Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Ein Datenschutzbeauftragter ist nach § 38 BDSG nicht erforderlich, da die Schwellenwerte des Gesetzes nicht erreicht werden.

2. Übersicht der Datenverarbeitungen

Wir verarbeiten folgende Kategorien personenbezogener Daten:

• Kontodaten: Name, E-Mail-Adresse, Passwort (nur als Hash gespeichert) sowie Ihre Einstellungen in der App, etwa Sprache, Akzentfarbe und verfügbare Hantelscheiben
• Sitzungsdaten: Sitzungs-Token sowie IP-Adresse und Browserkennung (User-Agent) bei der Anmeldung
• Trainingsdaten: Trainingspläne, Übungen, Sätze mit Wiederholungen, Gewicht und RIR, Auslassungsgründe, persönliche Bestleistungen, Notizen zu Übungen und Zeitstempel
• Körperdaten: Körpergewicht und zugehörige Notizen, sofern Sie diese erfassen
• Technische Daten: Bei jedem Aufruf protokolliert unser Hosting-Anbieter IP-Adresse, Browserkennung, Zeitpunkt und aufgerufene Adresse
• Sicherheitsdaten: TOTP-Secret und Backup-Codes für die Zwei-Faktor-Authentifizierung (beide verschlüsselt gespeichert) sowie zeitlich begrenzte Codes und Token für E-Mail-Bestätigung, Anmeldung und Passwort-Zurücksetzung
• Sicherheitsprotokoll: Einträge zu sicherheitsrelevanten Ereignissen, nämlich Aktivierung und Deaktivierung der Zwei-Faktor-Authentifizierung, Neuerzeugung der Backup-Codes, Zwei-Faktor-Anmeldung mit einem per E-Mail gesendeten Code, Beantragung, Widerruf und Durchführung einer Kontolöschung, Versand von E-Mails (mit Empfängeradresse) sowie Eingriffe des Betreibers in Ihr Konto, teilweise mit IP-Adresse und Browserkennung
• Studio-Daten (nur bei Nutzung der Coach-Funktionen): Mitgliedschaften und Rollen in Studios, Einwilligungen in die Coach-Sichtbarkeit, zugewiesene Trainingspläne, Einladungen und eingelöste Einladungslinks; für Personen, die einen Coaching-Bereich anlegen, zusätzlich die Annahme des Auftragsverarbeitungsvertrags sowie Tarif, Abonnementstatus und die Kunden- und Abonnement-Kennung bei Stripe
• Geteilte Trainings-Links: die von Ihnen erstellten Links, das jeweils zugehörige Training sowie Erstellungs- und Widerrufsdatum

3. Rechtsgrundlagen

Wir verarbeiten Ihre Daten auf folgenden Rechtsgrundlagen:

• Konto-, Trainings-, Körper- und Studio-Daten, Sicherheitsdaten, E-Mail-Versand sowie die Abrechnung der Abonnements für den Coaching-Bereich: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Bereitstellung von REPPPS erfordert die Verarbeitung dieser Daten.
• Sichtbarkeit Ihrer Trainingsdaten für ein Studio: Art. 6 Abs. 1 lit. a DSGVO und, soweit Auslassungsgründe Rückschlüsse auf Ihre Gesundheit zulassen, Art. 9 Abs. 2 lit. a DSGVO (Einwilligung beim Beitritt zum Studio). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Abschnitt 8).
• Öffentliche Trainings-Links: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch das Erstellen des Links); Sie widerrufen sie, indem Sie den Link widerrufen (Abschnitt 9).
• Technische Protokolldaten, Sicherheitsprotokoll und Rate-Limiting (IP-Adressen, Browserkennungen, Zugriffszeiten): Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit, Stabilität und Missbrauchsabwehr). Sie können dieser Verarbeitung gemäß Art. 21 DSGVO widersprechen.

4. Cookies und Speicherung auf Ihrem Gerät

Wir setzen ausschließlich technisch notwendige Cookies ein: ein Anmelde-Cookie, das Sie angemeldet hält (ohne „Angemeldet bleiben“ bis zum Schließen des Browsers und höchstens 24 Stunden, sonst bis zu 30 Tage), ein Cookie, das Sitzungsdaten für 5 Minuten zwischenspeichert, während der Anmeldung mit Zwei-Faktor-Authentifizierung ein Cookie mit einer Gültigkeit von 5 Minuten, ein Cookie, das Ihre Wahl speichert, wenn Sie „Angemeldet bleiben“ nicht auswählen, sowie ein Sprach-Cookie, wenn Sie eine andere Sprache verwenden als die in Ihrem Browser eingestellte.

Im lokalen Speicher Ihres Browsers legt die App ein laufendes Training ab, damit es beim Neuladen der Seite erhalten bleibt, sowie Ihre Anzeige- und Trainingseinstellungen (etwa Design, „Bildschirm aktiv halten“, Countdown vor dem Satz und eingeklappte Ordner). Ein Service Worker speichert statische App-Dateien wie Skripte, Schriftarten und Bilder, damit die App schneller lädt; persönliche Daten werden dort nicht zwischengespeichert. Die beschriebenen Cookies und Speicherungen sind nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, weil sie für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich sind; siehe auch Art. 5 Abs. 3 der ePrivacy-Richtlinie.

5. Analyse und Tracking

REPPPS verwendet keine Analyse- oder Tracking-Werkzeuge, keine Werbung, keine Tracking-Pixel und keine Fehlerüberwachung durch Drittanbieter. Schriftarten und alle anderen Bestandteile der App werden von unserem eigenen Server ausgeliefert; bei der Nutzung werden keine Inhalte von Servern Dritter nachgeladen. Nur wenn Sie ein Abonnement für den Coaching-Bereich abschließen oder verwalten, werden Sie auf Seiten von Stripe weitergeleitet. Sollte sich daran etwas ändern, holen wir vorher Ihre Einwilligung ein, soweit diese erforderlich ist, und aktualisieren diese Erklärung.

6. Unterauftragsverarbeiter

Eine vollständige Liste der Unterauftragsverarbeiter mit den verarbeiteten Daten und den Grundlagen für Datenübermittlungen finden Sie auf unserer Unterauftragsverarbeiter-Seite.

7. Dienstleister

Für den Betrieb von REPPPS setzen wir folgende Dienstleister ein, die Daten in unserem Auftrag verarbeiten:

• Railway (Railway Corporation, USA) – Hosting der Anwendung, der Datenbank und des Caches in der Region europe-west4 (Niederlande). Soweit Daten in die USA übermittelt werden, erfolgt dies auf Grundlage des DPA von Railway (EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist).
• Resend (Plus Five Five, Inc., USA) – Versand transaktionaler E-Mails. Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework und von EU-Standardvertragsklauseln.
• Stripe (Stripe Payments Europe, Limited, Irland) – Zahlungsabwicklung für die Abonnements des Coaching-Bereichs; betrifft nur Personen, die einen Coaching-Bereich anlegen. Für eigene Zwecke wie die Betrugsprävention handelt Stripe als eigenständiger Verantwortlicher. Übermittlungen an Stripe, LLC (USA) auf Grundlage des EU-US Data Privacy Framework und von EU-Standardvertragsklauseln.

8. Studio- und Coach-Funktionen

Wenn Sie über eine Einladung einem Studio beitreten und der Coach-Sichtbarkeit zustimmen, können die Coaches dieses Studios einen Teil Ihrer Daten einsehen, um Ihr Training zu begleiten. Für die Verarbeitung im Coach-Bereich ist das Studio verantwortlich; REPPPS verarbeitet die Daten insoweit in dessen Auftrag.

• Was Coaches sehen: Ihren Namen und Ihre E-Mail-Adresse, Ihre Trainingseinheiten, Sätze mit Wiederholungen, Gewicht und RIR, persönliche Bestleistungen, Auslassungsgründe (diese können Rückschlüsse auf Ihre Gesundheit zulassen, etwa „Schmerzen“), Fortschrittsdiagramme sowie die Ihnen zugewiesenen Trainingspläne und Ihren Fortschritt darin. Ihr Körpergewicht und Ihre persönlichen Notizen bleiben privat.
• Kontakt bei Inaktivität: Coaches sehen, wann Sie zuletzt trainiert haben, und Ihr Studio kann Sie kontaktieren, wenn Sie länger nicht trainiert haben.
• Widerruf: Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie unter Einstellungen > Meine Studios das Studio verlassen. Danach sind Ihre Daten für das Studio nicht mehr sichtbar; Ihr eigenes Trainingsjournal bleibt unverändert.
• Abrechnung: Wenn Sie einen Coaching-Bereich anlegen, wird für das Abonnement ein Kundenkonto bei Stripe mit Ihrer E-Mail-Adresse und einer internen Studio-Kennung angelegt. Zahlungsdaten geben Sie direkt bei Stripe ein; REPPPS erhält keine Kartendaten.

9. Geteilte Trainings-Links

Sie können einen öffentlichen Link zu einem einzelnen abgeschlossenen Training erstellen. Jede Person, die den Link hat, kann ihn ohne Konto öffnen.

Die Seite zeigt Ihren Vornamen (oder „Ein REPPPS-Lifter“, falls keiner angezeigt werden kann), Datum und Dauer des Trainings, die Übungen mit Sätzen, Gewichten, Wiederholungen und RIR sowie PR-Markierungen.

Sie zeigt nie Ihren Nachnamen, Ihre E-Mail-Adresse, den Namen Ihres Plans, Notizen oder Körperdaten. Die Seite weist Suchmaschinen an, sie nicht zu indexieren. Die App speichert nicht, wer den Link öffnet; für jede Anfrage gelten weiterhin das Rate-Limiting je IP-Adresse und die unter „Speicherdauer“ beschriebenen HTTP-Logs des Hosting-Anbieters.

Sie können einen Link jederzeit im Teilen-Menü des Trainings oder unter Einstellungen, Daten, Geteilte Links widerrufen. Ein widerrufener Link funktioniert sofort nicht mehr und wird nie wieder aktiviert; wenn Sie erneut teilen, entsteht ein neuer Link. Auch das Löschen des Trainings oder die Beantragung der Löschung Ihres Kontos lässt die zugehörigen Links sofort nicht mehr funktionieren; ziehen Sie den Löschantrag zurück, funktionieren nicht widerrufene Links wieder. Vorschauen, die Chat-Apps bereits erstellt haben, und Kopien, die Empfänger gespeichert haben, kann ein Widerruf nicht entfernen.

Wir speichern den Link, das zugehörige Training, die Zeitzone für die Datumsanzeige, das Erstellungsdatum und gegebenenfalls das Widerrufsdatum, damit widerrufene Links nicht wieder aktiviert werden können. Diese Einträge sind Teil Ihres Datenexports und werden mit Ihrem Konto gelöscht.

Rechtsgrundlage für die Veröffentlichung Ihres Trainings über einen Link: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Das Erstellen eines Links ist Ihre eigene Handlung; Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie den Link widerrufen.

10. Kontakt per E-Mail

Wenn Sie uns per E-Mail kontaktieren, etwa unter hi@reppps.app, als Antwort auf eine E-Mail von REPPPS oder an eine andere Adresse unter reppps.app, verarbeiten wir Ihre E-Mail-Adresse, den Inhalt Ihrer Nachricht und die Angaben, die Sie darin machen, um Ihre Anfrage zu bearbeiten.

Steht Ihre Anfrage im Zusammenhang mit einem Vertrag mit uns oder mit vorvertraglichen Maßnahmen, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, andernfalls Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen, die an uns gerichtet werden).

E-Mails an hi@reppps.app und an alle anderen Adressen unter reppps.app werden von den Mailservern der IONOS SE (Deutschland) empfangen und gespeichert.

Wir löschen Ihre Anfrage und unsere Korrespondenz dazu, sobald Ihr Anliegen abschließend bearbeitet ist, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

11. Speicherdauer

Wir speichern Ihre Daten für folgende Zeiträume:

• Kontodaten: Bis zur Löschung Ihres Kontos. Eine in den Einstellungen beantragte Löschung können Sie 30 Tage lang widerrufen; danach wird sie automatisch durchgeführt.
• Sitzungen: Ohne „Angemeldet bleiben“ höchstens 24 Stunden, sonst bis zu 30 Tage nach der letzten Nutzung. Beim Abmelden wird die Sitzung gelöscht; abgelaufene Sitzungen werden bei ihrer nächsten Verwendung entfernt, spätestens mit der Löschung Ihres Kontos.
• Trainings- und Körperdaten: Bis zur Löschung Ihres Kontos
• Studio-Daten: Bis zur Löschung des Studios. Endet das Studio-Abonnement, benachrichtigen wir den Inhaber des Studios per E-Mail; wird das Studio nicht reaktiviert, löschen wir es mit allen Studio-Daten 30 Tage nach dem Ende des Abonnements automatisch, frühestens jedoch 14 Tage nach der Benachrichtigung. Verlangt das Studio vorher die Rückgabe der Daten, löschen wir sie nach der Rückgabe. Haben Sie einen Coaching-Bereich angelegt, wird mit der Löschung Ihres Kontos das Abonnement bei Stripe sofort gekündigt und das Studio mit allen Studio-Daten gelöscht. In beiden Fällen gilt: Die eigenen Konten und Trainingsprotokolle der Mitglieder bleiben bestehen. Ihr Kundenkonto bei Stripe wird nicht gelöscht; die darüber erstellten Rechnungen müssen wir nach den gesetzlichen Aufbewahrungsfristen aufbewahren.
• Geteilte Trainings-Links: Bis zur Löschung Ihres Kontos; widerrufene Links bleiben unerreichbar gespeichert, damit sie nie wieder aktiviert werden können
• HTTP-Protokolle des Hosting-Anbieters: 30 Tage
• Zähler für das Rate-Limiting: Höchstens eine Stunde
• Sicherheitsprotokoll: Einträge werden 90 Tage nach ihrer Erstellung automatisch gelöscht. Wird Ihr Konto vorher gelöscht, werden die Zuordnung der Einträge zu Ihrem Konto sowie IP-Adresse und Browserkennung sofort entfernt und Einträge zum Versand von E-Mails an Ihre Adresse sofort gelöscht.
• E-Mail-Warteschlange: E-Mails, deren Versand zunächst fehlschlägt, werden mit Empfängeradresse und Inhalt gespeichert und erneut versendet. Die Einträge werden 90 Tage nach ihrer Erstellung automatisch gelöscht, unabhängig davon, ob der erneute Versand gelungen ist. Wird Ihr Konto vorher gelöscht, werden die Einträge an Ihre Adresse sofort gelöscht.
• Datensicherungen: Gelöschte Daten können in den Datenbanksicherungen und im Archiv für die Point-in-Time-Wiederherstellung noch bis zu etwa 4 Wochen enthalten sein, bis sie im Rahmen der regulären Rotation überschrieben werden.

12. Ihre Rechte

Nach der DSGVO stehen Ihnen folgende Rechte zu:

• Auskunftsrecht (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)
• Recht auf Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Um Ihre Rechte auszuüben, kontaktieren Sie uns bitte unter der oben genannten E-Mail-Adresse.

13. Beschwerderecht

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern.