Datenschutzerklärung

Für die nachfolgend als eigene Verarbeitung beschriebenen Zwecke ist Yilmaz Atakan Kara, omniOne Fitness, Roedernstr. 13, 12459 Berlin, Deutschland, verantwortlich. Kontakt für Datenschutz und Betroffenenrechte: support@omniOne.fitness. Wenn du als Klient eingeladen wurdest, ist für deine Coaching-Daten grundsätzlich dein konkret zugeordneter Coach Verantwortlicher; seine Identität wird dir bei der Einladung bzw. Einwilligung angezeigt. Du kannst dich hierfür an deinen Coach wenden oder uns um Weiterleitung bitten. Als Coach erreichst du omniOne für dein eigenes Konto unter derselben Adresse.

omniOne ist Verantwortlicher für den öffentlichen Webauftritt, seine Geschäftsbeziehung zum Coach, Abrechnung, eigenen Support sowie die dafür erforderliche Betriebs- und Sicherheitsevidenz. Der Coach entscheidet über Zwecke und Inhalte der Verarbeitung seiner Klientendaten. omniOne stellt ihm dafür die Plattform als Auftragsverarbeiter nach Art. 28 DSGVO bereit. Eingeladene Klienten schließen durch ihre Nutzung keinen eigenen Plattformvertrag mit omniOne. Soweit Klienten-Konto- und Profildaten für das Coaching bereitgestellt werden, gehören sie zur Auftragsverarbeitung. Eine gesonderte, zweckgebundene Verarbeitung minimierter technischer Sicherheits- oder Rechtsnachweise durch omniOne wird unten als eigene Verarbeitung beschrieben. Diese Erklärung ersetzt nicht die erforderlichen Informationen des Coaches zu seinem konkreten Angebot und seinen weiteren Empfängern.

Website, App-Frontend, Backend, Datenbank und privater Objektspeicher werden bei Railway (Railway Corporation, San Francisco, USA) betrieben. Als Region ist EU West (Amsterdam, Niederlande) gewählt; auch der Objektspeicher für Fotos und Dateien liegt in der EU. Beim Abruf und Betrieb können IP-Adresse, Zeitpunkt, angefragte Ressource, Status, Browser-/Geräteangaben sowie erforderliche Verbindungs- und Sicherheitsdaten verarbeitet werden. Zweck ist die Bereitstellung, Fehlerdiagnose und Abwehr von Missbrauch; Rechtsgrundlage für unsere eigene Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen, sicheren Dienst), bei vertraglich erforderlichen Coach-Leistungen Art. 6 Abs. 1 lit. b DSGVO. Zugriffs- und Sicherheitsprotokolle enthalten keine Nachrichteninhalte und werden spätestens nach 30 Tagen gelöscht. Zugriff und Weitergabe werden zweckgebunden beschränkt. Support- und Betriebszugriffe des Anbieters aus den USA setzen die vorab zu prüfenden und zu dokumentierenden Transfergarantien nach Ziffer 11 voraus.

Die Website merkt sich die gewählte Sprache und Darstellung lokal im Browser. Die App nutzt erforderliche Sitzungs-, Sicherheits- und Einstellungsinformationen einschließlich eines Refresh-Cookies und notwendiger lokaler Einstellungen. Der Zugriff dient der ausdrücklich gewünschten Darstellung oder der angemeldeten sicheren Nutzung (§ 25 Abs. 2 TDDDG); die weitere Verarbeitung richtet sich nach den jeweils genannten DSGVO-Zwecken. Einstellungen können über den Browser gelöscht werden; anschließend müssen sie gegebenenfalls erneut gewählt oder eine Anmeldung durchgeführt werden. Schriften werden selbst gehostet. Es werden keine Werbe-Cookies, Analyse-Pixel oder Drittanbieter-Tracker eingesetzt.

Als Coach: Wir verarbeiten für dein Konto Identitäts-, Kontakt- und Profildaten, Authentifizierungs- und Kontostatus, Einstellungen sowie erforderliche Vertrags- und Annahmenachweise. Passwörter werden als gesalzene Hashes gespeichert. Vertragliche Verarbeitung beruht auf Art. 6 Abs. 1 lit. b DSGVO; gesetzlich erforderliche Nachweise auf lit. c, notwendige Missbrauchsabwehr und Rechtsverteidigung auf lit. f. Dokumentannahmen können Fassung, Sprache, Inhaltshash, bestätigten Wortlaut, Zeitpunkt, Kontozuordnung und minimierte technische Herkunft enthalten. Datenschutzinformationen werden zur Kenntnis genommen; sie sind keine pauschale Einwilligung.

Wenn du als Klient eingeladen wirst, übermittelt dein Coach für die Einladung insbesondere deine E-Mail-Adresse und erforderliche Zuordnungsangaben. Diese Daten stammen von deinem Coach; weitere Konto-, Profil- und Coaching-Angaben werden von dir oder deinem Coach eingegeben oder entstehen bei der vereinbarten Nutzung. Sie dienen der Einladung, sicheren Kontoeinrichtung und Bereitstellung deiner Coaching-Beziehung. Der Coach informiert dich über seine Rechtsgrundlagen, die erforderlichen Angaben und Folgen einer Nichtbereitstellung. Eine Einladung allein erlaubt keine beliebige Verarbeitung deiner Gesundheitsdaten. Angaben zu eigenen technischen Sicherheitszwecken von omniOne findest du in Ziffern 3 und 5.

Je nach vereinbartem Coaching werden Stamm- und Zuordnungsdaten, Angaben und Antworten, Ziele und Planungen, Mess- und Verlaufsdaten, Trainingseinträge sowie fachliche Hinweise verarbeitet. Dazu gehören erforderliche Entwürfe, private Coach-Vorbereitungen, Bewertungen, Änderungen und zugehörige Historien. Diese Kategorien umfassen beispielsweise Fragebögen, Pläne, Check-ins und Fortschrittsfotos, ohne einen festen Feature-Katalog vorzugeben. Gesundheitsangaben können auch in Freitext, Bildern, Nachrichten oder Dateien enthalten sein. Verantwortlicher ist der Coach; omniOne verarbeitet im Auftrag. Soweit die Verarbeitung auf ausdrücklicher Gesundheitsdaten-Einwilligung beruht, erfolgt sie für den benannten Coach und den beschriebenen Coaching-Zweck nach Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO; als Klient findest du den Wortlaut in der Gesundheitsdaten-Einwilligung. Der Coach muss weitere eigene Zwecke und Rechtsgrundlagen gesondert erläutern. Eine neue Funktion erweitert die Einwilligung nicht automatisch auf neue Zwecke.

Zur Durchführung des Coachings werden Nachrichten, Absender-/Empfängerzuordnung, Zeit- und Bearbeitungszustände sowie übermittelte Medien verarbeitet. Dazu können Sprach-, Bild-, Video- und Dokumentdateien, Dateinamen und für Verarbeitung/Wiedergabe erforderliche Metadaten oder Vorschaubilder gehören. Inhalte werden technisch validiert und gegebenenfalls für sichere Darstellung normalisiert. Zugriffe erfolgen anhand der berechtigten Coaching-Beziehung; private Coach-Vorbereitungen sind nicht automatisch für Klienten sichtbar. In-App-Hinweise entstehen aus zugeordneten Arbeits- und Änderungszuständen. Es erfolgt keine automatische medizinische Diagnose oder Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung nach Art. 22 DSGVO. Das eigenständige Versenden von Gesundheitsinhalten im Chat erfordert besondere Sorgfalt; normale Chat-Kommunikation ist kein Ersatz für eine erforderliche Einwilligung.

System-E-Mails werden über Hostinger (Hostinger International Ltd., Larnaca, Zypern) versandt. Sie dienen insbesondere Einladung, Kontosicherheit, Vertragsabwicklung und Zahlungshinweisen; Coaching-Inhalte werden nicht in System-E-Mails aufgenommen. Empfängeradresse, erforderlicher Inhalt und Zustellinformationen werden für diese Zwecke verarbeitet. Bei eigener Coach-Vertragskommunikation gilt Art. 6 Abs. 1 lit. b DSGVO, für erforderliche Sicherheit und allgemeine Anliegen lit. f; die Klienten-Kommunikation im Auftrag richtet sich nach der Rechtsgrundlage des Coaches. Kontaktanfragen über das Formular der Website enthalten die angegebenen Kontakt- und Nachrichtenfelder; zur Missbrauchsabwehr werden IP-Adresse, Browserkennung, Zeitpunkt und gewählte Sprache in der internen Benachrichtigung mitgeführt (Art. 6 Abs. 1 lit. f DSGVO). Kontaktanfragen werden per E-Mail bearbeitet und nicht als Datensatz in der App gespeichert. Supportmeldungen in der App enthalten Reporter-Zuordnung, Inhalt sowie übermittelten Seiten-/Browser-/Build-Kontext und dienen Fehlerbehebung und Verbesserung (Art. 6 Abs. 1 lit. f DSGVO). Bitte übermittle keine für die Bearbeitung unnötigen Gesundheitsdaten oder Geheimnisse. Kontakt- und Supportanfragen im Postfach werden gelöscht, sobald sie für die Bearbeitung und erforderliche Nachbearbeitung nicht mehr benötigt werden, in der Regel innerhalb von zwölf Monaten nach abschließender Bearbeitung. Eine längere Speicherung erfolgt nur, soweit gesetzliche Aufbewahrungspflichten oder die Geltendmachung, Ausübung oder Verteidigung konkreter Rechtsansprüche sie erfordern; die Verwendung bleibt auf diesen Zweck beschränkt und die Daten werden nach Wegfall des Grundes gelöscht. In der App gespeicherte Supportmeldungen folgen Ziffer 12.

Coaches richten ihre Zahlung bei Stripe ein. Hierfür werden erforderliche Kontakt-/Rechnungsdaten, Kunden- und Abonnementzuordnung, abrechenbare Anzahl, Zahlungsstatus und minimierte Verarbeitungsnachweise genutzt. Vollständige Kartenangaben werden nicht in omniOne gespeichert. Unsere Verarbeitung dient der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und gesetzlichen Pflichten, insbesondere handels- und steuerrechtlichen Aufbewahrungspflichten (lit. c). Zahlungsdienstleister ist Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland. Stripe verarbeitet Zahlungsdaten für die Zahlungsabwicklung, Betrugsprävention und eigene gesetzliche Pflichten in eigener Verantwortung nach seiner Datenschutzerklärung; eine Übermittlung an Stripe, Inc. (USA) stützt sich auf dessen Zertifizierung nach dem EU-U.S. Data Privacy Framework und die EU-Standardvertragsklauseln. Coaching-Inhalte werden nicht an Stripe übermittelt.

Empfänger sind im erforderlichen Umfang berechtigte Nutzer, unsere Betriebsdienstleister sowie gegebenenfalls gesetzlich berechtigte Stellen und zur Vertraulichkeit verpflichtete Berater. Es erfolgt kein Verkauf deiner Daten. Dienstleister, die im Auftrag handeln, sind nach Art. 28 DSGVO gebunden:

• Railway Corporation (San Francisco, USA): Hosting von Website, App, Backend, Datenbank und Objektspeicher in der Region EU West (Amsterdam). Für Support- und Betriebszugriffe aus den USA sind EU-Standardvertragsklauseln nach Art. 46 Abs. 2 Buchst. c DSGVO vorgesehen. Vor einer Übermittlung prüft und dokumentiert omniOne deren wirksame Einbeziehung, die erforderliche Transferbewertung und geeignete ergänzende Maßnahmen. EU-Speicherregion, Verschlüsselung und beschränkte Zugriffe sind dabei zu berücksichtigen; die EU-Speicherung allein ersetzt keine Transfergarantie. Ohne tragfähige Grundlage erfolgt keine Übermittlung.
• Hostinger International Ltd. (Larnaca, Zypern, EU): Versand von System-E-Mails.
• Stripe Payments Europe, Ltd. (Dublin, Irland): Zahlungsabwicklung in eigener Verantwortung (Ziffer 10); Übermittlung an Stripe, Inc. (USA) auf Grundlage des EU-U.S. Data Privacy Framework und der EU-Standardvertragsklauseln.

Weitere Drittlandübermittlungen finden nicht statt. Kopien der eingesetzten Garantien erhältst du auf Anfrage unter support@omniOne.fitness.

Daten werden nur für die erläuterten Zwecke und zulässigen Nachweis-/Aufbewahrungsgründe aufbewahrt. Für die Konto-Löschung gilt folgender gestufter Ablauf:

• Der Zugang wird gesperrt; direkte Profilkennzeichen werden unmittelbar anonymisiert bzw. zur Löschung gebracht. Strukturierte E-Mail-Snapshots in Supportmeldungen werden unmittelbar anonymisiert; die eigentlichen Meldungsinhalte folgen ihrer Kategoriefrist und können bis dahin personenbezogene Freitextangaben enthalten.
• Kommunikationsdaten werden 30 Tage nach Löschung des Kontos eines Beteiligten endgültig entfernt.
• Gesundheits- und Coaching-Daten eines gelöschten Klienten werden nach 90 Tagen entfernt, einschließlich zugehöriger Entwürfe, Historien, Fotos und fachlicher Herkunftsdaten.
• Minimierte Einwilligungs-, Sicherheits-, administrative und Supportnachweise werden nach einem Jahr entfernt.

