständig Verantwortlicher) — EU + USA; Stripe DPA inkl. Standardvertragsklauseln, EU-US Data Privacy Framework, PCI-DSS
• GitHub (Build-/Deploy-Pipeline) — USA; keine personenbezogenen Endkundendaten in der Pipeline

Zur KI-Bildanalyse (Azure OpenAI): Das Limited-Access-Opt-in „Modified Abuse Monitoring“ ist für den Anbieter nicht erreichbar; es gilt die dokumentierte, von der Geschäftsführung freigegebene Risikoakzeptanz (2026-08-31, Auflagen A1–A6). Microsoft speichert nur von automatischen Filtern als auffällig eingestufte Eingaben, zeitlich begrenzt innerhalb der EU; menschliche Prüfung nur im Ausnahmefall durch autorisiertes Personal im EWR. Details stellt der Anbieter auf Anfrage bereit (Art. 28 Abs. 3 lit. f). — Zur Videoberatung (Azure Communication Services): Ruhende Daten liegen in Deutschland; Signalisierung und Medienpfade können jedoch andere Regionen berühren, und der Dienst bietet keine Ende-zu-Ende-Verschlüsselung. Es gilt die dokumentierte, von der Geschäftsführung freigegebene Risikoakzeptanz (2026-08-31, Auflagen A1–A8). Gesprächsinhalte werden ohne Aufzeichnung und Transkription nicht gespeichert.

Änderungen dieses Vertrags

Wir führen jede Fassung dieses Vertrags mit Datum und Kennung. Klarstellungen und Aktualisierungen der Anlagen führen wir über den in Ziffer 5 (TOMs) und Ziffer 6 (Unterauftragsverarbeiter) vereinbarten Mitteilungs- und Widerspruchsweg ein; eine bereits erteilte Zustimmung zu einer früheren Fassung gilt in diesen Fällen fort. Solche Änderungen führen wir hier auf, ohne Sie dafür zu unterbrechen.

Ändert sich Wesentliches an der Verarbeitung oder am Vertragskern (Pflichten, Haftung, Weisungsrecht), bitten wir Sie aktiv um erneute Bestätigung im Produkt.

