ZurückGymliApp

Datenschutzerklärung

Stand:

Geltungsbereich: öffentliche Website gymliapp.com, Trainer-Web-App, Kunden-Mobile-App (iOS/Android) und administrative Webseiten der GymliApp. Diese Datenschutzerklärung informiert Sie über die Art, den Umfang und den Zweck der Verarbeitung von personenbezogenen Daten unter Berücksichtigung des Schweizer Datenschutzgesetzes (revDSG) sowie der europäischen Datenschutz-Grundverordnung (DSGVO).

Verantwortlicher und Kontakt

Verantwortlich für die Datenverarbeitungsprozesse, bei denen die Plattform die Zwecke und Mittel der Verarbeitung selbst bestimmt (beispielsweise bei der Verwaltung von Trainer-Abonnements, der Rechnungsstellung und dem technischen Betrieb des Admin-Panels), ist:

Unternehmen
RG Systems GmbH
Adresse
Sempachstrasse 4, 6280 Hochdorf, Schweiz
Vertretungsberechtigte Person
Andreas Rederer, Geschäftsführer
Unternehmens-Identifikationsnummer (UID)
CHE-434.253.423
E-Mail
info@gymliapp.com

Wichtiger Hinweis zur Datenverantwortung im B2B2C-Modell

Wenn Sie als Endnutzer (Trainierender) die Kunden-Mobile-App von GymliApp nutzen, ist das von Ihnen genutzte Fitnessstudio bzw. Ihr Personal Trainer der datenschutzrechtlich Verantwortliche (Controller) im Sinne des revDSG/der DSGVO. GymliApp agiert in diesem Verhältnis rein als Auftragsbearbeiter (Processor), der Ihre Daten im strengen Auftrag und nach Weisung Ihres Trainers verarbeitet. Rechte auf Auskunft, Berichtigung oder Löschung Ihrer Fitness- und Trainingsdaten sind daher primär direkt an Ihr Studio bzw. Ihren Trainer zu richten.

Kategorien verarbeiteter personenbezogener Daten

A. Daten von Trainern und Studios (Vertragspartner)

Kontodaten: E-Mail-Adresse, Vorname, Nachname, Studio- bzw. Firmenname, Studio-Logo (optional), Firmenadresse und Telefonnummer (optional).

Registrierungsangaben: bei der Registrierung angegebene Anzahl Kunden bzw. Mitglieder sowie der gewünschte Tarif.

Testphase: Beginn und Ende der kostenlosen Testphase sowie die Zeitpunkte, zu denen wir Sie per E-Mail an das Ende der Testphase erinnert bzw. über deren Ablauf informiert haben.

Zahlungs- und Abodaten: Stripe-Kunden-ID, Stripe-Abo-ID, Abonnement-Status, Abonnement-Stufe, Abrechnungsperiode, Abrechnungswährung, Kündigungs- und Enddatum des Abonnements, Anzahl zugewiesener Kunden. Hinweis zu Zahlungsdaten: Kreditkarten- und Bankdaten werden direkt und verschlüsselt durch den Payment-Gateway-Anbieter Stripe verarbeitet. Wir speichern zu keinem Zeitpunkt vollständige Kreditkartendaten auf unseren eigenen Systemen.

B. Daten von Kunden / Endnutzern (Trainierende)

Stammdaten: E-Mail-Adresse, Vorname, Nachname. Optional (sofern vom Trainer oder Kunden erfasst): Geburtsdatum, Körpergrösse (in cm), Körpergewicht (in kg) und ein Profilbild.

Trainer-Notizen: Freitexte, die der betreuende Trainer erfasst und welche sensible Zustandsbeschreibungen enthalten können.

Besonders schützenswerte Personendaten (Art. 5 lit. c revDSG) / Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO — Fitness- und Gesundheitsdaten):

  • Körpergewichts-Verlauf (Gewicht mit dazugehörigem Zeitstempel).
  • Körperfettanteil (in %).
  • Maximalkraft-Metriken (Bankdrücken, Kreuzheben, Kniebeuge in kg).
  • Erfasste Kalorienmengen.
  • Körperumfänge (Arm links/rechts, Brust, Oberschenkel links/rechts, Hüfte, Bauch).
  • Vollständige Trainingshistorie (Übungen, Sätze, Wiederholungen, Gewichte, Trainingsdauer, Gesamtvolumen sowie Start- und Endzeiten).
  • Fortschrittsfotos (vom Kunden hochgeladene Körperbilder zur visuellen Verlaufsdokumentation).

C. Technische Daten und Protokolldaten (Web und Mobile App)

  • IP-Adressen (erfasst in Server-Protokollen und temporär verarbeitet zur Missbrauchsprävention/Rate-Limiting).
  • Push-Notification-Token sowie die genutzte Geräteplattform (iOS oder Android).
  • In-App-Benachrichtigungen (Typ, Titel, Inhalt, Gelesen-Status).
  • Session-Cookies (Web-Browser) sowie lokale Session-Token (Mobile App).
  • Lokale Präferenzen (z. B. gewählte Design-Einstellungen wie gymli_theme_preference, temporär gespeicherte Formular-Entwürfe zur Vermeidung von Datenverlusten).
  • Währungsauswahl auf der Website: Das Land, aus dem Sie die Website aufrufen, wird aus Ihrer IP-Adresse abgeleitet (über die Hosting-Infrastruktur von Vercel), um Preise in CHF oder EUR vorauszuwählen. Das Land wird dabei nicht gespeichert. Wählen Sie die Währung selbst, speichern wir diese Wahl im Cookie „gymli_currency“ (Laufzeit 12 Monate, keine weiteren Daten).

D. Kontaktformular

Wenn Sie uns über das Kontaktformular auf der Website schreiben, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, das gewählte Anliegen und Ihre Nachricht sowie Zeitpunkt, IP-Adresse und Browser-Kennung (User-Agent) der Anfrage zur Missbrauchsprävention. Die Anfrage wird in unserer Datenbank gespeichert und per E-Mail (über Resend) an uns weitergeleitet, um sie zu beantworten.

E. Reichweiten- und Performance-Messung (Vercel Web Analytics und Speed Insights)

Um die Nutzung und Ladegeschwindigkeit unserer Website und Web-App zu verbessern, setzen wir Vercel Web Analytics und Vercel Speed Insights ein. Erfasst werden pro Seitenaufruf: aufgerufene Seite (URL), Referrer, Land/Region, Betriebssystem, Browser, Gerätetyp, Zeitpunkt sowie technische Ladezeit-Messwerte (Web Vitals, Netzwerktyp). Es werden keine Cookies gesetzt und keine IP-Adressen gespeichert. Besucher werden ausschliesslich über einen aus der Anfrage gebildeten Hashwert unterschieden, der nach 24 Stunden verworfen wird; eine Wiedererkennung über verschiedene Websites hinweg findet nicht statt. Rechtsgrundlage ist unser berechtigtes Interesse an einem stabilen, schnellen und nutzerfreundlichen Angebot (Art. 6 Abs. 1 lit. f DSGVO / Art. 31 Abs. 1 revDSG).

Technische Besonderheit: Versand von Initial-Passwörtern im Klartext

Wir weisen im Sinne der Transparenz darauf hin, dass bei der Neuanlage eines Endkundenkontos durch ein Studio oder einen Trainer das automatisch generierte Initial-Passwort systembedingt im Klartext per E-Mail an den Endkunden übermittelt wird. Um die Sicherheit zu gewährleisten, greift beim ersten Einloggen in die Kunden-Mobile-App ein systemseitiger Zwang zum sofortigen Passwortwechsel. Ein unbefugter Zugriff Dritter auf den E-Mail-Verkehr kann vor diesem Wechsel ein Sicherheitsrisiko darstellen.

Zweck der Datenverarbeitung und Rechtsgrundlagen

Die Verarbeitung der Trainerdaten erfolgt zur Erfüllung unseres Vertrages bzw. zur Durchführung vorvertraglicher Massnahmen (Art. 6 Abs. 1 lit. b DSGVO / Art. 31 Abs. 2 lit. a revDSG). Die Verarbeitung technischer Protokolldaten (z. B. IP-Adressen) erfolgt zur Wahrung unseres berechtigten Interesses an der Gewährleistung der IT-Sicherheit, Stabilität und Missbrauchsprävention (Art. 6 Abs. 1 lit. f DSGVO / Art. 31 Abs. 1 revDSG).

Die Verarbeitung besonders schützenswerter Fitness- und Gesundheitsdaten der Endnutzer erfolgt auf der Grundlage der ausdrücklichen Einwilligung, welche die Endnutzer gegenüber ihrem jeweiligen Fitnessstudio / Trainer erteilen oder durch die bewusste, aktive Eingabe und das Hochladen von Fortschrittsfotos innerhalb der mobilen App direkt erbringen (Art. 9 Abs. 2 lit. a DSGVO / Art. 31 Abs. 1 revDSG).

Zusatz zu Marketingzwecken: Sofern wir werbliche Informationen oder Newsletter an registrierte Trainer versenden, erfolgt dies ausschliesslich auf Basis einer separaten Einwilligung oder – im Rahmen bestehender Kundenbeziehungen – zur Bewerbung ähnlicher eigener Produkte. Dem Erhalt von Marketing-Mails kann jederzeit und ohne Angabe von Gründen widersprochen werden (Abmeldelink in der E-Mail).

Empfänger von Daten und internationaler Datentransfer

Um unsere Dienste stabil und kosteneffizient bereitzustellen, nutzen wir Cloud-Infrastrukturen spezialisierter Drittanbieter. Die Speicherung der primären Datenbanken und Anwendungsdaten erfolgt physisch in der Schweiz (Zürich). Einige Dienstleister haben jedoch ihren Hauptsitz in den USA, weshalb ein Datentransfer in Drittstaaten stattfindet.

Supabase Inc. (USA)
Bereitstellung der PostgreSQL-Datenbank, Authentifizierung, Datei-Speicher (Storage für Fotos/Videos) und Realtime-Dienste. Server-Standort: Zürich, Schweiz (eu-central-2). Rechtsgrundlage: Datenhaltung erfolgt in der Schweiz. Ergänzend sind Standardvertragsklauseln (SCCs) abgeschlossen.
Vercel Inc. (USA)
Hosting und Bereitstellung der Trainer-Web-App und des Admin-Panels. Server-Standort: Frankfurt, Deutschland (fra1) / EU. Rechtsgrundlage: Datenhaltung in der EU. Zugriff durch US-Mutterkonzern via Standardvertragsklauseln (SCCs) abgesichert.
Upstash Inc. (USA)
Bereitstellung von Redis-Instanzen zur Durchführung von Rate-Limiting und Missbrauchsschutz auf API-Endpunkten. Server-Standort: N. Virginia, USA (us-east-1) (Primary) + Read-Replica in Frankfurt (EU). Rechtsgrundlage: Es findet ein direkter Transfer von IP-Adressen in die USA statt. Abgesichert über Standardvertragsklauseln (SCCs).
Stripe Payments Europe Ltd. (Irland) / Stripe Inc. (USA)
Abwicklung sämtlicher Kreditkarten- und Abonnement-Zahlungen der Trainer. Server-Standort: EU / USA. Rechtsgrundlage: Standardvertragsklauseln (SCCs) / Data Privacy Framework (DPF).
Resend Inc. (USA)
Versand aller automatisierten Transaktions-E-Mails (z. B. Willkommens-Mails mit Passwörtern, Passwort-Resets). Server-Standort: USA. Rechtsgrundlage: Standardvertragsklauseln (SCCs).
Expo (65 Industries, Inc., USA)
Erstellung, Verteilung der Mobile App (EAS) sowie Betrieb des Expo Push Service zum Versand von Push-Mitteilungen. Server-Standort: USA. Rechtsgrundlage: Standardvertragsklauseln (SCCs).
Google LLC (USA)
Zustellung von Push-Benachrichtigungen auf Android-Endgeräte (Firebase Cloud Messaging). Server-Standort: USA. Rechtsgrundlage: Standardvertragsklauseln (SCCs) / Data Privacy Framework (DPF).
Apple Inc. (USA)
Zustellung von Push-Benachrichtigungen auf iOS-Endgeräte (Apple Push Notification service – APNs). Server-Standort: USA. Rechtsgrundlage: Gesetzliche Vorgaben des Betriebssystem-Betriebs.

