Datenschutzerklärung

Version 3.1 Stand: 12.09.2026 Gültig ab: 01.08.2026

Inhaltsübersicht

1. Allgemeine Hinweise

2. Verantwortlicher

3. Datenschutzbeauftragter

4. Geltungsbereich

5. Begriffsbestimmungen

6. Rechtsgrundlagen

7. Hosting und technische Infrastruktur

8. Server-Logfiles

9. Cookies und Einwilligungsmanagement

10. Nutzerkonto und Authentifizierung

11. Favoriten, Vergleich und Personalisierung

12. Bewertungen und Betreiberantworten

13. Kontakt-, Preis- und Probetrainingsanfragen

14. Externe Dienstleister und Auftragsverarbeiter

15. Kommunikations-, KI- und Benachrichtigungsdienste

16. CRM und Automatisierungen

17. Karten-, Standort- und Geolokalisierungsdienste

18. PWA und Push-Benachrichtigungen

19. Analyse-, Tracking-, Performance- und Optimierungsdienste

20. Meldungen, Moderation und Beschwerden nach dem DSA

21. Rechte betroffener Personen

22. Übersicht der Verarbeitungstätigkeiten

23. Internationale Datenübermittlungen

24. Datensicherheit

25. Änderungen dieser Datenschutzerklärung

26. Kontakt zum Datenschutz

Anlagen A bis G

1. Allgemeine Hinweise

Der Schutz Ihrer personenbezogenen Daten hat für GymScout einen besonders hohen Stellenwert. Wir verarbeiten personenbezogene Daten im Einklang mit den jeweils anwendbaren datenschutzrechtlichen Vorschriften, insbesondere der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG), dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und – soweit Personen in der Schweiz betroffen sind – dem Schweizer Bundesgesetz über den Datenschutz (DSG). Für Verarbeitungen im Zusammenhang mit Meldungen, Moderationsentscheidungen und Beschwerden gelten ergänzend die einschlägigen Vorgaben des Digital Services Act (DSA), des Digitale-Dienste-Gesetzes (DDG) und sonstiger anwendbarer Vorschriften. Mit dieser Datenschutzerklärung informieren wir Sie umfassend darüber,

• welche personenbezogenen Daten wir erheben,
• zu welchen Zwecken wir diese Daten verarbeiten,
• auf welcher Rechtsgrundlage die Verarbeitung erfolgt,
• an welche Empfänger Daten übermittelt werden,
• wie lange personenbezogene Daten gespeichert werden,
• welche technischen und organisatorischen Maßnahmen wir zum

Schutz Ihrer Daten einsetzen sowie

• welche Rechte Ihnen nach der DSGVO zustehen.

Diese Datenschutzerklärung gilt für sämtliche digitalen Angebote der Plattform GymScout, insbesondere für:

• die Website,
• die mobile Webanwendung (Progressive Web App – PWA),
• sämtliche Nutzerkonten,
• Kontakt- und Anfrageformulare,
• Probetrainingsanfragen,
• Preisanfragen,
• Favoritenfunktionen,
• Vergleichsfunktionen,
• Sterne- und Textbewertungen,
• Meldungen rechtswidriger oder regelwidriger Inhalte,
• Moderationsentscheidungen und Beschwerden,
• KI-gestützte Funktionen,
• Push-Benachrichtigungen,
• Newsletter,
• Kartenfunktionen,
• Suchfunktionen,
• weitere von GymScout angebotene digitale Dienste, soweit sie in

dieser Datenschutzerklärung oder einem ergänzenden Datenschutzhinweis beschrieben werden. Diese Datenschutzerklärung gilt ausschließlich für die Datenverarbeitung innerhalb der Verantwortlichkeit von GymScout. Sofern unsere Website Links zu Websites, Buchungsplattformen oder sonstigen Angeboten Dritter enthält, gelten für diese ausschließlich deren eigene Datenschutzbestimmungen. Auf die Datenverarbeitung durch externe Anbieter haben wir keinen Einfluss. Wir überprüfen diese Datenschutzerklärung regelmäßig auf Aktualität und passen sie an, wenn sich rechtliche Anforderungen, technische Gegebenheiten oder die von GymScout eingesetzten Dienste ändern. Maßgeblich ist jeweils die zum Zeitpunkt Ihres Besuchs auf unserer Website veröffentlichte Fassung.

2. Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) sowie sonstiger datenschutzrechtlicher Vorschriften ist: GymScout GbR Gesellschafter: Yannik Hennelotter Yves König Oliver Röder Rico Jakoby [vollständige ladungsfähige Anschrift vor Veröffentlichung ergänzen] Deutschland E-Mail: info@gymscoutfitness.de Internet: https://www.gymscoutfitness.de Vertretungsberechtigt: Yannik Hennelotter, Yves König, Oliver Röder und Rico Jakoby [vor Veröffentlichung konkretisieren: Einzel- oder Gesamtvertretung]. Verantwortlicher ist gemäß Art. 4 Nr. 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Soweit einzelne Verarbeitungsvorgänge gemeinsam mit Dritten erfolgen oder gesetzliche Regelungen eine gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO begründen, informieren wir hierüber gesondert innerhalb dieser Datenschutzerklärung. Die Kontaktdaten des Verantwortlichen gelten zugleich als zentrale Anlaufstelle für datenschutzrechtliche Anliegen, sofern in dieser Datenschutzerklärung keine speziellere Kontaktmöglichkeit genannt wird. Meldungen und Beschwerden zu Plattforminhalten oder Moderationsentscheidungen können zusätzlich an beschwerde@gymscoutfitness.de gerichtet werden. Diese Funktionsadresse ersetzt nicht die Kontaktadresse für die Ausübung datenschutzrechtlicher Betroffenenrechte.

3. Datenschutzbeauftragter

GymScout prüft fortlaufend, ob nach Art. 37 DSGVO, § 38 BDSG oder sonstigen anwendbaren Vorschriften eine Verpflichtung zur Benennung eines Datenschutzbeauftragten besteht. Nach der gegenwärtigen Organisations- und Verarbeitungssituation mit vier tätigen Personen besteht nach aktueller Prüfung keine gesetzliche Benennungspflicht. Diese Einschätzung wird unabhängig von der Personenzahl erneut geprüft, wenn insbesondere eine umfangreiche regelmäßige und systematische Überwachung oder eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten zur Kerntätigkeit werden sollte. Sollte künftig ein Datenschutzbeauftragter bestellt werden, werden dessen Kontaktdaten unverzüglich an dieser Stelle veröffentlicht. Unabhängig hiervon können sich betroffene Personen jederzeit mit sämtlichen datenschutzrechtlichen Fragen an den Verantwortlichen wenden.

4. Geltungsbereich dieser Datenschutzerklärung

Diese Datenschutzerklärung gilt für sämtliche von GymScout betriebenen digitalen Angebote sowie sämtliche damit verbundenen Verarbeitungsvorgänge personenbezogener Daten. Hierzu gehören insbesondere:

• die öffentlich erreichbare Website;
• die Progressive Web App (PWA);
• sämtliche Nutzerkonten;
• sämtliche Such- und Filterfunktionen;
• Karten- und Standortfunktionen;
• Favoritenlisten;
• Vergleichsfunktionen;
• Kontaktformulare;
• Probetrainingsanfragen;
• Preisanfragen;
• Studio-Einreichungen;
• Newsletter;
• transaktionale E-Mails;
• Push-Benachrichtigungen;
• KI-gestützte Funktionen;
• Bewertungsfunktionen;
• sämtliche Verwaltungs- und Administrationsbereiche;
• weitere bereitgestellte digitale Funktionen, sobald und soweit

GymScout vor Beginn einer neuen Verarbeitung die erforderlichen Informationen ergänzt hat. Diese Datenschutzerklärung gilt ausschließlich für Verarbeitungsvorgänge, die innerhalb des Verantwortungsbereichs von GymScout erfolgen. Sie gilt ausdrücklich nicht für Datenverarbeitungen, die durch Dritte eigenverantwortlich vorgenommen werden. Hierzu gehören insbesondere verlinkte Webseiten, Buchungssysteme von Fitnessstudios, soziale Netzwerke oder sonstige externe Dienste. Für diese Angebote gelten ausschließlich die jeweiligen Datenschutzbestimmungen der betreffenden Anbieter. Soweit innerhalb unserer Plattform Inhalte oder Dienste Dritter eingebunden werden, informieren wir über die damit verbundenen Datenverarbeitungen jeweils gesondert innerhalb der entsprechenden Kapitel dieser Datenschutzerklärung.

5. Begriffsbestimmungen

Zur besseren Verständlichkeit verwenden wir in dieser Datenschutzerklärung die Begriffsbestimmungen des Art. 4 DSGVO. Personenbezogene Daten Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Hierzu gehören beispielsweise Name, Anschrift, E-Mail-Adresse, Telefonnummer, IP-Adresse, Standortdaten, Benutzerkennungen oder Online- Kennungen. Verarbeitung Jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang im Zusammenhang mit personenbezogenen Daten. Hierzu zählen insbesondere das Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Offenlegen durch Übermittlung, Verbreiten, Abgleichen, Einschränken, Löschen oder Vernichten personenbezogener Daten. Betroffene Person Jede natürliche Person, deren personenbezogene Daten von GymScout verarbeitet werden. Verantwortlicher Die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Auftragsverarbeiter Eine natürliche oder juristische Person, Behörde oder sonstige Stelle, die personenbezogene Daten ausschließlich im Auftrag des Verantwortlichen verarbeitet und hierbei dessen Weisungen unterliegt. Empfänger Jede natürliche oder juristische Person, Behörde oder sonstige Stelle, der personenbezogene Daten offengelegt werden. Drittland Jeder Staat außerhalb der Europäischen Union (EU) und des Europäischen Wirtschaftsraums (EWR). Ob für das betreffende Drittland oder bestimmte Empfänger ein Angemessenheitsbeschluss der Europäischen Kommission besteht, ist eine gesonderte Frage der Zulässigkeit der Übermittlung nach Art. 44 ff. DSGVO. Einwilligung Jede freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung ihrer personenbezogenen Daten einverstanden ist.

6. Rechtsgrundlagen der Datenverarbeitung

Die Verarbeitung personenbezogener Daten erfolgt nur, soweit hierfür eine gesetzliche Grundlage besteht. GymScout verarbeitet personenbezogene Daten insbesondere auf Grundlage der DSGVO, des BDSG, des TDDDG, des DSA, des DDG sowie – soweit anwendbar – des Schweizer DSG und weiterer einschlägiger Vorschriften. Je nach Art der jeweiligen Verarbeitung kommen unterschiedliche Rechtsgrundlagen zur Anwendung. Übersicht der Rechtsgrundlagen Rechtsgrundlage Gesetz Anwendungsbeispiele bei GymScout Einwilligung Art. 6 Abs. 1 lit. a DSGVONewsletter, Push-Benachrichtigungen, Google Analytics 4, Google Tag Manager, Geolokalisierung, KI-Funktionen soweit erforderlich Vertragserfüllung Art. 6 Abs. 1 lit. b DSGVO Registrierung, Nutzerkonto, Login, Favoriten, Probetrainingsanfragen, Preisanfragen Rechtliche Verpflichtung Art. 6 Abs. 1 lit. c DSGVOGesetzliche Aufbewahrungs-, Nachweis- und Auskunftspflichten; Bearbeitung von Meldungen, behördlichen Anordnungen und gegebenenfalls Meldungen eines Straftatverdachts nach dem DSA Berechtigte Interessen Art. 6 Abs. 1 lit. f DSGVO Hosting, IT-Sicherheit, Missbrauchsschutz, Serverprotokolle, Audit-Logs, Fehleranalyse, Plattformbetrieb, Betrugsprävention, Moderation und Rechtsverteidigung Lebenswichtige Interessen Art. 6 Abs. 1 lit. d DSGVO Verarbeitung in seltenen Not- oder Gefahrenlagen, soweit dies zum Schutz lebenswichtiger Interessen erforderlich ist Verarbeitung aufgrund einer Einwilligung Soweit die Verarbeitung personenbezogener Daten auf Ihrer Einwilligung beruht, erfolgt diese ausschließlich nach vorheriger freiwilliger, informierter und ausdrücklicher Zustimmung. Eine Einwilligung kann insbesondere erforderlich sein für

• den Einsatz von Analyse- und Marketingdiensten,
• den Erhalt von Newslettern,
• Push-Benachrichtigungen,
• die Nutzung bestimmter KI-Funktionen,
• die Nutzung freiwilliger Standortfunktionen,
• zukünftige optionale Funktionen.

Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

Verarbeitung zur Vertragserfüllung Soweit Sie sich bei GymScout registrieren oder Funktionen unserer Plattform nutzen, verarbeiten wir personenbezogene Daten, soweit dies zur Durchführung vorvertraglicher Maßnahmen oder zur Erfüllung eines Vertrags erforderlich ist. Hierunter fallen insbesondere

• Erstellung eines Nutzerkontos,
• Anmeldung,
• Verwaltung des Nutzerprofils,
• Verwaltung von Favoriten,
• Vermittlung von Probetrainings,
• Bearbeitung von Preisanfragen,
• Kontaktaufnahme mit Studios,
• Kommunikation mit Nutzern.

Ohne diese Datenverarbeitung können wesentliche Funktionen der Plattform nicht bereitgestellt werden.

Verarbeitung aufgrund berechtigter Interessen GymScout verarbeitet personenbezogene Daten außerdem, soweit dies zur Wahrung berechtigter Interessen erforderlich ist und keine überwiegenden Interessen oder Grundrechte der betroffenen Personen entgegenstehen. Unsere berechtigten Interessen umfassen insbesondere

• den sicheren Betrieb der Plattform,
• Gewährleistung der IT-Sicherheit,
• Erkennung technischer Fehler,
• Missbrauchs- und Betrugsprävention,
• Schutz vor Cyberangriffen,
• Durchsetzung rechtlicher Ansprüche,
• Dokumentation datenschutzrechtlicher Vorgänge,
• Verbesserung der Stabilität,
• Weiterentwicklung der Plattform,
• Qualitätssicherung,
• Sicherstellung eines störungsfreien Betriebs.

Vor jeder Verarbeitung auf Grundlage berechtigter Interessen erfolgt eine Interessenabwägung gemäß Art. 6 Abs. 1 lit. f DSGVO.

Verarbeitung aufgrund gesetzlicher Verpflichtungen Soweit gesetzliche Vorschriften eine Verarbeitung personenbezogener Daten verlangen, erfolgt diese auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO. Dies betrifft insbesondere

• steuerrechtliche Aufbewahrungspflichten,
• handelsrechtliche Dokumentationspflichten,
• Nachweispflichten gegenüber Behörden,
• gesetzliche Auskunftspflichten,
• datenschutzrechtliche Nachweispflichten.
• Pflichten zur Bearbeitung von Meldungen, Begründung von

Moderationsentscheidungen, Bearbeitung von Beschwerden und Befolgung wirksamer behördlicher oder gerichtlicher Anordnungen.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) GymScout fordert grundsätzlich keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO an. Solche Daten können GymScout dennoch erreichen, etwa wenn Nutzer in einer Anfrage Gesundheitsangaben machen oder Meldungen, Bewertungen und Nachweise Angaben über Gesundheit, Religion, politische Auffassungen, Gewerkschaftszugehörigkeit, sexuelle Orientierung oder andere besonders geschützte Merkmale enthalten. Eine bloß freiwillige Mitteilung schafft keine Rechtsgrundlage nach Art. 9 DSGVO. Die Verarbeitung erfolgt nur, wenn neben einer Rechtsgrundlage nach Art. 6 DSGVO eine Ausnahme nach Art. 9 Abs. 2 DSGVO eingreift, insbesondere eine ausdrückliche Einwilligung, die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, die Verarbeitung offensichtlich öffentlich gemachter Daten oder eine gesetzlich geregelte Verarbeitung aus Gründen eines erheblichen öffentlichen Interesses. Fehlt eine solche Grundlage, werden die Angaben nicht weiterverarbeitet und – soweit technisch und rechtlich möglich – gelöscht oder geschwärzt. Nutzer sind nicht verpflichtet, derartige Informationen bereitzustellen, und sollen sie nur übermitteln, wenn dies für das konkrete Anliegen zwingend erforderlich ist.

Angaben zu Straftaten und Verurteilungen (Art. 10 DSGVO) Meldungen und Beschwerden können Vorwürfe enthalten, die Straftaten oder strafrechtliche Verurteilungen betreffen. Solche Angaben verarbeitet GymScout nur unter behördlicher Aufsicht oder wenn und soweit das Unionsrecht oder das Recht eines Mitgliedstaats die Verarbeitung erlaubt und angemessene Garantien für die Rechte und Freiheiten der betroffenen Personen vorsieht. Dies kann insbesondere bei wirksamen Behörden- oder Gerichtsanordnungen, gesetzlichen Meldepflichten oder der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen der Fall sein. Ungeprüfte strafrechtliche Vorwürfe werden nicht allein aufgrund ihrer Übermittlung als Tatsachen behandelt.

Automatisierte Entscheidungen (Art. 22 DSGVO) GymScout nutzt teilweise automatisierte Prozesse, beispielsweise

• Suchalgorithmen,
• Empfehlungsfunktionen,
• KI-gestützte Chatfunktionen,
• automatische Benachrichtigungen.

Diese Verfahren dienen der Bereitstellung, Sicherheit, Personalisierung und – soweit in Kapitel 20 beschrieben – der Unterstützung von Moderationsprozessen. Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO, die gegenüber Nutzern rechtliche Wirkung entfaltet oder sie in vergleichbarer Weise erheblich beeinträchtigt, findet derzeit nicht statt. Insbesondere werden endgültige Entscheidungen über interne Beschwerden gegen Moderationsentscheidungen nicht allein durch ein automatisiertes System getroffen; die Verantwortung verbleibt bei einer natürlichen Person.

Minderjährige GymScout legt für die bloße Nutzung öffentlich zugänglicher Inhalte sowie für das Einreichen einer Meldung kein allgemeines eigenes Mindestalter fest. Soweit für eine konkrete Funktion eine Einwilligung erforderlich ist, muss die betroffene Person nach dem jeweils anwendbaren Recht selbst wirksam einwilligen können; andernfalls ist die Einwilligung oder Genehmigung der gesetzlichen Vertretung erforderlich. Für Vertragsschlüsse und sonstige rechtlich erhebliche Erklärungen gelten zusätzlich die gesetzlichen Regeln über die Geschäftsfähigkeit. Daten von Kindern werden mit besonderer Zurückhaltung und nur im erforderlichen Umfang verarbeitet.

Transparenzgrundsatz GymScout informiert betroffene Personen transparent über sämtliche Verarbeitungsvorgänge. Sollten künftig weitere Verarbeitungsvorgänge hinzukommen oder sich Rechtsgrundlagen ändern, wird diese Datenschutzerklärung entsprechend aktualisiert.

7. Hosting, technische Infrastruktur und Bereitstellung der Plattform

Zur Bereitstellung von GymScout setzen wir verschiedene technische Dienstleister und Cloud-Infrastrukturen ein. Diese ermöglichen den Betrieb der Plattform, die Bereitstellung von Nutzerkonten, die Speicherung von Daten, die Ausführung serverseitiger Funktionen sowie die sichere Auslieferung sämtlicher Inhalte. Dabei werden personenbezogene Daten ausschließlich in dem Umfang verarbeitet, wie dies zur Bereitstellung der Plattform, zur Gewährleistung der IT-Sicherheit oder zur Erfüllung unserer vertraglichen und gesetzlichen Verpflichtungen erforderlich ist.

Übersicht der eingesetzten Infrastruktur DienstAnbieter Zweck Lovable / Lovable Cloud Lovable Labs Incorporated beziehungsweise Lovable Labs AB (vertragsabhängig) Hosting der Webanwendung, Deployment und – soweit aktiviert – Cloud-Infrastruktur Supabase Supabase, Inc. Datenbank, Authentifizierung, Storage, Edge Functions AWS Frankfurt Amazon Web Services Serverstandort der Supabase-Instanz (eu-central-1) Cloudflare CDN Cloudflare Inc. Auslieferung statischer Inhalte Cloudflare R2 Cloudflare Inc. Speicherung öffentlicher Medien (z. B. Open-Graph-Bilder)

7.1 Hosting durch Lovable

GymScout wird über die Entwicklungs- und Hostingplattform Lovable bereitgestellt. Lovable stellt insbesondere folgende technische Komponenten zur Verfügung:

• Hosting der Webanwendung
• Bereitstellung der Produktionsumgebung
• Deployment neuer Versionen
• Content Delivery Network (CDN)
• technische Infrastruktur
• Sicherheitsmechanismen
• Fehlerprotokollierung
• Lastverteilung
• Verfügbarkeit der Plattform

Im Rahmen der Bereitstellung können insbesondere folgende Daten verarbeitet werden:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• Browsertyp
• Betriebssystem
• Geräteinformationen
• aufgerufene URLs
• HTTP-Header
• Referrer
• Fehlermeldungen
• technische Protokolldaten

Zweck der Verarbeitung Die Verarbeitung erfolgt zur

• Bereitstellung der Plattform,
• Gewährleistung der Systemsicherheit,
• Fehleranalyse,
• Lastverteilung,
• Missbrauchserkennung,
• Sicherstellung der Verfügbarkeit.

Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse am sicheren und stabilen Betrieb unserer Plattform)

7.2 Nutzung von Supabase

Für den Betrieb der Plattform nutzt GymScout den Backend-Dienst Supabase. Supabase stellt einen wesentlichen Bestandteil unserer technischen Infrastruktur dar. Dabei werden insbesondere folgende Dienste genutzt:

• PostgreSQL-Datenbank
• Authentifizierung
• Dateispeicher
• Edge Functions
• API
• Cronjobs
• Datenbankfunktionen
• Realtime-Komponenten

Für die produktive Supabase-Instanz ist zum Redaktionsstand die AWS-Region Frankfurt (eu-central-1) vorgesehen. Die tatsächlich konfigurierte Projektregion ist vor Veröffentlichung zu bestätigen. Eine EU-Speicherregion schließt Fernzugriffe, Supportleistungen, Telemetrie oder Verarbeitungen durch Anbieter und Unterauftragsverarbeiter in Drittländern nicht automatisch aus; hierfür gilt Kapitel 23.