• Fassung vom 02.11.2026 (avv-2026-11-02): Anlage 1 um zwei Zwecke ergänzt, die bereits im Betrieb sind. Erstens der KI-Rezeptimport: Der Verantwortliche lädt im Beraterportal ein Rezept als Text, PDF oder Foto hoch, der KI-Dienst überträgt daraus Titel, Portionen, Zutaten mit Mengen und Zubereitungsschritte in einen Rezeptentwurf; die Nährwerte kommen aus der Lebensmitteldatenbank, nicht vom Modell. Das Rezept gehört zur Rezeptbibliothek des Verantwortlichen und hat keinen Bezug zu einer Endkund:in; Unterlagen mit Daten von Endkund:innen sind nicht vorgesehen. Gespeichert wird nur das vom Verantwortlichen geprüfte Rezept, die Datei wird vom Anbieter nicht gespeichert; daneben hält der Anbieter Nutzungsdaten ohne Datei- oder Ergebnisinhalt fest. Verfügbar unter denselben Bedingungen wie der Import von Ernährungsprotokollen. Zweitens Zustimmungen zu Texten des Verantwortlichen im Kundenportal: Der Verantwortliche legt eigene Texte an und schickt sie an Endkund:innen mit Portalzugang; der Anbieter hält Fassung, Prüfsumme, Zeitpunkt und Ergebnis (Zustimmung, Ablehnung, Lesebestätigung, Widerruf) als Nachweis fest und stellt keine Mustertexte bereit. Anlage 3 nennt Azure OpenAI auch für den Rezeptimport. Ein neuer Unterauftragsverarbeiter kommt nicht hinzu. Zustimmungen zur Fassung vom 03.09.2026 gelten fort.
• Fassung vom 20.10.2026 (avv-2026-10-20): Anlage 1 um den Zweck „KI-Import von Laborbefunden“ ergänzt: Der Verantwortliche lädt im Beraterportal das PDF oder Foto eines Laborbefunds hoch, der KI-Dienst überträgt Parameter, Werte, Einheiten, Referenzbereiche und Datum in Labor- und Messwerte der Kundenakte, ohne sie zu bewerten. Gespeichert werden nur die vom Verantwortlichen geprüften Werte; die Datei wird vom Anbieter nicht gespeichert. Daneben hält der Anbieter die Bestätigung des Verantwortlichen zur Einwilligung (Zeitpunkt, bestätigende Person, Fassung des Hinweises, Rücknahmen) und Nutzungsdaten ohne Datei- oder Ergebnisinhalt fest. Verfügbar unter denselben Bedingungen wie der Import von Ernährungsprotokollen. Anlage 1 nennt die Befunddateien bei den Datenarten nach Art. 9 DSGVO; Anlage 3 nennt Azure OpenAI auch für den Befundimport. Ein neuer Unterauftragsverarbeiter kommt nicht hinzu. Zustimmungen zur Fassung vom 03.09.2026 gelten fort.
• Fassung vom 14.10.2026 (avv-2026-10-14): Anlage 1 nennt Labor- und Messwerte in der Kundenakte jetzt ausdrücklich als Zweck und bei den Datenarten nach Art. 9 DSGVO: Der Verantwortliche trägt im Beraterportal Befundwerte seiner Endkund:innen ein (Parameter, Wert, Einheit, Messdatum, Quelle und Referenzbereich laut Befund, optional Notiz und Verweis auf den hochgeladenen Befund) und gibt je Wert frei, ob die Endkund:in ihn im Kundenportal sieht; Standard ist nicht freigegeben. Der Anbieter speichert die Werte und stellt sie im Zeitverlauf dar; er bewertet, interpretiert oder überwacht sie nicht und leitet keine Maßnahmen ab. Keine KI-Verarbeitung, kein neuer Unterauftragsverarbeiter; erfasst war die Verarbeitung schon als Teil der Kundenakte. Zustimmungen zur Fassung vom 03.09.2026 gelten fort.
• Fassung vom 07.10.2026 (avv-2026-10-07): Anlage 1 um den Zweck „KI-Import handschriftlicher Ernährungsprotokolle“ ergänzt: Der Verantwortliche lädt im Beraterportal das Foto oder die PDF-Datei eines Protokollblatts hoch, der KI-Dienst liest daraus unter anderem Datum, Uhrzeit, Lebensmittel und Mengen aus. Die Datei wird vom Anbieter nicht gespeichert; aus dem Blatt gespeichert werden nur die vom Verantwortlichen geprüften Tagebucheinträge. Daneben hält der Anbieter die Bestätigung des Verantwortlichen zur Einwilligung (Zeitpunkt, bestätigende Person, Fassung des Hinweises, Rücknahmen) und Nutzungsdaten ohne Bild- oder Ergebnisinhalt fest. Der Import ist verfügbar, solange die KI-Funktionen für den Verantwortlichen eingeschaltet sind, was der Standard ist; auf Wunsch des Verantwortlichen schaltet der Anbieter sie ab. Anlage 3 nennt Azure OpenAI deshalb für KI-Foto und Blattimport; ein neuer Unterauftragsverarbeiter kommt nicht hinzu. Zustimmungen zur Fassung vom 03.09.2026 gelten fort.
• Fassung vom 03.09.2026 (avv-2026-09-03, erneute Bestätigung erforderlich): Anlage 3 um Azure Communication Services erweitert, den Dienst hinter der Videoberatung 1:1. Er wird ausschließlich für Mandanten eingesetzt, für die die Videoberatung ausdrücklich freigeschaltet ist; ruhende Daten liegen in Deutschland, es gibt keine Aufzeichnung und keine Ende-zu-Ende-Verschlüsselung. Anlage 1 benennt außerdem selbst erstellte Beratungsdokumente und interne Beratungsnotizen jetzt ausdrücklich als Gesundheitsdaten nach Art. 9 DSGVO; erfasst waren sie schon vorher. Die Freischaltung der Videoberatung ist an eine Zustimmung zu genau dieser Fassung geknüpft.
• Fassung vom 01.09.2026 (avv-2026-09-01): Registergericht, Handelsregisternummer und Datenschutzkontakt im Anbieter-Block ergänzt; Anlage 3 präzisiert. Erstens die Rollen-Klarstellung zu Stripe: Stripe verarbeitet keine im Auftrag des Kunden verarbeiteten Endkundendaten, sondern ausschließlich Daten des SaaS-Vertragsverhältnisses, teils als eigenständig Verantwortlicher. Zweitens beschreibt der Hinweis zur KI-Bildanalyse jetzt die geltende, von der Geschäftsführung freigegebene Risikoakzeptanz statt eines für uns nicht erreichbaren Microsoft-Opt-ins. Zustimmungen zur Fassung vom 16.08.2026 gelten fort.
• Fassung vom 16.08.2026 (avv-2026-08-16, erneute Bestätigung erforderlich): Handelsregister-Eintragung (Amtsgericht Mönchengladbach, HRB 24351) nachgetragen; der Zusatz „i. Gr.“ entfiel.
• Fassung vom 13.08.2026 (avv-2026-08-13, erneute Bestätigung erforderlich): Pflicht-Rechtsformzusatz „(haftungsbeschränkt)“ ergänzt (§ 5a GmbHG).

Welche Fassung Sie wann bestätigt haben, sehen Sie in Ihrem Arbeitsbereich unter Verwaltung, Rechtliches. Fragen zu einer Änderung oder Widerspruch aus wichtigem datenschutzbezogenem Grund (Ziffer 6): datenschutz@nutriam.app.