Datenschutz

Breit und Schnell OG, [Straße und Hausnummer], [PLZ] Wien, Österreich — FN [123456a], [Handelsgericht Wien].
E-Mail: coach@breitundschnell.de · Telefon: +43 [Nummer]

Einen Datenschutzbeauftragten haben wir nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO auf uns nicht zutreffen.

Wir betreiben ein Online-Coaching für Kraft- und Ausdauersport. Dabei verarbeiten wir Daten, die etwas über deinen Körper und deinen Trainingszustand aussagen — Alter, Größe, Gewicht, Trainingsniveau, Ziele, Trainingsfotos und deine Nachrichten an uns. Solche Daten gelten nach Art. 9 DSGVO als besondere Kategorien personenbezogener Daten (Gesundheitsdaten). Wir verarbeiten sie nur auf Basis deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die du jederzeit für die Zukunft widerrufen kannst.

Daten: IP-Adresse, Zeitpunkt, aufgerufene URL, Referrer, User-Agent, Statuscode. Zweck: Auslieferung, Betriebssicherheit, Fehleranalyse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: [30] Tage.

Daten: gewähltes Paket, Name, E-Mail, freiwillig die Telefonnummer, Alter, Größe, Gewicht, freiwillig das Geschlecht, aktuelles Training, Ziel, gewünschter Bereich, deine Wunschtermine für das Kennenlern-Gespräch. Über eine neue Bewerbung benachrichtigt uns die Website per E-Mail an unser eigenes Postfach (Versand über Resend, Angaben wie unter 3.6). Diese Mail enthält nur Name, Kontaktdaten, Paket, Bereich und Wunschtermine — keine Angaben zu Alter, Größe, Gewicht, Training oder Ziel.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) und für die Gesundheitsdaten Art. 9 Abs. 2 lit. a DSGVO (deine ausdrückliche Einwilligung im Formular).

Speicherdauer: Bei Aufnahme werden die Daten Teil deines Mitgliedskontos. Bei Absage löschen wir spätestens nach [6] Monaten, auf Wunsch sofort.

Daten: Name, E-Mail, Passwort (nur als bcrypt-Hash, für uns nicht lesbar), Rolle. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Sitzungs-Cookie: Nach dem Login setzen wir ein Cookie namens bs_session mit einem signierten Sitzungs-Token. Laufzeit [30] Tage. Es hält dich ausschließlich angemeldet und ist damit nach § 165 Abs. 3 TKG 2021 unbedingt erforderlich und einwilligungsfrei. Wir setzen keine Analyse-, Tracking- oder Werbe-Cookies.

Daten: dein Wochenplan mit Übungen; Datum, Kalorien und optional Protein, Kohlenhydrate, Fett, Notizen sowie das von dir selbst gesetzte Tagesziel. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und Art. 9 Abs. 2 lit. a DSGVO. Das Tracking ist freiwillig.

Deinen Trainingsplan und das, was du davon abarbeitest, führen wir in der Trainings-App — was dort im Einzelnen verarbeitet wird, steht unter 3.9.

Daten: deine hochgeladenen Trainingsfotos, optionaler Kommentar, Zeitpunkt. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und Art. 9 Abs. 2 lit. a DSGVO.

Zugriff haben ausschließlich du selbst und die beiden Coaches. Die Fotos liegen in einem nicht öffentlichen Speicher und werden nur über eine zugriffsgeschützte Adresse ausgeliefert. Wir veröffentlichen deine Fotos nicht und verwenden sie nicht für Werbung — dafür würden wir dich vorher gesondert fragen. Speicherdauer: bis zum Ende des Coachings, längstens [12] Monate nach dem Upload.

Wir schicken dir täglich eine kurze Motivationsnachricht. Der Text wird mit KI erzeugt; dafür übermitteln wir deinen Vornamen, deinen Coaching-Bereich, dein Ziel, dein Kalorienziel und dein heutiges Training an Anthropic PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA, als Auftragsverarbeiterin. Da die Daten in die USA gehen, besteht dort kein dem EU-Recht gleichwertiges Datenschutzniveau; US-Behörden können unter bestimmten Voraussetzungen zugreifen. Grundlage ist deine ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO), die du im Konto erteilst und dort jederzeit widerrufen kannst. Anthropic trainiert keine Modelle mit diesen Daten.

Versand über Resend, Plus Five Five, Inc. (auftretend als „Resend“), 2261 Market Street #5039, San Francisco, CA 94114, USA, als Auftragsverarbeiterin. Verarbeitet werden dein Name, deine E-Mail-Adresse und der Inhalt der Nachricht. Mit Plus Five Five, Inc. besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; der Anbieter ist unter dem EU-U.S. Data Privacy Framework zertifiziert, ergänzend gelten die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914). Nachrichteninhalte und Zustellprotokolle werden dort 30 Tage gespeichert und danach gelöscht.

Rechtsgrundlage für den Versand: Art. 6 Abs. 1 lit. b DSGVO als Teil der Betreuung. Abbestellen jederzeit mit einem Klick über den Link in jeder Mail oder im Mitgliederbereich unter „Heute“ — ohne Begründung und ohne Kosten.

Nach deiner Freischaltung und bei „Passwort vergessen“ schicken wir dir einen Einmal-Link, mit dem du dein Passwort selbst setzt; nach einer Änderung erhältst du eine Bestätigung. Versand über Resend (Angaben wie unter 3.6). Wir senden dir bewusst nie ein Passwort im Klartext — dein Passwort kennst nur du, wir sehen es nicht. Die Links sind zeitlich begrenzt gültig und nur einmal verwendbar; gespeichert wird bei uns nur ihr Hashwert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 32 DSGVO (Sicherheit der Verarbeitung).

[juristisch prüfen] Die Terminvereinbarung über Google Kalender ist neu (Oktober 2026) und noch nicht rechtlich geprüft.

Für das Kennenlern-Gespräch tragen wir den Termin in unseren Google Kalender ein (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) — zu einem der Wunschtermine, die du in der Bewerbung gewählt hast. Dafür verwenden wir deinen Namen, deine E-Mail-Adresse, das gewählte Paket und — falls du sie angegeben hast — deine Telefonnummer. Google schickt dir daraufhin eine Einladung, die du annehmen oder ablehnen kannst. Angaben zu Körper, Training und Zielen gehen nicht in den Termin. Eine Übermittlung in die USA ist dabei nicht auszuschließen; Google ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen).

Übungsvideos sind bei YouTube (Google Ireland Limited) hinterlegt und werden erst geladen, wenn du das Video ausdrücklich startest — vorher besteht keine Verbindung zu Google. Beim Laden werden deine IP-Adresse und Geräteinformationen an Google übertragen.

[juristisch prüfen] Dieser Abschnitt beschreibt vollständig, was die Trainings-App verarbeitet, ist aber — wie die übrige Erklärung — noch nicht rechtlich geprüft.

Dein Training trägst du in unserer Trainings-App unter /training/ ein. Sie läuft auf dieser Domain und mit demselben Login wie der übrige Mitgliederbereich.

Was verarbeitet wird: der Trainingsplan, den deine Coaches für dich anlegen (Einheiten, Übungen, Wochentage); was du davon tatsächlich machst — Sätze, Wiederholungen, Gewichte, Pausen, deine Notizen zu einer Übung und markierte Bestleistungen; Beginn und Ende jeder Einheit; dein Körpergewicht, sofern du es einträgst; dazu deine Einstellungen in der App, etwa Kilogramm oder Pfund und die Geräte, die dir zur Verfügung stehen.

Zweck ist ausschließlich deine Betreuung im Coaching: Wir sehen, was du geschafft hast, und stimmen den nächsten Plan darauf ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Coaching-Vertrags) und, soweit die Angaben etwas über deine Gesundheit aussagen — insbesondere Körpergewicht und Leistungsdaten —, deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Es ist dieselbe Einwilligung wie für das übrige Coaching (Punkt 2), und du kannst sie jederzeit für die Zukunft widerrufen.

Wer es sieht: du und deine beiden Coaches, Valentin und Ochuko. Beide sehen die Trainingsdaten aller Mitglieder — wir betreuen gemeinsam und vertreten einander. Andere Mitglieder sehen nichts von dir. Wir geben deine Trainingsdaten nicht weiter, verkaufen sie nicht und werten sie nicht für Werbung aus. Schreiben darf in deinem Plan nur das Coach-Team; was du selbst einträgst, gehört dir.

