Datenschutzerklärung

Diese Datenschutzerklärung informiert Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir verarbeiten, wenn Sie unsere Website gympli.com, die Web-App unter https://test-app.gympli.com und die mobile App „Gympli“ für iOS und Android (zusammen „Gympli“ oder „Dienst“) nutzen.

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne der DSGVO ist:

[Vor- und Nachname]
[Straße und Hausnummer]
[PLZ] [Ort]
Deutschland
E-Mail: [E-Mail-Adresse]
Telefon: [Telefonnummer]

Ein Datenschutzbeauftragter ist nicht bestellt, weil dafür keine gesetzliche Pflicht besteht. Bei Fragen zum Datenschutz erreichen Sie uns unter der oben genannten E-Mail-Adresse.

2. Wer für welche Daten verantwortlich ist

Gympli ist eine Software, mit der Trainer und Studios (die „Organisation“) ihre Kunden betreuen. Jede Organisation hat einen Inhaber, der Gympli bezahlt; angestellte oder freie Trainer („Team“) und Kunden nutzen Gympli kostenlos über die Organisation. Daraus ergeben sich zwei Rollen:

• Wir sind Verantwortlicher für die Daten, die wir für den Betrieb des Dienstes selbst benötigen: Ihr Benutzerkonto, Anmelde- und Sicherheitsdaten, die Abrechnung des Abonnements, die Kommunikation mit uns (Support) und den Besuch unserer Website. Für diese Daten gilt diese Datenschutzerklärung vollständig.
• Die Organisation ist Verantwortlicher für die Coaching-Inhalte, die sie über ihre Kunden in Gympli führt: Trainingspläne, Trainingseinheiten, Messwerte und Ziele, Fragebögen und Check-ins samt Fotos, Notizen, Nachrichten, Kalendereinträge, Pässe und Anwesenheiten. Wir verarbeiten diese Daten nur in ihrem Auftrag und nach ihren Weisungen (Art. 28 DSGVO, siehe unseren Auftragsverarbeitungsvertrag). Über die Zwecke dieser Verarbeitung, ihre Rechtsgrundlage und die Speicherdauer entscheidet Ihr Trainer bzw. Ihre Organisation; Anfragen zu diesen Daten richten Sie bitte dorthin. Erreicht uns eine solche Anfrage, leiten wir sie an die Organisation weiter.

Abschnitt 5 beschreibt trotzdem, welche Coaching-Inhalte technisch in Gympli gespeichert werden, damit Sie wissen, was mit Ihren Daten geschieht.

3. Besuch der Website

Wenn Sie gympli.com aufrufen, verarbeitet unser Server die technisch notwendigen Angaben, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, Browser und Betriebssystem. Wir benötigen sie, um die Website auszuliefern und vor Missbrauch und Angriffen zu schützen. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und funktionsfähigen Website (Art. 6 Abs. 1 lit. f DSGVO). Die Server-Protokolle werden fortlaufend überschrieben und spätestens nach [[Anzahl]] Tagen gelöscht.

Die Website setzt keine Cookies, speichert nichts in Ihrem Browser, lädt keine Skripte, Schriften oder Bilder von Dritten und verwendet keine Analyse-, Werbe- oder Tracking-Werkzeuge.

4. Benutzerkonto und Nutzung des Dienstes

4.1 Registrierung und Konto

Für ein Konto verarbeiten wir Name, E-Mail-Adresse, Passwort (nur als bcrypt-Hash gespeichert), Sprache, Zeitzone, auf Wunsch Ihr Geschlecht und Ihr Profilbild, den Zeitpunkt der Bestätigung Ihrer E-Mail-Adresse, Ihren Status (z. B. „online“) und Ihre Rolle in der Organisation (Inhaber, Team oder Kunde). Bei der Registrierung bestätigen Sie, dass Sie mindestens 16 Jahre alt sind, und akzeptieren unsere AGB; wir speichern die Version der akzeptierten AGB und Datenschutzerklärung mit Zeitpunkt.

Legt ein Trainer ein Konto für Sie an, kennt das Konto zunächst nur Ihren Namen. Erst wenn Sie den Einladungslink öffnen, Ihre eigene E-Mail-Adresse und Ihr Passwort festlegen und die AGB akzeptieren, wird es zu Ihrem Konto. Vorher kann sich niemand damit anmelden und es werden keine E-Mails versendet.

