1. Verantwortlicher und Kontakt
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) sowie weiterer anwendbarer datenschutzrechtlicher Vorschriften ist BodyMetrics, Inhaber Florian Petry, Eggenfeldener Str. 1, 84571 Reischach, Deutschland.
Sie erreichen BodyMetrics für sämtliche datenschutzbezogenen Anliegen, insbesondere für Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs-, Widerspruchs- und Widerrufsanfragen, per E-Mail unter info@getbodymetrics.app. Diese Kontaktadresse gilt zugleich für allgemeine Fragen zur Verarbeitung personenbezogener Daten im Zusammenhang mit der Website, der Web-App, Coach- und Coachee-Konten, Gym-Funktionen, Zahlungsprozessen und Supportanfragen.
2. Geltungsbereich dieser Datenschutzerklärung
Diese Datenschutzerklärung gilt für die Website getbodymetrics.app, zugehörige Subdomains, die BodyMetrics-Web-App sowie sämtliche digitalen Funktionen, die BodyMetrics für Coaches, Coachees, Fitnessstudios, Studiomitarbeiter und Administratoren bereitstellt. Sie gilt außerdem für Registrierungs- und Loginbereiche, Einladungs- und QR-Code-Funktionen, Kommunikations- und Supportprozesse, Abrechnungsfunktionen, technische Systemprozesse sowie alle mit der Plattform verbundenen Dienste.
Diese Datenschutzerklärung gilt außerdem für die native BodyMetrics-App für Coachees, die über den Apple App Store und den Google Play Store bezogen werden kann. Die native App greift auf dieselbe technische Infrastruktur wie die Web-App zu und verarbeitet grundsätzlich dieselben Datenkategorien; Abschnitt 6a beschreibt die Besonderheiten der nativen App, insbesondere Geräteberechtigungen, Push-Benachrichtigungen und den Zugriff auf Schrittdaten über Apple Health bzw. Google Health Connect.
Betroffen sind insbesondere Websitebesucher, Interessenten, Coaches, Coachees, Fitnessstudios, Studiomitarbeiter, Administratoren, Supportkontakte sowie Personen, die über Einladungslinks, QR-Codes oder sonstige Schnittstellen mit BodyMetrics in Berührung kommen.
BodyMetrics stellt eine digitale Plattform für Coaching-, Trainings-, Ernährungs-, Check-in-, Kommunikations- und Fortschrittsfunktionen bereit. Welche personenbezogenen Daten konkret verarbeitet werden, hängt davon ab, welche Rolle ein Nutzer hat, welche Funktionen er verwendet und welche Daten freiwillig eingegeben, hochgeladen oder im Rahmen der Plattformnutzung erzeugt werden.
3. Begriffe und Datenschutzgrundsätze
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören beispielsweise Name, E-Mail-Adresse, IP-Adresse, Profilinformationen, Kommunikationsinhalte, Vertrags- und Zahlungsdaten, technische Nutzungsdaten sowie Trainings-, Ernährungs- und Gesundheitsdaten.
Gesundheitsdaten sind besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO. Innerhalb von BodyMetrics können hierzu insbesondere Angaben zu Körpermaßen, Gewicht, Fortschrittsbildern, Check-ins, Schlaf, Aktivität, Wasseraufnahme, Supplements, Trainingsleistungen, Ernährungsprotokollen, Mealplans, Food-Tracking, Zielwerten, Anamneseangaben sowie weiteren gesundheits- oder körperbezogenen Informationen gehören.
Verarbeitung meint jeden Vorgang im Zusammenhang mit personenbezogenen Daten, insbesondere das Erheben, Erfassen, Ordnen, Speichern, Auslesen, Verwenden, Offenlegen, Übermitteln, Einschränken, Löschen oder Vernichten von Daten.
BodyMetrics verarbeitet personenbezogene Daten nach den Grundsätzen der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Zugriff auf personenbezogene Daten erhalten nur solche Personen oder Rollen, die diesen Zugriff für die jeweilige Funktion, Betreuung, Abrechnung, Sicherheit oder Administration benötigen.
4. Rechtsgrundlagen der Verarbeitung
Die Verarbeitung personenbezogener Daten erfolgt abhängig vom jeweiligen Verarbeitungsvorgang auf einer oder mehreren der nachfolgend genannten Rechtsgrundlagen:
Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für die Bereitstellung der Plattform, die Erstellung und Verwaltung von Benutzerkonten, die Durchführung von Coachingleistungen, die Kommunikation, die Zahlungsabwicklung oder sonstige vertragliche bzw. vorvertragliche Maßnahmen erforderlich ist.
