Datenschutzerklärung

1. Verantwortlicher und Datenschutzkontakt

Verantwortlich für die in eigener Verantwortung durchgeführten Verarbeitungen ist:

Mike Schnabel
Einzelunternehmer, handelnd unter Barbell Madness
Lübecker Straße 92
39124 Magdeburg
Deutschland
E-Mail: info@barbellmadness.com

Für Datenschutzfragen und die Ausübung Ihrer Rechte können Sie Mike Schnabel unter diesen Kontaktdaten erreichen. Eine besondere Form oder ein Benutzerkonto ist für eine Datenschutzanfrage nicht erforderlich.

2. Rollen von Barbell Madness und Ihrem Gym

2.1 Eigene Verantwortung von Barbell Madness

Wir entscheiden insbesondere über die Verarbeitung für unsere Informationswebsite, eigene Interessenten- und Kundenkontakte, die Geschäftsbeziehung mit Gym-Betreibern, unsere eigene Abrechnung und die Bearbeitung an uns gerichteter Anfragen. Soweit wir Zwecke und wesentliche Mittel des plattformweiten Kontos, der Authentifizierung und der übergreifenden Betriebssicherheit selbst bestimmen, handeln wir auch dafür als Verantwortlicher.

2.2 Verarbeitung im Auftrag eines Gyms

Für die Verwaltung seiner Mitglieder, Beschäftigten und Coaches sowie für Mitgliedsverträge, Kurse, Trainingsbetreuung, Veranstaltungen und eigene Kommunikation ist grundsätzlich der jeweilige Gym-Betreiber verantwortlich. Wir stellen die Software bereit und verarbeiten die betreffenden Daten für das Gym nach dessen dokumentierten Weisungen als Auftragsverarbeiter. Die Rechtsgrundlage für diese fachlichen Verarbeitungen bestimmt das Gym. Der Vertrag zur Auftragsverarbeitung ersetzt dabei nicht die vom Gym benötigte Rechtsgrundlage gegenüber seinen Mitgliedern.

Die Zuordnung richtet sich nach der tatsächlichen Verarbeitung. Allein die Nutzung eines gemeinsamen Benutzerkontos macht mehrere Gyms nicht automatisch zu gemeinsam Verantwortlichen. Sind Sie mehreren Gyms zugeordnet, sind deren Daten und Zuständigkeiten getrennt zu betrachten. Die Datenschutzhinweise Ihres Gyms ergänzen diese Plattforminformationen insbesondere um seinen Namen, seine Kontaktdaten, konkrete Zwecke, Empfänger, Sichtbarkeitseinstellungen und Aufbewahrungsfristen.

Sie können uns auch bei einem Anliegen zu Gym-Daten kontaktieren. Soweit wir im Auftrag handeln, unterstützen wir das zuständige Gym bei der Bearbeitung. Eine Weiterleitung ändert nichts an den gesetzlichen Pflichten und Fristen des Verantwortlichen.

3. Rechtsgrundlagen

Wir ordnen die Rechtsgrundlage dem jeweiligen Zweck zu:

• Art. 6 Abs. 1 Buchst. b DSGVO: Daten, die für einen Vertrag mit Ihnen oder für von Ihnen veranlasste vorvertragliche Schritte erforderlich sind.
• Art. 6 Abs. 1 Buchst. c DSGVO: Erfüllung einer gesetzlichen Verpflichtung, etwa steuerlicher Aufbewahrungspflichten oder der Bearbeitung von Betroffenenrechten.
• Art. 6 Abs. 1 Buchst. f DSGVO: Erforderliche Verarbeitungen aufgrund berechtigter Interessen nach Abwägung mit Ihren Interessen und Grundrechten. Die jeweiligen Interessen werden bei den betreffenden Verarbeitungen genannt.
• Art. 6 Abs. 1 Buchst. a DSGVO: Freiwillige, zweckbezogene Einwilligung, insbesondere bei optionaler Werbung oder bestimmten Veröffentlichungen.
• Art. 9 Abs. 2 Buchst. a DSGVO: Zusätzlich zur einschlägigen Grundlage nach Art. 6 DSGVO eine ausdrückliche Einwilligung, wenn besondere Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten, verarbeitet werden und keine andere passende gesetzliche Ausnahme vorliegt.

Art. 6 Abs. 1 Buchst. b DSGVO wird nur angewendet, wenn Sie selbst Vertragspartei sind oder entsprechende vorvertragliche Schritte verlangen. Kommuniziert etwa eine Kontaktperson im Namen eines Unternehmens mit uns, kann Art. 6 Abs. 1 Buchst. f DSGVO mit dem Interesse an der Durchführung dieser Geschäftsbeziehung einschlägig sein.

Ob wir Informationen auf Ihrem Endgerät speichern oder daraus auslesen dürfen, beurteilt sich zusätzlich nach § 25 TDDDG. Diese Frage ist von der anschließenden Verarbeitung personenbezogener Daten nach der DSGVO zu unterscheiden; Einzelheiten stehen in Abschnitt 16. Die bloße Kenntnisnahme dieser Erklärung ist keine Einwilligung in optionale Verarbeitungen.

4. Website und technische Bereitstellung

Die öffentliche Informationswebsite wird über ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland, bereitgestellt. Für Webanwendung, API und PostgreSQL-Datenbank setzen wir Render Services, Inc., USA, mit der Anwendungs- und Datenbankregion Frankfurt am Main ein.

Beim Abruf entstehen technische Verbindungs- und Nutzungsdaten. Dazu gehören insbesondere IP-Adresse, Datum und Uhrzeit, angeforderte Adresse oder Datei, HTTP-Methode, Antwortstatus, übertragene Datenmenge, Browser- und Betriebssysteminformationen sowie eine gegebenenfalls übermittelte Referrer-Adresse. Bei angemeldeter Nutzung können interne Konto-, Mandanten- und Vorgangskennungen hinzukommen.

Die Verarbeitung dient der Auslieferung der Inhalte, der Fehleranalyse, der Stabilität sowie der Erkennung und Abwehr von Angriffen und Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unsere Interessen sind ein funktionsfähiges und sicheres Angebot sowie der Schutz von Nutzern und Systemen. Soweit die Verarbeitung unmittelbar für die von Ihnen angeforderte Vertragsleistung erforderlich ist, gilt Art. 6 Abs. 1 Buchst. b DSGVO.

Die Informationswebsite bindet im derzeit beschriebenen Angebot keine Werbenetzwerke oder Dienste zur statistischen Reichweitenmessung ein. Die dort verwendeten Schriftdateien und Bilder werden als eigene Website-Dateien ausgeliefert. Eine bloße Verlinkung zu einer externen Seite übermittelt durch unsere Website noch keine Inhalte an den verlinkten Anbieter; beim Aufrufen des Links gelten zusätzlich dessen Verarbeitungen.

5. Kontakt, Interessenten und Support

Wenn Sie uns per E-Mail oder über eine angebotene Supportfunktion kontaktieren, verarbeiten wir Ihre Kontaktdaten, den Inhalt, übermittelte Anhänge, Zeitpunkt und Bearbeitungsverlauf sowie die zur Klärung erforderlichen Konto- und Gym-Zuordnungen. Bitte übermitteln Sie nur die für Ihr Anliegen erforderlichen Informationen und keine Passwörter oder vollständigen Zahlungszugangsdaten.

