1. Verantwortlicher und Kontakt
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) sowie weiterer anwendbarer datenschutzrechtlicher Vorschriften ist BodyMetrics, Inhaber Florian Petry, Eggenfeldener Str. 1, 84571 Reischach, Deutschland.
Sie erreichen BodyMetrics für sämtliche datenschutzbezogenen Anliegen, insbesondere für Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs-, Widerspruchs- und Widerrufsanfragen, per E-Mail unter info@getbodymetrics.app. Diese Kontaktadresse gilt zugleich für allgemeine Fragen zur Verarbeitung personenbezogener Daten im Zusammenhang mit der Website, der Web-App, Coach- und Coachee-Konten, Gym-Funktionen, Zahlungsprozessen und Supportanfragen.
2. Geltungsbereich dieser Datenschutzerklärung
Diese Datenschutzerklärung gilt für die Website getbodymetrics.app, zugehörige Subdomains, die BodyMetrics-Web-App sowie sämtliche digitalen Funktionen, die BodyMetrics für Coaches, Coachees, Fitnessstudios, Studiomitarbeiter und Administratoren bereitstellt. Sie gilt außerdem für Registrierungs- und Loginbereiche, Einladungs- und QR-Code-Funktionen, Kommunikations- und Supportprozesse, Abrechnungsfunktionen, technische Systemprozesse sowie alle mit der Plattform verbundenen Dienste.
Diese Datenschutzerklärung gilt außerdem für die native BodyMetrics-App für Coachees, die über den Apple App Store und den Google Play Store bezogen werden kann. Die native App greift auf dieselbe technische Infrastruktur wie die Web-App zu und verarbeitet grundsätzlich dieselben Datenkategorien; Abschnitt 6a beschreibt die Besonderheiten der nativen App, insbesondere Geräteberechtigungen, Push-Benachrichtigungen und den Zugriff auf Schrittdaten über Apple Health bzw. Google Health Connect.
Betroffen sind insbesondere Websitebesucher, Interessenten, Coaches, Coachees, Fitnessstudios, Studiomitarbeiter, Administratoren, Supportkontakte sowie Personen, die über Einladungslinks, QR-Codes oder sonstige Schnittstellen mit BodyMetrics in Berührung kommen.
BodyMetrics stellt eine digitale Plattform für Coaching-, Trainings-, Ernährungs-, Check-in-, Kommunikations- und Fortschrittsfunktionen bereit. Welche personenbezogenen Daten konkret verarbeitet werden, hängt davon ab, welche Rolle ein Nutzer hat, welche Funktionen er verwendet und welche Daten freiwillig eingegeben, hochgeladen oder im Rahmen der Plattformnutzung erzeugt werden.
3. Begriffe und Datenschutzgrundsätze
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören beispielsweise Name, E-Mail-Adresse, IP-Adresse, Profilinformationen, Kommunikationsinhalte, Vertrags- und Zahlungsdaten, technische Nutzungsdaten sowie Trainings-, Ernährungs- und Gesundheitsdaten.
Gesundheitsdaten sind besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO. Innerhalb von BodyMetrics können hierzu insbesondere Angaben zu Körpermaßen, Gewicht, Fortschrittsbildern, Check-ins, Schlaf, Aktivität, Wasseraufnahme, Supplements, Trainingsleistungen, Ernährungsprotokollen, Mealplans, Food-Tracking, Zielwerten, Anamneseangaben sowie weiteren gesundheits- oder körperbezogenen Informationen gehören.
Verarbeitung meint jeden Vorgang im Zusammenhang mit personenbezogenen Daten, insbesondere das Erheben, Erfassen, Ordnen, Speichern, Auslesen, Verwenden, Offenlegen, Übermitteln, Einschränken, Löschen oder Vernichten von Daten.
BodyMetrics verarbeitet personenbezogene Daten nach den Grundsätzen der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Zugriff auf personenbezogene Daten erhalten nur solche Personen oder Rollen, die diesen Zugriff für die jeweilige Funktion, Betreuung, Abrechnung, Sicherheit oder Administration benötigen.
4. Rechtsgrundlagen der Verarbeitung
Die Verarbeitung personenbezogener Daten erfolgt abhängig vom jeweiligen Verarbeitungsvorgang auf einer oder mehreren der nachfolgend genannten Rechtsgrundlagen:
Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für die Bereitstellung der Plattform, die Erstellung und Verwaltung von Benutzerkonten, die Durchführung von Coachingleistungen, die Kommunikation, die Zahlungsabwicklung oder sonstige vertragliche bzw. vorvertragliche Maßnahmen erforderlich ist.
Art. 6 Abs. 1 lit. a DSGVO, soweit Nutzer freiwillig eine Einwilligung erteilen, etwa für optionale Funktionen, freiwillige Angaben, bestimmte gesundheitsbezogene Verarbeitungen oder optionale Analyse- und Komforttechnologien.
Art. 6 Abs. 1 lit. c DSGVO, soweit BodyMetrics aufgrund gesetzlicher Verpflichtungen Daten verarbeiten oder aufbewahren muss, insbesondere steuerliche, handelsrechtliche oder buchhalterische Pflichten.
Art. 6 Abs. 1 lit. f DSGVO, soweit die Verarbeitung zur Sicherstellung des Plattformbetriebs, zur IT-Sicherheit, zur Fehleranalyse, zur Missbrauchs- und Betrugsprävention, zur Durchsetzung oder Abwehr von Ansprüchen oder zur Weiterentwicklung der Plattform erforderlich ist.
