Datenschutzerklärung

Version 3.2

Stand: 05.11.2026

Gültig ab: 05.11.2026

#- Inhaltsübersicht

• 1. Allgemeine Hinweise
• 2. Verantwortlicher
• 3. Datenschutzbeauftragter
• 4. Geltungsbereich dieser Datenschutzerklärung
• 5. Begriffsbestimmungen
• 6. Rechtsgrundlagen der Datenverarbeitung
• 7. Hosting, technische Infrastruktur und Bereitstellung der Plattform
• 8. Server-Logfiles und technische Zugriffsdaten
• 9. Cookies, vergleichbare Technologien und Einwilligungsmanagement
• 10. Nutzerkonto, Registrierung und Authentifizierung
• 11. Favoriten, Vergleichsfunktion und personalisierte Inhalte
• 12. Bewertungen und Betreiberantworten
• 13. Kontaktformulare, Preisanfragen, Probetrainings und Lead-Verarbeitung
• 14. Eingesetzte externe Dienstleister und Auftragsverarbeiter
• 15. Kommunikations-, KI- und Benachrichtigungsdienste
• 16. CRM-System, automatisierte Datenverarbeitung und interne Systemautomatisierungen
• 17. Karten-, Standort- und Geolokalisierungsdienste
• 18. Progressive Web App (PWA), Push-Benachrichtigungen und browserbasierte Benachrichtigungsdienste
• 19. Analyse-, Tracking-, Performance- und Optimierungsdienste
• 20. Meldungen, Moderation und Beschwerden nach dem Digital Services Act
• 21. Rechte der betroffenen Personen
• 22. Übersicht sämtlicher Verarbeitungstätigkeiten
• 23. Internationale Datenübermittlungen
• 24. Datensicherheit
• 25. Änderungen dieser Datenschutzerklärung
• 26. Kontakt zum Datenschutz

• Anlagen A bis G

1. Allgemeine Hinweise

Der Schutz Ihrer personenbezogenen Daten hat für GymScout einen besonders hohen Stellenwert. Wir verarbeiten personenbezogene Daten im Einklang mit den jeweils anwendbaren datenschutzrechtlichen Vorschriften, insbesondere der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG), dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und – soweit Personen in der Schweiz betroffen sind – dem Schweizer Bundesgesetz über den Datenschutz (DSG). Für Verarbeitungen im Zusammenhang mit Meldungen, Moderationsentscheidungen und Beschwerden gelten ergänzend die einschlägigen Vorgaben des Digital Services Act (DSA), des Digitale-Dienste-Gesetzes (DDG) und sonstiger anwendbarer Vorschriften.

Mit dieser Datenschutzerklärung informieren wir Sie umfassend darüber, welche personenbezogenen Daten wir erheben, zu welchen Zwecken wir diese Daten verarbeiten, auf welcher Rechtsgrundlage die Verarbeitung erfolgt, an welche Empfänger Daten übermittelt werden, wie lange personenbezogene Daten gespeichert werden, welche technischen und organisatorischen Maßnahmen wir zum Schutz Ihrer Daten einsetzen sowie welche Rechte Ihnen nach der DSGVO zustehen.

Diese Datenschutzerklärung gilt für sämtliche digitalen Angebote der Plattform GymScout, insbesondere für: die Website, die mobile Webanwendung (Progressive Web App – PWA), sämtliche Nutzerkonten, Kontakt- und Anfrageformulare, Probetrainingsanfragen, Preisanfragen, Favoritenfunktionen, Vergleichsfunktionen, Sterne- und Textbewertungen, Meldungen rechtswidriger oder regelwidriger Inhalte, Moderationsentscheidungen und Beschwerden, KI-gestützte Funktionen, Push-Benachrichtigungen, Newsletter, Kartenfunktionen, Suchfunktionen, weitere von GymScout angebotene digitale Dienste, soweit sie in dieser Datenschutzerklärung oder einem ergänzenden Datenschutzhinweis beschrieben werden.

Diese Datenschutzerklärung gilt ausschließlich für die Datenverarbeitung innerhalb der Verantwortlichkeit von GymScout.

Sofern unsere Website Links zu Websites, Buchungsplattformen oder sonstigen Angeboten Dritter enthält, gelten für diese ausschließlich deren eigene Datenschutzbestimmungen. Auf die Datenverarbeitung durch externe Anbieter haben wir keinen Einfluss.

Wir überprüfen diese Datenschutzerklärung regelmäßig auf Aktualität und passen sie an, wenn sich rechtliche Anforderungen, technische Gegebenheiten oder die von GymScout eingesetzten Dienste ändern.

Maßgeblich ist jeweils die zum Zeitpunkt Ihres Besuchs auf unserer Website veröffentlichte Fassung.

2. Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) sowie sonstiger datenschutzrechtlicher Vorschriften ist: GymScout Fitness GbR, Juri-Gagarin-Ring 156, 99084 Erfurt, Deutschland.

Gesellschafter sind Yannick Hennelotter, Yves Pascale König und Rico Jakoby.

E-Mail: info@gymscoutfitness.de.

Internet: https://www.gymscoutfitness.de

Vertretungsberechtigt: Yannick Hennelotter, Yves Pascale König und Rico Jakoby; die GbR wird durch jeweils zwei Gesellschafter gemeinschaftlich vertreten.

Verantwortlicher ist gemäß Art. 4 Nr. 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.

Soweit einzelne Verarbeitungsvorgänge gemeinsam mit Dritten erfolgen oder gesetzliche Regelungen eine gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO begründen, informieren wir hierüber gesondert innerhalb dieser Datenschutzerklärung.

Die Kontaktdaten des Verantwortlichen gelten zugleich als zentrale Anlaufstelle für datenschutzrechtliche Anliegen, sofern in dieser Datenschutzerklärung keine speziellere Kontaktmöglichkeit genannt wird. Meldungen und Beschwerden zu Plattforminhalten oder Moderationsentscheidungen können zusätzlich an beschwerde@gymscoutfitness.de gerichtet werden. Diese Funktionsadresse ersetzt nicht die Kontaktadresse für die Ausübung datenschutzrechtlicher Betroffenenrechte.

3. Datenschutzbeauftragter

GymScout prüft fortlaufend, ob nach Art. 37 DSGVO, § 38 BDSG oder sonstigen anwendbaren Vorschriften eine Verpflichtung zur Benennung eines Datenschutzbeauftragten besteht.

Nach der gegenwärtigen Organisations- und Verarbeitungssituation besteht nach aktueller Prüfung keine gesetzliche Benennungspflicht. Diese Einschätzung wird unabhängig von der Personenzahl erneut geprüft, wenn insbesondere eine umfangreiche regelmäßige und systematische Überwachung oder eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten zur Kerntätigkeit werden sollte.

Sollte künftig ein Datenschutzbeauftragter bestellt werden, werden dessen Kontaktdaten unverzüglich an dieser Stelle veröffentlicht.

Unabhängig hiervon können sich betroffene Personen jederzeit mit sämtlichen datenschutzrechtlichen Fragen an den Verantwortlichen wenden.

4. Geltungsbereich dieser Datenschutzerklärung

Diese Datenschutzerklärung gilt für sämtliche von GymScout betriebenen digitalen Angebote sowie sämtliche damit verbundenen Verarbeitungsvorgänge personenbezogener Daten.

Hierzu gehören insbesondere: die öffentlich erreichbare Website; die Progressive Web App (PWA); sämtliche Nutzerkonten; sämtliche Such- und Filterfunktionen; Karten- und Standortfunktionen; Favoritenlisten; Vergleichsfunktionen; Kontaktformulare; Probetrainingsanfragen; Preisanfragen; Studio-Einreichungen; Newsletter; transaktionale E-Mails; Push-Benachrichtigungen; KI-gestützte Funktionen; Bewertungsfunktionen; sämtliche Verwaltungs- und Administrationsbereiche; weitere bereitgestellte digitale Funktionen, sobald und soweit GymScout vor Beginn einer neuen Verarbeitung die erforderlichen Informationen ergänzt hat.

Diese Datenschutzerklärung gilt ausschließlich für Verarbeitungsvorgänge, die innerhalb des Verantwortungsbereichs von GymScout erfolgen.

Sie gilt ausdrücklich nicht für Datenverarbeitungen, die durch Dritte eigenverantwortlich vorgenommen werden. Hierzu gehören insbesondere verlinkte Webseiten, Buchungssysteme von Fitnessstudios, soziale Netzwerke oder sonstige externe Dienste. Für diese Angebote gelten ausschließlich die jeweiligen Datenschutzbestimmungen der betreffenden Anbieter.

Soweit innerhalb unserer Plattform Inhalte oder Dienste Dritter eingebunden werden, informieren wir über die damit verbundenen Datenverarbeitungen jeweils gesondert innerhalb der entsprechenden Kapitel dieser Datenschutzerklärung.

5. Begriffsbestimmungen

Zur besseren Verständlichkeit verwenden wir in dieser Datenschutzerklärung die Begriffsbestimmungen des Art. 4 DSGVO.

Personenbezogene Daten

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Hierzu gehören beispielsweise Name, Anschrift, E-Mail-Adresse, Telefonnummer, IP-Adresse, Standortdaten, Benutzerkennungen oder Online-Kennungen.

Verarbeitung

Eine Verarbeitung ist jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang im Zusammenhang mit personenbezogenen Daten. Hierzu zählen insbesondere das Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Offenlegen durch Übermittlung, Verbreiten, Abgleichen, Einschränken, Löschen oder Vernichten personenbezogener Daten.

Betroffene Person

Eine betroffene Person ist jede natürliche Person, deren personenbezogene Daten von GymScout verarbeitet werden.

Verantwortlicher

Verantwortlicher ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.

Auftragsverarbeiter

Ein Auftragsverarbeiter ist eine natürliche oder juristische Person, Behörde oder sonstige Stelle, die personenbezogene Daten ausschließlich im Auftrag des Verantwortlichen verarbeitet und hierbei dessen Weisungen unterliegt.

Empfänger

Ein Empfänger ist jede natürliche oder juristische Person, Behörde oder sonstige Stelle, der personenbezogene Daten offengelegt werden.

Drittland

Ein Drittland ist jeder Staat außerhalb der Europäischen Union (EU) und des Europäischen Wirtschaftsraums (EWR). Ob für das betreffende Drittland oder bestimmte Empfänger ein Angemessenheitsbeschluss der Europäischen Kommission besteht, ist eine gesonderte Frage der Zulässigkeit der Übermittlung nach Art. 44 ff. DSGVO.

Einwilligung

Eine Einwilligung ist jede freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung ihrer personenbezogenen Daten einverstanden ist.

6. Rechtsgrundlagen der Datenverarbeitung

Die Verarbeitung personenbezogener Daten erfolgt nur, soweit hierfür eine gesetzliche Grundlage besteht. GymScout verarbeitet personenbezogene Daten insbesondere auf Grundlage der DSGVO, des BDSG, des TDDDG, des DSA, des DDG sowie – soweit anwendbar – des Schweizer DSG und weiterer einschlägiger Vorschriften.

Je nach Art der jeweiligen Verarbeitung kommen unterschiedliche Rechtsgrundlagen zur Anwendung.

Übersicht der Rechtsgrundlagen

Verarbeitung aufgrund einer Einwilligung

Soweit die Verarbeitung personenbezogener Daten auf Ihrer Einwilligung beruht, erfolgt diese ausschließlich nach vorheriger freiwilliger, informierter und ausdrücklicher Zustimmung.

Eine Einwilligung kann insbesondere erforderlich sein für den Einsatz von Analyse- und Marketingdiensten, den Erhalt von Newslettern, Push-Benachrichtigungen, die Nutzung bestimmter KI-Funktionen, die Nutzung freiwilliger Standortfunktionen, zukünftige optionale Funktionen.

Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

Verarbeitung zur Vertragserfüllung

Soweit Sie sich bei GymScout registrieren oder Funktionen unserer Plattform nutzen, verarbeiten wir personenbezogene Daten, soweit dies zur Durchführung vorvertraglicher Maßnahmen oder zur Erfüllung eines Vertrags erforderlich ist.

Hierunter fallen insbesondere Erstellung eines Nutzerkontos, Anmeldung, Verwaltung des Nutzerprofils, Verwaltung von Favoriten, Vermittlung von Probetrainings, Bearbeitung von Preisanfragen, Kontaktaufnahme mit Studios, Kommunikation mit Nutzern.

Ohne diese Datenverarbeitung können wesentliche Funktionen der Plattform nicht bereitgestellt werden.

Verarbeitung aufgrund berechtigter Interessen

GymScout verarbeitet personenbezogene Daten außerdem, soweit dies zur Wahrung berechtigter Interessen erforderlich ist und keine überwiegenden Interessen oder Grundrechte der betroffenen Personen entgegenstehen.

Unsere berechtigten Interessen umfassen insbesondere den sicheren Betrieb der Plattform, Gewährleistung der IT-Sicherheit, Erkennung technischer Fehler, Missbrauchs- und Betrugsprävention, Schutz vor Cyberangriffen, Durchsetzung rechtlicher Ansprüche, Dokumentation datenschutzrechtlicher Vorgänge, Verbesserung der Stabilität, Weiterentwicklung der Plattform, Qualitätssicherung, Sicherstellung eines störungsfreien Betriebs.

Vor jeder Verarbeitung auf Grundlage berechtigter Interessen erfolgt eine Interessenabwägung gemäß Art. 6 Abs. 1 lit. f DSGVO.

Verarbeitung aufgrund gesetzlicher Verpflichtungen

Soweit gesetzliche Vorschriften eine Verarbeitung personenbezogener Daten verlangen, erfolgt diese auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

Dies betrifft insbesondere steuerrechtliche Aufbewahrungspflichten, handelsrechtliche Dokumentationspflichten, Nachweispflichten gegenüber Behörden, gesetzliche Auskunftspflichten, datenschutzrechtliche Nachweispflichten. Pflichten zur Bearbeitung von Meldungen, Begründung von Moderationsentscheidungen, Bearbeitung von Beschwerden und Befolgung wirksamer behördlicher oder gerichtlicher Anordnungen.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

GymScout fordert grundsätzlich keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO an. Solche Daten können GymScout dennoch erreichen, etwa wenn Nutzer in einer Anfrage Gesundheitsangaben machen oder Meldungen, Bewertungen und Nachweise Angaben über Gesundheit, Religion, politische Auffassungen, Gewerkschaftszugehörigkeit, sexuelle Orientierung oder andere besonders geschützte Merkmale enthalten.

Eine bloß freiwillige Mitteilung schafft keine Rechtsgrundlage nach Art. 9 DSGVO.

Die Verarbeitung erfolgt nur, wenn neben einer Rechtsgrundlage nach Art. 6 DSGVO eine Ausnahme nach Art. 9 Abs. 2 DSGVO eingreift, insbesondere eine ausdrückliche Einwilligung, die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, die Verarbeitung offensichtlich öffentlich gemachter Daten oder eine gesetzlich geregelte Verarbeitung aus Gründen eines erheblichen öffentlichen Interesses. Fehlt eine solche Grundlage, werden die Angaben nicht weiterverarbeitet und – soweit technisch und rechtlich möglich – gelöscht oder geschwärzt. Nutzer sind nicht verpflichtet, derartige Informationen bereitzustellen, und sollen sie nur übermitteln, wenn dies für das konkrete Anliegen zwingend erforderlich ist.

Angaben zu Straftaten und Verurteilungen (Art. 10 DSGVO)

Meldungen und Beschwerden können Vorwürfe enthalten, die Straftaten oder strafrechtliche Verurteilungen betreffen. Solche Angaben verarbeitet GymScout nur unter behördlicher Aufsicht oder wenn und soweit das Unionsrecht oder das Recht eines Mitgliedstaats die Verarbeitung erlaubt und angemessene Garantien für die Rechte und Freiheiten der betroffenen Personen vorsieht. Dies kann insbesondere bei wirksamen Behörden- oder Gerichtsanordnungen, gesetzlichen Meldepflichten oder der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen der Fall sein. Ungeprüfte strafrechtliche Vorwürfe werden nicht allein aufgrund ihrer Übermittlung als Tatsachen behandelt.

Automatisierte Entscheidungen (Art. 22 DSGVO)

GymScout nutzt teilweise automatisierte Prozesse, beispielsweise Suchalgorithmen, Empfehlungsfunktionen, KI-gestützte Chatfunktionen, automatische Benachrichtigungen.

Diese Verfahren dienen der Bereitstellung, Sicherheit, Personalisierung und – soweit in Kapitel 20 beschrieben – der Unterstützung von Moderationsprozessen.

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO, die gegenüber Nutzern rechtliche Wirkung entfaltet oder sie in vergleichbarer Weise erheblich beeinträchtigt, findet derzeit nicht statt.

Insbesondere werden endgültige Entscheidungen über interne Beschwerden gegen Moderationsentscheidungen nicht allein durch ein automatisiertes System getroffen; die Verantwortung verbleibt bei einer natürlichen Person.

Minderjährige

GymScout legt für die bloße Nutzung öffentlich zugänglicher Inhalte sowie für das Einreichen einer Meldung kein allgemeines eigenes Mindestalter fest. Soweit für eine konkrete Funktion eine Einwilligung erforderlich ist, muss die betroffene Person nach dem jeweils anwendbaren Recht selbst wirksam einwilligen können; andernfalls ist die Einwilligung oder Genehmigung der gesetzlichen Vertretung erforderlich. Für Vertragsschlüsse und sonstige rechtlich erhebliche Erklärungen gelten zusätzlich die gesetzlichen Regeln über die Geschäftsfähigkeit. Daten von Kindern werden mit besonderer Zurückhaltung und nur im erforderlichen Umfang verarbeitet.

Transparenzgrundsatz

GymScout informiert betroffene Personen transparent über sämtliche Verarbeitungsvorgänge.

Sollten künftig weitere Verarbeitungsvorgänge hinzukommen oder sich Rechtsgrundlagen ändern, wird diese Datenschutzerklärung entsprechend aktualisiert.

7. Hosting, technische Infrastruktur und Bereitstellung der Plattform

Zur Bereitstellung von GymScout setzen wir verschiedene technische Dienstleister und Cloud-Infrastrukturen ein. Diese ermöglichen den Betrieb der Plattform, die Bereitstellung von Nutzerkonten, die Speicherung von Daten, die Ausführung serverseitiger Funktionen sowie die sichere Auslieferung sämtlicher Inhalte.

