Data processing agreement

§ 1 Gegenstand und Verhältnis zum Hauptvertrag

(1) Dieser Vertrag regelt die datenschutzrechtlichen Pflichten der Parteien bei der Nutzung der Plattform Plenea nach den Allgemeinen Geschäftsbedingungen und etwaigen Einzelvereinbarungen (zusammen „Hauptvertrag“). Er gilt für jede Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter oder von ihm eingesetzte Personen für den Verantwortlichen vornehmen.

(2) Gegenstand, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen beschreibt Anlage 1.

(3) Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in allen Fragen des Datenschutzes vor.

(4) Der Vertrag gilt für die Laufzeit des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet.

§ 2 Rechte und Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für eine Rechtsgrundlage nach Art. 6 und – für Gesundheitsdaten – nach Art. 9 DSGVO (etwa Einwilligung oder Behandlungsvertrag) sowie für die Information der betroffenen Personen.

(2) Er legt fest, welche Mitarbeitenden mit welchen Rechten Zugang zur Plattform erhalten, und ist für deren Zugangsdaten verantwortlich.

(3) Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist nach Unionsrecht oder österreichischem Recht dazu verpflichtet. In diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Weisungen sind dieser Vertrag, der Hauptvertrag und die Einstellungen, die der Verantwortliche in der Plattform vornimmt, etwa gebuchte Module, Rollen, Anbieterwahl und Abschaltung von KI-Funktionen sowie Löschungen. Weitere Weisungen erteilt der Verantwortliche in Textform; eine E-Mail genügt.

(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

§ 4 Vertraulichkeit

(1) Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und wahrt das Datengeheimnis nach § 6 DSG. Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.

(2) Unterliegt der Verantwortliche einem Berufsgeheimnis, etwa der ärztlichen Verschwiegenheitspflicht, wirkt der Auftragsverarbeiter daran mit, dass es gewahrt bleibt. Inhaltsdaten sieht er nur ein, soweit es für den Betrieb oder für Support im Einzelfall nötig ist (§ 5 Abs. 3).

§ 5 Sicherheit der Verarbeitung

(1) Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Anlage 2 beschreibt. Sie berücksichtigen, dass überwiegend Gesundheitsdaten im Sinne von Art. 9 DSGVO verarbeitet werden.

(2) Die Maßnahmen dürfen dem Stand der Technik entsprechend weiterentwickelt werden, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert der Auftragsverarbeiter.

(3) Zugriffe des Auftragsverarbeiters auf Daten des Verantwortlichen zu Support- oder Wartungszwecken erfolgen nur im Einzelfall, mit Begründung, protokolliert und mit standardmäßig maskierten Klardaten (Anlage 2, Abschnitt 1.4). Die Protokolle stellt der Auftragsverarbeiter auf Verlangen bereit.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die jeweils aktuelle Liste ist unter app.plenea.at/trust abrufbar.

(2) Beabsichtigte Änderungen – das Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters – teilt der Auftragsverarbeiter mindestens 14 Tage vorher in Textform mit. Der Verantwortliche kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen widersprechen. Kommt keine Einigung zustande, kann er den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Verantwortlichen für deren Einhaltung.

(4) Keine Unterauftragsverarbeitung sind Nebenleistungen, bei denen der Dienstleister keinen Zugriff auf personenbezogene Daten des Verantwortlichen erhält, etwa Telekommunikations- oder Postdienste.

§ 7 Übermittlungen in Drittländer und KI-Funktionen

(1) Die Plattform und ihre Datenbank werden in der Europäischen Union betrieben (Hetzner, Rechenzentrum Helsinki, Finnland). Einzelne Dienste verarbeiten Daten außerhalb des Europäischen Wirtschaftsraums, insbesondere Fehlerüberwachung und Wearable-Schnittstellen (Anlage 3).

(2) Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch einen Angemessenheitsbeschluss der Europäischen Kommission (z. B. EU-US Data Privacy Framework) oder durch Standardvertragsklauseln.

(3) Plenea verwendet ab v100 für Texte, Auswertungen, Sprachtranskription, Wissenssuche, Sprachdialoge und Sprachausgabe ausschließlich Mistral AI (Frankreich, Modelle Mistral/Voxtral) über den regionalen EU/EFTA-Endpunkt. Ein Rückfall auf einen anderen KI-Anbieter ist ausgeschlossen. „KI-Aktionen & Datenweg“ zeigt für die gebuchten Module den Zweck, die verwendeten Datenkategorien und die erforderliche Freigabe. Die KI-Einstellungen bündeln Nutzungslimits und Datenfreigaben.

