Informationen zum Umgang mit Ihren personenbezogenen Daten
Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten innerhalb unseres Online-Angebots und der zugehörigen Webseiten, Funktionen und Inhalte sowie unserer mobilen iOS-Anwendung (nachfolgend gemeinsam „Online-Angebot" oder „App" genannt).
Verantwortlich für die Datenverarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:
Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website und der mobilen App, unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig nur nach Einwilligung des Nutzers oder auf einer der in Art. 6 Abs. 1 DSGVO genannten Rechtsgrundlagen.
Wir speichern personenbezogene Daten nur so lange, wie dies zur Erreichung des Verarbeitungszwecks erforderlich ist oder gesetzliche Aufbewahrungspflichten (insbesondere § 257 HGB, § 147 AO – in der Regel bis zu 10 Jahre) bestehen. Nach Wegfall des Zwecks bzw. Ablauf der Frist werden die Daten gelöscht oder anonymisiert.
Soweit wir Daten in Länder außerhalb des Europäischen Wirtschaftsraums (EWR), insbesondere in die USA, übermitteln, geschieht dies auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10.07.2023) oder gemäß EU-Standardvertragsklauseln nach Art. 46 DSGVO. Die einzelnen Dienste sind in Abschnitt 8 dieser Erklärung aufgeführt.
Beim Aufrufen unserer Website werden durch unseren Hosting-Anbieter automatisiert Daten und Informationen vom Computersystem des aufrufenden Endgeräts in sogenannten Server-Logfiles erfasst:
Zweck und Rechtsgrundlage: Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zum Zweck der stabilen Bereitstellung des Online-Angebots und zur Sicherstellung der Systemsicherheit.
Speicherdauer: Server-Logs werden nach maximal 30 Tagen automatisch gelöscht, sofern kein konkreter Verdacht auf Missbrauch eine längere Speicherung im Einzelfall rechtfertigt.
Für die Nutzung von Buchungs- und Mitgliedschaftsfunktionen ist die Anlage eines Kundenkontos erforderlich. Hierbei werden folgende Daten erhoben:
Pflichtangaben: Vorname, Nachname, E-Mail-Adresse, Passwort (verschlüsselt gespeichert) oder Anmeldung über Apple Sign In bzw. Google Sign In (vgl. Abschnitt 5).
Optionale Angaben: Telefonnummer, Adresse (Straße, Hausnummer, PLZ, Ort), persönliche Hinweise zum Trainingszustand (z. B. Verletzungen), Profilfoto, Hands-on/Hands-off-Einstellung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen).
Speicherdauer: Die Daten werden für die Dauer des Vertragsverhältnisses gespeichert. Nach Vertragsende werden die Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten (HGB, AO) entgegenstehen — diese gelten dann für maximal 10 Jahre.
Im Rahmen der Buchung von Stunden und der Verwaltung von Mitgliedschaften verarbeiten wir:
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Sichtbarkeit von „persönlichen Hinweisen": Die im Profil hinterlegten Hinweise zu Vorerkrankungen, Verletzungen oder besonderen körperlichen Umständen sind aus organisatorischen und sicherheitstechnischen Gründen für die Trainerinnen und Trainer der gebuchten Stunde einsehbar. Die Hinweise sind freiwillig.
Passwörter werden ausschließlich als gesalzene Hashes über unseren Auftragsverarbeiter Supabase gespeichert (siehe Abschnitt 8.1). Klartext-Passwörter werden zu keinem Zeitpunkt gespeichert oder übermittelt.
Wir bieten die Anmeldung über „Apple anmelden" an. Bei Nutzung dieser Funktion werden Sie zu Apple weitergeleitet und authentifizieren sich dort. Apple übermittelt uns anschließend einen pseudonymen Identifier sowie Ihren Namen und – falls von Ihnen freigegeben – Ihre E-Mail-Adresse (entweder die echte oder eine Apple-Relay-Adresse, von der wir nicht ableiten können, wem sie zugeordnet ist).
Sobald wir die Funktion „Mit Google anmelden" anbieten, gelten die folgenden Regeln (zum Zeitpunkt dieses Dokuments noch nicht produktiv aktiviert):
Die iOS-App von The Hundred greift auf dieselben Backend-Dienste zu wie die Website (Supabase, Stripe, Resend). Es gelten daher die Hinweise aus den Abschnitten 4 und 8 entsprechend.
Zusätzlich verarbeitet die App folgende Daten lokal auf Ihrem Gerät, ohne sie an unsere Server zu übermitteln:
Mit Ihrer Einwilligung senden wir Push-Benachrichtigungen, z. B. als Erinnerung 24 Stunden vor einer gebuchten Stunde oder bei Öffnung des Check-in-Fensters.
Die App fordert nach Bedarf folgende iOS-Berechtigungen an:
Sie können jede Berechtigung in den iOS-System-Einstellungen unter „The Hundred" jederzeit widerrufen.
Die App nutzt keine Analyse-Frameworks von Drittanbietern (z. B. Google Analytics, Firebase, Mixpanel, Facebook SDK). Es findet kein Tracking über App-Sitzungen, App-Nutzung oder Geräte hinaus statt.
Zur Abwicklung von Käufen (Einzelstunden, 10er-Karte, Mitgliedschaften) setzen wir den Zahlungsdienstleister Stripe ein. Wenn Sie einen kostenpflichtigen Vorgang abschließen, werden die hierfür erforderlichen Zahlungsdaten (insbesondere Kartennummer, Ablaufdatum, Prüfziffer; bei SEPA-Lastschrift IBAN; bei Apple/Google Pay tokenisierte Zahlungsdaten) direkt an Stripe übermittelt. Wir haben zu diesen Daten keinen Zugriff und speichern sie nicht auf unseren Servern.
Wir setzen folgende Auftragsverarbeiter im Sinne von Art. 28 DSGVO ein. Mit jedem dieser Dienstleister haben wir Auftragsverarbeitungsverträge (DPAs) geschlossen.
Vgl. Abschnitt 6.2.
Vgl. Abschnitt 5.
Die Website www.thehundred-pilates.de wird über Netlify, Inc. (44 Montgomery Street, Suite 300, San Francisco, CA 94104, USA) ausgeliefert. Beim Aufruf der Website werden die in Abschnitt 3 genannten Server-Logfiles durch Netlify erfasst. Die Datenübermittlung in die USA ist über EU-US Data Privacy Framework und EU-Standardvertragsklauseln abgesichert.
Datenschutzerklärung Netlify: https://www.netlify.com/privacy/
Mit Ihrer Einwilligung versenden wir einen Newsletter mit aktuellen Informationen zu unseren Angeboten und Events. Für den Versand verwenden wir den in Abschnitt 8.2 genannten Dienst Resend. Der Bezug des Newsletters ist freiwillig und jederzeit über den in jeder Newsletter-E-Mail enthaltenen Abmelde-Link kündbar (Double-Opt-In: nach Anmeldung erhalten Sie eine Bestätigungs-E-Mail).
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Bei Bestandskunden ggf. zusätzlich Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 7 Abs. 3 UWG für Werbung für eigene ähnliche Waren oder Dienstleistungen.
Speicherdauer: Bis zum Widerruf der Einwilligung. Nach Widerruf wird die E-Mail-Adresse aus der Versandliste entfernt, jedoch ggf. in einer Sperrliste vorgehalten, um eine versehentliche erneute Anmeldung zu verhindern.
Wir können – nur mit Ihrer vorherigen ausdrücklichen Einwilligung – Bild- oder Tonaufnahmen während ausgewählter Stunden oder Events anfertigen und veröffentlichen (z. B. auf Instagram oder der Website). Eine Veröffentlichung erfolgt ausschließlich nach freiwilliger Einwilligung in Textform und kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Wir betreiben Profile bei sozialen Netzwerken (insbesondere Instagram). Die Inhalte werden über die Plattformen selbst dargestellt. Beim Aufruf unseres Profils auf einer Plattform gelten die jeweiligen Datenschutzbestimmungen der Plattform.
Auf unserer Website setzen wir keine Social-Media-Plugins ein, die ohne Ihre aktive Einwilligung Daten an die Plattformen senden.
Unsere Website setzt nur technisch erforderliche Cookies (z. B. zur Wahrung des Login-Status). Tracking- oder Marketing-Cookies werden nicht eingesetzt. Daher ist kein Cookie-Banner erforderlich. Sollten wir in Zukunft Cookies zu Analyse- oder Marketingzwecken einsetzen, werden wir Sie über ein Consent-Banner informieren und Ihre Einwilligung einholen, bevor entsprechende Cookies gesetzt werden.
Die iOS-App nutzt keine Cookies (Cookies sind ein Web-Konzept).
Sie haben jederzeit das Recht:
Zur Geltendmachung Ihrer Rechte oder bei Rückfragen wenden Sie sich bitte an: info@thehundred-pilates.de.
Zuständige Aufsichtsbehörde:
Wir verwenden bei Website-Besuchen und in der App das verbreitete TLS-Verfahren (Transport Layer Security) zur Verschlüsselung der Verbindungen. Personenbezogene Daten werden ausschließlich verschlüsselt übertragen. Passwörter werden gesalzen und gehasht gespeichert; Klartext-Passwörter werden zu keinem Zeitpunkt gespeichert oder verarbeitet.
Wir treffen technische und organisatorische Maßnahmen, um Ihre Daten vor zufälliger oder vorsätzlicher Manipulation, teilweisem oder vollständigem Verlust, Zerstörung oder unberechtigtem Zugriff durch Dritte zu schützen.
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder Änderungen unserer Leistungen umgesetzt werden, z. B. bei Einführung neuer Services. Für Ihren erneuten Besuch gilt dann die jeweils aktuelle Datenschutzerklärung. Die jeweils aktuelle Fassung ist abrufbar unter https://thehundred-pilates.de/datenschutz.