Art. 6 Abs. 1 lit. a DSGVO, soweit Nutzer freiwillig eine Einwilligung erteilen, etwa für optionale Funktionen, freiwillige Angaben, bestimmte gesundheitsbezogene Verarbeitungen oder optionale Analyse- und Komforttechnologien.
Art. 6 Abs. 1 lit. c DSGVO, soweit BodyMetrics aufgrund gesetzlicher Verpflichtungen Daten verarbeiten oder aufbewahren muss, insbesondere steuerliche, handelsrechtliche oder buchhalterische Pflichten.
Art. 6 Abs. 1 lit. f DSGVO, soweit die Verarbeitung zur Sicherstellung des Plattformbetriebs, zur IT-Sicherheit, zur Fehleranalyse, zur Missbrauchs- und Betrugsprävention, zur Durchsetzung oder Abwehr von Ansprüchen oder zur Weiterentwicklung der Plattform erforderlich ist.
Soweit besondere Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten, verarbeitet werden, erfolgt dies zusätzlich auf einer geeigneten Grundlage nach Art. 9 Abs. 2 DSGVO. In Betracht kommt insbesondere eine ausdrückliche Einwilligung des Nutzers sowie – soweit rechtlich zulässig – die Verarbeitung zur Bereitstellung ausdrücklich gewünschter gesundheits- und coachingbezogener Plattformfunktionen.
Für das Speichern von Informationen auf dem Endgerät oder den Zugriff auf Informationen im Endgerät gelten ergänzend die Vorgaben des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Technisch notwendige Speicherungen können ohne Einwilligung zulässig sein; nicht notwendige Analyse-, Marketing- oder Trackingtechnologien werden nur eingesetzt, soweit hierfür eine wirksame Einwilligung vorliegt.
5. Besuch der Plattform, technische Bereitstellung und Benutzerkonto
5.1 Besuch der Website und technische Zugriffsdaten
Beim Aufruf der Website oder Web-App verarbeitet BodyMetrics technisch erforderliche Informationen, um die Plattform auszuliefern und sicher betreiben zu können. Dazu können IP-Adresse, Datum und Uhrzeit des Zugriffs, Browsertyp und -version, Betriebssystem, Referrer-URL, aufgerufene Seiten, Antwortstatus, übertragene Datenmenge, Geräteinformationen sowie technische Fehler- und Sicherheitsprotokolle gehören.
Diese Verarbeitung dient der technischen Bereitstellung der Plattform, der Gewährleistung von Stabilität und Sicherheit, der Erkennung und Behebung technischer Fehler, der Abwehr von Angriffen, der Optimierung der Ladezeiten sowie der Missbrauchsprävention. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
5.2 Registrierung und Benutzerkonto
Für die Nutzung wesentlicher Funktionen von BodyMetrics ist regelmäßig die Erstellung eines Benutzerkontos erforderlich. Dabei verarbeitet BodyMetrics insbesondere Name, E-Mail-Adresse, Passwort-Hash, Rolle, Erstellungszeitpunkt, Loginstatus, technische Kontoinformationen sowie weitere freiwillige Profilangaben.
Je nach Rolle und genutzter Funktion können zusätzliche Angaben verarbeitet werden, etwa Profilbild, Geburtsdatum, Geschlecht, Körpergröße, Anschrift, Studiozugehörigkeit oder sonstige Profilinformationen. Freiwillige Angaben sind nur erforderlich, wenn eine Funktion genutzt wird, für die diese Angaben benötigt werden.
Passwörter werden nicht im Klartext gespeichert. Die Authentifizierung erfolgt über geeignete technische Verfahren. BodyMetrics kann das Passwort eines Nutzers nicht auslesen.
5.3 Rollen innerhalb von BodyMetrics
BodyMetrics unterscheidet insbesondere zwischen Coaches, Coachees, Fitnessstudios bzw. Studiomitarbeitern und Administratoren. Coaches nutzen BodyMetrics zur Betreuung ihrer Coachees, insbesondere für Trainingspläne, Ernährungsziele, Check-ins, Reviews, Chatnachrichten und Fortschrittsdaten. Coachees nutzen BodyMetrics zur Erfassung und Dokumentation ihrer eigenen Trainings-, Ernährungs-, Check-in- und Fortschrittsdaten.