Für Auftragsdaten sind diese Fristen die dokumentierte Weisung des jeweiligen Coaches nach Anlage 4 des AVV; für eigene Nachweise stützt sich omniOne auf Art. 6 Abs. 1 lit. f DSGVO (Nachweis- und Sicherheitsinteressen) und, soweit einschlägig, lit. c. Nicht versandte Chat-Anhänge werden regulär nach 24 Stunden entfernt; ausdrücklich verworfene Vorbereitungen werden im vorgesehenen Ablauf gelöscht. Ein Fehler beim Entfernen privater Objekte führt zu einer erneuten Löschbearbeitung, bis die Löschung nachweislich abgeschlossen ist. Gesetzlich notwendige Abrechnungsnachweise werden getrennt für die gesetzliche Dauer aufbewahrt; daraus folgt keine verlängerte Aufbewahrung von Coaching-Inhalten.

Pause, Coaching-Ende und Kündigung der Abrechnung starten nicht automatisch eine Konto-Löschung. Aktive Coaching-Beziehungen müssen für den Self-Service-Löschablauf zuerst beendet werden; gesetzliche Löschrechte können unabhängig davon geltend gemacht werden. Der vollständige Exit eines Coaches mit Rückgabe oder Löschung seiner Auftragsdaten wird nach Anlage 4 des AVV abgewickelt. Ein Self-Service-Datenexport ist nicht vorgesehen; Anträge auf Auskunft oder Datenübertragbarkeit werden manuell erfüllt, für Auftragsdaten in Abstimmung mit dem verantwortlichen Coach. Sicherungskopien der Datenbank und des Objektspeichers werden verschlüsselt aufbewahrt, ausschließlich zur Wiederherstellung genutzt und spätestens nach 90 Tagen überschrieben oder gelöscht. Gelöschte Daten können bis dahin in Sicherungskopien enthalten sein. Nach einer Wiederherstellung werden zwischenzeitliche Löschungen und Anonymisierungen unverzüglich nachgeholt. Die betroffenen Daten bleiben bis zum Abschluss von der regulären Verarbeitung ausgeschlossen. Nicht betroffene Bereiche dürfen nur bei nachgewiesen wirksamer Abschottung der betroffenen Daten wieder genutzt werden.

Als Klient kannst du eine ausdrücklich erteilte Einwilligung jederzeit für die Zukunft widerrufen, insbesondere in den Datenschutzeinstellungen oder gegenüber dem benannten Coach. Die Rechtmäßigkeit der vorherigen Verarbeitung bleibt unberührt. Ohne aktive Gesundheitsdaten-Einwilligung werden die dafür vorgesehenen neuen Gesundheits-/Coaching-Eingaben und Bearbeitungen blockiert; ein darauf angewiesenes Coaching kann dann nicht in dieser Form weitergeführt werden. Bestehende Daten werden nicht allein durch den Widerruf sofort gelöscht: Der Coach muss prüfen, ob eine andere zulässige Grundlage eine begrenzte weitere Aufbewahrung erlaubt oder die Daten zu löschen sind. Eine zugängliche Historie ist selbst keine Rechtsgrundlage. Eine erneute Einwilligung erlaubt keine rückwirkende Verarbeitung.

Bei Vorliegen der gesetzlichen Voraussetzungen kannst du Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Gegen Verarbeitungen nach Art. 6 Abs. 1 lit. f DSGVO kannst du aus Gründen deiner besonderen Situation Widerspruch nach Art. 21 DSGVO einlegen. Bist du Klient, ist für deine Coaching-Daten dein Coach zuständig; wir unterstützen ihn und leiten einschlägige Anfragen weiter. Für dein Coach-Konto, die Website und die Abrechnung erreichst du omniOne unter support@omniOne.fitness. Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an deinem Aufenthaltsort, Arbeitsplatz oder Ort des vermuteten Verstoßes; für omniOne ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, zuständig.

Die bei einer Handlung bereitgestellte Fassung ist über Dokumentversion und Archiv nachvollziehbar. Wir passen diese Erklärung an, wenn sich unser Dienst, unsere Dienstleister oder die Rechtslage ändern; die jeweils aktuelle Fassung ist auf der Website abrufbar. Änderungen dieser Information ändern keine Einwilligung und ermächtigen nicht zu neuen Verarbeitungszwecken. Vor einer für dich relevanten neuen Verarbeitung informieren wir dich und holen erforderliche Einwilligungen gesondert ein.