Dabei werden personenbezogene Daten ausschließlich in dem Umfang verarbeitet, wie dies zur Bereitstellung der Plattform, zur Gewährleistung der IT-Sicherheit oder zur Erfüllung unserer vertraglichen und gesetzlichen Verpflichtungen erforderlich ist.

Übersicht der eingesetzten Infrastruktur

7.1 Hosting durch Lovable

GymScout wird über die Entwicklungs- und Hostingplattform Lovable bereitgestellt.

Lovable stellt insbesondere folgende technische Komponenten zur Verfügung: Hosting der Webanwendung, Bereitstellung der Produktionsumgebung, Deployment neuer Versionen, Content Delivery Network (CDN), technische Infrastruktur, Sicherheitsmechanismen, Fehlerprotokollierung, Lastverteilung, Verfügbarkeit der Plattform Im Rahmen der Bereitstellung können insbesondere folgende Daten verarbeitet werden:, IP-Adresse, Datum und Uhrzeit des Zugriffs, Browsertyp, Betriebssystem, Geräteinformationen, aufgerufene URLs, HTTP-Header, Referrer, Fehlermeldungen, technische Protokolldaten.

Zweck der Verarbeitung

Die Verarbeitung erfolgt zur Bereitstellung der Plattform, Gewährleistung der Systemsicherheit, Fehleranalyse, Lastverteilung, Missbrauchserkennung, Sicherstellung der Verfügbarkeit.

Rechtsgrundlage

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse am sicheren und stabilen Betrieb unserer Plattform).

7.2 Nutzung von Supabase

Für den Betrieb der Plattform nutzt GymScout den Backend-Dienst Supabase.

Supabase stellt einen wesentlichen Bestandteil unserer technischen Infrastruktur dar.

Dabei werden insbesondere folgende Dienste genutzt: PostgreSQL-Datenbank, Authentifizierung, Dateispeicher, Edge Functions, API, Cronjobs, Datenbankfunktionen, Realtime-Komponenten Die produktive Supabase-Instanz wird in der AWS-Region London (eu-west-2, Vereinigtes Königreich) betrieben. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO. Die Wahl dieser Region schließt Fernzugriffe, Supportleistungen, Telemetrie oder Verarbeitungen durch Anbieter und Unterauftragsverarbeiter in Drittländern nicht automatisch aus; hierfür gilt Kapitel 23.

Verarbeitete Daten

Je nach Nutzung können insbesondere folgende personenbezogene Daten verarbeitet werden: E-Mail-Adresse, Passwort-Hash, Benutzer-ID, Session-Token, Vorname, Profildaten, Favoriten, Bewertungen, Probetrainingsanfragen, Preisanfragen, Betreiberdaten, Push-Abonnements, Audit-Logs, Zeitstempel, Geräteinformationen, technische Nutzungsdaten.

Zweck

Supabase dient insbesondere der Benutzerverwaltung, Authentifizierung, Speicherung sämtlicher Nutzerdaten, Speicherung von Studiodaten, Speicherung von Betreiberdaten, Verwaltung von Favoriten, Speicherung von Bewertungen, Verarbeitung von Formularen, Ausführung serverseitiger Prozesse, Durchführung automatisierter Abläufe.

Rechtsgrundlage

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO Art. 6 Abs. 1 lit. f DSGVO.

7.3 Authentifizierung

Die Anmeldung registrierter Nutzer erfolgt über die Authentifizierungskomponenten der in Abschnitt 7.2 beschriebenen Infrastruktur. Einzelheiten zu den verarbeiteten Konto- und Anmeldedaten, den Zwecken, Rechtsgrundlagen, Sicherheitsmaßnahmen und der Löschung finden Sie in Abschnitt 10. Ergänzende Angaben zum eingesetzten Dienst enthält Abschnitt 14.4.

7.4 Datenbank

Sämtliche nutzerbezogenen Inhalte werden in einer PostgreSQL-Datenbank gespeichert.

Hierzu gehören insbesondere: Nutzerkonten, Favoriten, Bewertungen, Studios, Probetrainings, Leads, Kontaktanfragen, Push-Abonnements, Benachrichtigungen, Audit-Logs, Rollen, Berechtigungen.

7.5 Dateispeicher (Storage)

Zur Speicherung von Dateien nutzt GymScout den Storage-Dienst von Supabase.

Hierzu gehören insbesondere: Studiofotos, hochgeladene Bilder, öffentliche Medien, zukünftige Dokumente Soweit auf Bildern Personen erkennbar sind, erfolgt deren Verarbeitung ausschließlich unter Beachtung der datenschutzrechtlichen Vorschriften sowie gegebenenfalls des Kunsturhebergesetzes (KUG).

7.6 Edge Functions

Zur Verarbeitung serverseitiger Prozesse nutzt GymScout sogenannte Edge Functions.

Diese übernehmen unter anderem Verarbeitung von Formularen, Versand von Benachrichtigungen, HubSpot-Synchronisierung, Preisänderungsbenachrichtigungen, automatisierte Benachrichtigungen, API-Aufrufe, interne Automatisierungen.

Dabei werden ausschließlich diejenigen personenbezogenen Daten verarbeitet, die für den jeweiligen Zweck erforderlich sind.

7.7 Cronjobs

Zur Durchführung wiederkehrender automatisierter Prozesse werden innerhalb der Plattform zeitgesteuerte Aufgaben (Cronjobs) eingesetzt.

Diese dienen insbesondere Preisänderungsbenachrichtigungen, Benachrichtigungen über neue Studios, Coming-Soon-Prüfungen, Synchronisierung mit externen Diensten, automatisierten Wartungsprozessen.

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO erfolgt hierbei nicht.

7.8 Cloudflare CDN

Zur schnelleren Auslieferung statischer Inhalte verwendet GymScout ein Content Delivery Network (CDN) der Cloudflare Inc.

Hierdurch können insbesondere verarbeitet werden: IP-Adresse, Browserinformationen, Geräteinformationen, Datum und Uhrzeit, technische Verbindungsdaten Die Nutzung erfolgt auf Grundlage unseres berechtigten Interesses an einer schnellen, sicheren und stabilen Bereitstellung unserer Plattform gemäß Art. 6 Abs. 1 lit. f DSGVO.

7.9 Cloudflare R2

Zur Speicherung öffentlich abrufbarer Mediendateien (beispielsweise Open-Graph-Bilder) nutzt GymScout Cloudflare R2.

Beim Abruf entsprechender Inhalte können technische Verbindungsdaten verarbeitet werden.

Je nach technischer Auslieferung kann hierbei eine Übermittlung personenbezogener Daten in Drittländer nicht vollständig ausgeschlossen werden.

Soweit erforderlich, erfolgt diese auf Grundlage der Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46 DSGVO.

7.10 Sicherheitsmaßnahmen

Zum Schutz sämtlicher Systeme setzt GymScout insbesondere folgende technische Sicherheitsmaßnahmen ein: verschlüsselte Datenübertragung mittels TLS, rollenbasierte Zugriffskontrolle, Zugriffsbeschränkungen, Authentifizierung, regelmäßige Sicherheitsupdates, Protokollierung sicherheitsrelevanter Ereignisse, Schutz vor unbefugten Zugriffen, Datensicherungen, Wiederherstellungsverfahren, Monitoring der Infrastruktur Die Sicherheitsmaßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst.

8. Server-Logfiles und technische Zugriffsdaten

Bereits beim rein informatorischen Aufruf unserer Website werden automatisch bestimmte technische Informationen zwischen Ihrem Endgerät und unseren Servern bzw. den von uns eingesetzten technischen Dienstleistern ausgetauscht.

Diese Verarbeitung ist erforderlich, um unsere Website technisch bereitzustellen, die Systemsicherheit zu gewährleisten und Angriffe auf unsere Infrastruktur erkennen sowie abwehren zu können.

Eine Nutzung unserer Website ist ohne diese Verarbeitung technisch nicht möglich.

8.1 Welche Daten werden verarbeitet?

Beim Aufruf unserer Website können insbesondere folgende Informationen automatisiert verarbeitet werden:

Je nach eingesetzter Infrastruktur können zusätzlich sicherheitsrelevante Protokolldaten verarbeitet werden.

8.2 Zwecke der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zu folgenden Zwecken: Bereitstellung der Website, Aufbau der Netzwerkverbindung, Gewährleistung der Systemsicherheit, Erkennung technischer Fehler, Stabilisierung der Plattform, Abwehr missbräuchlicher Zugriffe, Erkennung von Angriffen (z. B. DDoS-, Bot- oder Brute-Force-Angriffe), Sicherstellung der Integrität unserer Systeme, Fehlerdiagnose, Wiederherstellung der Systemverfügbarkeit.

Eine Verwendung dieser Daten zur Erstellung personenbezogener Nutzerprofile findet nicht statt.

8.3 Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Unser berechtigtes Interesse besteht in dem sicheren Betrieb der Plattform, der Gewährleistung der Verfügbarkeit, dem Schutz vor Cyberangriffen, der Aufrechterhaltung der Funktionsfähigkeit unserer IT-Systeme, der Erkennung technischer Fehler sowie der Wahrung der Integrität unserer Infrastruktur.

8.4 Empfänger der Daten

Im Rahmen der technischen Bereitstellung können personenbezogene Daten insbesondere durch folgende Kategorien von Empfängern verarbeitet werden:

Soweit externe Dienstleister personenbezogene Daten ausschließlich in unserem Auftrag verarbeiten, erfolgt dies auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO.

8.5 Speicherdauer

Serverprotokolle werden grundsätzlich nur so lange gespeichert, wie dies zur Gewährleistung der IT-Sicherheit, zur Fehleranalyse, zur Missbrauchserkennung, zur Erfüllung gesetzlicher Pflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Nach Wegfall des jeweiligen Zwecks werden die Daten gelöscht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

8.6 Sicherheitsmaßnahmen

Zum Schutz der Serverinfrastruktur setzt GymScout angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein.

Hierzu gehören insbesondere: verschlüsselte Datenübertragung mittels TLS, rollenbasierte Zugriffskonzepte, Zugriffsbeschränkungen, regelmäßige Sicherheitsupdates, Authentifizierungsverfahren, Protokollierung sicherheitsrelevanter Ereignisse, Backup- und Wiederherstellungskonzepte, kontinuierliches Sicherheitsmonitoring, Schutz vor unbefugten Zugriffen.

Die Sicherheitsmaßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst.

8.7 Keine Zusammenführung mit anderen Daten

Die im Rahmen der Serverprotokollierung erhobenen Daten werden grundsätzlich nicht mit anderen personenbezogenen Daten zusammengeführt, sofern dies nicht zur Aufklärung von Missbrauchsfällen, zur Gewährleistung der IT-Sicherheit oder aufgrund gesetzlicher Verpflichtungen erforderlich ist.

9. Cookies, vergleichbare Technologien und Einwilligungsmanagement

GymScout verwendet Cookies sowie weitere technische Speicher- und Verarbeitungstechnologien, um die Funktionsfähigkeit der Plattform sicherzustellen, Nutzerpräferenzen zu speichern, Einwilligungen zu verwalten und – soweit eine entsprechende Einwilligung vorliegt – Analyse- und Komfortfunktionen bereitzustellen.

Neben klassischen HTTP-Cookies verwendet GymScout insbesondere moderne browserseitige Speichertechnologien wie Local Storage, Session Storage, IndexedDB sowie Service Worker. Diese Technologien dienen teilweise denselben Zwecken wie Cookies und unterliegen – soweit gesetzlich erforderlich – ebenfalls den Vorgaben des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) sowie der Datenschutz-Grundverordnung (DSGVO).

9.1 Was sind Cookies?

Cookies sind kleine Textdateien, die auf Ihrem Endgerät gespeichert werden und bestimmte Informationen enthalten.

Je nach Zweck unterscheidet man insbesondere zwischen technisch notwendigen Cookies, funktionalen Cookies, Analyse-Cookies, Marketing-Cookies, Präferenz-Cookies.

Cookies können sowohl nur für die Dauer einer Sitzung ("Session-Cookies") als auch dauerhaft ("Persistente Cookies") gespeichert werden.

9.2 Welche Technologien verwendet GymScout?

GymScout verwendet derzeit folgende Speichertechnologien:

Nicht sämtliche dieser Technologien enthalten personenbezogene Daten. Soweit personenbezogene Daten verarbeitet werden oder ein Zugriff auf Informationen im Endgerät erfolgt, erfolgt dies ausschließlich auf Grundlage der gesetzlichen Vorgaben.

9.3 Technisch notwendige Cookies

Technisch notwendige Cookies dienen ausschließlich der sicheren und fehlerfreien Bereitstellung unserer Plattform.

Hierzu gehören insbesondere: Sitzungsverwaltung, Authentifizierung, Schutz vor Manipulationen, Sicherheit der Plattform, Lastverteilung, Fehlerbehandlung, Speicherung Ihrer Cookie-Einstellungen.

Diese Cookies können nicht deaktiviert werden, da ohne sie wesentliche Funktionen der Plattform nicht bereitgestellt werden können.

Rechtsgrundlage

Die Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO.

9.4 Einwilligungsbedürftige Technologien

Soweit Analyse-, Komfort- oder Marketingtechnologien eingesetzt werden, erfolgt deren Nutzung ausschließlich nach Ihrer ausdrücklichen Einwilligung.

Dies betrifft insbesondere zukünftige oder aktuell eingesetzte Dienste wie: Google Analytics 4, Google Tag Manager, weitere Analyse- oder Marketingdienste Vor Erteilung Ihrer Einwilligung werden diese Dienste grundsätzlich nicht aktiviert.

9.5 Consent-Management

GymScout verwendet ein Consent-Management-System zur Verwaltung Ihrer Datenschutzeinstellungen.

Beim erstmaligen Aufruf der Website werden Sie über ein Einwilligungsbanner informiert.

Dabei können Sie insbesondere entscheiden, ob ausschließlich technisch notwendige Technologien verwendet werden, zusätzlich Analysefunktionen aktiviert werden, zukünftige optionale Dienste genutzt werden dürfen.

Ihre Auswahl wird gespeichert und bei zukünftigen Seitenaufrufen berücksichtigt.

Eine bereits erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft geändert oder widerrufen werden.

9.6 Google Consent Mode v2

Soweit Google-Dienste eingesetzt werden, verwendet GymScout den Google Consent Mode v2.

Dabei werden die von Google vorgesehenen Einwilligungssignale entsprechend Ihrer Auswahl im Consent-Banner gesetzt.

GymScout sieht zum Redaktionsstand den „Basic Consent Mode“ vor: Einwilligungsbedürftige Google-Tags und Verbindungen werden vor Ihrer Auswahl blockiert und erst nach einer entsprechenden Einwilligung geladen. Die Einwilligungssignale stehen standardmäßig auf „denied“.

Hierbei können insbesondere folgende Einwilligungsparameter berücksichtigt werden: analytics_storage, ad_storage, ad_user_data, ad_personalization Die jeweilige Verarbeitung richtet sich nach Ihrer individuellen Einwilligungsentscheidung.

Der Consent Mode ist kein Ersatz für eine Einwilligung. Sollte künftig der „Advanced Consent Mode“ eingesetzt werden, bei dem bereits vor Einwilligung sogenannte cookieless pings oder vergleichbare Signale an Google gesendet werden können, wird diese Verarbeitung vor Aktivierung gesondert bewertet, im Consent-Banner abgebildet und diese Datenschutzerklärung aktualisiert.

9.7 Local Storage

GymScout verwendet den browserseitigen Local Storage zur Speicherung technischer Informationen.

Hierzu gehören insbesondere:

Die Speicherung erfolgt ausschließlich für die jeweilige Funktion und wird gelöscht oder überschrieben, sobald sie nicht mehr erforderlich ist oder Sie entsprechende Daten in Ihrem Browser entfernen.

9.8 Session Storage

Für einzelne Funktionen verwendet GymScout zusätzlich den Session Storage Ihres Browsers.

Dieser dient insbesondere der kurzfristigen Speicherung von Suchparametern, Formularzuständen, temporären technischen Informationen.

Die Daten werden regelmäßig automatisch gelöscht, sobald die Browsersitzung beendet wird.

9.9 IndexedDB

Für bestimmte Funktionen moderner Webanwendungen kann GymScout die browserseitige Datenbank IndexedDB verwenden.

Dies betrifft insbesondere Zwischenspeicherung technischer Daten, Performanceoptimierung, Offlinefunktionen, Caching bestimmter Inhalte.

Die konkrete Nutzung richtet sich nach den jeweils eingesetzten Funktionen der Plattform.

9.10 Service Worker

GymScout verwendet Service Worker zur Bereitstellung der Progressive Web App (PWA).

Hierdurch können insbesondere folgende Funktionen ermöglicht werden: schnellere Ladezeiten, Zwischenspeicherung statischer Inhalte, Offlinefähigkeit, Aktualisierung zwischengespeicherter Inhalte, Push-Benachrichtigungen.

Die gespeicherten Inhalte dienen ausschließlich der technischen Bereitstellung der Plattform.

9.11 Speicherdauer

Die Speicherdauer richtet sich nach der jeweiligen Technologie.

9.12 Verwaltung und Löschung

Sie können die Speicherung von Cookies und vergleichbaren Technologien jederzeit über die Einstellungen Ihres Browsers, unser Consent-Management, die Löschfunktion Ihres Browsers verwalten oder löschen.

Bitte beachten Sie, dass einzelne Funktionen der Plattform hierdurch eingeschränkt sein können.

10. Nutzerkonto, Registrierung und Authentifizierung

Bestimmte Funktionen von GymScout stehen ausschließlich registrierten Nutzerinnen und Nutzern zur Verfügung. Hierzu zählen insbesondere das Speichern von Favoriten, Vergleichslisten, Probetrainingsanfragen, Preisanfragen, Benachrichtigungen, Push-Mitteilungen, Bewertungen sowie weitere personalisierte Funktionen.

Für die Nutzung dieser Funktionen ist die Einrichtung eines persönlichen Nutzerkontos erforderlich.

Die Registrierung erfolgt ausschließlich freiwillig.