Für Vertrags- oder vorvertragliche Anliegen gilt Art. 6 Abs. 1 Buchst. b DSGVO. Für allgemeine Anfragen und die Kommunikation mit geschäftlichen Ansprechpartnern gilt Art. 6 Abs. 1 Buchst. f DSGVO; unser Interesse ist die sachgerechte Bearbeitung und nachvollziehbare Kommunikation. Bei gesetzlichen Auskunfts- und sonstigen Betroffenenanträgen gilt Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit den einschlägigen Vorschriften der DSGVO.

Unsere E-Mail-Infrastruktur wird über ALL-INKL bereitgestellt. Supportpersonal erhält Zugriff auf die für das Anliegen erforderlichen Daten. Ein Zugriff auf Gym-Daten im Rahmen des beauftragten Supports erfolgt entsprechend der jeweiligen Berechtigung und Weisung. Bestehen im Einzelfall besondere Kategorien von Daten im Anliegen, ist deren gesonderte Rechtsgrundlage zu beachten; eine unaufgeforderte Nachricht ersetzt keine erforderliche ausdrückliche Einwilligung.

Allgemeine Anfragen werden nach Abschluss gelöscht, sobald keine sachliche Notwendigkeit mehr besteht. Geschäftliche Korrespondenz und zur Rechtsverteidigung erforderliche Teile werden nur im Umfang der in Abschnitt 20 erläuterten gesetzlichen Pflichten beziehungsweise Nachweisinteressen weiter aufbewahrt.

6. Benutzerkonto, Anmeldung und Zugriffsschutz

Für die Einrichtung und Verwaltung eines Kontos verarbeiten wir insbesondere Name, E-Mail-Adresse, Kennwort in gehashter Form, Kontostatus, Gym-Zuordnungen, Rollen und Berechtigungen. Je nach Funktion kommen Profilangaben, Einladungs- oder Bestätigungsdaten, Kennwortzurücksetzungen, Zwei-Faktor-Authentifizierung, Wiederherstellungscodes und Informationen zu angemeldeten beziehungsweise vertrauenswürdigen Geräten hinzu.

Bei der Anmeldung und Nutzung verarbeiten wir Sitzungskennungen, Anmelde- und Ablaufzeiten sowie erforderliche technische Informationen, etwa Browser- beziehungsweise Gerätedaten und sicherheitsrelevante Ereignisse. Das ermöglicht die Prüfung Ihrer Zugriffsrechte, die Zuordnung zum richtigen Gym, den Widerruf von Sitzungen und die Abwehr unberechtigter Zugriffe.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO, soweit ein entsprechendes Nutzungsverhältnis mit Ihnen besteht. Im Übrigen stützen wir die notwendige technische Kontoführung und Absicherung auf Art. 6 Abs. 1 Buchst. f DSGVO mit den Interessen an kontrollierten Zugängen und sicherer Bereitstellung. Im Auftrag des Gyms verarbeitete Kontodaten unterliegen dessen Zweckbestimmung und Rechtsgrundlage.

Die Angabe erforderlicher Anmeldedaten ist für ein persönliches Konto notwendig. Ohne sie können wir keinen individuellen Zugang bereitstellen. Freiwillige Profilangaben und optionale Einwilligungen sind hiervon getrennt. Informationen zu den auf dem Endgerät gespeicherten Kennungen finden Sie in Abschnitt 16.

7. Gym-, Mitglieder-, Coach- und Personalverwaltung

Ein Gym kann Stammdaten wie Name, Anschrift, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Anrede und gegebenenfalls Geschlecht sowie Mitgliedschaft, Vertragsstatus, Kontaktverlauf und fachlich erforderliche Notizen verwalten. Freiwillige Notfallkontakte können Name, Beziehung zur Person und Telefonnummer umfassen. Welche Angaben tatsächlich verlangt werden, richtet sich nach dem Angebot des Gyms.

Für Coaches und Beschäftigte können zusätzlich Dienst- und Einsatzpläne, Qualifikationen, Abwesenheiten, Aufgaben und interne Berechtigungen verarbeitet werden. Die arbeits- oder beschäftigungsrechtliche Grundlage und die gegebenenfalls erforderlichen zusätzlichen Informationen bestimmt der jeweilige Arbeitgeber beziehungsweise Auftraggeber, insbesondere unter Berücksichtigung von § 26 BDSG, soweit anwendbar.

Die Daten stammen aus Ihren Eingaben, aus Angaben berechtigter Gym-Mitarbeiter, aus vom Gym veranlassten Importen und aus den bei der Nutzung entstehenden Vorgängen. Bei Angaben über Dritte, etwa Notfallkontakte, müssen die verantwortlichen Stellen auch die Informationspflichten gegenüber diesen Personen beachten. Soweit Barbell Madness für eigene Zwecke Daten aus anderen Quellen erhält, informieren wir nach Art. 14 DSGVO, sofern keine gesetzliche Ausnahme greift, grundsätzlich innerhalb eines Monats und gegebenenfalls bereits bei der ersten Kommunikation oder Offenlegung.

Zugriff erhalten innerhalb des Gyms die Personen, die ihn für ihre Aufgaben benötigen. Bei rechtmäßigem Support können hierfür freigegebene Plattformmitarbeiter hinzukommen. Außerhalb des jeweiligen Aufgabenbereichs besteht keine allgemeine Berechtigung zum Zugriff auf vollständige Mitgliedsakten. Das Gym informiert insbesondere über seine Vertrags-, Beschäftigungs- und Nachweiszwecke sowie seine Aufbewahrungsfristen.

8. Kurse, Buchungen, Probetrainings, Drop-ins und Events

Zur Durchführung dieser Funktionen werden insbesondere Personen- und Kontaktdaten, ausgewähltes Gym, Kurs oder Veranstaltung, Termin, Buchungsstatus, Wartelistenposition, Teilnahme, Check-in, Absage, Nichterscheinen und gegebenenfalls Zahlungs- oder Erstattungsstatus verarbeitet. Bei öffentlichen Formularen kommen die von Ihnen eingegebenen Angaben und notwendige technische Missbrauchsschutzdaten hinzu.

Das Gym verarbeitet die erforderlichen Daten zur Durchführung des von Ihnen angefragten oder gebuchten Angebots regelmäßig auf Grundlage von Art. 6 Abs. 1 Buchst. b DSGVO. Für zusätzliche Organisations- oder Sicherheitszwecke muss es die jeweils passende Grundlage bestimmen. Berechtigte Coaches und organisatorisch zuständige Personen können Teilnehmer- und Buchungsinformationen einsehen. Über die Sichtbarkeit von Teilnehmernamen gegenüber anderen Mitgliedern informiert das Gym gesondert.

Pflichtfelder werden für die jeweilige Buchung benötigt. Ohne diese Angaben kann das angefragte Angebot gegebenenfalls nicht organisiert werden. Eine Einwilligung in Werbung ist keine Voraussetzung für die Bearbeitung einer Buchungsanfrage. Eine gesundheitsbezogene Teilnahmeerklärung wird gesondert behandelt; die Zustimmung zu allgemeinen Teilnahmebedingungen stellt keine pauschale Einwilligung in Gesundheitsdatenverarbeitung dar.

Die Plattform unterstützt regelbasierte Wartelisten, Buchungsgrenzen, Absagefristen und Folgen verspäteter Absagen. Welche Regeln Ihr Gym nutzt und wie Sie eine Überprüfung verlangen können, erläutern die Gym-Informationen und Abschnitt 22.

9. Trainingsplanung und Leistungsdaten

Bei Nutzung der Trainingsfunktionen werden unter anderem Trainingspläne, Übungen, Workouts, Datum, Varianten, Wiederholungen, Sätze, verwendete Gewichte, Zeiten, Distanzen, weitere Ergebniswerte, Bestleistungen und eingegebene Notizen verarbeitet. Daraus können Trainingshistorien, Fortschrittsdarstellungen und Ranglisten entstehen.

Zweck ist die von Ihnen genutzte Trainingsdokumentation und, soweit vom Gym angeboten, die Betreuung und Trainingsplanung. Für gewöhnliche, zur vereinbarten Leistung erforderliche Trainingsdaten kommt Art. 6 Abs. 1 Buchst. b DSGVO in Betracht. Soweit die Angaben oder ihre Kombination Rückschlüsse auf den Gesundheitszustand ermöglichen, sind zusätzlich die Voraussetzungen des Art. 9 DSGVO zu erfüllen. Die Bezeichnung als Sport- oder Leistungsdaten schließt deren Einordnung als Gesundheitsdaten nicht aus.

Die Sichtbarkeit unterscheidet sich nach Bereich: persönliche Inhalte, Freigaben für betreuende Personen und Darstellungen in Community oder Ranglisten müssen getrennt betrachtet werden. Bitte tragen Sie Diagnosen, Verletzungen oder andere sensible Angaben nicht in allgemein sichtbare Freitextfelder ein. Für gewünschte gesundheitliche Angaben sind die dafür vorgesehenen, gesondert abgesicherten Funktionen zu verwenden.

Persönliche Ergebnisse werden im eigenen Konto verarbeitet. Je nach genutztem Bereich können Namen und Ergebnisse zusätzlich für betreuende Personen, Mitglieder Ihres Gyms oder bei einer gesondert freigegebenen Veranstaltung für deren Publikum sichtbar sein. Das verantwortliche Gym muss Sie vorab über den konkreten Sichtbarkeitskreis informieren und eine erforderliche ausdrückliche Freigabe einholen. Die Freigabe persönlicher Trainingsdokumentation umfasst keine allgemeine Veröffentlichung im Internet oder eine Weitergabe an andere Gyms. Einwilligungen und Veröffentlichungen können Sie beim Gym und unter unserem Datenschutzkontakt widerrufen beziehungsweise ihre Entfernung beantragen.

10. Freiwillige Körpermesswerte und Gesundheitsdaten

Die Funktion „Athlete Metrics“ ermöglicht insbesondere Angaben zu Körpergewicht, Körpergröße, Körperfett, Muskelmasse und Körperumfängen, zu Messzeitpunkten, persönlichen Zielen und Verläufen. Aus Gewicht und Körpergröße kann der Body-Mass-Index berechnet werden; Zielwerte und Zeiträume können zu regelbasierten Einschätzungen führen. Diese Daten und Auswertungen können Informationen über Ihre körperliche Verfassung offenlegen und werden entsprechend geschützt.

Zweck ist die von Ihnen gewünschte freiwillige Dokumentation und Auswertung Ihrer körperbezogenen Entwicklung. Für die optionale Verarbeitung kommt Art. 6 Abs. 1 Buchst. a DSGVO in Verbindung mit Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 Buchst. a DSGVO zur Anwendung. Die konkrete Einwilligung muss erkennen lassen, wer verantwortlich ist, welche Werte und Auswertungen verarbeitet werden und welche betreuenden Personen gegebenenfalls Zugriff erhalten. Eine Zustimmung zu AGB oder zu dieser Datenschutzerklärung genügt dafür nicht.

Die Funktion ist freiwillig. Eine Ablehnung oder ein Widerruf darf die Nutzung unabhängig davon angebotener Grundfunktionen nicht ausschließen. Die persönliche Messwertanalyse, der zusätzliche Zugriff berechtigter Owner und Coaches des ausgewählten Gyms sowie interne Wettkampf-Gewichtswertungen sind unterschiedliche Zwecke. Eine Freigabe für persönliche Analyse allein ist keine Erlaubnis für Teamzugriff, Wettkampfverarbeitung oder öffentliche Veröffentlichung. Für jeden zusätzlich angebotenen Zweck muss die erforderliche ausdrückliche Entscheidung vorliegen.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über die hierfür bereitgestellte Funktion oder durch Nachricht an Ihr Gym beziehungsweise unseren Datenschutzkontakt widerrufen. Die Rechtmäßigkeit der vorherigen Verarbeitung bleibt unberührt. Nach dem Widerruf endet die hierauf gestützte weitere Verarbeitung; die betroffenen Daten sind zu löschen, soweit keine eigenständige, rechtlich tragfähige Ausnahme ihre begrenzte weitere Aufbewahrung erlaubt. Notwendige Einwilligungs- und Widerrufsnachweise sind von den Messwerten zu unterscheiden.

Messwerte werden für die Auswertung in der Plattform verarbeitet und daher an deren Server übertragen. Sie verbleiben nicht ausschließlich auf Ihrem Telefon. Die Verarbeitung erfolgt über die in den Abschnitten 14 und 18 beschriebenen Systeme, soweit deren Funktionen betroffen sind.

Bei einem Widerruf prüfen wir beziehungsweise das verantwortliche Gym die betroffenen Messwerte, Notizen, Ziele, Einstellungen und zugehörigen Importdaten, beenden die auf dieser Einwilligung beruhende weitere Nutzung und entfernen Daten, für deren Aufbewahrung keine andere tragfähige Rechtsgrundlage besteht. Ein Widerruf nur der Teamfreigabe betrifft den zusätzlichen Teamzugriff; eine weiterhin wirksame persönliche Messwertnutzung kann bestehen bleiben. Export- und Löschanliegen können Sie auch unmittelbar an den Datenschutzkontakt richten. Einwilligungs- und Zugriffsnachweise sowie Sicherungskopien werden nach den getrennten Regeln in Abschnitt 20 behandelt.

11. Community, Profilbilder, Medien und Veröffentlichungen

Bei Nutzung von Community-Funktionen können Profilname, Profilbild, Beiträge, Kommentare, Reaktionen, Challenge-Ergebnisse, Nachrichten und Zeitangaben verarbeitet und den für den jeweiligen Bereich zugelassenen Personen angezeigt werden. Das Einreichen eines Inhalts führt zur Verarbeitung für die gewünschte Darstellung; Umfang und Rechtsgrundlage sind anhand des konkreten Bereichs zu bestimmen.

Eine Veröffentlichung auf einer frei zugänglichen Website, in sozialen Netzwerken oder zu Werbezwecken ist ein eigener Zweck. Soweit hierfür eine Einwilligung erforderlich ist, muss diese die vorgesehenen Medien, Zwecke, Daten und Empfänger erkennen lassen. Eine allgemeine Plattformregistrierung ist keine pauschale Erlaubnis für Werbefotos oder die öffentliche Verbreitung von Trainingsergebnissen.

Wenn Sie Inhalte für andere Nutzer sichtbar machen, können diese davon Kenntnis nehmen und gegebenenfalls eigene Kopien erstellen. Bei öffentlichen Inhalten ist ein weltweiter Abruf einschließlich aus Staaten außerhalb des EWR möglich. Bitte veröffentlichen Sie keine personenbezogenen Daten anderer Personen ohne entsprechende Berechtigung. Widerrufs- und Löschanliegen können an das verantwortliche Gym und unseren Datenschutzkontakt gerichtet werden; gesetzliche Pflichten und die Rechte anderer Personen werden dabei berücksichtigt.

Die Anzeige im jeweiligen nutzerseitig veranlassten Funktionsbereich kann auf Art. 6 Abs. 1 Buchst. b DSGVO beruhen, soweit sie Teil einer Vertragsleistung an Sie ist. Freiwillige Veröffentlichungen und Mediennutzungen können eine Einwilligung nach Art. 6 Abs. 1 Buchst. a und bei Gesundheitsbezug zusätzlich Art. 9 Abs. 2 Buchst. a DSGVO erfordern. Das Gym konkretisiert die jeweiligen Zwecke und Sichtbarkeitskreise. Für Minderjährige gilt ergänzend Abschnitt 21.

