Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten bei Bereitstellung der zenyogi-Software: gehostete Studio-Website, Stundenplan, Buchung, Warteliste, Mitglieder- und Lehrendenverwaltung, E-Mail, Shop, Videos, Challenges und damit verbundene Zahlungsabwicklung.

Die Dauer entspricht der Nutzung von zenyogi durch das Studio zuzüglich der Frist zur Löschung oder Rückgabe nach Vertragsende.

§ 2 Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Auftrag und nach dokumentierter Weisung des Studios, damit das Studio seine Website betreiben, Kurse verkaufen, Buchungen führen und mit Schülerinnen und Schülern kommunizieren kann.

Eigene Zwecke des Auftragsverarbeiters (z. B. Abrechnung des Studio-Kontos gegenüber zenyogi) sind nicht Gegenstand dieses AVV.

§ 3 Art der Daten und Kategorien Betroffener

Betroffene Personen und Datenarten ergeben sich aus Anlage A.

§ 4 Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, einschließlich zur Übermittlung in ein Drittland, es sei denn, das Unionsrecht oder das Recht eines Mitgliedstaats verlangt dies.

Weisungen erfolgen über die Software, per E-Mail an die im Impressum genannte Adresse oder in diesem AVV. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das dem Studio unverzüglich mit.

§ 5 Vertraulichkeit

Personen, die auf die Daten zugreifen können, sind zur Vertraulichkeit verpflichtet und dürfen Daten nur verarbeiten, soweit das für ihre Aufgabe nötig ist.

§ 6 Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die aktuellen Maßnahmen stehen in Anlage B. Wesentliche Verschlechterungen teilt er dem Studio mit.

§ 7 Unterauftragsverarbeiter

Das Studio erteilt die allgemeine Genehmigung, die in Anlage C genannten Unterauftragsverarbeiter einzusetzen.

Neue oder ersetzte Unterauftragsverarbeiter kündigt zenyogi mindestens 14 Tage vorher auf der AVV-Seite oder per E-Mail an. Das Studio kann aus berechtigten datenschutzrechtlichen Gründen widersprechen. Ohne Widerspruch gilt die Änderung als genehmigt.

Mit Unterauftragsverarbeitern werden Verträge geschlossen, die denselben Datenschutzpflichten entsprechen. Stripe, PayPal und SumUp werden nur genutzt, wenn das Studio sie verbindet; deren eigene AVV gelten zusätzlich.

§ 8 Betroffenenrechte

Der Auftragsverarbeiter unterstützt das Studio mit geeigneten technischen und organisatorischen Maßnahmen, Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen, soweit das in der Software möglich ist (einschließlich Export und Löschung über das Studio-Konto).

§ 9 Unterstützung bei Art. 32 bis 36 DSGVO

Der Auftragsverarbeiter unterstützt das Studio bei Sicherheit, Meldung von Verletzungen, Benachrichtigung Betroffener und Datenschutz-Folgenabschätzungen, soweit die Informationen beim Auftragsverarbeiter liegen.

§ 10 Verletzung des Schutzes personenbezogener Daten

Eine Verletzung, die Daten dieses AVV betrifft, meldet der Auftragsverarbeiter dem Studio unverzüglich, sobald er davon Kenntnis hat, mit den Informationen, die das Studio für Art. 33 und 34 DSGVO braucht und die ihm vorliegen.

§ 11 Löschung und Rückgabe

Nach Ende der Verarbeitung löscht der Auftragsverarbeiter die Studio-Daten oder gibt sie nach Wahl des Studios heraus, soweit nicht Unionsrecht oder mitgliedstaatliches Recht eine Speicherung verlangt.

Das Studio kann Mitgliederdaten während der Laufzeit über die Konto-Funktionen exportieren und löschen lassen.

§ 12 Nachweis und Kontrollrechte

Der Auftragsverarbeiter stellt dem Studio die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses AVV nachzuweisen, und ermöglicht Überprüfungen, einschließlich Inspektionen, durch das Studio oder einen beauftragten Prüfer.

Prüfungen werden rechtzeitig angekündigt, stören den Betrieb nicht unverhältnismäßig und finden höchstens einmal jährlich statt, es sei denn, ein konkreter Anlass (etwa eine Verletzung) besteht. Vertraulichkeit und Betriebsgeheimnisse bleiben gewahrt.

§ 13 Drittlandtransfer

Der Auftragsverarbeiter hat seinen Sitz in den Vereinigten Staaten. Unterauftragsverarbeiter in Anlage C können Daten ebenfalls in den USA oder in anderen Drittländern verarbeiten.

Übermittlungen stützen sich auf einen Angemessenheitsbeschluss (einschließlich EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist) oder auf die Standardvertragsklauseln der Kommission (Beschluss 2021/914), Modul 2 und/oder Modul 3, zuzüglich geeigneter zusätzlicher Maßnahmen, soweit erforderlich.

