Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 2026-10-26

Dieser Auftragsverarbeitungsvertrag gilt für Coaches, die SunCoach mit ihren Klienten nutzen. Er regelt, wie SunCoach die Klientendaten verarbeitet, die ein Coach in der App verwaltet, wie es Art. 28 der EU-Datenschutz-Grundverordnung (DSGVO) und Art. 9 des Schweizer Datenschutzgesetzes (revDSG) verlangen. Er ist für jedes Coach-Konto Bestandteil unserer Nutzungsbedingungen und steht neben unserer Datenschutzerklärung; für vom Coach verwaltete Daten ist dieser Vertrag massgeblich.

1. Parteien und Begriffe

Dieser Vertrag besteht zwischen dem Coach — der Person oder dem Unternehmen, die die Coach-Funktionen von SunCoach nutzen — und dem Betreiber von SunCoach (SunCoach):

• Klient: eine Person, die der Coach über SunCoach begleitet — mit eigenem App-Konto oder nur als Offline-Eintrag, den der Coach angelegt hat.
• Offline-Eintrag: ein Klientenprofil, das der Coach selbst anlegt und pflegt, für eine Person ohne App-Konto.
• Vom Coach verwaltete Daten: personenbezogene Daten, die der Coach für seine Praxis eingibt, erstellt oder von SunCoach verarbeiten lässt (Abschnitt 2).
• Personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, Verletzung des Schutzes personenbezogener Daten: wie in Art. 4 DSGVO und Art. 5 revDSG definiert.
• Unterauftragsverarbeiter: ein Anbieter, den SunCoach mit der Verarbeitung vom Coach verwalteter Daten beauftragt (Abschnitt 5).

2. Rollen

SunCoach ist für vom Coach verwaltete Daten Auftragsverarbeiter des Coaches und für das, was Klienten in ihre eigenen Konten eingeben, eigenständiger Verantwortlicher. Ein Klient mit App-Konto registriert sich direkt bei SunCoach, akzeptiert dessen Datenschutzerklärung und erteilt eine aufgezeichnete Einwilligung, bevor ein Coach seine Daten sieht; der Coach erhält diese Daten dann als eigener Verantwortlicher, für sein Coaching.

Der Coach ist dafür verantwortlich, für seine eigene Verarbeitung eine Rechtsgrundlage zu haben, einschliesslich einer ausdrücklichen Einwilligung für Gesundheitsdaten (Art. 9 Abs. 2 lit. a DSGVO, Art. 6 Abs. 7 revDSG) bei Offline-Einträgen, die er anlegt.

3. Gegenstand, Zweck und Daten

SunCoach hostet, speichert, zeigt und analysiert vom Coach verwaltete Daten, damit der Coach eine Ernährungsberatungspraxis führen kann — solange das Konto des Coaches besteht.

• Art der Verarbeitung: Speicherung, Abruf, Anzeige, Strukturierung, Übermittlung an die App des Klienten, Erstellung von PDFs und KI-Analyse, wenn der Coach sie anfordert (Sitzungsbriefings, Essenspläne, Leitfäden).
• Betroffene Personen: die Klienten des Coaches, einschliesslich Personen ohne App-Konto (Offline-Einträge).
• Datenkategorien: Name, E-Mail und Kontaktdaten; Alter, Geschlecht, Grösse, Gewicht; Ziele und Zielwerte; Mahlzeiten und Ernährungsprotokolle; Gewohnheiten; Körpermasse; Check-in-Antworten; Termindaten, Notizen, Honorare und Zahlungen; Rechnungsangaben.
• Besondere Kategorien: Gesundheitsdaten (Art. 9 DSGVO; besonders schützenswerte Personendaten, Art. 5 lit. c revDSG), einschliesslich Ernährungseinschränkungen, Schwangerschaft oder Stillzeit sowie Fortschrittsfotos des Körpers.
• Für den Coach nie verarbeitet: Fortschrittsfotos werden an keinen KI-Dienst gesendet, und Chatnachrichten werden weder von Coach AI noch für Sitzungsbriefings verwendet.
• Dauer: die Laufzeit dieses Vertrags (Abschnitt 10) zuzüglich der Löschfristen in Abschnitt 9.

4. Pflichten von SunCoach

SunCoach verarbeitet vom Coach verwaltete Daten nur auf dokumentierte Weisung des Coaches; diese besteht aus diesem Vertrag und der Nutzung der App durch den Coach.

1. Weisungen. Keine Verarbeitung zu anderen Zwecken. Scheint eine Weisung gegen Datenschutzrecht zu verstossen, informiert SunCoach den Coach unverzüglich.
2. Vertraulichkeit. Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet.
3. Sicherheit. Die Massnahmen in Anhang 1, während der Laufzeit mindestens auf diesem Niveau gehalten.
4. Unterauftragsverarbeiter. Nur gemäss Abschnitt 5, jeweils mit Pflichten, die nicht schwächer sind als diese.
5. Unterstützung. Bei Anfragen betroffener Personen (Abschnitt 8), Meldungen von Datenschutzverletzungen (Abschnitt 7) sowie Datenschutz-Folgenabschätzungen oder vorherigen Konsultationen, wenn der Coach sie benötigt.
6. Löschung oder Rückgabe am Ende, gemäss Abschnitt 9.
7. Informationen. Alles, was zum Nachweis der Einhaltung von Art. 28 DSGVO nötig ist, gemäss Abschnitt 10.
8. Verzeichnis. Ein Verzeichnis der für Coaches durchgeführten Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO, Art. 12 revDSG).

5. Unterauftragsverarbeiter

Der Coach genehmigt die unten aufgeführten Unterauftragsverarbeiter. SunCoach kündigt einen neuen mindestens 30 Tage im Voraus per E-Mail oder in der App an; der Coach kann in dieser Zeit widersprechen und, wenn keine Lösung gefunden wird, diesen Vertrag beenden.

RevenueCat sowie Apple und Google als App-Stores verarbeiten das eigene Abo des Coaches, keine Klientendaten, und sind von der Datenschutzerklärung erfasst. Open Food Facts ist kein Unterauftragsverarbeiter: Es erhält nur die Nummer eines gescannten Barcodes, nie personenbezogene Daten.

6. Übermittlungen ins Ausland

Datenbank und Dateispeicher werden in der EU (Irland) gehostet. Serverfunktionen laufen im Rechenzentrum von Supabase, das dem Aufrufer am nächsten liegt. Einige Unterauftragsverarbeiter haben ihren Sitz in den USA. Jede Übermittlung dorthin stützt sich auf das EU-US Data Privacy Framework bzw. dessen Erweiterung für die Schweiz, sofern der Anbieter zertifiziert ist, und andernfalls auf die Standardvertragsklauseln der Europäischen Kommission (vom EDÖB anerkannt) mit den ergänzenden Massnahmen des Anbieters.

Der Coach kann für jeden Unterauftragsverarbeiter eine Kopie der Garantien verlangen.

7. Verletzungen des Schutzes personenbezogener Daten

SunCoach informiert den Coach unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, über jede Verletzung, die vom Coach verwaltete Daten betrifft. Damit bleibt dem Coach Zeit für die eigene Meldung an eine Aufsichtsbehörde innerhalb von 72 Stunden (Art. 33 DSGVO) oder die Meldung «so rasch als möglich» an den EDÖB (Art. 24 revDSG).

Die Meldung enthält, soweit dann bekannt: was geschehen ist, welche Daten und ungefähr wie viele Personen betroffen sind, die wahrscheinlichen Folgen, was SunCoach getan hat und empfiehlt, sowie eine Kontaktstelle. SunCoach ergänzt sie, sobald mehr bekannt ist.

