Datenschutzerklärung

Informationen zur Verarbeitung personenbezogener Daten bei der Nutzung unserer Website und iOS-App.

Stand: 3. August 2026.

Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten innerhalb unseres Online-Angebots und der zugehörigen Webseiten, Funktionen und Inhalte sowie unserer mobilen iOS-Anwendung (nachfolgend gemeinsam „Online-Angebot" oder „App" genannt).

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

The Hundred GmbH
In der Au 27
61440 Oberursel (Taunus)
Deutschland

Vertreten durch die Geschäftsführer: Jana Uhrmeister, Rick Jäger
E-Mail: info@thehundred-pilates.de

Handelsregister: Amtsgericht Frankfurt am Main, HRB 17571

2. Allgemeine Hinweise zur Datenverarbeitung

2.1 Umfang der Verarbeitung personenbezogener Daten

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website und der mobilen App, unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig nur nach Einwilligung des Nutzers oder auf einer der in Art. 6 Abs. 1 DSGVO genannten Rechtsgrundlagen.

2.2 Rechtsgrundlagen

Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bei aktiv erteilter Zustimmung (z. B. Newsletter, Push-Benachrichtigungen, Marketing-Fotos, Reichweitenmessung mittels Meta Pixel auf unseren Kampagnenseiten — siehe Abschnitt 13).
Art. 6 Abs. 1 lit. b DSGVO (Vertrag) für die Abwicklung von Buchungen, Mitgliedschaften, Zahlungen und Kundenkonten.
Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) z. B. für die handels- und steuerrechtliche Aufbewahrung von Rechnungen.
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für die technisch sichere und stabile Bereitstellung der Website / App, Server-Logs, Betrugsprävention.

2.3 Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies zur Erreichung des Verarbeitungszwecks erforderlich ist oder gesetzliche Aufbewahrungspflichten (insbesondere § 257 HGB, § 147 AO – in der Regel bis zu 10 Jahre) bestehen. Nach Wegfall des Zwecks bzw. Ablauf der Frist werden die Daten gelöscht oder anonymisiert.

2.4 Datenübermittlung in Drittländer

Soweit wir Daten in Länder außerhalb des Europäischen Wirtschaftsraums (EWR), insbesondere in die USA, übermitteln, geschieht dies auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10.07.2023) oder gemäß EU-Standardvertragsklauseln nach Art. 46 DSGVO. Die einzelnen Dienste sind in Abschnitt 8 dieser Erklärung aufgeführt.

Dazu zählt auch die Datenübermittlung an Meta Platforms, Inc. im Rahmen des auf unseren Kampagnenseiten eingesetzten Meta Pixel: Meta Platforms, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert, sodass sich auch diese Übermittlung auf den vorstehenden Angemessenheitsbeschluss stützt (Näheres in Abschnitt 13). Unverändert bleibt, dass das Setzen und Auslesen des Meta Pixel selbst Ihre ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG voraussetzt.

3. Bereitstellung der Website und Server-Logfiles

Beim Aufrufen unserer Website werden durch unseren Hosting-Anbieter automatisiert Daten und Informationen vom Computersystem des aufrufenden Endgeräts in sogenannten Server-Logfiles erfasst:

Browsertyp und -version
Betriebssystem
Referrer-URL
IP-Adresse (gekürzt, soweit technisch möglich)
Datum und Uhrzeit des Zugriffs

Zweck und Rechtsgrundlage: Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zum Zweck der stabilen Bereitstellung des Online-Angebots und zur Sicherstellung der Systemsicherheit.

Speicherdauer: Server-Logs werden nach maximal 30 Tagen automatisch gelöscht, sofern kein konkreter Verdacht auf Missbrauch eine längere Speicherung im Einzelfall rechtfertigt.

