Datenschutzerklärung

1. Verantwortlicher

Breuer-IT
Inhaber: Mirco Breuer
Oberweg 3
56459 Weltersburg
E-Mail: [email protected]

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen dafür nicht vorliegen. Bei Fragen zum Datenschutz erreichst du uns unter der oben genannten E-Mail-Adresse.

2. Wer für welche Daten verantwortlich ist

AMRAPP ist eine Plattform, über die Fitnessstudios und Boxen (nachfolgend „Box“) ihre Kurse, Mitglieder und Pakete verwalten. Dabei gibt es zwei Rollen:

Wir sind Verantwortlicher für die Website amrapp.de, für dein AMRAPP-Konto (Name, E-Mail, Zugangsdaten, Geräte), das du für alle Boxen nutzt, für die Verträge mit Boxen als unseren Kunden sowie für Support und Sicherheit der Plattform.
Die Box ist Verantwortlicher für alle Daten, die im Rahmen deiner Mitgliedschaft dort entstehen, z. B. Buchungen, Pakete, Zahlungen, Trainingsergebnisse, Messwerte und Dokumente. Für diese Daten verarbeiten wir nur im Auftrag der Box (Art. 28 DSGVO, siehe Auftragsverarbeitungsvertrag). Informationen dazu und Ansprechpartner findest du in der Datenschutzerklärung deiner Box (in der App unter „Studio“). Anfragen, die bei uns eingehen, leiten wir an die Box weiter.

3. Hosting, Infrastruktur und Protokolle

Die Server von AMRAPP stehen in einem Rechenzentrum in Frankfurt am Main (Deutschland). Hosting-Dienstleister ist die ready4 Ltd., 128 City Road, London EC1V 2NX, Vereinigtes Königreich (Auftragsverarbeiter; für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission).

Der Datenverkehr zu amrapp.de läuft über das Netzwerk der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, zum Schutz vor Angriffen und zur schnellen Auslieferung (Auftragsverarbeiter). Cloudflare verarbeitet dabei technisch notwendige Verbindungsdaten wie IP-Adresse und Anfragedaten. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert. Zur Abwehr von Bots kann Cloudflare ein technisch notwendiges Cookie setzen (z. B. „__cf_bm“, Speicherdauer 30 Minuten; § 25 Abs. 2 TDDDG). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).

Zur Sicherheit und Fehlersuche protokollieren wir Zugriffe auf die Plattform (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, Gerät/App-Version; bei Fehlern und Änderungen auch die übermittelten Daten ohne Passwörter und Tokens) sowie Fehlermeldungen der App. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Diese Protokolle löschen wir nach 6 Monaten, das Sicherheitsprotokoll zu Konto-Änderungen (z. B. Passwort oder E-Mail geändert, mit IP-Adresse) nach 12 Monaten.

4. Dein AMRAPP-Konto (App und Web-Buchung)

Für die Nutzung der App bzw. der Web-Buchung brauchst du ein Konto. Wir verarbeiten dafür:

Name, E-Mail-Adresse, Passwort (nur als sicherer Hash gespeichert)
freiwillige Profilangaben, z. B. Telefon, Adresse, Geburtsdatum, Geschlecht, Profilbild
Passkeys: nur der öffentliche Schlüssel und ein Gerätename; dein Fingerabdruck bzw. Gesichtsbild verlässt nie dein Gerät
Anmeldungen (Tokens) und Geräte für Push-Benachrichtigungen
deine Zuordnung zu Boxen und Rollen sowie deine Zustimmungen zu Rechtstexten (mit Version und Datum)

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag, Nutzungsbedingungen). Die Nutzung ist ab 16 Jahren erlaubt, jüngere Personen brauchen das Einverständnis ihrer Erziehungsberechtigten.

Name, E-Mail-Adresse und Passwort sind für das Konto erforderlich; ohne sie können wir kein Konto anlegen. Alle weiteren Profilangaben sind freiwillig. Auf deinem Gerät speichert die App nur, was für die Funktion nötig ist (Anmeldung im geschützten Speicher des Geräts, gewählte Box, Einstellungen; § 25 Abs. 2 TDDDG).

Daten von deiner Box: Lädt dich eine Box ein oder übernimmt sie Daten aus ihrem bisherigen System (Import), erhalten wir von der Box deinen Namen, deine E-Mail-Adresse und ggf. Angaben zu Mitgliedschaft und Paketen (Art. 14 DSGVO). Verantwortlich dafür ist die Box; mit der Einladung schicken wir dir in ihrem Auftrag eine E-Mail.

Konto löschen und Datenexport: Du kannst dein Konto jederzeit in der App unter Profil → Daten & Datenschutz löschen. Dabei löschen wir deine persönlichen Daten, Trainings- und Gesundheitsdaten, Geräte und Anmeldungen sofort. Buchungs-, Paket- und Zahlungshistorie der Boxen bleibt ohne Bezug zu deiner Person (anonymisiert) erhalten, weil die Boxen sie für ihre Buchhaltung benötigen. Ebenfalls dort kannst du einen Export aller deiner Daten herunterladen (Art. 15 und 20 DSGVO).

5. Funktionen der App

Push-Benachrichtigungen: Für Hinweise zu Kursen (z. B. Platz frei, Kurs abgesagt) und Neuigkeiten deiner Box nutzen wir Firebase Cloud Messaging der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Auftragsverarbeiter). Übermittelt werden ein Geräte-Token und der Inhalt der Nachricht (z. B. Kursname, Uhrzeit, Name der Box). Eine Übermittlung an Google LLC in den USA ist möglich; Google ist unter dem EU-US Data Privacy Framework zertifiziert. Push-Nachrichten kannst du in der App und in den Einstellungen deines Geräts abschalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Kamera, Fotos, Kalender: Die App fragt nur nach, wenn du die Funktion nutzt: Kamera für den QR-Code zum Beitritt, Fotos für dein Profilbild, Kalender, um deine Kurstermine einzutragen. Kalender- und Kameradaten bleiben auf deinem Gerät, nur ein ausgewähltes Profilbild wird hochgeladen.
Ranking und Bestleistungen: Trainingsergebnisse, die du einträgst, sehen andere Mitglieder deiner Box im Ranking mit deinem Namen. Einzelne Ergebnisse kannst du als „nur für mich“ eintragen. Deine Bestleistungen sind nur für andere sichtbar, wenn du das in deinem Profil einschaltest. Verantwortlich für Ranking und Ergebnisse ist die jeweilige Box.
Feedback und Support: Wenn du uns über die App oder die Verwaltung schreibst, speichern wir deine Nachricht, ggf. Screenshots sowie Name, E-Mail und Box, um zu antworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Wir löschen die Anfragen, wenn sie für die Bearbeitung und Nachvollziehbarkeit nicht mehr benötigt werden.

In der App setzen wir keine Werbe- oder Analyse-Dienste (Tracking) ein.

6. Gesundheitsdaten

Boxen können Körperwerte (z. B. Gewicht, Körperfett), Herzfrequenzzonen und Dokumente mit Gesundheitsangaben (z. B. Messprotokolle) für dich hinterlegen. Das sind Gesundheitsdaten nach Art. 9 DSGVO. Sie werden nur mit deiner ausdrücklichen Einwilligung gegenüber der jeweiligen Box verarbeitet (Art. 9 Abs. 2 lit. a DSGVO). Die Einwilligung erteilst du in der App unter Profil → Daten & Datenschutz oder schriftlich bei deiner Box; sie gilt nur für diese Box.

Die Einwilligung ist freiwillig. Du kannst sie jederzeit mit Wirkung für die Zukunft in der App oder bei deiner Box widerrufen (Art. 7 Abs. 3 DSGVO). Dann werden deine Körperwerte und Herzfrequenzzonen bei dieser Box gelöscht. Gesundheitsdaten werden nicht für Werbung genutzt, nicht verkauft und nur im Rahmen der Auftragsverarbeitung (Hosting) weitergegeben. Verantwortlich ist die Box, wir verarbeiten sie in ihrem Auftrag.

7. Boxen als Kunden: Registrierung und Plattform-Abo

Wenn du eine Box bei AMRAPP registrierst, verarbeiten wir deine Kontodaten, die Daten der Box (Name, Anschrift, Kontakt, Logo, Farben), Rechnungsdaten (Firma, Rechnungsadresse, Rechnungs-E-Mail, USt-IdNr.), Tarif und Vertragsstatus sowie die Zahl der aktiven Mitglieder für die Tarifgrenze. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Diese Angaben sind für den Vertragsschluss erforderlich. Drei Tage vor Ende der Testphase erinnern wir dich per E-Mail an die erste Abbuchung.

Die Zahlung des Plattform-Abos wickeln wir über Stripe ab (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland). Zahlungsdaten wie Kartennummer oder IBAN gibst du direkt bei Stripe ein, sie werden nicht auf unseren Servern gespeichert. Wir erhalten von Stripe nur die Art des Zahlungsmittels, die letzten vier Ziffern, den Abo-Status und die Rechnungen. Stripe kann Daten in die USA übermitteln und ist unter dem EU-US Data Privacy Framework zertifiziert. Rechnungen bewahren wir nach den gesetzlichen Fristen auf (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB, bis zu 10 Jahre).

8. Online-Zahlungen von Mitgliedern an ihre Box

Bietet deine Box Online-Zahlungen an, bezahlst du Pakete direkt an die Box über Stripe (Stripe Connect). Stripe verarbeitet deine Zahlungsdaten dabei als eigener Verantwortlicher; es gilt zusätzlich die Datenschutzerklärung von Stripe (stripe.com/de/privacy). Wir speichern nur die Stripe-Kundennummer, den Zahlungsstatus und die Rechnung, im Auftrag der Box. AMRAPP erhält keine Provision.

9. KI-Assistent für Boxen

Das Personal einer Box kann einen KI-Assistenten (z. B. Claude oder ChatGPT) mit der Verwaltung verbinden, um Kurse und Workouts zu planen. Dabei werden Kurse, Kursvorlagen und Workouts an den gewählten Anbieter übermittelt, keine Daten von Mitgliedern (keine Namen, Buchungen, Ergebnisse oder Gesundheitsdaten). Die Verbindung stellt die Box selbst her und kann sie jederzeit trennen; für die Auswahl des Anbieters ist die Box verantwortlich.

10. E-Mail und Kontaktformular

E-Mails der Plattform (z. B. Bestätigungen, Passwort-Links, Einladungen, Rechnungs- und Kurshinweise) versenden wir über unseren Mailserver bei der STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin (Auftragsverarbeiter). Wenn du uns per E-Mail oder über das Kontaktformular schreibst, verarbeiten wir Name, E-Mail-Adresse, ggf. Box/Firma und deine Nachricht, um die Anfrage zu beantworten (Art. 6 Abs. 1 lit. b oder f DSGVO). Nachrichten aus dem Kontaktformular gehen nur per E-Mail an uns und werden nicht in AMRAPP gespeichert; wir löschen sie, wenn sie für die Bearbeitung nicht mehr benötigt werden. Zum Schutz vor Missbrauch wird die Zahl der Nachrichten je IP-Adresse kurzzeitig begrenzt.

11. Cookies, Einwilligung und Webanalyse auf amrapp.de

Notwendige Speicherungen. Technisch notwendige Cookies setzen wir für Sitzungen und Logins sowie zum Schutz von Formularen (z. B. Sitzungscookie und „XSRF-TOKEN“, Speicherdauer zwei Stunden ab der letzten Aktivität). Deine Auswahl im Cookie-Banner speichern wir im lokalen Speicher deines Browsers („amrapp_consent“: Version, Zeitpunkt und gewählte Kategorien), damit wir dich nicht bei jedem Besuch erneut fragen; nach 12 Monaten fragen wir erneut. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG sowie Art. 6 Abs. 1 lit. b und f DSGVO bzw. Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 7 Abs. 1 DSGVO (Nachweis der Einwilligung).

Einwilligung und Widerruf. Alle folgenden Dienste laden wir erst, nachdem du im Cookie-Banner „Alle akzeptieren“ gewählt oder die Kategorie „Statistik“ aktiviert hast. Vorher wird keine Verbindung zu Google aufgebaut. Deine Einwilligung ist freiwillig, ohne sie kannst du die Website uneingeschränkt nutzen. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen oder ändern, indem du unten auf jeder Seite „Cookie-Einstellungen“ öffnest (Cookie-Einstellungen hier öffnen). Beim Widerruf löschen wir die Analyse-Cookies in deinem Browser und laden die Seite ohne Google-Dienste neu.

Google Tag Manager. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Der Google Tag Manager ist ein Werkzeug, mit dem wir die Analyse-Dienste auf unserer Website verwalten und einbinden. Er selbst setzt keine Cookies und wertet keine Nutzungsdaten aus, beim Laden wird aber deine IP-Adresse an Google übermittelt, und er sorgt dafür, dass Google Analytics nur entsprechend deiner Auswahl ausgeführt wird (Google Consent Mode). Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Google Analytics 4. Ebenfalls von Google Ireland Limited. Zweck ist die statistische Auswertung der Nutzung unserer Website, damit wir Inhalte und die Registrierung für Boxen verbessern können, z. B. Anzahl der Besucher, aufgerufene Seiten und Bereiche, Verweildauer, Herkunft der Zugriffe (verweisende Website, Kampagne), ungefährer Standort (Land, Stadt), Geräte- und Browserdaten sowie einzelne Schritte der Registrierung einer Box und deren Abschluss (gewählter Tarif und Abrechnungsintervall, keine Namen oder E-Mail-Adressen). Dazu setzt Google Cookies („_ga“ und „_ga_*“, Speicherdauer bis zu 2 Jahre), mit denen dein Browser bei weiteren Besuchen wiedererkannt wird. IP-Adressen werden in Google Analytics 4 nach Angaben von Google nicht gespeichert, sondern nur zur Ermittlung des ungefähren Standorts verwendet und anschließend verworfen. Google Signals, Werbefunktionen und die Verknüpfung mit Werbeprodukten haben wir deaktiviert, die Daten nutzen wir nicht zur Personalisierung von Werbung. Die bei Google gespeicherten Nutzungsdaten werden nach 14 Monaten automatisch gelöscht. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Empfänger und Drittlandübermittlung. Google verarbeitet die Daten für uns als Auftragsverarbeiter auf Grundlage der Google Ads Data Processing Terms (Art. 28 DSGVO). Dabei ist eine Übermittlung an die Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, möglich. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO), ergänzend auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Weitere Informationen: Datenschutzerklärung von Google und Google Business Data Responsibility.

12. Empfänger und Übermittlung in Drittländer

Wir geben personenbezogene Daten nur an die genannten Dienstleister weiter, soweit es für den jeweiligen Zweck nötig ist, und an Behörden nur, wenn wir gesetzlich dazu verpflichtet sind. Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Übermittlungen in die USA stützen sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), hilfsweise auf Standardvertragsklauseln (Art. 46 DSGVO); für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss.

13. Speicherdauer

Konto- und Profildaten: bis du dein Konto löschst
Daten innerhalb einer Box: solange die Box sie benötigt bzw. bis zum Ende des Vertrags der Box mit uns; danach löschen wir sie nach 90 Tagen, auf Anforderung der Box auch früher. Nie abgeschlossene Registrierungen einer Box löschen wir nach 30 Tagen.
Gesundheitsdaten: bis zum Widerruf der Einwilligung, zur Löschung durch die Box oder zur Löschung deines Kontos
Zugriffs- und Fehlerprotokolle: 6 Monate; Sicherheitsprotokoll zu Konto-Änderungen: 12 Monate
Cookie-Einwilligung: im lokalen Speicher deines Browsers, bis du sie änderst oder löschst, spätestens nach 12 Monaten fragen wir erneut; Google Analytics: Cookies bis 2 Jahre, Nutzungsdaten bei Google 14 Monate
Änderungsprotokoll der Box (wer hat wann z. B. ein Paket oder eine Buchung geändert, mit Namen): 365 Tage, auch nach Löschung eines Kontos
Rechnungen und Buchungsbelege: nach den gesetzlichen Aufbewahrungsfristen (bis zu 10 Jahre)

14. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3). Anfragen richtest du an [email protected]; für Daten in einer Box an die Box (wir unterstützen sie dabei).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Beschwerderecht (Art. 77 DSGVO): Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. bei dem für uns zuständigen Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.

Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

15. Sicherheit

Wir schützen deine Daten durch technische und organisatorische Maßnahmen, u. a. durchgehende TLS-Verschlüsselung, Passwort-Hashing und Passkeys, Rollen- und Rechtekonzept je Box, getrennte Daten je Box, Protokollierung von Änderungen, regelmäßige Backups und Server in Deutschland.

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich Funktionen oder Rechtslage ändern. Es gilt die jeweils aktuelle Version unter amrapp.de/datenschutz.