Speicherort: dieselbe Datenbank wie dein übriges Mitgliedskonto — Supabase, Region eu-west-1 (Irland), siehe Punkt 4. Deine Trainingsdaten verlassen die EU nicht. Zusätzlich liegt eine Kopie lokal in deinem Browser, damit die App auch ohne Netz funktioniert.

Die lokale Kopie beim Abmelden: Meldest du dich im Mitgliederbereich ab, löschen wir diese Kopie auf dem Gerät. Eine Ausnahme: Liegt dort noch ein Training, das wir noch nicht bekommen haben (zum Beispiel weil du ohne Netz trainiert hast), bleibt es stehen — sonst wäre es verloren. Du siehst dann auf der Anmeldeseite einen Hinweis; nach dem nächsten Anmelden lädt die App es hoch, danach ist das Gerät beim Abmelden wieder leer. Läuft deine Anmeldung nur ab oder schließt du einfach den Tab, wird nichts gelöscht; auf einem fremden oder geteilten Gerät melde dich deshalb bitte aktiv ab. Speicherdauer bei uns: bis zum Ende des Coachings; auf Wunsch löschen wir früher.

„Trainiert gerade“ — das Anwesenheitssignal: Solange eine Einheit in der App läuft, meldet dein Gerät ungefähr alle 20 Sekunden „Einheit läuft“ an uns. Übertragen werden dabei der Name der laufenden Einheit („Push Day“), wie weit du darin bist (Übung x von y, erledigte und geplante Sätze) sowie Start- und Meldezeitpunkt. Gespeichert ist davon immer nur der letzte Stand, und in der Tagesübersicht deiner Coaches erscheint daraus nur „trainiert gerade“. Beendest du die Einheit, hört das Signal auf; bleibt es einfach aus (Akku leer, Tab geschlossen), verfällt die Anzeige nach wenigen Minuten von selbst. Zweck ist die laufende Betreuung, Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Eine Leistungs- oder Verhaltenskontrolle ist damit nicht verbunden: Wir protokollieren nicht, wann du die App öffnest, und wir führen über dieses Signal keine Historie.

Übungsanimationen: Die kleinen Animationen, die eine Übung zeigen, liegen nicht bei uns. Dein Browser lädt sie beim Anzeigen vom Content-Delivery-Netz cdn.jsdelivr.net (jsDelivr, betrieben von ProspectOne sp. z o.o., Kraków, Polen). Dabei erfährt jsDelivr deine IP-Adresse, Datum und Uhrzeit sowie — weil jede Übung ihre eigene Datei hat — welche Übung du dir gerade ansiehst. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Auslieferung der App ohne eigenen Medienspeicher.

Videos deiner Coaches: Hängt an einer Übung ein Video, siehst du zuerst nur eine Vorschaufläche, die die App selbst zeichnet. Bis du darauf tippst, geht keine einzige Anfrage an Google — auch nicht für ein Vorschaubild. Erst dein Tippen lädt den Player von youtube-nocookie.com (Google Ireland Limited); dabei werden deine IP-Adresse und Geräteinformationen an Google übertragen, wie unter 3.8 beschrieben. Tippst du nicht, passiert nichts.

Import aus Hevy — freiwillig: Hast du vorher mit der App „Hevy“ trainiert, kannst du deine dortige Historie selbst übernehmen. Dafür trägst du in den Einstellungen deinen Hevy-API-Schlüssel ein; dein Browser holt die Daten damit direkt von api.hevyapp.com. Der Schlüssel und deine IP-Adresse gehen dabei an den Betreiber von Hevy, nicht an uns — wir speichern den Schlüssel nirgends. Bei uns landet anschließend nur das übernommene Trainingsprotokoll. Rechtsgrundlage: deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die du mit dem Start des Imports erteilst. Startest du ihn nicht, passiert hier nichts.

Nichts davon geht an die KI: Was du in der Trainings-App einträgst — Sätze, Gewichte, Körpergewicht, Notizen — wird nicht an Anthropic übermittelt. In die Morgen-Mail fließt nur der Titel deiner heutigen Einheit, genau wie unter 3.6 beschrieben, und auch das nur mit deiner Einwilligung.

Die Website läuft bei Vercel Inc. (USA), Datenbank und Foto-Speicher bei Supabase Inc. (Region eu-west-1, Irland). Mit allen genannten Dienstleistern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Erteilte Einwilligungen kannst du jederzeit formlos widerrufen — die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Beschwerdestelle: Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, dsb.gv.at