10.1 Registrierung

Bei der Erstellung eines Nutzerkontos werden personenbezogene Daten verarbeitet, die zur Einrichtung und Verwaltung des Kontos erforderlich sind.

Hierzu gehören insbesondere:

Weitere Profildaten werden ausschließlich verarbeitet, soweit Sie diese freiwillig angeben.

10.2 Zweck der Verarbeitung

Die Verarbeitung dient insbesondere der Erstellung Ihres Nutzerkontos, der Authentifizierung, der Verwaltung Ihrer persönlichen Einstellungen, der Bereitstellung personalisierter Funktionen, der Verwaltung Ihrer Favoriten, der Bereitstellung Ihrer Vergleichsliste, der Zuordnung Ihrer Bewertungen, der Bearbeitung Ihrer Probetrainingsanfragen, der Bearbeitung von Preisanfragen, der Bereitstellung individueller Benachrichtigungen, der Verwaltung Ihrer Push-Einstellungen, der Sicherheit Ihres Kontos.

10.3 Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags bzw. Durchführung vorvertraglicher Maßnahmen).

Soweit einzelne Sicherheitsmaßnahmen der Missbrauchsverhinderung oder Systemüberwachung dienen, erfolgt die Verarbeitung zusätzlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse an einem sicheren Betrieb unserer Plattform.).

10.4 Authentifizierung

Zur Anmeldung verwendet GymScout den Authentifizierungsdienst von Supabase.

Hierbei werden insbesondere verarbeitet:

Passwörter werden ausschließlich als kryptographische Hashwerte gespeichert.

GymScout selbst hat zu keinem Zeitpunkt Zugriff auf Ihr Klartextpasswort.

10.5 Sitzungsverwaltung

Nach erfolgreicher Anmeldung bleibt Ihre Sitzung für einen begrenzten Zeitraum bestehen.

Hierfür können insbesondere verwendet werden: sichere Cookies, Local Storage, Session Storage, Authentifizierungs-Tokens.

Diese Daten dienen ausschließlich der sicheren Anmeldung und der Bereitstellung Ihres Nutzerkontos.

10.6 Sicherheitsmaßnahmen

Zum Schutz Ihres Nutzerkontos setzt GymScout verschiedene technische und organisatorische Sicherheitsmaßnahmen ein.

Hierzu gehören insbesondere: kryptografisches Passwort-Hashing, verschlüsselte Datenübertragung (TLS), sichere Authentifizierung, Token-basierte Sitzungsverwaltung, Zugriffsbeschränkungen, rollenbasierte Berechtigungen, Protokollierung sicherheitsrelevanter Ereignisse, Schutz vor unbefugten Loginversuchen.

10.7 Nutzerprofil

Innerhalb Ihres Nutzerkontos können – abhängig von den von Ihnen genutzten Funktionen – insbesondere folgende Informationen gespeichert werden: Vorname, Favoriten, Vergleichsliste, Bewertungen, Probetrainingsanfragen, Preisanfragen, Push-Einstellungen, Newsletter-Einstellungen, Standortpräferenzen, Benachrichtigungseinstellungen.

Die Speicherung erfolgt ausschließlich zur Bereitstellung der jeweiligen Funktion.

10.8 Konto löschen

Sie können Ihr Nutzerkonto jederzeit innerhalb Ihres Kontos oder durch Kontaktaufnahme mit GymScout löschen.

Mit der Löschung werden personenbezogene Daten grundsätzlich gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten bestehen, keine berechtigten Interessen entgegenstehen, keine offenen Rechtsansprüche bestehen.

Hiervon ausgenommen sind Daten, deren weitere Speicherung gesetzlich vorgeschrieben ist oder die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind.

10.9 Auskunftskopie und Datenübertragbarkeit

GymScout ermöglicht betroffenen Personen die Ausübung ihrer datenschutzrechtlichen Rechte.

Hierzu gehört insbesondere das Recht, Auskunft über die verarbeiteten personenbezogenen Daten zu erhalten, eine Kopie dieser Daten anzufordern, unter den Voraussetzungen des Art. 20 DSGVO die von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.

Soweit technisch verfügbar, können entsprechende Exportfunktionen innerhalb Ihres Nutzerkontos bereitgestellt werden.

10.10 Protokollierung datenschutzrelevanter Vorgänge

Zur Erfüllung gesetzlicher Nachweispflichten und zur Gewährleistung der Sicherheit können datenschutzrelevante Vorgänge protokolliert werden.

Hierzu zählen insbesondere Registrierung, Anmeldung, Passwortänderungen, Kontolöschungen, Änderungen datenschutzrechtlicher Einstellungen, Datenexporte, sicherheitsrelevante Aktionen.

Diese Protokolle dienen ausschließlich der IT-Sicherheit, der Missbrauchsprävention, der Nachweisführung, der Erfüllung gesetzlicher Verpflichtungen.

10.11 Speicherdauer

11. Favoriten, Vergleichsfunktion und personalisierte Inhalte

GymScout bietet registrierten Nutzerinnen und Nutzern verschiedene Funktionen zur Personalisierung der Plattform an. Hierzu zählen insbesondere die Speicherung von Favoriten, die Vergleichsfunktion für Fitnessstudios, die Anzeige kürzlich besuchter Studios sowie weitere individuell anpassbare Funktionen.

Diese Verarbeitungen dienen ausschließlich der Bereitstellung personalisierter Inhalte und der Verbesserung der Nutzerfreundlichkeit.

11.1 Favoriten

Registrierte Nutzer können Fitnessstudios dauerhaft in ihrer persönlichen Favoritenliste speichern.

Hierdurch wird ermöglicht, interessante Studios dauerhaft zu speichern, Preisentwicklungen zu verfolgen, zukünftige Preisänderungsbenachrichtigungen zu erhalten, Benachrichtigungen über Neueröffnungen oder Wiedereröffnungen favorisierter Studios zu erhalten, eine individuelle Übersicht gespeicherter Studios bereitzustellen.

Verarbeitete Daten

Zweck der Verarbeitung

Die Verarbeitung dient der Speicherung persönlicher Favoriten, der Bereitstellung einer individuellen Studioübersicht, der technischen Verwaltung gespeicherter Studios, der Berechnung zukünftiger Preisänderungen, der Bereitstellung optionaler Benachrichtigungen.

Rechtsgrundlage

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrages).

Soweit sicherheitsrelevante Protokollierungen erfolgen: Art. 6 Abs. 1 lit. f DSGVO.

11.2 Historische Preisstände

Zur späteren Anzeige von Preisänderungen kann GymScout den zum Zeitpunkt der Speicherung gültigen Preis eines Studios zusammen mit dem Favoriteneintrag speichern.

Dadurch kann dem Nutzer beispielsweise angezeigt werden, ob sich der Preis eines Studios erhöht oder verringert hat, wann eine Preisänderung erfolgt ist, welcher Preis ursprünglich gespeichert wurde.

Diese Funktion dient ausschließlich der Information des jeweiligen Nutzers.

Eine automatisierte Bonitätsbewertung oder Profilbildung findet hierbei nicht statt.

11.3 Preisänderungsbenachrichtigungen

Sofern Nutzer entsprechende Benachrichtigungen aktiviert haben, kann GymScout automatisiert darüber informieren, wenn sich Preise eines gespeicherten Studios ändern.

Hierfür werden insbesondere verarbeitet:

Der Versand erfolgt ausschließlich, sofern die jeweilige Benachrichtigungsfunktion aktiviert wurde.

11.4 Neue Studios in Ihrer Stadt

Registrierte Nutzer können sich darüber informieren lassen, sobald neue Fitnessstudios in einer ausgewählten Stadt veröffentlicht werden.

Hierzu verarbeitet GymScout insbesondere ausgewählte Stadt, Benutzer-ID, Benachrichtigungseinstellungen, E-Mail-Adresse oder Push-Abonnement.

Diese Funktion kann jederzeit deaktiviert werden.

11.5 Coming-Soon- und Wiedereröffnungsbenachrichtigungen

Für Studios, die sich noch im Aufbau befinden oder vorübergehend geschlossen sind, kann GymScout automatisierte Benachrichtigungen bereitstellen.

Hierbei werden verarbeitet: Benutzer-ID, Studio-ID, Favoritenstatus, E-Mail-Adresse, Push-Abonnement.

Die Benachrichtigung erfolgt ausschließlich, wenn entsprechende Informationen vorliegen und die jeweilige Funktion aktiviert wurde.

11.6 Vergleichsfunktion

GymScout ermöglicht den Vergleich mehrerer Fitnessstudios.

Hierbei können Nutzer bis zu mehreren Studios gleichzeitig gegenüberstellen.

Abhängig vom jeweiligen Endgerät können Vergleichsdaten lokal im Browser, innerhalb des Nutzerkontos oder vorübergehend auf unseren Servern gespeichert werden.

Verarbeitete Daten

Zweck

Die Verarbeitung dient ausschließlich der Bereitstellung der Vergleichsfunktion.

Rechtsgrundlage

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

11.7 Kürzlich besuchte Studios

Zur Verbesserung der Benutzerfreundlichkeit kann GymScout Informationen über zuletzt betrachtete Studios lokal im Browser speichern.

Diese Funktion ermöglicht schnelleres Wiederfinden zuletzt aufgerufener Studios, komfortablere Navigation, personalisierte Übersichten.

Die Speicherung erfolgt grundsätzlich lokal im Browser des Nutzers und kann jederzeit durch den Nutzer gelöscht werden.

11.8 Personalisierte Inhalte

GymScout kann Inhalte entsprechend der individuellen Nutzung bereitstellen.

Hierzu gehören insbesondere bevorzugte Städte, gespeicherte Favoriten, zuletzt betrachtete Studios, individuelle Filtereinstellungen, Sortierungen.

Diese Personalisierungen dienen ausschließlich der Verbesserung der Nutzerfreundlichkeit.

Eine automatisierte Entscheidung mit rechtlicher Wirkung gemäß Art. 22 DSGVO erfolgt hierdurch nicht.

11.9 Speicherdauer

11.10 Widerruf und Löschung

Sämtliche Favoriten, Vergleichslisten und Benachrichtigungseinstellungen können jederzeit innerhalb des Nutzerkontos, durch Änderung der Einstellungen oder durch Löschung des Nutzerkontos entfernt werden.

12. Bewertungen und Betreiberantworten

12.1 Sterne- und Textbewertungen, Betreiberantworten und Interaktionen

Registrierte Nutzer können Fitnessstudios mit Sternen und Texten bewerten.

Dabei können insbesondere Nutzer- und Bewertungs-ID, der im Frontend angezeigte Name oder das Pseudonym, das bewertete Studio, Sternezahl, Bewertungstext, Veröffentlichungs- und Änderungszeitpunkt, technische Missbrauchssignale, Moderationsstatus sowie gegebenenfalls als hilfreich markierte Interaktionen verarbeitet werden. Studiobetreiber können – soweit die Funktion bereitgestellt wird – öffentlich auf Bewertungen antworten; dabei werden Betreiberkennung, Antworttext und Zeitstempel verarbeitet.

Zwecke sind die Bereitstellung einer nutzergenerierten Vergleichs- und Informationsfunktion, die Zuordnung und Bearbeitung der Bewertung, die Darstellung eines aussagekräftigen Gesamtwerts, die Kommunikation zwischen Nutzern und Studios sowie die Verhinderung manipulierter, mehrfacher, gekaufter oder sonst unzulässiger Bewertungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bereitstellung der vom Kontoinhaber genutzten Bewertungsfunktion erforderlich ist, und Art. 6 Abs. 1 lit. f DSGVO für Veröffentlichung, Qualitätssicherung, Missbrauchsschutz und Rechtsverteidigung.

Gesetzlich erforderliche Moderations- und Begründungsvorgänge beruhen zusätzlich auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem DSA.

Veröffentlichte Bewertungen und Betreiberantworten sind für Besucher der Plattform abrufbar und können von Suchmaschinen erfasst werden. Welche Namens- oder Profildaten öffentlich erscheinen, richtet sich nach der im Produktivsystem vorgesehenen Anzeige; vor dem Absenden wird dies in der Eingabemaske erkennbar gemacht. Nutzer sollen in Bewertungen keine privaten Kontaktdaten, Gesundheitsdaten, Angaben zu Straftaten oder personenbezogene Daten Dritter veröffentlichen, soweit dies für eine zulässige Bewertung nicht zwingend erforderlich ist.

Zur Prüfung der Authentizität oder einer Beanstandung kann GymScout Nachweise über einen tatsächlichen Kontakt mit dem Studio anfordern. Nicht erforderliche Angaben sollen geschwärzt werden. Nachweise werden grundsätzlich nicht veröffentlicht und nur Personen zugänglich gemacht, die sie für die Prüfung benötigen. Sie werden nach Abschluss und Ablauf erforderlicher Nachweis- und Rechtsverteidigungsfristen gelöscht; besonders sensible Bestandteile werden früher entfernt, sobald sie nicht mehr benötigt werden.

Bewertungen, Antworten und zugehörige Kontozuordnungen werden grundsätzlich gespeichert, solange sie veröffentlicht sind und der Zweck fortbesteht. Bei Kontolöschung werden personenbezogene Kontobezüge und der öffentlich angezeigte Name entfernt sowie die Bewertung gelöscht oder so anonymisiert, dass sie keiner Person mehr zugeordnet werden kann, sofern keine gesetzlichen Pflichten oder überwiegenden Gründe der Rechtsverteidigung eine befristete weitere Speicherung erfordern. Beanstandete Inhalte und Moderationsdaten werden nach Kapitel 20 gespeichert. Einzelheiten zu Zulässigkeit, Authentizität, Gegenäußerung und Moderation enthalten die Bewertungsrichtlinie und die Melde- und Beschwerderichtlinie.

13. Kontaktformulare, Preisanfragen, Probetrainings und Lead-Verarbeitung

GymScout stellt verschiedene Kontakt- und Anfrageformulare bereit, über die Nutzer Anfragen an GymScout richten können, auch zu einzelnen Fitnessstudios.

Hierzu gehören insbesondere allgemeine Kontaktanfragen, Preisanfragen, Probetrainingsanfragen, Studioeinreichungen, Betreiberanfragen, zukünftige Anfrageformulare.

Die Verarbeitung erfolgt ausschließlich zum jeweiligen Bearbeitungszweck.

13.1 Kontaktformular

Wenn Sie unser Kontaktformular nutzen, verarbeiten wir die von Ihnen übermittelten personenbezogenen Daten.

Hierzu können insbesondere gehören:

Zweck

Die Verarbeitung erfolgt zur Bearbeitung Ihrer Anfrage, zur Kommunikation, zur Dokumentation, zur Missbrauchsverhinderung, zur Verbesserung unseres Supports.

Rechtsgrundlage

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO.

13.2 Preisanfragen

Über GymScout können Nutzer Informationen zu Mitgliedschaften oder Preisen einzelner Fitnessstudios anfragen.

Hierbei können insbesondere verarbeitet werden:

Die Anfrage wird gespeichert, durch GymScout bearbeitet, im CRM verarbeitet, zur Nachverfolgung dokumentiert.

Eine automatische Weiterleitung an das Studio erfolgt nicht.

Empfänger

Die Daten können übermittelt werden an: HubSpot, Lovable (E-Mail-Dienst), Supabase.

13.3 Probetrainingsanfragen

GymScout ermöglicht Nutzern die Vereinbarung eines Probetrainings.

Hierfür können insbesondere verarbeitet werden:

Besondere Kategorien personenbezogener Daten

Nutzer können freiwillig Angaben zu Trainingszielen, körperlichen Einschränkungen, gesundheitlichen Besonderheiten, sonstigen trainingsrelevanten Informationen machen.

Soweit hierbei besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO verarbeitet werden, erfolgt dies ausschließlich auf Grundlage einer ausdrücklichen Einwilligung der betroffenen Person gemäß Art. 9 Abs. 2 lit. a DSGVO.

Die Angabe dieser Informationen ist freiwillig und für die Nutzung von GymScout grundsätzlich nicht erforderlich.

Das Formular sieht hierfür eine ausdrückliche Einwilligung vor, die vor dem Absenden gesondert bestätigt werden muss. Fehlt diese Einwilligung, dürfen Gesundheitsdaten nicht zielgerichtet erhoben oder für die Anfragebearbeitung verwendet werden; unaufgefordert übermittelte Angaben werden nach Möglichkeit gelöscht oder geschwärzt, soweit keine andere Ausnahme nach Art. 9 Abs. 2 DSGVO eingreift.

Rechtsgrundlage

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO Art. 9 Abs. 2 lit. a DSGVO (soweit Gesundheitsdaten freiwillig angegeben werden).

Keine automatische Übermittlung an Studios

Preis- und Probetrainingsanfragen gehen ausschließlich bei GymScout ein und werden von GymScout bearbeitet. Eine automatische Übermittlung an das ausgewählte Fitnessstudio erfolgt nicht. Soweit zur Bearbeitung Ihrer Anfrage eine Kontaktaufnahme mit dem Studio erforderlich ist, beschränkt sich GymScout auf die hierfür notwendigen Angaben.

13.4 Studio-Einreichung

Nutzer können bislang nicht auf GymScout gelistete Fitnessstudios melden.

Hierbei können verarbeitet werden: Name des Studios, Kontaktdaten, Ansprechpartner, freiwillige Hinweise, E-Mail-Adresse des Meldenden.

Die Verarbeitung erfolgt ausschließlich zur Prüfung der Aufnahme des Studios.

13.5 Automatisierte Lead-Verarbeitung

Zur effizienten Bearbeitung eingehender Anfragen nutzt GymScout automatisierte Prozesse.

Hierbei können eingehende Anfragen automatisiert gespeichert, kategorisiert, als interne Benachrichtigung an das GymScout-Team gemeldet, an das CRM synchronisiert und dokumentiert werden.

Diese Prozesse dienen ausschließlich der technischen Bearbeitung Ihrer Anfrage.

Eine automatisierte Entscheidung mit rechtlicher Wirkung erfolgt hierbei nicht.

13.6 Synchronisierung mit HubSpot

Zur Verwaltung eingehender Anfragen nutzt GymScout HubSpot als CRM-System.

Nach Eingang einer Anfrage können insbesondere folgende Daten an HubSpot übertragen werden:

Die Übertragung erfolgt automatisiert über sichere serverseitige Prozesse.

Einzelheiten zum CRM-System, zu den Rechtsgrundlagen, Empfängern und Speichergrundsätzen finden Sie in Abschnitt 16.2. Die technische Synchronisierung ist in Abschnitt 16.3 beschrieben. Für mögliche Drittlandübermittlungen gelten die Voraussetzungen des Abschnitts 23.

13.7 Transaktionale E-Mails

Nach Eingang einer Kontakt-, Preis- oder Probetrainingsanfrage wird das GymScout-Team durch eine interne E-Mail an leads@gymscoutfitness.de benachrichtigt. Die Anfrage bleibt zusätzlich im internen Dashboard verfügbar. Eine automatische Weiterleitung an das jeweilige Studio sowie automatische Eingangsbestätigungen oder Nachfassmails an die anfragende Person erfolgen nicht. Studio-Eintragungen werden weiterhin an studios@gymscoutfitness.de gemeldet. Einzelheiten zum E-Mail-Dienst, den verarbeiteten Versanddaten, Rechtsgrundlagen, Empfängern und Speichergrundsätzen finden Sie in Abschnitt 15.2.

13.8 Interne Warteschlangen (E-Mail-Queue)

Zur zuverlässigen Verarbeitung ausgehender E-Mails können Anfragen vorübergehend in internen Nachrichtenwarteschlangen gespeichert werden.

Hierbei können insbesondere verarbeitet werden: Empfänger, Betreff, E-Mail-Inhalt, Zeitpunkt, Versandstatus.

Die Speicherung erfolgt ausschließlich bis zum erfolgreichen Versand oder bis zur technischen Fehlerbehandlung.

13.9 Missbrauchsschutz

Zur Verhinderung automatisierter Angriffe oder missbräuchlicher Nutzung können Anfragen technisch überprüft werden.

Hierzu können insbesondere verarbeitet werden: IP-Adresse, Zeitstempel, technische Header, Browserinformationen.

Diese Verarbeitung dient ausschließlich der IT-Sicherheit, der Betrugsprävention, der Erkennung automatisierter Anfragen.

13.10 Speicherdauer

13.11 Eingesetzte Systeme und Empfänger

14. Eingesetzte externe Dienstleister und Auftragsverarbeiter

Zur Bereitstellung der Plattform GymScout setzen wir verschiedene externe Dienstleister ein. Diese unterstützen uns insbesondere beim Hosting, der Datenverarbeitung, der Authentifizierung, der Kommunikation, der Bereitstellung von KI-Funktionen, der Kartenanzeige, der Analyse der Plattform sowie weiteren technischen Prozessen.

Soweit diese Dienstleister personenbezogene Daten in unserem Auftrag verarbeiten, werden vor ihrem produktiven Einsatz – soweit gesetzlich erforderlich – Verträge über die Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen und die erforderlichen Einstellungen vorgenommen.

Erfolgt eine Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums, erfolgt diese ausschließlich unter Beachtung der Art. 44 ff. DSGVO.

Sofern kein Angemessenheitsbeschluss der Europäischen Kommission besteht, erfolgt die Übermittlung insbesondere auf Grundlage der Standardvertragsklauseln (Standard Contractual Clauses – SCC) der Europäischen Kommission sowie gegebenenfalls weiterer geeigneter Garantien.

14.1 Übersicht sämtlicher eingesetzter Dienstleister

14.2 Hosting durch Lovable

Anbieter

Lovable Labs Incorporated beziehungsweise Lovable Labs AB, Regeringsgatan 25, 111 53 Stockholm, Schweden; die konkret vertragsgegenständliche Gesellschaft richtet sich nach dem gebuchten Tarif und den bei Vertragsschluss geltenden Bedingungen.

Zweck

Lovable stellt die technische Infrastruktur für GymScout bereit. Die Verarbeitung zur Bereitstellung der Website ist in Abschnitt 7.1 beschrieben. Zur technischen Bereitstellung gehören außerdem Deployment, Produktions- und Preview-Umgebungen sowie Build-Prozesse.

Verarbeitete Daten

IP-Adresse, Browserdaten, User-Agent, Datum, Uhrzeit, HTTP-Header, technische Verbindungsdaten, Fehlerprotokolle.

Rechtsgrundlage

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer

Die Speicherung erfolgt nur solange dies für Hosting, IT-Sicherheit, Fehleranalyse, Stabilität erforderlich ist.

Empfänger

Lovable Labs Incorporated beziehungsweise Lovable Labs AB und die für den konkret gebuchten Dienst eingesetzten Unterauftragsverarbeiter.

Auftragsverarbeitung

Soweit Lovable personenbezogene Daten ausschließlich in unserem Auftrag verarbeitet, erfolgt dies auf Grundlage eines Auftragsverarbeitungsvertrages gemäß Art. 28 DSGVO.

14.3 Supabase

Anbieter

Supabase, Inc.

Zweck

Supabase stellt wesentliche Backend-Funktionen von GymScout bereit.

Hierzu gehören insbesondere PostgreSQL-Datenbank, Authentifizierung, Storage, Edge Functions, API, Cronjobs, Realtime, Datenbankfunktionen.

Verarbeitete Daten

Folgende Daten können verarbeitet werden: E-Mail-Adresse, Passwort-Hash, Benutzer-ID, Session-Tokens, Vorname, Profilinformationen, Favoriten, Vergleichsdaten, Betreiberdaten, Push-Abonnements, Audit-Logs, Leads, Probetrainings, Preisanfragen und Kontaktformulare.

Serverstandort

Die produktive Instanz wird in der AWS-Region London (eu-west-2, Vereinigtes Königreich) betrieben; hierfür besteht ein Angemessenheitsbeschluss gemäß Art. 45 DSGVO. Die Wahl dieser Region verhindert nicht zwingend sämtliche Drittlandzugriffe oder Metadatenverarbeitungen. Einzelheiten richten sich nach der gebuchten Supabase-Leistung, der Projektkonfiguration und der jeweils aktuellen Unterauftragsverarbeiterliste.

Rechtsgrundlage

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO Art. 6 Abs. 1 lit. f DSGVO.

Empfänger

Supabase, Inc.

Amazon Web Services.

Auftragsverarbeitung

Mit Supabase wird – soweit gesetzlich erforderlich – ein Vertrag über die Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen.

Drittlandtransfer

Supabase, Inc. hat seinen Sitz außerhalb der Europäischen Union.

Soweit hierbei personenbezogene Daten an die Muttergesellschaft oder verbundene Unternehmen außerhalb des Europäischen Wirtschaftsraums übermittelt werden, erfolgt die Übermittlung ausschließlich auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO.

Hierzu gehören insbesondere: Standardvertragsklauseln der Europäischen Kommission (Art. 46 DSGVO), gegebenenfalls ergänzende technische und organisatorische Maßnahmen, interne Datenschutz- und Sicherheitsrichtlinien des Anbieters.

Sicherheitsmaßnahmen

Supabase stellt insbesondere folgende Sicherheitsmaßnahmen bereit: verschlüsselte Datenübertragung (TLS), rollenbasierte Zugriffskonzepte, Datenbankverschlüsselung, Zugriffskontrollen, Backup-Systeme, Authentifizierungsverfahren, Protokollierung sicherheitsrelevanter Vorgänge.

Speicherdauer

Die innerhalb von Supabase gespeicherten Daten werden grundsätzlich bis zum Wegfall des jeweiligen Verarbeitungszwecks oder entsprechend den in dieser Datenschutzerklärung beschriebenen Löschfristen gespeichert.

14.4 Supabase Auth

Für die Authentifizierung registrierter Nutzer verwendet GymScout den Authentifizierungsdienst von Supabase.

Verarbeitet werden insbesondere: E-Mail-Adresse, Passwort-Hash, Access-Tokens, Refresh-Tokens, Sitzungsinformationen, Anmeldezeitpunkte, Sicherheitsprotokolle.

Die Verarbeitung erfolgt ausschließlich zum Zweck der sicheren Anmeldung und Verwaltung der Nutzerkonten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

14.5 Supabase Storage

Zur Speicherung hochgeladener Inhalte verwendet GymScout den Storage-Dienst von Supabase.

Hierüber werden insbesondere gespeichert: Studiofotos, Logos, Mediendateien, zukünftig weitere von Nutzern oder Betreibern hochgeladene Inhalte.

Die Verarbeitung erfolgt ausschließlich zur Bereitstellung der jeweiligen Plattformfunktionen.

14.6 Firecrawl (Erfassung öffentlicher Studiodaten)

Anbieter ist SideGuide Technologies, Inc. d/b/a Firecrawl, USA. GymScout kann Firecrawl verwenden, um öffentlich zugängliche Informationen über Fitnessstudios zu erfassen, zu strukturieren und auf Aktualität zu prüfen. Hierzu können Studioname, Anschrift, Kontaktdaten, Leistungs- und Preisangaben, Öffnungszeiten, Webadresse sowie auf der Quellseite veröffentlichte Ansprechpartner- oder Inhaberangaben gehören. Auch öffentlich zugängliche Angaben können personenbezogene Daten sein; die Verarbeitung wird daher nicht allein mit ihrer öffentlichen Zugänglichkeit begründet.

Zwecke sind die Erstellung und Aktualisierung des Studioverzeichnisses, die Verbesserung der Datenqualität, die Vermeidung veralteter Einträge und die Prüfung öffentlich belegbarer Studioangaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen liegen in der Vollständigkeit und Richtigkeit des Vergleichsangebots sowie in der Information der Nutzer über am Markt angebotene Studios. Bei der Auswahl und Veröffentlichung werden die Interessen der betroffenen Personen berücksichtigt; private oder für den Verzeichniszweck offensichtlich nicht erforderliche Angaben werden nicht übernommen.

Die Daten stammen aus öffentlich erreichbaren Studio-Webseiten, Unternehmensauftritten, Verzeichnissen oder sonstigen rechtmäßig zugänglichen Quellen. Soweit die Daten nicht unmittelbar bei der betroffenen Person erhoben wurden, gelten die Informationspflichten nach Art. 14 DSGVO. Eine individuelle Information unterbleibt nur, soweit eine gesetzliche Ausnahme eingreift; die Herkunft wird intern soweit erforderlich dokumentiert. Betroffene Personen können unrichtige Daten berichtigen lassen und der Verarbeitung aus Gründen ihrer besonderen Situation widersprechen.

An Firecrawl werden insbesondere die abzurufende URL, technische Anfrageparameter und die von der Zielseite ausgelieferten Inhalte übermittelt. Die Verarbeitung kann in den USA und durch Unterauftragsverarbeiter stattfinden. Es gelten die Transferregeln in Kapitel 23. Importierte Daten werden anhand des jeweiligen Verzeichniszwecks überprüft und gelöscht oder aktualisiert, wenn sie hierfür nicht mehr erforderlich oder erkennbar unrichtig sind.

15. Kommunikations-, KI- und Benachrichtigungsdienste

Zur Bereitstellung einzelner Funktionen setzt GymScout externe Kommunikations- und KI-Dienste ein. Diese ermöglichen insbesondere den Versand transaktionaler E-Mails, die Bearbeitung ausdrücklich angeforderter KI-Anfragen sowie – soweit im Einzelfall aktiviert – die Unterstützung menschlicher Moderations- und Beschwerdeprozesse.

GymScout beschränkt die übermittelten Daten nach dem Grundsatz der Datenminimierung auf den für die konkrete Funktion erforderlichen Umfang. Vor dem produktiven Einsatz eines Dienstes werden dessen Rolle, Vertragsmodell, Unterauftragsverarbeiter, Speicher- und Trainingsbedingungen, Datenregion und Transfermechanismen geprüft. Soweit ein Anbieter als Auftragsverarbeiter tätig wird, wird ein Vertrag nach Art. 28 DSGVO einschließlich der erforderlichen Weisungen abgeschlossen; andernfalls wird die datenschutzrechtliche Rollenverteilung gesondert bewertet und transparent gemacht.

15.1 Übersicht der Kommunikations- und KI-Dienste

15.2 E-Mail-Dienst von Lovable (Transaktionaler E-Mail-Versand)

Anbieter

Lovable Labs Incorporated beziehungsweise Lovable Labs AB, Regeringsgatan 25, 111 53 Stockholm, Schweden (vertragsabhängig).

Zweck

GymScout nutzt den E-Mail-Dienst von Lovable für den Versand systemrelevanter E-Mails.

Hierzu gehören insbesondere: Registrierung, Verifizierung, Passwort-Reset, Magic-Link-Anmeldung, interne Benachrichtigungen über eingegangene Anfragen an GymScout, Betreiberkommunikation, Preisänderungsbenachrichtigungen, „Neue Studios in deiner Stadt“, Coming-Soon-Benachrichtigungen, weitere transaktionale E-Mails Der E-Mail-Dienst wird nicht für personalisierte Werbe-E-Mails eingesetzt, sofern hierfür keine gesonderte Einwilligung vorliegt.

Verarbeitete Daten

Rechtsgrundlage

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO Art. 6 Abs. 1 lit. f DSGVO.

Empfänger

Lovable und die in der jeweils aktuellen Unterauftragsverarbeiterliste ausgewiesenen Empfänger.

Drittlandtransfer

Da Lovable und dessen Unterauftragsverarbeiter auch außerhalb der Europäischen Union tätig sein können, kann eine Übermittlung personenbezogener Daten in ein Drittland erfolgen.

Soweit erforderlich erfolgt diese ausschließlich auf Grundlage Art. 45 DSGVO (soweit ein Angemessenheitsbeschluss besteht), oder Art. 46 DSGVO (Standardvertragsklauseln), gegebenenfalls ergänzt um weitere technische und organisatorische Schutzmaßnahmen.

Speicherdauer

Versanddaten werden grundsätzlich nur solange gespeichert, wie dies für den Versand, die Fehleranalyse, den Zustellnachweis oder gesetzliche Nachweispflichten erforderlich ist.

15.2.1 Newsletter und werbliche E-Mail-Kommunikation

Soweit GymScout einen Newsletter oder sonstige werbliche E-Mail-Kommunikation anbietet, werden hierfür insbesondere E-Mail-Adresse, optional Name, Anmeldezeitpunkt, Einwilligungstext und -version, Bestätigungszeitpunkt, IP-Adresse sowie Abmelde- und Sperrstatus verarbeitet. Die Anmeldung wird grundsätzlich über ein Double-Opt-in-Verfahren bestätigt, um die Einwilligung und die Verfügungsbefugnis über die E-Mail-Adresse nachweisen zu können.

Rechtsgrundlage ist regelmäßig Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit den wettbewerbsrechtlichen Anforderungen. Soweit im Einzelfall die Voraussetzungen für Werbung an Bestandskunden ohne gesonderte Einwilligung erfüllt sind, kann die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 7 Abs. 3 UWG beruhen; auf die jederzeitige Widerspruchsmöglichkeit wird bei Erhebung und in jeder Nachricht hingewiesen. Eine Reichweiten- oder Interaktionsmessung über personenbezogene Öffnungs- oder Klickdaten erfolgt nur, wenn hierfür eine wirksame Einwilligung besteht und sie im Consent- beziehungsweise Anmeldeprozess gesondert beschrieben wird.

Empfänger können der E-Mail-Dienst von Lovable als Versanddienst und HubSpot als CRM sein. Die Einwilligung kann jederzeit über den Abmeldelink oder per Nachricht an info@gymscoutfitness.de widerrufen werden. Nach Abmeldung endet der werbliche Versand. Erforderliche Einwilligungs- und Widerspruchsnachweise können bis zum Ablauf möglicher Rechtsansprüche, regelmäßig bis zu drei Jahre ab Ende des Kalenderjahres der Abmeldung, gesperrt aufbewahrt werden. Eine minimale Sperrlisteninformation kann fortbestehen, soweit dies erforderlich ist, um den Widerruf oder Widerspruch dauerhaft zu beachten.

15.3 Lovable AI Gateway

Anbieter

Lovable Labs Incorporated beziehungsweise Lovable Labs AB; die konkrete Vertragsgesellschaft und die eingesetzten Unterauftragsverarbeiter richten sich nach dem gebuchten Produkt.

Zweck und Funktionsweise

Soweit aktiviert, nutzt GymScout den Lovable AI Gateway als technische Vermittlungsschicht zwischen einer GymScout-Funktion und einem konfigurierten KI-Modell. Der Gateway kann Anfragen authentifizieren, an ein Zielmodell weiterleiten, Antworten zurückgeben, die Nutzung abrechnen sowie Verfügbarkeit, Fehler und Missbrauch überwachen. Die inhaltliche Verarbeitung erfolgt zusätzlich durch den jeweils ausgewählten Modellanbieter, insbesondere Google oder OpenAI. Der Gateway ist daher kein eigenständiger Hinweis darauf, dass Daten ausschließlich innerhalb der EU verarbeitet werden.

Verarbeitete Daten

Je nach Funktion können Texteingaben, erforderliche Ausschnitte eines Chatverlaufs oder Moderationsvorgangs, technische Metadaten, Zeitstempel, pseudonyme Nutzer- oder Vorgangskennungen, Modell- und Nutzungsinformationen sowie die erzeugte Antwort verarbeitet werden. Direkte Identifikatoren und vollständige Fallakten werden nicht übermittelt, wenn eine pseudonyme Kennung oder ein erforderlicher Textausschnitt ausreicht.

Rechtsgrundlagen

Die Verarbeitung erfolgt bei einer vom Nutzer angeforderten KI-Funktion auf Art. 6 Abs. 1 lit. b DSGVO, soweit sie zur Erfüllung des Nutzungsverhältnisses erforderlich ist, im Übrigen auf Art. 6 Abs. 1 lit. f DSGVO. Bei der Unterstützung von Moderation und Beschwerden gelten die in Kapitel 20 genannten Rechtsgrundlagen.

Protokolle und Speicherdauer

Für Betrieb, Abrechnung, Fehleranalyse, Rate-Limiting und Missbrauchsschutz können Anfragezeitpunkt, Modell, Token- oder Mengendaten, Antwortdauer, Status- und Fehlercodes sowie pseudonyme technische Kennungen protokolliert werden. Inhalte werden nur gespeichert, wenn dies nach der konkreten Produktkonfiguration zur Bereitstellung, Sicherheit, Nachweisführung oder Speicherung des Nutzerverlaufs erforderlich ist. Die tatsächlichen Anbieterfristen und eine etwaige Speicherung im GymScout-Konto werden vor Aktivierung der Funktion im Löschkonzept dokumentiert.

15.4 Google Gemini

Anbieter

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, beziehungsweise – abhängig vom konkret eingesetzten Google-Cloud- oder Gemini-Vertragsmodell – Google Cloud EMEA Limited und weitere vertraglich ausgewiesene Empfänger.

Zwecke und Daten

Google Gemini kann zur Beantwortung ausdrücklich gestellter Chat-Anfragen und, soweit aktiviert, zur unterstützenden Klassifizierung, Übersetzung, Zusammenfassung oder Entwurfserstellung in Moderationsvorgängen eingesetzt werden. Verarbeitet werden nur die hierfür erforderlichen Eingaben, Kontextausschnitte, technische Metadaten und Modellausgaben. Eine endgültige Moderations- oder Beschwerdeentscheidung trifft Gemini nicht.

Rechtsgrundlagen

Für vom Nutzer angeforderte Antworten gilt Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für das Nutzungsverhältnis erforderlich ist, andernfalls Art. 6 Abs. 1 lit. f DSGVO. Für Moderationsunterstützung gelten Art. 6 Abs. 1 lit. c und/oder lit. f DSGVO sowie gegebenenfalls Art. 6 Abs. 1 lit. b DSGVO nach Maßgabe von Kapitel 20. Eine Einwilligung wird nur herangezogen, wenn die Funktion tatsächlich freiwillig ist und die gesetzlichen Anforderungen an eine wirksame Einwilligung erfüllt sind.

Tarif, Training, Speicherung und Altersvorgaben

GymScout verwendet für Personen im EWR und in der Schweiz nur ein für diese Region und den produktiven Einsatz zulässiges Vertrags- und Tarifmodell.

Optionale Freigaben von Eingaben oder Ausgaben für Produktverbesserung oder Modelltraining werden durch GymScout nicht aktiviert. Ob und wie lange Google Inhalte für Sicherheits- oder Missbrauchszwecke vorübergehend speichert, richtet sich nach dem konkret eingesetzten Dienst, dessen Tarif und den freigeschalteten Protokollierungs- oder Zero-Data-Retention-Einstellungen. Soweit die Bedingungen des gewählten Gemini-Dienstes ein Mindestalter oder eine Beschränkung für an Minderjährige gerichtete beziehungsweise ihnen voraussichtlich zugängliche Anwendungen vorsehen, wird die betreffende Funktion entsprechend beschränkt oder ein anderer geeigneter Dienst verwendet.

Drittlandübermittlung

Je nach Vertragsmodell und Unterauftragsverarbeitern kann es zu Verarbeitungen außerhalb des EWR kommen. Es gelten die in Kapitel 23 beschriebenen Transfermechanismen.

15.5 OpenAI

Anbieter

OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland, sowie die in den jeweils geltenden Vertragsunterlagen ausgewiesenen Unterauftragsverarbeiter.

Zwecke und Daten

Soweit aktiviert, verarbeitet OpenAI einzelne, ausdrücklich angeforderte KI-Eingaben oder erforderliche Ausschnitte eines Moderationsvorgangs, technischen Kontext, pseudonyme Vorgangskennungen und die erzeugten Ausgaben. Eine endgültige Moderations- oder Beschwerdeentscheidung trifft OpenAI nicht.

Rechtsgrundlagen

Es gelten – je nach Funktion – Art. 6 Abs. 1 lit. b, lit. c und/oder lit. f DSGVO nach Maßgabe dieses Kapitels und Kapitel 20. Besondere Kategorien personenbezogener Daten werden nur unter den zusätzlichen Voraussetzungen von Art. 9 Abs. 2 DSGVO verarbeitet.

Training, Speicherung und Drittlandübermittlung

GymScout nutzt OpenAI nur über ein für geschäftliche beziehungsweise API-Nutzung vorgesehenes Angebot und aktiviert keine optionale Freigabe von Eingaben oder Ausgaben für Modelltraining. Nach den für Geschäftsdienste veröffentlichten Vorgaben werden Geschäftsdaten standardmäßig nicht zum Training verwendet; abweichende freiwillige Freigaben durch GymScout sind nicht vorgesehen. Aufbewahrung für Sicherheitszwecke, optionale Funktionen und gesetzliche Pflichten richten sich nach dem gewählten Produkt und der vereinbarten Konfiguration. Soweit Daten außerhalb des EWR verarbeitet werden, gelten die in Kapitel 23 beschriebenen Transfermechanismen.

15.6 KI-gestützte Moderations- und Beschwerdeunterstützung

GymScout kann KI-Werkzeuge einsetzen, um Meldungen und Beschwerden vorzusortieren, Dubletten zu erkennen, Dringlichkeitssignale zu markieren, Sprache zu übersetzen, umfangreiche Unterlagen zusammenzufassen oder Entscheidungsentwürfe vorzubereiten. KI-Ausgaben sind Hilfsmittel und werden nicht ungeprüft als Tatsachen oder verbindliche rechtliche Bewertung übernommen. Die sachliche und rechtliche Prüfung sowie die Verantwortung für die Entscheidung verbleiben bei einem Menschen. Endgültige Entscheidungen über interne Beschwerden werden nicht allein automatisiert getroffen.

15.7 Hinweise für Nutzer und Datenminimierung

Der KI-Assistent dient der Unterstützung bei der Nutzung von GymScout und der Beantwortung allgemeiner Fragen. KI-Ausgaben können fehlerhaft oder unvollständig sein und stellen insbesondere keine medizinische oder rechtliche Beratung dar. Nutzer sollen keine Zugangsdaten, Zahlungsdaten, amtlichen Kennnummern, Gesundheitsdaten, Angaben über Straftaten oder andere vertrauliche Daten eingeben. Sind personenbezogene Angaben für ein konkretes Anliegen erforderlich, sollen sie auf das notwendige Minimum beschränkt werden.

Eingaben und Ausgaben werden nicht für personalisierte Werbung durch.

GymScout verwendet.

15.8 Technische und organisatorische Maßnahmen

Für Kommunikations- und KI-Dienste werden risikoadäquate Maßnahmen eingesetzt. Hierzu gehören insbesondere verschlüsselte Übertragung, rollenbasierte Zugriffe, Pseudonymisierung oder Schwärzung soweit möglich, Beschränkung des übermittelten Kontexts, Protokollierung sicherheitsrelevanter Ereignisse, vertragliche Weisungen, Prüfung von Unterauftragsverarbeitern, Deaktivierung optionaler Trainingsfreigaben, Lösch- und Berechtigungskonzepte sowie geeignete Garantien bei Drittlandübermittlungen.

16. CRM-System, automatisierte Datenverarbeitung und interne Systemautomatisierungen

Zur effizienten Bearbeitung von Kontaktanfragen, Probetrainingsanfragen, Betreiberanfragen sowie weiteren Geschäftsprozessen nutzt GymScout ein Customer-Relationship-Management-System (CRM) sowie verschiedene serverseitige Automatisierungen.

Diese Systeme dienen ausschließlich der technischen Bearbeitung, Dokumentation und Verwaltung von Nutzeranfragen sowie der Sicherstellung eines zuverlässigen Plattformbetriebs.

Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO findet hierbei nicht statt.

16.1 Übersicht der eingesetzten Systeme

16.2 HubSpot CRM

Anbieter

HubSpot Ireland Limited 2nd Floor 30 North Wall Quay Dublin 1 Irland (verbundene Unternehmen können außerhalb des Europäischen Wirtschaftsraums tätig sein.).

Zweck der Verarbeitung

GymScout verwendet HubSpot zur Verwaltung eingehender Anfragen sowie zur Organisation interner Kommunikations- und Bearbeitungsprozesse.

Hierzu gehören insbesondere Kontaktanfragen, Probetrainingsanfragen, Preisanfragen, Betreiberanfragen, Dokumentation der Kommunikation, Nachverfolgung offener Anfragen, interne Bearbeitungsprozesse.

HubSpot wird ausschließlich als CRM-System eingesetzt.

Eine Nutzung zu Werbezwecken erfolgt ausschließlich, soweit hierfür eine gesonderte Rechtsgrundlage besteht.

Verarbeitete Daten

Je nach Art der Anfrage können insbesondere folgende personenbezogene Daten verarbeitet werden: Folgende Daten können verarbeitet werden: Vorname, Nachname, E-Mail-Adresse, Telefonnummer, Studio, Art der Anfrage, Nachrichteninhalt, Bearbeitungsstatus, Zeitstempel und interne Referenznummern.

Rechtsgrundlage

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO Art. 6 Abs. 1 lit. f DSGVO.

Empfänger

HubSpot Ireland Limited gegebenenfalls verbundene Unternehmen der HubSpot-Gruppe.

Drittlandtransfer

Soweit personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, erfolgt dies ausschließlich unter Beachtung der Art. 44 ff. DSGVO.

Hierzu können insbesondere gehören Standardvertragsklauseln (SCC), ergänzende technische Maßnahmen, interne Datenschutzrichtlinien.

Speicherdauer

CRM-Daten werden grundsätzlich nur solange gespeichert, wie dies zur Bearbeitung der jeweiligen Anfrage, zur Dokumentation, zur Erfüllung gesetzlicher Pflichten, oder zur Verteidigung von Rechtsansprüchen erforderlich ist.

16.3 Automatische Synchronisierung mit HubSpot

Zur Vermeidung manueller Dateneingaben werden bestimmte Datensätze automatisiert zwischen GymScout und HubSpot synchronisiert.

Dies betrifft insbesondere neue Kontaktanfragen, Probetrainings, Preisanfragen, Betreiberanfragen.

Die Synchronisierung erfolgt automatisiert über serverseitige Prozesse.

Hierbei werden ausschließlich diejenigen Daten übertragen, die für die jeweilige Bearbeitung erforderlich sind.

16.4 Datenbank-Trigger

Zur Automatisierung interner Abläufe verwendet GymScout Datenbank-Trigger.

Diese lösen nach definierten Ereignissen automatisierte Prozesse aus.

Beispiele: neue Anfrage eingegangen, neuer Lead, Betreiber registriert, neues Probetraining, neue Preisanfrage.

Die Trigger dienen ausschließlich der technischen Verarbeitung.

16.5 Supabase Edge Functions

GymScout verwendet serverseitige Edge Functions.

Diese übernehmen insbesondere Verarbeitung von Formularen, HubSpot-Synchronisierung, Versand von Benachrichtigungen, Preisänderungsprüfungen, interne Geschäftslogik, API-Kommunikation, Fehlerbehandlung.

Verarbeitete Daten

Je nach Funktion können verarbeitet werden: Benutzer-ID, E-Mail-Adresse, Formulardaten, Studiodaten, Zeitstempel, technische Protokolle.

Rechtsgrundlage

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO Art. 6 Abs. 1 lit. f DSGVO.

16.6 pg_cron

Zur Ausführung zeitgesteuerter Aufgaben nutzt GymScout die PostgreSQL-Erweiterung pg_cron.

Hierüber werden insbesondere ausgeführt: Preisänderungsprüfungen, Benachrichtigungen, Coming-Soon-Prüfungen, neue Studios, interne Wartungsprozesse, regelmäßige Synchronisierungen.

Diese Prozesse erfolgen ausschließlich automatisiert.

16.7 pg_net

Zur Durchführung serverseitiger HTTP-Anfragen verwendet GymScout pg_net.

Hierüber können insbesondere Edge Functions, HubSpot, interne APIs, Benachrichtigungssysteme angesprochen werden.

Dabei werden ausschließlich die für den jeweiligen Verarbeitungsvorgang erforderlichen Daten übermittelt.

16.8 pgmq (Interne Nachrichtenwarteschlangen)

GymScout verwendet pgmq zur Verwaltung interner Nachrichtenwarteschlangen.

Hierüber werden insbesondere verarbeitet: E-Mail-Aufträge, Versandstatus, Warteschlangeninformationen, technische Metadaten.

Die Speicherung erfolgt ausschließlich bis zur erfolgreichen Verarbeitung der jeweiligen Nachricht.

16.9 Supabase Vault

Zur sicheren Speicherung technischer Zugangsdaten nutzt GymScout Supabase Vault.

Hierüber werden insbesondere gespeichert: API-Schlüssel, Service-Keys, technische Zugangsdaten, interne Authentifizierungsschlüssel.

Personenbezogene Nutzerdaten werden in Supabase Vault grundsätzlich nicht gespeichert.

16.10 Interne Automatisierungen

GymScout nutzt verschiedene automatisierte Prozesse zur Verbesserung des Plattformbetriebs.

Hierzu gehören insbesondere Preisänderungsbenachrichtigungen, Coming-Soon-Benachrichtigungen, Wiedereröffnungsbenachrichtigungen, Benachrichtigungen über neue Studios, CRM-Synchronisierung, E-Mail-Versand, interne Statusaktualisierungen.

Diese Prozesse dienen ausschließlich der technischen Bereitstellung der Plattform.

Eine automatisierte Entscheidungsfindung gemäß Art. 22 DSGVO erfolgt hierbei nicht.

16.11 Protokollierung

Zur Fehleranalyse und Nachvollziehbarkeit können technische Protokolle erstellt werden.

Hierzu gehören insbesondere: Trigger-Ausführungen, API-Aufrufe, Synchronisierungsvorgänge, Fehlerprotokolle, Systemereignisse, technische Zeitstempel.

Diese Protokolle dienen ausschließlich der Stabilität, der Fehleranalyse, der IT-Sicherheit, der Missbrauchserkennung.

16.12 Sicherheitsmaßnahmen

Für sämtliche Automatisierungsprozesse gelten insbesondere folgende Sicherheitsmaßnahmen: verschlüsselte Kommunikation, rollenbasierte Zugriffsrechte, Zugriffsbeschränkungen, verschlüsselte Speicherung technischer Schlüssel, Protokollierung sicherheitsrelevanter Vorgänge, regelmäßige Sicherheitsüberprüfungen, technische Zugriffskontrollen.

16.13 Speicherdauer

17. Karten-, Standort- und Geolokalisierungsdienste

GymScout bietet verschiedene Funktionen zur Suche und Darstellung von Fitnessstudios auf Karten sowie zur standortbasierten Suche nach Studios in Ihrer Umgebung an.

Hierfür werden verschiedene Karten- und Geolokalisierungsdienste eingesetzt.

Die Nutzung dieser Funktionen erfolgt ausschließlich, soweit sie für die jeweilige Funktion erforderlich ist oder Sie hierfür Ihre Einwilligung erteilt haben.

17.1 Übersicht der eingesetzten Standortdienste

17.2 OpenStreetMap

Anbieter

OpenStreetMap Foundation St John's Innovation Centre Cowley Road Cambridge Vereinigtes Königreich.

Zweck

GymScout verwendet OpenStreetMap zur Darstellung interaktiver Karten.

Hierüber können Nutzer insbesondere Fitnessstudios auf Karten anzeigen, Standorte betrachten, Entfernungen einschätzen, Karten vergrößern, Karten verschieben.

Verarbeitete Daten

Beim Laden einer Karte können insbesondere verarbeitet werden:

Rechtsgrundlage

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO Unser berechtigtes Interesse besteht in der benutzerfreundlichen Darstellung unserer Inhalte.

Soweit eine Einwilligung erforderlich ist, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO.

Speicherdauer

GymScout selbst speichert im Zusammenhang mit der Kartendarstellung grundsätzlich keine zusätzlichen Standortdaten.

Die Speicherdauer technischer Verbindungsdaten richtet sich nach den jeweiligen Vorgaben des Kartenanbieters.

17.3 Nominatim (Ortssuche)

Zur Umsetzung der Suchfunktion verwendet GymScout den Geocoding-Dienst Nominatim.

Hierüber können insbesondere Städte, Postleitzahlen, Straßen, Adressen in geografische Koordinaten umgewandelt werden.

Nutzer sollen in das Suchfeld keine Namen, Gesundheitsinformationen oder sonstigen vertraulichen Angaben eingeben. Eine private Wohnadresse kann eine Person identifizierbar machen und sollte nur eingegeben werden, wenn dies für die gewünschte Standortsuche erforderlich ist.

Verarbeitete Daten

Bei einer Suchanfrage können insbesondere verarbeitet werden: eingegebener Suchbegriff, IP-Adresse, Zeitpunkt, Browserinformationen, technische Verbindungsdaten.

Zweck

Die Verarbeitung dient ausschließlich der Ortssuche, der Umkreissuche, der Navigation innerhalb der Plattform.

Rechtsgrundlage

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO Art. 6 Abs. 1 lit. f DSGVO.

17.4 Browser-Geolocation

GymScout kann – soweit Sie dies ausdrücklich zulassen – auf die Standortfunktion Ihres Browsers zugreifen.

Die Freigabe erfolgt ausschließlich über die Berechtigungsverwaltung Ihres Browsers.

Ohne Ihre ausdrückliche Zustimmung erfolgt keine Standortermittlung.

Verarbeitete Daten

Je nach Gerät können insbesondere verarbeitet werden: aktueller Standort, Längen- und Breitengrad, Genauigkeit, Zeitpunkt der Standortermittlung.

Zweck

Die Standortdaten dienen insbesondere der Anzeige nahegelegener Studios, der Umkreissuche, der Entfernungsberechnung, der Verbesserung der Nutzerfreundlichkeit.

Rechtsgrundlage

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Die Einwilligung kann jederzeit über Ihren Browser widerrufen werden.

17.5 Referrer-Informationen

Beim Abruf externer Kartendienste kann technisch bedingt der sogenannte Referrer-Header an den jeweiligen Kartenanbieter übermittelt werden.

Hierdurch kann der Kartenanbieter erkennen, von welcher Seite die Anfrage stammt, welche Kartenfunktion genutzt wurde.

GymScout hat keinen Einfluss auf die Verarbeitung dieser Daten durch den jeweiligen Anbieter.

17.6 Kartenkacheln (Map Tiles)

Zur Darstellung der Karten werden sogenannte Kartenkacheln (Map Tiles) geladen.

Hierbei können insbesondere verarbeitet werden: IP-Adresse, Browserinformationen, Geräteinformationen, Zeitpunkt, aufgerufener Kartenausschnitt.

Die Verarbeitung erfolgt ausschließlich zur technischen Darstellung der Karte.

17.7 Standortsuche

Bei Nutzung der Suchfunktion können Suchbegriffe verarbeitet werden.

Hierzu gehören beispielsweise Städtenamen, Postleitzahlen, Straßen, Regionen, Ortsbezeichnungen.

Diese Suchbegriffe werden ausschließlich zur Durchführung der jeweiligen Suche verarbeitet.

17.8 Umkreissuche

Die Umkreissuche ermöglicht es, Fitnessstudios innerhalb eines bestimmten Radius um einen Standort anzuzeigen.

Hierfür werden der gewählte Standort, der Suchradius, technische Suchparameter verarbeitet.

Eine dauerhafte Speicherung des aktuellen Standorts erfolgt durch GymScout grundsätzlich nicht, sofern dies nicht ausdrücklich für eine bestimmte Funktion erforderlich ist.

17.9 Sicherheitsmaßnahmen

Für sämtliche Karten- und Standortdienste gelten insbesondere folgende Sicherheitsmaßnahmen: verschlüsselte Datenübertragung (TLS), minimale Datenübermittlung, Nutzung ausschließlich zur Bereitstellung der Kartenfunktionen, Zugriffsbeschränkungen, regelmäßige Aktualisierung der eingesetzten Bibliotheken.

17.10 Speicherdauer

17.11 Hinweise zur Verantwortlichkeit

Für die Verarbeitung personenbezogener Daten durch externe Karten- und Geolokalisierungsdienste gelten ergänzend die Datenschutzbestimmungen der jeweiligen Anbieter.

GymScout hat keinen Einfluss auf die dort erfolgende Verarbeitung personenbezogener Daten.

18. Progressive Web App (PWA), Push-Benachrichtigungen und browserbasierte Benachrichtigungsdienste

GymScout kann als Progressive Web App (PWA) genutzt werden. Hierdurch können bestimmte Funktionen einer nativen mobilen Anwendung bereitgestellt werden, ohne dass eine Installation über einen App-Store erforderlich ist.

Hierzu gehören insbesondere Installation der Webanwendung, Offlinefähigkeit, Push-Benachrichtigungen, Zwischenspeicherung technischer Inhalte, schnellere Ladezeiten, Hintergrundaktualisierungen.

Die Nutzung sämtlicher optionaler Funktionen erfolgt ausschließlich nach den jeweils geltenden gesetzlichen Voraussetzungen.

18.1 Progressive Web App (PWA)

GymScout stellt eine Progressive Web App (PWA) bereit.

Die PWA ermöglicht insbesondere Installation auf dem Endgerät, Offline-Nutzung bestimmter Inhalte, schnelleren Seitenaufbau, Wiederverwendung zwischengespeicherter Inhalte, Push-Benachrichtigungen, verbesserte Nutzerfreundlichkeit.

Die Installation der PWA erfolgt ausschließlich freiwillig durch den Nutzer.

18.2 Service Worker

Zur technischen Bereitstellung der PWA verwendet GymScout sogenannte Service Worker.

Hierbei handelt es sich um browserseitige Hintergrundprozesse, welche verschiedene technische Aufgaben übernehmen.

Zweck

Der Service Worker dient insbesondere der Offlinefähigkeit, der Zwischenspeicherung statischer Inhalte, der Beschleunigung der Plattform, der Aktualisierung gespeicherter Dateien, der Bereitstellung von Push-Benachrichtigungen.

Verarbeitete Daten

Je nach Funktion können verarbeitet werden:

Rechtsgrundlage

Die Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG Art. 6 Abs. 1 lit. f DSGVO.

18.3 Push-Benachrichtigungen

GymScout kann Nutzer über Browser-Push-Benachrichtigungen informieren.

Hierüber können insbesondere Benachrichtigungen zu folgenden Ereignissen versendet werden: Preisänderungen favorisierter Studios, neue Studios in Ihrer Stadt, Wiedereröffnungen, Coming-Soon-Mitteilungen, Antworten auf Betreiberanfragen, zukünftige Systeminformationen.

Push-Benachrichtigungen werden ausschließlich versendet, wenn Sie diese Funktion ausdrücklich aktiviert haben.

18.4 Einwilligung

Vor Aktivierung von Push-Benachrichtigungen fragt Ihr Browser Ihre ausdrückliche Zustimmung ab.

Ohne diese Einwilligung erfolgt keine Zustellung von Push-Benachrichtigungen.

Sie können Ihre Einwilligung jederzeit über die Einstellungen Ihres Browsers oder Betriebssystems widerrufen.

18.5 Browser-Push-Dienste

Je nach verwendetem Browser können Push-Benachrichtigungen über unterschiedliche Push-Dienste zugestellt werden.

Hierzu gehören insbesondere:

Welcher Push-Dienst genutzt wird, hängt ausschließlich vom verwendeten Browser bzw. Betriebssystem des Nutzers ab.

GymScout hat hierauf keinen Einfluss.

18.6 Verarbeitete Daten

Für Push-Benachrichtigungen können insbesondere folgende Daten verarbeitet werden:

Der Push-Endpoint stellt grundsätzlich keine unmittelbare Identifizierung der betroffenen Person dar, kann jedoch personenbezogen sein, soweit er einem Nutzerkonto zugeordnet wird.

18.7 VAPID

Zur Authentifizierung von Push-Benachrichtigungen verwendet GymScout das standardisierte Verfahren Voluntary Application Server Identification (VAPID).

Hierbei werden kryptographische Schlüssel verwendet, welche ausschließlich der sicheren Zustellung von Push-Benachrichtigungen dienen.

Eine Nutzung zu anderen Zwecken erfolgt nicht.

18.8 Zweck der Verarbeitung

Die Verarbeitung dient insbesondere der Zustellung gewünschter Benachrichtigungen, der Verwaltung von Push-Abonnements, der sicheren Authentifizierung, der Vermeidung missbräuchlicher Push-Nachrichten, der technischen Bereitstellung der PWA.

18.9 Rechtsgrundlagen

18.10 Drittlandübermittlung

Je nach verwendetem Browser kann eine Übermittlung technischer Daten an Anbieter außerhalb des Europäischen Wirtschaftsraums erfolgen.

Dies betrifft insbesondere: Google (Firebase Cloud Messaging), Mozilla, Apple.

Soweit erforderlich erfolgt die Übermittlung ausschließlich auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO.

Hierzu gehören insbesondere: Angemessenheitsbeschlüsse der Europäischen Kommission, soweit vorhanden, Standardvertragsklauseln, ergänzende technische und organisatorische Maßnahmen.

18.11 Speicherdauer

18.12 Widerruf

Sie können Push-Benachrichtigungen jederzeit deaktivieren.

Dies ist insbesondere möglich über die Browser-Einstellungen, über die Betriebssystem-Einstellungen, innerhalb Ihres Nutzerkontos (soweit vorgesehen).

Nach dem Widerruf werden keine weiteren Push-Benachrichtigungen mehr versendet.

18.13 Sicherheitsmaßnahmen

Zur Absicherung der Push-Infrastruktur setzt GymScout insbesondere folgende Maßnahmen ein: verschlüsselte Kommunikation (TLS), VAPID-Authentifizierung, rollenbasierte Verwaltung, Zugriffsbeschränkungen, sichere Speicherung technischer Schlüssel, regelmäßige Sicherheitsüberprüfungen.

19. Analyse-, Tracking-, Performance- und Optimierungsdienste

GymScout setzt verschiedene Analyse-, Optimierungs- und Performance-Dienste ein, um die technische Stabilität, Benutzerfreundlichkeit und Leistungsfähigkeit der Plattform kontinuierlich zu verbessern.

Soweit hierbei personenbezogene Daten verarbeitet oder Informationen auf Ihrem Endgerät gespeichert bzw. ausgelesen werden, erfolgt dies ausschließlich im Rahmen der gesetzlichen Vorgaben der Datenschutz-Grundverordnung (DSGVO) sowie des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG).

Soweit eine Einwilligung gesetzlich erforderlich ist, werden die entsprechenden Dienste erst nach Ihrer ausdrücklichen Zustimmung aktiviert.

19.1 Übersicht der eingesetzten Analyse- und Optimierungsdienste

* Der Consent Mode selbst dient der technischen Umsetzung Ihrer Einwilligungsentscheidung und verarbeitet diese Entscheidung.

19.2 Google Tag Manager

Anbieter

Google Ireland Limited Gordon House Barrow Street Dublin 4 Irland.

Zweck

GymScout verwendet den Google Tag Manager zur technischen Verwaltung von Analyse- und Trackingdiensten.

Der Google Tag Manager selbst erstellt grundsätzlich keine Nutzerprofile und speichert nach unserem Einsatzkonzept keine Analyseinformationen.

Er dient ausschließlich dazu, Skripte technisch bereitzustellen, Einwilligungen umzusetzen, Tags zu laden, Dienste zu verwalten.

Verarbeitete Daten

Je nach technischer Konfiguration können insbesondere verarbeitet werden: IP-Adresse, Browserinformationen, technische Header, Consent-Status, Geräteinformationen.

Rechtsgrundlage

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO § 25 Abs. 1 TDDDG.

Der Google Tag Manager wird erst nach einer entsprechenden Einwilligung geladen, soweit dies für die eingesetzten Tags erforderlich ist.

19.3 Google Consent Mode v2

Für die Einwilligungssteuerung der Google-Dienste gilt Abschnitt 9.6. Dort sind die Basic-Mode-Konfiguration, die standardmäßig deaktivierten Einwilligungskategorien und die Voraussetzungen einer möglichen Umstellung beschrieben. Der Consent Mode begründet keine eigenständige Rechtsgrundlage für Analyse oder Tracking.

19.4 Google Analytics 4

Zweck

Google Analytics dient der statistischen Auswertung der Nutzung unserer Plattform.

Hierdurch können insbesondere Erkenntnisse gewonnen werden über Seitenaufrufe, Gerätearten, Browsertypen, Nutzung einzelner Funktionen, Ladezeiten, Fehler, allgemeine Nutzungsmuster.

Die Auswertung erfolgt ausschließlich zur Verbesserung der Plattform.

Verarbeitete Daten

Rechtsgrundlage

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO § 25 Abs. 1 TDDDG Google Analytics wird ausschließlich nach Ihrer ausdrücklichen Einwilligung aktiviert.

Speicherdauer

Die Speicherdauer richtet sich nach der jeweils konfigurierten Einstellung innerhalb von Google Analytics.

Nach Ablauf der jeweiligen Aufbewahrungsfrist werden die Daten automatisch gelöscht oder anonymisiert.

Widerruf

Sie können Ihre Einwilligung jederzeit über das Consent-Management widerrufen.

19.5 Schriftarten

GymScout stellt alle verwendeten Schriftarten lokal über die eigene Infrastruktur bereit. Beim Laden der Schriftarten wird keine Verbindung zu Google oder anderen Schriftart-Anbietern aufgebaut; es werden insoweit keine personenbezogenen Daten an Dritte übermittelt.

Rechtsgrundlage

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einheitlichen und technisch zuverlässigen Darstellung).

19.6 Cloudflare CDN

Cloudflare CDN dient der technischen Auslieferung und Absicherung der Plattform. Die Verarbeitung ist in Abschnitt 7.8 beschrieben. Zu den technischen Zugriffsdaten einschließlich HTTP-Headern und ihrer Speicherdauer siehe Abschnitt 8; zu möglichen Drittlandübermittlungen siehe Abschnitt 23.

19.7 Cloudflare R2

Die Bereitstellung öffentlicher Medieninhalte über Cloudflare R2 ist in Abschnitt 7.9 beschrieben. Für technische Zugriffsdaten und mögliche Drittlandübermittlungen gelten ergänzend die Abschnitte 8 und 23.

19.8 Preconnects

Zur Verbesserung der Ladegeschwindigkeit können bereits beim Aufruf der Website technische Verbindungen ("Preconnect") zu externen Diensten aufgebaut werden.

Hierdurch können insbesondere verarbeitet werden: IP-Adresse, Browserinformationen, technische Netzwerkdaten.

Soweit hierdurch personenbezogene Daten verarbeitet werden und eine Einwilligung erforderlich ist, erfolgt der Aufbau entsprechender Verbindungen erst nach Ihrer Einwilligung.

19.9 Drittlandübermittlungen

Einzelne der vorgenannten Dienste können personenbezogene Daten in Staaten außerhalb des Europäischen Wirtschaftsraums übermitteln.

Soweit erforderlich erfolgt eine solche Übermittlung ausschließlich unter Beachtung der Art. 44 ff. DSGVO.

Hierzu gehören insbesondere: Angemessenheitsbeschlüsse, Standardvertragsklauseln, ergänzende technische und organisatorische Maßnahmen.

19.10 Widerruf

Bereits erteilte Einwilligungen können jederzeit über das Consent-Management-System widerrufen oder angepasst werden.

Der Widerruf wirkt ausschließlich für die Zukunft.

19.11 Speicherdauer

19.12 Besondere Hinweise

GymScout verfolgt das Ziel, möglichst datenschutzfreundliche Technologien einzusetzen.

Aus diesem Grund überprüfen wir regelmäßig, ob einzelne Dienste datenschutzfreundlicher konfiguriert oder durch alternative Lösungen ersetzt werden können. Hierzu zählt insbesondere die Prüfung einer lokalen Bereitstellung von Schriftarten sowie die regelmäßige Überprüfung der tatsächlich eingesetzten Drittanbieter.

20. Meldungen, Moderation und Beschwerden nach dem Digital Services Act

Dieses Kapitel beschreibt die Verarbeitung personenbezogener Daten, wenn rechtswidrige oder gegen GymScout-Regeln verstoßende Inhalte gemeldet, Inhalte oder Konten geprüft, Moderationsmaßnahmen getroffen, Entscheidungen begründet oder Beschwerden bearbeitet werden. Ergänzende verfahrensrechtliche Einzelheiten enthält die eigenständige „Melde- und Beschwerderichtlinie (Notice & Action Policy)“ von GymScout, zum Redaktionsstand Version 01, Stand 11.07.2026, gültig ab 01.08.2026. Bei Widersprüchen gehen zwingende gesetzliche Vorgaben und hinsichtlich der Verarbeitung personenbezogener Daten diese Datenschutzerklärung vor.

20.1 Kontaktweg und kein Kontozwang

Meldungen zu möglicherweise rechtswidrigen oder regelwidrigen Inhalten sowie Beschwerden gegen Moderationsentscheidungen können per E-Mail an.

beschwerde@gymscoutfitness.de.

übermittelt werden. Für eine Meldung nach Art. 16 DSA ist kein GymScout-Nutzerkonto erforderlich. Die E-Mail-Adresse dient auch als technischer Eingangskanal für Anlagen und Nachweise. Sie ist nicht der allgemeine Kontaktweg für die Ausübung datenschutzrechtlicher Betroffenenrechte; hierfür gilt Kapitel 26.

20.2 Kategorien der verarbeiteten Daten

Je nach Meldung, Inhalt, Beschwerde und Verfahrensstand können insbesondere folgende Daten verarbeitet werden: Identitäts- und Kontaktdaten der meldenden oder beschwerdeführenden Person, etwa Name, E-Mail-Adresse, Organisation und Funktion; Vertretungsdaten, Vollmachten und Angaben zu einem Handeln für eine andere Person oder Organisation; Angaben zur Eigenschaft als vertrauenswürdiger Hinweisgeber, Behörde oder sonstige besonders berechtigte Stelle; Fundstellen wie URL, Content-ID, Bewertungs-ID, Studio- oder Kontokennung und genaue Bezeichnung des beanstandeten Abschnitts; Beschreibung und rechtliche oder regelbezogene Begründung der Meldung beziehungsweise Beschwerde; Erklärung, dass die Angaben nach bestem Wissen richtig und vollständig sind, soweit dies gesetzlich vorgesehen ist; Belege und Anlagen, beispielsweise Screenshots, Korrespondenz, Urkunden, Bild-, Audio- oder Videodateien sowie Metadaten; Angaben zu Dringlichkeit, möglicher Gefährdung, betroffenem Staat und räumlichem Bezug; Daten der Person, die den beanstandeten Inhalt eingestellt hat, eines betroffenen Studios, seiner Ansprechpartner oder sonstiger betroffener Dritter; Inhalts-, Kommunikations-, Konto-, Vertrags-, Verifizierungs- und Berechtigungsdaten aus den GymScout-Systemen; technische Daten wie IP-Adresse, Zeitstempel, E-Mail-Header, Geräte- und Browserdaten, Login-, Sicherheits-, Audit- und Änderungsprotokolle; interne Fallnummer, Status, Priorität, Prüfvermerke, Anhörungsschreiben, Stellungnahmen, Moderationsentscheidung, Begründung und Zustellnachweise; Beschwerdedaten wie Referenz der angegriffenen Entscheidung, Beschwerdegründe, beantragtes Ergebnis, neue Tatsachen und Beweismittel; Angaben aus behördlichen oder gerichtlichen Anordnungen sowie aus einer gegebenenfalls erforderlichen Meldung an Strafverfolgungs- oder Justizbehörden; Ergebnisse technischer oder KI-gestützter Vorprüfungen, beispielsweise Kategorien, Dublettenhinweise, Übersetzungen, Zusammenfassungen oder Risikosignale.

Bestimmte Meldungen nach Art. 16 Abs. 2 DSA können gesetzlich von der Pflicht zur Angabe eines Namens und einer E-Mail-Adresse ausgenommen sein, insbesondere wenn sie mutmaßliche Straftaten im Zusammenhang mit sexuellem Missbrauch, sexueller Ausbeutung oder bildlichen Darstellungen sexuellen Missbrauchs von Kindern betreffen. In solchen Fällen verlangt GymScout keine Angaben, die der DSA nicht voraussetzt. Eine fehlende Kontaktmöglichkeit kann jedoch verhindern, dass Rückfragen gestellt oder Eingangs- und Entscheidungsmitteilungen zugestellt werden können.

20.3 Zwecke der Verarbeitung

Die Daten werden je nach Fall verarbeitet, um Meldungen und Beschwerden entgegenzunehmen, zu bestätigen, zu dokumentieren und einem Vorgang zuzuordnen; den beanstandeten Inhalt eindeutig aufzufinden, Beweise zu sichern und Veränderungen nachvollziehbar zu machen; Zuständigkeit, Vollständigkeit, Plausibilität, Dringlichkeit und möglichen Missbrauch zu prüfen; betroffene Personen oder Studios anzuhören und deren Stellungnahmen zu berücksichtigen; Inhalte anhand anwendbarer Gesetze, der AGB sowie der Bewertungs-, Community-, KI- und sonstigen Plattformrichtlinien zu prüfen; über Entfernung, Sperrung, Einschränkung, Kennzeichnung, Herabstufung, Kontomaßnahmen oder das Unterlassen einer Maßnahme zu entscheiden; gesetzlich erforderliche Entscheidungsbegründungen zu erstellen und zuzustellen; interne Beschwerden unparteiisch, sorgfältig und unter menschlicher Verantwortung zu prüfen; Serienmeldungen, Identitätstäuschung, Drohungen, Manipulationsversuche und sonstigen Missbrauch zu erkennen und abzuwehren; gerichtliche, behördliche und aufsichtsrechtliche Anordnungen zu prüfen und zu erfüllen; bei einem hinreichend konkreten Verdacht auf eine Straftat, die eine Gefahr für Leben oder Sicherheit von Personen darstellt, die gesetzlich vorgesehenen Stellen zu informieren; Rechtsansprüche geltend zu machen, auszuüben oder zu verteidigen; Moderationsqualität, Konsistenz und Sicherheit anhand anonymisierter oder aggregierter Auswertungen zu überprüfen; gesetzliche Transparenz- und Nachweispflichten zu erfüllen.

Fallbezogene Daten werden nicht für personalisierte Werbung verwendet.

20.4 Rechtsgrundlagen

Soweit GymScout zur Einrichtung oder Bearbeitung eines Meldeverfahrens, zur Begründung einer Moderationsentscheidung, zur Behandlung einer Beschwerde, zur Befolgung einer Anordnung oder zur Meldung eines qualifizierten Straftatverdachts gesetzlich verpflichtet ist, erfolgt die Verarbeitung auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den jeweils anwendbaren Bestimmungen, insbesondere Art. 9, 10, 14, 16, 17 und 18 DSA sowie dem DDG. Art. 20 DSA wird als Rechtsgrundlage nur herangezogen, soweit seine Voraussetzungen und keine gesetzliche Ausnahme – insbesondere für Kleinst- oder Kleinunternehmen – vorliegen.

Soweit die Prüfung und Durchsetzung von Plattformregeln zur Erfüllung eines Nutzungs- oder Betreiberverhältnisses erforderlich ist oder eine betroffene Person eine vertraglich vorgesehene Überprüfung verlangt, kann Art. 6 Abs. 1 lit. b DSGVO einschlägig sein.

Im Übrigen beruht die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO. Berechtigte Interessen sind insbesondere der sichere und vertrauenswürdige Betrieb der Plattform, der Schutz der Rechte von Nutzern, Studios und Dritten, die Prüfung freiwillig angebotener Beschwerden, die Bekämpfung von Missbrauch und Manipulation, die einheitliche Anwendung der Regeln, die Beweissicherung sowie die Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen. Die Interessen und Grundrechte der betroffenen Personen werden im Einzelfall berücksichtigt.

In seltenen akuten Notlagen kann Art. 6 Abs. 1 lit. d DSGVO die Verarbeitung rechtfertigen, wenn sie zum Schutz lebenswichtiger Interessen erforderlich ist.

Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO wird nur für tatsächlich freiwillige Zusatzverarbeitungen eingesetzt und nicht als pauschale Grundlage für das gesetzliche Melde- und Moderationsverfahren verwendet.

Für besondere Kategorien personenbezogener Daten und Angaben zu Straftaten gelten zusätzlich die Voraussetzungen aus Kapitel 6. Für Personen in der Schweiz erfolgt die Bearbeitung außerdem nach den anwendbaren Bestimmungen des Schweizer DSG, insbesondere unter Beachtung der Grundsätze von Rechtmäßigkeit, Verhältnismäßigkeit, Zweckbindung, Transparenz und Datensicherheit.

20.5 Herkunft der Daten und Information nach Art. 14 DSGVO

Daten werden unmittelbar von meldenden, beschwerdeführenden oder betroffenen Personen erhoben. Daneben können sie aus dem beanstandeten Plattforminhalt, Nutzerkonten, Verifizierungsunterlagen, technischen Protokollen, Stellungnahmen anderer Beteiligter, öffentlich zugänglichen Quellen sowie Mitteilungen von Behörden, Gerichten, vertrauenswürdigen Hinweisgebern oder sonstigen Dritten stammen.

Enthält eine Meldung personenbezogene Daten einer anderen Person, erhebt.

GymScout diese Daten nicht unmittelbar bei der betroffenen Person. GymScout informiert die betroffene Person nach Maßgabe von Art. 14 DSGVO, regelmäßig im Rahmen einer Anhörung oder Entscheidungsmitteilung, sofern keine gesetzliche Ausnahme eingreift. Eine Information kann insbesondere vorübergehend oder dauerhaft eingeschränkt sein, wenn sie sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde, die Erreichung des Prüfzwecks ernsthaft gefährden würde, gesetzlich ausgeschlossen ist oder Rechte und Freiheiten anderer Personen – einschließlich Vertraulichkeits- und Schutzinteressen der meldenden Person – entgegenstehen. Die Ausnahme wird nicht pauschal, sondern fallbezogen geprüft und dokumentiert.

20.6 Empfänger und Offenlegung innerhalb des Verfahrens

Zugriff erhalten innerhalb von GymScout nur Personen, die mit Fallannahme, Moderation, Beschwerdeprüfung, Sicherheit, Datenschutz oder Rechtsangelegenheiten betraut sind und die Informationen für ihre Aufgabe benötigen.

Zur sachgerechten Anhörung oder Begründung können dem Verfasser des Inhalts, einem betroffenen Studio oder einer sonstigen Verfahrenspartei der wesentliche Sachverhalt, die beanstandete Fundstelle und die tragenden Gründe mitgeteilt werden. Die Identität und die Kontaktdaten der meldenden Person werden nicht automatisch offengelegt. Eine Offenlegung erfolgt nur, soweit sie zur fairen Prüfung oder Rechtsverteidigung erforderlich ist, die betroffene Person eingewilligt hat oder eine wirksame gesetzliche, gerichtliche oder behördliche Verpflichtung besteht. Vor einer Offenlegung werden Schutzinteressen, Drohungs- oder Vergeltungsrisiken und die Möglichkeit einer Schwärzung geprüft.

Weitere Empfänger können sein: Hosting-, Datenbank-, E-Mail-, Sicherheits-, Ticket- oder Dokumentationsdienstleister als Auftragsverarbeiter; KI-Anbieter nur, wenn die in Kapitel 15 und Abschnitt 20.7 beschriebene Unterstützung für den Fall aktiviert und erforderlich ist; Rechtsanwälte, Sachverständige, Versicherer und sonstige Berufsgeheimnisträger; Gerichte, Strafverfolgungs-, Justiz-, Aufsichts- und sonstige Behörden bei gesetzlicher Grundlage oder wirksamer Anordnung; der zuständige Koordinator für digitale Dienste, die Europäische Kommission oder andere nach dem DSA zuständige Stellen, soweit vorgeschrieben; zertifizierte außergerichtliche Streitbeilegungsstellen, wenn die betroffene Person ein gesetzlich vorgesehenes Verfahren einleitet und die Übermittlung erforderlich ist.

Solange GymScout die gesetzlichen Voraussetzungen eines Kleinst- oder Kleinunternehmens erfüllt und die entsprechende Ausnahme des DSA greift, werden Entscheidungsbegründungen nicht allein aufgrund von Art. 24 Abs. 5 DSA an die Transparenzdatenbank der Europäischen Kommission übermittelt. Sollte diese Pflicht künftig anwendbar werden, erfolgt die Übermittlung im gesetzlich vorgegebenen standardisierten Format und ohne personenbezogene Daten. Eine freiwillige personenbezogene Übermittlung an diese Datenbank findet nicht statt.

20.7 Einsatz von KI im Moderationsverfahren

GymScout kann KI-Systeme zur Kategorisierung, Dublettenerkennung, Priorisierung anhand von Dringlichkeitssignalen, Übersetzung, Zusammenfassung umfangreicher Unterlagen und Erstellung unverbindlicher Textentwürfe einsetzen.

Ob eine solche Unterstützung erfolgt, hängt vom Einzelfall, der Sensibilität der Daten und der produktiv freigegebenen Konfiguration ab.

Es werden nach Möglichkeit nur pseudonymisierte Kennungen, geschwärzte Dokumente oder die erforderlichen Textausschnitte übermittelt. Vollständige Fallakten, Identitätsnachweise, Gesundheitsdaten, Angaben über Straftaten oder andere besonders sensible Informationen werden nicht an ein externes KI-System übermittelt, wenn der Zweck mit weniger Daten erreicht werden kann. Fehlt eine tragfähige Rechtsgrundlage oder ein geeignetes Vertrags- und Sicherheitsniveau, erfolgt keine KI-gestützte Verarbeitung.

KI-Ausgaben können unzutreffend oder verzerrt sein. Sie werden daher von einer zuständigen Person auf Plausibilität, Vollständigkeit und rechtliche Relevanz geprüft. Die endgültige Sachentscheidung sowie die Entscheidung über eine interne Beschwerde werden nicht allein automatisiert getroffen. Eine Entscheidung nach Art. 22 Abs. 1 DSGVO findet derzeit nicht statt.

Fallbezogene Daten werden von GymScout nicht für das Training eigener allgemeiner KI-Modelle oder für personalisierte Werbung verwendet. Externe KI-Anbieter werden nur auf Grundlage eines geeigneten Geschäfts-, API- oder Auftragsverarbeitungsmodells eingesetzt. Optionale Freigaben für Modelltraining oder Produktverbesserung werden durch GymScout nicht aktiviert. Unberührt bleiben technisch oder gesetzlich erforderliche Sicherheitsverarbeitungen des Anbieters, über die nach Maßgabe des konkreten Dienstes informiert wird.

20.8 Behördenanordnungen und Straftatverdacht

Erhält GymScout eine Anordnung nach Art. 9 oder 10 DSA oder eine sonstige verbindliche gerichtliche oder behördliche Verfügung, werden die darin enthaltenen Personen-, Kontakt-, Inhalts-, Konto- und Verfahrensdaten zur Prüfung der Echtheit, Zuständigkeit, Reichweite und Befolgung verarbeitet. Empfänger sind die anordnende Stelle, betroffene interne Funktionen, erforderliche Dienstleister und gegebenenfalls rechtliche Berater.

Erlangt GymScout Kenntnis von Informationen, die den Verdacht begründen, dass eine Straftat begangen wurde, begangen wird oder wahrscheinlich begangen wird, die eine Gefahr für das Leben oder die Sicherheit einer Person darstellt, kann eine Mitteilung an die zuständigen Strafverfolgungs- oder Justizbehörden nach Art. 18 DSA erforderlich sein. Übermittelt werden nur die verfügbaren und zur Erfüllung der gesetzlichen Pflicht erforderlichen Informationen. Angaben über Straftaten werden mit erhöhten Zugriffsbeschränkungen und unter Beachtung von Art. 10 DSGVO verarbeitet.

20.9 Speicherdauer

Fallbezogene Daten werden zunächst für die Dauer der Prüfung, Anhörung, Entscheidung und Zustellung gespeichert. Anschließend bleiben sie mindestens bis zum Ablauf der für den betreffenden Vorgang eröffneten Beschwerdefrist und bis zum Abschluss einer fristgerecht eingelegten Beschwerde verfügbar. GymScout bietet nach der aktuellen Melde- und Beschwerderichtlinie grundsätzlich eine interne Beschwerdemöglichkeit innerhalb von sechs Monaten nach Mitteilung der Entscheidung an; soweit eine längere gesetzliche Frist gilt, geht diese vor.

Nach Abschluss werden die für Nachweis, Missbrauchsschutz und Rechtsverteidigung erforderlichen Kerndaten grundsätzlich bis zum Ablauf der regelmäßigen zivilrechtlichen Verjährungsfrist von drei Jahren aufbewahrt, gerechnet ab dem Ende des Kalenderjahres, in dem der Vorgang abgeschlossen wurde. Eine längere Speicherung erfolgt, wenn ein gerichtliches, behördliches oder außergerichtliches Verfahren anhängig ist, eine gesetzliche Aufbewahrungs- oder Nachweispflicht besteht, eine Sicherungsanordnung vorliegt oder konkrete Ansprüche noch geltend gemacht werden können. Eine kürzere Frist gilt, wenn der Zweck früher entfällt und keine Aufbewahrungsgründe entgegenstehen.

Nicht mehr benötigte Identitätsdokumente, besonders sensible Anlagen, Rohdaten und technische Duplikate werden früher gelöscht oder geschwärzt. Zurück bleiben können anonymisierte oder so aggregierte Statistiken, dass ein Personenbezug nicht mehr hergestellt werden kann. Sicherungskopien werden im Rahmen des technischen Löschzyklus überschrieben und bis dahin gesperrt.

20.10 Unbegründete oder missbräuchliche Meldungen

Zur Erkennung wiederholter offensichtlich unbegründeter oder missbräuchlicher Meldungen und Beschwerden kann GymScout Vorgangskennungen, Absenderdaten, technische Merkmale, Häufigkeit, Muster, frühere Entscheidungen und dokumentierte Missbrauchsindikatoren verarbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; berechtigte Interessen sind der Schutz der Plattform, der Verfahrensbeteiligten und der verfügbaren Prüfressourcen. Maßnahmen werden nicht allein aufgrund der Anzahl von Meldungen getroffen. Kontext, Schwere, Absicht, Fehlerwahrscheinlichkeit und Auswirkungen werden berücksichtigt; soweit erforderlich erfolgt eine menschliche Prüfung.

20.11 Datensicherheit und Vertraulichkeit

Moderationsfälle werden nach einem rollenbasierten Berechtigungskonzept behandelt. Je nach Risiko werden insbesondere Zugriffsbeschränkungen, Vertraulichkeitsverpflichtungen, verschlüsselte Übertragung, gesonderte Ablage sensibler Anlagen, Protokollierung von Zugriffen und Änderungen, Schwärzung, Pseudonymisierung, Schadsoftwareprüfung und sichere Löschung eingesetzt.

Informationen über Kinder, mögliche Opfer, Hinweisgeber und Personen in Gefährdungslagen werden besonders restriktiv behandelt.

20.12 Betroffenenrechte und Abgrenzung zur DSA-Beschwerde

Die in Kapitel 21 beschriebenen Datenschutzrechte gelten auch für Daten in Melde-, Moderations- und Beschwerdeverfahren. Ihre Ausübung kann eingeschränkt sein, soweit gesetzliche Ausnahmen, Rechte und Freiheiten anderer Personen, laufende Ermittlungen, Geheimhaltungsinteressen oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen entgegenstehen. Eine datenschutzrechtliche Anfrage führt nicht automatisch zu einer Änderung der inhaltlichen Moderationsentscheidung.

Eine Beschwerde gegen eine Moderationsentscheidung ist an beschwerde@gymscoutfitness.de zu richten. Ein datenschutzrechtliches Auskunfts-, Löschungs-, Berichtigungs- oder Widerspruchsbegehren ist an info@gymscoutfitness.de zu richten. Wenn aus der Nachricht nicht eindeutig hervorgeht, welcher Rechtsbehelf gewollt ist, kann GymScout zur Klarstellung nachfragen oder beide Anliegen getrennt bearbeiten.

21. Rechte der betroffenen Personen

Als betroffene Person stehen Ihnen hinsichtlich der Verarbeitung Ihrer personenbezogenen Daten die nachfolgenden Rechte nach der DSGVO zu. Soweit das Schweizer DSG anwendbar ist, stehen Ihnen zusätzlich die dort vorgesehenen Rechte zu, insbesondere das Recht auf Auskunft sowie – je nach Voraussetzung – Berichtigung, Löschung, Vernichtung, Einschränkung, Widerspruch oder Herausgabe beziehungsweise Übertragung von Personendaten.

Die Rechte bestehen jeweils unter den gesetzlichen Voraussetzungen und können durch gesetzliche Ausnahmen sowie Rechte und Freiheiten anderer Personen begrenzt sein.

Zur Wahrnehmung Ihrer Rechte können Sie sich jederzeit an den in dieser Datenschutzerklärung genannten Verantwortlichen wenden.

21.1 Recht auf Auskunft (Art. 15 DSGVO)

Sie haben das Recht, jederzeit Auskunft darüber zu verlangen, ob GymScout personenbezogene Daten über Sie verarbeitet.

Ist dies der Fall, haben Sie insbesondere Anspruch auf Informationen über die verarbeiteten personenbezogenen Daten, die Verarbeitungszwecke, die Kategorien personenbezogener Daten, die Empfänger oder Kategorien von Empfängern, die geplante Speicherdauer, die Herkunft der Daten, sofern diese nicht unmittelbar bei Ihnen erhoben wurden, das Bestehen Ihrer weiteren Datenschutzrechte, etwaige Drittlandübermittlungen, geeignete Garantien gemäß Art. 46 DSGVO, das Bestehen automatisierter Entscheidungsfindungen einschließlich Profiling.

Darüber hinaus haben Sie das Recht, eine Kopie der über Sie verarbeiteten personenbezogenen Daten zu erhalten.

Soweit technisch möglich, kann GymScout hierfür zukünftig entsprechende Exportfunktionen innerhalb des Nutzerkontos bereitstellen.

21.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sie haben das Recht, unverzüglich die Berichtigung unrichtiger personenbezogener Daten zu verlangen.

Darüber hinaus können Sie die Vervollständigung unvollständiger personenbezogener Daten verlangen.

Viele Profildaten können Sie innerhalb Ihres Nutzerkontos selbst aktualisieren.

21.3 Recht auf Löschung („Recht auf Vergessenwerden“) – Art. 17 DSGVO

Sie haben das Recht, die unverzügliche Löschung Ihrer personenbezogenen Daten zu verlangen, sofern einer der gesetzlichen Löschgründe vorliegt.

Dies ist insbesondere der Fall, wenn die Daten für die ursprünglichen Zwecke nicht mehr erforderlich sind, Sie eine erteilte Einwilligung widerrufen, Sie wirksam Widerspruch gegen die Verarbeitung eingelegt haben, die Daten unrechtmäßig verarbeitet wurden, eine gesetzliche Löschungspflicht besteht.

Einschränkungen.

Das Recht auf Löschung besteht nicht, soweit die Verarbeitung weiterhin erforderlich ist, insbesondere zur Erfüllung gesetzlicher Aufbewahrungspflichten, zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, aus Gründen des öffentlichen Interesses, zur Erfüllung gesetzlicher Verpflichtungen.

21.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Unter den gesetzlichen Voraussetzungen können Sie die Einschränkung der Verarbeitung verlangen.

Während der Einschränkung dürfen personenbezogene Daten grundsätzlich nur gespeichert werden.

Eine weitergehende Verarbeitung erfolgt nur mit Ihrer Einwilligung, zur Geltendmachung von Rechtsansprüchen, zum Schutz anderer Personen, aufgrund wichtiger öffentlicher Interessen.

21.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, personenbezogene Daten, die Sie GymScout bereitgestellt haben, in einem strukturierten, gängigen, maschinenlesbaren Format zu erhalten.

Soweit technisch möglich, können Sie außerdem verlangen, dass diese Daten unmittelbar an einen anderen Verantwortlichen übertragen werden.

Dies gilt nur, soweit die Verarbeitung automatisiert erfolgt und, auf einer Einwilligung oder einem Vertrag beruht.

21.6 Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch gegen die Verarbeitung personenbezogener Daten einzulegen, sofern diese auf Art. 6 Abs. 1 lit. e oder lit. f DSGVO beruht.

Nach Eingang Ihres Widerspruchs werden wir die betreffende Verarbeitung einstellen, sofern wir keine zwingenden schutzwürdigen Gründe nachweisen können, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.

Direktwerbung.

Soweit personenbezogene Daten für Zwecke der Direktwerbung verarbeitet werden, können Sie der Verarbeitung jederzeit ohne Angabe von Gründen widersprechen.

Nach Eingang des Widerspruchs werden Ihre personenbezogenen Daten nicht mehr für Direktwerbung verarbeitet.

21.7 Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)

Sie können eine einmal erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

Der Widerruf kann insbesondere erfolgen hinsichtlich Push-Benachrichtigungen, Analyse-Diensten, Google Analytics, Google Tag Manager, Standortfreigaben, Newslettern, weiterer optionaler Funktionen.

21.8 Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Sie haben das Recht, sich jederzeit bei einer Datenschutzaufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren.

Dies gilt insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Ortes des mutmaßlichen Datenschutzverstoßes.

Die Ausübung dieses Rechts berührt andere verwaltungsrechtliche oder gerichtliche Rechtsbehelfe nicht.

Für Deutschland ist insbesondere die nach dem Sitz des Verantwortlichen zuständige Landesdatenschutzaufsichtsbehörde zuständig; sie kann erst nach Eintragung der vollständigen Anschrift eindeutig bezeichnet werden. Personen in Österreich können sich insbesondere an die Österreichische Datenschutzbehörde wenden. Personen in der Schweiz können sich nach Maßgabe des Schweizer DSG an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden.

21.9 Recht, nicht ausschließlich automatisierten Entscheidungen unterworfen zu

werden (Art. 22 DSGVO) Sie haben das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in vergleichbarer Weise erheblich beeinträchtigt.

GymScout trifft derzeit keine derartigen ausschließlich automatisierten Entscheidungen. KI-gestützte Systeme können Prozesse vorbereiten oder unterstützen; die in Kapitel 20 beschriebenen endgültigen Beschwerdeentscheidungen bleiben menschlich verantwortet.

21.10 Identitätsprüfung

Zum Schutz personenbezogener Daten kann GymScout vor der Bearbeitung datenschutzrechtlicher Anfragen geeignete Maßnahmen zur Identitätsprüfung durchführen.

Hierdurch soll verhindert werden, dass unbefugte Dritte Auskünfte über personenbezogene Daten erhalten oder Betroffenenrechte missbräuchlich ausgeübt werden.

Zusätzliche Informationen oder Nachweise werden nur angefordert, wenn begründete Zweifel an der Identität bestehen, und auf den erforderlichen Umfang beschränkt. Kopien von Ausweisdokumenten werden nur in Ausnahmefällen verlangt; nicht erforderliche Angaben dürfen geschwärzt werden.

21.11 Fristen zur Bearbeitung

GymScout bearbeitet Anfragen betroffener Personen grundsätzlich unverzüglich.

Spätestens erfolgt die Bearbeitung innerhalb eines Monats nach Eingang der Anfrage gemäß Art. 12 Abs. 3 DSGVO.

Soweit dies aufgrund der Komplexität oder Anzahl eingehender Anfragen erforderlich ist, kann diese Frist um bis zu zwei weitere Monate verlängert werden.

Über eine entsprechende Fristverlängerung werden Sie innerhalb eines Monats nach Eingang Ihrer Anfrage informiert.

21.12 Ausübung Ihrer Rechte

Zur Ausübung Ihrer Betroffenenrechte können Sie sich jederzeit an den Verantwortlichen unter info@gymscoutfitness.de wenden.

Bitte richten Sie entsprechende Anfragen möglichst unter Angabe Ihres Namens, Ihrer bei GymScout verwendeten E-Mail-Adresse, einer Beschreibung Ihres Anliegens an die in dieser Datenschutzerklärung genannten Kontaktdaten.

22. Übersicht sämtlicher Verarbeitungstätigkeiten

Nachfolgend erhalten Sie eine zusammenfassende Übersicht der wesentlichen Verarbeitungsvorgänge innerhalb der Plattform GymScout.

Diese Übersicht dient ausschließlich der besseren Transparenz und ergänzt die ausführlichen Erläuterungen der einzelnen Kapitel.

23. Internationale Datenübermittlungen

GymScout bevorzugt eine Verarbeitung innerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums. Aufgrund globaler Infrastrukturen, Supportzugriffe und Unterauftragsverarbeiter kann es jedoch zu Übermittlungen oder Fernzugriffen aus Drittländern kommen. Auch die Schweiz ist aus Sicht der DSGVO ein Drittland; für sie besteht jedoch ein Angemessenheitsbeschluss der Europäischen Kommission. Für Übermittlungen aus der Schweiz werden zusätzlich die Vorgaben des Schweizer DSG beachtet.

23.1 Mögliche Drittlandempfänger

23.2 Schutzmaßnahmen

Vor einer Drittlandübermittlung prüft GymScout, ob die Voraussetzungen der Art. 44 ff. DSGVO vorliegen. Als Transfermechanismen kommen insbesondere in Betracht: Angemessenheitsbeschlüsse der Europäischen Kommission gemäß Art. 45 DSGVO, für Übermittlungen an US-Empfänger der EU-US Data Privacy Framework nur, soweit der konkrete Empfänger wirksam zertifiziert ist und die betreffende Verarbeitung von der Zertifizierung erfasst wird, Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO, zusätzliche technische und organisatorische Maßnahmen, Verschlüsselung personenbezogener Daten, Zugriffsbeschränkungen, Transferfolgenabschätzungen und regelmäßige Überprüfung der eingesetzten Dienstleister.

Besteht weder ein Angemessenheitsbeschluss noch eine geeignete Garantie, findet eine Übermittlung nur ausnahmsweise unter den engen Voraussetzungen des Art. 49 DSGVO statt. Betroffene Personen können Informationen über die einschlägigen Garantien und, soweit gesetzlich vorgesehen, eine Kopie oder Fundstelle dieser Garantien anfordern.

Für Bekanntgaben aus der Schweiz ins Ausland prüft GymScout zusätzlich, ob im Empfängerstaat ein angemessener Schutz besteht oder eine zulässige Garantie beziehungsweise gesetzliche Ausnahme nach dem Schweizer DSG vorliegt. EU-Standardvertragsklauseln werden erforderlichenfalls für die Schweiz angepasst.

23.3 Auftragsverarbeiter

GymScout setzt verschiedene Auftragsverarbeiter gemäß Art. 28 DSGVO ein. Vor ihrem Einsatz werden – soweit gesetzlich erforderlich – Verträge zur Auftragsverarbeitung abgeschlossen. Darin werden insbesondere Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten, Kategorien betroffener Personen, Weisungsbindung, Vertraulichkeit, Sicherheit, Unterstützungspflichten, Löschung und Kontrollrechte geregelt. Unterauftragsverarbeiter werden nach den vertraglich vereinbarten Verfahren eingebunden. Soweit ein Anbieter eigene Zwecke verfolgt und insoweit selbst Verantwortlicher ist, wird diese Rolle nicht als Auftragsverarbeitung dargestellt.

24. Datensicherheit

Der Schutz personenbezogener Daten hat für GymScout einen hohen Stellenwert.

Wir treffen geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um personenbezogene Daten gegen zufällige oder vorsätzliche Manipulationen, Verlust, Zerstörung sowie gegen den unbefugten Zugriff Dritter zu schützen.

Die Sicherheitsmaßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst.

Eingesetzte Sicherheitsmaßnahmen

Hierzu gehören insbesondere: TLS-Verschlüsselung sämtlicher Datenübertragungen, rollenbasierte Berechtigungssysteme, Mehrstufige Authentifizierungs- und Autorisierungskonzepte, verschlüsselte Speicherung sicherheitsrelevanter Zugangsdaten, sichere Passwort-Hashing-Verfahren, Firewalls, Zugriffskontrollen, Protokollierung sicherheitsrelevanter Ereignisse, Backup- und Wiederherstellungskonzepte, regelmäßige Sicherheitsupdates, Monitoring der Infrastruktur, Schutz vor automatisierten Angriffen, Prinzip der minimalen Rechtevergabe (Least Privilege), regelmäßige Überprüfung eingesetzter Dienstleister.

25. Änderungen dieser Datenschutzerklärung

GymScout behält sich vor, diese Datenschutzerklärung anzupassen, sofern dies aufgrund neuer gesetzlicher Anforderungen, behördlicher Vorgaben, technischer Weiterentwicklungen, neuer Funktionen, neuer Dienstleister oder Änderungen der Datenverarbeitung erforderlich wird.

Maßgeblich ist jeweils die zum Zeitpunkt Ihres Besuchs veröffentlichte Fassung.

Soweit gesetzlich erforderlich oder Ihnen gegenüber vertraglich geschuldet, werden wir Sie über wesentliche Änderungen in geeigneter Weise informieren.

26. Kontakt zum Datenschutz

Bei Fragen zum Datenschutz oder zur Verarbeitung Ihrer personenbezogenen Daten können Sie sich jederzeit an den Verantwortlichen wenden.

GymScout Fitness GbR, Juri-Gagarin-Ring 156, 99084 Erfurt, Deutschland.

Gesellschafter sind Yannick Hennelotter, Yves Pascale König und Rico Jakoby. Die GbR wird durch jeweils zwei Gesellschafter gemeinschaftlich vertreten.

E-Mail: info@gymscoutfitness.de Anfragen werden entsprechend den gesetzlichen Vorgaben bearbeitet.

Für Meldungen rechtswidriger oder regelwidriger Inhalte und Beschwerden gegen Moderationsentscheidungen verwenden Sie bitte beschwerde@gymscoutfitness.de.

Datenschutzanfragen und DSA-Beschwerden können getrennte Rechtsbehelfe mit unterschiedlichen Prüfgegenständen sein.

Anlage A – Übersicht wesentlicher Anbieter und Empfängerkategorien

Die folgende Übersicht beschreibt die wesentlichen eingesetzten Anbieter und Empfängerkategorien. Sie wird bei technischen Änderungen aktualisiert.

Anlage B – Kategorien personenbezogener Daten

Je nach Nutzung verarbeitet GymScout insbesondere folgende Kategorien: Stamm- und Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer, Anschrift, Nutzer-, Betreiber- und Fallkennung; Authentifizierungs- und Berechtigungsdaten: Passwort-Hash, Tokens, Login-Zeitpunkte, Rollen, Berechtigungen und Verifizierungsstatus; Kommunikations- und Anfragedaten: Kontaktformulare, Preis- und Probetrainingsanfragen, E-Mails, Chatbot-Eingaben und Betreiberkommunikation; Inhaltsdaten: Sterne- und Textbewertungen, Studiofotos, Logos, Antworten, hochgeladene Dateien und Metadaten; Nutzungs- und Präferenzdaten: Favoriten, Vergleiche, Such- und Filterparameter, besuchte Studios, Benachrichtigungs- und Consent-Einstellungen; Standortdaten: Suchorte, ungefähre Standorte und – nur bei entsprechender Freigabe – genaue Browser-Geokoordinaten; technische und Protokolldaten: IP-Adresse, Browser, Betriebssystem, Gerätedaten, Zeitstempel, Session-, API-, Audit-, Sicherheits-, Versand- und Fehlerprotokolle; Melde-, Moderations- und Beschwerdedaten: Fundstelle, Beanstandung, Begründung, Nachweise, Stellungnahmen, Prüfvermerke, Entscheidung, Beschwerde und Zustellnachweise; öffentlich zugängliche Studio- und gegebenenfalls Ansprechpartnerdaten aus rechtmäßig zugänglichen Quellen; besondere Kategorien personenbezogener Daten oder Angaben zu Straftaten nur, wenn sie unaufgefordert oder fallbedingt übermittelt werden und die zusätzlichen gesetzlichen Voraussetzungen erfüllt sind.

Anlage C – Übersicht der Rechtsgrundlagen

Anlage D – Übersicht wesentlicher Speichergrundsätze

Anlage E – Technische und organisatorische Maßnahmen

GymScout trifft unter Berücksichtigung von Stand der Technik, Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere der Risiken angemessene Maßnahmen nach Art. 32 DSGVO. Je nach System und Risiko gehören hierzu insbesondere: TLS-geschützte Übertragung und sichere API-Kommunikation; kryptografisches Passwort-Hashing statt Klartextspeicherung; rollenbasierte Berechtigungen, Least-Privilege-Prinzip und regelmäßige Rechteprüfung; sichere Verwaltung von Schlüsseln, Secrets und administrativen Zugängen; Trennung von Entwicklungs-, Test- und Produktivzugängen, soweit technisch vorgesehen; Row-Level-Security und serverseitige Autorisierungsprüfungen, soweit eingesetzt; Protokollierung sicherheitsrelevanter Zugriffe und Änderungen; Schutz vor automatisiertem Missbrauch, Rate-Limiting, Validierung und Schadsoftwareprüfung; Backups, Wiederherstellungs- und Notfallverfahren; Patch-, Schwachstellen- und Vorfallmanagement; Vertraulichkeitsverpflichtungen, Berechtigungskonzepte und dokumentierte Löschverfahren; Pseudonymisierung, Schwärzung und Kontextminimierung bei Moderations- und KI-Prozessen; Prüfung, vertragliche Bindung und Überwachung von Auftragsverarbeitern.

Eine absolute Sicherheit kann auch bei angemessenen Maßnahmen nicht gewährleistet werden. Die konkrete Umsetzung wird regelmäßig überprüft und risikoadäquat fortentwickelt.

Anlage F – Glossar

API

Eine API ist eine Programmierschnittstelle zur Kommunikation zwischen Systemen.

Audit-Log

Ein Audit-Log ist ein Protokoll, das sicherheits- oder nachweisrelevante Vorgänge nachvollziehbar macht.

CDN

Ein CDN (Content Delivery Network) ist ein verteiltes Netzwerk zur schnellen und sicheren Auslieferung von Inhalten.

DSA

Der DSA ist die Verordnung (EU) 2022/2065 über einen Binnenmarkt für digitale Dienste (Digital Services Act).

Edge Function

Eine Edge Function ist eine serverseitige Funktion, die Anfragen oder definierte Geschäftslogik verarbeitet.

Local Storage

Local Storage ist ein Speicherbereich im Browser, in dem eine Website Informationen lokal auf dem Endgerät ablegen kann.

Notice & Action

Notice & Action bezeichnet das Verfahren zur Meldung und Prüfung mutmaßlich rechtswidriger Inhalte sowie zur Entscheidung über mögliche Maßnahmen.

PWA

Eine PWA (Progressive Web App) ist eine Webanwendung mit erweiterten, appähnlichen Funktionen.

Service Worker

Ein Service Worker ist eine Browserkomponente, die unter anderem Offlinefunktionen, Caching und Push-Benachrichtigungen ermöglichen kann.

VAPID

VAPID ist ein standardisiertes Verfahren zur Authentifizierung eines Web-Push-Absenders.

Drittland

Ein Drittland ist jeder Staat außerhalb der EU und des EWR; das Vorliegen eines Angemessenheitsbeschlusses wird gesondert geprüft.

Anlage G – Weiterführende amtliche und anbieterseitige Informationen

Die folgenden Fundstellen dienen der vertiefenden Information. Die Rechtsgrundlagen der GymScout-Verarbeitung ergeben sich aus dieser Datenschutzerklärung und nicht allein aus Datenschutzhinweisen eines Anbieters.

DSGVO: https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=de

Digital Services Act: https://eur-lex.europa.eu/eli/reg/2022/2065/oj?locale=de

Digitale-Dienste-Gesetz: https://www.gesetze-im-internet.de/ddg/

Bundesdatenschutzgesetz: https://www.gesetze-im-internet.de/bdsg_2018/

TDDDG: https://www.gesetze-im-internet.de/tdddg/

Schweizer Datenschutzgesetz: https://www.fedlex.admin.ch/eli/cc/2022/491/de.

Lovable Datenschutz: https://lovable.dev/privacy

Lovable Auftragsverarbeitung: https://lovable.dev/data-processing-agreement

Supabase Datenschutz: https://supabase.com/privacy

Supabase Auftragsverarbeitung: https://supabase.com/legal/dpa

Cloudflare Datenschutz und DSGVO: https://www.cloudflare.com/trust-hub/gdpr/

HubSpot Datenschutz: https://legal.hubspot.com/privacy-policy

Google Datenschutz: https://policies.google.com/privacy

Gemini-API-Bedingungen: https://ai.google.dev/gemini-api/terms

OpenAI Datenschutz für Unternehmen: https://openai.com/enterprise-privacy/

OpenAI Auftragsverarbeitung: https://openai.com/policies/data-processing-addendum/

OpenStreetMap Foundation Datenschutz: https://osmfoundation.org/wiki/Privacy_Policy Firecrawl Datenschutz: https://www.firecrawl.dev/privacy-policy