Datenschutzerklärung

Präambel

Mit dieser Datenschutzerklärung informieren wir darüber, welche personenbezogenen Daten („Daten“) wir zu welchen Zwecken und in welchem Umfang verarbeiten, wenn du unsere Website und die Web-App Rungs („Onlineangebot“) nutzt. Rungs ist eine Software zum Planen und Protokollieren von Kraft- und Skill-Training (Calisthenics). Die verwendeten Begriffe sind nicht geschlechtsspezifisch.

Verantwortlicher

Jose Bonet Giner, Hedderichstraße 81, Frankfurt am Main, Deutschland

E-Mail-Adresse: pepebogi5@gmail.com
Impressum: /impressum

Einen Datenschutzbeauftragten müssen wir nicht benennen.

Übersicht der Verarbeitungen

• Arten der Daten: Bestandsdaten (E-Mail-Adresse), Inhaltsdaten (Trainingsangaben: Ziel, Trainingstage, Ausrüstung, Testergebnisse wie Wiederholungen und Haltezeiten, protokollierte Sätze und Belastungsempfinden), Vertragsdaten, Nutzungsdaten, Meta-, Kommunikations- und Verfahrensdaten, Protokolldaten.
• Betroffene Personen: Nutzer, Interessenten, Kommunikationspartner.
• Zwecke: Bereitstellung des Onlineangebots und der vertraglichen Leistungen (Plan, Datum, Protokoll), Anmeldeverfahren, Kommunikation (Anmelde-E-Mails, Erinnerungen), Sicherheitsmaßnahmen, Reichweitenmessung, Fehlerbehebung.

Wir erheben keine Gesundheits-, Verletzungs- oder Körpergewichtsdaten und keine Daten von Wearables.

Maßgebliche Rechtsgrundlagen

• Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO): die betroffene Person hat in die Verarbeitung für bestimmte Zwecke eingewilligt.
• Vertragserfüllung (Art. 6 Abs. 1 S. 1 lit. b DSGVO): die Verarbeitung ist zur Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen erforderlich.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 S. 1 lit. c DSGVO).
• Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO): sofern die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen.

Zusätzlich gelten nationale Regelungen, insbesondere das Bundesdatenschutzgesetz (BDSG) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

Sicherheitsmaßnahmen

Wir treffen nach Maßgabe der gesetzlichen Vorgaben und unter Berücksichtigung des Stands der Technik geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören insbesondere: Übertragung ausschließlich verschlüsselt über TLS (HTTPS); Anmelde-Links, Anmeldecodes und Sitzungskennungen werden nur als kryptografischer Hash gespeichert; Anmelde-Links und -Codes gelten 15 Minuten und einmal; Zugriffe auf Daten sind auf das eigene Konto beschränkt.

Übermittlung von personenbezogenen Daten

Wir setzen Dienstleister ein, die Daten in unserem Auftrag verarbeiten (Auftragsverarbeiter), insbesondere für Hosting, Datenbank und E-Mail-Versand; mit ihnen haben wir Verträge zur Auftragsverarbeitung geschlossen. Die Anbieter nennen wir in den folgenden Abschnitten. An sonstige Dritte geben wir Daten nur weiter, wenn dies gesetzlich vorgeschrieben ist.

Internationale Datentransfers

Einige Dienstleister haben ihren Sitz in den USA. Für Übermittlungen in die USA stützen wir uns vorrangig auf das EU-US Data Privacy Framework (DPF), das die EU-Kommission mit Angemessenheitsbeschluss vom 10.07.2023 anerkannt hat. Zusätzlich bestehen Standardvertragsklauseln der EU-Kommission, die als Rückfallebene greifen, falls sich am DPF etwas ändert. Wo möglich, nutzen wir Server in der EU (Frankfurt).