12. Betriebliche Nachrichten, Newsletter und Zustellinformationen

12.1 Erforderliche Mitteilungen

Bestätigungen, Terminänderungen, Sicherheitsnachrichten, Kennwortzurücksetzungen und notwendige Vertragsmitteilungen dienen der angeforderten Leistung oder der Sicherheit. Verarbeitet werden Empfänger- und Kontaktdaten, Nachrichteninhalt, Anlass, Versandzeit und erforderlicher Zustellstatus. Grundlage ist je nach Anlass Art. 6 Abs. 1 Buchst. b, c oder f DSGVO. Berechtigte Interessen bestehen insbesondere an einer zuverlässigen, nachvollziehbaren und sicheren Kommunikation. Solche Mitteilungen werden von freiwilliger Werbung getrennt.

12.2 Freiwillige Werbung und Newsletter

Soweit wir oder Ihr Gym Newsletter und Angebote per E-Mail auf Grundlage einer Einwilligung versenden, werden Adresse, gegebenenfalls Name und Zuordnung, Abonnementstatus und Einwilligungsnachweis verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. a DSGVO; zusätzlich sind die wettbewerbsrechtlichen Anforderungen an elektronische Werbung zu beachten. Das jeweils werbende Gym beziehungsweise Barbell Madness ist als Absender und Verantwortlicher kenntlich zu machen. Eine Einwilligung muss diesen Absender und die beworbenen Zwecke abdecken.

Sie können eine erteilte Einwilligung jederzeit widerrufen, insbesondere über den Abmeldelink einer Newsletter-E-Mail oder durch Kontakt mit dem Absender. Der Widerruf wirkt für die Zukunft. Ein erforderlicher Sperrvermerk kann gespeichert bleiben, damit Sie keine weitere Werbung erhalten. Technische Zustellinformationen umfassen insbesondere Versandversuche, Zustellfehler und Abmeldungen; damit werden Fehlzustellungen, wiederholte unzustellbare Sendungen und unerwünschte Werbung vermieden. Grundlage für einen erforderlichen Sperrvermerk und begrenzte Versandnachweise ist Art. 6 Abs. 1 Buchst. f DSGVO mit diesen Interessen und gegebenenfalls Art. 6 Abs. 1 Buchst. c DSGVO.

12.3 Individuelle Öffnungs- und Klickmessung

Die Software unterstützt optional individuelle Öffnungs- und Klickmessung durch zugeordnete Bildabrufe beziehungsweise umgeleitete Links. Dabei können Versandkennung, zugeordnetes Konto beziehungsweise E-Mail-Adresse, Zeitpunkt, Öffnungs- und Klickzähler sowie Angaben zum angeklickten Link verarbeitet werden. Technisch fallen zusätzlich Verbindungsdaten an. Solche Messungen dienen der Auswertung des persönlichen Umgangs mit einer Nachricht und sind von der reinen Versandkontrolle zu unterscheiden.

Vor ihrem Einsatz sind eine gesonderte, freiwillige und informierte Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO und, soweit Endeinrichtungen betroffen sind, § 25 Abs. 1 TDDDG einzuholen. Eine allgemeine Newsletter-Einwilligung darf nicht ohne entsprechende Information und Wahlmöglichkeit als Zustimmung zur individuellen Messung behandelt werden. Der Widerruf muss auch für die Messung möglich sein.

Newsletterversand setzt eine aktuelle, auf den jeweiligen Absender und die beworbenen Zwecke bezogene Einwilligung voraus. Individuelle Messung erfordert zusätzlich eine gesonderte optionale Messfreigabe. Sie können diese unabhängig widerrufen, ohne den Newsletter abzubestellen. Der Absender muss den Widerruf bei künftigem Versand und künftiger Messung berücksichtigen und vorhandene Messdaten ohne andere tragfähige Grundlage löschen. Eine bereits an den Mailserver übertragene Nachricht kann nicht zurückgerufen werden. Über seinen tatsächlichen SMTP-Versanddienst informiert das jeweilige Gym ergänzend. Für unsere eigene E-Mail-Infrastruktur setzen wir ALL-INKL ein.

13. Verträge, Abrechnung, Bankdaten und Zahlungen

Bei der Abrechnung unserer Leistungen gegenüber Gym-Kunden verarbeiten wir Vertrags- und Geschäftskontaktdaten, Rechnungsanschrift, Steuerangaben, Leistung, Entgelt, Rechnungsnummer, Fälligkeit und Zahlungsstatus. Grundlage ist Art. 6 Abs. 1 Buchst. b DSGVO beziehungsweise bei geschäftlichen Kontaktpersonen Art. 6 Abs. 1 Buchst. f DSGVO. Für gesetzlich erforderliche Rechnungs- und Buchführungsdaten gilt Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit den anwendbaren steuer- und handelsrechtlichen Vorschriften.

Ein Gym kann Mitgliedsverträge, Rechnungen, Zahlungszuordnungen und Mahnvorgänge verwalten. Soweit die vereinbarte Zahlungsart dies erfordert, können Kontoinhaber, IBAN, BIC, Mandatsstatus, Mandatsdatum und Zahlungsreferenzen verarbeitet werden. Die fachliche Verantwortung liegt beim jeweiligen Gym. Banken erhalten bei einer tatsächlich beauftragten Überweisung oder Lastschrift die hierfür erforderlichen Daten. Die Speicherung eines Mandats oder die technische Möglichkeit einer SEPA-Datei belegt für sich noch keinen tatsächlich durchgeführten Bankeinzug.

Die verwendete Zahlungsart ergibt sich aus Ihrer Vereinbarung mit dem jeweiligen Anbieter der Leistung. Rechnungsstellung und ein SEPA-Dateiexport führen für sich allein noch nicht zu einer Weitergabe an einen Online-Zahlungsdienst. Falls ein zusätzlicher Zahlungsdienst für Ihre Zahlung eingesetzt wird, erhalten Sie vor der betreffenden Übermittlung die konkreten Anbieter- und Datenschutzinformationen.

14. Dokumente, private Dateispeicherung und Schadsoftwareprüfung

Die Plattform kann Dateien wie Vertragsunterlagen, Mitgliedsdokumente, Profilbilder, Gym-Logos, Newsletter- und Veranstaltungsanhänge verarbeiten. Neben dem Inhalt entstehen Metadaten, insbesondere Dateiname, Typ, Größe, Prüfsumme, hochladende Person, Gym-Zuordnung, Kategorie, Berechtigungen und Scanstatus. Dateien können auch Daten Dritter oder Gesundheitsangaben enthalten; der Verantwortliche muss die hierfür erforderliche Grundlage sicherstellen.

Für die private Dateispeicherung setzen wir Cloudflare R2 ein. Die dokumentierte Anbindung verwendet die EU-Jurisdiktion. Der Speicher dient der Bereitstellung der von Ihnen beziehungsweise dem Gym benötigten Dokumente; Zugriffe werden über die Anwendung und deren Berechtigungen gesteuert. Aus der Nutzung eines privaten Buckets folgt keine öffentliche Zugänglichkeit aller Dateien. Für ausdrücklich veröffentlichte Bilder oder Dokumente gelten zusätzlich die Informationen zum jeweiligen Veröffentlichungskreis.