Rechtsgrundlage ist der Nutzungsvertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO); die Nachweise über die Annahme der AGB speichern wir aufgrund unseres berechtigten Interesses, den Vertragsschluss belegen zu können (Art. 6 Abs. 1 lit. f DSGVO).

Die verkleinerte Version Ihres Profilbilds (256 × 256 Pixel) ist über eine nicht erratbare Adresse auch ohne Anmeldung abrufbar, damit sie in E-Mails und Apps schnell geladen werden kann; die Adresse wird nirgends öffentlich gelistet. Das Originalbild ist nur nach Anmeldung abrufbar.

4.2 Sicherheit

Zum Schutz Ihres Kontos verarbeiten wir:

• Sitzungen in der Web-App mit Sitzungskennung, IP-Adresse, Browserkennung (User-Agent) und letzter Aktivität. Sie sehen Ihre angemeldeten Geräte und können sie abmelden.
• Anmeldetoken der mobilen App mit Gerätename, letzter Nutzung und Ablaufdatum.
• Zwei-Faktor-Authentifizierung (optional): das TOTP-Geheimnis und die Wiederherstellungscodes, verschlüsselt gespeichert.
• Ein Sicherheitsprotokoll wichtiger Vorgänge (z. B. Anmeldungen und Fehlversuche mit der verwendeten E-Mail-Adresse, Abmeldungen, Passwort- und Zwei-Faktor-Änderungen, Aufnahme und Entfernung von Mitgliedern, Datenexporte, Abrechnungsvorgänge). In dieses Protokoll werden keine IP-Adressen und keine Browserkennungen geschrieben. Der Inhaber einer Organisation sieht das Protokoll seiner Organisation.
• Technische Fehlerprotokolle mit Benutzer- und Organisationskennung, ohne Nachrichteninhalte.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einem sicheren Dienst und an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

4.3 E-Mails und Benachrichtigungen

Wir senden Ihnen E-Mails, die für die Nutzung erforderlich sind: Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Einladungen, Sicherheitshinweise, Abrechnungshinweise und – je nach Ihren Einstellungen – Benachrichtigungen über Vorgänge in Ihrer Organisation. In der App zeigen wir Benachrichtigungen an; dazu speichern wir Art, Auslöser, Verweis und bei neuen Nachrichten eine Vorschau von bis zu 120 Zeichen. Neue Nachrichten werden nicht per E-Mail zugestellt. Wir versenden keine Werbe-E-Mails und keinen Newsletter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

4.4 Mobile App

Die App speichert ihr Anmeldetoken im sicheren Speicher Ihres Geräts (iOS-Schlüsselbund bzw. Android Keystore), nur bei entsperrtem Gerät zugänglich. Für die Installation speichern wir Plattform, App-Sprache und den Zeitpunkt der letzten Nutzung.

Push-Benachrichtigungen erhalten Sie nur, wenn Sie sie in Ihrem Gerät erlauben. Dann speichern wir das Push-Token Ihres Geräts und den Zeitpunkt der letzten erfolgreichen bzw. fehlgeschlagenen Zustellung. Für die Zustellung übermitteln wir das Token sowie Titel und Text der Benachrichtigung in Ihrer Sprache an den Push-Dienst von Expo, der sie über Apple bzw. Google an Ihr Gerät weiterleitet. Sie können Push-Benachrichtigungen jederzeit in den Einstellungen Ihres Geräts abschalten; beim Abmelden löschen wir das Token. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; der Zugriff auf Ihr Gerät erfolgt mit Ihrer Erlaubnis bzw. weil er für den von Ihnen gewünschten Dienst unbedingt erforderlich ist (§ 25 TDDDG).

Die App fordert keine Berechtigungen für Gesundheitsdaten (Apple Health, Health Connect) an und liest keine solchen Daten aus.

Beim Herunterladen der App aus dem App Store bzw. Google Play verarbeiten Apple bzw. Google Daten in eigener Verantwortung nach ihren Datenschutzbestimmungen; darauf haben wir keinen Einfluss.

4.5 Abonnement und Zahlung

Inhaber schließen ein kostenpflichtiges Abonnement über die Bezahlseite von Stripe ab und verwalten es im Kundenportal von Stripe. Kartendaten und Rechnungsadresse geben Sie direkt bei Stripe ein; wir erhalten sie nicht. Wir speichern die Stripe-Kundennummer, Art und die letzten vier Ziffern des Zahlungsmittels, das Ende des Testzeitraums, Tarif, Menge und Status des Abonnements sowie die Kennungen der Zahlungsereignisse, die Stripe uns meldet. Rechnungen erstellt und speichert Stripe.

Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und unsere gesetzliche Pflicht, Buchungsbelege aufzubewahren (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO und § 257 HGB).

4.6 Bestellung und Kündigung

Bei der Bestellung eines Abonnements bestätigen Sie, dass Sie Gympli für Ihre gewerbliche oder selbständige berufliche Tätigkeit erwerben. Wir speichern den Zeitpunkt dieser Bestätigung, den Tarif, die Stripe-Kundennummer, die Fassungen der AGB und dieser Datenschutzerklärung sowie den genauen Text der akzeptierten AGB als Nachweis des Vertragsschlusses (Art. 6 Abs. 1 lit. b und f DSGVO). Kündigen können Sie in Ihrem Konto unter Konto → Abrechnung oder in Textform, z. B. per E-Mail; eine Kündigung per E-Mail verarbeiten wir, um sie auszuführen und zu belegen (Art. 6 Abs. 1 lit. b DSGVO).

4.7 Kontakt und Support

Wenn Sie uns schreiben, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO, bei Anfragen außerhalb eines Vertrags Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die Korrespondenz, wenn sie erledigt ist und keine Aufbewahrungspflicht besteht.

4.8 Datenexport

Sie können eine Kopie Ihrer eigenen Daten anfordern. Wir erstellen dazu ein verschlüsseltes ZIP-Archiv mit Ihren Konto- und Nutzungsdaten sowie Ihren eigenen Dateien; Dateien anderer Personen sind nie enthalten. Den Link dazu senden wir Ihnen per E-Mail; das Archiv kann einmal und nur angemeldet in Ihrem Konto heruntergeladen werden und wird nach 48 Stunden gelöscht.

5. Coaching-Inhalte und Gesundheitsdaten

Je nachdem, wie Ihr Trainer Gympli nutzt, werden folgende Coaching-Inhalte gespeichert: Kundenprofil (Status, zuständiger Trainer, Ziele), Trainingspläne und Workouts, Trainingseinheiten mit Sätzen, Wiederholungen, Gewicht, Belastungsempfinden (RPE) und Notizen, Körpermaße, Gewicht und Schritte, Fragebögen und Check-ins mit Antworten, Fotos und Rückmeldungen des Trainers, Notizen des Trainers, Nachrichten mit Anhängen, Kalendereinträge, Pässe mit Preis und Anwesenheiten sowie ein Aktivitätsverlauf für den Trainer.

Für diese Daten ist Ihre Organisation verantwortlich (Abschnitt 2); wir verarbeiten sie in ihrem Auftrag. Wer darauf zugreifen kann, ist technisch festgelegt: Kunden sehen nur ihre eigenen Daten, Trainer nur die ihnen zugewiesenen Kunden, der Inhaber alle Kunden seiner Organisation. Nachrichten können nur die Beteiligten der Unterhaltung und der zuständige Trainer lesen – der Inhaber nicht, wenn er nicht selbst beteiligt ist. Wir als Betreiber haben keine Verwaltungsoberfläche, über die wir Coaching-Inhalte lesen könnten.

Gesundheitsdaten. Körpermaße, Fortschrittsfotos, Antworten in Check-ins, Belastungsempfinden und Notizen können Gesundheitsdaten im Sinne von Art. 9 DSGVO sein. Für ihre Verarbeitung ist Ihre Organisation verantwortlich: Sie legt fest, auf welcher Rechtsgrundlage sie die Daten verarbeitet, und holt dafür, soweit erforderlich, Ihre ausdrückliche Einwilligung ein (Art. 9 Abs. 2 lit. a DSGVO). Wir verarbeiten diese Daten nur in ihrem Auftrag. Fragen zu Ihren Gesundheitsdaten, den Widerruf einer Einwilligung und Löschungsanfragen richten Sie bitte an Ihren Trainer.

6. Empfänger und Auftragsverarbeiter

Wir geben Ihre Daten nur weiter, soweit es für den Dienst nötig ist, und setzen dazu folgende Dienstleister ein, die Daten in unserem Auftrag nach Art. 28 DSGVO verarbeiten:

Stripe verarbeitet Zahlungsdaten teilweise als eigener Verantwortlicher, insbesondere zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten (z. B. Geldwäscheprävention); dafür gilt die Datenschutzerklärung von Stripe.