Verarbeitete Daten Je nach Nutzung können insbesondere folgende personenbezogene Daten verarbeitet werden:

• E-Mail-Adresse
• Passwort-Hash
• Benutzer-ID
• Session-Token
• Vorname
• Profildaten
• Favoriten
• Bewertungen
• Probetrainingsanfragen
• Preisanfragen
• Betreiberdaten
• Push-Abonnements
• Audit-Logs
• Zeitstempel
• Geräteinformationen
• technische Nutzungsdaten

Zweck Supabase dient insbesondere

• der Benutzerverwaltung,
• Authentifizierung,
• Speicherung sämtlicher Nutzerdaten,
• Speicherung von Studiodaten,
• Speicherung von Betreiberdaten,
• Verwaltung von Favoriten,
• Speicherung von Bewertungen,
• Verarbeitung von Formularen,
• Ausführung serverseitiger Prozesse,
• Durchführung automatisierter Abläufe.

Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO Art. 6 Abs. 1 lit. f DSGVO

7.3 Authentifizierung

Die Anmeldung registrierter Nutzer erfolgt über die Authentifizierungskomponenten von Supabase. Hierbei werden insbesondere verarbeitet:

• E-Mail-Adresse
• verschlüsselter Passwort-Hash
• Refresh-Tokens
• Access-Tokens
• Session-IDs
• Login-Zeitpunkt
• Authentifizierungsstatus

Passwörter werden nicht im Klartext gespeichert, sondern mit einem geeigneten kryptografischen Hashverfahren verarbeitet. GymScout kann das ursprüngliche Passwort daraus nicht auslesen.

7.4 Datenbank

Sämtliche nutzerbezogenen Inhalte werden in einer PostgreSQL-Datenbank gespeichert. Hierzu gehören insbesondere:

• Nutzerkonten
• Favoriten
• Bewertungen
• Studios
• Probetrainings
• Leads
• Kontaktanfragen
• Push-Abonnements
• Benachrichtigungen
• Audit-Logs
• Rollen
• Berechtigungen

7.5 Dateispeicher (Storage)

Zur Speicherung von Dateien nutzt GymScout den Storage-Dienst von Supabase. Hierzu gehören insbesondere:

• Studiofotos
• hochgeladene Bilder
• öffentliche Medien
• zukünftige Dokumente

Soweit auf Bildern Personen erkennbar sind, erfolgt deren Verarbeitung ausschließlich unter Beachtung der datenschutzrechtlichen Vorschriften sowie gegebenenfalls des Kunsturhebergesetzes (KUG).

7.6 Edge Functions

Zur Verarbeitung serverseitiger Prozesse nutzt GymScout sogenannte Edge Functions. Diese übernehmen unter anderem

• Verarbeitung von Formularen,
• Versand von Benachrichtigungen,
• HubSpot-Synchronisierung,
• Preisänderungsbenachrichtigungen,
• automatisierte Benachrichtigungen,
• API-Aufrufe,
• interne Automatisierungen.

Dabei werden ausschließlich diejenigen personenbezogenen Daten verarbeitet, die für den jeweiligen Zweck erforderlich sind.

7.7 Cronjobs

Zur Durchführung wiederkehrender automatisierter Prozesse werden innerhalb der Plattform zeitgesteuerte Aufgaben (Cronjobs) eingesetzt. Diese dienen insbesondere

• Preisänderungsbenachrichtigungen,
• Benachrichtigungen über neue Studios,
• Coming-Soon-Prüfungen,
• Synchronisierung mit externen Diensten,
• automatisierten Wartungsprozessen.

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO erfolgt hierbei nicht.

7.8 Cloudflare CDN

Zur schnelleren Auslieferung statischer Inhalte verwendet GymScout ein Content Delivery Network (CDN) der Cloudflare Inc. Hierdurch können insbesondere verarbeitet werden:

• IP-Adresse
• Browserinformationen
• Geräteinformationen
• Datum und Uhrzeit
• technische Verbindungsdaten

Die Nutzung erfolgt auf Grundlage unseres berechtigten Interesses an einer schnellen, sicheren und stabilen Bereitstellung unserer Plattform gemäß Art. 6 Abs. 1 lit. f DSGVO.

7.9 Cloudflare R2

Zur Speicherung öffentlich abrufbarer Mediendateien (beispielsweise Open-Graph- Bilder) nutzt GymScout Cloudflare R2. Beim Abruf entsprechender Inhalte können technische Verbindungsdaten verarbeitet werden. Je nach technischer Auslieferung kann hierbei eine Übermittlung personenbezogener Daten in Drittländer nicht vollständig ausgeschlossen werden. Soweit erforderlich, erfolgt diese auf Grundlage der Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46 DSGVO.

7.10 Sicherheitsmaßnahmen

Zum Schutz sämtlicher Systeme setzt GymScout insbesondere folgende technische Sicherheitsmaßnahmen ein:

• verschlüsselte Datenübertragung mittels TLS
• rollenbasierte Zugriffskontrolle
• Zugriffsbeschränkungen
• Authentifizierung
• regelmäßige Sicherheitsupdates
• Protokollierung sicherheitsrelevanter Ereignisse
• Schutz vor unbefugten Zugriffen
• Datensicherungen
• Wiederherstellungsverfahren
• Monitoring der Infrastruktur

Die Sicherheitsmaßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst.

8. Server-Logfiles und technische Zugriffsdaten

Bereits beim rein informatorischen Aufruf unserer Website werden automatisch bestimmte technische Informationen zwischen Ihrem Endgerät und unseren Servern bzw. den von uns eingesetzten technischen Dienstleistern ausgetauscht. Diese Verarbeitung ist erforderlich, um unsere Website technisch bereitzustellen, die Systemsicherheit zu gewährleisten und Angriffe auf unsere Infrastruktur erkennen sowie abwehren zu können. Eine Nutzung unserer Website ist ohne diese Verarbeitung technisch nicht möglich.

8.1 Welche Daten werden verarbeitet?

Beim Aufruf unserer Website können insbesondere folgende Informationen automatisiert verarbeitet werden: Datenkategorie Beschreibung IP-Adresse Öffentliche IP-Adresse des anfragenden Endgeräts Datum und UhrzeitZeitpunkt des Seitenaufrufs HTTP-Anfrage Angeforderte URL, HTTP-Methode, Statuscode Browserinformationen Browsertyp, Browserversion Betriebssystem Betriebssystem und Version Geräteinformationen Gerätetyp, Bildschirmauflösung (soweit technisch übermittelt) Referrer-URL Zuvor besuchte Seite (sofern vom Browser übermittelt) Spracheinstellungen Browser-Sprache User-Agent Informationen über Browser und Betriebssystem Netzwerkinformationen Verbindungsparameter und technische Header Je nach eingesetzter Infrastruktur können zusätzlich sicherheitsrelevante Protokolldaten verarbeitet werden.

8.2 Zwecke der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zu folgenden Zwecken:

• Bereitstellung der Website,
• Aufbau der Netzwerkverbindung,
• Gewährleistung der Systemsicherheit,
• Erkennung technischer Fehler,
• Stabilisierung der Plattform,
• Abwehr missbräuchlicher Zugriffe,
• Erkennung von Angriffen (z. B. DDoS-, Bot- oder Brute-Force-

Angriffe),

• Sicherstellung der Integrität unserer Systeme,
• Fehlerdiagnose,
• Wiederherstellung der Systemverfügbarkeit.

Eine Verwendung dieser Daten zur Erstellung personenbezogener Nutzerprofile findet nicht statt.

8.3 Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in

• dem sicheren Betrieb der Plattform,
• der Gewährleistung der Verfügbarkeit,
• dem Schutz vor Cyberangriffen,
• der Aufrechterhaltung der Funktionsfähigkeit unserer IT-Systeme,
• der Erkennung technischer Fehler sowie
• der Wahrung der Integrität unserer Infrastruktur.

8.4 Empfänger der Daten

Im Rahmen der technischen Bereitstellung können personenbezogene Daten insbesondere durch folgende Kategorien von Empfängern verarbeitet werden: Empfänger Zweck Hosting-Dienstleister Bereitstellung der Plattform CDN-Anbieter Auslieferung statischer Inhalte DatenbankanbieterVerarbeitung technischer Anfragen Infrastrukturdienstleister Netzwerkbetrieb IT-Dienstleister Fehleranalyse und Wartung Soweit externe Dienstleister personenbezogene Daten ausschließlich in unserem Auftrag verarbeiten, erfolgt dies auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO.

8.5 Speicherdauer

Serverprotokolle werden grundsätzlich nur so lange gespeichert, wie dies

• zur Gewährleistung der IT-Sicherheit,
• zur Fehleranalyse,
• zur Missbrauchserkennung,
• zur Erfüllung gesetzlicher Pflichten oder
• zur Geltendmachung, Ausübung oder Verteidigung von

Rechtsansprüchen erforderlich ist. Nach Wegfall des jeweiligen Zwecks werden die Daten gelöscht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

8.6 Sicherheitsmaßnahmen

Zum Schutz der Serverinfrastruktur setzt GymScout angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein. Hierzu gehören insbesondere:

• verschlüsselte Datenübertragung mittels TLS,
• rollenbasierte Zugriffskonzepte,
• Zugriffsbeschränkungen,
• regelmäßige Sicherheitsupdates,
• Authentifizierungsverfahren,
• Protokollierung sicherheitsrelevanter Ereignisse,
• Backup- und Wiederherstellungskonzepte,
• kontinuierliches Sicherheitsmonitoring,
• Schutz vor unbefugten Zugriffen.

Die Sicherheitsmaßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst.

8.7 Keine Zusammenführung mit anderen Daten

Die im Rahmen der Serverprotokollierung erhobenen Daten werden grundsätzlich nicht mit anderen personenbezogenen Daten zusammengeführt, sofern dies nicht zur Aufklärung von Missbrauchsfällen, zur Gewährleistung der IT-Sicherheit oder aufgrund gesetzlicher Verpflichtungen erforderlich ist.

9. Cookies, vergleichbare Technologien und Einwilligungsmanagement

GymScout verwendet Cookies sowie weitere technische Speicher- und Verarbeitungstechnologien, um die Funktionsfähigkeit der Plattform sicherzustellen, Nutzerpräferenzen zu speichern, Einwilligungen zu verwalten und – soweit eine entsprechende Einwilligung vorliegt – Analyse- und Komfortfunktionen bereitzustellen. Neben klassischen HTTP-Cookies verwendet GymScout insbesondere moderne browserseitige Speichertechnologien wie Local Storage, Session Storage, IndexedDB sowie Service Worker. Diese Technologien dienen teilweise denselben Zwecken wie Cookies und unterliegen – soweit gesetzlich erforderlich – ebenfalls den Vorgaben des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) sowie der Datenschutz-Grundverordnung (DSGVO).

9.1 Was sind Cookies?

Cookies sind kleine Textdateien, die auf Ihrem Endgerät gespeichert werden und bestimmte Informationen enthalten. Je nach Zweck unterscheidet man insbesondere zwischen

• technisch notwendigen Cookies,
• funktionalen Cookies,
• Analyse-Cookies,
• Marketing-Cookies,
• Präferenz-Cookies.

Cookies können sowohl nur für die Dauer einer Sitzung ("Session-Cookies") als auch dauerhaft ("Persistente Cookies") gespeichert werden.

9.2 Welche Technologien verwendet GymScout?

GymScout verwendet derzeit folgende Speichertechnologien: Technologie Zweck HTTP-Cookies Sitzungsverwaltung, Consent, Sicherheit Local Storage Speicherung technischer Einstellungen und Nutzerpräferenzen Session Storage Kurzfristige Speicherung innerhalb einer Browsersitzung IndexedDB Lokale Speicherung größerer Datenmengen durch Webanwendungen Service Worker Cache Offlinefähigkeit, Caching und Performance der Progressive Web App (PWA) Nicht sämtliche dieser Technologien enthalten personenbezogene Daten. Soweit personenbezogene Daten verarbeitet werden oder ein Zugriff auf Informationen im Endgerät erfolgt, erfolgt dies ausschließlich auf Grundlage der gesetzlichen Vorgaben.

9.3 Technisch notwendige Cookies

Technisch notwendige Cookies dienen ausschließlich der sicheren und fehlerfreien Bereitstellung unserer Plattform. Hierzu gehören insbesondere:

• Sitzungsverwaltung,
• Authentifizierung,
• Schutz vor Manipulationen,
• Sicherheit der Plattform,
• Lastverteilung,
• Fehlerbehandlung,
• Speicherung Ihrer Cookie-Einstellungen.

Diese Cookies können nicht deaktiviert werden, da ohne sie wesentliche Funktionen der Plattform nicht bereitgestellt werden können. Rechtsgrundlage

• § 25 Abs. 2 Nr. 2 TDDDG
• Art. 6 Abs. 1 lit. f DSGVO

9.4 Einwilligungsbedürftige Technologien

Soweit Analyse-, Komfort- oder Marketingtechnologien eingesetzt werden, erfolgt deren Nutzung ausschließlich nach Ihrer ausdrücklichen Einwilligung. Dies betrifft insbesondere zukünftige oder aktuell eingesetzte Dienste wie:

• Google Analytics 4
• Google Tag Manager
• weitere Analyse- oder Marketingdienste

Vor Erteilung Ihrer Einwilligung werden diese Dienste grundsätzlich nicht aktiviert.

9.5 Consent-Management

GymScout verwendet ein Consent-Management-System zur Verwaltung Ihrer Datenschutzeinstellungen. Beim erstmaligen Aufruf der Website werden Sie über ein Einwilligungsbanner informiert. Dabei können Sie insbesondere entscheiden, ob

• ausschließlich technisch notwendige Technologien verwendet werden,
• zusätzlich Analysefunktionen aktiviert werden,
• zukünftige optionale Dienste genutzt werden dürfen.

Ihre Auswahl wird gespeichert und bei zukünftigen Seitenaufrufen berücksichtigt. Eine bereits erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft geändert oder widerrufen werden.

9.6 Google Consent Mode v2

Soweit Google-Dienste eingesetzt werden, verwendet GymScout den Google Consent Mode v2. Dabei werden die von Google vorgesehenen Einwilligungssignale entsprechend Ihrer Auswahl im Consent-Banner gesetzt. GymScout sieht zum Redaktionsstand den „Basic Consent Mode“ vor: Einwilligungsbedürftige Google-Tags und Verbindungen werden vor Ihrer Auswahl blockiert und erst nach einer entsprechenden Einwilligung geladen. Die Einwilligungssignale stehen standardmäßig auf „denied“. Hierbei können insbesondere folgende Einwilligungsparameter berücksichtigt werden:

• analytics_storage
• ad_storage
• ad_user_data
• ad_personalization

Die jeweilige Verarbeitung richtet sich nach Ihrer individuellen Einwilligungsentscheidung. Der Consent Mode ist kein Ersatz für eine Einwilligung. Sollte künftig der „Advanced Consent Mode“ eingesetzt werden, bei dem bereits vor Einwilligung sogenannte cookieless pings oder vergleichbare Signale an Google gesendet werden können, wird diese Verarbeitung vor Aktivierung gesondert bewertet, im Consent-Banner abgebildet und diese Datenschutzerklärung aktualisiert.

9.7 Local Storage

GymScout verwendet den browserseitigen Local Storage zur Speicherung technischer Informationen. Hierzu gehören insbesondere: Gespeicherte InformationZweck Authentifizierungsstatus Anmeldung des Nutzers Consent-Auswahl Speicherung Ihrer Datenschutzeinstellungen Favoriten-Cache Schnellere Darstellung gespeicherter Studios Vergleichsliste Zwischenspeicherung ausgewählter Studios Kürzlich besuchte Studios Verbesserung des Nutzerkomforts Scrollposition Wiederherstellung der zuletzt betrachteten Position Technische EinstellungenOptimierung der Benutzeroberfläche Die Speicherung erfolgt ausschließlich für die jeweilige Funktion und wird gelöscht oder überschrieben, sobald sie nicht mehr erforderlich ist oder Sie entsprechende Daten in Ihrem Browser entfernen.

9.8 Session Storage

Für einzelne Funktionen verwendet GymScout zusätzlich den Session Storage Ihres Browsers. Dieser dient insbesondere der kurzfristigen Speicherung von

• Suchparametern,
• Formularzuständen,
• temporären technischen Informationen.

Die Daten werden regelmäßig automatisch gelöscht, sobald die Browsersitzung beendet wird.

9.9 IndexedDB

Für bestimmte Funktionen moderner Webanwendungen kann GymScout die browserseitige Datenbank IndexedDB verwenden. Dies betrifft insbesondere

• Zwischenspeicherung technischer Daten,
• Performanceoptimierung,
• Offlinefunktionen,
• Caching bestimmter Inhalte.

Die konkrete Nutzung richtet sich nach den jeweils eingesetzten Funktionen der Plattform.

9.10 Service Worker

GymScout verwendet Service Worker zur Bereitstellung der Progressive Web App (PWA). Hierdurch können insbesondere folgende Funktionen ermöglicht werden:

• schnellere Ladezeiten,
• Zwischenspeicherung statischer Inhalte,
• Offlinefähigkeit,
• Aktualisierung zwischengespeicherter Inhalte,
• Push-Benachrichtigungen.

Die gespeicherten Inhalte dienen ausschließlich der technischen Bereitstellung der Plattform.

9.11 Speicherdauer

Die Speicherdauer richtet sich nach der jeweiligen Technologie. Technologie Speicherdauer Session Cookies Bis zum Ende der Browsersitzung Persistente Cookies Bis zum Ablauf der jeweiligen Gültigkeitsdauer oder manuellen Löschung Local Storage Bis zur Löschung durch den Nutzer oder Wegfall des Speicherzwecks Session Storage Ende der Browsersitzung IndexedDB Bis zur Löschung durch Browser oder Anwendung Service Worker Cache Bis zur Aktualisierung oder Löschung durch den Browser bzw. die Anwendung

9.12 Verwaltung und Löschung

Sie können die Speicherung von Cookies und vergleichbaren Technologien jederzeit über

• die Einstellungen Ihres Browsers,
• unser Consent-Management,
• die Löschfunktion Ihres Browsers

verwalten oder löschen. Bitte beachten Sie, dass einzelne Funktionen der Plattform hierdurch eingeschränkt sein können.

10. Nutzerkonto, Registrierung und Authentifizierung

Bestimmte Funktionen von GymScout stehen ausschließlich registrierten Nutzerinnen und Nutzern zur Verfügung. Hierzu zählen insbesondere das Speichern von Favoriten, Vergleichslisten, Probetrainingsanfragen, Preisanfragen, Benachrichtigungen, Push-Mitteilungen, Bewertungen sowie weitere personalisierte Funktionen. Für die Nutzung dieser Funktionen ist die Einrichtung eines persönlichen Nutzerkontos erforderlich. Die Registrierung erfolgt ausschließlich freiwillig.

10.1 Registrierung

Bei der Erstellung eines Nutzerkontos werden personenbezogene Daten verarbeitet, die zur Einrichtung und Verwaltung des Kontos erforderlich sind. Hierzu gehören insbesondere: Datenkategorie Beschreibung E-Mail-Adresse eindeutige Benutzerkennung Passwort kryptografischer Hash; kein Klartextzugriff Benutzer-ID interne eindeutige Kennung Vorname freiwillige Profilangabe Registrierungszeitpunkt Dokumentation der Kontoerstellung Einwilligungen dokumentierte Datenschutzeinstellungen Weitere Profildaten werden ausschließlich verarbeitet, soweit Sie diese freiwillig angeben.

10.2 Zweck der Verarbeitung

Die Verarbeitung dient insbesondere

• der Erstellung Ihres Nutzerkontos,
• der Authentifizierung,
• der Verwaltung Ihrer persönlichen Einstellungen,
• der Bereitstellung personalisierter Funktionen,
• der Verwaltung Ihrer Favoriten,
• der Bereitstellung Ihrer Vergleichsliste,
• der Zuordnung Ihrer Bewertungen,
• der Bearbeitung Ihrer Probetrainingsanfragen,
• der Bearbeitung von Preisanfragen,
• der Bereitstellung individueller Benachrichtigungen,
• der Verwaltung Ihrer Push-Einstellungen,
• der Sicherheit Ihres Kontos.

10.3 Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags bzw. Durchführung vorvertraglicher Maßnahmen) Soweit einzelne Sicherheitsmaßnahmen der Missbrauchsverhinderung oder Systemüberwachung dienen, erfolgt die Verarbeitung zusätzlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse an einem sicheren Betrieb unserer Plattform.)

10.4 Authentifizierung

Zur Anmeldung verwendet GymScout den Authentifizierungsdienst von Supabase. Hierbei werden insbesondere verarbeitet: Daten Zweck Passwort-Hash sichere Authentifizierung Access Token Anmeldung Refresh Token Aufrechterhaltung der Sitzung Session-ID Sitzungsverwaltung Benutzer-ID eindeutige Zuordnung Login-Zeitpunkt Sicherheitsprotokollierung Passwörter werden ausschließlich als kryptographische Hashwerte gespeichert. GymScout selbst hat zu keinem Zeitpunkt Zugriff auf Ihr Klartextpasswort.

10.5 Sitzungsverwaltung

Nach erfolgreicher Anmeldung bleibt Ihre Sitzung für einen begrenzten Zeitraum bestehen. Hierfür können insbesondere verwendet werden:

• sichere Cookies,
• Local Storage,
• Session Storage,
• Authentifizierungs-Tokens.

Diese Daten dienen ausschließlich der sicheren Anmeldung und der Bereitstellung Ihres Nutzerkontos.

10.6 Sicherheitsmaßnahmen

Zum Schutz Ihres Nutzerkontos setzt GymScout verschiedene technische und organisatorische Sicherheitsmaßnahmen ein. Hierzu gehören insbesondere:

• kryptografisches Passwort-Hashing,
• verschlüsselte Datenübertragung (TLS),
• sichere Authentifizierung,
• Token-basierte Sitzungsverwaltung,
• Zugriffsbeschränkungen,
• rollenbasierte Berechtigungen,
• Protokollierung sicherheitsrelevanter Ereignisse,
• Schutz vor unbefugten Loginversuchen.

10.7 Nutzerprofil

Innerhalb Ihres Nutzerkontos können – abhängig von den von Ihnen genutzten Funktionen – insbesondere folgende Informationen gespeichert werden:

• Vorname,
• Favoriten,
• Vergleichsliste,
• Bewertungen,
• Probetrainingsanfragen,
• Preisanfragen,
• Push-Einstellungen,
• Newsletter-Einstellungen,
• Standortpräferenzen,
• Benachrichtigungseinstellungen.