Fitnessstudios und Studiomitarbeiter können – soweit entsprechende Gym-Funktionen bereitgestellt werden – Mitglieder verwalten, Trainingspläne erstellen oder eingeschränkte Plattformfunktionen nutzen. Administratoren können zur technischen Verwaltung, Supportbearbeitung, Abrechnung, Fehleranalyse, Missbrauchsprävention und Rechteverwaltung Zugriff auf bestimmte Daten erhalten. Zugriffe erfolgen rollen- und zweckgebunden nach dem eingerichteten Berechtigungskonzept.
6. Gesundheits-, Trainings- und Ernährungsdaten
6.1 Umfang der verarbeiteten Gesundheitsdaten
BodyMetrics verarbeitet Gesundheits-, Trainings- und Ernährungsdaten ausschließlich zur Durchführung der vereinbarten Plattform- und Coachingleistungen. Die Verarbeitung erfolgt zweckgebunden, nach dem Grundsatz der Datenminimierung und nur in dem Umfang, der für die jeweilige Funktion erforderlich ist oder vom Nutzer freiwillig bereitgestellt wird.
Zu den verarbeiteten Daten können insbesondere gehören:
Anamnesedaten, z. B. Ziele, Trainingserfahrung, Alltag, Ernährung, Gewohnheiten, Einschränkungen, Beschwerden oder sonstige coachingrelevante Angaben;
Check-in-Daten, z. B. Gewicht, Körperumfänge, Stimmung, Energielevel, Schlaf, Wasseraufnahme, Ernährungstreue, Trainingsstatus, Notizen und Fortschrittsangaben;
Trainingsdaten, z. B. Trainingspläne, Trainingstage, Übungen, Sätze, Wiederholungen, Gewichte, Trainingshistorien, Trainingsmodi, Trainingsvorlagen und Leistungsentwicklung;
Ernährungsdaten, z. B. Kalorienziele, Makronährstoffe, Wasserziel, Mealplans, Mahlzeiten, Zutaten, Mengenangaben, Food-Tracking, Barcodeinformationen, Favoriten, Einkaufslisten und Ernährungstagebücher;
Mediendaten, z. B. Fortschrittsbilder sowie Audio- oder Video-Feedback im Zusammenhang mit Check-ins, Reviews oder Coachingrückmeldungen;
optionale Gesundheits- und Aktivitätsdaten, z. B. Schlaf, Schritte, Aktivität, Supplement-Tracking oder weitere freiwillig eingegebene gesundheitsbezogene Parameter.
6.2 Zwecke der Verarbeitung
Die Verarbeitung dieser Daten dient insbesondere der digitalen Coachingbetreuung, der Erstellung und Anpassung von Trainings- und Ernährungsplänen, der Fortschrittsdokumentation, der Auswertung von Check-ins, der Kommunikation zwischen Coach und Coachee sowie der individuellen Anpassung von Coachingmaßnahmen.
BodyMetrics ersetzt keine ärztliche Beratung, Diagnose oder Behandlung. Die in der Plattform verarbeiteten Daten dienen der Unterstützung von Coaching-, Trainings- und Ernährungsprozessen und sind im Zusammenhang mit dem Health Disclaimer und den Nutzungsbedingungen zu verstehen.
6.3 Zugriff auf Gesundheitsdaten
Gesundheits-, Trainings- und Ernährungsdaten sind grundsätzlich nur für den jeweiligen Nutzer selbst sowie für die im Rahmen der aktiven Coachingbeziehung berechtigten Coaches sichtbar. Ein Coach erhält Zugriff auf Daten eines Coachees nur, soweit eine aktive Zuordnung besteht und der Zugriff für die Betreuung erforderlich ist.
Nach Beendigung der Coach-Coachee-Beziehung kann der Zugriff des Coaches auf laufende Coachingdaten eingeschränkt oder entfernt werden. Gesetzliche Aufbewahrungspflichten, technische Protokolle und berechtigte Interessen, etwa zur Nachvollziehbarkeit von Vorgängen oder zur Abwehr von Ansprüchen, bleiben unberührt.
6.4 Rechtsgrundlage und Einwilligung
Die Verarbeitung erfolgt, soweit sie für die Bereitstellung der Coaching- und Plattformfunktionen erforderlich ist, auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Soweit Gesundheitsdaten im Sinne von Art. 9 DSGVO verarbeitet werden, erfolgt die Verarbeitung zusätzlich auf Grundlage von Art. 9 Abs. 2 lit. a DSGVO, das heißt aufgrund einer ausdrücklichen Einwilligung.
