Datenschutzerklärung

a. Verantwortliche Stelle

Fitness First Germany GmbH
Hanauer Landstr. 148a
60314 Frankfurt am Main
Deutschland
Telefon: +49 (0) 69 4080 160 00
E-Mail: datenschutz@fitnessfirst.de
Website: unitedletsmove.org

ist der Verantwortliche im Sinne der EU-Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze.

b. Kontaktdaten des Datenschutzbeauftragten

Den Datenschutzbeauftragten des Verantwortlichen erreichst Du unter:

Dirk Kempa
Fitness First Germany GmbH
Hanauer Landstr. 148a
60314 Frankfurt am Main
E-Mail: datenschutz@fitnessfirst.de

Unsere Website wird über die Plattform Cloudflare Pages bereitgestellt und über Cloudflare Workers ausgeliefert. Anbieter ist die Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Cloudflare stellt zugleich ein Content-Delivery-Network (CDN), das Routing der Anfragen sowie Sicherheitsfunktionen (u. a. Schutz vor Überlastungs- und Angriffsversuchen) bereit und ermittelt zur technischen Auslieferung das Herkunftsland der Anfrage anhand der IP-Adresse.

Bei jedem Aufruf erfasst unser System bzw. Cloudflare automatisiert eine Reihe technischer Daten vom aufrufenden Gerät und speichert sie temporär in Server-Logfiles:

• Datum und Uhrzeit des Zugriffs
• die abgerufene URL bzw. Datei und der Zugriffsstatus
• die übertragene Datenmenge
• Browsertyp und -version sowie das Betriebssystem
• die Referrer-URL (zuvor besuchte Seite)
• das anhand der IP-Adresse ermittelte Herkunftsland
• die IP-Adresse des aufrufenden Geräts

Zweck und Rechtsgrundlage: Die Verarbeitung erfolgt nach Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer sicheren, stabilen und performanten Bereitstellung des Onlineangebots sowie in der Abwehr von Störungen und Angriffen. Die vorübergehende Speicherung der IP-Adresse ist erforderlich, um die Website an Dein Gerät auszuliefern.

Cookies: Cloudflare setzt technisch notwendige Cookies, insbesondere __cf_bm (Unterscheidung zwischen menschlichen und automatisierten Zugriffen) und cf_clearance (Speicherung des Ergebnisses einer Sicherheitsprüfung). Diese Cookies sind zur Gewährleistung der Sicherheit und Funktionsfähigkeit erforderlich und werden auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung gesetzt.

Speicherdauer: Die Log-Daten werden gelöscht, sobald sie für den genannten Zweck nicht mehr erforderlich sind, spätestens nach 7 Tagen; eine darüber hinausgehende Speicherung erfolgt nur in anonymisierter bzw. verfremdeter Form.

Drittland: Eine Übermittlung in die USA wird durch das EU-US Data Privacy Framework (DPF) bzw. die Standardvertragsklauseln (SCCs) der Europäischen Kommission abgesichert.

Weitere Informationen: cloudflare.com/de-de/privacypolicy

Für die Speicherung der über unsere Formulare übermittelten Daten (z. B. Newsletter-Anmeldung, Kontaktaufnahme) sowie für die abgesicherte Anmeldung an unserem internen Verwaltungsbereich (Admin-Login) nutzen wir die Plattform Supabase (PostgreSQL-Datenbank und Authentifizierung). Anbieter ist die Supabase, Inc. (USA). Supabase verarbeitet die Daten ausschließlich in unserem Auftrag und nach unseren Weisungen; ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO inklusive Standardvertragsklauseln (SCCs) besteht.

Verarbeitete Daten: die jeweils über ein Formular übermittelten Angaben (siehe Ziffer 7) nebst technischer Metadaten (z. B. Zeitstempel) sowie – für den internen Bereich – die Zugangsdaten autorisierter Administratorinnen und Administratoren.

Zweck und Rechtsgrundlage: Bereitstellung der Datenbank- und Anmeldefunktion. Die inhaltliche Rechtsgrundlage für die jeweils gespeicherten Daten ergibt sich aus den Zwecken in Ziffer 7; die Absicherung des internen Verwaltungsbereichs erfolgt auf Grundlage unseres berechtigten Interesses an der Sicherheit unserer Systeme (Art. 6 Abs. 1 lit. f DSGVO).

Hosting und Drittland: Die Datenhaltung erfolgt in einer Rechenzentrumsregion innerhalb der Europäischen Union (Frankfurt am Main). Soweit der in den USA ansässige Mutterkonzern auf Daten zugreifen kann, ist dies vertraglich auf Grundlage der Standardvertragsklauseln (SCCs) der Europäischen Kommission abgesichert.

Weitere Informationen: supabase.com/privacy

Unser Studio-Finder bietet eine Funktion „Mein Standort", mit der Studios in Deiner Nähe angezeigt werden können. Wird die Funktion genutzt, fragt Dein Browser über die Standort-Schnittstelle (Geolocation API) Deine Erlaubnis ab. Nur wenn Du der Standortfreigabe aktiv zustimmst, ermittelt Dein Gerät Deine ungefähren Standortkoordinaten und übergibt sie an die Anwendung, um die Umkreissuche durchzuführen. Zur Umwandlung in eine Ortsangabe können die Koordinaten an den unter Ziffer 5 genannten Kartendienst übermittelt werden.

