Datenschutzerklärung

Frederik Stoll, Tiefenbachstraße 9, 72555 Metzingen, Deutschland. Kontakt: hi@road-to-champ.com. Die vollständigen Angaben finden Sie im Impressum.

Road to Champ ist eine Plattform, über die Gym-Betreiber Trainingspläne pflegen und mit ihren Mitgliedern teilen. Je nach Datenart liegt die datenschutzrechtliche Verantwortung bei uns, beim jeweiligen Gym oder bei einem Dritten. Diese Trennung ist wichtig, weil sie bestimmt, an wen Sie sich mit Auskunfts- und Löschanfragen wenden.

• Account- und Nutzungsdaten von Gym-Betreibern: E-Mail-Adresse, Login-Daten, ggf. Name, Zeitpunkt der Registrierung und Nutzung.
• Account- und Inhaltsdaten von Mitgliedern: E-Mail-Adresse, gemerkte Trainingseinheiten, eigene Termine, Erledigt-Häkchen, Benachrichtigungseinstellungen und geteilte Pläne.
• Im Auftrag von Gyms verarbeitete Daten: E-Mail-Adressen der Verteilerliste sowie personenbezogene Angaben im Trainingsplan, etwa Trainernamen.
• Zahlungs- und Rechnungsdaten bei kostenpflichtigen Abonnements: werden nicht von uns, sondern von Paddle verarbeitet (siehe eigener Abschnitt unten).
• Technische Daten: Server- und Fehlerprotokolle sowie ein technisch notwendiges Session-/Auth-Cookie zur Anmeldung. Zusätzlich speichern wir einen kleinen Eintrag im lokalen Speicher deines Browsers, der festhält, dass du unseren Cookie-Hinweis zur Kenntnis genommen hast. Wir setzen keine Analyse-, Tracking- oder Marketing-Cookies ein und binden keine entsprechenden Drittanbieter-Skripte ein.

Wir verarbeiten personenbezogene Daten zu folgenden Zwecken: zur Erbringung des Vertrags über die Nutzung der Plattform (Art. 6 Abs. 1 lit. b DSGVO); zur Erfüllung unserer Pflichten als Auftragsverarbeiter gegenüber Gyms auf Grundlage des Auftragsverarbeitungsvertrags (Art. 6 Abs. 1 lit. b, Art. 28 DSGVO); zur Wahrung berechtigter Interessen, etwa IT-Sicherheit, Missbrauchsprävention, Fehlerbehebung und anonyme Kennzahlen für Gyms (Art. 6 Abs. 1 lit. f DSGVO); auf Grundlage einer Einwilligung, insbesondere beim Versand von E-Mails an Abonnenten nach vorherigem Double-Opt-in (Art. 6 Abs. 1 lit. a DSGVO); sowie zur Erfüllung rechtlicher Verpflichtungen, etwa steuer- und handelsrechtlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).

Gyms ab dem Gym-Tarif sehen in ihrem Dashboard, wie ihr Trainingsplan bei Mitgliedern ankommt. Dafür werten wir zwei Datenarten aus, für die wir selbst verantwortlich sind: welche Trainingseinheiten des Gyms Mitglieder in ihren Plan übernommen haben, und welche dieser Einheiten sie als erledigt abgehakt haben (die Grundlage von „Mein Weg“). Eigene Termine außerhalb eines Gym-Plans, Notizen und Benachrichtigungseinstellungen fließen nicht ein.

Das Gym erhält ausschließlich Summen und Quoten, etwa wie viele Mitglieder in den letzten 30 Tagen trainiert haben, welcher Anteil wiederkommt und wie viele zuletzt länger nicht trainiert haben. Namen, E-Mail-Adressen, Nutzerkennungen oder einzelne Trainings erhält das Gym nie. Im Gym-Tarif werden die Zahlen bei jedem Aufruf aus den aktuellen Daten berechnet und nicht gesondert gespeichert (zum Studio-Tarif siehe unten). Werte unter fünf (bei der Zahl der Mitglieder mit Einheiten im Plan: unter drei) zeigen wir nicht genau an, Quoten nur, wenn Zähler und Nenner diese Schwelle erreichen. Konten des Gym-Betreibers und seines Teams zählen nicht mit. Das erschwert es deutlich, einzelne Mitglieder aus den Zahlen zu erkennen; ganz ausschließen lässt es sich bei sehr kleinen Gruppen nicht. Gezählt werden nur Trainings beim jeweiligen Gym; Trainings bei anderen Gyms sieht es nicht.

