Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die in dieser Erklärung beschriebenen Verarbeitungen ist [Angabe folgt: vollständiger Firmenname mit Rechtsform], [Angabe folgt: Straße, Postleitzahl, Ort, Land]. Weitere Angaben finden Sie im Impressum.

Datenschutzkontakt: [Angabe folgt: E-Mail-Adresse für Datenschutzanfragen]. Datenschutzbeauftragte/r: [Angabe folgt: ob eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter benannt ist, mit Kontakt].

2. Was RepSense ist und wer wofür verantwortlich ist

RepSense ist ein sensorgestütztes Trainingssystem für Fitnessstudios: Sensoren an Trainingsgeräten, Tablets an den Geräten, eine Web-Anwendung und eine App.

Für die Daten seiner Mitglieder und seines Teams ist das jeweilige Studio verantwortlich; RepSense verarbeitet sie in dessen Auftrag. Fragen dazu richten Sie bitte an Ihr Studio; wir leiten Anfragen weiter. RepSense ist selbst verantwortlich für die in dieser Erklärung beschriebenen Verarbeitungen.

3. Besuch der Website und der Web-Anwendung

• Hosting und Protokolle: Die Website und die Web-Anwendung laufen bei Google Cloud (Firebase App Hosting) in der EU (Region europe-west4, Niederlande). Beim Aufruf werden technisch notwendige Daten verarbeitet (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser, Fehlermeldungen) und 30 Tage in Protokollen gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb).
• Cookies und lokaler Speicher: nur technisch notwendige Einträge (Sprache, Darstellung, Menüzustand, Anmeldung); keine Analyse- oder Werbe-Cookies. Einzelheiten: Cookies.
• Keine Analyse, keine Werbung: Wir setzen keine Analyse-, Tracking- oder Werbedienste ein.
• Schriften und Bilder: werden von unserem eigenen Server ausgeliefert; es werden keine Schriften oder Bilder von Drittanbietern nachgeladen.

4. Ihr Anmeldekonto

Wenn Sie von einem Studio eingeladen werden, legen wir ein Anmeldekonto an: E-Mail-Adresse, Name, Sprache, Passwort (nur als Prüfwert gespeichert), Anmeldezeiten und Ihre Rollen in den Studios. Ein Konto kann für mehrere Studios gelten. Zweck: Anmeldung, Zugangsverwaltung und Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsbedingungen) und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit).

Die Anmeldung erfolgt über Google Firebase Authentication; Google verarbeitet diese Daten weltweit, auch in den USA (Abschnitt 9). Wir löschen das Konto, wenn Sie es löschen, oder nach 24 Monaten ohne Nutzung nach vorherigem Hinweis.

5. Studios als Kunden

Für den Vertrag mit einem Studio verarbeiten wir Name, E-Mail-Adresse und Rolle der Inhaberin oder des Inhabers und weiterer Ansprechpersonen sowie die Stammdaten des Studios (Art. 6 Abs. 1 lit. b DSGVO). Vertragsunterlagen bewahren wir nach den gesetzlichen Pflichten auf (Art. 6 Abs. 1 lit. c DSGVO); Aufbewahrungsfristen: [Angabe folgt].

6. Verbesserung von RepSense (nur mit Einwilligung)

Mitglieder können einwilligen, dass wir ihre Trainingsaufnahmen (Sensorsignale, Übung, Gerät, Wiederholungen, Ausführungswerte) pseudonymisiert zur Verbesserung der Wiederholungszählung und Bewegungsauswertung verwenden (Training von Machine-Learning-Modellen). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und, soweit die Aufnahmen Gesundheitsdaten sein sollten, Art. 9 Abs. 2 lit. a DSGVO.

Name, E-Mail-Adresse, Gesundheitsnotizen und Nachrichten werden nicht verwendet. Nach einem Widerruf entfernen wir die Aufnahmen innerhalb von 30 Tagen aus den Trainingsdaten; bereits trainierte Modelle werden nicht neu berechnet. Die Verarbeitung findet in der EU und auf einem Auswertungsrechner von RepSense statt (Standort: [Angabe folgt]). Freiwillige Mitarbeitende, die an der Überprüfung der Wiederholungszählung teilnehmen, willigen gesondert schriftlich ein.

7. Weitergabe an SYMYS für Bewegungsforschung (nur mit Einwilligung)

Mitglieder können einwilligen, dass wir Aufnahmen ihrer Trainingssätze pseudonymisiert an SYMYS Biodynamics ([Angabe folgt: Firma und Sitz]) weitergeben; SYMYS nutzt sie als eigener Verantwortlicher für Bewegungsforschung.

Weitergegeben werden Sensorsignale, Übung, Gerätetyp, Dauer, Qualitätswerte und Wiederholungsmarkierungen mit einer verschlüsselten Kennung; nicht weitergegeben werden Name, E-Mail-Adresse, Studio, Gesundheitsnotizen, Nachrichten und Termine. Den Schlüssel zur Kennung behält RepSense. Rechtsgrundlage: Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO.

Nach einem Widerruf geben wir keine weiteren Aufnahmen weiter und lassen die weitergegebenen Datensätze bei SYMYS löschen. Diese Weitergabe ist derzeit noch nicht in Betrieb.

8. Sicherheit und Stabilität

• App Check: Wir prüfen mit reCAPTCHA Enterprise (Browser) und Play Integrity (Android) von Google, ob Anfragen von einer echten RepSense-Anwendung stammen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; Zugriff auf das Endgerät nach § 25 Abs. 2 Nr. 2 TDDDG.
• Ratenbegrenzung: Zähler je Konto, Gerät oder abgeleiteter Netzwerkkennung, die nach höchstens einem Tag gelöscht werden.
• Absturzberichte (Android-Apps): Firebase Crashlytics ohne Nutzerkennung und Inhalte (Gerätemodell, Betriebssystem, App-Version, Installationskennung); in der Mitglieder-App nur mit Ihrer Zustimmung in den Einstellungen.

9. Empfänger und Übermittlung in Drittländer

Übermittlungen in die USA stützen sich auf [Angabe folgt: Rechtsgrundlage, etwa das EU-US Data Privacy Framework oder Standardvertragsklauseln].

Bis zum Abschluss unserer Umstellung in die EU liegt zudem eine Kopie der Plattformdaten in einer früheren Datenbank in den USA; sie wird spätestens am [Angabe folgt: Datum] gelöscht.

10. Speicherdauer

• Anmeldekonto: bis zur Löschung oder 24 Monate ohne Nutzung (mit vorherigem Hinweis).
• Protokolle: 30 Tage.
• Einwilligungen: solange das Konto besteht; Nachweise von Einwilligungen und Widerrufen: 3 Jahre.
• Trainingsdaten für die Verbesserung: solange das Modell genutzt wird, ohne die Aufnahmen widerrufener Einwilligungen.
• Kundendaten: Vertragsdauer und gesetzliche Aufbewahrung.

11. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21).

Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen, in RepSense unter Einstellungen > „Daten und Privatsphäre“ oder über unseren Datenschutzkontakt ([Angabe folgt: E-Mail-Adresse für Datenschutzanfragen]).

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren; für RepSense zuständig ist: [Angabe folgt: Aufsichtsbehörde am Sitz des Unternehmens].

12. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Es gilt die hier veröffentlichte Fassung mit dem oben genannten Stand.