Canopy

Auftragsverarbeitungsvertrag (AVV)

Version 2026-06-05

Auftragsverarbeitungsvertrag (AVV)
gemäß Art. 28 der Verordnung (EU) 2016/679 (DSGVO)

zwischen dem Verantwortlichen (nachfolgend „Auftraggeber“) und der Revery UG (haftungsbeschränkt) als Betreiberin der Software Canopy (nachfolgend „Auftragsverarbeiterin“).

1. Parteien und Geltungsbereich

1.1 Auftragsverarbeiterin

Revery UG (haftungsbeschränkt)
Innstraße 69b, Raum 208, 94032 Passau, Deutschland
Registergericht: Amtsgericht Passau, HRB 12578
USt-IdNr.: DE367403107
Vertreten durch: Michael Wasl (Geschäftsführer)
E-Mail (Datenschutz): datenschutz@dein-canopy.de

1.2 Auftraggeber

Der Auftraggeber ist die natürliche oder juristische Person, die ein Nutzerkonto für Canopy anlegt und im Rahmen der Nutzung Klientinnen und Klienten (Coachees) verwaltet. Name und Anschrift ergeben sich aus den bei Registrierung und Onboarding hinterlegten Geschäftsdaten.

1.3 Geltungsbereich

Dieser Vertrag gilt für alle Verarbeitungen personenbezogener Daten, die die Auftragsverarbeiterin im Auftrag des Auftraggebers im Zusammenhang mit der Nutzung von Canopy durchführt. Er ist Bestandteil des SaaS-Vertrags über Canopy und tritt mit ausdrücklicher Annahme durch den Auftraggeber (Checkbox im Onboarding) in Kraft.

2. Gegenstand, Dauer und Art der Verarbeitung

2.1 Gegenstand

Bereitstellung der cloudbasierten Plattform Canopy zur Verwaltung von Praxis- bzw. Studio-Daten von Gesundheitscoaches, Heilpraktikern und vergleichbaren Berufsgruppen, einschließlich Klientenakten, Dokumenten, Blutwerten, Freitextnotizen, Dokumentenfreigaben an eingeladene Coachees sowie zugehöriger Kommunikations- und Abrechnungsfunktionen.

2.2 Dauer

Die Auftragsverarbeitung beginnt mit Annahme dieses AVV und endet mit Beendigung des SaaS-Vertrags (Kündigung oder Ablauf), vorbehaltlich der Regelungen zur Datenrückgabe und Löschung in Abschnitt 12.

2.3 Art und Zweck

Verarbeitung ausschließlich zur Erbringung der vertraglich vereinbarten Canopy-Leistungen, insbesondere Speicherung, Organisation, Verschlüsselung, Bereitstellung in der Weboberfläche, Suche innerhalb des Mandanten, Erstellung von PDF-Schnappschüssen bei Dokumentenfreigaben, Versand transaktionaler E-Mails (Einladungen, Freigaben) sowie technischer Betrieb, Sicherung und Support.

2.4 Rolle der Parteien

Der Auftraggeber ist Verantwortlicher im Sinne der DSGVO für die von ihm in Canopy verarbeiteten Daten seiner Klientinnen und Klienten (insbesondere Gesundheitsdaten). Die Auftragsverarbeiterin verarbeitet diese Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit in diesem AVV und in der Plattform-Funktionalität nichts Abweichendes zwingend erforderlich ist.

Für personenbezogene Daten der Auftraggeber-Benutzerkonten (Coach-Konten) kann die Auftragsverarbeiterin zusätzlich als Verantwortliche für bestimmte Zwecke (z. B. Vertragsabwicklung, Abrechnung) auftreten; hierfür gilt die gesonderte Datenschutzerklärung von Canopy.