Diese Einwilligung wird derzeit im Rahmen der Registrierung durch das Akzeptieren der Nutzungsbedingungen, der AGB und dieser Datenschutzerklärung erklärt, in denen die Verarbeitung von Gesundheits-, Trainings- und Ernährungsdaten für die Coaching- und Plattformfunktionen ausdrücklich beschrieben ist. Eine hiervon technisch getrennte, gesondert abzuhakende Einwilligung speziell für Gesundheitsdaten wird aktuell nicht eingeholt. Diese Ausgestaltung wird laufend rechtlich überprüft; sollte eine granularere, gesondert zu erteilende Einwilligung erforderlich sein, wird diese Datenschutzerklärung entsprechend angepasst und ein zusätzlicher technischer Einwilligungsschritt ergänzt.
Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden, etwa durch eine entsprechende Mitteilung an die in Abschnitt 1 genannte Kontaktadresse. Ein Widerruf kann dazu führen, dass bestimmte Plattformfunktionen nicht mehr oder nur eingeschränkt genutzt werden können, sofern diese Funktionen auf der Verarbeitung der betreffenden Daten beruhen.
6a. Native App: Geräteberechtigungen, Schrittdaten und Push-Benachrichtigungen
6a.1 Geräteberechtigungen
Die native BodyMetrics-App fragt je nach genutzter Funktion die folgenden Berechtigungen des Betriebssystems ab: Kamera (für den Barcode-Scan beim Food-Tracking und für Check-in-Fotos), Fotomediathek (für das Hinzufügen bestehender Fortschritts- und Check-in-Bilder), Mikrofon (für Sprachnachrichten im Chat) sowie Zugriff auf Schrittdaten (Apple Health bzw. Google Health Connect, siehe 6a.2) und die Berechtigung zum Anzeigen von Mitteilungen (siehe 6a.3). Diese Berechtigungen werden über die jeweiligen Systemdialoge von iOS bzw. Android eingeholt; ohne die entsprechende Berechtigung steht die jeweilige Funktion nicht zur Verfügung. Ein Zugriff auf Standort- oder Kontaktdaten des Geräts findet nicht statt.
6a.2 Schrittdaten (Apple Health / Google Health Connect)
Sofern der Nutzer dies über die Systemberechtigung zulässt, liest die native App die tagesaktuelle Schrittzahl aus Apple Health (iOS) bzw. Google Health Connect (Android) aus und zeigt sie innerhalb der App an bzw. speichert sie im BodyMetrics-Konto, damit sie dem Coach im Rahmen der Betreuung zur Verfügung steht. Es werden ausschließlich Schrittdaten gelesen; ein Schreibzugriff auf Apple Health oder Google Health Connect erfolgt nicht. Apple bzw. Google erhalten durch diesen Lesezugriff keine zusätzlichen Daten von BodyMetrics.
6a.3 Push-Benachrichtigungen
Für Push-Benachrichtigungen der nativen App wird ein geräte- und app-spezifisches Push-Token erzeugt und im BodyMetrics-Konto gespeichert. Der Versand erfolgt über den Push-Dienst von Expo (Betreiber: 650 Industries, Inc.), der die Zustellung an Apples Push-Dienst (APNs) bzw. an Firebase Cloud Messaging (Google) übernimmt. Übertragen werden dabei das Push-Token, der Benachrichtigungsinhalt (z. B. Hinweis auf eine neue Nachricht oder einen fälligen Check-in) sowie technische Zustellinformationen. Push-Benachrichtigungen können in den Einstellungen der App sowie über die Systemeinstellungen des Geräts jederzeit deaktiviert werden. Näheres zu den beteiligten Anbietern enthält Abschnitt 9.
7.1 Chatkommunikation
Über die Plattform können Coaches und Coachees Nachrichten austauschen. Dabei werden Nachrichteninhalte, Absender- und Empfängerinformationen, Zeitstempel, Lesestatus sowie technische Zustellinformationen verarbeitet. Die Verarbeitung dient ausschließlich der Durchführung der Coachingbeziehung und der Bereitstellung der Kommunikationsfunktion.