Soweit besondere Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten, verarbeitet werden, erfolgt dies zusätzlich auf einer geeigneten Grundlage nach Art. 9 Abs. 2 DSGVO. In Betracht kommt insbesondere eine ausdrückliche Einwilligung des Nutzers sowie – soweit rechtlich zulässig – die Verarbeitung zur Bereitstellung ausdrücklich gewünschter gesundheits- und coachingbezogener Plattformfunktionen.
Für das Speichern von Informationen auf dem Endgerät oder den Zugriff auf Informationen im Endgerät gelten ergänzend die Vorgaben des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Technisch notwendige Speicherungen können ohne Einwilligung zulässig sein; nicht notwendige Analyse-, Marketing- oder Trackingtechnologien werden nur eingesetzt, soweit hierfür eine wirksame Einwilligung vorliegt.
5. Besuch der Plattform, technische Bereitstellung und Benutzerkonto
5.1 Besuch der Website und technische Zugriffsdaten
Beim Aufruf der Website oder Web-App verarbeitet BodyMetrics technisch erforderliche Informationen, um die Plattform auszuliefern und sicher betreiben zu können. Dazu können IP-Adresse, Datum und Uhrzeit des Zugriffs, Browsertyp und -version, Betriebssystem, Referrer-URL, aufgerufene Seiten, Antwortstatus, übertragene Datenmenge, Geräteinformationen sowie technische Fehler- und Sicherheitsprotokolle gehören.
Diese Verarbeitung dient der technischen Bereitstellung der Plattform, der Gewährleistung von Stabilität und Sicherheit, der Erkennung und Behebung technischer Fehler, der Abwehr von Angriffen, der Optimierung der Ladezeiten sowie der Missbrauchsprävention. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
5.2 Registrierung und Benutzerkonto
Für die Nutzung wesentlicher Funktionen von BodyMetrics ist regelmäßig die Erstellung eines Benutzerkontos erforderlich. Dabei verarbeitet BodyMetrics insbesondere Name, E-Mail-Adresse, Passwort-Hash, Rolle, Erstellungszeitpunkt, Loginstatus, technische Kontoinformationen sowie weitere freiwillige Profilangaben.
Je nach Rolle und genutzter Funktion können zusätzliche Angaben verarbeitet werden, etwa Profilbild, Geburtsdatum, Geschlecht, Körpergröße, Anschrift, Studiozugehörigkeit oder sonstige Profilinformationen. Freiwillige Angaben sind nur erforderlich, wenn eine Funktion genutzt wird, für die diese Angaben benötigt werden.
Passwörter werden nicht im Klartext gespeichert. Die Authentifizierung erfolgt über geeignete technische Verfahren. BodyMetrics kann das Passwort eines Nutzers nicht auslesen.
5.3 Rollen innerhalb von BodyMetrics
BodyMetrics unterscheidet insbesondere zwischen Coaches, Coachees, Fitnessstudios bzw. Studiomitarbeitern und Administratoren. Coaches nutzen BodyMetrics zur Betreuung ihrer Coachees, insbesondere für Trainingspläne, Ernährungsziele, Check-ins, Reviews, Chatnachrichten und Fortschrittsdaten. Coachees nutzen BodyMetrics zur Erfassung und Dokumentation ihrer eigenen Trainings-, Ernährungs-, Check-in- und Fortschrittsdaten.
Fitnessstudios und Studiomitarbeiter können – soweit entsprechende Gym-Funktionen bereitgestellt werden – Mitglieder verwalten, Trainingspläne erstellen oder eingeschränkte Plattformfunktionen nutzen. Administratoren können zur technischen Verwaltung, Supportbearbeitung, Abrechnung, Fehleranalyse, Missbrauchsprävention und Rechteverwaltung Zugriff auf bestimmte Daten erhalten. Zugriffe erfolgen rollen- und zweckgebunden nach dem eingerichteten Berechtigungskonzept.
6. Gesundheits-, Trainings- und Ernährungsdaten
6.1 Umfang der verarbeiteten Gesundheitsdaten
BodyMetrics verarbeitet Gesundheits-, Trainings- und Ernährungsdaten ausschließlich zur Durchführung der vereinbarten Plattform- und Coachingleistungen. Die Verarbeitung erfolgt zweckgebunden, nach dem Grundsatz der Datenminimierung und nur in dem Umfang, der für die jeweilige Funktion erforderlich ist oder vom Nutzer freiwillig bereitgestellt wird.
Zu den verarbeiteten Daten können insbesondere gehören:
Anamnesedaten, z. B. Ziele, Trainingserfahrung, Alltag, Ernährung, Gewohnheiten, Einschränkungen, Beschwerden oder sonstige coachingrelevante Angaben;
Check-in-Daten, z. B. Gewicht, Körperumfänge, Stimmung, Energielevel, Schlaf, Wasseraufnahme, Ernährungstreue, Trainingsstatus, Notizen und Fortschrittsangaben;
Trainingsdaten, z. B. Trainingspläne, Trainingstage, Übungen, Sätze, Wiederholungen, Gewichte, Trainingshistorien, Trainingsmodi, Trainingsvorlagen und Leistungsentwicklung;
Ernährungsdaten, z. B. Kalorienziele, Makronährstoffe, Wasserziel, Mealplans, Mahlzeiten, Zutaten, Mengenangaben, Food-Tracking, Barcodeinformationen, Favoriten, Einkaufslisten und Ernährungstagebücher;
Mediendaten, z. B. Fortschrittsbilder sowie Audio- oder Video-Feedback im Zusammenhang mit Check-ins, Reviews oder Coachingrückmeldungen;
optionale Gesundheits- und Aktivitätsdaten, z. B. Schlaf, Schritte, Aktivität, Supplement-Tracking oder weitere freiwillig eingegebene gesundheitsbezogene Parameter.