Zweck und Rechtsgrundlage: Anzeige von Studios in Deiner Umgebung. Rechtsgrundlage ist Deine Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO, die Du über die Standortabfrage Deines Browsers erteilst. Du kannst die Standortfreigabe jederzeit in den Einstellungen Deines Browsers oder Geräts widerrufen.

Speicherdauer: Die Standortdaten werden ausschließlich vorübergehend zur Durchführung der Suche verarbeitet und von uns nicht dauerhaft gespeichert.

Damit der Studio-Finder zu einer eingegebenen Postleitzahl oder zu Deinem Standort die passenden Studios anzeigen kann, müssen Orts- bzw. Postleitzahlangaben in geografische Koordinaten umgewandelt werden.

Nominatim / OpenStreetMap: Zur Umwandlung einer PLZ bzw. Ortsangabe in Koordinaten (Geocoding) nutzen wir den Dienst Nominatim, der von der OpenStreetMap Foundation (OSMF), St John's Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich, bereitgestellt wird. Bei einer Anfrage werden der Suchbegriff (z. B. die PLZ) sowie Deine IP-Adresse an die Server der OSMF übermittelt.

OpenPLZ API: Ergänzend bzw. als Fallback zur Auflösung von Postleitzahlen in Ortsbezeichnungen nutzen wir die OpenPLZ API (openplzapi.org), ein Open-Data-Projekt. Der Webdienst wird auf einem Server des deutschen Anbieters STRATO in einem Rechenzentrum in Deutschland betrieben. Bei einer Anfrage werden die Postleitzahl sowie Deine IP-Adresse an diesen Dienst übermittelt.

Zweck und Rechtsgrundlage: Bereitstellung der von Dir aktiv ausgelösten Umkreis- bzw. PLZ-Suche. Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an einem funktionsfähigen Studio-Finder gemäß Art. 6 Abs. 1 lit. f DSGVO.

Drittland: Die Übermittlung an die OpenStreetMap Foundation im Vereinigten Königreich ist durch den Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich abgesichert. Die Verarbeitung über die OpenPLZ API findet ausschließlich in Deutschland statt.

Weitere Informationen: osmfoundation.org/wiki/Privacy_Policy und openplzapi.org

Auf unserer Website binden wir im Rahmen einer „Social Wall" Inhalte (z. B. Beiträge, Videos oder Feeds) aus sozialen Netzwerken ein, und zwar von:

• TikTok – TikTok Technology Limited, Dublin, Irland – Datenschutzerklärung
• YouTube – Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland – Datenschutzerklärung
• Instagram – Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland – Datenschutzerklärung

Diese Inhalte werden erst geladen, nachdem Du eingewilligt hast. Beim Laden stellt Dein Browser eine Verbindung zu den Servern des jeweiligen Anbieters her; dabei können personenbezogene Daten – insbesondere Deine IP-Adresse, Geräte- und Browserinformationen sowie ggf. Cookie-Informationen – an den Anbieter übertragen werden. Bist Du beim jeweiligen Dienst angemeldet, kann der Anbieter den Aufruf Deinem dortigen Nutzerkonto zuordnen. Auf Art und Umfang der durch die Anbieter vorgenommenen Verarbeitung haben wir keinen Einfluss.

Zweck und Rechtsgrundlage: Darstellung aktueller Inhalte rund um die Aktion und eine ansprechende Nutzererfahrung. Rechtsgrundlage ist Deine Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Du kannst Deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Drittland: Bei TikTok kann eine Übermittlung in Drittländer auf Grundlage der Standardvertragsklauseln (SCCs) erfolgen. Bei Google (YouTube) und Meta (Instagram) wird eine Übermittlung in die USA durch das EU-US Data Privacy Framework (DPF) bzw. die Standardvertragsklauseln (SCCs) abgesichert.

Für den Versand von Nachrichten (Newsletter sowie Bestätigungs- und Antwort-Mails) nutzen wir den Dienst Bird der MessageBird B.V., Amsterdam, Niederlande. Bird verarbeitet die Daten als Auftragsverarbeiter in unserem Auftrag; ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO besteht.

a. Newsletter

Wenn Du Dich für unseren Newsletter anmeldest, verarbeiten wir Deine E-Mail-Adresse sowie ggf. weitere von Dir angegebene Daten (z. B. Deinen Namen). Zur Bestätigung Deiner Anmeldung setzen wir das Double-Opt-in-Verfahren ein: Nach Deiner Anmeldung senden wir Dir eine E-Mail mit der Bitte, die Anmeldung zu bestätigen. Zum Nachweis der Anmeldung speichern wir Zeitpunkt der Anmeldung und Bestätigung sowie Deine IP-Adresse.

Zweck und Rechtsgrundlage: Versand von Informationen rund um die Aktion „United Let's Move". Rechtsgrundlage ist Deine Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Du kannst den Newsletter jederzeit über den Abmeldelink in jeder E-Mail oder durch eine Nachricht an uns abbestellen und Deine Einwilligung damit widerrufen.

Speicherdauer: Wir speichern Deine Daten, bis Du den Newsletter abbestellst bzw. Deine Einwilligung widerrufst.

b. Kontaktaufnahme

Wenn Du uns über ein Kontaktformular oder per E-Mail kontaktierst, verarbeiten wir die von Dir übermittelten Daten – in der Regel Name, E-Mail-Adresse und der Inhalt Deiner Nachricht – sowie bei der Übermittlung über ein Formular zusätzlich Deine IP-Adresse und den Zeitpunkt der Absendung. Die Speicherung der Inhalte erfolgt in unserer Datenbank (Ziffer 3), der Versand etwaiger Bestätigungs-/Antwort-Mails über Bird.

Zweck und Rechtsgrundlage: Bearbeitung Deiner Anfrage. Rechtsgrundlage ist bei Vorliegen einer Einwilligung Art. 6 Abs. 1 lit. a DSGVO, im Übrigen unser berechtigtes Interesse an der Beantwortung Deiner Anfrage gemäß Art. 6 Abs. 1 lit. f DSGVO; zielt Deine Anfrage auf einen Vertragsabschluss ab, zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: Die Daten werden gelöscht, sobald Deine Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Weitere Informationen zu Bird: bird.com/legal/privacy

Cookies sind kleine Textdateien, die auf Deinem Endgerät gespeichert werden. Auf unserer Website setzen wir technisch notwendige Cookies ein, die für den sicheren Betrieb und die Auslieferung der Seite erforderlich sind (siehe Ziffer 2); diese werden auf Grundlage von § 25 Abs. 2 TDDDG ohne Einwilligung gesetzt. Wir verwenden keine Cookies zu Analyse-, Tracking- oder Werbezwecken und erstellen keine Nutzerprofile.

Inhalte und Funktionen, die Daten an Dritte übermitteln (insbesondere die Social-Wall-Einbindungen nach Ziffer 6), werden nur mit Deiner Einwilligung geladen. Deine Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar. Über die Einstellungen Deines Browsers kannst Du Cookies zudem einschränken, deaktivieren oder löschen; einzelne Funktionen der Website stehen dann unter Umständen nicht mehr vollständig zur Verfügung.

Innerhalb des Unternehmens erhalten nur die Stellen Deine Daten, die zur Erfüllung der genannten Zwecke erforderlich sind. Darüber hinaus setzen wir sorgfältig ausgewählte Dienstleister ein, mit denen – soweit erforderlich – Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO bestehen:

• Cloudflare, Inc. – Hosting, CDN, Routing und Sicherheit (Ziffer 2)
• Supabase, Inc. – Datenbank und Authentifizierung (Ziffer 3)
• MessageBird B.V. (Bird) – Versand von Newsletter- und Transaktions-E-Mails (Ziffer 7)

Beim Aufruf des Studio-Finders bzw. der Social Wall werden zudem Daten an die in den Ziffern 5 und 6 genannten Anbieter übermittelt. Eine darüber hinausgehende Weitergabe erfolgt nur, wenn gesetzliche Bestimmungen dies gebieten, Du eingewilligt hast oder wir hierzu berechtigt sind.

Eine Übermittlung in Staaten außerhalb des Europäischen Wirtschaftsraums (EWR) findet nur statt, soweit dies erforderlich oder gesetzlich vorgeschrieben ist oder Du eingewilligt hast und ausreichende Garantien im Sinne des Art. 44 ff. DSGVO vorliegen. Konkret:

• USA (Cloudflare, Google/YouTube, Meta/Instagram): abgesichert durch das EU-US Data Privacy Framework (DPF) und/oder die Standardvertragsklauseln (SCCs).
• USA-Bezug bei Supabase und TikTok: abgesichert durch die Standardvertragsklauseln (SCCs).
• Vereinigtes Königreich (OpenStreetMap Foundation): abgesichert durch den Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich.
• Bird (MessageBird B.V.) ist in den Niederlanden (EWR) ansässig; etwaige Übermittlungen in die USA werden durch das DPF bzw. SCCs abgesichert.
• OpenPLZ API: Verarbeitung ausschließlich in Deutschland.

Du hast ein Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch gegen die Verarbeitung (Art. 21 DSGVO). Soweit die Verarbeitung auf einer Einwilligung beruht, kannst Du diese jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Bitte kontaktiere uns, wenn Du diese Rechte ausüben möchtest: datenschutz@fitnessfirst.de

Wenn Du der Ansicht bist, dass die Verarbeitung Deiner personenbezogenen Daten gegen geltende datenschutzrechtliche Vorschriften verstößt, kannst Du Dich unbeschadet anderweitiger Rechtsbehelfe bei einer Aufsichtsbehörde beschweren – insbesondere in dem Mitgliedstaat Deines Aufenthaltsorts, Deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.