7.2 Audio-, Video- und Bilddateien
Nutzer können im Rahmen einzelner Funktionen Fortschrittsbilder sowie Audio- und Videodateien hochladen oder empfangen. Diese Dateien dienen ausschließlich der Trainingsanalyse, Check-in-Auswertung und individuellen Betreuung. Fortschrittsbilder, Check-in-Video-Reviews und Chat-Sprachnachrichten werden nicht veröffentlicht und sind nur für den betroffenen Nutzer und den zugeordneten Coach zugänglich. Für Bilder in der Coach Community und im Coach Feed gilt dies nicht – siehe Abschnitt 7.2a.
7.2a Bilder in Coach Community und Coach Feed
Lädt ein Nutzer ein Bild im Rahmen eines Beitrags in der Coach Community oder im Coach Feed hoch, wird dieses Bild – anders als Fortschrittsbilder und Check-in-Medien – öffentlich abrufbar gespeichert, damit es innerhalb der jeweiligen Funktion angezeigt werden kann. Nutzer sollten daher in Community- und Feed-Beiträgen keine Fortschritts-, Check-in- oder sonstigen Bilder verwenden, die sie nicht öffentlich zugänglich machen möchten.
7.3 E-Mail-Kommunikation
Registrierungs-, Verifizierungs-, Passwort-Reset-, Einladungs- und sonstige transaktionale E-Mails werden über Resend versendet. Es werden ausschließlich die für Versand und Zustellung erforderlichen personenbezogenen Daten verarbeitet.
7.4 Push- und In-App-Benachrichtigungen
BodyMetrics kann Benachrichtigungen über neue Nachrichten, Check-ins, Reviews, Trainingsaufgaben oder sicherheitsrelevante Ereignisse bereitstellen. Diese Benachrichtigungen dienen ausschließlich der Nutzung der Plattform.
7.5 Einladungen und QR-Codes
Zur Verknüpfung von Coaches, Coachees und Fitnessstudios können Einladungslinks und QR-Codes verarbeitet werden. Hierbei werden ausschließlich die zur Zuordnung erforderlichen Identifikations- und Statusdaten verarbeitet.
7.5a Anforderung von Auswertungen und Unterlagen (Lead-Erfassung)
Auf einzelnen Informationsseiten können Interessenten kostenlose Auswertungen und Unterlagen anfordern, etwa das Ergebnis eines Kostenrechners, die Auswertung eines Selbsttests oder eine Checkliste. Die Ergebnisse dieser Werkzeuge werden unmittelbar im Browser angezeigt; eine E-Mail-Adresse ist dafür nicht erforderlich. Wird zusätzlich eine Zusendung per E-Mail gewünscht, verarbeiten wir die angegebene E-Mail-Adresse, die im jeweiligen Werkzeug gemachten Angaben (beispielsweise Anzahl betreuter Coachees, geschätzter Verwaltungsaufwand, Stundensatz oder die gegebenen Antworten und die daraus errechneten Punktwerte), den Zeitpunkt der Anforderung sowie den Zeitpunkt einer etwaigen Bestätigung oder Abmeldung.
Der Versand erfolgt ausschließlich im Double-Opt-in-Verfahren: Nach dem Absenden erhalten Sie zunächst eine E-Mail mit einem Bestätigungslink. Erst nach dessen Aufruf gilt Ihre Einwilligung als erteilt und die angeforderte Auswertung wird versendet. Ohne Bestätigung erfolgt keine weitere Kontaktaufnahme. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 Nr. 3 UWG. Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, insbesondere über den Abmeldelink am Ende jeder dieser E-Mails oder formlos per E-Mail an info@getbodymetrics.app.
Rufen Sie eine solche Seite über eine Werbeanzeige auf, werden die in der Adresszeile enthaltenen Kampagnenparameter (utm_source, utm_medium, utm_campaign) für die Dauer der Browsersitzung in einem First-Party-Cookie gespeichert und ausschließlich dann gemeinsam mit Ihrer Anfrage gesichert, wenn Sie das Formular selbst absenden. Dies dient allein der Zuordnung, welche Kampagne zu einer Anfrage geführt hat; eine geräteübergreifende Wiedererkennung, eine Profilbildung oder eine Weitergabe an Dritte findet nicht statt. Werden keine Kampagnenparameter übergeben, wird auch kein Cookie gesetzt. Der Versand der E-Mails erfolgt über Resend (siehe Abschnitt 9.5).