6.2 Zwecke der Verarbeitung
Die Verarbeitung dieser Daten dient insbesondere der digitalen Coachingbetreuung, der Erstellung und Anpassung von Trainings- und Ernährungsplänen, der Fortschrittsdokumentation, der Auswertung von Check-ins, der Kommunikation zwischen Coach und Coachee sowie der individuellen Anpassung von Coachingmaßnahmen.
BodyMetrics ersetzt keine ärztliche Beratung, Diagnose oder Behandlung. Die in der Plattform verarbeiteten Daten dienen der Unterstützung von Coaching-, Trainings- und Ernährungsprozessen und sind im Zusammenhang mit dem Health Disclaimer und den Nutzungsbedingungen zu verstehen.
6.3 Zugriff auf Gesundheitsdaten
Gesundheits-, Trainings- und Ernährungsdaten sind grundsätzlich nur für den jeweiligen Nutzer selbst sowie für die im Rahmen der aktiven Coachingbeziehung berechtigten Coaches sichtbar. Ein Coach erhält Zugriff auf Daten eines Coachees nur, soweit eine aktive Zuordnung besteht und der Zugriff für die Betreuung erforderlich ist.
Nach Beendigung der Coach-Coachee-Beziehung kann der Zugriff des Coaches auf laufende Coachingdaten eingeschränkt oder entfernt werden. Gesetzliche Aufbewahrungspflichten, technische Protokolle und berechtigte Interessen, etwa zur Nachvollziehbarkeit von Vorgängen oder zur Abwehr von Ansprüchen, bleiben unberührt.
6.4 Rechtsgrundlage und Einwilligung
Die Verarbeitung erfolgt, soweit sie für die Bereitstellung der Coaching- und Plattformfunktionen erforderlich ist, auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Soweit Gesundheitsdaten im Sinne von Art. 9 DSGVO verarbeitet werden, erfolgt die Verarbeitung zusätzlich auf Grundlage von Art. 9 Abs. 2 lit. a DSGVO, das heißt aufgrund einer ausdrücklichen Einwilligung.
Diese Einwilligung wird derzeit im Rahmen der Registrierung durch das Akzeptieren der Nutzungsbedingungen, der AGB und dieser Datenschutzerklärung erklärt, in denen die Verarbeitung von Gesundheits-, Trainings- und Ernährungsdaten für die Coaching- und Plattformfunktionen ausdrücklich beschrieben ist. Eine hiervon technisch getrennte, gesondert abzuhakende Einwilligung speziell für Gesundheitsdaten wird aktuell nicht eingeholt. Diese Ausgestaltung wird laufend rechtlich überprüft; sollte eine granularere, gesondert zu erteilende Einwilligung erforderlich sein, wird diese Datenschutzerklärung entsprechend angepasst und ein zusätzlicher technischer Einwilligungsschritt ergänzt.
Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden, etwa durch eine entsprechende Mitteilung an die in Abschnitt 1 genannte Kontaktadresse. Ein Widerruf kann dazu führen, dass bestimmte Plattformfunktionen nicht mehr oder nur eingeschränkt genutzt werden können, sofern diese Funktionen auf der Verarbeitung der betreffenden Daten beruhen.
6a. Native App: Geräteberechtigungen, Schrittdaten und Push-Benachrichtigungen
6a.1 Geräteberechtigungen
Die native BodyMetrics-App fragt je nach genutzter Funktion die folgenden Berechtigungen des Betriebssystems ab: Kamera (für den Barcode-Scan beim Food-Tracking und für Check-in-Fotos), Fotomediathek (für das Hinzufügen bestehender Fortschritts- und Check-in-Bilder), Mikrofon (für Sprachnachrichten im Chat) sowie Zugriff auf Schrittdaten (Apple Health bzw. Google Health Connect, siehe 6a.2) und die Berechtigung zum Anzeigen von Mitteilungen (siehe 6a.3). Diese Berechtigungen werden über die jeweiligen Systemdialoge von iOS bzw. Android eingeholt; ohne die entsprechende Berechtigung steht die jeweilige Funktion nicht zur Verfügung. Ein Zugriff auf Standort- oder Kontaktdaten des Geräts findet nicht statt.
6a.2 Schrittdaten (Apple Health / Google Health Connect)
Sofern der Nutzer dies über die Systemberechtigung zulässt, liest die native App die tagesaktuelle Schrittzahl aus Apple Health (iOS) bzw. Google Health Connect (Android) aus und zeigt sie innerhalb der App an bzw. speichert sie im BodyMetrics-Konto, damit sie dem Coach im Rahmen der Betreuung zur Verfügung steht. Es werden ausschließlich Schrittdaten gelesen; ein Schreibzugriff auf Apple Health oder Google Health Connect erfolgt nicht. Apple bzw. Google erhalten durch diesen Lesezugriff keine zusätzlichen Daten von BodyMetrics.
6a.3 Push-Benachrichtigungen
Für Push-Benachrichtigungen der nativen App wird ein geräte- und app-spezifisches Push-Token erzeugt und im BodyMetrics-Konto gespeichert. Der Versand erfolgt über den Push-Dienst von Expo (Betreiber: 650 Industries, Inc.), der die Zustellung an Apples Push-Dienst (APNs) bzw. an Firebase Cloud Messaging (Google) übernimmt. Übertragen werden dabei das Push-Token, der Benachrichtigungsinhalt (z. B. Hinweis auf eine neue Nachricht oder einen fälligen Check-in) sowie technische Zustellinformationen. Push-Benachrichtigungen können in den Einstellungen der App sowie über die Systemeinstellungen des Geräts jederzeit deaktiviert werden. Näheres zu den beteiligten Anbietern enthält Abschnitt 9.