Die Speicherung erfolgt ausschließlich zur Bereitstellung der jeweiligen Funktion.

10.8 Konto löschen

Sie können Ihr Nutzerkonto jederzeit innerhalb Ihres Kontos oder durch Kontaktaufnahme mit GymScout löschen. Mit der Löschung werden personenbezogene Daten grundsätzlich gelöscht oder anonymisiert, soweit

• keine gesetzlichen Aufbewahrungspflichten bestehen,
• keine berechtigten Interessen entgegenstehen,
• keine offenen Rechtsansprüche bestehen.

Hiervon ausgenommen sind Daten, deren weitere Speicherung gesetzlich vorgeschrieben ist oder die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind.

10.9 Auskunftskopie und Datenübertragbarkeit

GymScout ermöglicht betroffenen Personen die Ausübung ihrer datenschutzrechtlichen Rechte. Hierzu gehört insbesondere das Recht,

• Auskunft über die verarbeiteten personenbezogenen Daten zu

erhalten,

• eine Kopie dieser Daten anzufordern,
• unter den Voraussetzungen des Art. 20 DSGVO die von Ihnen

bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Soweit technisch verfügbar, können entsprechende Exportfunktionen innerhalb Ihres Nutzerkontos bereitgestellt werden.

10.10 Protokollierung datenschutzrelevanter Vorgänge

Zur Erfüllung gesetzlicher Nachweispflichten und zur Gewährleistung der Sicherheit können datenschutzrelevante Vorgänge protokolliert werden. Hierzu zählen insbesondere

• Registrierung,
• Anmeldung,
• Passwortänderungen,
• Kontolöschungen,
• Änderungen datenschutzrechtlicher Einstellungen,
• Datenexporte,
• sicherheitsrelevante Aktionen.

Diese Protokolle dienen ausschließlich

• der IT-Sicherheit,
• der Missbrauchsprävention,
• der Nachweisführung,
• der Erfüllung gesetzlicher Verpflichtungen.

10.11 Speicherdauer

Datenkategorie Speicherdauer Nutzerkonto bis zur Löschung des Kontos Authentifizierungsdaten entsprechend der Sitzungsdauer bzw. sicherheitsrelevanter Erforderlichkeit Passwort-Hash bis zur Löschung des Kontos Favoriten bis zur Löschung des Kontos oder Entfernung durch den Nutzer Vergleichsliste bis zur Löschung durch den Nutzer oder des Kontos Einwilligungen entsprechend gesetzlicher Nachweispflichten Audit-Logs entsprechend gesetzlicher Anforderungen sowie berechtigter Sicherheitsinteressen

11. Favoriten, Vergleichsfunktion und personalisierte Inhalte

GymScout bietet registrierten Nutzerinnen und Nutzern verschiedene Funktionen zur Personalisierung der Plattform an. Hierzu zählen insbesondere die Speicherung von Favoriten, die Vergleichsfunktion für Fitnessstudios, die Anzeige kürzlich besuchter Studios sowie weitere individuell anpassbare Funktionen. Diese Verarbeitungen dienen ausschließlich der Bereitstellung personalisierter Inhalte und der Verbesserung der Nutzerfreundlichkeit.

11.1 Favoriten

Registrierte Nutzer können Fitnessstudios dauerhaft in ihrer persönlichen Favoritenliste speichern. Hierdurch wird ermöglicht,

• interessante Studios dauerhaft zu speichern,
• Preisentwicklungen zu verfolgen,
• zukünftige Preisänderungsbenachrichtigungen zu erhalten,
• Benachrichtigungen über Neueröffnungen oder Wiedereröffnungen

favorisierter Studios zu erhalten,

• eine individuelle Übersicht gespeicherter Studios bereitzustellen.

Verarbeitete Daten Datenkategorie Beschreibung Benutzer-ID Zuordnung des Favoriten zum Nutzerkonto Studio-ID Referenz auf das gespeicherte Studio Zeitpunkt der Speicherung Dokumentation des Favoriteneintrags Historischer Preis (Snapshot) Preis des Studios zum Zeitpunkt des Speicherns Favoritenstatus Aktiv bzw. entfernt Benachrichtigungseinstellungen Aktivierung optionaler Hinweise Zweck der Verarbeitung Die Verarbeitung dient

• der Speicherung persönlicher Favoriten,
• der Bereitstellung einer individuellen Studioübersicht,
• der technischen Verwaltung gespeicherter Studios,
• der Berechnung zukünftiger Preisänderungen,
• der Bereitstellung optionaler Benachrichtigungen.

Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrages) Soweit sicherheitsrelevante Protokollierungen erfolgen: Art. 6 Abs. 1 lit. f DSGVO

11.2 Historische Preisstände

Zur späteren Anzeige von Preisänderungen kann GymScout den zum Zeitpunkt der Speicherung gültigen Preis eines Studios zusammen mit dem Favoriteneintrag speichern. Dadurch kann dem Nutzer beispielsweise angezeigt werden,

• ob sich der Preis eines Studios erhöht oder verringert hat,
• wann eine Preisänderung erfolgt ist,
• welcher Preis ursprünglich gespeichert wurde.

Diese Funktion dient ausschließlich der Information des jeweiligen Nutzers. Eine automatisierte Bonitätsbewertung oder Profilbildung findet hierbei nicht statt.

11.3 Preisänderungsbenachrichtigungen

Sofern Nutzer entsprechende Benachrichtigungen aktiviert haben, kann GymScout automatisiert darüber informieren, wenn sich Preise eines gespeicherten Studios ändern. Hierfür werden insbesondere verarbeitet: Daten Zweck Benutzer-ID Zuordnung Favoriten Ermittlung betroffener Studios E-Mail-Adresse Versand der Benachrichtigung Push-Abonnement Versand von Push-Mitteilungen Preisänderung Auslösung der Benachrichtigung Der Versand erfolgt ausschließlich, sofern die jeweilige Benachrichtigungsfunktion aktiviert wurde.

11.4 Neue Studios in Ihrer Stadt

Registrierte Nutzer können sich darüber informieren lassen, sobald neue Fitnessstudios in einer ausgewählten Stadt veröffentlicht werden. Hierzu verarbeitet GymScout insbesondere

• ausgewählte Stadt,
• Benutzer-ID,
• Benachrichtigungseinstellungen,
• E-Mail-Adresse oder Push-Abonnement.

Diese Funktion kann jederzeit deaktiviert werden.

11.5 Coming-Soon- und Wiedereröffnungsbenachrichtigungen

Für Studios, die sich noch im Aufbau befinden oder vorübergehend geschlossen sind, kann GymScout automatisierte Benachrichtigungen bereitstellen. Hierbei werden verarbeitet:

• Benutzer-ID,
• Studio-ID,
• Favoritenstatus,
• E-Mail-Adresse,
• Push-Abonnement.

Die Benachrichtigung erfolgt ausschließlich, wenn entsprechende Informationen vorliegen und die jeweilige Funktion aktiviert wurde.

11.6 Vergleichsfunktion

GymScout ermöglicht den Vergleich mehrerer Fitnessstudios. Hierbei können Nutzer bis zu mehreren Studios gleichzeitig gegenüberstellen. Abhängig vom jeweiligen Endgerät können Vergleichsdaten

• lokal im Browser,
• innerhalb des Nutzerkontos oder
• vorübergehend auf unseren Servern

gespeichert werden.

Verarbeitete Daten Daten Beschreibung Benutzer-ID Zuordnung bei registrierten Nutzern Studio-IDs Ausgewählte Studios Zeitpunkt Zeitpunkt der Speicherung Vergleichseinstellungen Individuelle Auswahl Zweck Die Verarbeitung dient ausschließlich der Bereitstellung der Vergleichsfunktion.

Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO

11.7 Kürzlich besuchte Studios

Zur Verbesserung der Benutzerfreundlichkeit kann GymScout Informationen über zuletzt betrachtete Studios lokal im Browser speichern. Diese Funktion ermöglicht

• schnelleres Wiederfinden zuletzt aufgerufener Studios,
• komfortablere Navigation,
• personalisierte Übersichten.

Die Speicherung erfolgt grundsätzlich lokal im Browser des Nutzers und kann jederzeit durch den Nutzer gelöscht werden.

11.8 Personalisierte Inhalte

GymScout kann Inhalte entsprechend der individuellen Nutzung bereitstellen. Hierzu gehören insbesondere

• bevorzugte Städte,
• gespeicherte Favoriten,
• zuletzt betrachtete Studios,
• individuelle Filtereinstellungen,
• Sortierungen.

Diese Personalisierungen dienen ausschließlich der Verbesserung der Nutzerfreundlichkeit. Eine automatisierte Entscheidung mit rechtlicher Wirkung gemäß Art. 22 DSGVO erfolgt hierdurch nicht.

11.9 Speicherdauer

Datenkategorie Speicherdauer Favoriten Bis zur Löschung durch den Nutzer oder des Nutzerkontos Preis-Snapshots Bis zur Entfernung des Favoriten oder Löschung des Kontos Vergleichsliste Bis zur Entfernung durch den Nutzer oder Löschung lokaler Daten Kürzlich besuchte Studios Bis zur Löschung der Browserdaten oder Überschreibung Benachrichtigungseinstellungen Bis zum Widerruf oder zur Kontolöschung

11.10 Widerruf und Löschung

Sämtliche Favoriten, Vergleichslisten und Benachrichtigungseinstellungen können jederzeit

• innerhalb des Nutzerkontos,
• durch Änderung der Einstellungen oder
• durch Löschung des Nutzerkontos

entfernt werden.

12. Bewertungen und Betreiberantworten

12.1 Sterne- und Textbewertungen, Betreiberantworten und Interaktionen

Registrierte Nutzer können Fitnessstudios mit Sternen und Texten bewerten. Dabei können insbesondere Nutzer- und Bewertungs-ID, der im Frontend angezeigte Name oder das Pseudonym, das bewertete Studio, Sternezahl, Bewertungstext, Veröffentlichungs- und Änderungszeitpunkt, technische Missbrauchssignale, Moderationsstatus sowie gegebenenfalls als hilfreich markierte Interaktionen verarbeitet werden. Studiobetreiber können – soweit die Funktion bereitgestellt wird – öffentlich auf Bewertungen antworten; dabei werden Betreiberkennung, Antworttext und Zeitstempel verarbeitet.

Zwecke sind die Bereitstellung einer nutzergenerierten Vergleichs- und Informationsfunktion, die Zuordnung und Bearbeitung der Bewertung, die Darstellung eines aussagekräftigen Gesamtwerts, die Kommunikation zwischen Nutzern und Studios sowie die Verhinderung manipulierter, mehrfacher, gekaufter oder sonst unzulässiger Bewertungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bereitstellung der vom Kontoinhaber genutzten Bewertungsfunktion erforderlich ist, und Art. 6 Abs. 1 lit. f DSGVO für Veröffentlichung, Qualitätssicherung, Missbrauchsschutz und Rechtsverteidigung. Gesetzlich erforderliche Moderations- und Begründungsvorgänge beruhen zusätzlich auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem DSA.

Veröffentlichte Bewertungen und Betreiberantworten sind für Besucher der Plattform abrufbar und können von Suchmaschinen erfasst werden. Welche Namens- oder Profildaten öffentlich erscheinen, richtet sich nach der im Produktivsystem vorgesehenen Anzeige; vor dem Absenden wird dies in der Eingabemaske erkennbar gemacht. Nutzer sollen in Bewertungen keine privaten Kontaktdaten, Gesundheitsdaten, Angaben zu Straftaten oder personenbezogene Daten Dritter veröffentlichen, soweit dies für eine zulässige Bewertung nicht zwingend erforderlich ist.

Zur Prüfung der Authentizität oder einer Beanstandung kann GymScout Nachweise über einen tatsächlichen Kontakt mit dem Studio anfordern. Nicht erforderliche Angaben sollen geschwärzt werden. Nachweise werden grundsätzlich nicht veröffentlicht und nur Personen zugänglich gemacht, die sie für die Prüfung benötigen. Sie werden nach Abschluss und Ablauf erforderlicher Nachweis- und Rechtsverteidigungsfristen gelöscht; besonders sensible Bestandteile werden früher entfernt, sobald sie nicht mehr benötigt werden.

Bewertungen, Antworten und zugehörige Kontozuordnungen werden grundsätzlich gespeichert, solange sie veröffentlicht sind und der Zweck fortbesteht. Bei Kontolöschung werden personenbezogene Kontobezüge und der öffentlich angezeigte Name entfernt sowie die Bewertung gelöscht oder so anonymisiert, dass sie keiner Person mehr zugeordnet werden kann, sofern keine gesetzlichen Pflichten oder überwiegenden Gründe der Rechtsverteidigung eine befristete weitere Speicherung erfordern. Beanstandete Inhalte und Moderationsdaten werden nach Kapitel 20 gespeichert. Einzelheiten zu Zulässigkeit, Authentizität, Gegenäußerung und Moderation enthalten die Bewertungsrichtlinie und die Melde- und Beschwerderichtlinie.

13. Kontaktformulare, Preisanfragen, Probetrainings und Lead-Verarbeitung

GymScout stellt verschiedene Kontakt- und Anfrageformulare bereit, über die Nutzer mit Fitnessstudios oder mit GymScout selbst in Kontakt treten können. Hierzu gehören insbesondere

• allgemeine Kontaktanfragen,
• Preisanfragen,
• Probetrainingsanfragen,
• Studioeinreichungen,
• Betreiberanfragen,
• zukünftige Anfrageformulare.

Die Verarbeitung erfolgt ausschließlich zum jeweiligen Bearbeitungszweck.

13.1 Kontaktformular

Wenn Sie unser Kontaktformular nutzen, verarbeiten wir die von Ihnen übermittelten personenbezogenen Daten. Hierzu können insbesondere gehören: Datenkategorie Beschreibung Vor- und Nachname Identifizierung E-Mail-Adresse Kommunikation Telefonnummer freiwillige Kontaktaufnahme Nachricht Bearbeitung Ihrer Anfrage Datum und UhrzeitDokumentation IP-Adresse Missbrauchsschutz Zweck Die Verarbeitung erfolgt

• zur Bearbeitung Ihrer Anfrage,
• zur Kommunikation,
• zur Dokumentation,
• zur Missbrauchsverhinderung,
• zur Verbesserung unseres Supports.

Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO

13.2 Preisanfragen

Über GymScout können Nutzer Informationen zu Mitgliedschaften oder Preisen einzelner Fitnessstudios anfragen. Hierbei können insbesondere verarbeitet werden: Daten Zweck Name Anfrage E-Mail Antwort Telefonnummer freiwillig ausgewähltes Studio Zuordnung Nachricht Bearbeitung Zeitpunkt Dokumentation Die Anfrage wird

• gespeichert,
• an das jeweilige Studio weitergeleitet,
• im CRM verarbeitet,
• zur Nachverfolgung dokumentiert.

Empfänger Die Daten können übermittelt werden an:

• das ausgewählte Fitnessstudio,
• HubSpot,
• Resend,
• Supabase.

13.3 Probetrainingsanfragen

GymScout ermöglicht Nutzern die Vereinbarung eines Probetrainings. Hierfür können insbesondere verarbeitet werden: Daten Zweck Name Identifikation E-Mail Kommunikation Telefonnummer Terminabstimmung gewünschtes Studio Zuordnung Wunschtermin Organisation freiwillige Nachricht Bearbeitung freiwillige Trainingsziele Bearbeitung der Anfrage Besondere Kategorien personenbezogener Daten Nutzer können freiwillig Angaben zu

• Trainingszielen,
• körperlichen Einschränkungen,
• gesundheitlichen Besonderheiten,
• sonstigen trainingsrelevanten Informationen

machen. Soweit hierbei besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO verarbeitet werden, erfolgt dies ausschließlich auf Grundlage einer ausdrücklichen Einwilligung der betroffenen Person gemäß Art. 9 Abs. 2 lit. a DSGVO. Die Angabe dieser Informationen ist freiwillig und für die Nutzung von GymScout grundsätzlich nicht erforderlich. Das produktive Formular muss hierfür eine gesonderte, ausdrücklich bestätigte Einwilligung vorsehen. Fehlt diese Einwilligung, dürfen Gesundheitsdaten nicht zielgerichtet erhoben, an das Studio weitergeleitet oder für die Anfragebearbeitung verwendet werden; unaufgefordert übermittelte Angaben werden nach Möglichkeit gelöscht oder geschwärzt, soweit keine andere Ausnahme nach Art. 9 Abs. 2 DSGVO eingreift.

Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO Art. 9 Abs. 2 lit. a DSGVO (soweit Gesundheitsdaten freiwillig angegeben werden)

Verantwortlichkeit des ausgewählten Studios Sobald eine Preis- oder Probetrainingsanfrage an das ausgewählte Fitnessstudio übermittelt wurde, verarbeitet das Studio die erhaltenen Daten grundsätzlich in eigener datenschutzrechtlicher Verantwortlichkeit, insbesondere zur Kontaktaufnahme, Terminabstimmung, Angebotserstellung und gegebenenfalls Anbahnung eines Mitgliedschaftsvertrags. Für diese weitere Verarbeitung gelten die Datenschutzhinweise des Studios. GymScout schließt den Studiomitgliedschaftsvertrag nicht selbst und bestimmt nicht über die anschließende eigenständige Nutzung der Daten durch das Studio. GymScout übermittelt nur die für die konkrete Anfrage vorgesehenen Daten und zeigt den vorgesehenen Empfänger vor dem Absenden an.

13.4 Studio-Einreichung

Nutzer können bislang nicht auf GymScout gelistete Fitnessstudios melden. Hierbei können verarbeitet werden:

• Name des Studios,
• Kontaktdaten,
• Ansprechpartner,
• freiwillige Hinweise,
• E-Mail-Adresse des Meldenden.

Die Verarbeitung erfolgt ausschließlich zur Prüfung der Aufnahme des Studios.

13.5 Automatisierte Lead-Verarbeitung

Zur effizienten Bearbeitung eingehender Anfragen nutzt GymScout automatisierte Prozesse. Hierbei können eingehende Anfragen automatisiert

• gespeichert,
• kategorisiert,
• an das zuständige Studio übermittelt,
• an das CRM synchronisiert,
• dokumentiert,
• bestätigt werden.

Diese Prozesse dienen ausschließlich der technischen Bearbeitung Ihrer Anfrage. Eine automatisierte Entscheidung mit rechtlicher Wirkung erfolgt hierbei nicht.

13.6 Synchronisierung mit HubSpot

Zur Verwaltung eingehender Anfragen nutzt GymScout HubSpot als CRM-System. Nach Eingang einer Anfrage können insbesondere folgende Daten an HubSpot übertragen werden: Daten Zweck Name Kontaktverwaltung E-Mail Kommunikation Telefonnummer Kontakt Studio Zuordnung Art der Anfrage CRM Zeitstempel Dokumentation Die Übertragung erfolgt automatisiert über sichere serverseitige Prozesse. Soweit personenbezogene Daten in Drittländer übermittelt werden, erfolgt dies auf Grundlage geeigneter Garantien gemäß Art. 46 DSGVO, insbesondere der Standardvertragsklauseln der Europäischen Kommission.

13.7 Transaktionale E-Mails

Nach Absenden einer Anfrage können automatisierte E-Mails versendet werden. Hierzu gehören insbesondere

• Eingangsbestätigungen,
• Bestätigungen von Probetrainings,
• Bestätigungen von Preisanfragen,
• Betreiberkommunikation,
• Passwort-Reset,
• Magic-Link-Anmeldungen,
• Systembenachrichtigungen.

Der Versand erfolgt über den eingesetzten E-Mail-Dienstleister.

13.8 Interne Warteschlangen (E-Mail-Queue)

Zur zuverlässigen Verarbeitung ausgehender E-Mails können Anfragen vorübergehend in internen Nachrichtenwarteschlangen gespeichert werden. Hierbei können insbesondere verarbeitet werden:

• Empfänger,
• Betreff,
• E-Mail-Inhalt,
• Zeitpunkt,
• Versandstatus.

Die Speicherung erfolgt ausschließlich bis zum erfolgreichen Versand oder bis zur technischen Fehlerbehandlung.

13.9 Missbrauchsschutz

Zur Verhinderung automatisierter Angriffe oder missbräuchlicher Nutzung können Anfragen technisch überprüft werden. Hierzu können insbesondere verarbeitet werden:

• IP-Adresse,
• Zeitstempel,
• technische Header,
• Browserinformationen.

Diese Verarbeitung dient ausschließlich

• der IT-Sicherheit,
• der Betrugsprävention,
• der Erkennung automatisierter Anfragen.

13.10 Speicherdauer

Datenkategorie Speicherdauer Kontaktanfragen Bis zur abschließenden Bearbeitung sowie entsprechend gesetzlicher Aufbewahrungspflichten Probetrainings Bis zur Bearbeitung bzw. entsprechend gesetzlicher Anforderungen Preisanfragen Bis zur Bearbeitung bzw. entsprechend gesetzlicher Anforderungen CRM-Daten Bis zum Wegfall des Verarbeitungszwecks oder gemäß den im CRM definierten Löschkonzepten Versandwarteschlangen Bis zum erfolgreichen Versand oder zur Fehlerbehebung Protokolldaten Soweit zur Nachweisführung oder IT-Sicherheit erforderlich

13.11 Eingesetzte Systeme und Empfänger

System / Empfänger Zweck Typische Rechtsgrundlage des Grundvorgangs Supabase einschließlich Edge Functions und pgmq Speicherung, serverseitige Verarbeitung und Warteschlangen Art. 6 Abs. 1 lit. b und/oder lit. f DSGVO HubSpot CRM und Bearbeitungsorganisation Art. 6 Abs. 1 lit. b und/oder lit. f DSGVO Plus Five Five, Inc. (Resend) Versand transaktionaler E-Mails Art. 6 Abs. 1 lit. b und/oder lit. f DSGVO Ausgewähltes Fitnessstudio eigenverantwortliche Bearbeitung der vom Nutzer gewünschten Anfrage Art. 6 Abs. 1 lit. b DSGVO beziehungsweise eigene Rechtsgrundlage des Studios

14. Eingesetzte externe Dienstleister und Auftragsverarbeiter

Zur Bereitstellung der Plattform GymScout setzen wir verschiedene externe Dienstleister ein. Diese unterstützen uns insbesondere beim Hosting, der Datenverarbeitung, der Authentifizierung, der Kommunikation, der Bereitstellung von KI-Funktionen, der Kartenanzeige, der Analyse der Plattform sowie weiteren technischen Prozessen. Soweit diese Dienstleister personenbezogene Daten in unserem Auftrag verarbeiten, werden vor ihrem produktiven Einsatz – soweit gesetzlich erforderlich – Verträge über die Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen und die erforderlichen Einstellungen vorgenommen. Erfolgt eine Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums, erfolgt diese ausschließlich unter Beachtung der Art. 44 ff. DSGVO. Sofern kein Angemessenheitsbeschluss der Europäischen Kommission besteht, erfolgt die Übermittlung insbesondere auf Grundlage der Standardvertragsklauseln (Standard Contractual Clauses – SCC) der Europäischen Kommission sowie gegebenenfalls weiterer geeigneter Garantien.