(4) Die regionale Mistral-Inferenz umfasst EU- und EFTA-Länder. Konto-, Abrechnungs- und Betriebsmetadaten sind von der regionalen Zusage nicht vollständig erfasst. Zero Data Retention ist für die Plenea-Organisation aktiviert und umfasst die verwendeten zustandslosen Endpunkte für Text, Embeddings, Transkription und Sprachausgabe. Eingaben und Ausgaben werden bei Mistral nur für die Verarbeitung vorgehalten; Betriebsmetadaten und gesetzlich erforderliche Aufbewahrung sind ausgenommen. Ergebnisse können in Plenea nach den Regeln der jeweiligen Funktion gespeichert werden. Der Ausschluss der Trainingsnutzung ist eine separate Kontoeinstellung.

(5) Erkannte Kontaktangaben werden in Texten vor der Übermittlung bereinigt; strukturierte Athlet:innennamen werden abhängig von Einwilligung und Praxiseinstellung ersetzt oder übermittelt. Freitexte können weitere personenbezogene Angaben enthalten; Sprachaufnahmen werden vor der Transkription nicht automatisch bereinigt. Pseudonymisierung ist keine Anonymisierung.

(6) Personenbezogene KI-Funktionen für Athlet:innendatensätze verlangen unabhängig von ihrer Herkunft eine aktuelle ausdrückliche KI-Einwilligung und nachgewiesene Volljährigkeit anhand des hinterlegten Geburtsdatums; ohne gültiges Geburtsdatum oder unter 18 Jahren bleiben sie gesperrt. Ein Widerruf sperrt neue Aufrufe; Funktionen ohne KI bleiben nutzbar. Der Verantwortliche kann die KI-Verarbeitung für seinen Zugang vollständig abschalten. Dieser Vertrag ersetzt weder die Einwilligung der betroffenen Person noch die Rechtsgrundlage der übrigen Verarbeitung.

§ 8 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Die Plattform bietet dafür insbesondere den Export je Athlet:in, den Gesamtexport der Praxis sowie Berichtigung und Löschung. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter.

(2) Er unterstützt den Verantwortlichen unter Berücksichtigung der ihm vorliegenden Informationen bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und einer vorherigen Konsultation der Aufsichtsbehörde.

(3) Unterstützung, die über die Funktionen der Plattform hinausgeht, kann nach Aufwand verrechnet werden, sofern sie nicht auf einer Pflichtverletzung des Auftragsverarbeiters beruht.

§ 9 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, eine Kontaktstelle, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Noch fehlende Angaben werden unverzüglich nachgereicht.

(3) Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Verantwortlichen; der Auftragsverarbeiter unterstützt ihn dabei.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO), insbesondere die Anlagen dieses Vertrags, das Verzeichnis der Unterauftragsverarbeiter und auf Anfrage Auszüge aus den ihn betreffenden Protokollen.

(2) Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Überprüfungen einschließlich Inspektionen durchführen. Sie erfolgen in der Regel nach einer Vorankündigung von mindestens 14 Tagen, während üblicher Geschäftszeiten und ohne den Betrieb unverhältnismäßig zu stören. Der Auftragsverarbeiter wirkt daran mit.

(3) Statt einer Inspektion kann der Auftragsverarbeiter geeignete Nachweise vorlegen, etwa Prüfberichte oder Zertifizierungen, soweit sie vorhanden sind und die Überprüfung im konkreten Fall ersetzen.

§ 11 Löschung und Rückgabe nach Vertragsende

(1) Bis zum Vertragsende kann der Verantwortliche seine Daten jederzeit selbst exportieren, insbesondere über den Gesamtexport der Praxis.

(2) Nach Vertragsende werden die Daten des Verantwortlichen nach einer Schonfrist von 30 Tagen vollständig gelöscht, einschließlich zugehöriger Dateien. Kopien in Datensicherungen werden mit deren regulärem Ablauf gelöscht (Anlage 2, Abschnitt 3).

(3) Ausgenommen sind Daten, die der Auftragsverarbeiter aufgrund einer gesetzlichen Pflicht aufbewahren muss; sie werden gesperrt und nur zu diesem Zweck verwendet.