Angeforderte Daten werden gelöscht, sobald der Zweck entfällt, spätestens jedoch drei Jahre nach dem Widerruf der Einwilligung oder nach der letzten Interaktion; nicht bestätigte Anfragen werden spätestens nach 30 Tagen gelöscht. Nachweise über erteilte Einwilligungen bewahren wir für die Dauer der gesetzlichen Nachweispflichten auf.
7.6 Speicherdauer
Kommunikationsdaten werden grundsätzlich für die Dauer der bestehenden Coachingbeziehung gespeichert, sofern keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen eine längere Speicherung erfordern.
8. Zahlungsabwicklung und Vertragsdurchführung
8.1 Vertragsdurchführung
BodyMetrics verarbeitet Vertrags-, Abonnement- und Zahlungsdaten zur Durchführung kostenpflichtiger Leistungen. Hierzu gehören insbesondere Vertragsbeginn, Laufzeiten, Kündigungen, Rechnungsinformationen, Zahlungsstatus sowie die Verwaltung bestehender Coaching-Abonnements.
8.2 Stripe Checkout
Für die Abwicklung von Zahlungen wird Stripe Checkout eingesetzt. Zahlungsdaten, insbesondere Kreditkarteninformationen, werden grundsätzlich unmittelbar durch Stripe verarbeitet. BodyMetrics erhält nur diejenigen Informationen, die zur Vertragsdurchführung, Zahlungsbestätigung und Kundenbetreuung erforderlich sind.
8.3 Stripe Connect
Zur automatisierten Auszahlung an Coaches wird Stripe Connect eingesetzt. Hierbei können Identitäts-, Bank- und Steuerdaten unmittelbar durch Stripe verarbeitet werden, soweit dies für die Einrichtung und Verwaltung eines Connect-Kontos erforderlich ist.
8.4 Rechnungsstellung und Buchhaltung
Zur Erfüllung handels- und steuerrechtlicher Verpflichtungen verarbeitet BodyMetrics Rechnungsnummern, Zahlungsbeträge, Steuerinformationen sowie abrechnungsrelevante Vertragsdaten.
8.5 Betrugsprävention
Zur Erkennung missbräuchlicher oder betrügerischer Zahlungsvorgänge können Transaktions- und Sicherheitsdaten verarbeitet werden. Diese Verarbeitung dient dem Schutz der Plattform und aller Nutzer.
8.6 Speicherdauer
Rechnungs- und steuerrechtlich relevante Unterlagen werden entsprechend der gesetzlichen Aufbewahrungspflichten gespeichert. Zahlungsdaten werden im Übrigen nur solange verarbeitet, wie dies für die Vertragsdurchführung oder die Erfüllung gesetzlicher Pflichten erforderlich ist.
9. Technische Dienstleister und Auftragsverarbeitung
BodyMetrics setzt ausgewählte technische Dienstleister ein, um den sicheren Betrieb der Plattform und die Bereitstellung der angebotenen Funktionen sicherzustellen. Soweit Dienstleister personenbezogene Daten ausschließlich im Auftrag verarbeiten, werden Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO geschlossen.
9.1 STRATO – Domainverwaltung und DNS
Die Domain sowie die DNS-Konfiguration werden über STRATO verwaltet. Hierbei können technische Administrations- und Verbindungsdaten verarbeitet werden.
9.2 Vercel – Hosting und Deployment
Vercel wird für Hosting, Deployment und Content Delivery der Webanwendung eingesetzt. Hierbei können Server-Logs, IP-Adressen und technische Verbindungsdaten verarbeitet werden.
9.3 Supabase – Datenbank, Authentifizierung, Storage und Realtime
Supabase wird für Datenbankbetrieb, Authentifizierung, Dateispeicherung, Realtime-Funktionen und rollenbasierte Zugriffskonzepte eingesetzt.
9.4 Stripe – Zahlungsabwicklung und Stripe Connect
Stripe verarbeitet Zahlungsdaten, Abonnementinformationen sowie Auszahlungsdaten für Coaches im Rahmen von Stripe Connect.
9.5 Resend – Transaktionale E-Mails
Resend wird für Registrierungs-, Verifizierungs-, Passwort-Reset- und System-E-Mails eingesetzt.
9.6 Sentry – Fehler- und Absturzberichte (Web und native App)
Sentry (Functional Software, Inc.) wird eingesetzt, um technische Fehler und Abstürze in der Web-App und der nativen App zu erkennen und zu beheben. Übertragen werden Stacktraces, technische Fehlermeldungen, Gerätetyp/Betriebssystem sowie App-Version. Die Erfassung vollständiger Nutzerdaten (Default-PII) sowie Session-Replay-Aufzeichnungen sind technisch deaktiviert; vor der Übermittlung durchlaufen Fehlerereignisse zusätzlich eine eigene Filterung, die erkennbare personenbezogene Inhalte entfernt. In der Web-App wird Sentry clientseitig erst nach Einwilligung zur Kategorie „Analyse“ im Cookie-Einstellungsdialog aktiv (siehe Abschnitt 10); die serverseitige Fehlererfassung sowie der Einsatz in der nativen App sind hiervon nicht betroffen.
9.7 Expo / EAS – Push-Zustellung, App-Updates und Build-Infrastruktur (native App)
Für die native App werden Dienste von Expo bzw. EAS (Betreiber: 650 Industries, Inc.) eingesetzt: der Expo-Push-Dienst zur Zustellung von Push-Benachrichtigungen (siehe 6a.3), EAS Update zur Verteilung von App-Aktualisierungen ohne erneuten Store-Download sowie EAS Build zur Erstellung der App-Pakete. Hierbei können Push-Token, Geräte- und App-Versionsinformationen sowie technische Verbindungsdaten verarbeitet werden.
9.8 Firebase Cloud Messaging (Google) – Push-Zustellung Android
Für die Zustellung von Push-Benachrichtigungen an Android-Geräte wird Firebase Cloud Messaging von Google eingesetzt. Hierbei werden Push-Token und für die Zustellung erforderliche technische Informationen verarbeitet.
9.9 Apple – Push-Zustellung iOS und App-Vertrieb
Für die Zustellung von Push-Benachrichtigungen an iOS-Geräte wird der Apple Push Notification Service (APNs) eingesetzt. Der Bezug der nativen App über den Apple App Store bzw. Google Play Store unterliegt zusätzlich den jeweiligen Datenschutzbestimmungen von Apple bzw. Google, insbesondere für den Registrierungs-, Zahlungs- und Installationsvorgang im jeweiligen Store.
9.10 Drittlandübermittlungen
Mehrere der vorgenannten Dienstleister haben ihren Sitz oder Konzernsitz außerhalb der EU/des EWR, insbesondere in den USA (u. a. Vercel, Resend, Sentry, Expo/650 Industries, im Konzern auch Stripe und Google/Apple). Soweit personenbezogene Daten hierdurch in Drittländer übermittelt werden, erfolgt dies ausschließlich unter Beachtung der Art. 44 ff. DSGVO, insbesondere auf Grundlage von EU-Standardvertragsklauseln, eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder anderer geeigneter Garantien des jeweiligen Anbieters.
10. Cookies und ähnliche Technologien
BodyMetrics verwendet in der Web-App technisch notwendige Cookies sowie vergleichbare Technologien wie Local Storage, um grundlegende Funktionen der Plattform bereitzustellen. Hierzu gehören insbesondere Authentifizierung, Sitzungsverwaltung, Sicherheitsfunktionen, Schutz vor Missbrauch sowie das lokale Zwischenspeichern eines in Bearbeitung befindlichen Coach-Notizentwurfs. In der nativen App übernimmt der lokale, verschlüsselte Gerätespeicher (u. a. über AsyncStorage) eine vergleichbare Funktion, etwa für die Anmeldesitzung, lokale Push- und Erinnerungseinstellungen sowie den UI-Zustand.
Darüber hinaus setzt BodyMetrics in der Web-App zwei optionale, einwilligungspflichtige Technologien ein: eine lokal gespeicherte Präferenz für akustische Hinweise im Zirkeltraining sowie Sentry zur Erkennung technischer Fehler und Performance-Probleme im Browser (Kategorie „Analyse“). Beide werden technisch erst aktiv, wenn eine entsprechende Einwilligung über das Cookie-Banner bzw. den Einstellungsdialog erteilt wurde; ohne diese Einwilligung findet keine Speicherung bzw. Übermittlung statt. Marketing-, Werbe- oder Tracking-Technologien sowie automatisch ladende externe Medien setzt BodyMetrics aktuell nicht ein.
Beim ersten Besuch der Website erscheint daher ein Cookie-Banner, über das Du alle optionalen Technologien akzeptieren, ablehnen oder im Einstellungsdialog kategorienweise auswählen kannst. Deine Auswahl kannst Du jederzeit über den Link „Cookie-Einstellungen“ im Footer bzw. in Deinen Konto-Einstellungen ändern oder widerrufen. Eine vollständige, laufend aktuelle Auflistung aller eingesetzten Cookies, Speichermechanismen und Anbieter findest Du in unserer Cookie-Übersicht.