8. Anfragen von Klienten

Der Coach beantwortet Anfragen seiner Klienten zu vom Coach verwalteten Daten; SunCoach unterstützt ihn dabei. Eine Anfrage, die bei SunCoach eingeht, aber die Verarbeitung des Coaches betrifft, wird innerhalb von 5 Arbeitstagen unbeantwortet an den Coach weitergeleitet.

Die meisten Anfragen kann der Coach in der App erledigen:

• Berichtigung: Notizen, Masse, Termine, Check-in-Einstellungen und Offline-Einträge kann der Coach bearbeiten.
• Löschung: Der Coach kann Notizen, Seiten, Termine, Masse und einen Offline-Eintrag mit allem, was darin steht, löschen.
• Ende der Zusammenarbeit: Trennt sich ein Klient, endet der Zugriff des Coaches auf seine erfassten Daten sofort; Fortschrittsfotos sind für den Coach umgehend nicht mehr sichtbar.

Wo die App keine Funktion dafür hat (etwa einen vollständigen Export der vom Coach verwalteten Daten eines Klienten), stellt SunCoach sie auf Anfrage innerhalb von 30 Tagen kostenlos bereit.

9. Löschung und Rückgabe

Löscht der Coach sein Konto, löscht SunCoach die vom Coach verwalteten Daten sofort: Offline-Einträge mit allem, was darin steht, Notizen und Notizbuchseiten samt Dateien, Termine, Pakete, Rechnungen, Check-in-Formulare, Vorlagen, gespeicherte Antworten und das Logo der Praxis. Klienten mit eigenem Konto behalten ihr Konto und das, was sie erfasst haben.

Vor dem Löschen kann der Coach seine Einnahmen exportieren (CSV oder PDF) und jedes PDF speichern, das die App erstellt. Auf Anfrage vor der Löschung gibt SunCoach die vom Coach verwalteten Daten innerhalb von 30 Tagen in einem maschinenlesbaren Format zurück.

Kopien in den Backups der Anbieter verfallen mit deren Aufbewahrungsfrist. SunCoach behält nichts, was nicht gesetzlich aufbewahrt werden muss.

10. Audits, Haftung, Laufzeit und Recht

• Informationen und Audits. SunCoach beantwortet schriftliche Fragen des Coaches zu seiner Verarbeitung innerhalb von 30 Tagen und teilt Zertifizierungen und Berichte seiner Unterauftragsverarbeiter, soweit diese es erlauben. Ein Audit vor Ort ist einmal jährlich möglich, mit 30 Tagen Vorankündigung, auf Kosten des Coaches und unter Vertraulichkeit.
• Haftung. Gemäss den Nutzungsbedingungen, ausser wo Art. 82 DSGVO oder Schweizer Recht keine Begrenzung zulässt.
• Laufzeit. Ab der ersten Nutzung von SunCoach mit einem Klienten bis zur Löschung des Coach-Kontos. Die Abschnitte 7 bis 9 gelten weiter, solange vom Coach verwaltete Daten vorhanden sind.
• Vorrang. Für vom Coach verwaltete Daten geht dieser Vertrag den Nutzungsbedingungen und der Datenschutzerklärung vor.
• Änderungen. SunCoach kündigt Änderungen mindestens 30 Tage im Voraus per E-Mail oder in der App an; die weitere Nutzung danach gilt als Zustimmung, sofern das Gesetz nicht mehr verlangt.
• Sprachen. Dieser Vertrag wird auf Englisch, Deutsch, Türkisch und Spanisch veröffentlicht. Bei Abweichungen ist die englische Fassung massgeblich.
• Anwendbares Recht und Gerichtsstand. Schweizer Recht. Gerichtsstand ist Winterthur, Schweiz, vorbehaltlich zwingender Verbraucher- oder Datenschutzvorschriften, die dem Coach einen anderen Gerichtsstand geben.

Anhang 1: Technische und organisatorische Massnahmen

Die Massnahmen, die am 2026-10-26 bestehen: