Datenschutzerklärung

Stand: Juli 2026

Geltungsbereich: Trainer-Web-App, Kunden-Mobile-App (iOS/Android) und administrative Webseiten der GymliApp. Diese Datenschutzerklärung informiert Sie über die Art, den Umfang und den Zweck der Verarbeitung von personenbezogenen Daten unter Berücksichtigung des Schweizer Datenschutzgesetzes (revDSG) sowie der europäischen Datenschutz-Grundverordnung (DSGVO).

Verantwortlicher und Kontakt

Verantwortlich für die Datenverarbeitungsprozesse, bei denen die Plattform die Zwecke und Mittel der Verarbeitung selbst bestimmt (beispielsweise bei der Verwaltung von Trainer-Abonnements, der Rechnungsstellung und dem technischen Betrieb des Admin-Panels), ist:

Unternehmen: RG Systems GmbH
Adresse: Sempachstrasse 4, 6280 Hochdorf, Schweiz
Vertretungsberechtigte Person: Andreas Rederer, Geschäftsführer
Unternehmens-Identifikationsnummer (UID): CHE-434.253.423
E-Mail: info@gymliapp.com

Wichtiger Hinweis zur Datenverantwortung im B2B2C-Modell

Wenn Sie als Endnutzer (Trainierender) die Kunden-Mobile-App von GymliApp nutzen, ist das von Ihnen genutzte Fitnessstudio bzw. Ihr Personal Trainer der datenschutzrechtlich Verantwortliche (Controller) im Sinne des revDSG/der DSGVO. GymliApp agiert in diesem Verhältnis rein als Auftragsbearbeiter (Processor), der Ihre Daten im strengen Auftrag und nach Weisung Ihres Trainers verarbeitet. Rechte auf Auskunft, Berichtigung oder Löschung Ihrer Fitness- und Trainingsdaten sind daher primär direkt an Ihr Studio bzw. Ihren Trainer zu richten.

Kategorien verarbeiteter personenbezogener Daten

A. Daten von Trainern und Studios (Vertragspartner)

Kontodaten: E-Mail-Adresse, Vorname, Nachname, Studio- bzw. Firmenname, Studio-Logo (optional), Firmenadresse und Telefonnummer (optional).

Zahlungs- und Abodaten: Stripe-Kunden-ID, Stripe-Abo-ID, Abonnement-Status, Abonnement-Stufe, Abrechnungsperiode, Anzahl zugewiesener Kunden. Hinweis zu Zahlungsdaten: Kreditkarten- und Bankdaten werden direkt und verschlüsselt durch den Payment-Gateway-Anbieter Stripe verarbeitet. Wir speichern zu keinem Zeitpunkt vollständige Kreditkartendaten auf unseren eigenen Systemen.

B. Daten von Kunden / Endnutzern (Trainierende)

Stammdaten: E-Mail-Adresse, Vorname, Nachname. Optional (sofern vom Trainer oder Kunden erfasst): Geburtsdatum, Körpergrösse (in cm), Körpergewicht (in kg) und ein Profilbild.

Trainer-Notizen: Freitexte, die der betreuende Trainer erfasst und welche sensible Zustandsbeschreibungen enthalten können.

Besonders schützenswerte Personendaten (Art. 5 lit. c revDSG) / Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO — Fitness- und Gesundheitsdaten):

Körpergewichts-Verlauf (Gewicht mit dazugehörigem Zeitstempel).
Körperfettanteil (in %).
Maximalkraft-Metriken (Bankdrücken, Kreuzheben, Kniebeuge in kg).
Erfasste Kalorienmengen.
Körperumfänge (Arm links/rechts, Brust, Oberschenkel links/rechts, Hüfte, Bauch).
Vollständige Trainingshistorie (Übungen, Sätze, Wiederholungen, Gewichte, Trainingsdauer, Gesamtvolumen sowie Start- und Endzeiten).
Fortschrittsfotos (vom Kunden hochgeladene Körperbilder zur visuellen Verlaufsdokumentation).

C. Technische Daten und Protokolldaten (Web und Mobile App)

IP-Adressen (erfasst in Server-Protokollen und temporär verarbeitet zur Missbrauchsprävention/Rate-Limiting).
Push-Notification-Token sowie die genutzte Geräteplattform (iOS oder Android).
In-App-Benachrichtigungen (Typ, Titel, Inhalt, Gelesen-Status).
Session-Cookies (Web-Browser) sowie lokale Session-Token (Mobile App).
Lokale Präferenzen (z. B. gewählte Design-Einstellungen wie gymli_theme_preference, temporär gespeicherte Formular-Entwürfe zur Vermeidung von Datenverlusten).