Die Mitglieder Ihrer Organisation sehen die Daten, die ihre Rolle vorsieht (Abschnitt 5). Behörden erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

7. Übermittlung in Drittländer

Unsere Server stehen in Deutschland. Soweit Resend, Expo oder Stripe Daten in den USA oder einem anderen Land außerhalb der EU/des EWR verarbeiten, erfolgt die Übermittlung auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission – für die USA des EU-US Data Privacy Framework, soweit der Anbieter danach zertifiziert ist – oder, wo anwendbar, der Standardvertragsklauseln der EU-Kommission (Art. 45, 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien erhalten Sie auf Anfrage.

8. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder eine gesetzliche Pflicht besteht:

Kontolöschung. Sie können Ihr Konto in den Kontoeinstellungen mit Ihrem Passwort löschen. Dabei wird ein laufendes Abonnement sofort beendet, alle Anmeldungen werden widerrufen und Ihr Profilbild, Ihre Check-in-Fotos und Ihre Exporte werden gelöscht. Löscht ein Inhaber sein Konto, wird seine Organisation mit allen Daten gelöscht. Inhalte, die Sie für andere verfasst haben (z. B. gesendete Nachrichten, Notizen, Kalendereinträge, Messwerte), bleiben bei den anderen Beteiligten, aber ohne Bezug zu Ihrer Person. Einträge im Sicherheitsprotokoll werden nach Ablauf der 365 Tage gelöscht. Nachweise darüber, welche Fassung der AGB und der Datenschutzerklärung Sie akzeptiert und welche Bestellungen Sie aufgegeben haben, bewahren wir ohne Ihre E-Mail-Adresse auf – nur mit einem geschlüsselten Prüfwert (Hash), über den wir sie Ihnen auf Anfrage zuordnen können – und löschen sie drei Jahre nach Ende des Jahres der Kontolöschung. Daten, die wir aufbewahren müssen, sperren wir bis zum Ablauf der Frist.

9. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3). Viele dieser Rechte können Sie direkt in Gympli ausüben: Profil bearbeiten, Daten exportieren, Konto löschen. Für alles andere genügt eine E-Mail an [E-Mail-Adresse]. Betrifft Ihre Anfrage Coaching-Inhalte, wenden Sie sich bitte an Ihren Trainer; wir unterstützen ihn dabei.

Widerspruchsrecht (Art. 21 DSGVO). Soweit wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerderecht (Art. 77 DSGVO). Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist: [Datenschutz-Aufsichtsbehörde des Bundeslandes des Betreibers, mit Anschrift].

10. Cookies und lokale Speicherung

Die Website gympli.com setzt keine Cookies. Die Web-App setzt nur Cookies, die für den von Ihnen gewünschten Dienst unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG):

Im lokalen Speicher Ihres Browsers legt die Web-App nur Ihr gewähltes Farbschema und Ihre Sprache ab. Weil wir keine Analyse-, Werbe- oder Tracking-Technik einsetzen und keine Inhalte Dritter laden, brauchen wir keine Einwilligung und zeigen kein Cookie-Banner.

11. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Name, E-Mail-Adresse und Passwort brauchen wir, um ein Konto anzulegen; Inhaber müssen außerdem die Zahlungsangaben bei Stripe hinterlegen. Ohne diese Angaben können Sie Gympli nicht nutzen. Alle übrigen Angaben sind freiwillig. Wir treffen keine automatisierten Entscheidungen und erstellen keine Profile im Sinne von Art. 22 DSGVO.

12. Mindestalter

Gympli richtet sich nicht an Personen unter 16 Jahren. Bei der Registrierung und bei der Übernahme eines vom Trainer angelegten Kontos bestätigen Sie, mindestens 16 Jahre alt zu sein. Erfahren wir, dass ein Konto einer jüngeren Person gehört, löschen wir es.

13. Sicherheit

Alle Verbindungen sind per TLS verschlüsselt. Passwörter speichern wir nur als Hash, Zwei-Faktor-Geheimnisse verschlüsselt, Fotos und Anhänge in einem nicht öffentlichen Speicher mit Abruf nur nach Anmeldung, und Datenexporte verschlüsselt. Der Zugriff innerhalb einer Organisation folgt festen Rollen. Weitere Angaben enthält unser Auftragsverarbeitungsvertrag.

14. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung; über wesentliche Änderungen informieren wir registrierte Nutzer vorab per E-Mail oder in der App.