Im Studio-Tarif zeigen wir dieselben Kennzahlen zusätzlich je Standort und je Sportart. Diese Kennzahlen berechnen wir einmal pro Woche zum Stand des letzten Sonntags und speichern diesen Stand, ebenfalls nur als Summen und Quoten, ohne Namen oder Nutzerkennungen. Wir speichern nur den jeweils aktuellen Wochenstand; ältere Stände löschen wir, sobald ein neuer berechnet wird. Mit dem Gym werden alle gelöscht. Jedes Training zählen wir für den Standort und die Sportart, denen die Einheit zum Zeitpunkt der Berechnung zugeordnet war. Standortleiter, die das Gym in sein Team eingeladen hat, sehen nur die Zahlen ihrer Standorte. Es gelten dieselben Schwellen. Ist in einer Aufschlüsselung genau ein Wert verdeckt, verdecken wir zusätzlich den kleinsten sichtbaren, damit er sich nicht aus der Summe zurückrechnen lässt.

Rechtsgrundlage ist unser berechtigtes Interesse und das der Gyms (Art. 6 Abs. 1 lit. f DSGVO), das Trainingsangebot an der tatsächlichen Nutzung auszurichten und Mitglieder zu halten. Weil das Gym keine personenbezogenen Daten erhält, ist der Eingriff gering. Sie können dieser Auswertung jederzeit nach Art. 21 DSGVO widersprechen: direkt in Ihrem Konto unter Account › Datenschutz (Schalter „Anonym in Gym-Statistiken mitzählen“) oder formlos unter hi@road-to-champ.com. Ihre Daten fließen dann nicht mehr in die Kennzahlen ein; bei den wöchentlichen Studio-Kennzahlen ab dem nächsten wöchentlichen Stand. Unabhängig davon bleibt es Ihnen überlassen, ob Sie Trainings abhaken; einzelne Häkchen können Sie jederzeit wieder entfernen.

Die Plattform wird technisch über Lovable Labs Incorporated, 1111b South Governors Avenue, Dover, DE 19904, USA betrieben. Diese Gesellschaft ist unser Vertragspartner und für uns als Auftragsverarbeiter gemäß Art. 28 DSGVO tätig.

Der Serverstandort ist Zürich, Schweiz. Vertragspartner und Serverstandort sind also getrennt zu betrachten: Die Daten werden in der Schweiz gespeichert und verarbeitet, während der Auftragsverarbeiter eine US-Gesellschaft ist. Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO. Welche Grundlagen für das Vertragsverhältnis mit der US-Gesellschaft gelten, ergibt sich aus der Auftragsverarbeitungsvereinbarung von Lovable unter lovable.dev/data-processing-agreement.

Unser Unterauftragsverarbeiter ist Lovable Labs Incorporated. Lovable setzt seinerseits weitere Unterauftragnehmer ein, unter anderem Supabase für Datenbank, Authentifizierung und Speicher. Die von Lovable eingesetzten Unterauftragnehmer sind unter lovable.dev/subprocessors aufgeführt. Lovable gibt an, nach SOC 2 Type II und ISO 27001 zertifiziert zu sein; dies ist eine Angabe des Anbieters und keine Zusicherung oder eigene Zertifizierung von uns.

Lovable verarbeitet die Kundendaten weisungsgebunden in unserem Auftrag. Service-, Protokoll-, aggregierte und anonymisierte Daten nutzt Lovable darüber hinaus als eigener Verantwortlicher, unter anderem für Analyse, Sicherheit, Abrechnung und Produktentwicklung. Eine vollständige Übersicht aller von uns eingesetzten Unterauftragsverarbeiter finden Sie unter Unterauftragsverarbeiter.

Die verwendeten Schriftarten werden von unseren eigenen Servern ausgeliefert. Es besteht dabei keine Verbindung zu Servern Dritter, insbesondere nicht zu Google.

Wenn Sie Road to Champ über „Zum Home-Bildschirm" oder „App installieren" auf Ihrem Gerät ablegen, speichert Ihr Browser Programmdateien (Service Worker, Symbole, Gestaltungsdateien) lokal auf Ihrem Endgerät, damit die Anwendung schneller startet und zuletzt geöffnete Ansichten auch ohne Netzverbindung lesbar bleiben. Dabei werden keine zusätzlichen personenbezogenen Daten erhoben, keine Kennungen gesetzt und keine Daten an Dritte übermittelt. Es findet keine Reichweitenmessung statt. Der Speicher wird nur auf Ihre Anforderung hin angelegt (§ 25 Abs. 2 Nr. 2 TDDDG) und vollständig gelöscht, sobald Sie die Anwendung vom Startbildschirm entfernen oder die Websitedaten in den Browsereinstellungen löschen. Push-Benachrichtigungen werden derzeit nicht versendet.