Zur Prüfung hochgeladener Dateien auf Schadsoftware werden die Dateiinhalte an einen von uns betriebenen ClamAV-Prüfdienst auf Google Cloud Run in Frankfurt am Main, Region europe-west3, übertragen. Google stellt dafür die technische Infrastruktur bereit. Die Übermittlung betrifft die tatsächlichen Dateiinhalte, nicht lediglich einen anonymen Prüfwert. Der eigene Scanner verarbeitet die Datei zur technischen Prüfung und führt im beschriebenen Prüfablauf kein dauerhaftes Dateiarchiv. Scanstatus und erforderliche Metadaten können in der Plattform gespeichert werden; Betriebs- und Infrastrukturprotokolle sind hiervon zu unterscheiden.

Die Verarbeitung für die angeforderte Dokumentenfunktion erfolgt auf der einschlägigen Vertragsgrundlage beziehungsweise im Auftrag des Gyms. Für die erforderliche Sicherheitsprüfung besteht ein berechtigtes Interesse am Schutz aller Nutzer und Systeme nach Art. 6 Abs. 1 Buchst. f DSGVO, unter Beachtung der Sicherheitsverpflichtungen nach Art. 32 DSGVO. Enthalten Dateien Gesundheitsdaten, muss auch die für deren Verarbeitung erforderliche Grundlage nach Art. 9 DSGVO die beauftragten technischen Verarbeitungsschritte abdecken. Art. 32 DSGVO allein ersetzt diese Grundlage nicht.

15. Optionale Verbindung mit Google Calendar

Sofern Ihnen die Kalenderfunktion angeboten wird und Sie Ihr Google-Konto aktiv verbinden, können bestätigte Coach-Dienste in Ihren Google-Kalender übertragen und dort aktualisiert beziehungsweise entfernt werden. Verarbeitet werden die verbundene Google-E-Mail-Adresse, Berechtigungsumfang, Zugriffstoken und gegebenenfalls Aktualisierungstoken, Kalenderkennung sowie Terminangaben wie Titel, Ort, Datum, Zeit und Coach-Rolle. Die Synchronisation nutzt außerdem technische Zuordnungen, um eigene Termine wiederzuerkennen.

Der bei dieser Verbindung verwendete Berechtigungsumfang umfasst die Identifizierung des verbundenen Google-Kontos und den Zugriff auf Ereignisse in eigenen Kalendern. Bei der Synchronisation werden die von Barbell Madness gekennzeichneten Diensttermine abgeglichen. Die erteilte technische Google-Berechtigung und der in dieser Erklärung beschriebene Zweck sind zu unterscheiden; die App darf die Zugriffsmöglichkeit nicht für beliebige andere Kalenderzwecke verwenden.

Die Verbindung ist freiwillig. Soweit die Übertragung nicht zur vertraglich geschuldeten Grundfunktion gehört, erfolgt sie auf Grundlage Ihrer Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO. Sie können die Verbindung in der angebotenen Kontofunktion trennen und zusätzlich den Zugriff in Ihrem Google-Konto widerrufen. Die weitere Speicherung bereits übertragener Termine bei Google richtet sich auch nach Ihren dortigen Einstellungen; ein Entzug der technischen Berechtigung löscht solche Termine nicht automatisch.

Google verarbeitet Daten im Rahmen des von Ihnen genutzten Google-Kontos nach den hierfür geltenden Bedingungen. Informationen finden Sie in Googles Datenschutzhinweisen. Die Kalenderverbindung ist von der Infrastrukturverarbeitung durch Google Cloud Run zu unterscheiden. Der tatsächliche Betrieb und die Rollen bei einer vom Gym verwendeten Workspace-Umgebung müssen einzelfallbezogen berücksichtigt werden.

16. Cookies und lokale Speicherung

Die öffentliche Informationswebsite verwendet keine eigenen Analyse- oder Werbecookies. Die Webanwendung verwendet Cookies und lokale Speicher für Anmeldung, Zugriffsschutz, Darstellung und die jeweils genutzten Funktionen.

Soweit Speichern oder Auslesen für die von Ihnen ausdrücklich angeforderte Funktion unbedingt erforderlich ist, gilt § 25 Abs. 2 Nr. 2 TDDDG; für die reine Nachrichtenübertragung gegebenenfalls Nr. 1. Darüber hinausgehende Speicherungen erfordern vorherige Einwilligung nach § 25 Abs. 1 TDDDG. Die anschließende personenbezogene Verarbeitung richtet sich je Zweck nach Art. 6 Abs. 1 Buchst. b, f oder a DSGVO. Das Sicherheitsinteresse besteht im Schutz Ihres Zugangs und der Systeme.

Sie können Cookies und Website-Daten über Ihren Browser entfernen oder beschränken. Dabei können die Anmeldung, lokale Einstellungen und noch nicht übermittelte Eingaben verloren gehen. Auf gemeinsam benutzten Geräten melden Sie sich nach Nutzung ab, nutzen die Zugriffssperre und entfernen bei Bedarf die Website-Daten.

17. Native Member-App und Geräteberechtigungen

Die native App verwendet die Plattform-API. Konto-, Buchungs- und sonstige in der App verwendete Daten werden deshalb nach den für die jeweilige Funktion beschriebenen Regeln serverseitig verarbeitet. Bei API-Aufrufen fallen zusätzlich technische Verbindungsdaten an.

Auf dem Gerät speichert die App über den geschützten Betriebssystemspeicher die zuletzt verwendete E-Mail-Adresse, den gewählten Gym-Kontext und die Einstellung zur biometrischen App-Sperre. Die Anmeldung nutzt außerdem die native Verwaltung von Sitzungscookies. Diese lokalen Angaben werden für die Wiederaufnahme der angeforderten Nutzung und den Zugriffsschutz verwendet.

Wenn Sie die biometrische App-Sperre verwenden, prüft das Betriebssystem die eingerichtete Gerätebiometrie. Barbell Madness erhält das Ergebnis der Freigabeprüfung, jedoch keine Fingerabdruckvorlage, Gesichtsvorlage oder sonstigen biometrischen Rohmerkmale. Die Einstellung kann in der App geändert werden. Die bloße Nutzung dieser lokalen Betriebssystemfunktion ist von der Verarbeitung eigener biometrischer Identifikationsdaten durch einen Server zu unterscheiden.

Die hier beschriebene Member-App enthält keine Werbe-SDKs und keine von uns eingesetzte geräteübergreifende Werbeverfolgung. Ein Zugriff auf Standort oder Adressbuch sowie eine Anbindung an Apple Health beziehungsweise Health Connect sind im hier beschriebenen Funktionsumfang nicht vorgesehen. Neue Berechtigungen oder Integrationen erfordern passende Informationen vor ihrer Nutzung.

Für Build und technische Bereitstellung der App nutzen wir Expo Application Services von Expo / 650 Industries, Inc. Die Verwendung des Expo-Frameworks bedeutet nicht automatisch, dass unsere Mitglieder- oder Gesundheitsdaten an einen Expo-Analysedienst übermittelt werden. Informationen zu neu angebotenen Push-, Update- oder zusätzlichen Analysediensten erhalten Sie vor deren Einsatz, soweit diese Ihre Daten betreffen.

Apple und Google verarbeiten bei Download, Installation, Storekonto und gegebenenfalls plattformeigener Diagnose Daten nach ihren eigenen Bedingungen. Einzelheiten finden Sie in den Datenschutzinformationen von Apple und Google. Diese Verarbeitung ist von den Funktionsdaten in Barbell Madness zu unterscheiden.

Lokale Einstellungen bestehen grundsätzlich bis zur Änderung oder Bereinigung durch App beziehungsweise Betriebssystem. Über die App-Einstellungen und die Betriebssystemverwaltung können Sie den lokalen Speicher verwalten. Die Deinstallation oder Abmeldung ist keine serverseitige Kontolöschung. Betriebssystemspezifische geschützte Speicher können eine Deinstallation überdauern, insbesondere iOS-Schlüsselbunddaten. Betriebssystem- oder Sicherungsdaten unterliegen zusätzlich den Regeln der jeweiligen Plattform. Für die Kontolöschung gilt Abschnitt 20.

18. Dienstleister und weitere Empfänger

Wir setzen folgende technische Dienste im beschriebenen Umfang ein:

• ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich, Deutschland: öffentliche Website, Hosting und unsere E-Mail-Infrastruktur.
• Render Services, Inc., USA: Webanwendung, API und Datenbank; dokumentierte Anwendungs- und Datenbankregion Frankfurt am Main.
• Cloudflare, Inc., USA, Dienst R2: privater Objektspeicher für Dateiinhalte; dokumentierte Anbindung an die EU-Jurisdiktion.
• Google Cloud: Infrastruktur für den eigenen Schadsoftware-Prüfdienst in Frankfurt am Main. Die für den Dienst geltenden Bedingungen und Anbieterinformationen sind über die unten verlinkte Dienstleisterübersicht zugänglich.
• Expo / 650 Industries, Inc., USA: App-Build und technische Verteilung einschließlich der hierfür erforderlichen Entwickler-, Build- und Signierungsinformationen.

Bei den für uns beziehungsweise ein Gym ausgeführten technischen Verarbeitungen handeln Dienstleister im Rahmen der anwendbaren Auftrags- beziehungsweise Unterauftragsverarbeitung. Eigene Vertragskonto-, Abrechnungs- oder gesetzlich bestimmte Sicherheitsverarbeitungen eines Anbieters können nach dessen Bedingungen in eigener Verantwortung erfolgen. Die Rollen sind für den jeweiligen Verarbeitungsvorgang zu unterscheiden.

Weitere Empfänger können berechtigte Mitarbeiter und Coaches des zuständigen Gyms, von Ihnen ausgewählte Empfänger, Banken bei tatsächlichen Zahlungen sowie Steuerberater, Rechtsberater oder Behörden sein, soweit dies für die jeweilige Aufgabe erforderlich und rechtlich zulässig ist. Gesetzliche Offenlegungen erfolgen auf der einschlägigen Verpflichtungsgrundlage; notwendige Rechtsverfolgung oder Rechtsverteidigung kann auf Art. 6 Abs. 1 Buchst. f DSGVO beruhen. Besondere Kategorien von Daten bedürfen auch dabei einer passenden Ausnahme nach Art. 9 DSGVO, gegebenenfalls Art. 9 Abs. 2 Buchst. f DSGVO.

Bei Gym-eigenen Versanddiensten, optionalen Zahlungsanbietern oder individuellen Integrationen muss der jeweils konkrete Empfänger vor der betreffenden Verarbeitung ergänzt werden. Apple und Google im Rahmen der Stores sowie Google bei einer individuellen Kalenderverbindung sind in den Abschnitten 15 und 17 erläutert.

Weitere Anbieterinformationen: Dienstleisterübersicht. Die dort verlinkten Datenschutz-Zusätze erläutern insbesondere Unterauftragsverarbeiter und Übermittlungsgarantien.

19. Internationale Datenverarbeitung

Die regionale Speicherung von Anwendungsdaten in Frankfurt beziehungsweise von Objekten in der EU schließt nicht jede Verarbeitung außerhalb des Europäischen Wirtschaftsraums aus. Bei internationalen Anbietern können insbesondere Support, Sicherheitsbetrieb, Verwaltungs- und Metadaten oder Unterauftragsverarbeiter einen Drittlandbezug aufweisen. Dies ist von der Region der primären Datenhaltung zu unterscheiden.

Soweit personenbezogene Daten in ein Drittland übermittelt werden oder ein entsprechend einzuordnender Zugriff ermöglicht wird, müssen die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sein. In Betracht kommen ein einschlägiger Angemessenheitsbeschluss nach Art. 45 DSGVO oder geeignete Garantien, insbesondere Standardvertragsklauseln nach Art. 46 Abs. 2 Buchst. c DSGVO mit den erforderlichen zusätzlichen Maßnahmen. Eine allgemeine Zustimmung zur Nutzung der Plattform ersetzt diese Prüfung nicht.

Die veröffentlichten Datenschutz-Zusätze von Render, Cloudflare und Google Cloud enthalten Regelungen zu internationalen Übermittlungen. Für den konkreten Einsatz sind die auf unseren Vertrag anwendbaren Module, Unterauftragsverarbeiter und zusätzlichen Maßnahmen maßgeblich. Auf eine Zertifizierung nach dem EU-US Data Privacy Framework darf nur zurückgegriffen werden, soweit der einschlägige Angemessenheitsbeschluss gilt, der konkrete Empfänger wirksam erfasst ist und die betroffene Verarbeitung in dessen Anwendungsbereich fällt.

Informationen zu den konkret verwendeten Garantien und eine Kopie der maßgeblichen Garantietexte beziehungsweise Zugang dazu erhalten Sie auf Anfrage unter info@barbellmadness.com, soweit erforderlich unter Schutz vertraulicher Angaben und der Rechte anderer Personen.

20. Speicherdauer, Kontolöschung und Datenexport

20.1 Grundsätze und unterschiedliche Datenarten

Personenbezogene Daten werden nur so lange gespeichert, wie sie für den angegebenen Zweck erforderlich sind oder eine gesetzliche Grundlage die weitere Speicherung trägt. Entfallen die Voraussetzungen, werden die Daten gelöscht oder tatsächlich anonymisiert. Ein Entfernen von Name und E-Mail-Adresse ist noch keine Anonymisierung, wenn eine Person weiterhin zugeordnet werden kann.

• Konto und Zugänge: für die Dauer des erforderlichen Nutzungsverhältnisses; bei Beendigung werden Zugänge widerrufen und die noch zulässig benötigten Daten von frei löschbaren Informationen getrennt.
• Eigene Vertrags- und Geschäftsunterlagen: während der Abwicklung und anschließend nur soweit eine gesetzliche Aufbewahrung oder eine konkret erforderliche Rechtsverfolgung beziehungsweise Rechtsverteidigung dies rechtfertigt.
• Buchführungsunterlagen: soweit die Vorschriften anwendbar sind, regelmäßig zehn Jahre für bestimmte Bücher und Abschlüsse, acht Jahre für Buchungsbelege und sechs Jahre für bestimmte Geschäftsbriefe und sonstige steuerlich relevante Unterlagen nach § 147 AO beziehungsweise § 257 HGB. Fristbeginn ist grundsätzlich das Ende des maßgeblichen Kalenderjahres. Gesetzliche Verlängerungen, Übergangs- oder Sonderregeln sind im Einzelfall zu beachten. Diese Fristen gelten nicht pauschal für alle Konten, Vertragsnotizen, Gesundheits- oder Sicherheitsdaten.
• Anspruchsbezogene Nachweise: nur soweit erforderlich, insbesondere für die regelmäßig dreijährige Verjährungsfrist nach §§ 195, 199 BGB mit deren gesetzlichen Voraussetzungen und Fristbeginn. Ein konkreter Streit, eine Hemmung oder eine besondere Frist kann eine abweichende Dauer erfordern; eine vorsorgliche Speicherung aller Nutzerdaten ist damit nicht gerechtfertigt.
• Freiwillige Messwerte und Ziele: für den eingewilligten Zweck bis zur Löschung oder zum Widerruf, danach nur auf einer gesonderten tragfähigen Grundlage. Bei Widerruf müssen auch bereits gespeicherte Werte in die Prüfung einbezogen werden.
• Newsletter: bis zur Abmeldung beziehungsweise zum Widerruf; anschließend nur erforderliche Sperr- und Einwilligungsnachweise. Diese dürfen nicht für weiteren Werbeversand genutzt werden.
• Gym-Daten: nach den vom Gym für die jeweilige Kategorie festgelegten, rechtlich zulässigen Fristen. Das betrifft insbesondere Mitgliedschaft, Kursteilnahmen, Eventanmeldungen, Community-Inhalte und Coach-Daten.
• Technische Protokolle: für den notwendigen Betriebs- und Sicherheitszeitraum; bei einem konkreten Vorfall dürfen erforderliche Ausschnitte gesondert bis zu dessen Klärung beziehungsweise rechtlich erforderlichen Nachweis aufbewahrt werden.
• Backups: im festgelegten Sicherungs- und Überschreibungszyklus für Wiederherstellung und Schutz vor Datenverlust. Sicherungskopien dürfen nicht zur normalen Weiterverwendung gelöschter Daten dienen. Nach einer Wiederherstellung müssen erforderliche Löschungen und Sperren erneut berücksichtigt werden.

Die genannten konkreten Fristen sind unsere verbindlichen betrieblichen Löschvorgaben. Die zuständige Stelle prüft die erforderliche Löschung oder Einschränkung; ein Löschantrag wird vom Betreiber beziehungsweise dem verantwortlichen Gym bearbeitet. Gesetzliche Sonderfälle und konkrete Rechtsstreitigkeiten werden gesondert dokumentiert. Die Fristen sind keine Aussage, dass ein Antrag ohne Prüfung sofort automatisch ausgeführt wird.

20.2 Löschanträge und mehrere Gyms

Sie können die Löschung über die in der App angebotene Funktion „Profil → Rechtliches & Datenschutz → Account-Löschung anfordern“, über Konto und Daten löschen oder per E-Mail beantragen. Ein Antrag führt zur Prüfung und Bearbeitung; er wird nicht mit einer sofortigen automatischen vollständigen Löschung gleichgesetzt.

Bei mehreren Gym-Zugehörigkeiten unterscheiden wir zwischen dem plattformweiten Konto, einzelnen Zugehörigkeiten und den Daten des jeweiligen verantwortlichen Gyms. Ein noch laufender Vertrag oder eine Aufbewahrungspflicht kann die Weiterverarbeitung bestimmter erforderlicher Vertrags- oder Belegdaten rechtfertigen. Daraus folgt keine pauschale Berechtigung, sämtliche anderen Daten aufzubewahren oder einen Löschantrag unbearbeitet zu lassen.

Falls eine vollständige Löschung rechtlich nicht möglich ist, erläutert die zuständige Stelle, welche Daten aus welchem Grund und für welche Dauer erhalten bleiben und welche zulässige Beschränkung beziehungsweise Teil-Löschung erfolgt. Die Bearbeitung umfasst auch zugehörige Dateien, Newsletter- und Eventdaten, Community-Inhalte und sonstige einschlägige Bereiche.

Den plattformweiten Kontoschluss prüft und verantwortet der Plattformbetreiber; ein einzelnes Gym darf nicht das gesamte Konto anderer Gyms schließen. Ein laufender Gym-Vertrag wird durch die Kontoschließung nicht automatisch gekündigt. Notwendige Vertrags- und Rechnungsnachweise dürfen nur gymgetrennt, zweckgebunden und mit eingeschränktem Zugriff weitergeführt werden. Der letzte aktive Owner muss vorher eine geregelte Übergabe ermöglichen. Eine bloße Gym-Zugehörigkeit allein rechtfertigt keine dauerhafte Sperre des Löschanliegens.

20.3 Auskunft und Export

Ein strukturierter Datenexport kann über den Sicherheits- und Datenschutzbereich angefordert werden. Ein technischer Export ergänzt die gesetzlichen Rechte; er begrenzt insbesondere weder den Umfang einer erforderlichen Auskunft noch die Möglichkeit, eine Anfrage per E-Mail zu stellen. Sicherheitsgeheimnisse und Rechte anderer Personen werden geschützt. Das Recht auf Datenübertragbarkeit gilt unter den in Abschnitt 23 genannten Voraussetzungen.

21. Nutzung durch Kinder und Jugendliche

Das Angebot kann auch von Minderjährigen genutzt werden. Nach dem vorgesehenen Nutzungskonzept ist für eigene Konten und freiwillige sensible Funktionen von unter 16-Jährigen eine entsprechende Eltern- beziehungsweise Sorgeberechtigtenfreigabe erforderlich. Diese ersetzt nicht die gesonderte Prüfung der jeweiligen Rechtsgrundlagen und der Wirksamkeit eines Vertrags.

Wird ein Dienst der Informationsgesellschaft einem Kind unmittelbar angeboten und beruht die betreffende Verarbeitung auf Art. 6 Abs. 1 Buchst. a DSGVO, ist in Deutschland bei Kindern unter 16 Jahren die Einwilligung beziehungsweise Zustimmung des Trägers der elterlichen Verantwortung nach Art. 8 DSGVO erforderlich. Wir beziehungsweise das verantwortliche Gym müssen unter Berücksichtigung der verfügbaren Technik angemessene Anstrengungen unternehmen, diese Berechtigung zu überprüfen. Eine einfache Altersangabe oder eine Altersfreigabe im App Store ersetzt die Prüfung der Sorgeberechtigung nicht.

Für Gesundheitsdaten ist zusätzlich eine wirksame ausdrückliche Einwilligung nach Art. 9 DSGVO erforderlich. Dabei sind die Einsichtsfähigkeit der minderjährigen Person, die elterliche Verantwortung und das anwendbare Recht zu beachten. Eine allgemeine Elternfreigabe für die App ist keine pauschale Erlaubnis für Körpermessungen, individualisierte Newslettermessung oder die Veröffentlichung von Fotos und Ergebnissen. Für unterschiedliche Zwecke werden die entsprechenden Entscheidungen getrennt getroffen.

Für die Prüfung können erforderliche Angaben zu Sorgeberechtigten, Kontaktmöglichkeit, Bezug zum Kind und Freigabe einschließlich Zeitpunkt und Umfang verarbeitet werden. Die Erhebung wird auf den erforderlichen Nachweis begrenzt; eine routinemäßige Speicherung vollständiger Ausweiskopien ist damit nicht verbunden. Je nach Zweck ergeben sich die Grundlagen aus Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit Art. 8 DSGVO, Art. 6 Abs. 1 Buchst. a DSGVO oder aus der rechtmäßigen Anbahnung beziehungsweise Durchführung der betreffenden Leistung.

Informationen und Freigaben müssen altersgerecht verständlich sein. Minderjährige können sich ebenso wie Sorgeberechtigte an den Datenschutzkontakt wenden. Die Rechte der minderjährigen Person und eine gegebenenfalls erforderliche Vertretungsberechtigung werden bei Anträgen berücksichtigt.