4. Kundenkonto und Buchungsdaten (Website + iOS-App)

4.1 Registrierung

Für die Nutzung von Buchungs- und Mitgliedschaftsfunktionen ist die Anlage eines Kundenkontos erforderlich. Hierbei werden folgende Daten erhoben:

Pflichtangaben: Vorname, Nachname, E-Mail-Adresse, Passwort (verschlüsselt gespeichert) oder Anmeldung über Apple Sign In bzw. Google Sign In (vgl. Abschnitt 5).

Optionale Angaben: Telefonnummer, Adresse (Straße, Hausnummer, PLZ, Ort), persönliche Hinweise zum Trainingszustand (z. B. Verletzungen), Profilfoto, Hands-on/Hands-off-Einstellung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen).

Speicherdauer: Die Daten werden für die Dauer des Vertragsverhältnisses gespeichert. Nach Vertragsende werden die Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten (HGB, AO) entgegenstehen — diese gelten dann für maximal 10 Jahre.

4.2 Buchungs- und Mitgliedschaftsdaten

Im Rahmen der Buchung von Stunden und der Verwaltung von Mitgliedschaften verarbeiten wir:

Buchungs- und Stornierungshistorie (Kursinstanzen, Zeitstempel, Trainer, Anwesenheits-Status)
Mitgliedschaftsdaten (Art der Mitgliedschaft, Laufzeit, verbleibende Credits, Verlängerungs- und Ablaufdaten, Pausierungszeiträume)
Stripe-Customer-ID (technischer Identifier ohne sensible Zahlungsdaten)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Gastbuchungen (Buchung ohne Kundenkonto): Kontaktdaten aus Gastbuchungen (Name, E-Mail-Adresse, Telefonnummer) speichern wir zur Vertragsabwicklung und zur Verteidigung gegen bzw. Geltendmachung von Ansprüchen (§ 195 BGB) bis zum Ablauf des dritten Kalenderjahres nach dem Kurstermin; danach werden sie automatisiert gelöscht bzw. anonymisiert. Zahlungs- und Abrechnungsdaten unterliegen davon unabhängig den gesetzlichen Aufbewahrungspflichten (§ 257 HGB, § 147 AO).

Follow-up-E-Mail nach deinem Studiobesuch. Wenn du bei uns eine Schnupperstunde besucht hast oder als Gast (ohne Kundenkonto) eine kostenpflichtige Stunde gebucht und bezahlt hast, senden wir dir in der Regel am Abend deines Besuchs oder an einem der folgenden Abende eine E-Mail an die zu deiner Buchung oder deinem Kundenkonto gehörende Adresse. Sie bedankt sich für deinen Besuch und enthält Angebote für die weitere Nutzung unseres Studios (z. B. Rabattcodes). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Direktwerbung gegenüber unseren Kund:innen; vgl. § 7 Abs. 3 UWG). Du kannst dieser Verwendung jederzeit widersprechen — jede solche E-Mail enthält einen Abmeldehinweis, außerdem genügt eine formlose Nachricht an info@thehundred-pilates.de. Nach einem Widerspruch erhältst du keine werblichen E-Mails mehr von uns. Damit du diese E-Mail nach einer bezahlten Gastbuchung nicht mehrfach erhältst, speichern wir zusätzlich einen dauerhaften Vermerk, dass an deine Adresse bereits eine solche Nachricht verschickt wurde; dieser Vermerk unterliegt nicht der Löschfrist für Gastbuchungsdaten nach Abschnitt 4.2, sondern bleibt bestehen, bis du widersprichst oder eine Löschung nach Art. 17 DSGVO verlangst.

Sichtbarkeit von „persönlichen Hinweisen": Die im Profil hinterlegten Hinweise zu Vorerkrankungen, Verletzungen oder besonderen körperlichen Umständen sind aus organisatorischen und sicherheitstechnischen Gründen für die Trainerinnen und Trainer der gebuchten Stunde einsehbar. Die Hinweise sind freiwillig.

4.3 Sichere Speicherung

Passwörter werden ausschließlich als gesalzene Hashes über unseren Auftragsverarbeiter Supabase gespeichert (siehe Abschnitt 8.1). Klartext-Passwörter werden zu keinem Zeitpunkt gespeichert oder übermittelt.

4.4 Löschung des Kontos und Aufbewahrung

Sie können Ihr Kundenkonto jederzeit selbst löschen — in der iOS-App unter „Profil → Konto löschen" sowie auf der Website im Profilbereich.

Sofortige Löschung (ohne laufendes Abo): Bestehen keine laufenden Abo-Verpflichtungen, werden Ihre personenbezogenen Daten (Name, Kontaktdaten, Anschrift, Profilfoto, persönliche Hinweise sowie interne Notizen zu Ihrer Person) unmittelbar und unwiderruflich anonymisiert bzw. entfernt; nicht genutzte Credits verfallen mit der Löschung. Eine Anmeldung ist danach nicht mehr möglich. Rechtsgrundlage: Art. 17 Abs. 1 DSGVO.
Aufschub bei laufender Mitgliedschaft: Besteht eine laufende Mitgliedschaft, wird die Löschung bis zum Ende der vertraglichen Laufzeit aufgeschoben — das Abo wird zum Laufzeitende gekündigt und das Konto anschließend automatisch gelöscht. Bis dahin können Sie die geplante Löschung jederzeit widerrufen. Rechtsgrundlage für den Aufschub: Art. 17 Abs. 3 lit. b DSGVO bzw. Art. 18 DSGVO (Einschränkung der Verarbeitung für die Dauer der bestehenden vertraglichen Verpflichtung).
Sofortige Löschung auf Wunsch: Auch bei laufender Mitgliedschaft können Sie die sofortige Löschung verlangen, indem Sie sich — nach Prüfung Ihrer Identität — an info@thehundred-pilates.de wenden. Bis zum regulären Vertragsende noch offene Entgelte bleiben hiervon unberührt.
Gesetzliche Aufbewahrung: Rechnungen und Zahlungsbelege müssen wir auch nach der Löschung für die gesetzliche Aufbewahrungsfrist (§ 257 HGB, § 147 AO — in der Regel bis zu 10 Jahre) aufbewahren. Diese Unterlagen werden anonymisiert bzw. getrennt vom übrigen Datenbestand vorgehalten und ausschließlich zur Erfüllung der gesetzlichen Pflichten verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 17 Abs. 3 lit. b DSGVO.
Ausnahme Gratis-Probestunden-Aktion: Haben Sie das Angebot einer kostenlosen Probestunde über eine Marketing-Kampagne (z. B. unter /gratis) in Anspruch genommen, speichern wir die zugehörige normalisierte E-Mail-Adresse als Nachweis Ihrer Teilnahme über die Löschung Ihres Kontos hinaus weiter, damit das Angebot nicht mehrfach genutzt werden kann. Rechtsgrundlage ist unser berechtigtes Interesse an der Missbrauchsprävention (Art. 6 Abs. 1 lit. f DSGVO); vgl. die Teilnahmebedingungen der jeweiligen Aktion.

5. Anmeldung mit Drittanbietern (Apple / Google)

5.1 Apple Sign In

Wir bieten die Anmeldung über „Apple anmelden" an. Bei Nutzung dieser Funktion werden Sie zu Apple weitergeleitet und authentifizieren sich dort. Apple übermittelt uns anschließend einen pseudonymen Identifier sowie Ihren Namen und – falls von Ihnen freigegeben – Ihre E-Mail-Adresse (entweder die echte oder eine Apple-Relay-Adresse, von der wir nicht ableiten können, wem sie zugeordnet ist).

Anbieter: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland.
Verarbeitete Daten: Apple User Identifier, ggf. E-Mail-Adresse (echt oder Relay), Vorname und Nachname (sofern freigegeben).
Zweck: vereinfachte Anmeldung ohne separates Passwort.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. a DSGVO (Einwilligung mit dem ersten Tap auf den Apple-Button).
Datenschutzerklärung von Apple: https://www.apple.com/legal/privacy/de-ww/

5.2 Google Sign In

Wir bieten die Anmeldung über „Mit Google anmelden" an. Bei Nutzung dieser Funktion werden Sie zu Google weitergeleitet und authentifizieren sich dort. Diese Verbindung zu Google wird ausschließlich hergestellt, wenn Sie die Funktion aktiv auswählen — es findet kein Laden von Google-Diensten oder -Skripten im Hintergrund statt.

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; ggf. Google LLC, USA.
Verarbeitete Daten: Google-Konto-ID, Name, E-Mail-Adresse, Profilbild (sofern freigegeben).
Zweck: vereinfachte Anmeldung ohne separates Passwort.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. a DSGVO (Einwilligung mit dem ersten Tap auf den Google-Button).
Drittlandtransfer: USA, abgesichert über EU-US Data Privacy Framework.
Datenschutzerklärung von Google: https://policies.google.com/privacy

6. iOS-App im Besonderen

6.1 Datenverarbeitung in der App

Die iOS-App von The Hundred greift auf dieselben Backend-Dienste zu wie die Website (Supabase, Stripe, Resend). Es gelten daher die Hinweise aus den Abschnitten 4 und 8 entsprechend.

Zusätzlich verarbeitet die App folgende Daten lokal auf Ihrem Gerät, ohne sie an unsere Server zu übermitteln:

letzte gewählte Stunden-Filter, letzter angesehener Kurs
Onboarding-Status (gesehen ja/nein)
Entwurfsdaten in Formularen, die noch nicht abgesendet wurden

6.2 Push-Benachrichtigungen (Apple Push Notification Service / APNs)

Mit Ihrer Einwilligung senden wir Push-Benachrichtigungen, z. B. als Erinnerung 24 Stunden vor einer gebuchten Stunde oder bei Öffnung des Check-in-Fensters.

Anbieter: Apple Distribution International Ltd. (Irland) / Apple Inc. (USA) als Sub-Processor.
Verarbeitete Daten: Device-Token (pseudonymer Push-Identifier), die Inhalte der Benachrichtigung (Kursname, Uhrzeit, Buchungs-ID).
Zweck: Versand von Erinnerungs- und Service-Push-Nachrichten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung bei erstmaliger Aufforderung durch das iOS-System) und Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bei buchungsbezogenen Benachrichtigungen).
Widerruf: Sie können Push-Benachrichtigungen jederzeit in den iOS-System-Einstellungen unter „The Hundred → Mitteilungen" oder in der App unter „Profil → Benachrichtigungen" deaktivieren. Bei Deaktivierung wird der Device-Token von unseren Servern entfernt.
Drittlandtransfer: USA (über APNs), abgesichert über EU-US Data Privacy Framework.

6.3 Berechtigungen der App

Die App fordert nach Bedarf folgende iOS-Berechtigungen an:

Mitteilungen (für Push-Benachrichtigungen, siehe 6.2)
Kamera (optional, für Profilfoto-Upload)
Foto-Bibliothek (optional, für Profilfoto-Upload)

Sie können jede Berechtigung in den iOS-System-Einstellungen unter „The Hundred" jederzeit widerrufen.

6.4 Keine Analyse-Tracker

Die App nutzt keine Analyse-Frameworks von Drittanbietern (z. B. Google Analytics, Firebase, Mixpanel, Facebook SDK). Es findet kein Tracking über App-Sitzungen, App-Nutzung oder Geräte hinaus statt.

7. Zahlungsabwicklung (Stripe)

Zur Abwicklung von Käufen (Einzelstunden, 5er-Karte, Mitgliedschaften) setzen wir den Zahlungsdienstleister Stripe ein. Wenn Sie einen kostenpflichtigen Vorgang abschließen, werden die hierfür erforderlichen Zahlungsdaten (insbesondere Kartennummer, Ablaufdatum, Prüfziffer; bei SEPA-Lastschrift IBAN; bei Apple/Google Pay tokenisierte Zahlungsdaten) direkt an Stripe übermittelt. Wir haben zu diesen Daten keinen Zugriff und speichern sie nicht auf unseren Servern.

Anbieter (EU): Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland.
Verarbeitete Daten durch Stripe: Zahlungsmittel-Daten, Name, E-Mail-Adresse, Rechnungsadresse, IP-Adresse, Geräte-Fingerabdrücke (zur Betrugsprävention), Transaktionshistorie.
An uns übermittelte Daten: Stripe-Customer-ID (Identifier ohne Klartext-Zahlungsdaten), Status der Zahlung (erfolgreich/fehlgeschlagen), letzte 4 Ziffern der Karte (für die Anzeige als „Visa •••• 4829"), Marken-Information der Karte, Mitgliedschaftsstatus.
Zweck: Abwicklung von Zahlungen, Verwaltung der Mitgliedschaft, Rechnungsstellung, Betrugsprävention.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention).
Drittlandtransfer: Stripe verarbeitet Daten teilweise in den USA (Stripe, Inc.). Die Übermittlung ist über EU-US Data Privacy Framework und EU-Standardvertragsklauseln abgesichert.
Datenschutzerklärung Stripe: https://stripe.com/de/privacy

8. Auftragsverarbeiter und eingesetzte Dienstleister

Wir setzen folgende Auftragsverarbeiter im Sinne von Art. 28 DSGVO ein. Mit jedem dieser Dienstleister haben wir Auftragsverarbeitungsverträge (DPAs) geschlossen.

Meta wird hier bewusst nicht aufgeführt. Für den in Abschnitt 13 beschriebenen Meta Pixel sind wir und Meta Platforms Ireland Limited gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO, keine Auftragsverarbeitung nach Art. 28 DSGVO. Näheres — einschließlich der Aufgabenverteilung — finden Sie in Abschnitt 13.

8.1 Supabase (Auth, Datenbank, Edge-Functions, Storage)

Anbieter: Supabase, Inc., 970 Toa Payoh North, #07-04, Singapore 318992 (Sitz); EU-Region (Frankfurt) für die Datenhaltung.
Verarbeitete Daten: Kundenkonto-Daten, Buchungen, Mitgliedschaften, Credit-Transaktionen, Push-Tokens, sämtliche durch die App / Website erzeugten Inhalte.
Zweck: Datenbankhaltung, Authentifizierung, Bereitstellung von Server-Funktionen, Datei-Storage (Profilfotos).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Datenhaltung: EU-Region (Frankfurt). Teile der Infrastruktur (z. B. Logging, Support-Tooling) können von Supabase, Inc. in den USA betreut werden; die Übermittlung ist über EU-Standardvertragsklauseln und das EU-US Data Privacy Framework abgesichert.
Datenschutzerklärung Supabase: https://supabase.com/privacy

8.2 Resend (E-Mail-Versand)

Anbieter: Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA.
Verarbeitete Daten: Empfänger-E-Mail-Adresse, Inhalt der versendeten E-Mail (Bestellbestätigungen, Stornobestätigungen, Verlängerungen der Mitgliedschaft, Newsletter, Credit-Ablauf-Warnungen, Kündigungsbestätigungen).
Zweck: Versand transaktionaler und informativer E-Mails.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung bei Newsletter).
Drittlandtransfer: USA. Abgesichert über EU-US Data Privacy Framework und EU-Standardvertragsklauseln.
Datenschutzerklärung Resend: https://resend.com/legal/privacy-policy

8.3 Apple Push Notification Service (APNs)

Vgl. Abschnitt 6.2.

8.4 Apple Sign In / Google Sign In

Vgl. Abschnitt 5.

8.5 Hosting (Netlify)

Die Website www.thehundred-pilates.de wird über Netlify, Inc. (44 Montgomery Street, Suite 300, San Francisco, CA 94104, USA) ausgeliefert. Beim Aufruf der Website werden die in Abschnitt 3 genannten Server-Logfiles durch Netlify erfasst. Die Datenübermittlung in die USA ist über EU-US Data Privacy Framework und EU-Standardvertragsklauseln abgesichert.

Datenschutzerklärung Netlify: https://www.netlify.com/privacy/

9. Newsletter

Mit Ihrer Einwilligung versenden wir einen Newsletter mit aktuellen Informationen zu unseren Angeboten und Events. Für den Versand verwenden wir den in Abschnitt 8.2 genannten Dienst Resend. Der Bezug des Newsletters ist freiwillig und jederzeit kündbar: Es genügt eine formlose E-Mail an info@thehundred-pilates.de (Double-Opt-In: nach Anmeldung erhalten Sie eine Bestätigungs-E-Mail).

Die Newsletter-Anmeldung ist auch ohne Kundenkonto möglich (z. B. über das Formular im Seitenfuß). Zum Nachweis Ihrer Einwilligung (Art. 7 Abs. 1 DSGVO) speichern wir den Zeitpunkt der Anmeldung und der Bestätigung, die IP-Adresse zum Zeitpunkt der Anmeldung sowie den Wortlaut der erteilten Einwilligung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Nicht bestätigte Anmeldungen werden nach 30 Tagen automatisch gelöscht. Sie können den Newsletter jederzeit abbestellen — formlos per E-Mail an info@thehundred-pilates.de.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Bei Bestandskunden ggf. zusätzlich Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 7 Abs. 3 UWG für Werbung für eigene ähnliche Waren oder Dienstleistungen.

Speicherdauer: Bis zum Widerruf der Einwilligung. Nach Widerruf wird die E-Mail-Adresse aus der Versandliste entfernt, jedoch ggf. in einer Sperrliste vorgehalten, um eine versehentliche erneute Anmeldung zu verhindern.

10. Bild- und Tonaufnahmen im Studio

Wir können – nur mit Ihrer vorherigen ausdrücklichen Einwilligung – Bild- oder Tonaufnahmen während ausgewählter Stunden oder Events anfertigen und veröffentlichen (z. B. auf Instagram oder der Website). Eine Veröffentlichung erfolgt ausschließlich nach freiwilliger Einwilligung in Textform und kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

11. Soziale Medien

Wir betreiben Profile bei sozialen Netzwerken (insbesondere Instagram). Die Inhalte werden über die Plattformen selbst dargestellt. Beim Aufruf unseres Profils auf einer Plattform gelten die jeweiligen Datenschutzbestimmungen der Plattform.

Instagram: Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. https://privacycenter.instagram.com/policy/

Auf unserer Website setzen wir keine Social-Media-Plugins ein, die ohne Ihre aktive Einwilligung Daten an die Plattformen senden. Auf unseren Kampagnenseiten (aktuell: /gratis) setzen wir — nur nach Ihrer ausdrücklichen Einwilligung — den Meta Pixel zur Reichweitenmessung ein; Näheres dazu, einschließlich der gemeinsamen Verantwortlichkeit mit Meta, finden Sie in Abschnitt 13.

11.1 Kontakt über WhatsApp

Auf unserer Website und in unserer App bieten wir die Möglichkeit, uns über WhatsApp zu kontaktieren. Wenn Sie den WhatsApp-Button nutzen, werden Sie zu WhatsApp weitergeleitet; dabei können Daten (z. B. Ihre IP-Adresse) an die WhatsApp Ireland Limited, ein Unternehmen der Meta-Gruppe, übertragen werden. Sobald Sie eine Nachricht senden, gilt die Datenschutzerklärung von WhatsApp. Auf die Datenverarbeitung durch WhatsApp/Meta haben wir keinen Einfluss.

12. Cookies

Unsere Website setzt technisch erforderliche Cookies und vergleichbare Speichertechnologien ein, z. B. zur Wahrung des Login-Status und zur Sicherstellung der Grundfunktionen der Website. Für diese technisch notwendigen Speichervorgänge ist gemäß § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich.

Zusätzlich setzen wir auf unseren Kampagnenseiten (aktuell: /gratis) den Meta Pixel zur Reichweitenmessung ein (Einzelheiten in Abschnitt 13). Der Meta Pixel wird ausschließlich nach Ihrer ausdrücklichen Einwilligung über unser Consent-Banner aktiviert — bis zu dieser Einwilligung wird kein entsprechendes Skript geladen und keine Verbindung zu Meta aufgebaut. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen“ im Seitenfuß widerrufen.

Auf allen übrigen Seiten unseres Online-Angebots setzen wir keine Tracking- oder Marketing-Cookies ein.

Die iOS-App nutzt keine Cookies (Cookies sind ein Web-Konzept).

13. Meta Pixel (Reichweitenmessung auf Kampagnenseiten)

Auf unseren Kampagnenseiten (aktuell: /gratis) setzen wir — ausschließlich nach Ihrer vorherigen Einwilligung — den Meta Pixel ein, einen Analyse- und Werbedienst der Meta-Unternehmensgruppe. Der Meta Pixel ermöglicht es uns nachzuvollziehen, wie wirksam unsere Kampagnenwerbung auf Instagram und Facebook ist (Reichweitenmessung / Conversion-Tracking).

Gemeinsame Verantwortlichkeit (Art. 26 DSGVO). Für die Erhebung und Übermittlung der beim Aufruf unserer Kampagnenseiten anfallenden Daten an Meta sind wir und Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland, gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO (vgl. EuGH, Urteil vom 29.07.2019, Rs. C-40/17 — „Fashion ID"). Die weitere Verarbeitung durch Meta — insbesondere zu eigenen Zwecken von Meta — erfolgt in alleiniger Verantwortung von Meta Platforms Ireland Limited bzw. Meta Platforms, Inc., 1 Meta Way, Menlo Park, CA 94025, USA; auf diese weitere Verarbeitung erstreckt sich unsere gemeinsame Verantwortlichkeit ausdrücklich nicht.

Wesentlicher Inhalt der Vereinbarung (Art. 26 Abs. 2 DSGVO). In den Grundzügen: Wir sind dafür verantwortlich, dass der Meta Pixel auf unseren Kampagnenseiten erst nach eingeholter Einwilligung aktiviert wird und dass die dabei ausgelösten Daten korrekt an Meta übermittelt werden. Meta Platforms Ireland Limited ist Ihre Ansprechpartnerin für alle Fragen zur weiteren Verarbeitung Ihrer Daten nach deren Übermittlung an Meta. Sie können Ihre Rechte als betroffene Person (siehe Abschnitt 14) sowohl uns gegenüber als auch gegenüber Meta Platforms Ireland Limited geltend machen. Die vollständige Vereinbarung („Controller Addendum") stellt Meta unter https://www.facebook.com/legal/controller_addendum bereit.

Verarbeitete Daten. Beim Aufruf einer Kampagnenseite mit aktivierter Einwilligung überträgt der in Ihrem Browser ausgeführte Pixel-Code u. a.: IP-Adresse, Browser- und Geräteinformationen, aufgerufene URL sowie Zeitpunkt des Aufrufs. Zusätzlich lösen wir gezielt die Ereignisse „PageView" (Seitenaufruf), „Lead" (nach erfolgreicher Registrierung) und „CompleteRegistration" (nach erfolgreicher Buchung) aus.

Speicherdauer. Die durch den Meta Pixel gesetzten Cookies (insbesondere das _fbp-Cookie) haben eine Speicherdauer von bis zu 90 Tagen.

Advanced Matching. Die von Meta angebotene Funktion „Advanced Matching", die zusätzlich Name und E-Mail-Adresse aus Formularfeldern automatisiert hashen und an Meta übermitteln würde, haben wir deaktiviert. Über den Meta Pixel werden keine Klartext- oder gehashten Kontaktdaten (Name, E-Mail-Adresse) an Meta übermittelt.

Rechtsgrundlage. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG (Speichern von Informationen bzw. Zugriff auf im Endgerät bereits gespeicherte Informationen).

Drittlandtransfer. Mit der Nutzung des Meta Pixel ist eine Übermittlung von Daten an Meta Platforms, Inc. in die USA verbunden. Diese Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission zum EU-US Data Privacy Framework vom 10.07.2023 (Art. 45 DSGVO); Meta Platforms, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert. Das Setzen und Auslesen des Meta Pixel selbst — unabhängig von dieser Übermittlungsgrundlage — setzt weiterhin Ihre ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG voraus (siehe „Rechtsgrundlage" oben).

Widerruf. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft (ex nunc) über den Link „Cookie-Einstellungen“ im Seitenfuß widerrufen. Nach einem Widerruf wird der Meta Pixel bei Ihrem nächsten Seitenaufruf nicht mehr geladen.

Weitere Informationen. Datenrichtlinie von Meta: https://www.facebook.com/privacy/policy/. Controller Addendum: https://www.facebook.com/legal/controller_addendum.

14. Ihre Rechte als betroffene Person

Sie haben jederzeit das Recht:

Auskunft über die zu Ihrer Person gespeicherten Daten zu verlangen (Art. 15 DSGVO);
die Berichtigung unrichtiger Daten zu verlangen (Art. 16 DSGVO);
die Löschung Ihrer Daten zu verlangen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO – „Recht auf Vergessenwerden");
die Einschränkung der Verarbeitung zu verlangen (Art. 18 DSGVO);
Datenübertragbarkeit zu verlangen (Art. 20 DSGVO);
der Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, zu widersprechen (Art. 21 Abs. 1 DSGVO);
eine erteilte Einwilligung jederzeit zu widerrufen (Art. 7 Abs. 3 DSGVO) — der Widerruf wirkt für die Zukunft;
sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).

Zur Geltendmachung Ihrer Rechte oder bei Rückfragen wenden Sie sich bitte an: info@thehundred-pilates.de.

Gesondertes Widerspruchsrecht bei Direktwerbung (Art. 21 Abs. 2, Abs. 4 DSGVO). Unabhängig von einer besonderen Situation können Sie der Verarbeitung Ihrer Daten zum Zweck der Direktwerbung jederzeit und ohne Angabe von Gründen widersprechen. Dazu zählen insbesondere die Reichweitenmessung mittels Meta Pixel auf unseren Kampagnenseiten (Abschnitt 13) sowie die in Abschnitt 4.2 genannte Follow-up-E-Mail nach deinem Studiobesuch. Nach einem solchen Widerspruch verarbeiten wir Ihre Daten nicht mehr für diese Zwecke. Am einfachsten widerrufen Sie die Einwilligung zum Meta Pixel über den Link „Cookie-Einstellungen“ im Seitenfuß; für die übrige Direktwerbung genügt eine formlose Nachricht an info@thehundred-pilates.de.

Zuständige Aufsichtsbehörde:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Postfach 3163, 65021 Wiesbaden
Telefon: +49 611 1408-0
E-Mail: poststelle@datenschutz.hessen.de
https://datenschutz.hessen.de

15. Datensicherheit

Wir verwenden bei Website-Besuchen und in der App das verbreitete TLS-Verfahren (Transport Layer Security) zur Verschlüsselung der Verbindungen. Personenbezogene Daten werden ausschließlich verschlüsselt übertragen. Passwörter werden gesalzen und gehasht gespeichert; Klartext-Passwörter werden zu keinem Zeitpunkt gespeichert oder verarbeitet.

Wir treffen technische und organisatorische Maßnahmen, um Ihre Daten vor zufälliger oder vorsätzlicher Manipulation, teilweisem oder vollständigem Verlust, Zerstörung oder unberechtigtem Zugriff durch Dritte zu schützen.

16. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder Änderungen unserer Leistungen umgesetzt werden, z. B. bei Einführung neuer Services. Für Ihren erneuten Besuch gilt dann die jeweils aktuelle Datenschutzerklärung. Die jeweils aktuelle Fassung ist abrufbar unter https://thehundred-pilates.de/datenschutz.