Für kostenpflichtige Abonnements erfolgt die Zahlungsabwicklung über unseren Reseller Paddle.com Market Limited, Vereinigtes Königreich (nachfolgend „Paddle"). Paddle tritt dabei als sogenannter Merchant of Record auf: Der Kaufvertrag über das jeweilige Abonnement kommt zwischen Ihnen und Paddle zustande, nicht unmittelbar mit uns. Paddle verarbeitet in diesem Zusammenhang Zahlungs-, Rechnungs- und Kontaktdaten als eigenständig Verantwortlicher im Sinne der DSGVO, unter anderem zur Rechnungsstellung, Umsatzsteuerabwicklung, Betrugsprävention und Erfüllung eigener gesetzlicher Pflichten. Informationen zur Datenverarbeitung durch Paddle finden Sie unter paddle.com/legal/privacy. Fragen zu Zahlungen, Rechnungen oder Rückerstattungen richten Sie bitte direkt an Paddle; Fragen zur Nutzung der Software richten Sie gerne an uns.

Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO. Für das Vereinigte Königreich besteht ebenfalls ein Angemessenheitsbeschluss der Europäischen Kommission.

Darüber hinaus kann es bei der Zahlungsabwicklung durch Paddle sowie bei Unterauftragnehmern unserer Dienstleister zu Übermittlungen in weitere Länder, unter anderem die USA, kommen. Welche Garantien im Einzelfall greifen, ergibt sich aus den Vereinbarungen und Datenschutzhinweisen der jeweiligen Anbieter, insbesondere aus der Auftragsverarbeitungsvereinbarung von Lovable unter lovable.dev/data-processing-agreement sowie aus der Unterauftragsverarbeiter-Liste.

Das Anmeldefeld für E-Mail-Benachrichtigungen erscheint auf der öffentlichen Planseite nur dann, wenn das jeweilige Gym den Verteiler aktiviert hat. Verantwortlich für diese Adressen ist das Gym; wir verarbeiten sie in seinem Auftrag (siehe AVV).

Nach der Eingabe wird die Adresse zunächst als unbestätigt gespeichert und eine Bestätigungsmail versendet. Erst der Klick auf den Bestätigungslink aktiviert die Anmeldung (Double-Opt-in); vorher erfolgt kein weiterer Versand. Gespeichert werden die E-Mail-Adresse, ein Bestätigungs- und ein Abmelde-Token sowie die Zeitpunkte von Anmeldung, Versand der Bestätigungsmail und Bestätigung. Diese Zeitstempel dienen dem Nachweis der Einwilligung. Rechtsgrundlage ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 UWG.

Eine Abmeldung ist jederzeit über den Link in jeder E-Mail möglich. Abgemeldete, unzustellbare und beschwerdebehaftete Adressen werden auf eine dauerhafte Sperrliste gesetzt, damit an sie kein weiterer Versand erfolgt.

Account-Daten von Gym-Betreibern speichern wir für die Dauer der Vertragsbeziehung und darüber hinaus, soweit gesetzliche Aufbewahrungsfristen dies erfordern (insbesondere § 257 HGB, § 147 AO, in der Regel sechs bis zehn Jahre für handels- und steuerrechtlich relevante Unterlagen). E-Mail-Adressen von Abonnenten speichern wir bis zur Abmeldung durch die betroffene Person oder bis zur Löschung durch das jeweilige Gym; Einträge auf der Sperrliste bleiben zum Nachweis des Abmeldewunschs erhalten.

Protokolldaten werden nach Ablauf der Aufbewahrungsfrist automatisiert gelöscht; der Löschlauf wird protokolliert, damit die Löschung nachweisbar ist. Löscht ein Betreiber sein Konto, werden das Gym, der Trainingsplan und die Abonnentenliste mitgelöscht.

Ihnen stehen nach der DSGVO folgende Rechte zu: Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO), Berichtigung unrichtiger Daten (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch gegen die Verarbeitung (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

An wen Sie sich wenden, richtet sich nach der Rolle (siehe Abschnitt „Wer ist wofür verantwortlich"): Geht es um Ihr Konto, Ihre gemerkten Trainingseinheiten, eigene Termine, Benachrichtigungseinstellungen, geteilte Pläne oder die anonymen Kennzahlen für Gyms, wenden Sie sich an uns unter hi@road-to-champ.com. Geht es um eine E-Mail-Verteilerliste oder um Angaben in einem Trainingsplan, ist das jeweilige Gym verantwortlich; Anfragen, die uns erreichen, leiten wir dorthin weiter. Geht es um Zahlungen oder Rechnungen, ist Paddle verantwortlich.

Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Für Anfragen zum Datenschutz erreichen Sie uns unter hi@road-to-champ.com oder unter der im Impressum genannten Anschrift.