Mobile App-Berechtigungen

Für den vollen Funktionsumfang muss die über den Apple App Store oder Google Play Store bezogene App auf bestimmte Geräteschnittstellen zugreifen. Sie werden beim ersten Start der App explizit um Erlaubnis gefragt:

  • Kamera (iOS/Android): Erforderlich, um direkt neue Profilbilder oder Fortschrittsfotos aufzunehmen.
  • Fotobibliothek / Medienspeicher (iOS/Android): Erforderlich, um bereits auf dem Smartphone vorhandene Fotos für das Profil oder den Trainingsverlauf auszuwählen.
  • Push-Benachrichtigungen: Erforderlich für den Empfang von Benachrichtigungen über zugewiesene Trainingspläne oder Nachrichten des Trainers.
  • Live Activities (iOS): Ermöglicht die Anzeige des Status des aktuell laufenden Workouts direkt auf dem Sperrbildschirm oder in der Dynamic Island.

Hinweis: Es werden zu keinem Zeitpunkt Standortdaten (GPS), Kontakte, Mikrofon-Schnittstellen oder Schnittstellen zu Apple HealthKit oder Google Fit ausgelesen oder abgefragt.

Datensicherheit im Datei-Speicher (Storage Buckets)

Sämtliche vom Kunden hochgeladenen Profilbilder (avatars) und die hochsensiblen Fortschrittsfotos zur Verlaufsdokumentation (progress-photos) werden in privaten, isolierten Storage-Systemen auf Supabase gesichert. Der Abruf dieser Dateien ist ausschliesslich über temporär generierte, kryptografisch signierte URLs möglich. Diese URLs sind nach ihrer Erstellung aus Sicherheitsgründen für maximal 1 Stunde gültig und verfallen danach automatisch, um unberechtigte Zugriffe von aussen effektiv zu verhindern.

Geplante Funktionen mit Künstlicher Intelligenz (KI)

Wir weisen darauf hin, dass die Integration von KI-gestützten Funktionen (z. B. zur automatischen Generierung von Trainingsplänen oder zur Fotoanalyse) geplant ist. Im aktuellen technischen Ist-Zustand findet keine Übermittlung, Verarbeitung oder Auswertung von Nutzerdaten durch künstliche Intelligenzen oder LLM-Drittanbieter (wie OpenAI oder Anthropic) statt. Vor der Aktivierung solcher Funktionen wird diese Datenschutzerklärung mit den entsprechenden Details aktualisiert.

Aufbewahrungsdauer und Löschung

Wir speichern Ihre Daten nur so lange, wie es zur Erbringung unseres Dienstes erforderlich ist oder gesetzliche Aufbewahrungsfristen (in der Schweiz gilt für buchhaltungs- und geschäftsrelevante Daten eine Pflicht von 10 Jahren) dies vorschreiben.

Nach Ende der Testphase oder des Abonnements: Endet die kostenlose Testphase ohne Abschluss eines Abonnements oder endet ein Abonnement, wird der Zugang zum Dashboard gesperrt. Die Daten des Trainer-Kontos und der zugehörigen Endkunden (inkl. Trainingspläne, Trainingshistorie und Fotos) bewahren wir für 12 Monate auf, damit bei einem erneuten Abschluss nahtlos weitergearbeitet werden kann. Danach werden sie gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (z. B. Rechnungs- und Buchhaltungsdaten). Trainer können die Löschung jederzeit vorher per E-Mail an info@gymliapp.com verlangen.

Sobald ein Trainer ein Endkundenkonto in seinem Dashboard löscht, wird ein automatisierter, kaskadierender Löschprozess in Gang gesetzt. Hierbei werden alle personenbezogenen Daten, die gesamte Trainingshistorie, Notizen sowie sämtliche hochgeladenen Fotos des betroffenen Endkunden unwiderruflich aus der Datenbank und den Storage-Systemen gelöscht.

Ihre Rechte

Als betroffene Person haben Sie nach dem revDSG und der DSGVO das Recht auf Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung Ihrer personenbezogenen Daten sowie das Recht auf Datenübertragbarkeit. Bitte richten Sie Anfragen bezüglich Ihrer administrativen Trainer-Kontodaten an info@gymliapp.com. Endkunden (Trainierende) werden gebeten, ihre Betroffenenrechte direkt gegenüber dem verantwortlichen Fitnessstudio bzw. dem Trainer geltend zu machen. Es steht Ihnen zudem das Recht zu, eine Beschwerde bei der zuständigen Aufsichtsbehörde einzureichen (in der Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter – EDÖB).