Liste der DPF-zertifizierten Unternehmen: www.dataprivacyframework.gov/

Allgemeine Informationen zur Datenspeicherung und Löschung

Wir löschen Daten, sobald der Zweck ihrer Verarbeitung entfällt, Einwilligungen widerrufen werden oder keine Rechtsgrundlage mehr besteht, es sei denn, gesetzliche Aufbewahrungspflichten erfordern eine längere Speicherung. Konto- und Trainingsdaten speichern wir, bis du dein Konto löschst (Einstellungen → Konto löschen); dann löschen wir sie sofort. Anmelde-Links und -Codes löschen wir einen Tag nach Ablauf, abgelaufene Sitzungen täglich.

Soweit kostenpflichtige Pläne angeboten werden, gelten für steuerlich relevante Unterlagen die gesetzlichen Fristen nach deutschem Recht: 10 Jahre für Bücher und Aufzeichnungen (§ 147 Abs. 1 Nr. 1 AO, § 257 Abs. 1 Nr. 1 HGB), 8 Jahre für Buchungsbelege wie Rechnungen (§ 147 Abs. 1 Nr. 4, 4a AO, § 14b UStG), 6 Jahre für sonstige Geschäftsunterlagen (§ 147 Abs. 1 Nr. 2, 3, 5 AO, § 257 Abs. 1 Nr. 2, 3 HGB) und 3 Jahre für Daten zur Abwehr vertraglicher Ansprüche (§§ 195, 199 BGB). Beträgt eine Frist mindestens ein Jahr, beginnt sie mit Ablauf des Kalenderjahres, in dem das auslösende Ereignis (z. B. das Vertragsende) eingetreten ist.

Rechte der betroffenen Personen

• Widerspruchsrecht: Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung deiner Daten, die aufgrund von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, Widerspruch einzulegen.
• Widerrufsrecht bei Einwilligungen: erteilte Einwilligungen kannst du jederzeit widerrufen.
• Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit (Art. 15–20 DSGVO). In den Einstellungen kannst du alle deine Daten als Datei herunterladen und dein Konto löschen.
• Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden, datenschutz.hessen.de.

Erbringung unserer Leistungen (App)

Wir verarbeiten die Daten unserer Nutzer, um ihnen die App bereitzustellen: aus deinen Testergebnissen einen Trainingsplan und ein voraussichtliches Datum zu berechnen, deine Einheiten zu protokollieren und deinen Fortschritt anzuzeigen. Dafür verarbeiten wir deine E-Mail-Adresse und die Trainingsangaben, die du selbst eingibst. Eine Einheit, die du ohne Verbindung beendest, liegt bis zum Hochladen nur auf deinem Gerät. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Für die App brauchen wir deine E-Mail-Adresse; ohne sie kannst du kein Konto anlegen. Alle Trainingsangaben sind freiwillig. Dein Plan und dein Datum werden nach festen Regeln automatisch berechnet; das ist keine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO.

Bereitstellung des Onlineangebots, Webhosting und Content-Delivery-Network

Um das Onlineangebot auszuliefern, verarbeitet unser Hoster die IP-Adresse und technische Zugriffsdaten (aufgerufene Seite, Datum und Uhrzeit, übertragene Datenmenge, Browser und Betriebssystem, Referrer). Diese Server-Logfiles dienen der Sicherheit (z. B. Abwehr von Überlastungsangriffen) und der Stabilität und werden höchstens 30 Tage gespeichert. Ausgeliefert wird über das weltweite Content-Delivery-Network des Hosters. Rechtsgrundlage: berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO).

Dienstanbieter: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA; Server-Region Frankfurt. Datenschutzerklärung: vercel.com/legal/privacy-policy. Auftragsverarbeitungsvertrag: vercel.com/legal/dpa. Drittlandtransfers: Data Privacy Framework, Standardvertragsklauseln.

Datenbank

Konto- und Trainingsdaten speichern wir in einer Datenbank, die ein Dienstleister in unserem Auftrag betreibt. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Dienstanbieter: Neon Inc., USA; Server-Region AWS Frankfurt. Datenschutzerklärung: neon.com/privacy-policy. Auftragsverarbeitungsvertrag: neon.com/dpa. Drittlandtransfers: Standardvertragsklauseln.

Einsatz von Cookies und Speicher im Browser

Wir verwenden ausschließlich technisch notwendige Cookies, die unbedingt erforderlich sind, um die von dir ausdrücklich gewünschten Funktionen bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht erforderlich; wir setzen keine Cookies zu Werbe-, Tracking- oder Analysezwecken und deshalb auch kein Cookie-Banner ein. Rechtsgrundlage der damit verbundenen Verarbeitung: Vertragserfüllung bzw. berechtigte Interessen (Art. 6 Abs. 1 lit. b, f DSGVO).

• gc_session – hält dich angemeldet (60 Tage oder bis zur Abmeldung)
• gc_locale – deine gewählte Sprache (1 Jahr)
• gc_goal – welches deiner Ziele die App zeigt (1 Jahr)
• gc_oauth – nur während der Anmeldung mit Google (10 Minuten)

Im Speicher deines Browsers (localStorage) liegen Einheiten, die noch hochgeladen werden müssen, und ob du Zeichnungen von der Seite oder von vorne sehen willst. Der Service Worker speichert Seiten der App, damit sie offline funktioniert. Du kannst Cookies und Website-Daten jederzeit in deinem Browser löschen; danach musst du dich neu anmelden.

Registrierung, Anmeldung und Nutzerkonto

Für die App legst du ein Nutzerkonto an. Wir speichern dafür nur deine E-Mail-Adresse, den Zeitpunkt der Registrierung und deine Anmeldesitzungen. Es gibt kein Passwort: Zur Anmeldung schicken wir dir einen Link und einen 6-stelligen Code per E-Mail (siehe „E-Mail-Versand“), oder du meldest dich mit Google an. Ein Klarname ist nicht nötig; Profile sind nicht öffentlich sichtbar. Zum Schutz vor Missbrauch begrenzen wir die Zahl der Anmelde-E-Mails pro Adresse; IP-Adressen erscheinen dabei nur in den Server-Logfiles des Hosters. Über Vorgänge, die für dein Konto relevant sind, können wir dich per E-Mail informieren.

Löschst du dein Konto, löschen wir alle zugehörigen Daten unwiderruflich, vorbehaltlich gesetzlicher Aufbewahrungspflichten. Sichere deine Daten vorher, wenn du sie behalten möchtest (Einstellungen → Daten exportieren). Rechtsgrundlagen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und berechtigte Interessen an Sicherheit (Art. 6 Abs. 1 lit. f DSGVO).

Single-Sign-On-Anmeldung mit Google

Du kannst dich mit deinem Google-Konto anmelden. Die Authentifizierung erfolgt direkt bei Google; dein Google-Passwort sehen und speichern wir nicht. Wir fordern nur die Bereiche „openid“ und „email“ an und erhalten von Google ausschließlich deine E-Mail-Adresse und die Bestätigung, dass Google sie geprüft hat. Möchtest du die Verbindung nicht mehr nutzen, kannst du sie in deinem Google-Konto aufheben; deine Daten bei uns löschst du über „Konto löschen“. Rechtsgrundlagen: Vertragserfüllung und berechtigte Interessen an einer sicheren, einfachen Anmeldung (Art. 6 Abs. 1 lit. b, f DSGVO).

Dienstanbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Datenschutzerklärung: policies.google.com/privacy. Drittlandtransfers: Data Privacy Framework.

E-Mail-Versand

Wir versenden Anmelde-E-Mails (Link und Code), Bestätigungen der Warteliste und Erinnerungen an fällige Nachtests über einen E-Mail-Dienstleister. Erinnerungs-E-Mails schicken wir nur, wenn auf deinem Gerät keine Push-Erinnerungen eingerichtet sind; du kannst sie in den Einstellungen abschalten. Wir versenden keine Werbe-E-Mails. Rechtsgrundlagen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); für die Warteliste deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Dienstanbieter: Resend (Plus Five Five, Inc.), USA. Datenschutzerklärung: resend.com/legal/privacy-policy. Auftragsverarbeitungsvertrag: resend.com/legal/dpa. Drittlandtransfers: Data Privacy Framework, Standardvertragsklauseln.

Push-Nachrichten

Wenn du in den Einstellungen Erinnerungen einschaltest und deinem Browser die Erlaubnis gibst, speichern wir die Push-Adresse deines Browsers. Die Benachrichtigungen (z. B. „Nachtest heute“) stellt der Push-Dienst deines Browsers bzw. Geräts zu (Apple, Google oder Mozilla). Du kannst die Erlaubnis jederzeit in den Browser- oder Geräteeinstellungen widerrufen. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Kontakt- und Anfrageverwaltung

Wenn du uns per E-Mail kontaktierst, verarbeiten wir deine Angaben, soweit dies zur Beantwortung deiner Anfrage erforderlich ist. Rechtsgrundlagen: Vertragserfüllung bzw. berechtigte Interessen an der Beantwortung (Art. 6 Abs. 1 lit. b, f DSGVO).

Reichweitenmessung

Wir zählen Seitenaufrufe mit Vercel Web Analytics, um zu verstehen, ob und wie das Onlineangebot genutzt wird. Es werden keine Cookies gesetzt und keine IP-Adressen gespeichert; Besucher werden nur über einen täglich wechselnden, gekürzten Hash erkannt, der keiner Person zugeordnet werden kann. Es werden keine Nutzerprofile erstellt. Übertragen werden die aufgerufene Seite (ohne Suchparameter und ohne Kennungen), Herkunftsseite, Land, Gerätetyp, Betriebssystem und Browser. Rechtsgrundlage: berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO).

Dienstanbieter: Vercel Inc., USA. Informationen zum Datenschutz: vercel.com/docs/analytics/privacy-policy. Drittlandtransfers: Data Privacy Framework, Standardvertragsklauseln.

Fehlerberichte

Tritt ein technischer Fehler auf, protokollieren wir ihn (Fehlermeldung, Seite, Zeitpunkt; keine E-Mail-Adresse oder Konto-Kennung) und senden ihn, sofern eingerichtet, an Sentry (Functional Software, Inc., USA; Speicherung in der EU; Auftragsverarbeitungsvertrag), um Fehler zu beheben. Rechtsgrundlage: berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO).

Zahlungen

Sobald wir kostenpflichtige Pläne anbieten, verkauft sie Paddle.com Market Limited (Judd House, 18–29 Mora Street, London EC1V 8BT, Vereinigtes Königreich) als Wiederverkäufer (Merchant of Record). Paddle verarbeitet deine Zahlungsdaten in eigener Verantwortung; wir erhalten nur, welchen Plan du gekauft hast, bis wann er gilt, und eine Kennung des Abonnements. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Datenschutzerklärung: www.paddle.com/legal/privacy.

Schätzer und Warteliste

Die Zahlen, die du im Rungs-Schätzer antippst, werden in deinem Browser verarbeitet und nicht gespeichert. Teilst du eine Schätzung, gehen die Zahlen einmal an unseren Server, um das Bild zu zeichnen, und werden nicht gespeichert.

Trägst du dich in die Warteliste ein, schicken wir eine Bestätigungs-E-Mail (Double-Opt-in) und speichern deine Adresse erst nach deiner Bestätigung, um dich zu informieren, wenn das Angebot startet. Du kannst jederzeit widerrufen. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Änderung und Aktualisierung

Wir passen diese Datenschutzerklärung an, sobald Änderungen der Datenverarbeitung dies erforderlich machen, und informieren dich, wenn eine Mitwirkung (z. B. eine Einwilligung) oder eine individuelle Benachrichtigung nötig wird. Adressen von Unternehmen können sich ändern; bitte prüfe sie vor einer Kontaktaufnahme.