7.1 Chatkommunikation
Über die Plattform können Coaches und Coachees Nachrichten austauschen. Dabei werden Nachrichteninhalte, Absender- und Empfängerinformationen, Zeitstempel, Lesestatus sowie technische Zustellinformationen verarbeitet. Die Verarbeitung dient ausschließlich der Durchführung der Coachingbeziehung und der Bereitstellung der Kommunikationsfunktion.
7.2 Audio-, Video- und Bilddateien
Nutzer können im Rahmen einzelner Funktionen Fortschrittsbilder sowie Audio- und Videodateien hochladen oder empfangen. Diese Dateien dienen ausschließlich der Trainingsanalyse, Check-in-Auswertung und individuellen Betreuung. Fortschrittsbilder, Check-in-Video-Reviews und Chat-Sprachnachrichten werden nicht veröffentlicht und sind nur für den betroffenen Nutzer und den zugeordneten Coach zugänglich. Für Bilder in der Coach Community und im Coach Feed gilt dies nicht – siehe Abschnitt 7.2a.
7.2a Bilder in Coach Community und Coach Feed
Lädt ein Nutzer ein Bild im Rahmen eines Beitrags in der Coach Community oder im Coach Feed hoch, wird dieses Bild – anders als Fortschrittsbilder und Check-in-Medien – öffentlich abrufbar gespeichert, damit es innerhalb der jeweiligen Funktion angezeigt werden kann. Nutzer sollten daher in Community- und Feed-Beiträgen keine Fortschritts-, Check-in- oder sonstigen Bilder verwenden, die sie nicht öffentlich zugänglich machen möchten.
7.3 E-Mail-Kommunikation
Registrierungs-, Verifizierungs-, Passwort-Reset-, Einladungs- und sonstige transaktionale E-Mails werden über Resend versendet. Es werden ausschließlich die für Versand und Zustellung erforderlichen personenbezogenen Daten verarbeitet.
7.4 Push- und In-App-Benachrichtigungen
BodyMetrics kann Benachrichtigungen über neue Nachrichten, Check-ins, Reviews, Trainingsaufgaben oder sicherheitsrelevante Ereignisse bereitstellen. Diese Benachrichtigungen dienen ausschließlich der Nutzung der Plattform.
7.5 Einladungen und QR-Codes
Zur Verknüpfung von Coaches, Coachees und Fitnessstudios können Einladungslinks und QR-Codes verarbeitet werden. Hierbei werden ausschließlich die zur Zuordnung erforderlichen Identifikations- und Statusdaten verarbeitet.
7.5a Anforderung von Auswertungen und Unterlagen (Lead-Erfassung)
Auf einzelnen Informationsseiten können Interessenten kostenlose Auswertungen und Unterlagen anfordern, etwa das Ergebnis eines Kostenrechners, die Auswertung eines Selbsttests oder eine Checkliste. Die Ergebnisse dieser Werkzeuge werden unmittelbar im Browser angezeigt; eine E-Mail-Adresse ist dafür nicht erforderlich. Wird zusätzlich eine Zusendung per E-Mail gewünscht, verarbeiten wir die angegebene E-Mail-Adresse, die im jeweiligen Werkzeug gemachten Angaben (beispielsweise Anzahl betreuter Coachees, geschätzter Verwaltungsaufwand, Stundensatz oder die gegebenen Antworten und die daraus errechneten Punktwerte), den Zeitpunkt der Anforderung sowie den Zeitpunkt einer etwaigen Bestätigung oder Abmeldung.
Der Versand erfolgt ausschließlich im Double-Opt-in-Verfahren: Nach dem Absenden erhalten Sie zunächst eine E-Mail mit einem Bestätigungslink. Erst nach dessen Aufruf gilt Ihre Einwilligung als erteilt und die angeforderte Auswertung wird versendet. Ohne Bestätigung erfolgt keine weitere Kontaktaufnahme. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 Nr. 3 UWG. Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, insbesondere über den Abmeldelink am Ende jeder dieser E-Mails oder formlos per E-Mail an info@getbodymetrics.app.
Rufen Sie eine solche Seite über eine Werbeanzeige auf und haben Sie im Cookie-Banner der Kategorie „Marketing“ zugestimmt, werden die in der Adresszeile enthaltenen Kampagnenparameter (utm_source, utm_medium, utm_campaign) für die Dauer der Browsersitzung in einem First-Party-Cookie gespeichert und ausschließlich dann gemeinsam mit Ihrer Anfrage gesichert, wenn Sie das Formular selbst absenden. Dies dient allein der Zuordnung, welche Kampagne zu einer Anfrage geführt hat; eine geräteübergreifende Wiedererkennung, eine Profilbildung oder eine Weitergabe an Dritte findet nicht statt. Ohne diese Einwilligung oder ohne Kampagnenparameter wird kein Cookie gesetzt und keine Kampagne zugeordnet; widerrufen Sie die Einwilligung, wird das Cookie gelöscht. Rechtsgrundlage ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO. Der Versand der E-Mails erfolgt über Resend (siehe Abschnitt 9.5).