3. Kategorien betroffener Personen und Datenarten

3.1 Kategorien betroffener Personen

  • Beschäftigte und Beauftragte des Auftraggebers (Coach-Nutzer)
  • Klientinnen und Klienten des Auftraggebers (Coachees), sofern der Auftraggeber diese in Canopy anlegt oder einlädt
  • ggf. weitere vom Auftraggeber benannte Kontaktpersonen

3.2 Kategorien personenbezogener Daten

  • Stammdaten (Name, Kontaktdaten, Geburtsdatum, Geschlecht, Adressen)
  • Gesundheitsbezogene Daten im Sinne von Art. 9 DSGVO (z. B. Blutwerte, Anamnesen, Ernährungs- und Therapiepläne, Freitextnotizen, hochgeladene Unterlagen)
  • Nutzungs- und Protokolldaten (Zugriffszeiten, Freigabe- und Lesebestätigungen, technische Metadaten)
  • Authentifizierungsdaten (E-Mail, Session-Informationen; Passkeys/Passwörter werden nicht im Klartext gespeichert)

3.3 Besondere Kategorien

Der Auftraggeber stellt fest, dass er überwiegend besondere Kategorien personenbezogener Daten (Gesundheitsdaten) verarbeitet. Er ist selbst dafür verantwortlich, eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO (z. B. ausdrückliche Einwilligung, Heilbehandlung) sicherzustellen und seine Klientinnen und Klienten entsprechend zu informieren.

4. Weisungen des Auftraggebers

4.1 Die Auftragsverarbeiterin verarbeitet personenbezogene Daten nur auf Weisung des Auftraggebers, sofern nicht Unionsrecht oder das Recht des Mitgliedstaats, dem die Auftragsverarbeiterin unterliegt, eine andere Verarbeitung vorschreibt.

4.2 Weisungen ergeben sich aus: (a) diesem AVV, (b) der vertraglichen Leistungsbeschreibung von Canopy, (c) vom Auftraggeber in der Anwendung vorgenommenen Handlungen (Anlegen, Bearbeiten, Freigeben, Löschen von Daten, Einladen von Coachees) sowie (d) schriftlichen oder textlichen Einzelweisungen an datenschutz@dein-canopy.de.

4.3 Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, teilt sie dies dem Auftraggeber unverzüglich mit.

5. Pflichten der Auftragsverarbeiterin

Die Auftragsverarbeiterin verpflichtet sich insbesondere:

5.1 Vertraulichkeit
Personen, die zur Verarbeitung befugt sind, zur Vertraulichkeit zu verpflichten oder einer angemessenen gesetzlichen Verschwiegenheitspflicht zu unterliegen.

5.2 Sicherheit
Die in Anlage 1 (Technische und organisatorische Maßnahmen — TOMs) beschriebenen Maßnahmen umzusetzen und auf dem Stand der Technik zu halten.

5.3 Unterstützung
Den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung von Betroffenenrechten (Art. 12–22 DSGVO), bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen sowie bei Meldungen von Verletzungen des Schutzes personenbezogener Daten zu unterstützen.

5.4 Unterauftragsverarbeiter
Die Regelungen in Abschnitt 8 und Anlage 2 einzuhalten.

5.5 Dokumentation
Verarbeitungstätigkeiten im erforderlichen Umfang zu dokumentieren und dem Auftraggeber auf Anfrage die zur Nachweisführung erforderlichen Informationen bereitzustellen.

6. Technische und organisatorische Maßnahmen (TOMs)

Die zum Schutz der verarbeiteten Daten ergriffenen Maßnahmen sind in Anlage 1 (TOMs) detailliert beschrieben. Sie umfassen insbesondere:

  • Verschlüsselung sensibler Inhalte mit AES-256-GCM auf Mandantenebene
  • Schlüsselverwaltung über Google Cloud KMS (HSM, Region EU — europe-west3) mit getrennten Mandantengeheimnissen für Daten und Suche
  • logische Mandantentrennung in einer gemeinsamen Datenbank (Neon Postgres)
  • Zugriffskontrolle über rollenbasierte Authentifizierung (Better Auth)
  • kein clientseitiges Ende-zu-Ende-Verschlüsselungsmodell (siehe Anlage 1, Abschnitt Grenzen)

Die TOMs sind unter /legal/toms abrufbar und werden bei wesentlichen Änderungen versioniert.

7. Keine Ende-zu-Ende-Verschlüsselung auf Client-Seite

Die Auftragsverarbeiterin setzt bewusst kein clientseitiges Ende-zu-Ende-Verschlüsselungsmodell ein. Serverseitige Funktionen (Suche, PDF-Erzeugung bei Freigaben, E-Mail-Benachrichtigungen, Coachee-Portal) erfordern die Verarbeitung entschlüsselter Inhalte im geschützten Anwendungsspeicher während der Anfrage.

Die Verschlüsselung dient dem Schutz bei unberechtigtem Zugriff auf Datenbanken, Backups und Speichermedien, nicht dem Schutz gegen vollständige Kompromittierung der Anwendungsumgebung. Diese Grenze ist in Anlage 1 dokumentiert.

8. Unterauftragsverarbeiter

8.1 Der Auftraggeber erteilt die allgemeine schriftliche Genehmigung, die Auftragsverarbeiterin weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen, sofern die in Anlage 2 genannten Anforderungen erfüllt sind.

8.2 Die aktuelle Liste der Unterauftragsverarbeiter ist in Anlage 2 und unter /legal/unterauftragsverarbeiter veröffentlicht.

8.3 Die Auftragsverarbeiterin informiert den Auftraggeber über geplante Änderungen (Hinzufügen oder Ersetzen) mit angemessener Vorlaufzeit per E-Mail an die im Konto hinterlegte Geschäftsadresse oder über einen Hinweis in Canopy. Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigen datenschutzrechtlichen Gründen widersprechen. Bei berechtigtem Widerspruch können die Parteien eine einvernehmliche Lösung suchen; besteht keine, kann der Auftraggeber den SaaS-Vertrag außerordentlich kündigen.

8.4 Mit jedem Unterauftragsverarbeiter wird ein Vertrag nach Art. 28 Abs. 3 DSGVO geschlossen, der diesen AVV inhaltlich entsprechende Pflichten vorsieht.

9. Standort der Verarbeitung und Drittlandübermittlungen

9.1 Die Verarbeitung ist auf Rechenzentren in der Europäischen Union ausgerichtet (insbesondere Hosting über Vercel mit EU-Region, Datenbank Neon in der EU, Google Cloud KMS in europe-west3).

9.2 Soweit Unterauftragsverarbeiter Muttergesellschaften in Drittländern haben, werden Übermittlungen nur auf Grundlage geeigneter Garantien vorgenommen (insbesondere EU-Standardvertragsklauseln und/oder Angemessenheitsbeschlüsse bzw. Teilnahme am EU-U.S. Data Privacy Framework, soweit anwendbar — z. B. bei Vercel Inc.).

9.3 Der Auftraggeber wird in Anlage 2 über den jeweiligen Standort und die vertraglichen Garantien der Unterauftragsverarbeiter informiert.

10. Betroffenenrechte

10.1 Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch, die die Auftragsverarbeiterin direkt erreichen, leitet sie unverzüglich an den Auftraggeber weiter, sofern erkennbar ist, dass der Auftraggeber Verantwortlicher ist.

10.2 Die Auftragsverarbeiterin unterstützt den Auftraggeber bei der Beantwortung solcher Anträge durch geeignete technische und organisatorische Maßnahmen (z. B. Exportfunktionen, Löschung auf Weisung), soweit vertraglich vereinbart und technisch möglich.

11. Meldung von Datenschutzverletzungen

11.1 Die Auftragsverarbeiterin meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem ihr eine Verletzung bekannt wurde, spätestens jedoch innerhalb von 48 Stunden, soweit dies mit zumutbarem Aufwand möglich ist.

11.2 Die Meldung enthält mindestens: Beschreibung der Art der Verletzung, betroffene Kategorien und ungefähre Zahl betroffener Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen zur Abhilfe.

11.3 Die Auftragsverarbeiterin unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gegenüber Aufsichtsbehörden und Betroffenen, soweit zumutbar.

12. Rückgabe, Export und Löschung nach Vertragsende

12.1 Nach Beendigung des SaaS-Vertrags hat der Auftraggeber primär die Verantwortung, seine Daten vor Vertragsende zu exportieren. Die Auftragsverarbeiterin stellt hierfür angemessene Exportmöglichkeiten bereit (soweit in Canopy implementiert oder auf Anfrage).

12.2 Aufbewahrungsfrist nach Vertragsende: Personenbezogene Daten des Auftraggebers und seiner Klientinnen und Klienten, die im Auftrag verarbeitet wurden, werden von der Auftragsverarbeiterin spätestens 3 Monate nach Vertragsende gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten der Auftragsverarbeiterin entgegenstehen.

12.3 Während dieser Frist werden Daten nur noch zur sicheren Löschung und zur Erfüllung gesetzlicher Pflichten gespeichert; eine aktive Nutzung der Plattform ist ausgeschlossen.

12.4 Nach Ablauf der Frist löscht die Auftragsverarbeiterin die Daten in Produktionssystemen und Backups gemäß dem üblichen Backup-Rotationszyklus (Backups können technisch bedingt bis zur nächsten Rotation noch Restbestände enthalten; die Löschung wird dokumentiert).

12.5 Auf schriftliche Weisung des Auftraggebers kann eine frühere Löschung erfolgen. Eine Rückgabe in maschinenlesbarer Form kann innerhalb der 3-Monats-Frist auf Anfrage erfolgen.

12.6 Mandantenspezifische Schlüsselmaterialien in der Schlüsselverwaltung werden mit der endgültigen Löschung des Mandanten unwirksam gemacht.

13. Kontrollrechte des Auftraggebers

13.1 Der Auftraggeber ist berechtigt, die Einhaltung dieses AVV nach angemessener Vorankündigung zu überprüfen, z. B. durch Fragebögen oder Einsicht in aktuelle TOMs und Nachweise von Zertifizierungen der Unterauftragsverarbeiter.

13.2 Vor-Ort-Audits der Auftragsverarbeiterin erfolgen nur bei berechtigtem Anlass, in angemessenem Umfang und nach Terminabstimmung; Kosten trägt grundsätzlich der Auftraggeber, sofern kein schwerwiegender Verstoß der Auftragsverarbeiterin vorliegt.

13.3 Die Auftragsverarbeiterin kann die Einhaltung auch durch unabhängige Prüfberichte (z. B. SOC 2 der Unterauftragsverarbeiter) nachweisen, soweit verfügbar.

14. Haftung und Schlussbestimmungen

14.1 Die Haftung der Parteien richtet sich nach dem SaaS-Hauptvertrag und den gesetzlichen Vorschriften, insbesondere Art. 82 DSGVO.

14.2 [RECHTLICH PRÜFEN] Regelungen zu Haftungsbegrenzungen, Freistellung und Rangfolge bei Widersprüchen zwischen AVV und AGB.

14.3 Änderungen dieses AVV werden dem Auftraggeber mit angemessener Frist mitgeteilt. Bei wesentlichen Verschlechterungen steht dem Auftraggeber ein Sonderkündigungsrecht zu.

14.4 Es gilt deutsches Recht. Gerichtsstand und weitergehende Vertragsklauseln [RECHTLICH PRÜFEN — Abstimmung mit AGB].

14.5 Salvatorische Klausel: Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlagen

  • Anlage 1: Technische und organisatorische Maßnahmen (TOMs) — /legal/toms
  • Anlage 2: Liste der Unterauftragsverarbeiter — /legal/unterauftragsverarbeiter

Mit Annahme im Onboarding bestätigt der Auftraggeber, diesen AVV in der zum Zeitpunkt der Annahme veröffentlichten Version (Versionskennzeichnung in den Metadaten des Kontos) abzuschließen.

Fragen zum Datenschutz: datenschutz@dein-canopy.de