(4) Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 12 Haftung

Für Schäden betroffener Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten im Übrigen die Haftungsregelungen des Hauptvertrags.

§ 13 Schlussbestimmungen

(1) Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO), indem eine vertretungsberechtigte Person des Verantwortlichen ihn in der Plattform abschließt. Der Abschluss wird mit Version, Zeitpunkt, abschließender Person und einer Prüfsumme des Vertragstexts protokolliert. Ein unterschriebener Ausdruck ist möglich, aber nicht erforderlich.

(2) Änderungen und Ergänzungen bedürfen der Textform. Neue Fassungen bietet der Auftragsverarbeiter in der Plattform zum Abschluss an.

(3) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die dem Zweck am nächsten kommt und den Anforderungen von Art. 28 DSGVO genügt.

(4) Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen. Gerichtsstand ist Wien.

Anlage 1 – Beschreibung der Verarbeitung

Gegenstand und Art der Verarbeitung

Bereitstellung und Betrieb der Plattform Plenea als Software-as-a-Service einschließlich Hosting, Datensicherung, Wartung und Support. Die Verarbeitung umfasst das Erheben, Erfassen, Speichern, Auswerten (etwa die Berechnung von Schwellen und Trainingszonen), Darstellen, Bereitstellen für betroffene Personen (Athlet:innenportal, Berichte, Nachrichten), das Abgleichen mit verbundenen Diensten und das Löschen von Daten.

Zwecke

Je nach gebuchten Modulen: Leistungsdiagnostik (Laktat-Stufentests und Spiroergometrie) mit Berichten, Trainingsplanung und -auswertung, Anamnese, Terminverwaltung, Kommunikation mit Athlet:innen, das Athlet:innenportal sowie die Verwaltung der Benutzerkonten des Verantwortlichen.

Kategorien betroffener Personen

• Athlet:innen, Patient:innen und Kund:innen des Verantwortlichen
• Mitarbeitende des Verantwortlichen mit Zugang zur Plattform
• Personen, die beim Verantwortlichen Termine oder Rückrufe anfragen
• bei betrieblichen Gesundheitsangeboten: Beschäftigte eines Firmenkunden des Verantwortlichen

Arten personenbezogener Daten

• Stammdaten: Name, Geburtsdatum, Geschlecht, Kontaktdaten, Sportart, Leistungsniveau, Zuordnung zu Gruppen oder Vereinen, vom Verantwortlichen angelegte Zusatzfelder
• Gesundheitsdaten (Art. 9 DSGVO): Messwerte der Leistungsdiagnostik (Laktat, Herzfrequenz, Leistung, Geschwindigkeit, Spiroergometrie), Schwellen und Trainingszonen, Körpermaße und Körperzusammensetzung, Laborwerte und ärztliche Freigaben, Anamnese-Angaben, Wellness- und Belastungsangaben (etwa Belastungsempfinden, Herzfrequenzvariabilität, Schlaf), Ernährungsangaben
• Trainingsdaten: Trainingspläne, Einheiten und Rückmeldungen sowie Aktivitäten aus verbundenen Wearable-Diensten, einschließlich GPS-Verlauf, sofern die betroffene Person die Verbindung herstellt
• Kommunikation und Termine: Nachrichten, Erinnerungen, Terminangaben
• Dateien: Berichte, hochgeladene Dokumente, Sprachaufnahmen für Diktat und Transkription
• Nutzungs- und Sicherheitsdaten der Plattformnutzer: E-Mail-Adresse, Rolle, Anmeldezeitpunkte, Gerätekennung (nur als Hashwert), ungefähres Land der Anmeldung, Protokolleinträge

Dauer und Ort

Für die Laufzeit des Hauptvertrags, danach nach § 11. Die Verarbeitung erfolgt in der Europäischen Union; Übermittlungen in Drittländer nur nach § 7 und Anlage 3.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

1.1 Zugang zu Rechenzentrum und Servern. Betrieb in Rechenzentren der Hetzner Online GmbH nach deren physischen und organisatorischen Sicherheitsmaßnahmen. Administrativer Serverzugang nur für den Auftragsverarbeiter über SSH-Schlüssel; der Bestand zugelassener Schlüssel wird automatisch überwacht.

1.2 Zugang zur Plattform. Persönliche Benutzerkonten; Passwörter nur als gesalzener bcrypt-Hash. Zwei-Faktor-Anmeldung per Authenticator-App oder Passkey, für Administrator:innen des Verantwortlichen standardmäßig verpflichtend und für alle Konten einer Praxis einschaltbar. Ungewöhnliche Anmeldungen (neues Gerät, neues Land, gehäufte Fehlversuche) müssen bestätigt werden; die Kontoinhaber:innen erhalten eine Benachrichtigung. Sitzungen enden spätestens nach 8 Stunden und lassen sich auf allen Geräten beenden.

1.3 Zugriff und Mandantentrennung. Rollen- und Modulrechte je Benutzer. Die Daten jedes Verantwortlichen sind doppelt getrennt: in der Anwendung, deren Datenbankabfragen an den jeweiligen Mandanten gebunden und automatisch geprüft sind, und in der Datenbank selbst durch Row Level Security mit einer Anwendungsrolle ohne Umgehungsrecht. Automatisierte Tests prüfen bei jeder Veröffentlichung, dass kein Zugriff über Mandantengrenzen möglich ist.

1.4 Zugriff durch den Auftragsverarbeiter. Wechsel in den Kontext eines Verantwortlichen nur durch berechtigte Administrator:innen des Auftragsverarbeiters, mit Pflichtbegründung und frischem zweiten Faktor. Beginn und Ende werden protokolliert. Personenbezogene Klardaten bleiben dabei standardmäßig maskiert; eine Einsicht im Klartext ist ein eigener, auf 30 Minuten befristeter und ebenfalls protokollierter Schritt.

1.5 Verschlüsselung. Übertragung ausschließlich verschlüsselt (TLS, HSTS). Besonders sensible Freitexte – Befundtexte, Notizen, Anamnese-Antworten und geschützte Zusatzfelder – liegen zusätzlich mit AES-256-GCM verschlüsselt in der Datenbank; der Schlüssel wird getrennt von der Datenbank verwahrt.

1.6 Pseudonymisierung und Datenminimierung. Vor Übermittlungen an KI-Anbieter werden erkannte Kontaktangaben entfernt und Athlet:innennamen je nach Einwilligung und Einstellung ersetzt (§ 7). Anmeldegeräte werden nur als Hashwert gespeichert.

2. Integrität

2.1 Eingabekontrolle. Sicherheitsrelevante Aktionen werden mit Benutzer, Mandant, Aktion und Zeitpunkt protokolliert und drei Jahre aufbewahrt. Freigaben und Änderungen von Diagnostik-Befunden und Trainingsplänen sind nachvollziehbar versioniert.

2.2 Weitergabekontrolle. Exporte und Freigaben nur für berechtigte Rollen. Die Anwendung setzt restriktive Sicherheitsrichtlinien im Browser (u. a. Content Security Policy, Schutz vor Einbettung in fremde Seiten).

3. Verfügbarkeit und Belastbarkeit

Tägliche Sicherung der Datenbank mit sieben Tagen Aufbewahrung sowie ein tägliches Abbild des gesamten Servers beim Hoster (sieben Stände, gleiche Region). Zusätzlich täglich eine verschlüsselte Kopie bei einem zweiten Anbieter in Paris (Scaleway), 30 Tage gegen Löschen gesperrt und nach 35 Tagen automatisch entfernt; der Schlüssel liegt nicht beim Anbieter. Laufende Überwachung von Fehlern und Erreichbarkeit. Zusagen zu Wiederherstellungszeiten gelten nur, soweit sie im Hauptvertrag vereinbart sind.

4. Regelmäßige Überprüfung und Organisation

Jede Veröffentlichung durchläuft automatisierte Tests und eine Sicherheitsprüfung nach dem OWASP Application Security Verification Standard. Risiken werden in einem Risikoregister geführt, Sicherheitsvorfälle nach einem festgelegten Ablauf behandelt. Datenschutzfreundliche Voreinstellungen: KI-Funktionen sind abschaltbar und an Einwilligungen gebunden. Unterauftragsverarbeiter werden nach § 6 ausgewählt und dokumentiert.

5. Löschung

Löschungen in der Plattform wirken sofort; nach Vertragsende gilt § 11. Protokolleinträge werden nach drei Jahren gelöscht, soweit sie nicht zur Aufklärung eines Sicherheitsvorfalls benötigt werden.

Anlage 3 – Unterauftragsverarbeiter

Stand der Liste: 02.11.2026. Maßgeblich ist die jeweils aktuelle Fassung unter app.plenea.at/trust; Änderungen kündigt der Auftragsverarbeiter nach § 6 an.

Anbieter	Zweck	Standort	Drittlandübermittlung
Hetzner Online GmbH (Cloud)	Betrieb von Anwendung, Datenbank und Sicherungskopien auf einem dedizierten Server in Helsinki	Deutschland (Server: Finnland) / EU	EU-Anbieter; AVV, Datenorte und mögliche weitere Transfers für das Konto nachweisen
Scaleway S.A.S.	Versand von Einladungen, Erinnerungen und weiteren Produktnachrichten sowie Verarbeitung von Zustellmeldungen; tägliche verschlüsselte Sicherungskopien in Paris, 30 Tage gegen Löschen geschützt und Löschung nach 35 Tagen	Frankreich / EU	EU-Anbieter; AVV, Datenorte und mögliche weitere Transfers für das Konto nachweisen
ALL-INKL.COM – Neue Medien Münnich	Geschäftliche E-Mail-Kommunikation, einschließlich Anfragen, Veranstaltungsanmeldungen sowie Hinweisen zu Kündigungen und Widerrufen	Deutschland / EU	AVV nach Art. 28 DSGVO für das bestehende Konto liegt vor; Verarbeitung laut Vertrag in EU/EWR
Mistral AI	KI-Unterstützung für Texte, Auswertungen, Dokumentensuche, Diktate und Sprachausgabe; Verarbeitung der Inhalte über Mistrals europäischen Zugang	Frankreich / EU; KI-Verarbeitung EU/EFTA, Betriebsdaten nicht vollständig regional gebunden	Mistral-DPA und regionale Vertragsbedingungen; Kontonachweis und Einsatzfreigabe vor Produktivnutzung erforderlich. Keine pauschale Zusage ohne Drittlandtransfer
Sentry (Functional Software Inc.)	Erfassung technischer Fehler in Anwendung und Browser	Datenregion Deutschland / EU (ingest.de.sentry.io); Anbieter USA	DPA und zulässige Transfergrundlage für Zugriffe des US-Anbieters (gegebenenfalls DPF/SCCs) für das Konto nachweisen
PostHog, Inc.	Produkt-Analytics / Nutzungs-Funnels (nur mit Einwilligung)	EU-Region (Frankfurt); Anbieter USA	Standard-DPA von PostHog am 18.10.2026 online angenommen, abgeschlossen durch die heutige Betreiberseite; mit der Firmengründung neu abzuschließen. Datenhaltung EU-Region (Frankfurt); Transfergrundlage für Zugriffe des US-Anbieters laut DPA, Kopie des angenommenen DPA im Vertragsordner nachweisen
Intervals.icu (WattSoft Pty Ltd)	Bidirektionaler Trainings-Sync (Wellness, Workouts)	Australien (Server in EU + US)	Empfängerrolle und zulässige Transfergrundlage gesondert nachweisen; Opt-in allein genügt nicht
Wahoo Fitness, LLC	Wearables-Sync (Workouts mit Leistungsdaten, nur lesend)	USA (Atlanta)	DPA und zulässige Transfergrundlage (gegebenenfalls DPF/SCCs) für das Konto nachweisen
Strava, Inc.	Wearables-Sync (Aktivitäten + GPS); Bridge-Pfad für iPhone-Nutzer ohne Garmin	USA	DPA und zulässige Transfergrundlage (gegebenenfalls DPF/SCCs) für das Konto nachweisen
Cal.com, Inc.	Terminwahl für Demo- und Kontaktanfragen auf der Website (eingebetteter Kalender); kein Zugriff auf Plattform- oder Athlet:innendaten	USA	Kontovertrag, AVV und zulässige Transfergrundlage (gegebenenfalls DPF/SCCs) für das Konto nachweisen
Better Stack (Uptime und Heartbeats)	Erreichbarkeitsprüfung öffentlicher Dienste; Plattform- und Wächter-Heartbeats vorbereitet. Keine Log-Ablage	Dienstregion und Vertragspartner für das Konto dokumentieren; keine Übertragung von Kunden- oder Nutzerdaten vorgesehen	Betriebsdienst ohne Kunden-Personendaten; Kontovertragsdaten gesondert durch die Betreiberseite verwaltet; Vertragspartner und gegebenenfalls erforderliche Transfergrundlage für diese Kontodaten nachweisen