Für die vorgesehene Nutzung durch unter 16-Jährige prüft das Gym die Sorgeberechtigung und dokumentiert das betroffene Kind, dessen Geburtsdatum, die sorgeberechtigte Person und Kontaktmöglichkeit, das geprüfte Vertretungsverhältnis, Prüfverfahren, Prüfer, Zeitpunkt, Nachweisverweis und die ausdrücklich ausgewählten Zwecke einschließlich der vorgelegten Hinweise. Die Freigabe der Kontonutzung ist von optionalen Zwecken getrennt. Eine Bestätigung allein durch das Kind oder eine Zustimmung zu einem anderen Zweck genügt nicht. Ohne erforderliche gültige Freigabe darf die betroffene Nutzung nicht erfolgen. Nach Widerruf wird die darauf gestützte Nutzung beendet; besondere Aufbewahrungsgründe bleiben getrennt zu prüfen.

22. Automatisierung, Fortschrittsauswertungen und Entscheidungen

Die Plattform unterstützt regelbasierte Vorgänge wie Wartelistenreihenfolge, Buchungsfristen, Benachrichtigungen, Zahlungsstatus, Erinnerungen und vom Gym konfigurierte Folgen von Nichterscheinen oder verspäteter Absage. Trainingsdaten können zu Fortschrittsdarstellungen, Ranglisten und körperbezogenen Orientierungswerten zusammengeführt werden. Damit können persönliche Aspekte bewertet werden; nicht jede solche Auswertung ist bereits eine Entscheidung im Sinne von Art. 22 DSGVO.

Ob ein konkreter Ablauf eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung darstellt, hängt von seiner tatsächlichen Bedeutung, den Folgen und einer wirklichen menschlichen Beteiligung ab. Bei automatisch ausgelösten Entgelten, Zugangssperren oder erheblichen Nachteilen muss das verantwortliche Gym diese Prüfung vornehmen und, soweit Art. 22 DSGVO einschlägig ist, die erforderliche Ausnahme, aussagekräftige Informationen über Logik, Tragweite und Auswirkungen sowie die gesetzlichen Schutzmaßnahmen gewährleisten. Bei Gesundheitsdaten sind zusätzlich die strengeren Anforderungen von Art. 22 Abs. 4 DSGVO zu beachten.

Fragen oder Einwendungen zu einer Buchungs- oder Abrechnungsentscheidung können Sie an Ihr Gym richten; bei plattformeigenen Entscheidungen an unseren Datenschutzkontakt. Soweit gesetzlich vorgesehen, können Sie menschliches Eingreifen, die Darlegung Ihres Standpunkts und die Anfechtung einer Entscheidung verlangen.

23. Ihre Rechte und Widerspruchsmöglichkeiten

Unter den jeweiligen gesetzlichen Voraussetzungen haben Sie folgende Rechte:

• Auskunft und Kopie, Art. 15 DSGVO: Sie können erfahren, ob und welche personenbezogenen Daten verarbeitet werden, und die gesetzlich vorgesehenen Informationen sowie eine Kopie verlangen.
• Berichtigung, Art. 16 DSGVO: Sie können unrichtige Daten berichtigen und unvollständige Daten vervollständigen lassen.
• Löschung, Art. 17 DSGVO: Sie können die Löschung verlangen, insbesondere wenn die Daten nicht mehr erforderlich sind oder eine tragende Einwilligung widerrufen wurde und keine andere Grundlage besteht. Gesetzliche Ausnahmen bleiben berücksichtigt.
• Einschränkung, Art. 18 DSGVO: Sie können unter den gesetzlichen Voraussetzungen die Einschränkung verlangen, etwa während der Überprüfung bestrittener Daten oder eines Widerspruchs.
• Datenübertragbarkeit, Art. 20 DSGVO: Soweit die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt, können Sie die von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten und, soweit technisch machbar, unmittelbar an einen anderen Verantwortlichen übertragen lassen. Rechte anderer Personen werden gewahrt.
• Widerruf, Art. 7 Abs. 3 DSGVO: Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die bisherige Rechtmäßigkeit bleibt unberührt. Der Widerruf muss so einfach wie die Erteilung sein.

Bearbeitung Ihrer Anfrage

Bitte beschreiben Sie Ihr Anliegen so, dass es zugeordnet werden kann. Nur bei begründeten Zweifeln an Ihrer Identität werden zusätzliche, dafür erforderliche Informationen angefordert. Eine vollständige Ausweiskopie wird nicht routinemäßig verlangt. Die Bearbeitung ist grundsätzlich unentgeltlich; gesetzliche Ausnahmen, insbesondere bei offenkundig unbegründeten oder exzessiven Anträgen, bleiben vorbehalten.

Wir informieren über die ergriffenen Maßnahmen grundsätzlich unverzüglich und spätestens innerhalb eines Monats nach Eingang. Unter den Voraussetzungen des Art. 12 Abs. 3 DSGVO kann die Frist um zwei weitere Monate verlängert werden; über Verlängerung und Gründe wird innerhalb des ersten Monats informiert. Eine ablehnende Entscheidung wird nach den gesetzlichen Vorgaben begründet und mit Hinweisen auf Beschwerde und gerichtlichen Rechtsschutz versehen.

Beschwerde bei einer Aufsichtsbehörde

Sie können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für private Stellen mit Sitz in Sachsen-Anhalt ist insbesondere die Landesbeauftragte für den Datenschutz Sachsen-Anhalt eine Anlaufstelle. Ein Online-Beschwerdeformular wird von der Behörde bereitgestellt. Eine vorherige Kontaktaufnahme mit uns ist keine Voraussetzung für eine Beschwerde.

24. Sicherheit und Vertraulichkeit

Wir treffen dem jeweiligen Risiko angemessene technische und organisatorische Maßnahmen. Dazu gehören insbesondere Transportverschlüsselung, gehashte Kennwörter, rollen- und mandantenbezogene Berechtigungen, Verfahren zur Zwei-Faktor-Authentifizierung und zum Sitzungswiderruf, Schutz sensibler Felder, private Dateispeicherung, Schadsoftwareprüfung sowie begrenzte und protokollierte Supportzugriffe.

Sicherheits- und Änderungsprotokolle dienen der Erkennung und Aufklärung unberechtigter Zugriffe und schutzwürdiger Änderungen. Dabei sollen die für die Nachvollziehbarkeit erforderlichen Ereignisdaten erfasst werden, ohne vollständige sensible Inhalte oder Zugangsdaten in Protokolle zu übernehmen. Datensicherungen und kontrollierte Wiederherstellungen dienen dem Schutz vor Datenverlust.

Die Maßnahmen werden an den Stand der Technik und die Risiken angepasst. Aus der Transportverschlüsselung folgt keine Ende-zu-Ende-Verschlüsselung sämtlicher Fachinhalte: Für die jeweiligen Funktionen können berechtigte Stellen Daten auf den beschriebenen Systemen verarbeiten. Bitte schützen Sie Ihre Anmeldedaten und Geräte und melden Sie einen Verdacht auf unberechtigte Nutzung an den Support.

25. Änderungen und ergänzende Informationen

Wir passen die Datenschutzhinweise an, wenn sich tatsächliche Verarbeitungen, Funktionen, Dienstleister oder rechtliche Anforderungen ändern. Bei neuen Zwecken informieren wir vor der betreffenden Weiterverarbeitung entsprechend den gesetzlichen Vorgaben. Soweit eine Einwilligung erforderlich ist, wird sie vor dem Einsatz eingeholt; eine Änderung dieses Textes ersetzt sie nicht.

Die jeweils bereitgestellte Fassung ist unter barbellmadness.com/datenschutz.html zugänglich. Ergänzende Hinweise des verantwortlichen Gyms, Informationen unmittelbar bei Eingabeformularen und zweckbezogene Einwilligungstexte sind im jeweiligen Zusammenhang zu beachten.

Weitere Kontakt- und Antragsmöglichkeiten: Support · Konto und Daten löschen · Datenschutzkontakt.