11. Empfänger, Speicherdauer und Datensicherheit
11.1 Empfänger
Personenbezogene Daten werden nur an Empfänger übermittelt, soweit dies zur Vertragserfüllung, zur Bereitstellung der Plattform, aufgrund gesetzlicher Verpflichtungen, zur Wahrung berechtigter Interessen oder aufgrund einer Einwilligung erforderlich ist. Empfänger können insbesondere Coaches, Coachees, Fitnessstudios, Administratoren, technische Dienstleister, Zahlungsdienstleister, E-Mail-Dienstleister, Steuerberater, Rechtsberater, Behörden oder Gerichte sein.
11.2 Speicherdauer
Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Verarbeitungszweck erforderlich ist, eine Einwilligung besteht, gesetzliche Aufbewahrungspflichten gelten oder berechtigte Interessen eine weitere Speicherung rechtfertigen.
Benutzerkonten und Profildaten werden grundsätzlich bis zur Löschung des Kontos gespeichert.
Gesundheits-, Trainings- und Ernährungsdaten werden grundsätzlich bis zur Löschung des Benutzerkontos oder bis zur Beendigung der Coachingbeziehung gespeichert, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen entgegenstehen.
Chat- und Kommunikationsdaten werden für die Dauer der Nutzung bzw. Betreuung gespeichert, soweit keine frühere Löschung erfolgt oder gesetzliche Pflichten entgegenstehen.
Rechnungs-, Zahlungs- und Buchhaltungsdaten werden entsprechend der gesetzlichen Aufbewahrungsfristen gespeichert.
Technische Logdaten werden nur solange gespeichert, wie dies für Sicherheit, Fehleranalyse, Missbrauchsprävention oder Nachweispflichten erforderlich ist.
Daten in Backups können für einen begrenzten Zeitraum fortbestehen und werden nach Ablauf definierter Backup-Zyklen überschrieben oder gelöscht.
11.3 Datensicherheit
BodyMetrics setzt angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein, um personenbezogene Daten vor Verlust, Zerstörung, Veränderung, unbefugtem Zugriff oder unbefugter Offenlegung zu schützen. Hierzu gehören insbesondere rollenbasierte Berechtigungen, verschlüsselte Datenübertragungen, sichere Authentifizierungsverfahren, Datenbankzugriffsregeln, Protokollierung sicherheitsrelevanter Vorgänge, Backups, Zugriffsbeschränkungen und Maßnahmen zur Wiederherstellung der Verfügbarkeit.
12. Rechte betroffener Personen
Betroffene Personen haben nach Maßgabe der DSGVO das Recht auf Auskunft über die verarbeiteten personenbezogenen Daten, Berichtigung unrichtiger Daten, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen bestimmte Verarbeitungen. Beruht eine Verarbeitung auf einer Einwilligung, kann diese jederzeit mit Wirkung für die Zukunft widerrufen werden.
Die Ausübung der Rechte ist über die im Abschnitt „Verantwortlicher und Kontakt“ genannten Kontaktdaten möglich. BodyMetrics kann zur Bearbeitung einer Anfrage eine angemessene Identitätsprüfung durchführen, soweit dies erforderlich ist, um unbefugte Auskünfte oder Löschungen zu verhindern.
13. Beschwerderecht
Unbeschadet anderer verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe besteht das Recht, Beschwerde bei einer zuständigen Datenschutzaufsichtsbehörde einzulegen, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung ihrer personenbezogenen Daten gegen die DSGVO verstößt. Zuständig kann insbesondere die Aufsichtsbehörde des gewöhnlichen Aufenthaltsorts, des Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes sein.
14. Änderungen dieser Datenschutzerklärung
BodyMetrics überprüft diese Datenschutzerklärung regelmäßig und passt sie an geänderte gesetzliche Anforderungen, technische Entwicklungen, eingesetzte Dienstleister oder neue Plattformfunktionen an. Maßgeblich ist jeweils die zum Zeitpunkt des Besuchs der Plattform veröffentlichte Fassung. Über wesentliche Änderungen können Nutzer innerhalb der Plattform, per E-Mail oder auf anderem geeigneten Weg informiert werden.