Mit Nutzung von zenyogi weist das Studio den Auftragsverarbeiter an, diese Übermittlungen vorzunehmen, soweit sie für den Dienst nötig sind.

§ 14 Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und dem anwendbaren Recht. Der Auftragsverarbeiter haftet gegenüber dem Studio für Schäden, die durch eine gegen diesen AVV oder die DSGVO verstoßende Verarbeitung entstehen, soweit ihn ein Verschulden trifft.

§ 15 Laufzeit und Kündigung

Dieser AVV gilt, solange das Studio zenyogi nutzt, und endet automatisch mit dem Ende des Nutzungsvertrags, ohne die Pflichten zu Löschung, Vertraulichkeit und Nachweisen zu beenden, die ihrer Natur nach fortgelten.

§ 16 Schlussbestimmungen

Änderungen dieses AVV teilt zenyogi auf dieser Seite oder per E-Mail mit. Widerspricht das Studio nicht innerhalb von 14 Tagen aus datenschutzrechtlichen Gründen, gilt die neue Fassung.

Sollten einzelne Klauseln unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt die DSGVO. Soweit ergänzend nationales Recht nötig ist, gilt für Studios mit Niederlassung in der EU oder dem EWR deutsches Recht.

Diese Seite zeigt den AVV in der gewählten Sprache. Weicht eine Übersetzung ab, gilt für Studios in Deutschland oder Österreich die deutsche Fassung, sonst die englische.

Anlage A — Verarbeitung

Kategorien betroffener Personen: Schülerinnen und Schüler sowie sonstige Kundinnen und Kunden des Studios; Lehrende und Studio-Mitarbeitende, soweit das Studio sie in zenyogi anlegt; Notfallkontakte, soweit das Studio sie speichert.

Arten personenbezogener Daten: Name, E-Mail, Telefon, Anschrift, Geburtsdatum, Sprache, Marketing- und Erinnerungs-Opt-in, Waiver, Buchungen, Warteliste, Anwesenheit, Mitgliedschaften und Käufe, Notizen des Studios, Lehrerprofile und Zahlungsstatus. Kartennummern bleiben beim Zahlungsanbieter, den das Studio verbunden hat. Das Studio kann außerdem Bilder oder Videos speichern, auf denen Personen zu sehen sind.

Anlage B — Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter unterhält mindestens folgende Maßnahmen:

• Transportverschlüsselung (HTTPS/TLS) für die Anwendung
• Zugang nur für authentifizierte Studio-Konten; Rollen für Studio und Lehrende
• Trennung der Studio-Daten über die businessId in der Datenbank
• Verschlüsselung gespeicherter Daten bei den Hosting- und Datenbankanbietern, soweit der jeweilige Dienst das anbietet
• Regelmäßige Sicherungen über den Datenbankanbieter (Convex)
• Vertraulichkeitsverpflichtung der Personen mit Support-Zugang
• Export und Löschung von Mitgliederprofilen über das Studio-Konto
• Protokollierung sicherheitsrelevanter Vorgänge im üblichen Umfang der eingesetzten Dienste

Anlage C — Unterauftragsverarbeiter

Stand der Liste: 2026-08-25. Marketing-Tracker auf zenyogi.io (etwa Vercel Analytics oder Microsoft Clarity) verarbeiten keine Mitgliederdaten des Studios und sind nicht Gegenstand dieses AVV.

• Convex, Inc. — Datenbank, Backend-Funktionen und Authentifizierung. Ort: Vereinigte Staaten.
• Vercel Inc. — Hosting der Webanwendung und CDN. Ort: Vereinigte Staaten / globale Edge-Standorte.
• Cloudflare, Inc. — Objektspeicher (R2) für Bilder und Videos. Ort: Vereinigte Staaten / Cloudflare-Netzwerk.
• Resend, Inc. — Transaktions- und Studio-E-Mails. Ort: Vereinigte Staaten.
• Stripe, Inc. / Stripe Payments Europe, Ltd. — Kartenzahlungen, wenn das Studio Stripe verbindet. Ort: EU / Vereinigte Staaten. Nur wenn das Studio Stripe nutzt. Es gilt zusätzlich der Stripe-AVV.
• PayPal (Europe) S.à r.l. et Cie, S.C.A. / PayPal, Inc. — Zahlungen, wenn das Studio PayPal verbindet. Ort: EU / Vereinigte Staaten. Nur wenn das Studio PayPal nutzt. Es gilt zusätzlich der PayPal-AVV.
• SumUp Limited — Zahlungen, wenn das Studio SumUp verbindet. Ort: EU / Vereinigtes Königreich. Nur wenn die Plattform SumUp freigeschaltet hat und das Studio es nutzt.