Technische Besonderheit: Versand von Initial-Passwörtern im Klartext

Wir weisen im Sinne der Transparenz darauf hin, dass bei der Neuanlage eines Endkundenkontos durch ein Studio oder einen Trainer das automatisch generierte Initial-Passwort systembedingt im Klartext per E-Mail an den Endkunden übermittelt wird. Um die Sicherheit zu gewährleisten, greift beim ersten Einloggen in die Kunden-Mobile-App ein systemseitiger Zwang zum sofortigen Passwortwechsel. Ein unbefugter Zugriff Dritter auf den E-Mail-Verkehr kann vor diesem Wechsel ein Sicherheitsrisiko darstellen.

Zweck der Datenverarbeitung und Rechtsgrundlagen

Die Verarbeitung der Trainerdaten erfolgt zur Erfüllung unseres Vertrages bzw. zur Durchführung vorvertraglicher Massnahmen (Art. 6 Abs. 1 lit. b DSGVO / Art. 31 Abs. 2 lit. a revDSG). Die Verarbeitung technischer Protokolldaten (z. B. IP-Adressen) erfolgt zur Wahrung unseres berechtigten Interesses an der Gewährleistung der IT-Sicherheit, Stabilität und Missbrauchsprävention (Art. 6 Abs. 1 lit. f DSGVO / Art. 31 Abs. 1 revDSG).

Die Verarbeitung besonders schützenswerter Fitness- und Gesundheitsdaten der Endnutzer erfolgt auf der Grundlage der ausdrücklichen Einwilligung, welche die Endnutzer gegenüber ihrem jeweiligen Fitnessstudio / Trainer erteilen oder durch die bewusste, aktive Eingabe und das Hochladen von Fortschrittsfotos innerhalb der mobilen App direkt erbringen (Art. 9 Abs. 2 lit. a DSGVO / Art. 31 Abs. 1 revDSG).

Zusatz zu Marketingzwecken: Sofern wir werbliche Informationen oder Newsletter an registrierte Trainer versenden, erfolgt dies ausschliesslich auf Basis einer separaten Einwilligung oder – im Rahmen bestehender Kundenbeziehungen – zur Bewerbung ähnlicher eigener Produkte. Dem Erhalt von Marketing-Mails kann jederzeit und ohne Angabe von Gründen widersprochen werden (Abmeldelink in der E-Mail).

Empfänger von Daten und internationaler Datentransfer

Um unsere Dienste stabil und kosteneffizient bereitzustellen, nutzen wir Cloud-Infrastrukturen spezialisierter Drittanbieter. Die Speicherung der primären Datenbanken und Anwendungsdaten erfolgt physisch in der Schweiz (Zürich). Einige Dienstleister haben jedoch ihren Hauptsitz in den USA, weshalb ein Datentransfer in Drittstaaten stattfindet.

Supabase Inc. (USA): Bereitstellung der PostgreSQL-Datenbank, Authentifizierung, Datei-Speicher (Storage für Fotos/Videos) und Realtime-Dienste. Server-Standort: Zürich, Schweiz (eu-central-2). Rechtsgrundlage: Datenhaltung erfolgt in der Schweiz. Ergänzend sind Standardvertragsklauseln (SCCs) abgeschlossen.
Vercel Inc. (USA): Hosting und Bereitstellung der Trainer-Web-App und des Admin-Panels. Server-Standort: Frankfurt, Deutschland (fra1) / EU. Rechtsgrundlage: Datenhaltung in der EU. Zugriff durch US-Mutterkonzern via Standardvertragsklauseln (SCCs) abgesichert.
Upstash Inc. (USA): Bereitstellung von Redis-Instanzen zur Durchführung von Rate-Limiting und Missbrauchsschutz auf API-Endpunkten. Server-Standort: N. Virginia, USA (us-east-1) (Primary) + Read-Replica in Frankfurt (EU). Rechtsgrundlage: Es findet ein direkter Transfer von IP-Adressen in die USA statt. Abgesichert über Standardvertragsklauseln (SCCs).
Stripe Payments Europe Ltd. (Irland) / Stripe Inc. (USA): Abwicklung sämtlicher Kreditkarten- und Abonnement-Zahlungen der Trainer. Server-Standort: EU / USA. Rechtsgrundlage: Standardvertragsklauseln (SCCs) / Data Privacy Framework (DPF).
Resend Inc. (USA): Versand aller automatisierten Transaktions-E-Mails (z. B. Willkommens-Mails mit Passwörtern, Passwort-Resets). Server-Standort: USA. Rechtsgrundlage: Standardvertragsklauseln (SCCs).
Expo (65 Industries, Inc., USA): Erstellung, Verteilung der Mobile App (EAS) sowie Betrieb des Expo Push Service zum Versand von Push-Mitteilungen. Server-Standort: USA. Rechtsgrundlage: Standardvertragsklauseln (SCCs).
Google LLC (USA): Zustellung von Push-Benachrichtigungen auf Android-Endgeräte (Firebase Cloud Messaging). Server-Standort: USA. Rechtsgrundlage: Standardvertragsklauseln (SCCs) / Data Privacy Framework (DPF).
Apple Inc. (USA): Zustellung von Push-Benachrichtigungen auf iOS-Endgeräte (Apple Push Notification service – APNs). Server-Standort: USA. Rechtsgrundlage: Gesetzliche Vorgaben des Betriebssystem-Betriebs.

Mobile App-Berechtigungen

Für den vollen Funktionsumfang muss die über den Apple App Store oder Google Play Store bezogene App auf bestimmte Geräteschnittstellen zugreifen. Sie werden beim ersten Start der App explizit um Erlaubnis gefragt:

Kamera (iOS/Android): Erforderlich, um direkt neue Profilbilder oder Fortschrittsfotos aufzunehmen.
Fotobibliothek / Medienspeicher (iOS/Android): Erforderlich, um bereits auf dem Smartphone vorhandene Fotos für das Profil oder den Trainingsverlauf auszuwählen.
Push-Benachrichtigungen: Erforderlich für den Empfang von Benachrichtigungen über zugewiesene Trainingspläne oder Nachrichten des Trainers.
Live Activities (iOS): Ermöglicht die Anzeige des Status des aktuell laufenden Workouts direkt auf dem Sperrbildschirm oder in der Dynamic Island.

Hinweis: Es werden zu keinem Zeitpunkt Standortdaten (GPS), Kontakte, Mikrofon-Schnittstellen oder Schnittstellen zu Apple HealthKit oder Google Fit ausgelesen oder abgefragt.

Datensicherheit im Datei-Speicher (Storage Buckets)

Sämtliche vom Kunden hochgeladenen Profilbilder (avatars) und die hochsensiblen Fortschrittsfotos zur Verlaufsdokumentation (progress-photos) werden in privaten, isolierten Storage-Systemen auf Supabase gesichert. Der Abruf dieser Dateien ist ausschliesslich über temporär generierte, kryptografisch signierte URLs möglich. Diese URLs sind nach ihrer Erstellung aus Sicherheitsgründen für maximal 1 Stunde gültig und verfallen danach automatisch, um unberechtigte Zugriffe von aussen effektiv zu verhindern.

Geplante Funktionen mit Künstlicher Intelligenz (KI)

Wir weisen darauf hin, dass die Integration von KI-gestützten Funktionen (z. B. zur automatischen Generierung von Trainingsplänen oder zur Fotoanalyse) geplant ist. Im aktuellen technischen Ist-Zustand findet keine Übermittlung, Verarbeitung oder Auswertung von Nutzerdaten durch künstliche Intelligenzen oder LLM-Drittanbieter (wie OpenAI oder Anthropic) statt. Vor der Aktivierung solcher Funktionen wird diese Datenschutzerklärung mit den entsprechenden Details aktualisiert.

Aufbewahrungsdauer und Löschung

Wir speichern Ihre Daten nur so lange, wie es zur Erbringung unseres Dienstes erforderlich ist oder gesetzliche Aufbewahrungsfristen (in der Schweiz gilt für buchhaltungs- und geschäftsrelevante Daten eine Pflicht von 10 Jahren) dies vorschreiben. Sobald ein Trainer ein Endkundenkonto in seinem Dashboard löscht, wird ein automatisierter, kaskadierender Löschprozess in Gang gesetzt. Hierbei werden alle personenbezogenen Daten, die gesamte Trainingshistorie, Notizen sowie sämtliche hochgeladenen Fotos des betroffenen Endkunden unwiderruflich aus der Datenbank und den Storage-Systemen gelöscht.

Ihre Rechte

Als betroffene Person haben Sie nach dem revDSG und der DSGVO das Recht auf Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung Ihrer personenbezogenen Daten sowie das Recht auf Datenübertragbarkeit. Bitte richten Sie Anfragen bezüglich Ihrer administrativen Trainer-Kontodaten an info@gymliapp.com. Endkunden (Trainierende) werden gebeten, ihre Betroffenenrechte direkt gegenüber dem verantwortlichen Fitnessstudio bzw. dem Trainer geltend zu machen. Es steht Ihnen zudem das Recht zu, eine Beschwerde bei der zuständigen Aufsichtsbehörde einzureichen (in der Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter – EDÖB).