Zur Erfolgskontrolle unserer Werbemaßnahmen und zur Bearbeitung von Anfragen gleichen wir die angegebene E-Mail-Adresse intern mit unserem Nutzerbestand ab. Auf diese Weise stellen wir fest, ob aus einer Anfrage ein Coach-Konto entstanden ist, wie weit dessen Einrichtung fortgeschritten ist und ob bereits eine Betreuung stattfindet. Als Vergleichsmerkmal dient ausschließlich die E-Mail-Adresse; das Ergebnis dieses Abgleichs wird nicht dauerhaft gespeichert, sondern bei jedem Aufruf der internen Auswertung neu ermittelt. Rechtsgrundlage ist unser berechtigtes Interesse an der Messung der Wirksamkeit unserer Werbemaßnahmen nach Art. 6 Abs. 1 lit. f DSGVO.
Ergänzend können wir zu einer Anfrage einen internen Bearbeitungsstand, eine interne Notiz sowie ein Wiedervorlagedatum erfassen, um Anfragen nachvollziehbar zu bearbeiten und Mehrfachansprachen zu vermeiden. Diese Angaben sind ausschließlich für berechtigte Administratoren zugänglich und werden nicht an die betroffene Person übermittelt oder veröffentlicht; Änderungen daran werden intern protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Sie können der Verarbeitung auf Grundlage berechtigter Interessen jederzeit nach Art. 21 DSGVO widersprechen; wir löschen die Anfrage dann, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Angeforderte Daten werden gelöscht, sobald der Zweck entfällt, spätestens jedoch drei Jahre nach dem Widerruf der Einwilligung oder nach der letzten Interaktion; nicht bestätigte Anfragen werden spätestens nach 30 Tagen gelöscht. Nachweise über erteilte Einwilligungen bewahren wir für die Dauer der gesetzlichen Nachweispflichten auf.
7.6 Speicherdauer
Kommunikationsdaten werden grundsätzlich für die Dauer der bestehenden Coachingbeziehung gespeichert, sofern keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen eine längere Speicherung erfordern.
8. Zahlungsabwicklung und Vertragsdurchführung
8.1 Vertragsdurchführung
BodyMetrics verarbeitet Vertrags-, Abonnement- und Zahlungsdaten zur Durchführung kostenpflichtiger Leistungen. Hierzu gehören insbesondere Vertragsbeginn, Laufzeiten, Kündigungen, Rechnungsinformationen, Zahlungsstatus sowie die Verwaltung bestehender Coaching-Abonnements.
8.2 Stripe Checkout
Für die Abwicklung von Zahlungen wird Stripe Checkout eingesetzt. Zahlungsdaten werden grundsätzlich unmittelbar durch Stripe verarbeitet. Je nach gewählter Zahlungsart handelt es sich dabei insbesondere um Kartendaten oder, bei einer Zahlung im SEPA-Lastschriftverfahren, um Kontoinhaber, Kontonummer (IBAN) sowie die Daten des erteilten Lastschriftmandats einschließlich Mandatsreferenz und Mandatsdatum; auch die Erteilung des Lastschriftmandats erfolgt im Zahlungsformular von Stripe. BodyMetrics erhält nur diejenigen Informationen, die zur Vertragsdurchführung, Zahlungsbestätigung und Kundenbetreuung erforderlich sind. Hierzu gehört bei einem dauerhaft hinterlegten Zahlungsmittel auch die Art der Zahlung sowie die letzten vier Stellen der Karten- oder Kontonummer, damit das hinterlegte Zahlungsmittel in der Plattform wiedererkennbar angezeigt werden kann. Die vollständige Karten- oder Kontonummer wird von BodyMetrics nicht gespeichert.
8.3 Stripe Connect
Zur automatisierten Auszahlung an Coaches wird Stripe Connect eingesetzt. Hierbei können Identitäts-, Bank- und Steuerdaten unmittelbar durch Stripe verarbeitet werden, soweit dies für die Einrichtung und Verwaltung eines Connect-Kontos erforderlich ist.
8.4 Rechnungsstellung und Buchhaltung
Zur Erfüllung handels- und steuerrechtlicher Verpflichtungen verarbeitet BodyMetrics Rechnungsnummern, Zahlungsbeträge, Steuerinformationen sowie abrechnungsrelevante Vertragsdaten.
8.5 Betrugsprävention
Zur Erkennung missbräuchlicher oder betrügerischer Zahlungsvorgänge können Transaktions- und Sicherheitsdaten verarbeitet werden. Diese Verarbeitung dient dem Schutz der Plattform und aller Nutzer.
8.6 Speicherdauer
Rechnungs- und steuerrechtlich relevante Unterlagen werden entsprechend der gesetzlichen Aufbewahrungspflichten gespeichert. Zahlungsdaten werden im Übrigen nur solange verarbeitet, wie dies für die Vertragsdurchführung oder die Erfüllung gesetzlicher Pflichten erforderlich ist. Bei Zahlungen im SEPA-Lastschriftverfahren gehört hierzu auch der Zeitraum, in dem eine Lastschrift noch zurückgegeben werden kann; Mandats- und Transaktionsdaten werden bis zum Ablauf dieses Zeitraums aufbewahrt, um Rückbuchungen zuordnen und bearbeiten zu können.
9. Technische Dienstleister und Auftragsverarbeitung
BodyMetrics setzt ausgewählte technische Dienstleister ein, um den sicheren Betrieb der Plattform und die Bereitstellung der angebotenen Funktionen sicherzustellen. Soweit Dienstleister personenbezogene Daten ausschließlich im Auftrag verarbeiten, werden Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO geschlossen.
9.1 STRATO – Domainverwaltung und DNS
Die Domain sowie die DNS-Konfiguration werden über STRATO verwaltet. Hierbei können technische Administrations- und Verbindungsdaten verarbeitet werden.
9.2 Vercel – Hosting und Deployment
Vercel wird für Hosting, Deployment und Content Delivery der Webanwendung eingesetzt. Hierbei können Server-Logs, IP-Adressen und technische Verbindungsdaten verarbeitet werden.
9.3 Supabase – Datenbank, Authentifizierung, Storage und Realtime
Supabase wird für Datenbankbetrieb, Authentifizierung, Dateispeicherung, Realtime-Funktionen und rollenbasierte Zugriffskonzepte eingesetzt.
9.4 Stripe – Zahlungsabwicklung und Stripe Connect
Stripe verarbeitet Zahlungsdaten, Abonnementinformationen sowie Auszahlungsdaten für Coaches im Rahmen von Stripe Connect.
9.5 Resend – Transaktionale E-Mails
Resend wird für Registrierungs-, Verifizierungs-, Passwort-Reset- und System-E-Mails eingesetzt.
9.6 Sentry – Fehler- und Absturzberichte (Web und native App)
Sentry (Functional Software, Inc.) wird eingesetzt, um technische Fehler und Abstürze in der Web-App und der nativen App zu erkennen und zu beheben. Übertragen werden Stacktraces, technische Fehlermeldungen, Gerätetyp/Betriebssystem sowie App-Version. Die Erfassung vollständiger Nutzerdaten (Default-PII) sowie Session-Replay-Aufzeichnungen sind technisch deaktiviert; vor der Übermittlung durchlaufen Fehlerereignisse zusätzlich eine eigene Filterung, die erkennbare personenbezogene Inhalte entfernt. In der Web-App wird Sentry clientseitig erst nach Einwilligung zur Kategorie „Analyse“ im Cookie-Einstellungsdialog aktiv (siehe Abschnitt 10); die serverseitige Fehlererfassung sowie der Einsatz in der nativen App sind hiervon nicht betroffen.
9.6a Google Analytics 4 – Reichweitenmessung (nur öffentliche Seiten)
Auf den öffentlichen Seiten der Website (insbesondere Startseite, Kampagnenseiten, Produkt-Tour, öffentliche Coach-Landingpages sowie Einladungs- und Buchungslinks) wird Google Analytics 4 eingesetzt, ein Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google Analytics verwendet Cookies (_ga sowie _ga_<Mess-ID>, Gültigkeit bis zu zwei Jahre), um zu messen, welche öffentlichen Seiten aufgerufen werden und woher Besucher kommen. Verarbeitet werden dabei pseudonyme Online-Kennungen, Geräte- und Browserinformationen, die aufgerufenen Seiten sowie ungefähre Standortinformationen; vollständige IP-Adressen werden von Google Analytics 4 nach Angaben von Google nicht protokolliert. Der Einsatz erfolgt ausschließlich auf Grundlage einer Einwilligung nach § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO, die über das Cookie-Banner bzw. den Einstellungsdialog (Kategorie „Analyse“) erteilt wird; ohne Einwilligung wird der Dienst nicht geladen und es entsteht kein Cookie. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden – beim Widerruf werden die genannten Cookies gelöscht und die Messung gestoppt. Im eingeloggten Bereich (Coach-, Coachee- und Adminbereich) findet keine Messung statt, auch nicht bei erteilter Einwilligung. Eine Übermittlung in die USA kann im Konzernverbund (Google LLC) stattfinden; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (siehe Abschnitt 9.10). Weitere Informationen finden sich in der Datenschutzerklärung von Google unter https://policies.google.com/privacy.
9.6b Meta-Pixel und Conversions API – Messung unserer Werbeanzeigen (nur öffentliche Seiten)
Auf den öffentlichen Seiten der Website (insbesondere Startseite, Kampagnenseiten, Produkt-Tour, öffentliche Coach-Landingpages, Einladungs- und Buchungslinks sowie die Bestätigungsseite nach einer Coach-Registrierung) wird das Meta-Pixel eingesetzt, ein Analyse- und Werbemessdienst der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Das Pixel verwendet Cookies (_fbp sowie – nach einem Klick auf eine Werbeanzeige – _fbc, Gültigkeit jeweils bis zu 90 Tage), um zu messen, welche öffentlichen Seiten nach einem Anzeigenklick aufgerufen werden und ob daraus eine Coach-Registrierung entsteht. Verarbeitet werden dabei pseudonyme Online-Kennungen, Geräte- und Browserinformationen, die aufgerufenen Seiten sowie die Werbeklick-Kennung aus dem Anzeigenlink. Zusätzlich übermitteln wir bei einer abgeschlossenen Coach-Registrierung dasselbe Ereignis serverseitig über die Conversions API von Meta; dabei wird die bei der Registrierung angegebene E-Mail-Adresse ausschließlich als nicht umkehrbarer Hashwert (SHA-256) übertragen, nie im Klartext, und Browser- und Server-Ereignis tragen dieselbe Zufallskennung, damit Meta sie als ein Ereignis zählt. Der Einsatz erfolgt ausschließlich auf Grundlage einer Einwilligung nach § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO, die über das Cookie-Banner bzw. den Einstellungsdialog (Kategorie „Marketing“) erteilt wird; ohne Einwilligung wird weder das Skript des Pixels geladen noch ein Cookie gesetzt und auch serverseitig nichts an Meta übermittelt. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden – beim Widerruf werden die genannten Cookies gelöscht und die Übermittlung gestoppt. Im eingeloggten Bereich (Coach-, Coachee- und Adminbereich) findet keine Messung statt, auch nicht bei erteilter Einwilligung. Meta verarbeitet die Daten auch für eigene Zwecke; soweit dabei eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO besteht, gelten die von Meta bereitgestellten Bedingungen für Verantwortliche. Eine Übermittlung in die USA kann im Konzernverbund (Meta Platforms, Inc.) stattfinden; Meta Platforms, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert (siehe Abschnitt 9.10). Weitere Informationen finden sich in der Datenschutzrichtlinie von Meta unter https://www.facebook.com/privacy/policy.
9.7 Expo / EAS – Push-Zustellung, App-Updates und Build-Infrastruktur (native App)
Für die native App werden Dienste von Expo bzw. EAS (Betreiber: 650 Industries, Inc.) eingesetzt: der Expo-Push-Dienst zur Zustellung von Push-Benachrichtigungen (siehe 6a.3), EAS Update zur Verteilung von App-Aktualisierungen ohne erneuten Store-Download sowie EAS Build zur Erstellung der App-Pakete. Hierbei können Push-Token, Geräte- und App-Versionsinformationen sowie technische Verbindungsdaten verarbeitet werden.
9.8 Firebase Cloud Messaging (Google) – Push-Zustellung Android
Für die Zustellung von Push-Benachrichtigungen an Android-Geräte wird Firebase Cloud Messaging von Google eingesetzt. Hierbei werden Push-Token und für die Zustellung erforderliche technische Informationen verarbeitet.
9.9 Apple – Push-Zustellung iOS und App-Vertrieb
Für die Zustellung von Push-Benachrichtigungen an iOS-Geräte wird der Apple Push Notification Service (APNs) eingesetzt. Der Bezug der nativen App über den Apple App Store bzw. Google Play Store unterliegt zusätzlich den jeweiligen Datenschutzbestimmungen von Apple bzw. Google, insbesondere für den Registrierungs-, Zahlungs- und Installationsvorgang im jeweiligen Store.
9.10 Drittlandübermittlungen
Mehrere der vorgenannten Dienstleister haben ihren Sitz oder Konzernsitz außerhalb der EU/des EWR, insbesondere in den USA (u. a. Vercel, Resend, Sentry, Expo/650 Industries, im Konzern auch Stripe, Google/Apple und Meta). Soweit personenbezogene Daten hierdurch in Drittländer übermittelt werden, erfolgt dies ausschließlich unter Beachtung der Art. 44 ff. DSGVO, insbesondere auf Grundlage von EU-Standardvertragsklauseln, eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder anderer geeigneter Garantien des jeweiligen Anbieters.
10. Cookies und ähnliche Technologien
BodyMetrics verwendet in der Web-App technisch notwendige Cookies sowie vergleichbare Technologien wie Local Storage, um grundlegende Funktionen der Plattform bereitzustellen. Hierzu gehören insbesondere Authentifizierung, Sitzungsverwaltung, Sicherheitsfunktionen wie die Freischaltung eines Vertrags zur Unterschrift, Schutz vor Missbrauch, das Speichern Deiner Auswahl im Cookie-Banner, das lokale Zwischenspeichern eines in Bearbeitung befindlichen Coach-Notizentwurfs sowie von Dir selbst gewählte Anzeige- und Bedienungseinstellungen (z. B. helle oder dunkle Darstellung, ausgeblendete Hinweise). In der nativen App übernimmt der lokale, verschlüsselte Gerätespeicher (u. a. über AsyncStorage) eine vergleichbare Funktion, etwa für die Anmeldesitzung, lokale Push- und Erinnerungseinstellungen sowie den UI-Zustand.
Darüber hinaus setzt BodyMetrics in der Web-App fünf optionale, einwilligungspflichtige Technologien ein: eine lokal gespeicherte Präferenz für akustische Hinweise im Zirkeltraining (Kategorie „Präferenzen“), Sentry zur Erkennung technischer Fehler und Performance-Probleme im Browser (Kategorie „Analyse“), Google Analytics 4 zur Reichweitenmessung ausschließlich auf den öffentlichen Seiten (Kategorie „Analyse“, siehe Abschnitt 9.6a), ein First-Party-Cookie, das auf unseren Kampagnenseiten eine Anfrage der zugehörigen Werbekampagne zuordnet (Kategorie „Marketing“, siehe Abschnitt 7.5a), sowie das Meta-Pixel samt der serverseitigen Conversions API zur Messung unserer Werbeanzeigen, ebenfalls ausschließlich auf den öffentlichen Seiten (Kategorie „Marketing“, siehe Abschnitt 9.6b). Alle fünf werden technisch erst aktiv, wenn eine entsprechende Einwilligung über das Cookie-Banner bzw. den Einstellungsdialog erteilt wurde; ohne diese Einwilligung findet keine Speicherung bzw. Übermittlung statt. Automatisch ladende externe Medien setzt BodyMetrics nicht ein. Cookies von Drittanbietern setzen ausschließlich die beiden vorgenannten, einwilligungspflichtigen Dienste Google Analytics 4 und Meta-Pixel; im eingeloggten Bereich wird mit keinem von beiden gemessen.
Beim ersten Besuch der Website erscheint daher ein Cookie-Banner, über das Du alle optionalen Technologien akzeptieren, ablehnen oder im Einstellungsdialog kategorienweise auswählen kannst. Deine Auswahl kannst Du jederzeit über den Link „Cookie-Einstellungen“ im Footer bzw. in Deinen Konto-Einstellungen ändern oder widerrufen. Eine vollständige, laufend aktuelle Auflistung aller eingesetzten Cookies, Speichermechanismen und Anbieter findest Du in unserer Cookie-Übersicht.
11. Empfänger, Speicherdauer und Datensicherheit
11.1 Empfänger
Personenbezogene Daten werden nur an Empfänger übermittelt, soweit dies zur Vertragserfüllung, zur Bereitstellung der Plattform, aufgrund gesetzlicher Verpflichtungen, zur Wahrung berechtigter Interessen oder aufgrund einer Einwilligung erforderlich ist. Empfänger können insbesondere Coaches, Coachees, Fitnessstudios, Administratoren, technische Dienstleister, Zahlungsdienstleister, E-Mail-Dienstleister, Steuerberater, Rechtsberater, Behörden oder Gerichte sein.
11.2 Speicherdauer
Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Verarbeitungszweck erforderlich ist, eine Einwilligung besteht, gesetzliche Aufbewahrungspflichten gelten oder berechtigte Interessen eine weitere Speicherung rechtfertigen.
Benutzerkonten und Profildaten werden grundsätzlich bis zur Löschung des Kontos gespeichert.
Endet eine Betreuung durch Kündigung des Coachees, wird das Coachee-Konto 30 Tage nach dem Wirksamkeitstag gelöscht. Diese Frist beruht auf unserem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO), betroffenen Personen ein Fenster zum Sichern ihrer Unterlagen und zum Widerruf der Löschung zu geben; innerhalb der Frist kann die Löschung in der Kontofunktion widerrufen werden. Nach Ablauf der Frist erfolgt die Löschung.
Gesundheits-, Trainings- und Ernährungsdaten werden grundsätzlich bis zur Löschung des Benutzerkontos oder bis zur Beendigung der Coachingbeziehung gespeichert, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen entgegenstehen. Nach dem Ende einer Betreuung gilt für sie dieselbe Frist von 30 Tagen wie für das Konto.
Coachingverträge, Vertragsnachweise sowie Rechnungs- und Zahlungsbelege sind von dieser Frist nicht erfasst: sie werden nach den gesetzlichen Aufbewahrungspflichten getrennt weiter aufbewahrt bzw. gesperrt.
Nach der Löschung eines Coachee-Kontos verbleibt beim betreuenden Coach ausschließlich der Name sowie der Betreuungszeitraum (Beginn und Ende) als Nachweis der erbrachten Leistung in dessen Geschäftsunterlagen. Weitere Angaben werden dabei nicht übernommen – insbesondere keine Kontaktdaten und keine Gesundheits-, Trainings- oder Ernährungsdaten. Rechtsgrundlage ist das berechtigte Interesse an einer nachvollziehbaren Geschäftsdokumentation (Art. 6 Abs. 1 lit. f DSGVO). Der Coach kann diesen Eintrag jederzeit selbst entfernen.
Chat- und Kommunikationsdaten werden für die Dauer der Nutzung bzw. Betreuung gespeichert, soweit keine frühere Löschung erfolgt oder gesetzliche Pflichten entgegenstehen.
Rechnungs-, Zahlungs- und Buchhaltungsdaten werden entsprechend der gesetzlichen Aufbewahrungsfristen gespeichert.
Technische Logdaten werden nur solange gespeichert, wie dies für Sicherheit, Fehleranalyse, Missbrauchsprävention oder Nachweispflichten erforderlich ist.
Daten in Backups können für einen begrenzten Zeitraum fortbestehen und werden nach Ablauf definierter Backup-Zyklen überschrieben oder gelöscht.
11.3 Datensicherheit
BodyMetrics setzt angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein, um personenbezogene Daten vor Verlust, Zerstörung, Veränderung, unbefugtem Zugriff oder unbefugter Offenlegung zu schützen. Hierzu gehören insbesondere rollenbasierte Berechtigungen, verschlüsselte Datenübertragungen, sichere Authentifizierungsverfahren, Datenbankzugriffsregeln, Protokollierung sicherheitsrelevanter Vorgänge, Backups, Zugriffsbeschränkungen und Maßnahmen zur Wiederherstellung der Verfügbarkeit.
12. Rechte betroffener Personen
Betroffene Personen haben nach Maßgabe der DSGVO das Recht auf Auskunft über die verarbeiteten personenbezogenen Daten, Berichtigung unrichtiger Daten, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen bestimmte Verarbeitungen. Beruht eine Verarbeitung auf einer Einwilligung, kann diese jederzeit mit Wirkung für die Zukunft widerrufen werden.
Die Ausübung der Rechte ist über die im Abschnitt „Verantwortlicher und Kontakt“ genannten Kontaktdaten möglich. BodyMetrics kann zur Bearbeitung einer Anfrage eine angemessene Identitätsprüfung durchführen, soweit dies erforderlich ist, um unbefugte Auskünfte oder Löschungen zu verhindern.
13. Beschwerderecht
Unbeschadet anderer verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe besteht das Recht, Beschwerde bei einer zuständigen Datenschutzaufsichtsbehörde einzulegen, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung ihrer personenbezogenen Daten gegen die DSGVO verstößt. Zuständig kann insbesondere die Aufsichtsbehörde des gewöhnlichen Aufenthaltsorts, des Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes sein. Betroffene Personen mit gewöhnlichem Aufenthalt oder Arbeitsplatz in Österreich können sich insbesondere an die österreichische Datenschutzbehörde wenden (www.dsb.gv.at).
14. Änderungen dieser Datenschutzerklärung
BodyMetrics überprüft diese Datenschutzerklärung regelmäßig und passt sie an geänderte gesetzliche Anforderungen, technische Entwicklungen, eingesetzte Dienstleister oder neue Plattformfunktionen an. Maßgeblich ist jeweils die zum Zeitpunkt des Besuchs der Plattform veröffentlichte Fassung. Über wesentliche Änderungen können Nutzer innerhalb der Plattform, per E-Mail oder auf anderem geeigneten Weg informiert werden.