14.1 Übersicht sämtlicher eingesetzter Dienstleister

DienstAnbieter Zweck Serverstandort Drittlandtransfer Lovable / Lovable Cloud Lovable Labs Incorporated beziehungsweise Lovable Labs AB Hosting, Deployment und Cloud-Dienste vertrags- und konfigurationsabhängig möglich Supabase Supabase, Inc. Backend gewählte Projektregion; derzeit nach interner Angabe Frankfurt möglich AWS Amazon Web Services EMEA SARL und verbundene Unternehmen Unterinfrastruktur konfigurationsabhängig möglich Cloudflare CDN / R2 Cloudflare, Inc. und verbundene Unternehmen CDN, Sicherheits- und Speicherleistungen globales Netzwerk / konfigurationsabhängig möglich HubSpot HubSpot Ireland Limited und verbundene Unternehmen CRM vertrags- und konfigurationsabhängig möglich Resend Plus Five Five, Inc. (Resend) E-Mail-Versand USA / Unterauftragsverarbeiter ja Google-Dienste einschließlich Gemini, Tag Manager und Analytics Google Ireland Limited beziehungsweise vertragsabhängig Google Cloud EMEA Limited und verbundene Unternehmen KI, Tag-Management und Analyse vertrags- und konfigurationsabhängig möglich OpenAI OpenAI Ireland Limited und Unterauftragsverarbeiter KI- Verarbeitung vertrags- und konfigurationsabhängig möglich OpenStreetMap / Nominatim OpenStreetMap Foundation beziehungsweise tatsächlich eingesetzter Tile- oder Geocoding-Anbieter Karten und Geocoding anbieterabhängig möglich Browser-Push-Dienste Google, Mozilla und Apple Push- Benachrichtigungen anbieterabhängig möglich Firecrawl SideGuide Technologies, Inc. d/b/a Firecrawl Erfassung öffentlich zugänglicher Studiodaten USA / Unterauftragsverarbeiter ja

14.2 Hosting durch Lovable

Anbieter Lovable Labs Incorporated beziehungsweise Lovable Labs AB, Regeringsgatan 25, 111 53 Stockholm, Schweden; die konkret vertragsgegenständliche Gesellschaft richtet sich nach dem gebuchten Tarif und den bei Vertragsschluss geltenden Bedingungen.

Zweck Lovable stellt die technische Infrastruktur für GymScout bereit. Hierzu gehören insbesondere

• Hosting,
• Deployment,
• Produktionsumgebung,
• Preview-Umgebungen,
• Build-Prozesse,
• Content Delivery,
• technische Verfügbarkeit.

Verarbeitete Daten

• IP-Adresse
• Browserdaten
• User-Agent
• Datum
• Uhrzeit
• HTTP-Header
• technische Verbindungsdaten
• Fehlerprotokolle

Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO

Speicherdauer Die Speicherung erfolgt nur solange dies für

• Hosting,
• IT-Sicherheit,
• Fehleranalyse,
• Stabilität

erforderlich ist.

Empfänger Lovable Labs Incorporated beziehungsweise Lovable Labs AB und die für den konkret gebuchten Dienst eingesetzten Unterauftragsverarbeiter.

Auftragsverarbeitung Soweit Lovable personenbezogene Daten ausschließlich in unserem Auftrag verarbeitet, erfolgt dies auf Grundlage eines Auftragsverarbeitungsvertrages gemäß Art. 28 DSGVO.

14.3 Supabase

Anbieter Supabase, Inc.

Zweck Supabase stellt wesentliche Backend-Funktionen von GymScout bereit. Hierzu gehören insbesondere

• PostgreSQL-Datenbank,
• Authentifizierung,
• Storage,
• Edge Functions,
• API,
• Cronjobs,
• Realtime,
• Datenbankfunktionen.

Verarbeitete Daten Datenkategorie E-Mail-Adresse Passwort-Hash Benutzer-ID Session-Tokens Vorname Profilinformationen Favoriten Vergleichsdaten Betreiberdaten Push-Abonnements Audit-Logs Leads Probetrainings Preisanfragen Kontaktformulare Serverstandort Für die produktive Instanz ist nach der GymScout-Systemplanung die AWS-Region Frankfurt (eu-central-1) vorgesehen; die Einstellung ist vor Freigabe der Plattform zu verifizieren. Die Wahl dieser Region verhindert nicht zwingend sämtliche Drittlandzugriffe oder Metadatenverarbeitungen. Einzelheiten richten sich nach der gebuchten Supabase-Leistung, der Projektkonfiguration und der jeweils aktuellen Unterauftragsverarbeiterliste.

Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO Art. 6 Abs. 1 lit. f DSGVO

Empfänger Supabase, Inc. Amazon Web Services

Auftragsverarbeitung Mit Supabase wird – soweit gesetzlich erforderlich – ein Vertrag über die Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen.

Drittlandtransfer Supabase, Inc. hat seinen Sitz außerhalb der Europäischen Union. Soweit hierbei personenbezogene Daten an die Muttergesellschaft oder verbundene Unternehmen außerhalb des Europäischen Wirtschaftsraums übermittelt werden, erfolgt die Übermittlung ausschließlich auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO. Hierzu gehören insbesondere:

• Standardvertragsklauseln der Europäischen Kommission (Art. 46

DSGVO),

• gegebenenfalls ergänzende technische und organisatorische

Maßnahmen,

• interne Datenschutz- und Sicherheitsrichtlinien des Anbieters.

Sicherheitsmaßnahmen Supabase stellt insbesondere folgende Sicherheitsmaßnahmen bereit:

• verschlüsselte Datenübertragung (TLS),
• rollenbasierte Zugriffskonzepte,
• Datenbankverschlüsselung,
• Zugriffskontrollen,
• Backup-Systeme,
• Authentifizierungsverfahren,
• Protokollierung sicherheitsrelevanter Vorgänge.

Speicherdauer Die innerhalb von Supabase gespeicherten Daten werden grundsätzlich bis zum Wegfall des jeweiligen Verarbeitungszwecks oder entsprechend den in dieser Datenschutzerklärung beschriebenen Löschfristen gespeichert.

14.4 Supabase Auth

Für die Authentifizierung registrierter Nutzer verwendet GymScout den Authentifizierungsdienst von Supabase. Verarbeitet werden insbesondere:

• E-Mail-Adresse,
• Passwort-Hash,
• Access-Tokens,
• Refresh-Tokens,
• Sitzungsinformationen,
• Anmeldezeitpunkte,
• Sicherheitsprotokolle.

Die Verarbeitung erfolgt ausschließlich zum Zweck der sicheren Anmeldung und Verwaltung der Nutzerkonten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

14.5 Supabase Storage

Zur Speicherung hochgeladener Inhalte verwendet GymScout den Storage-Dienst von Supabase. Hierüber werden insbesondere gespeichert:

• Studiofotos,
• Logos,
• Mediendateien,
• zukünftig weitere von Nutzern oder Betreibern hochgeladene Inhalte.

Die Verarbeitung erfolgt ausschließlich zur Bereitstellung der jeweiligen Plattformfunktionen.

15. Kommunikations-, KI- und Benachrichtigungsdienste

Zur Bereitstellung einzelner Funktionen setzt GymScout externe Kommunikations- und KI-Dienste ein. Diese ermöglichen insbesondere den Versand transaktionaler E-Mails, die Bearbeitung ausdrücklich angeforderter KI-Anfragen sowie – soweit im Einzelfall aktiviert – die Unterstützung menschlicher Moderations- und Beschwerdeprozesse. GymScout beschränkt die übermittelten Daten nach dem Grundsatz der Datenminimierung auf den für die konkrete Funktion erforderlichen Umfang. Vor dem produktiven Einsatz eines Dienstes werden dessen Rolle, Vertragsmodell, Unterauftragsverarbeiter, Speicher- und Trainingsbedingungen, Datenregion und Transfermechanismen geprüft. Soweit ein Anbieter als Auftragsverarbeiter tätig wird, wird ein Vertrag nach Art. 28 DSGVO einschließlich der erforderlichen Weisungen abgeschlossen; andernfalls wird die datenschutzrechtliche Rollenverteilung gesondert bewertet und transparent gemacht.

15.1 Übersicht der Kommunikations- und KI-Dienste

DienstAnbieter Zweck Drittlandtransfer Resend Plus Five Five, Inc. (Resend) Versand transaktionaler E-Mails ja / möglich Lovable AI Gateway Lovable Labs Incorporated beziehungsweise Lovable Labs AB Weiterleitung von KI-Anfragen abhängig vom Zielmodell und den Unterauftragsverarbeitern Google Gemini Google Ireland Limited beziehungsweise Google Cloud EMEA Limited (vertragsabhängig) KI-Chatbot und gegebenenfalls Moderationsunterstützung möglich OpenAI OpenAI Ireland Limited KI-Chatbot und gegebenenfalls Moderationsunterstützung möglich

15.2 Resend (Transaktionaler E-Mail-Versand)

Anbieter Plus Five Five, Inc. (Dienst „Resend“), USA

Zweck GymScout nutzt Resend für den Versand systemrelevanter E-Mails. Hierzu gehören insbesondere:

• Registrierung
• Verifizierung
• Passwort-Reset
• Magic-Link-Anmeldung
• Eingangsbestätigungen
• Probetrainingsbestätigungen
• Preisanfragen
• Betreiberkommunikation
• Preisänderungsbenachrichtigungen
• „Neue Studios in deiner Stadt“
• Coming-Soon-Benachrichtigungen
• weitere transaktionale E-Mails

Resend wird nicht für personalisierte Werbe-E-Mails eingesetzt, sofern hierfür keine gesonderte Einwilligung vorliegt.

Verarbeitete Daten Datenkategorie Zweck E-Mail-Adresse Versand Vorname Personalisierung Nachrichteninhalt Zustellung Versandstatus Dokumentation Zustellinformationen Fehleranalyse Zeitstempel Nachweis technische Versanddaten Systembetrieb Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO Art. 6 Abs. 1 lit. f DSGVO

Empfänger Plus Five Five, Inc. und die in der jeweils aktuellen Unterauftragsverarbeiterliste ausgewiesenen Empfänger.

Drittlandtransfer Da Resend seinen Sitz außerhalb der Europäischen Union hat, kann eine Übermittlung personenbezogener Daten in ein Drittland erfolgen. Soweit erforderlich erfolgt diese ausschließlich auf Grundlage

• Art. 45 DSGVO (soweit ein Angemessenheitsbeschluss besteht),
• oder Art. 46 DSGVO (Standardvertragsklauseln),
• gegebenenfalls ergänzt um weitere technische und organisatorische

Schutzmaßnahmen.

Speicherdauer Versanddaten werden grundsätzlich nur solange gespeichert,

• wie dies für den Versand,
• die Fehleranalyse,
• den Zustellnachweis oder
• gesetzliche Nachweispflichten

erforderlich ist.

15.2.1 Newsletter und werbliche E-Mail-Kommunikation

Soweit GymScout einen Newsletter oder sonstige werbliche E-Mail-Kommunikation anbietet, werden hierfür insbesondere E-Mail-Adresse, optional Name, Anmeldezeitpunkt, Einwilligungstext und -version, Bestätigungszeitpunkt, IP- Adresse sowie Abmelde- und Sperrstatus verarbeitet. Die Anmeldung wird grundsätzlich über ein Double-Opt-in-Verfahren bestätigt, um die Einwilligung und die Verfügungsbefugnis über die E-Mail-Adresse nachweisen zu können.

Rechtsgrundlage ist regelmäßig Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit den wettbewerbsrechtlichen Anforderungen. Soweit im Einzelfall die Voraussetzungen für Werbung an Bestandskunden ohne gesonderte Einwilligung erfüllt sind, kann die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 7 Abs. 3 UWG beruhen; auf die jederzeitige Widerspruchsmöglichkeit wird bei Erhebung und in jeder Nachricht hingewiesen. Eine Reichweiten- oder Interaktionsmessung über personenbezogene Öffnungs- oder Klickdaten erfolgt nur, wenn hierfür eine wirksame Einwilligung besteht und sie im Consent- beziehungsweise Anmeldeprozess gesondert beschrieben wird.

Empfänger können Resend als Versanddienst und HubSpot als CRM sein. Die Einwilligung kann jederzeit über den Abmeldelink oder per Nachricht an info@gymscoutfitness.de widerrufen werden. Nach Abmeldung endet der werbliche Versand. Erforderliche Einwilligungs- und Widerspruchsnachweise können bis zum Ablauf möglicher Rechtsansprüche, regelmäßig bis zu drei Jahre ab Ende des Kalenderjahres der Abmeldung, gesperrt aufbewahrt werden. Eine minimale Sperrlisteninformation kann fortbestehen, soweit dies erforderlich ist, um den Widerruf oder Widerspruch dauerhaft zu beachten.

15.3 Lovable AI Gateway

Anbieter Lovable Labs Incorporated beziehungsweise Lovable Labs AB; die konkrete Vertragsgesellschaft und die eingesetzten Unterauftragsverarbeiter richten sich nach dem gebuchten Produkt.

Zweck und Funktionsweise Soweit aktiviert, nutzt GymScout den Lovable AI Gateway als technische Vermittlungsschicht zwischen einer GymScout-Funktion und einem konfigurierten KI-Modell. Der Gateway kann Anfragen authentifizieren, an ein Zielmodell weiterleiten, Antworten zurückgeben, die Nutzung abrechnen sowie Verfügbarkeit, Fehler und Missbrauch überwachen. Die inhaltliche Verarbeitung erfolgt zusätzlich durch den jeweils ausgewählten Modellanbieter, insbesondere Google oder OpenAI. Der Gateway ist daher kein eigenständiger Hinweis darauf, dass Daten ausschließlich innerhalb der EU verarbeitet werden.

Verarbeitete Daten Je nach Funktion können Texteingaben, erforderliche Ausschnitte eines Chatverlaufs oder Moderationsvorgangs, technische Metadaten, Zeitstempel, pseudonyme Nutzer- oder Vorgangskennungen, Modell- und Nutzungsinformationen sowie die erzeugte Antwort verarbeitet werden. Direkte Identifikatoren und vollständige Fallakten werden nicht übermittelt, wenn eine pseudonyme Kennung oder ein erforderlicher Textausschnitt ausreicht.

Rechtsgrundlagen Die Verarbeitung erfolgt bei einer vom Nutzer angeforderten KI-Funktion auf Art. 6 Abs. 1 lit. b DSGVO, soweit sie zur Erfüllung des Nutzungsverhältnisses erforderlich ist, im Übrigen auf Art. 6 Abs. 1 lit. f DSGVO. Bei der Unterstützung von Moderation und Beschwerden gelten die in Kapitel 20 genannten Rechtsgrundlagen.

Protokolle und Speicherdauer Für Betrieb, Abrechnung, Fehleranalyse, Rate-Limiting und Missbrauchsschutz können Anfragezeitpunkt, Modell, Token- oder Mengendaten, Antwortdauer, Status- und Fehlercodes sowie pseudonyme technische Kennungen protokolliert werden. Inhalte werden nur gespeichert, wenn dies nach der konkreten Produktkonfiguration zur Bereitstellung, Sicherheit, Nachweisführung oder Speicherung des Nutzerverlaufs erforderlich ist. Die tatsächlichen Anbieterfristen und eine etwaige Speicherung im GymScout-Konto werden vor Aktivierung der Funktion im Löschkonzept dokumentiert.

15.4 Google Gemini

Anbieter Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, beziehungsweise – abhängig vom konkret eingesetzten Google-Cloud- oder Gemini- Vertragsmodell – Google Cloud EMEA Limited und weitere vertraglich ausgewiesene Empfänger.

Zwecke und Daten Google Gemini kann zur Beantwortung ausdrücklich gestellter Chat-Anfragen und, soweit aktiviert, zur unterstützenden Klassifizierung, Übersetzung, Zusammenfassung oder Entwurfserstellung in Moderationsvorgängen eingesetzt werden. Verarbeitet werden nur die hierfür erforderlichen Eingaben, Kontextausschnitte, technische Metadaten und Modellausgaben. Eine endgültige Moderations- oder Beschwerdeentscheidung trifft Gemini nicht.

Rechtsgrundlagen Für vom Nutzer angeforderte Antworten gilt Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für das Nutzungsverhältnis erforderlich ist, andernfalls Art. 6 Abs. 1 lit. f DSGVO. Für Moderationsunterstützung gelten Art. 6 Abs. 1 lit. c und/oder lit. f DSGVO sowie gegebenenfalls Art. 6 Abs. 1 lit. b DSGVO nach Maßgabe von Kapitel 20. Eine Einwilligung wird nur herangezogen, wenn die Funktion tatsächlich freiwillig ist und die gesetzlichen Anforderungen an eine wirksame Einwilligung erfüllt sind.

Tarif, Training, Speicherung und Altersvorgaben GymScout verwendet für Personen im EWR und in der Schweiz nur ein für diese Region und den produktiven Einsatz zulässiges Vertrags- und Tarifmodell. Optionale Freigaben von Eingaben oder Ausgaben für Produktverbesserung oder Modelltraining werden durch GymScout nicht aktiviert. Ob und wie lange Google Inhalte für Sicherheits- oder Missbrauchszwecke vorübergehend speichert, richtet sich nach dem konkret eingesetzten Dienst, dessen Tarif und den freigeschalteten Protokollierungs- oder Zero-Data-Retention-Einstellungen. Soweit die Bedingungen des gewählten Gemini-Dienstes ein Mindestalter oder eine Beschränkung für an Minderjährige gerichtete beziehungsweise ihnen voraussichtlich zugängliche Anwendungen vorsehen, wird die betreffende Funktion entsprechend beschränkt oder ein anderer geeigneter Dienst verwendet.

Drittlandübermittlung Je nach Vertragsmodell und Unterauftragsverarbeitern kann es zu Verarbeitungen außerhalb des EWR kommen. Es gelten die in Kapitel 23 beschriebenen Transfermechanismen.

15.5 OpenAI

Anbieter OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland, sowie die in den jeweils geltenden Vertragsunterlagen ausgewiesenen Unterauftragsverarbeiter.

Zwecke und Daten Soweit aktiviert, verarbeitet OpenAI einzelne, ausdrücklich angeforderte KI- Eingaben oder erforderliche Ausschnitte eines Moderationsvorgangs, technischen Kontext, pseudonyme Vorgangskennungen und die erzeugten Ausgaben. Eine endgültige Moderations- oder Beschwerdeentscheidung trifft OpenAI nicht.

Rechtsgrundlagen Es gelten – je nach Funktion – Art. 6 Abs. 1 lit. b, lit. c und/oder lit. f DSGVO nach Maßgabe dieses Kapitels und Kapitel 20. Besondere Kategorien personenbezogener Daten werden nur unter den zusätzlichen Voraussetzungen von Art. 9 Abs. 2 DSGVO verarbeitet.

Training, Speicherung und Drittlandübermittlung GymScout nutzt OpenAI nur über ein für geschäftliche beziehungsweise API- Nutzung vorgesehenes Angebot und aktiviert keine optionale Freigabe von Eingaben oder Ausgaben für Modelltraining. Nach den für Geschäftsdienste veröffentlichten Vorgaben werden Geschäftsdaten standardmäßig nicht zum Training verwendet; abweichende freiwillige Freigaben durch GymScout sind nicht vorgesehen. Aufbewahrung für Sicherheitszwecke, optionale Funktionen und gesetzliche Pflichten richten sich nach dem gewählten Produkt und der vereinbarten Konfiguration. Soweit Daten außerhalb des EWR verarbeitet werden, gelten die in Kapitel 23 beschriebenen Transfermechanismen.

15.6 KI-gestützte Moderations- und Beschwerdeunterstützung

GymScout kann KI-Werkzeuge einsetzen, um Meldungen und Beschwerden vorzusortieren, Dubletten zu erkennen, Dringlichkeitssignale zu markieren, Sprache zu übersetzen, umfangreiche Unterlagen zusammenzufassen oder Entscheidungsentwürfe vorzubereiten. KI-Ausgaben sind Hilfsmittel und werden nicht ungeprüft als Tatsachen oder verbindliche rechtliche Bewertung übernommen. Die sachliche und rechtliche Prüfung sowie die Verantwortung für die Entscheidung verbleiben bei einem Menschen. Endgültige Entscheidungen über interne Beschwerden werden nicht allein automatisiert getroffen.

15.7 Hinweise für Nutzer und Datenminimierung

Der KI-Assistent dient der Unterstützung bei der Nutzung von GymScout und der Beantwortung allgemeiner Fragen. KI-Ausgaben können fehlerhaft oder unvollständig sein und stellen insbesondere keine medizinische oder rechtliche Beratung dar. Nutzer sollen keine Zugangsdaten, Zahlungsdaten, amtlichen Kennnummern, Gesundheitsdaten, Angaben über Straftaten oder andere vertrauliche Daten eingeben. Sind personenbezogene Angaben für ein konkretes Anliegen erforderlich, sollen sie auf das notwendige Minimum beschränkt werden. Eingaben und Ausgaben werden nicht für personalisierte Werbung durch GymScout verwendet.

15.8 Technische und organisatorische Maßnahmen

Für Kommunikations- und KI-Dienste werden risikoadäquate Maßnahmen eingesetzt. Hierzu gehören insbesondere verschlüsselte Übertragung, rollenbasierte Zugriffe, Pseudonymisierung oder Schwärzung soweit möglich, Beschränkung des übermittelten Kontexts, Protokollierung sicherheitsrelevanter Ereignisse, vertragliche Weisungen, Prüfung von Unterauftragsverarbeitern, Deaktivierung optionaler Trainingsfreigaben, Lösch- und Berechtigungskonzepte sowie geeignete Garantien bei Drittlandübermittlungen.

16. CRM-System, automatisierte Datenverarbeitung und interne

Systemautomatisierungen Zur effizienten Bearbeitung von Kontaktanfragen, Probetrainingsanfragen, Betreiberanfragen sowie weiteren Geschäftsprozessen nutzt GymScout ein Customer-Relationship-Management-System (CRM) sowie verschiedene serverseitige Automatisierungen. Diese Systeme dienen ausschließlich der technischen Bearbeitung, Dokumentation und Verwaltung von Nutzeranfragen sowie der Sicherstellung eines zuverlässigen Plattformbetriebs. Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO findet hierbei nicht statt.

16.1 Übersicht der eingesetzten Systeme

System Zweck Datenübermittlung HubSpot CRM und Leadverwaltung Ja Supabase Edge Functions Automatisierte Verarbeitung intern PostgreSQL Trigger Ereignisgesteuerte Verarbeitung intern pg_cron Zeitgesteuerte Prozesse intern pg_net Serverseitige HTTP-Aufrufe intern pgmq Interne Nachrichtenwarteschlangen intern Supabase Vault Sichere Speicherung technischer Schlüssel nein

16.2 HubSpot CRM

Anbieter HubSpot Ireland Limited 2nd Floor 30 North Wall Quay Dublin 1 Irland (verbundene Unternehmen können außerhalb des Europäischen Wirtschaftsraums tätig sein.)

Zweck der Verarbeitung GymScout verwendet HubSpot zur Verwaltung eingehender Anfragen sowie zur Organisation interner Kommunikations- und Bearbeitungsprozesse. Hierzu gehören insbesondere

• Kontaktanfragen,
• Probetrainingsanfragen,
• Preisanfragen,
• Betreiberanfragen,
• Dokumentation der Kommunikation,
• Nachverfolgung offener Anfragen,
• interne Bearbeitungsprozesse.

HubSpot wird ausschließlich als CRM-System eingesetzt. Eine Nutzung zu Werbezwecken erfolgt ausschließlich, soweit hierfür eine gesonderte Rechtsgrundlage besteht.

Verarbeitete Daten Je nach Art der Anfrage können insbesondere folgende personenbezogene Daten verarbeitet werden: Datenkategorie Zweck Vorname Nachname E-Mail-Adresse Telefonnummer Studio Art der Anfrage Nachrichteninhalt Bearbeitungsstatus Zeitstempel interne Referenznummern Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO Art. 6 Abs. 1 lit. f DSGVO

Empfänger HubSpot Ireland Limited gegebenenfalls verbundene Unternehmen der HubSpot-Gruppe

Drittlandtransfer Soweit personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, erfolgt dies ausschließlich unter Beachtung der Art. 44 ff. DSGVO. Hierzu können insbesondere gehören

• Standardvertragsklauseln (SCC)
• ergänzende technische Maßnahmen
• interne Datenschutzrichtlinien

Speicherdauer CRM-Daten werden grundsätzlich nur solange gespeichert,

• wie dies zur Bearbeitung der jeweiligen Anfrage,
• zur Dokumentation,
• zur Erfüllung gesetzlicher Pflichten,
• oder zur Verteidigung von Rechtsansprüchen

erforderlich ist.

16.3 Automatische Synchronisierung mit HubSpot

Zur Vermeidung manueller Dateneingaben werden bestimmte Datensätze automatisiert zwischen GymScout und HubSpot synchronisiert. Dies betrifft insbesondere

• neue Kontaktanfragen,
• Probetrainings,
• Preisanfragen,
• Betreiberanfragen.

Die Synchronisierung erfolgt automatisiert über serverseitige Prozesse. Hierbei werden ausschließlich diejenigen Daten übertragen, die für die jeweilige Bearbeitung erforderlich sind.

16.4 Datenbank-Trigger

Zur Automatisierung interner Abläufe verwendet GymScout Datenbank-Trigger. Diese lösen nach definierten Ereignissen automatisierte Prozesse aus. Beispiele:

• neue Anfrage eingegangen,
• neuer Lead,
• Betreiber registriert,
• neues Probetraining,
• neue Preisanfrage.

Die Trigger dienen ausschließlich der technischen Verarbeitung.

16.5 Supabase Edge Functions

GymScout verwendet serverseitige Edge Functions. Diese übernehmen insbesondere

• Verarbeitung von Formularen,
• HubSpot-Synchronisierung,
• Versand von Benachrichtigungen,
• Preisänderungsprüfungen,
• interne Geschäftslogik,
• API-Kommunikation,
• Fehlerbehandlung.

Verarbeitete Daten Je nach Funktion können verarbeitet werden:

• Benutzer-ID,
• E-Mail-Adresse,
• Formulardaten,
• Studiodaten,
• Zeitstempel,
• technische Protokolle.

Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO Art. 6 Abs. 1 lit. f DSGVO

16.6 pg_cron

Zur Ausführung zeitgesteuerter Aufgaben nutzt GymScout die PostgreSQL- Erweiterung pg_cron. Hierüber werden insbesondere ausgeführt:

• Preisänderungsprüfungen,
• Benachrichtigungen,
• Coming-Soon-Prüfungen,
• neue Studios,
• interne Wartungsprozesse,
• regelmäßige Synchronisierungen.

Diese Prozesse erfolgen ausschließlich automatisiert.

16.7 pg_net

Zur Durchführung serverseitiger HTTP-Anfragen verwendet GymScout pg_net. Hierüber können insbesondere

• Edge Functions,
• HubSpot,
• interne APIs,
• Benachrichtigungssysteme

angesprochen werden. Dabei werden ausschließlich die für den jeweiligen Verarbeitungsvorgang erforderlichen Daten übermittelt.

16.8 pgmq (Interne Nachrichtenwarteschlangen)

GymScout verwendet pgmq zur Verwaltung interner Nachrichtenwarteschlangen. Hierüber werden insbesondere verarbeitet:

• E-Mail-Aufträge,
• Versandstatus,
• Warteschlangeninformationen,
• technische Metadaten.

Die Speicherung erfolgt ausschließlich bis zur erfolgreichen Verarbeitung der jeweiligen Nachricht.

16.9 Supabase Vault

Zur sicheren Speicherung technischer Zugangsdaten nutzt GymScout Supabase Vault. Hierüber werden insbesondere gespeichert:

• API-Schlüssel,
• Service-Keys,
• technische Zugangsdaten,
• interne Authentifizierungsschlüssel.

Personenbezogene Nutzerdaten werden in Supabase Vault grundsätzlich nicht gespeichert.

16.10 Interne Automatisierungen

GymScout nutzt verschiedene automatisierte Prozesse zur Verbesserung des Plattformbetriebs. Hierzu gehören insbesondere

• Preisänderungsbenachrichtigungen,
• Coming-Soon-Benachrichtigungen,
• Wiedereröffnungsbenachrichtigungen,
• Benachrichtigungen über neue Studios,
• CRM-Synchronisierung,
• E-Mail-Versand,
• interne Statusaktualisierungen.

Diese Prozesse dienen ausschließlich der technischen Bereitstellung der Plattform. Eine automatisierte Entscheidungsfindung gemäß Art. 22 DSGVO erfolgt hierbei nicht.

16.11 Protokollierung

Zur Fehleranalyse und Nachvollziehbarkeit können technische Protokolle erstellt werden. Hierzu gehören insbesondere:

• Trigger-Ausführungen,
• API-Aufrufe,
• Synchronisierungsvorgänge,
• Fehlerprotokolle,
• Systemereignisse,
• technische Zeitstempel.

Diese Protokolle dienen ausschließlich

• der Stabilität,
• der Fehleranalyse,
• der IT-Sicherheit,
• der Missbrauchserkennung.

16.12 Sicherheitsmaßnahmen

Für sämtliche Automatisierungsprozesse gelten insbesondere folgende Sicherheitsmaßnahmen:

• verschlüsselte Kommunikation,
• rollenbasierte Zugriffsrechte,
• Zugriffsbeschränkungen,
• verschlüsselte Speicherung technischer Schlüssel,
• Protokollierung sicherheitsrelevanter Vorgänge,
• regelmäßige Sicherheitsüberprüfungen,
• technische Zugriffskontrollen.

16.13 Speicherdauer

Datenkategorie Speicherdauer CRM-Daten Bis zum Wegfall des Verarbeitungszwecks oder gemäß Löschkonzept Synchronisierungsprotokolle Nur solange für Fehleranalyse oder Nachweis erforderlich Trigger-Protokolle Nach den technischen Erfordernissen des Plattformbetriebs Warteschlangen (pgmq) Bis zum erfolgreichen Versand bzw. der erfolgreichen Verarbeitung API-Protokolle Nur solange für den sicheren Betrieb erforderlich

17. Karten-, Standort- und Geolokalisierungsdienste

GymScout bietet verschiedene Funktionen zur Suche und Darstellung von Fitnessstudios auf Karten sowie zur standortbasierten Suche nach Studios in Ihrer Umgebung an. Hierfür werden verschiedene Karten- und Geolokalisierungsdienste eingesetzt. Die Nutzung dieser Funktionen erfolgt ausschließlich, soweit sie für die jeweilige Funktion erforderlich ist oder Sie hierfür Ihre Einwilligung erteilt haben.

17.1 Übersicht der eingesetzten Standortdienste

DienstAnbieter Zweck Drittlandtransfer OpenStreetMap OpenStreetMap Foundation Kartendarstellung Vereinigtes Königreich; Drittland mit Angemessenheitsbeschluss, weitere Standorte abhängig vom Abruf Nominatim OpenStreetMap Foundation bzw. eingesetzter Server Geocoding / Ortssuche abhängig vom Server Browser-Geolocation Browser des Nutzers Standortermittlung nein Kartenkacheln (Tiles) OpenStreetMap Darstellung der Karte abhängig vom Tile-Server

• Der konkrete Tile- und Geocoding-Endpunkt ist vor Veröffentlichung technisch zu

dokumentieren. Wird ein anderer Anbieter oder ein Proxy eingesetzt, sind Empfänger, Rolle und Übermittlungsland entsprechend anzupassen.

17.2 OpenStreetMap

Anbieter OpenStreetMap Foundation St John's Innovation Centre Cowley Road Cambridge Vereinigtes Königreich

Zweck GymScout verwendet OpenStreetMap zur Darstellung interaktiver Karten. Hierüber können Nutzer insbesondere

• Fitnessstudios auf Karten anzeigen,
• Standorte betrachten,
• Entfernungen einschätzen,
• Karten vergrößern,
• Karten verschieben.

Verarbeitete Daten Beim Laden einer Karte können insbesondere verarbeitet werden: Datenkategorie Zweck IP-Adresse Bereitstellung der Karte Browserinformationen Kompatibilität Geräteinformationen Darstellung Datum und UhrzeitServerbetrieb aufgerufene Kartenbereiche Auslieferung der Kartendaten Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO Unser berechtigtes Interesse besteht in der benutzerfreundlichen Darstellung unserer Inhalte. Soweit eine Einwilligung erforderlich ist, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO. Speicherdauer GymScout selbst speichert im Zusammenhang mit der Kartendarstellung grundsätzlich keine zusätzlichen Standortdaten. Die Speicherdauer technischer Verbindungsdaten richtet sich nach den jeweiligen Vorgaben des Kartenanbieters.

17.3 Nominatim (Ortssuche)

Zur Umsetzung der Suchfunktion verwendet GymScout den Geocoding-Dienst Nominatim. Hierüber können insbesondere

• Städte,
• Postleitzahlen,
• Straßen,
• Adressen

in geografische Koordinaten umgewandelt werden. Nutzer sollen in das Suchfeld keine Namen, Gesundheitsinformationen oder sonstigen vertraulichen Angaben eingeben. Eine private Wohnadresse kann eine Person identifizierbar machen und sollte nur eingegeben werden, wenn dies für die gewünschte Standortsuche erforderlich ist.

Verarbeitete Daten Bei einer Suchanfrage können insbesondere verarbeitet werden:

• eingegebener Suchbegriff,
• IP-Adresse,
• Zeitpunkt,
• Browserinformationen,
• technische Verbindungsdaten.

Zweck Die Verarbeitung dient ausschließlich

• der Ortssuche,
• der Umkreissuche,
• der Navigation innerhalb der Plattform.

Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO Art. 6 Abs. 1 lit. f DSGVO

17.4 Browser-Geolocation

GymScout kann – soweit Sie dies ausdrücklich zulassen – auf die Standortfunktion Ihres Browsers zugreifen. Die Freigabe erfolgt ausschließlich über die Berechtigungsverwaltung Ihres Browsers. Ohne Ihre ausdrückliche Zustimmung erfolgt keine Standortermittlung.

Verarbeitete Daten Je nach Gerät können insbesondere verarbeitet werden:

• aktueller Standort,
• Längen- und Breitengrad,
• Genauigkeit,
• Zeitpunkt der Standortermittlung.

Zweck Die Standortdaten dienen insbesondere

• der Anzeige nahegelegener Studios,
• der Umkreissuche,
• der Entfernungsberechnung,
• der Verbesserung der Nutzerfreundlichkeit.

Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) Die Einwilligung kann jederzeit über Ihren Browser widerrufen werden.

17.5 Referrer-Informationen

Beim Abruf externer Kartendienste kann technisch bedingt der sogenannte Referrer-Header an den jeweiligen Kartenanbieter übermittelt werden. Hierdurch kann der Kartenanbieter erkennen,

• von welcher Seite die Anfrage stammt,
• welche Kartenfunktion genutzt wurde.

GymScout hat keinen Einfluss auf die Verarbeitung dieser Daten durch den jeweiligen Anbieter.

17.6 Kartenkacheln (Map Tiles)

Zur Darstellung der Karten werden sogenannte Kartenkacheln (Map Tiles) geladen. Hierbei können insbesondere verarbeitet werden:

• IP-Adresse,
• Browserinformationen,
• Geräteinformationen,
• Zeitpunkt,
• aufgerufener Kartenausschnitt.

Die Verarbeitung erfolgt ausschließlich zur technischen Darstellung der Karte.

17.7 Standortsuche

Bei Nutzung der Suchfunktion können Suchbegriffe verarbeitet werden. Hierzu gehören beispielsweise

• Städtenamen,
• Postleitzahlen,
• Straßen,
• Regionen,
• Ortsbezeichnungen.

Diese Suchbegriffe werden ausschließlich zur Durchführung der jeweiligen Suche verarbeitet.

17.8 Umkreissuche

Die Umkreissuche ermöglicht es, Fitnessstudios innerhalb eines bestimmten Radius um einen Standort anzuzeigen. Hierfür werden

• der gewählte Standort,
• der Suchradius,
• technische Suchparameter

verarbeitet. Eine dauerhafte Speicherung des aktuellen Standorts erfolgt durch GymScout grundsätzlich nicht, sofern dies nicht ausdrücklich für eine bestimmte Funktion erforderlich ist.

17.9 Sicherheitsmaßnahmen

Für sämtliche Karten- und Standortdienste gelten insbesondere folgende Sicherheitsmaßnahmen:

• verschlüsselte Datenübertragung (TLS),
• minimale Datenübermittlung,
• Nutzung ausschließlich zur Bereitstellung der Kartenfunktionen,
• Zugriffsbeschränkungen,
• regelmäßige Aktualisierung der eingesetzten Bibliotheken.

17.10 Speicherdauer

Datenkategorie Speicherdauer SuchbegriffeBis zum Abschluss der jeweiligen Anfrage bzw. gemäß den Einstellungen der Plattform Standortdaten Nur für die Dauer der jeweiligen Standortfunktion, sofern keine ausdrückliche Speicherung vorgesehen ist Kartenanfragen Nach den technischen Erfordernissen des Kartenanbieters Browser-Geolocation Keine dauerhafte Speicherung durch GymScout, sofern nicht ausdrücklich angegeben

17.11 Hinweise zur Verantwortlichkeit

Für die Verarbeitung personenbezogener Daten durch externe Karten- und Geolokalisierungsdienste gelten ergänzend die Datenschutzbestimmungen der jeweiligen Anbieter. GymScout hat keinen Einfluss auf die dort erfolgende Verarbeitung personenbezogener Daten.

18. Progressive Web App (PWA), Push-Benachrichtigungen und browserbasierte

Benachrichtigungsdienste GymScout kann als Progressive Web App (PWA) genutzt werden. Hierdurch können bestimmte Funktionen einer nativen mobilen Anwendung bereitgestellt werden, ohne dass eine Installation über einen App-Store erforderlich ist. Hierzu gehören insbesondere

• Installation der Webanwendung,
• Offlinefähigkeit,
• Push-Benachrichtigungen,
• Zwischenspeicherung technischer Inhalte,
• schnellere Ladezeiten,
• Hintergrundaktualisierungen.

Die Nutzung sämtlicher optionaler Funktionen erfolgt ausschließlich nach den jeweils geltenden gesetzlichen Voraussetzungen.

18.1 Progressive Web App (PWA)

GymScout stellt eine Progressive Web App (PWA) bereit. Die PWA ermöglicht insbesondere

• Installation auf dem Endgerät,
• Offline-Nutzung bestimmter Inhalte,
• schnelleren Seitenaufbau,
• Wiederverwendung zwischengespeicherter Inhalte,
• Push-Benachrichtigungen,
• verbesserte Nutzerfreundlichkeit.

Die Installation der PWA erfolgt ausschließlich freiwillig durch den Nutzer.

18.2 Service Worker

Zur technischen Bereitstellung der PWA verwendet GymScout sogenannte Service Worker. Hierbei handelt es sich um browserseitige Hintergrundprozesse, welche verschiedene technische Aufgaben übernehmen.

Zweck Der Service Worker dient insbesondere

• der Offlinefähigkeit,
• der Zwischenspeicherung statischer Inhalte,
• der Beschleunigung der Plattform,
• der Aktualisierung gespeicherter Dateien,
• der Bereitstellung von Push-Benachrichtigungen.

Verarbeitete Daten Je nach Funktion können verarbeitet werden: Datenkategorie Zweck technische Browserdaten Bereitstellung Cache-Inhalte Offlinebetrieb Ressourcen Performance Push-Informationen Zustellung von Benachrichtigungen Rechtsgrundlage § 25 Abs. 2 Nr. 2 TDDDG Art. 6 Abs. 1 lit. f DSGVO

18.3 Push-Benachrichtigungen

GymScout kann Nutzer über Browser-Push-Benachrichtigungen informieren. Hierüber können insbesondere Benachrichtigungen zu folgenden Ereignissen versendet werden:

• Preisänderungen favorisierter Studios,
• neue Studios in Ihrer Stadt,
• Wiedereröffnungen,
• Coming-Soon-Mitteilungen,
• Antworten auf Betreiberanfragen,
• zukünftige Systeminformationen.

Push-Benachrichtigungen werden ausschließlich versendet, wenn Sie diese Funktion ausdrücklich aktiviert haben.

18.4 Einwilligung

Vor Aktivierung von Push-Benachrichtigungen fragt Ihr Browser Ihre ausdrückliche Zustimmung ab. Ohne diese Einwilligung erfolgt keine Zustellung von Push-Benachrichtigungen. Sie können Ihre Einwilligung jederzeit über die Einstellungen Ihres Browsers oder Betriebssystems widerrufen.

18.5 Browser-Push-Dienste

Je nach verwendetem Browser können Push-Benachrichtigungen über unterschiedliche Push-Dienste zugestellt werden. Hierzu gehören insbesondere: Push-Dienst Anbieter Firebase Cloud Messaging (FCM) Google LLC / Google Ireland Limited Mozilla Autopush Mozilla Corporation Apple Push Notification Service (APNs) Apple Inc. Welcher Push-Dienst genutzt wird, hängt ausschließlich vom verwendeten Browser bzw. Betriebssystem des Nutzers ab. GymScout hat hierauf keinen Einfluss.

18.6 Verarbeitete Daten

Für Push-Benachrichtigungen können insbesondere folgende Daten verarbeitet werden: Datenkategorie Zweck Push-Endpoint Zustellung VAPID Public Key Authentifizierung Authentifizierungs-Token Sicherheit Benutzer-ID Zuordnung Benachrichtigungseinstellungen Verwaltung Zeitpunkt der Registrierung Dokumentation Der Push-Endpoint stellt grundsätzlich keine unmittelbare Identifizierung der betroffenen Person dar, kann jedoch personenbezogen sein, soweit er einem Nutzerkonto zugeordnet wird.

18.7 VAPID

Zur Authentifizierung von Push-Benachrichtigungen verwendet GymScout das standardisierte Verfahren Voluntary Application Server Identification (VAPID). Hierbei werden kryptographische Schlüssel verwendet, welche ausschließlich der sicheren Zustellung von Push-Benachrichtigungen dienen. Eine Nutzung zu anderen Zwecken erfolgt nicht.

18.8 Zweck der Verarbeitung

Die Verarbeitung dient insbesondere

• der Zustellung gewünschter Benachrichtigungen,
• der Verwaltung von Push-Abonnements,
• der sicheren Authentifizierung,
• der Vermeidung missbräuchlicher Push-Nachrichten,
• der technischen Bereitstellung der PWA.

18.9 Rechtsgrundlagen

Verarbeitung Rechtsgrundlage Push-Benachrichtigungen Art. 6 Abs. 1 lit. a DSGVO Service Worker § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO PWA Art. 6 Abs. 1 lit. b DSGVO Verwaltung der Push-Abonnements Art. 6 Abs. 1 lit. a DSGVO

18.10 Drittlandübermittlung

Je nach verwendetem Browser kann eine Übermittlung technischer Daten an Anbieter außerhalb des Europäischen Wirtschaftsraums erfolgen. Dies betrifft insbesondere:

• Google (Firebase Cloud Messaging),
• Mozilla,
• Apple.

Soweit erforderlich erfolgt die Übermittlung ausschließlich auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO. Hierzu gehören insbesondere:

• Angemessenheitsbeschlüsse der Europäischen Kommission, soweit

vorhanden,

• Standardvertragsklauseln,
• ergänzende technische und organisatorische Maßnahmen.

18.11 Speicherdauer

Datenkategorie Speicherdauer Push-Abonnement Bis zum Widerruf oder zur Löschung des Nutzerkontos Push-Endpoint Bis zur Abmeldung oder technischen Ungültigkeit VAPID-Schlüssel Für die Dauer des Plattformbetriebs Benachrichtigungseinstellungen Bis zum Widerruf oder zur Kontolöschung Service-Worker-Cache Bis zur Aktualisierung oder Löschung durch Browser oder Anwendung

18.12 Widerruf

Sie können Push-Benachrichtigungen jederzeit deaktivieren. Dies ist insbesondere möglich

• über die Browser-Einstellungen,
• über die Betriebssystem-Einstellungen,
• innerhalb Ihres Nutzerkontos (soweit vorgesehen).

Nach dem Widerruf werden keine weiteren Push-Benachrichtigungen mehr versendet.

18.13 Sicherheitsmaßnahmen

Zur Absicherung der Push-Infrastruktur setzt GymScout insbesondere folgende Maßnahmen ein:

• verschlüsselte Kommunikation (TLS),
• VAPID-Authentifizierung,
• rollenbasierte Verwaltung,
• Zugriffsbeschränkungen,
• sichere Speicherung technischer Schlüssel,
• regelmäßige Sicherheitsüberprüfungen.

19. Analyse-, Tracking-, Performance- und Optimierungsdienste

GymScout setzt verschiedene Analyse-, Optimierungs- und Performance-Dienste ein, um die technische Stabilität, Benutzerfreundlichkeit und Leistungsfähigkeit der Plattform kontinuierlich zu verbessern. Soweit hierbei personenbezogene Daten verarbeitet oder Informationen auf Ihrem Endgerät gespeichert bzw. ausgelesen werden, erfolgt dies ausschließlich im Rahmen der gesetzlichen Vorgaben der Datenschutz-Grundverordnung (DSGVO) sowie des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Soweit eine Einwilligung gesetzlich erforderlich ist, werden die entsprechenden Dienste erst nach Ihrer ausdrücklichen Zustimmung aktiviert.

19.1 Übersicht der eingesetzten Analyse- und Optimierungsdienste

DienstZweck Einwilligung erforderlich Drittlandtransfer Google Tag Manager Verwaltung von Tags Ja möglich Google Analytics 4 Nutzungsanalyse Ja möglich Google Consent Mode v2 Steuerung von Einwilligungen für die lokale Standardsetzung nein; externe Google-Kommunikation nur nach Einwilligung abhängig von der aktivierten Google-Verbindung Google Fonts Darstellung von Schriftarten abhängig von der Einbindung möglich Cloudflare CDN Performancenein möglich Cloudflare R2 Bereitstellung öffentlicher Inhalte nein möglich Firecrawl Import öffentlich verfügbarer Studiodaten nein möglich

• Der Consent Mode selbst dient der technischen Umsetzung Ihrer

Einwilligungsentscheidung und verarbeitet diese Entscheidung.

19.2 Google Tag Manager

Anbieter Google Ireland Limited Gordon House Barrow Street Dublin 4 Irland

Zweck GymScout verwendet den Google Tag Manager zur technischen Verwaltung von Analyse- und Trackingdiensten. Der Google Tag Manager selbst erstellt grundsätzlich keine Nutzerprofile und speichert nach unserem Einsatzkonzept keine Analyseinformationen. Er dient ausschließlich dazu,

• Skripte technisch bereitzustellen,
• Einwilligungen umzusetzen,
• Tags zu laden,
• Dienste zu verwalten.

Verarbeitete Daten Je nach technischer Konfiguration können insbesondere verarbeitet werden:

• IP-Adresse,
• Browserinformationen,
• technische Header,
• Consent-Status,
• Geräteinformationen.

Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO § 25 Abs. 1 TDDDG Der Google Tag Manager wird erst nach einer entsprechenden Einwilligung geladen, soweit dies für die eingesetzten Tags erforderlich ist.

19.3 Google Consent Mode v2

GymScout verwendet den Google Consent Mode v2. Der Consent Mode übermittelt den eingebundenen Google-Tags den von Ihnen gewählten Einwilligungsstatus. Nach der zum Redaktionsstand vorgesehenen Basic-Mode-Konfiguration werden einwilligungsbedürftige Google-Tags vor Einwilligung blockiert und keine vorgezogenen Analyse- oder Werbesignale an Google gesendet. Standardmäßig sind sämtliche einwilligungspflichtigen Kategorien deaktiviert. Hierzu gehören insbesondere:

• analytics_storage
• ad_storage
• ad_user_data
• ad_personalization

Der Consent Mode dient ausschließlich der technischen Umsetzung Ihrer Datenschutzeinstellungen. Er begründet selbst keine zusätzliche Rechtsgrundlage. Eine Umstellung auf den Advanced Consent Mode mit Datenübermittlung vor Einwilligung erfolgt erst nach erneuter rechtlicher und technischer Prüfung sowie Aktualisierung der Nutzerinformationen.

19.4 Google Analytics 4

Zweck Google Analytics dient der statistischen Auswertung der Nutzung unserer Plattform. Hierdurch können insbesondere Erkenntnisse gewonnen werden über

• Seitenaufrufe,
• Gerätearten,
• Browsertypen,
• Nutzung einzelner Funktionen,
• Ladezeiten,
• Fehler,
• allgemeine Nutzungsmuster.

Die Auswertung erfolgt ausschließlich zur Verbesserung der Plattform.

Verarbeitete Daten Datenkategorie Zweck pseudonymisierte Nutzerkennung Analyse Geräteinformationen Statistik Browserdaten Kompatibilität Seitenaufrufe Statistik Ereignisse (Events) Nutzungsanalyse technische InformationenFehleranalyse gekürzte IP-Adresse (soweit technisch umgesetzt) Sicherheit und Geolokalisierung Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO § 25 Abs. 1 TDDDG Google Analytics wird ausschließlich nach Ihrer ausdrücklichen Einwilligung aktiviert.

Speicherdauer Die Speicherdauer richtet sich nach der jeweils konfigurierten Einstellung innerhalb von Google Analytics. Nach Ablauf der jeweiligen Aufbewahrungsfrist werden die Daten automatisch gelöscht oder anonymisiert.

Widerruf Sie können Ihre Einwilligung jederzeit über das Consent-Management widerrufen.

19.5 Google Fonts

GymScout verwendet für die Darstellung von Schriftarten Google Fonts. Je nach technischer Einbindung können beim Laden der Schriftarten insbesondere folgende Daten an Google übermittelt werden:

• IP-Adresse,
• Browserinformationen,
• Geräteinformationen,
• Zeitpunkt des Seitenaufrufs.

Nach dem zum Redaktionsstand mitgeteilten technischen Stand werden die Schriftarten über die Google-Infrastruktur eingebunden. Dabei wird eine Verbindung zu Google aufgebaut, bei der insbesondere die IP-Adresse und technische Abrufdaten übermittelt werden. Eine externe Einbindung erfolgt deshalb erst nach Einwilligung. Für den Produktivstart soll vorrangig eine lokale Bereitstellung ohne Verbindung zu Google umgesetzt und die tatsächliche Einbindung vor Veröffentlichung geprüft werden.

Rechtsgrundlage Bei externer Einbindung: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Bei ausschließlich lokaler Bereitstellung ohne Drittzugriff: Art. 6 Abs. 1 lit. f DSGVO; soweit Informationen im Endgerät gespeichert oder ausgelesen werden, zusätzlich § 25 Abs. 2 Nr. 2 TDDDG, sofern die Voraussetzungen erfüllt sind.

19.6 Cloudflare CDN

Zur Verbesserung der Ladegeschwindigkeit verwendet GymScout ein Content Delivery Network (CDN). Hierdurch können insbesondere verarbeitet werden:

• IP-Adresse,
• Browserinformationen,
• Geräteinformationen,
• technische Header,
• Zeitstempel.

Zweck

• schnellere Auslieferung,
• Lastverteilung,
• Ausfallsicherheit,
• Schutz vor Angriffen.

Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO.

19.7 Cloudflare R2

Zur Bereitstellung öffentlicher Medieninhalte (z. B. Open-Graph-Bilder) verwendet GymScout Cloudflare R2. Beim Abruf entsprechender Inhalte können technische Verbindungsdaten verarbeitet werden. Je nach technischer Auslieferung kann eine Übermittlung personenbezogener Daten in Drittländer erfolgen.

19.8 Firecrawl

Anbieter ist SideGuide Technologies, Inc. d/b/a Firecrawl, USA. GymScout kann Firecrawl verwenden, um öffentlich zugängliche Informationen über Fitnessstudios zu erfassen, zu strukturieren und auf Aktualität zu prüfen. Hierzu können Studioname, Anschrift, Kontaktdaten, Leistungs- und Preisangaben, Öffnungszeiten, Webadresse sowie auf der Quellseite veröffentlichte Ansprechpartner- oder Inhaberangaben gehören. Auch öffentlich zugängliche Angaben können personenbezogene Daten sein; die Verarbeitung wird daher nicht allein mit ihrer öffentlichen Zugänglichkeit begründet.

Zwecke sind die Erstellung und Aktualisierung des Studioverzeichnisses, die Verbesserung der Datenqualität, die Vermeidung veralteter Einträge und die Prüfung öffentlich belegbarer Studioangaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen liegen in der Vollständigkeit und Richtigkeit des Vergleichsangebots sowie in der Information der Nutzer über am Markt angebotene Studios. Bei der Auswahl und Veröffentlichung werden die Interessen der betroffenen Personen berücksichtigt; private oder für den Verzeichniszweck offensichtlich nicht erforderliche Angaben werden nicht übernommen.

Die Daten stammen aus öffentlich erreichbaren Studio-Webseiten, Unternehmensauftritten, Verzeichnissen oder sonstigen rechtmäßig zugänglichen Quellen. Soweit die Daten nicht unmittelbar bei der betroffenen Person erhoben wurden, gelten die Informationspflichten nach Art. 14 DSGVO. Eine individuelle Information unterbleibt nur, soweit eine gesetzliche Ausnahme eingreift; die Herkunft wird intern soweit erforderlich dokumentiert. Betroffene Personen können unrichtige Daten berichtigen lassen und der Verarbeitung aus Gründen ihrer besonderen Situation widersprechen.

An Firecrawl werden insbesondere die abzurufende URL, technische Anfrageparameter und die von der Zielseite ausgelieferten Inhalte übermittelt. Die Verarbeitung kann in den USA und durch Unterauftragsverarbeiter stattfinden. Es gelten die Transferregeln in Kapitel 23. Importierte Daten werden anhand des jeweiligen Verzeichniszwecks überprüft und gelöscht oder aktualisiert, wenn sie hierfür nicht mehr erforderlich oder erkennbar unrichtig sind.

19.9 Preconnects

Zur Verbesserung der Ladegeschwindigkeit können bereits beim Aufruf der Website technische Verbindungen ("Preconnect") zu externen Diensten aufgebaut werden. Hierdurch können insbesondere verarbeitet werden:

• IP-Adresse,
• Browserinformationen,
• technische Netzwerkdaten.

Soweit hierdurch personenbezogene Daten verarbeitet werden und eine Einwilligung erforderlich ist, erfolgt der Aufbau entsprechender Verbindungen erst nach Ihrer Einwilligung.

19.10 Drittlandübermittlungen

Einzelne der vorgenannten Dienste können personenbezogene Daten in Staaten außerhalb des Europäischen Wirtschaftsraums übermitteln. Soweit erforderlich erfolgt eine solche Übermittlung ausschließlich unter Beachtung der Art. 44 ff. DSGVO. Hierzu gehören insbesondere:

• Angemessenheitsbeschlüsse,
• Standardvertragsklauseln,
• ergänzende technische und organisatorische Maßnahmen.

19.11 Widerruf

Bereits erteilte Einwilligungen können jederzeit über das Consent-Management- System widerrufen oder angepasst werden. Der Widerruf wirkt ausschließlich für die Zukunft.

19.12 Speicherdauer

Datenkategorie Speicherdauer Consent-Einstellungen Bis zum Widerruf oder Ablauf der Gültigkeit Analytics-Daten Entsprechend der jeweiligen Konfiguration Google-Consent-Status Bis zur Änderung oder Löschung Cloudflare-Protokolle Nach den technischen Erfordernissen des Plattformbetriebs Firecrawl-Importdaten Bis zur Aktualisierung, zum Widerspruch oder zum Wegfall des Verzeichniszwecks; technische Anbieterprotokolle nach dem vereinbarten Tarif und Löschkonzept

19.13 Besondere Hinweise

GymScout verfolgt das Ziel, möglichst datenschutzfreundliche Technologien einzusetzen. Aus diesem Grund überprüfen wir regelmäßig, ob einzelne Dienste datenschutzfreundlicher konfiguriert oder durch alternative Lösungen ersetzt werden können. Hierzu zählt insbesondere die Prüfung einer lokalen Bereitstellung von Schriftarten sowie die regelmäßige Überprüfung der tatsächlich eingesetzten Drittanbieter.

20. Meldungen, Moderation und Beschwerden nach dem Digital Services Act

Dieses Kapitel beschreibt die Verarbeitung personenbezogener Daten, wenn rechtswidrige oder gegen GymScout-Regeln verstoßende Inhalte gemeldet, Inhalte oder Konten geprüft, Moderationsmaßnahmen getroffen, Entscheidungen begründet oder Beschwerden bearbeitet werden. Ergänzende verfahrensrechtliche Einzelheiten enthält die eigenständige „Melde- und Beschwerderichtlinie (Notice & Action Policy)“ von GymScout, zum Redaktionsstand Version 01, Stand 11.07.2026, gültig ab 01.08.2026. Bei Widersprüchen gehen zwingende gesetzliche Vorgaben und hinsichtlich der Verarbeitung personenbezogener Daten diese Datenschutzerklärung vor.

20.1 Kontaktweg und kein Kontozwang

Meldungen zu möglicherweise rechtswidrigen oder regelwidrigen Inhalten sowie Beschwerden gegen Moderationsentscheidungen können per E-Mail an

beschwerde@gymscoutfitness.de

übermittelt werden. Für eine Meldung nach Art. 16 DSA ist kein GymScout- Nutzerkonto erforderlich. Die E-Mail-Adresse dient auch als technischer Eingangskanal für Anlagen und Nachweise. Sie ist nicht der allgemeine Kontaktweg für die Ausübung datenschutzrechtlicher Betroffenenrechte; hierfür gilt Kapitel 26.

20.2 Kategorien der verarbeiteten Daten

Je nach Meldung, Inhalt, Beschwerde und Verfahrensstand können insbesondere folgende Daten verarbeitet werden:

• Identitäts- und Kontaktdaten der meldenden oder

beschwerdeführenden Person, etwa Name, E-Mail-Adresse, Organisation und Funktion;

• Vertretungsdaten, Vollmachten und Angaben zu einem Handeln für

eine andere Person oder Organisation;

• Angaben zur Eigenschaft als vertrauenswürdiger Hinweisgeber,

Behörde oder sonstige besonders berechtigte Stelle;

• Fundstellen wie URL, Content-ID, Bewertungs-ID, Studio- oder

Kontokennung und genaue Bezeichnung des beanstandeten Abschnitts;

• Beschreibung und rechtliche oder regelbezogene Begründung der

Meldung beziehungsweise Beschwerde;

• Erklärung, dass die Angaben nach bestem Wissen richtig und

vollständig sind, soweit dies gesetzlich vorgesehen ist;

• Belege und Anlagen, beispielsweise Screenshots, Korrespondenz,

Urkunden, Bild-, Audio- oder Videodateien sowie Metadaten;

• Angaben zu Dringlichkeit, möglicher Gefährdung, betroffenem Staat

und räumlichem Bezug;

• Daten der Person, die den beanstandeten Inhalt eingestellt hat, eines

betroffenen Studios, seiner Ansprechpartner oder sonstiger betroffener Dritter;

• Inhalts-, Kommunikations-, Konto-, Vertrags-, Verifizierungs- und

Berechtigungsdaten aus den GymScout-Systemen;

• technische Daten wie IP-Adresse, Zeitstempel, E-Mail-Header, Geräte-

und Browserdaten, Login-, Sicherheits-, Audit- und Änderungsprotokolle;

• interne Fallnummer, Status, Priorität, Prüfvermerke,

Anhörungsschreiben, Stellungnahmen, Moderationsentscheidung, Begründung und Zustellnachweise;

• Beschwerdedaten wie Referenz der angegriffenen Entscheidung,

Beschwerdegründe, beantragtes Ergebnis, neue Tatsachen und Beweismittel;

• Angaben aus behördlichen oder gerichtlichen Anordnungen sowie aus

einer gegebenenfalls erforderlichen Meldung an Strafverfolgungs- oder Justizbehörden;

• Ergebnisse technischer oder KI-gestützter Vorprüfungen,

beispielsweise Kategorien, Dublettenhinweise, Übersetzungen, Zusammenfassungen oder Risikosignale.

Bestimmte Meldungen nach Art. 16 Abs. 2 DSA können gesetzlich von der Pflicht zur Angabe eines Namens und einer E-Mail-Adresse ausgenommen sein, insbesondere wenn sie mutmaßliche Straftaten im Zusammenhang mit sexuellem Missbrauch, sexueller Ausbeutung oder bildlichen Darstellungen sexuellen Missbrauchs von Kindern betreffen. In solchen Fällen verlangt GymScout keine Angaben, die der DSA nicht voraussetzt. Eine fehlende Kontaktmöglichkeit kann jedoch verhindern, dass Rückfragen gestellt oder Eingangs- und Entscheidungsmitteilungen zugestellt werden können.

20.3 Zwecke der Verarbeitung

Die Daten werden je nach Fall verarbeitet, um

• Meldungen und Beschwerden entgegenzunehmen, zu bestätigen, zu

dokumentieren und einem Vorgang zuzuordnen;

• den beanstandeten Inhalt eindeutig aufzufinden, Beweise zu sichern

und Veränderungen nachvollziehbar zu machen;

• Zuständigkeit, Vollständigkeit, Plausibilität, Dringlichkeit und

möglichen Missbrauch zu prüfen;

• betroffene Personen oder Studios anzuhören und deren

Stellungnahmen zu berücksichtigen;

• Inhalte anhand anwendbarer Gesetze, der AGB sowie der

Bewertungs-, Community-, KI- und sonstigen Plattformrichtlinien zu prüfen;

• über Entfernung, Sperrung, Einschränkung, Kennzeichnung,

Herabstufung, Kontomaßnahmen oder das Unterlassen einer Maßnahme zu entscheiden;

• gesetzlich erforderliche Entscheidungsbegründungen zu erstellen und

zuzustellen;

• interne Beschwerden unparteiisch, sorgfältig und unter menschlicher

Verantwortung zu prüfen;

• Serienmeldungen, Identitätstäuschung, Drohungen,

Manipulationsversuche und sonstigen Missbrauch zu erkennen und abzuwehren;

• gerichtliche, behördliche und aufsichtsrechtliche Anordnungen zu

prüfen und zu erfüllen;

• bei einem hinreichend konkreten Verdacht auf eine Straftat, die eine

Gefahr für Leben oder Sicherheit von Personen darstellt, die gesetzlich vorgesehenen Stellen zu informieren;

• Rechtsansprüche geltend zu machen, auszuüben oder zu verteidigen;
• Moderationsqualität, Konsistenz und Sicherheit anhand

anonymisierter oder aggregierter Auswertungen zu überprüfen;

• gesetzliche Transparenz- und Nachweispflichten zu erfüllen.

Fallbezogene Daten werden nicht für personalisierte Werbung verwendet.

20.4 Rechtsgrundlagen

Soweit GymScout zur Einrichtung oder Bearbeitung eines Meldeverfahrens, zur Begründung einer Moderationsentscheidung, zur Behandlung einer Beschwerde, zur Befolgung einer Anordnung oder zur Meldung eines qualifizierten Straftatverdachts gesetzlich verpflichtet ist, erfolgt die Verarbeitung auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den jeweils anwendbaren Bestimmungen, insbesondere Art. 9, 10, 14, 16, 17 und 18 DSA sowie dem DDG. Art. 20 DSA wird als Rechtsgrundlage nur herangezogen, soweit seine Voraussetzungen und keine gesetzliche Ausnahme – insbesondere für Kleinst- oder Kleinunternehmen – vorliegen.

Soweit die Prüfung und Durchsetzung von Plattformregeln zur Erfüllung eines Nutzungs- oder Betreiberverhältnisses erforderlich ist oder eine betroffene Person eine vertraglich vorgesehene Überprüfung verlangt, kann Art. 6 Abs. 1 lit. b DSGVO einschlägig sein.

Im Übrigen beruht die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO. Berechtigte Interessen sind insbesondere der sichere und vertrauenswürdige Betrieb der Plattform, der Schutz der Rechte von Nutzern, Studios und Dritten, die Prüfung freiwillig angebotener Beschwerden, die Bekämpfung von Missbrauch und Manipulation, die einheitliche Anwendung der Regeln, die Beweissicherung sowie die Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen. Die Interessen und Grundrechte der betroffenen Personen werden im Einzelfall berücksichtigt.

In seltenen akuten Notlagen kann Art. 6 Abs. 1 lit. d DSGVO die Verarbeitung rechtfertigen, wenn sie zum Schutz lebenswichtiger Interessen erforderlich ist. Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO wird nur für tatsächlich freiwillige Zusatzverarbeitungen eingesetzt und nicht als pauschale Grundlage für das gesetzliche Melde- und Moderationsverfahren verwendet.

Für besondere Kategorien personenbezogener Daten und Angaben zu Straftaten gelten zusätzlich die Voraussetzungen aus Kapitel 6. Für Personen in der Schweiz erfolgt die Bearbeitung außerdem nach den anwendbaren Bestimmungen des Schweizer DSG, insbesondere unter Beachtung der Grundsätze von Rechtmäßigkeit, Verhältnismäßigkeit, Zweckbindung, Transparenz und Datensicherheit.

20.5 Herkunft der Daten und Information nach Art. 14 DSGVO

Daten werden unmittelbar von meldenden, beschwerdeführenden oder betroffenen Personen erhoben. Daneben können sie aus dem beanstandeten Plattforminhalt, Nutzerkonten, Verifizierungsunterlagen, technischen Protokollen, Stellungnahmen anderer Beteiligter, öffentlich zugänglichen Quellen sowie Mitteilungen von Behörden, Gerichten, vertrauenswürdigen Hinweisgebern oder sonstigen Dritten stammen.

Enthält eine Meldung personenbezogene Daten einer anderen Person, erhebt GymScout diese Daten nicht unmittelbar bei der betroffenen Person. GymScout informiert die betroffene Person nach Maßgabe von Art. 14 DSGVO, regelmäßig im Rahmen einer Anhörung oder Entscheidungsmitteilung, sofern keine gesetzliche Ausnahme eingreift. Eine Information kann insbesondere vorübergehend oder dauerhaft eingeschränkt sein, wenn sie sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde, die Erreichung des Prüfzwecks ernsthaft gefährden würde, gesetzlich ausgeschlossen ist oder Rechte und Freiheiten anderer Personen – einschließlich Vertraulichkeits- und Schutzinteressen der meldenden Person – entgegenstehen. Die Ausnahme wird nicht pauschal, sondern fallbezogen geprüft und dokumentiert.

20.6 Empfänger und Offenlegung innerhalb des Verfahrens

Zugriff erhalten innerhalb von GymScout nur Personen, die mit Fallannahme, Moderation, Beschwerdeprüfung, Sicherheit, Datenschutz oder Rechtsangelegenheiten betraut sind und die Informationen für ihre Aufgabe benötigen.

Zur sachgerechten Anhörung oder Begründung können dem Verfasser des Inhalts, einem betroffenen Studio oder einer sonstigen Verfahrenspartei der wesentliche Sachverhalt, die beanstandete Fundstelle und die tragenden Gründe mitgeteilt werden. Die Identität und die Kontaktdaten der meldenden Person werden nicht automatisch offengelegt. Eine Offenlegung erfolgt nur, soweit sie zur fairen Prüfung oder Rechtsverteidigung erforderlich ist, die betroffene Person eingewilligt hat oder eine wirksame gesetzliche, gerichtliche oder behördliche Verpflichtung besteht. Vor einer Offenlegung werden Schutzinteressen, Drohungs- oder Vergeltungsrisiken und die Möglichkeit einer Schwärzung geprüft.

Weitere Empfänger können sein:

• Hosting-, Datenbank-, E-Mail-, Sicherheits-, Ticket- oder

Dokumentationsdienstleister als Auftragsverarbeiter;

• KI-Anbieter nur, wenn die in Kapitel 15 und Abschnitt 20.7

beschriebene Unterstützung für den Fall aktiviert und erforderlich ist;

• Rechtsanwälte, Sachverständige, Versicherer und sonstige

Berufsgeheimnisträger;

• Gerichte, Strafverfolgungs-, Justiz-, Aufsichts- und sonstige Behörden

bei gesetzlicher Grundlage oder wirksamer Anordnung;

• der zuständige Koordinator für digitale Dienste, die Europäische

Kommission oder andere nach dem DSA zuständige Stellen, soweit vorgeschrieben;

• zertifizierte außergerichtliche Streitbeilegungsstellen, wenn die

betroffene Person ein gesetzlich vorgesehenes Verfahren einleitet und die Übermittlung erforderlich ist.

Solange GymScout die gesetzlichen Voraussetzungen eines Kleinst- oder Kleinunternehmens erfüllt und die entsprechende Ausnahme des DSA greift, werden Entscheidungsbegründungen nicht allein aufgrund von Art. 24 Abs. 5 DSA an die Transparenzdatenbank der Europäischen Kommission übermittelt. Sollte diese Pflicht künftig anwendbar werden, erfolgt die Übermittlung im gesetzlich vorgegebenen standardisierten Format und ohne personenbezogene Daten. Eine freiwillige personenbezogene Übermittlung an diese Datenbank findet nicht statt.

20.7 Einsatz von KI im Moderationsverfahren

GymScout kann KI-Systeme zur Kategorisierung, Dublettenerkennung, Priorisierung anhand von Dringlichkeitssignalen, Übersetzung, Zusammenfassung umfangreicher Unterlagen und Erstellung unverbindlicher Textentwürfe einsetzen. Ob eine solche Unterstützung erfolgt, hängt vom Einzelfall, der Sensibilität der Daten und der produktiv freigegebenen Konfiguration ab.

Es werden nach Möglichkeit nur pseudonymisierte Kennungen, geschwärzte Dokumente oder die erforderlichen Textausschnitte übermittelt. Vollständige Fallakten, Identitätsnachweise, Gesundheitsdaten, Angaben über Straftaten oder andere besonders sensible Informationen werden nicht an ein externes KI-System übermittelt, wenn der Zweck mit weniger Daten erreicht werden kann. Fehlt eine tragfähige Rechtsgrundlage oder ein geeignetes Vertrags- und Sicherheitsniveau, erfolgt keine KI-gestützte Verarbeitung.

KI-Ausgaben können unzutreffend oder verzerrt sein. Sie werden daher von einer zuständigen Person auf Plausibilität, Vollständigkeit und rechtliche Relevanz geprüft. Die endgültige Sachentscheidung sowie die Entscheidung über eine interne Beschwerde werden nicht allein automatisiert getroffen. Eine Entscheidung nach Art. 22 Abs. 1 DSGVO findet derzeit nicht statt. Fallbezogene Daten werden von GymScout nicht für das Training eigener allgemeiner KI-Modelle oder für personalisierte Werbung verwendet. Externe KI- Anbieter werden nur auf Grundlage eines geeigneten Geschäfts-, API- oder Auftragsverarbeitungsmodells eingesetzt. Optionale Freigaben für Modelltraining oder Produktverbesserung werden durch GymScout nicht aktiviert. Unberührt bleiben technisch oder gesetzlich erforderliche Sicherheitsverarbeitungen des Anbieters, über die nach Maßgabe des konkreten Dienstes informiert wird.

20.8 Behördenanordnungen und Straftatverdacht

Erhält GymScout eine Anordnung nach Art. 9 oder 10 DSA oder eine sonstige verbindliche gerichtliche oder behördliche Verfügung, werden die darin enthaltenen Personen-, Kontakt-, Inhalts-, Konto- und Verfahrensdaten zur Prüfung der Echtheit, Zuständigkeit, Reichweite und Befolgung verarbeitet. Empfänger sind die anordnende Stelle, betroffene interne Funktionen, erforderliche Dienstleister und gegebenenfalls rechtliche Berater.

Erlangt GymScout Kenntnis von Informationen, die den Verdacht begründen, dass eine Straftat begangen wurde, begangen wird oder wahrscheinlich begangen wird, die eine Gefahr für das Leben oder die Sicherheit einer Person darstellt, kann eine Mitteilung an die zuständigen Strafverfolgungs- oder Justizbehörden nach Art. 18 DSA erforderlich sein. Übermittelt werden nur die verfügbaren und zur Erfüllung der gesetzlichen Pflicht erforderlichen Informationen. Angaben über Straftaten werden mit erhöhten Zugriffsbeschränkungen und unter Beachtung von Art. 10 DSGVO verarbeitet.

20.9 Speicherdauer

Fallbezogene Daten werden zunächst für die Dauer der Prüfung, Anhörung, Entscheidung und Zustellung gespeichert. Anschließend bleiben sie mindestens bis zum Ablauf der für den betreffenden Vorgang eröffneten Beschwerdefrist und bis zum Abschluss einer fristgerecht eingelegten Beschwerde verfügbar. GymScout bietet nach der aktuellen Melde- und Beschwerderichtlinie grundsätzlich eine interne Beschwerdemöglichkeit innerhalb von sechs Monaten nach Mitteilung der Entscheidung an; soweit eine längere gesetzliche Frist gilt, geht diese vor.

Nach Abschluss werden die für Nachweis, Missbrauchsschutz und Rechtsverteidigung erforderlichen Kerndaten grundsätzlich bis zum Ablauf der regelmäßigen zivilrechtlichen Verjährungsfrist von drei Jahren aufbewahrt, gerechnet ab dem Ende des Kalenderjahres, in dem der Vorgang abgeschlossen wurde. Eine längere Speicherung erfolgt, wenn ein gerichtliches, behördliches oder außergerichtliches Verfahren anhängig ist, eine gesetzliche Aufbewahrungs- oder Nachweispflicht besteht, eine Sicherungsanordnung vorliegt oder konkrete Ansprüche noch geltend gemacht werden können. Eine kürzere Frist gilt, wenn der Zweck früher entfällt und keine Aufbewahrungsgründe entgegenstehen.

Nicht mehr benötigte Identitätsdokumente, besonders sensible Anlagen, Rohdaten und technische Duplikate werden früher gelöscht oder geschwärzt. Zurück bleiben können anonymisierte oder so aggregierte Statistiken, dass ein Personenbezug nicht mehr hergestellt werden kann. Sicherungskopien werden im Rahmen des technischen Löschzyklus überschrieben und bis dahin gesperrt.

20.10 Unbegründete oder missbräuchliche Meldungen

Zur Erkennung wiederholter offensichtlich unbegründeter oder missbräuchlicher Meldungen und Beschwerden kann GymScout Vorgangskennungen, Absenderdaten, technische Merkmale, Häufigkeit, Muster, frühere Entscheidungen und dokumentierte Missbrauchsindikatoren verarbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; berechtigte Interessen sind der Schutz der Plattform, der Verfahrensbeteiligten und der verfügbaren Prüfressourcen. Maßnahmen werden nicht allein aufgrund der Anzahl von Meldungen getroffen. Kontext, Schwere, Absicht, Fehlerwahrscheinlichkeit und Auswirkungen werden berücksichtigt; soweit erforderlich erfolgt eine menschliche Prüfung.

20.11 Datensicherheit und Vertraulichkeit

Moderationsfälle werden nach einem rollenbasierten Berechtigungskonzept behandelt. Je nach Risiko werden insbesondere Zugriffsbeschränkungen, Vertraulichkeitsverpflichtungen, verschlüsselte Übertragung, gesonderte Ablage sensibler Anlagen, Protokollierung von Zugriffen und Änderungen, Schwärzung, Pseudonymisierung, Schadsoftwareprüfung und sichere Löschung eingesetzt. Informationen über Kinder, mögliche Opfer, Hinweisgeber und Personen in Gefährdungslagen werden besonders restriktiv behandelt.

20.12 Betroffenenrechte und Abgrenzung zur DSA-Beschwerde

Die in Kapitel 21 beschriebenen Datenschutzrechte gelten auch für Daten in Melde-, Moderations- und Beschwerdeverfahren. Ihre Ausübung kann eingeschränkt sein, soweit gesetzliche Ausnahmen, Rechte und Freiheiten anderer Personen, laufende Ermittlungen, Geheimhaltungsinteressen oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen entgegenstehen. Eine datenschutzrechtliche Anfrage führt nicht automatisch zu einer Änderung der inhaltlichen Moderationsentscheidung.

Eine Beschwerde gegen eine Moderationsentscheidung ist an beschwerde@gymscoutfitness.de zu richten. Ein datenschutzrechtliches Auskunfts-, Löschungs-, Berichtigungs- oder Widerspruchsbegehren ist an info@gymscoutfitness.de zu richten. Wenn aus der Nachricht nicht eindeutig hervorgeht, welcher Rechtsbehelf gewollt ist, kann GymScout zur Klarstellung nachfragen oder beide Anliegen getrennt bearbeiten.

21. Rechte der betroffenen Personen

Als betroffene Person stehen Ihnen hinsichtlich der Verarbeitung Ihrer personenbezogenen Daten die nachfolgenden Rechte nach der DSGVO zu. Soweit das Schweizer DSG anwendbar ist, stehen Ihnen zusätzlich die dort vorgesehenen Rechte zu, insbesondere das Recht auf Auskunft sowie – je nach Voraussetzung – Berichtigung, Löschung, Vernichtung, Einschränkung, Widerspruch oder Herausgabe beziehungsweise Übertragung von Personendaten. Die Rechte bestehen jeweils unter den gesetzlichen Voraussetzungen und können durch gesetzliche Ausnahmen sowie Rechte und Freiheiten anderer Personen begrenzt sein. Zur Wahrnehmung Ihrer Rechte können Sie sich jederzeit an den in dieser Datenschutzerklärung genannten Verantwortlichen wenden.

21.1 Recht auf Auskunft (Art. 15 DSGVO)

Sie haben das Recht, jederzeit Auskunft darüber zu verlangen, ob GymScout personenbezogene Daten über Sie verarbeitet. Ist dies der Fall, haben Sie insbesondere Anspruch auf Informationen über

• die verarbeiteten personenbezogenen Daten,
• die Verarbeitungszwecke,
• die Kategorien personenbezogener Daten,
• die Empfänger oder Kategorien von Empfängern,
• die geplante Speicherdauer,
• die Herkunft der Daten, sofern diese nicht unmittelbar bei Ihnen

erhoben wurden,

• das Bestehen Ihrer weiteren Datenschutzrechte,
• etwaige Drittlandübermittlungen,
• geeignete Garantien gemäß Art. 46 DSGVO,
• das Bestehen automatisierter Entscheidungsfindungen einschließlich

Profiling. Darüber hinaus haben Sie das Recht, eine Kopie der über Sie verarbeiteten personenbezogenen Daten zu erhalten. Soweit technisch möglich, kann GymScout hierfür zukünftig entsprechende Exportfunktionen innerhalb des Nutzerkontos bereitstellen.

21.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sie haben das Recht, unverzüglich die Berichtigung unrichtiger personenbezogener Daten zu verlangen. Darüber hinaus können Sie die Vervollständigung unvollständiger personenbezogener Daten verlangen. Viele Profildaten können Sie innerhalb Ihres Nutzerkontos selbst aktualisieren.

21.3 Recht auf Löschung („Recht auf Vergessenwerden“) – Art. 17 DSGVO

Sie haben das Recht, die unverzügliche Löschung Ihrer personenbezogenen Daten zu verlangen, sofern einer der gesetzlichen Löschgründe vorliegt. Dies ist insbesondere der Fall, wenn

• die Daten für die ursprünglichen Zwecke nicht mehr erforderlich sind,
• Sie eine erteilte Einwilligung widerrufen,
• Sie wirksam Widerspruch gegen die Verarbeitung eingelegt haben,
• die Daten unrechtmäßig verarbeitet wurden,
• eine gesetzliche Löschungspflicht besteht.

Einschränkungen Das Recht auf Löschung besteht nicht, soweit die Verarbeitung weiterhin erforderlich ist, insbesondere

• zur Erfüllung gesetzlicher Aufbewahrungspflichten,
• zur Geltendmachung, Ausübung oder Verteidigung von

Rechtsansprüchen,

• aus Gründen des öffentlichen Interesses,
• zur Erfüllung gesetzlicher Verpflichtungen.

21.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Unter den gesetzlichen Voraussetzungen können Sie die Einschränkung der Verarbeitung verlangen. Während der Einschränkung dürfen personenbezogene Daten grundsätzlich nur gespeichert werden. Eine weitergehende Verarbeitung erfolgt nur

• mit Ihrer Einwilligung,
• zur Geltendmachung von Rechtsansprüchen,
• zum Schutz anderer Personen,
• aufgrund wichtiger öffentlicher Interessen.

21.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, personenbezogene Daten, die Sie GymScout bereitgestellt haben,

• in einem strukturierten,
• gängigen,
• maschinenlesbaren Format

zu erhalten. Soweit technisch möglich, können Sie außerdem verlangen, dass diese Daten unmittelbar an einen anderen Verantwortlichen übertragen werden. Dies gilt nur, soweit

• die Verarbeitung automatisiert erfolgt und
• auf einer Einwilligung oder einem Vertrag beruht.

21.6 Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch gegen die Verarbeitung personenbezogener Daten einzulegen, sofern diese auf Art. 6 Abs. 1 lit. e oder lit. f DSGVO beruht. Nach Eingang Ihres Widerspruchs werden wir die betreffende Verarbeitung einstellen, sofern wir keine zwingenden schutzwürdigen Gründe nachweisen können, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.

Direktwerbung Soweit personenbezogene Daten für Zwecke der Direktwerbung verarbeitet werden, können Sie der Verarbeitung jederzeit ohne Angabe von Gründen widersprechen. Nach Eingang des Widerspruchs werden Ihre personenbezogenen Daten nicht mehr für Direktwerbung verarbeitet.

21.7 Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)

Sie können eine einmal erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung. Der Widerruf kann insbesondere erfolgen hinsichtlich

• Push-Benachrichtigungen,
• Analyse-Diensten,
• Google Analytics,
• Google Tag Manager,
• Standortfreigaben,
• Newslettern,
• weiterer optionaler Funktionen.

21.8 Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Sie haben das Recht, sich jederzeit bei einer Datenschutzaufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Dies gilt insbesondere in dem Mitgliedstaat

• Ihres gewöhnlichen Aufenthalts,
• Ihres Arbeitsplatzes oder
• des Ortes des mutmaßlichen Datenschutzverstoßes.

Die Ausübung dieses Rechts berührt andere verwaltungsrechtliche oder gerichtliche Rechtsbehelfe nicht. Für Deutschland ist insbesondere die nach dem Sitz des Verantwortlichen zuständige Landesdatenschutzaufsichtsbehörde zuständig; sie kann erst nach Eintragung der vollständigen Anschrift eindeutig bezeichnet werden. Personen in Österreich können sich insbesondere an die Österreichische Datenschutzbehörde wenden. Personen in der Schweiz können sich nach Maßgabe des Schweizer DSG an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden.

21.9 Recht, nicht ausschließlich automatisierten Entscheidungen unterworfen zu

werden (Art. 22 DSGVO) Sie haben das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in vergleichbarer Weise erheblich beeinträchtigt. GymScout trifft derzeit keine derartigen ausschließlich automatisierten Entscheidungen. KI-gestützte Systeme können Prozesse vorbereiten oder unterstützen; die in Kapitel 20 beschriebenen endgültigen Beschwerdeentscheidungen bleiben menschlich verantwortet.

21.10 Identitätsprüfung

Zum Schutz personenbezogener Daten kann GymScout vor der Bearbeitung datenschutzrechtlicher Anfragen geeignete Maßnahmen zur Identitätsprüfung durchführen. Hierdurch soll verhindert werden, dass unbefugte Dritte Auskünfte über personenbezogene Daten erhalten oder Betroffenenrechte missbräuchlich ausgeübt werden. Zusätzliche Informationen oder Nachweise werden nur angefordert, wenn begründete Zweifel an der Identität bestehen, und auf den erforderlichen Umfang beschränkt. Kopien von Ausweisdokumenten werden nur in Ausnahmefällen verlangt; nicht erforderliche Angaben dürfen geschwärzt werden.

21.11 Fristen zur Bearbeitung

GymScout bearbeitet Anfragen betroffener Personen grundsätzlich unverzüglich. Spätestens erfolgt die Bearbeitung innerhalb eines Monats nach Eingang der Anfrage gemäß Art. 12 Abs. 3 DSGVO. Soweit dies aufgrund der Komplexität oder Anzahl eingehender Anfragen erforderlich ist, kann diese Frist um bis zu zwei weitere Monate verlängert werden. Über eine entsprechende Fristverlängerung werden Sie innerhalb eines Monats nach Eingang Ihrer Anfrage informiert.

21.12 Ausübung Ihrer Rechte

Zur Ausübung Ihrer Betroffenenrechte können Sie sich jederzeit an den Verantwortlichen unter info@gymscoutfitness.de wenden. Bitte richten Sie entsprechende Anfragen möglichst unter Angabe

• Ihres Namens,
• Ihrer bei GymScout verwendeten E-Mail-Adresse,
• einer Beschreibung Ihres Anliegens

an die in dieser Datenschutzerklärung genannten Kontaktdaten.

22. Übersicht sämtlicher Verarbeitungstätigkeiten

Nachfolgend erhalten Sie eine zusammenfassende Übersicht der wesentlichen Verarbeitungsvorgänge innerhalb der Plattform GymScout. Diese Übersicht dient ausschließlich der besseren Transparenz und ergänzt die ausführlichen Erläuterungen der einzelnen Kapitel. Verarbeitung Daten Zweck Rechtsgrundlage Empfänger Speicherdauer Besuch der Website IP-Adresse, Browserdaten Bereitstellung der Website Art. 6 Abs. 1 lit. f DSGVO Hosting nach technischen Erfordernissen Registrierung E-Mail, Passwort-Hash, Benutzer-ID Nutzerkonto Art. 6 Abs. 1 lit. b DSGVO Supabase bis Löschung Login Tokens, Sessiondaten Authentifizierung Art. 6 Abs. 1 lit. b DSGVO Supabase Sitzungsdauer Nutzerprofil Vorname, Einstellungen Kontoverwaltung Art. 6 Abs. 1 lit. b DSGVO Supabase bis Löschung Favoriten Studio-ID, Benutzer-ID Personalisierung Art. 6 Abs. 1 lit. b DSGVO Supabase bis Löschung Vergleichsliste Studio-IDs Vergleich Art. 6 Abs. 1 lit. b DSGVO Supabase / Browser bis Löschung Preisänderungsbenachrichtigung Favoriten, E-Mail Benachrichtigung Art. 6 Abs. 1 lit. b DSGVO Resend bis Widerruf Neue Studios Stadt, Benutzer-ID Benachrichtigung Art. 6 Abs. 1 lit. a DSGVO Resend bis Widerruf Push-Benachrichtigungen Push-Endpoint Push Art. 6 Abs. 1 lit. a DSGVO Browser Push Dienste bis Widerruf Kontaktformular Kontaktdaten Kommunikation Art. 6 Abs. 1 lit. b DSGVO HubSpot Bearbeitung PreisanfrageKontaktdaten Anfrage Art. 6 Abs. 1 lit. b DSGVO Studio, HubSpot Bearbeitung Probetraining Kontaktdaten Vermittlung Art. 6 Abs. 1 lit. b DSGVO Studio Bearbeitung Sterne- und Textbewertung Nutzerkennung, Anzeigename/Pseudonym, Sterne, Text, Studio, Zeitstempel Veröffentlichung und Qualitätssicherung Art. 6 Abs. 1 lit. b und lit. f, gegebenenfalls lit. c DSGVO Öffentlichkeit, betroffenes Studio, Hosting- und Moderationsdienstleisterbis Löschung, Anonymisierung oder Zweckfortfall; Moderationsakte nach Kapitel 20 KI-Chat Texteingaben Beantwortung Art. 6 Abs. 1 lit. b DSGVO AI Gateway Bearbeitung Karten IP-Adresse Kartendarstellung Art. 6 Abs. 1 lit. f DSGVO OSM technisch erforderlich Analytics Nutzungsdaten Statistik Art. 6 Abs. 1 lit. a DSGVOGoogle nach Konfiguration Studio-Datenimport öffentliche Studio- und gegebenenfalls Ansprechpartnerdaten Aufbau und Aktualisierung des Verzeichnisses Art. 6 Abs. 1 lit. f DSGVO Firecrawl, Quellanbieter bis Aktualisierung, Widerspruch oder Zweckfortfall Inhaltsmeldung Kontakt-, Inhalts-, Beleg- und technische Daten Notice-and- Action-Verfahren Art. 6 Abs. 1 lit. c, lit. f, gegebenenfalls lit. b oder lit. d DSGVO interne Moderation, erforderliche Dienstleister, gegebenenfalls Beteiligte oder Behörden nach Kapitel 20.9 Moderationsentscheidung Inhalts-, Konto-, Prüf- und Entscheidungsdaten Prüfung, Maßnahme und Begründung Art. 6 Abs. 1 lit. c, lit. f und gegebenenfalls lit. b DSGVO Betroffene, erforderliche Dienstleister, gegebenenfalls Behörden nach Kapitel 20.9 Beschwerde gegen Moderation Kontakt-, Fall-, Beschwerde- und Nachweisdaten interne Überprüfung Art. 6 Abs. 1 lit. c, lit. f und gegebenenfalls lit. b DSGVO menschlich verantwortete Beschwerdestelle, erforderliche Dienstleisternach Kapitel 20.9 KI-Moderationsunterstützung erforderliche, möglichst pseudonymisierte Fallauszüge Kategorisierung, Übersetzung, Zusammenfassung, Entwurf je nach Grundvorgang Art. 6 Abs. 1 lit. b, lit. c oder lit. f DSGVO freigegebener AI Gateway und Zielmodell nach Kapitel 15 und 20

23. Internationale Datenübermittlungen

GymScout bevorzugt eine Verarbeitung innerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums. Aufgrund globaler Infrastrukturen, Supportzugriffe und Unterauftragsverarbeiter kann es jedoch zu Übermittlungen oder Fernzugriffen aus Drittländern kommen. Auch die Schweiz ist aus Sicht der DSGVO ein Drittland; für sie besteht jedoch ein Angemessenheitsbeschluss der Europäischen Kommission. Für Übermittlungen aus der Schweiz werden zusätzlich die Vorgaben des Schweizer DSG beachtet.

23.1 Mögliche Drittlandempfänger

Dienst beziehungsweise Empfängerkategorie Mögliche Drittländer Mögliche Grundlage Lovable und Unterauftragsverarbeiter USA und weitere in der Unterauftragsverarbeiterliste genannte Staaten Art. 45 oder 46 DSGVO Supabase, AWS und Unterauftragsverarbeiter USA und weitere in der Unterauftragsverarbeiterliste genannte Staaten Art. 45 oder 46 DSGVO HubSpot USA und weitere Konzern- oder Unterauftragsstandorte Art. 45 oder 46 DSGVO Google-Dienste einschließlich Gemini, Analytics und Push USA und weitere Verarbeitungsstandorte Art. 45 oder 46 DSGVO OpenAI USA und weitere Unterauftragsstandorte Art. 45 oder 46 DSGVO Cloudflare USA und globales Netzwerk Art. 45 oder 46 DSGVO Resend USA und Unterauftragsstandorte Art. 45 oder 46 DSGVO Apple und Mozilla USA und weitere Verarbeitungsstandorte Art. 45 oder 46 DSGVO Firecrawl USA und Unterauftragsstandorte Art. 45 oder 46 DSGVO

23.2 Schutzmaßnahmen

Vor einer Drittlandübermittlung prüft GymScout, ob die Voraussetzungen der Art. 44 ff. DSGVO vorliegen. Als Transfermechanismen kommen insbesondere in Betracht:

• Angemessenheitsbeschlüsse der Europäischen Kommission gemäß

Art. 45 DSGVO,

• für Übermittlungen an US-Empfänger der EU-US Data Privacy

Framework nur, soweit der konkrete Empfänger wirksam zertifiziert ist und die betreffende Verarbeitung von der Zertifizierung erfasst wird,

• Standardvertragsklauseln der Europäischen Kommission gemäß Art.

46 Abs. 2 lit. c DSGVO,

• zusätzliche technische und organisatorische Maßnahmen,
• Verschlüsselung personenbezogener Daten,
• Zugriffsbeschränkungen,
• Transferfolgenabschätzungen und regelmäßige Überprüfung der

eingesetzten Dienstleister. Besteht weder ein Angemessenheitsbeschluss noch eine geeignete Garantie, findet eine Übermittlung nur ausnahmsweise unter den engen Voraussetzungen des Art. 49 DSGVO statt. Betroffene Personen können Informationen über die einschlägigen Garantien und, soweit gesetzlich vorgesehen, eine Kopie oder Fundstelle dieser Garantien anfordern. Für Bekanntgaben aus der Schweiz ins Ausland prüft GymScout zusätzlich, ob im Empfängerstaat ein angemessener Schutz besteht oder eine zulässige Garantie beziehungsweise gesetzliche Ausnahme nach dem Schweizer DSG vorliegt. EU- Standardvertragsklauseln werden erforderlichenfalls für die Schweiz angepasst.

23.3 Auftragsverarbeiter

GymScout setzt verschiedene Auftragsverarbeiter gemäß Art. 28 DSGVO ein. Vor ihrem Einsatz werden – soweit gesetzlich erforderlich – Verträge zur Auftragsverarbeitung abgeschlossen. Darin werden insbesondere Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten, Kategorien betroffener Personen, Weisungsbindung, Vertraulichkeit, Sicherheit, Unterstützungspflichten, Löschung und Kontrollrechte geregelt. Unterauftragsverarbeiter werden nach den vertraglich vereinbarten Verfahren eingebunden. Soweit ein Anbieter eigene Zwecke verfolgt und insoweit selbst Verantwortlicher ist, wird diese Rolle nicht als Auftragsverarbeitung dargestellt.

24. Datensicherheit

Der Schutz personenbezogener Daten hat für GymScout einen hohen Stellenwert. Wir treffen geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um personenbezogene Daten gegen zufällige oder vorsätzliche Manipulationen, Verlust, Zerstörung sowie gegen den unbefugten Zugriff Dritter zu schützen. Die Sicherheitsmaßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst.

Eingesetzte Sicherheitsmaßnahmen Hierzu gehören insbesondere:

• TLS-Verschlüsselung sämtlicher Datenübertragungen,
• rollenbasierte Berechtigungssysteme,
• Mehrstufige Authentifizierungs- und Autorisierungskonzepte,
• verschlüsselte Speicherung sicherheitsrelevanter Zugangsdaten,
• sichere Passwort-Hashing-Verfahren,
• Firewalls,
• Zugriffskontrollen,
• Protokollierung sicherheitsrelevanter Ereignisse,
• Backup- und Wiederherstellungskonzepte,
• regelmäßige Sicherheitsupdates,
• Monitoring der Infrastruktur,
• Schutz vor automatisierten Angriffen,
• Prinzip der minimalen Rechtevergabe (Least Privilege),
• regelmäßige Überprüfung eingesetzter Dienstleister.

25. Änderungen dieser Datenschutzerklärung

GymScout behält sich vor, diese Datenschutzerklärung anzupassen, sofern dies aufgrund

• neuer gesetzlicher Anforderungen,
• behördlicher Vorgaben,
• technischer Weiterentwicklungen,
• neuer Funktionen,
• neuer Dienstleister oder
• Änderungen der Datenverarbeitung

erforderlich wird. Maßgeblich ist jeweils die zum Zeitpunkt Ihres Besuchs veröffentlichte Fassung. Soweit gesetzlich erforderlich oder Ihnen gegenüber vertraglich geschuldet, werden wir Sie über wesentliche Änderungen in geeigneter Weise informieren.

26. Kontakt zum Datenschutz

Bei Fragen zum Datenschutz oder zur Verarbeitung Ihrer personenbezogenen Daten können Sie sich jederzeit an den Verantwortlichen wenden. GymScout GbR Yannik Hennelotter, Yves König, Oliver Röder und Rico Jakoby [vollständige ladungsfähige Anschrift vor Veröffentlichung ergänzen] Deutschland E-Mail: info@gymscoutfitness.de Anfragen werden entsprechend den gesetzlichen Vorgaben bearbeitet.

Für Meldungen rechtswidriger oder regelwidriger Inhalte und Beschwerden gegen Moderationsentscheidungen verwenden Sie bitte beschwerde@gymscoutfitness.de. Datenschutzanfragen und DSA-Beschwerden können getrennte Rechtsbehelfe mit unterschiedlichen Prüfgegenständen sein.

Anlage A – Übersicht wesentlicher Anbieter und Empfängerkategorien

Die folgende Übersicht beschreibt die zum Redaktionsstand vorgesehenen Anbieter. Maßgeblich ist, ob der jeweilige Dienst in der Produktivumgebung tatsächlich aktiviert ist. Vor Veröffentlichung und nach jeder technischen Änderung ist die Übersicht mit den Verträgen, Einstellungen und Unterauftragsverarbeiterlisten abzugleichen.

Dienst / Anbieter Funktion Typische Daten Datenschutzrechtliche Rolle Drittlandbezug Lovable / Lovable Cloud – Lovable Labs Incorporated beziehungsweise Lovable Labs AB Entwicklung, Deployment, Hosting und AI GatewayProjekt-, Inhalts-, Nutzungs- und technische Daten regelmäßig Auftragsverarbeiter; für bestimmte Service- und Kontodaten gegebenenfalls eigener Verantwortlicher möglich; abhängig von Tarif, Region und Unterauftragsverarbeitern Supabase, Inc. Datenbank, Authentifizierung, Storage, Edge Functions Konto-, Inhalts-, Anfrage-, Fall- und Protokolldaten Auftragsverarbeiter möglich; Projektregion und Unterauftragsverarbeiter sind zu beachten Amazon Web Services EMEA SARL und verbundene Unternehmen Cloud- Unterinfrastruktur gespeicherte Inhalte und technische Daten regelmäßig Unterauftragsverarbeiter möglich; abhängig von Region und Supportzugriffen Cloudflare, Inc. und verbundene Unternehmen CDN, DDoS-Schutz, DNS und R2 IP-Adressen, Header, Sicherheits- und Medienabrufdaten je nach Dienst Auftragsverarbeiter und/oder eigener Verantwortlicher globales Netzwerk; Drittlandzugriffe möglich HubSpot Ireland Limited und verbundene Unternehmen CRM und Leadverwaltung Kontakt-, Anfrage-, Studio- und Bearbeitungsdaten regelmäßig Auftragsverarbeiter; bestimmte Konto- und Nutzungsdaten gegebenenfalls in eigener Verantwortung möglich Plus Five Five, Inc. (Resend) Transaktionaler E-Mail-Versand E-Mail-Adresse, Name, Nachrichteninhalt, Versand- und Zustelldaten Auftragsverarbeiter; Konto- und Nutzungsdaten gegebenenfalls in eigener Verantwortung USA und Unterauftragsverarbeiter Google-Dienste – Google Ireland Limited beziehungsweise Google Cloud EMEA Limited und verbundene Unternehmen Consent Mode, Tag Manager, Analytics, Fonts, Gemini und Push je nach Dienst Einwilligungs-, Nutzungs-, Geräte-, IP-, Chat- oder Fallauszugsdaten je nach Dienst Auftragsverarbeiter, eigener oder gemeinsam Verantwortlicher möglich; dienst- und konfigurationsabhängig OpenAI Ireland Limited und Unterauftragsverarbeiter KI-Antworten und gegebenenfalls Moderationsunterstützung erforderliche Eingaben, Ausgaben, Kontextausschnitte und technische Metadaten bei geschäftlicher/API-Nutzung regelmäßig Auftragsverarbeiter möglich OpenStreetMap Foundation beziehungsweise tatsächlich eingesetzter Tile- oder Geocoding-Anbieter Kartenkacheln, Orts- und Umkreissuche IP-Adresse, Suchort, technische Abrufdaten regelmäßig eigener Verantwortlicher für den externen Abruf anbieterabhängig Google, Apple und Mozilla Browser-Push Push-Endpoint, Geräte- und Zustelldaten je nach Push-Dienst eigener Empfänger beziehungsweise Anbieter möglich SideGuide Technologies, Inc. d/b/a Firecrawl Erfassung und Strukturierung öffentlich zugänglicher Studiodaten Quell-URL, Websiteinhalte, Studio- und gegebenenfalls Ansprechpartnerdaten regelmäßig Auftragsverarbeiter USA und Unterauftragsverarbeiter

Anlage B – Kategorien personenbezogener Daten

Je nach Nutzung verarbeitet GymScout insbesondere folgende Kategorien:

• Stamm- und Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer,

Anschrift, Nutzer-, Betreiber- und Fallkennung;

• Authentifizierungs- und Berechtigungsdaten: Passwort-Hash, Tokens,

Login-Zeitpunkte, Rollen, Berechtigungen und Verifizierungsstatus;

• Kommunikations- und Anfragedaten: Kontaktformulare, Preis- und

Probetrainingsanfragen, E-Mails, Chatbot-Eingaben und Betreiberkommunikation;

• Inhaltsdaten: Sterne- und Textbewertungen, Studiofotos, Logos,

Antworten, hochgeladene Dateien und Metadaten;

• Nutzungs- und Präferenzdaten: Favoriten, Vergleiche, Such- und

Filterparameter, besuchte Studios, Benachrichtigungs- und Consent-Einstellungen;

• Standortdaten: Suchorte, ungefähre Standorte und – nur bei

entsprechender Freigabe – genaue Browser-Geokoordinaten;

• technische und Protokolldaten: IP-Adresse, Browser, Betriebssystem,

Gerätedaten, Zeitstempel, Session-, API-, Audit-, Sicherheits-, Versand- und Fehlerprotokolle;

• Melde-, Moderations- und Beschwerdedaten: Fundstelle,

Beanstandung, Begründung, Nachweise, Stellungnahmen, Prüfvermerke, Entscheidung, Beschwerde und Zustellnachweise;

• öffentlich zugängliche Studio- und gegebenenfalls

Ansprechpartnerdaten aus rechtmäßig zugänglichen Quellen;

• besondere Kategorien personenbezogener Daten oder Angaben zu

Straftaten nur, wenn sie unaufgefordert oder fallbedingt übermittelt werden und die zusätzlichen gesetzlichen Voraussetzungen erfüllt sind.

Anlage C – Übersicht der Rechtsgrundlagen

Rechtsgrundlage Typische Verarbeitung Art. 6 Abs. 1 lit. a DSGVOfreiwillige Einwilligungen, etwa Analytics, Standortfreigabe, Newsletter oder Push Art. 6 Abs. 1 lit. b DSGVO Nutzerkonto, angeforderte Vermittlungs- und KI-Funktionen, vertraglich erforderliche Kommunikation Art. 6 Abs. 1 lit. c DSGVOgesetzliche Aufbewahrung, DSA-Meldeverfahren, Entscheidungsbegründungen, wirksame Anordnungen und gesetzliche Meldungen Art. 6 Abs. 1 lit. d DSGVO seltene Verarbeitung zum Schutz lebenswichtiger Interessen Art. 6 Abs. 1 lit. f DSGVO Hosting, Sicherheit, Missbrauchsschutz, Moderation, freiwillige Beschwerdeprüfung, Datenqualität, Rechtsverteidigung und Verzeichnisbetrieb Art. 9 Abs. 2 DSGVO besondere Kategorien nur bei einschlägiger Ausnahme, insbesondere ausdrücklicher Einwilligung, offensichtlich öffentlich gemachten Daten, Rechtsansprüchen oder gesetzlich geregeltem erheblichen öffentlichen Interesse Art. 10 DSGVO Angaben zu Straftaten nur unter behördlicher Aufsicht oder aufgrund einer unions- oder mitgliedstaatlichen Erlaubnis mit angemessenen Garantien § 25 Abs. 1 TDDDGEinwilligung für nicht erforderliche Speicherung oder Zugriffe auf Informationen im Endgerät § 25 Abs. 2 TDDDGunbedingt erforderliche Speicherung oder Zugriffe im Endgerät

Anlage D – Übersicht wesentlicher Speichergrundsätze

Datenart Grundsatz Nutzerkonto bis zur Kontolöschung; gesetzlich oder zur Rechtsverteidigung erforderliche Restdaten gegebenenfalls länger und gesperrt Favoriten und serverseitige Vergleiche bis zur Löschung, Kontolöschung oder zum Zweckfortfall Browserbasierte Vergleiche, Local Storage und ähnliche lokale Daten bis zur Löschung durch Nutzer, Browser, Ablauf oder technischen Überschreibung Push-Abonnement bis zum Widerruf, zur Deaktivierung oder dauerhaften technischen Ungültigkeit Kontakt-, Preis- und Probetrainingsanfragen bis zur abschließenden Bearbeitung; erforderliche Nachweis- und Vertragsdaten nach den gesetzlichen Fristen CRM- und Leaddaten bis zum Zweckfortfall nach dem dokumentierten CRM- Löschkonzept; längere Aufbewahrung nur bei Rechts- oder Nachweispflichten Consent-Nachweise für die Dauer der Einwilligung und anschließend solange der Nachweis zur Erfüllung der Rechenschaftspflicht oder Rechtsverteidigung erforderlich ist Server-, Sicherheits- und Audit-Protokolle nach dokumentiertem, risikobasiertem Löschkonzept; längere Speicherung bei Sicherheitsvorfällen oder konkretem Beweisbedarf Melde-, Moderations- und Beschwerdefälle nach Kapitel 20.9, grundsätzlich Fallbearbeitung und Beschwerdefrist, danach erforderliche Kerndaten regelmäßig bis zum Ablauf der dreijährigen Regelverjährung ab Jahresende Sensible Fallanlagen und Identitätsnachweise nur solange konkret erforderlich; frühzeitige Löschung oder Schwärzung KI-Eingaben und -Ausgaben nach aktivierter Verlaufsfunktion, Anbieterprodukt und dokumentiertem Löschkonzept; keine pauschale unbegrenzte Speicherung Analytics- und Cookie-Daten nach der tatsächlichen Consent- und Dienstkonfiguration sowie der Cookie-Richtlinie Backups bis zur turnusmäßigen Überschreibung; zwischenzeitlich gesperrt und nur für Wiederherstellungszwecke genutzt

Anlage E – Technische und organisatorische Maßnahmen

GymScout trifft unter Berücksichtigung von Stand der Technik, Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere der Risiken angemessene Maßnahmen nach Art. 32 DSGVO. Je nach System und Risiko gehören hierzu insbesondere:

• TLS-geschützte Übertragung und sichere API-Kommunikation;
• kryptografisches Passwort-Hashing statt Klartextspeicherung;
• rollenbasierte Berechtigungen, Least-Privilege-Prinzip und

regelmäßige Rechteprüfung;

• sichere Verwaltung von Schlüsseln, Secrets und administrativen

Zugängen;

• Trennung von Entwicklungs-, Test- und Produktivzugängen, soweit

technisch vorgesehen;

• Row-Level-Security und serverseitige Autorisierungsprüfungen,

soweit eingesetzt;

• Protokollierung sicherheitsrelevanter Zugriffe und Änderungen;
• Schutz vor automatisiertem Missbrauch, Rate-Limiting, Validierung

und Schadsoftwareprüfung;

• Backups, Wiederherstellungs- und Notfallverfahren;
• Patch-, Schwachstellen- und Vorfallmanagement;
• Vertraulichkeitsverpflichtungen, Berechtigungskonzepte und

dokumentierte Löschverfahren;

• Pseudonymisierung, Schwärzung und Kontextminimierung bei

Moderations- und KI-Prozessen;

• Prüfung, vertragliche Bindung und Überwachung von

Auftragsverarbeitern.

Eine absolute Sicherheit kann auch bei angemessenen Maßnahmen nicht gewährleistet werden. Die konkrete Umsetzung wird regelmäßig überprüft und risikoadäquat fortentwickelt.

Anlage F – Glossar

API Programmierschnittstelle zur Kommunikation zwischen Systemen.

Audit-Log Protokoll, das sicherheits- oder nachweisrelevante Vorgänge nachvollziehbar macht.

CDN Content Delivery Network; verteiltes Netzwerk zur schnellen und sicheren Auslieferung von Inhalten.

DSA Verordnung (EU) 2022/2065 über einen Binnenmarkt für digitale Dienste (Digital Services Act).

Edge Function Serverseitige Funktion, die Anfragen oder definierte Geschäftslogik verarbeitet.

Local Storage Speicherbereich im Browser, in dem eine Website Informationen lokal auf dem Endgerät ablegen kann.

Notice & Action Verfahren zur Meldung und Prüfung mutmaßlich rechtswidriger Inhalte sowie zur Entscheidung über mögliche Maßnahmen.

PWA Progressive Web App; Webanwendung mit erweiterten, appähnlichen Funktionen.

Service Worker Browserkomponente, die unter anderem Offlinefunktionen, Caching und Push- Benachrichtigungen ermöglichen kann.

VAPID Standardisiertes Verfahren zur Authentifizierung eines Web-Push-Absenders.

Drittland Jeder Staat außerhalb der EU und des EWR; das Vorliegen eines Angemessenheitsbeschlusses wird gesondert geprüft.

Anlage G – Weiterführende amtliche und anbieterseitige Informationen

Die folgenden Fundstellen dienen der vertiefenden Information. Die Rechtsgrundlagen der GymScout-Verarbeitung ergeben sich aus dieser Datenschutzerklärung und nicht allein aus Datenschutzhinweisen eines Anbieters.

DSGVO: https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=de Digital Services Act: https://eur-lex.europa.eu/eli/reg/2022/2065/oj?locale=de Digitale-Dienste-Gesetz: https://www.gesetze-im-internet.de/ddg/ Bundesdatenschutzgesetz: https://www.gesetze-im-internet.de/bdsg_2018/ TDDDG: https://www.gesetze-im-internet.de/tdddg/ Schweizer Datenschutzgesetz: https://www.fedlex.admin.ch/eli/cc/2022/491/de

Lovable Datenschutz: https://lovable.dev/privacy Lovable Auftragsverarbeitung: https://lovable.dev/data-processing-agreement Supabase Datenschutz: https://supabase.com/privacy Supabase Auftragsverarbeitung: https://supabase.com/legal/dpa Cloudflare Datenschutz und DSGVO: https://www.cloudflare.com/trust-hub/gdpr/ HubSpot Datenschutz: https://legal.hubspot.com/privacy-policy Resend Datenschutz: https://resend.com/legal/privacy-policy Resend Auftragsverarbeitung: https://resend.com/legal/dpa Google Datenschutz: https://policies.google.com/privacy Gemini-API-Bedingungen: https://ai.google.dev/gemini-api/terms OpenAI Datenschutz für Unternehmen: https://openai.com/enterprise-privacy/ OpenAI Auftragsverarbeitung: https://openai.com/policies/data-processing- addendum/ OpenStreetMap Foundation Datenschutz: https://osmfoundation.org/wiki/Privacy_Policy Firecrawl Datenschutz: https://www.firecrawl.dev/privacy-policy