Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Rahmen dieser Plattform ist der im Impressum genannte Anbieter: V-itness Betriebs GmbH Gietlstraße 17 81541 München Telefon: 08121 99 55 0 55 E-Mail: info@vitness-poing.de

2. Allgemeines & Geltungsbereich

Vitness Crew ist eine interne Plattform für autorisierte Mitarbeiter:innen der Vitness-Studios. Wir verarbeiten personenbezogene Daten ausschließlich zur Bereitstellung des Dienstes (Schulungen, Aufgaben, Kommunikation, Verwaltung) und nur in dem Umfang, der für das Arbeitsverhältnis und die innerbetriebliche Organisation notwendig ist (Art. 6 Abs. 1 lit. b und f DSGVO, § 26 BDSG).

3. Welche Daten wir verarbeiten

• Stammdaten: Name, dienstliche E-Mail, Telefon, Rolle, zugeordneter Standort, optional Profilbild. In einer Projektliste sehen alle, die die Liste lesen dürfen, Telefon und E-Mail der Personen, die in dieser Liste mitarbeiten – damit man sie zu einer Aufgabe direkt erreicht. Eigene (private) Projektlisten sehen nur die Person, die sie angelegt hat, und wer eingeladen ist; dort erscheinen Telefon und E-Mail nur von Personen, die in der Liste sind. Zum Einladen sieht die Besitzerin bzw. der Besitzer Name und Profilbild der Kolleg:innen ihrer Studios und der Geschäftsführung.
• Vertragsdaten: Eintritts-/Austrittsdatum, Vertragsart, Wochenstunden, Personalnummer. Bei einem Praktikum Beginn und Ende – sichtbar auch für die Studioleitung, die Praktikantinnen betreut; fürs Team ist am Namen nur „Praktikum“ zu sehen.
• Lerndaten: Fortschritt in Lernpfaden, Quiz-Versuche, abgeschlossene Lektionen, Onboarding-Status.
• Aktivitätsdaten: Aufgaben, gemeldete Mängel, eingereichte Anfragen, gepostete Infos.
• Schlüssel & Teamkleidung: welche Schlüssel, Chips, Karten und welche Kleidung du vom Studio bekommen hast, wann, wer es eingetragen und bestätigt hat, Rückgabe oder Verlust – bei Schlüsseln mit deiner Unterschrift als Bild. Sichtbar für dich und für Personen mit dem Recht „Schlüssel & Kleidung“ in der Verwaltung. Die Einträge bleiben bis zur Löschung deines Kontos als Nachweis, wer was zurückgegeben hat.
• Unterweisung im Praktikum: Praktikantinnen unterschreiben in der App die Verpflichtungserklärung zu Vertraulichkeit, Datenschutz und Schweigepflicht sowie die Information zur Videoüberwachung. Gespeichert werden der eingetippte Name, die Anschrift, die Fassung und eine Prüfsumme des gelesenen Texts, die Unterschrift als Bild, Zeitpunkt und Gerät-Zuordnung (selbst oder am Tablet der Verwaltung), die Unterschrift der unterweisenden Person sowie bei Minderjährigen die Unterschrift oder das hochgeladene Blatt der gesetzlichen Vertretung mit Namen. Sichtbar für dich und für Personen mit dem Recht „Praktikum“ in der Verwaltung. Die Dokumente bleiben bis zur Löschung des Kontos nach dem Praktikum als Nachweis der Unterweisung.
• Nutzungsdaten: aufgerufene Seiten der App mit Datum, Uhrzeit und Gerätetyp (Handy, Tablet, Desktop). Keine Eingaben, keine Inhalte. Einsehbar nur für Personen mit dem Recht „Audit-Log“ in der Verwaltung; automatische Löschung nach 90 Tagen.
• Änderungsprotokoll der Kurspläne: wer wann einen Kurs oder Kursplan angelegt, geändert oder gelöscht hat (Name, Zeitpunkt, alter und neuer Stand). Einsehbar für Personen mit dem Recht „Marketing“, die Reha-Verwaltung sieht nur Änderungen an Reha-Kursen. Das Protokoll bleibt als Nachweis gespeichert, solange es die Kurspläne gibt.
• Arbeitszeiten: Beginn, Ende und Pause jeder Schicht, das Studio und wie die Schicht entstanden ist (gestempelt am Theken-PC, nachgetragen mit Grund oder von der Verwaltung eingetragen). Beim Stempeln speichert die App die Uhrzeit und welcher Theken-PC den Code gezeigt hat. Kolleg:innen, die zur selben Zeit im Studio eingestempelt waren, bestätigen die Schicht oder melden, dass sie nicht stimmt (Name, Zeitpunkt, kurzer Satz); sie sehen dafür Name, Tag und Uhrzeit der Schicht. Das Handy wird nicht geortet – das Studio ergibt sich aus dem QR-Code. Die Kamera liest den QR-Code nur auf dem Gerät; kein Bild wird gespeichert oder übertragen. Einsehbar für die Person selbst und die Verwaltung mit dem Recht „Lohnabrechnungen“.
• Provisions-/Lohndaten: erfasste Abschlüsse, berechnete Provisionen, Auszahlungsstatus (nur sichtbar für Vertriebler:innen und Studioleitung).
• Technische Daten: Zeitstempel, IP-Adresse beim Login (durch Supabase Auth), User-Agent. Diese Daten werden zur Sicherstellung des Betriebs und zur Missbrauchserkennung verwendet.

4. Auftragsverarbeitung & eingesetzte Dienste

Zum Betrieb der Plattform setzen wir folgende Auftragsverarbeiter ein. Mit allen genannten Anbietern bestehen Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA — Hosting der Anwendung. Server-Standort EU.
• Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992 — Datenbank, Authentifizierung, File-Storage. Daten werden in der EU gespeichert.

5. Cookies

Vitness Crew verwendet ausschließlich technisch notwendige Cookies (Session-Cookie für die Anmeldung, Cookie für die Speicherung des aktiven Standorts und der Theme-Auswahl, bei Verwaltungskonten der Zeitpunkt der letzten Nutzung für die automatische Abmeldung nach 60 Minuten, am Theken-PC ein Schlüssel, mit dem er den QR-Code zum Stempeln anzeigt). Es findet kein Tracking, kein Marketing-Cookie und keine Weitergabe an Dritte zu Werbezwecken statt. Eine Einwilligung ist nach § 25 Abs. 2 Nr. 2 TTDSG nicht erforderlich.

6. Speicherdauer

Personenbezogene Daten werden so lange gespeichert, wie sie für die Erfüllung des Arbeitsverhältnisses erforderlich sind. Nach Beendigung des Arbeitsverhältnisses wird das Konto archiviert (Login wird gesperrt) und nach den gesetzlichen Aufbewahrungsfristen (z. B. 6 Jahre nach § 257 HGB, 10 Jahre nach § 147 AO bei steuerrelevanten Provisionsdaten) gelöscht oder anonymisiert. Konten aus einem Praktikum löscht die App 12 Monate nach dem letzten Praktikumstag automatisch, außer sie werden ausdrücklich behalten oder es sind noch Schlüssel oder Teamkleidung offen.

7. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Beschwerde bei der zuständigen Aufsichtsbehörde (Art. 77 DSGVO). In Bayern: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

Wende dich für alle Auskunfts- und Löschanfragen an info@vitness-poing.de oder direkt an die Studioleitung.

8. Datensicherheit

Die Übertragung erfolgt ausschließlich verschlüsselt (TLS). Zugriffe sind rollenbasiert eingeschränkt (Row-Level-Security in der Datenbank). Mitarbeiter:innen sehen nur die Daten, die für ihre Rolle notwendig sind. Mängel-Fotos und Datei-Uploads werden in einem zugriffsbeschränkten Storage abgelegt.

9. Interessent:innen ohne Account (Erstberatung)

Im Rahmen von Kampagnen zur Neukundengewinnung erfassen Berater:innen gemeinsam mit Interessent:innen einen Vitalitäts-Check (u. a. Gesundheitsdaten nach Art. 9 DSGVO) — ausschliesslich mit deren ausdrücklicher Einwilligung, nur für das berechtigte Berater- und Trainerteam des jeweiligen Studios sichtbar, mit protokollierten Zugriffen und automatischer Löschung nach der Frist der Kampagne. Die Einzelheiten stehen im Datenschutzhinweis für Interessent:innen.

10. Creator-Programm (Kooperationen ohne Mitarbeiterkonto)

Für Kooperationen mit Social-Media-Creator:innen speichern wir Name, E-Mail, Telefon, Rechnungsadresse, ein freiwilliges Profilfoto, die genannten Kanäle mit Follower-Zahl, Notizen aus dem Gespräch, die vereinbarten Konditionen, gemeldete Beiträge (Link, Screenshot, Aufrufe) sowie die Zuordnung neuer Mitglieder zum Code der Creator:in (optional mit der Plattform, auf der das Mitglied den Beitrag gesehen hat), die Monatsabrechnungen sowie, wie oft eine Creator:in welche Datei aus dem bereitgestellten Material heruntergeladen hat (Anzahl, erster und letzter Download). Schickt Vitness einen Kooperationsvertrag, speichern wir seinen Text, den beim Unterschreiben eingetippten Namen, die Unterschrift als Bild, den Zeitpunkt und eine Prüfsumme des Texts, die belegt, dass er danach nicht verändert wurde. Gesendete Verträge bleiben auch nach Ende der Zusammenarbeit als Beleg, solange gesetzliche Aufbewahrungspflichten das verlangen. Zweck ist die Anbahnung und Durchführung der Kooperation und die Abrechnung der Provision (Art. 6 Abs. 1 lit. b DSGVO; für die erste Kontaktaufnahme Art. 6 Abs. 1 lit. f DSGVO). Sehen können diese Daten nur Personen in der Verwaltung mit dem Recht „Creator-Programm“. Im eigenen Creator-Zugang erscheinen neue Mitglieder ausschliesslich als Anzahl, nie mit Namen oder Mitgliedsnummer. Die Anmeldung dort nutzt ein technisch notwendiges Sitzungs-Cookie. Angaben im eigenen Profil (Name, Telefon, Adresse, Kanäle, Foto) pflegt die Creator:in dort selbst; eine neue E-Mail-Adresse wird erst nach Bestätigung über einen Link an diese Adresse übernommen, die unbestätigte Adresse wird spätestens bei der nächsten Änderung oder mit dem Zugang gelöscht. Nach Ende der Zusammenarbeit werden Kontaktdaten, Adresse, Profilfoto, Kanäle, Notizen, Beiträge samt Screenshots und der Zugang gelöscht; Abrechnungen und Abschlusszahlen bleiben ohne Namen als Beleg, solange gesetzliche Aufbewahrungspflichten das verlangen.

11. CRM: Anfragen von Interessent:innen (ohne Account)

Anfragen über die Website von V-itness (Probetraining, Beratung, Rehasport, Physiotherapie, allgemeine Fragen, Aktionen) werden an Vitness Crew übertragen und dort bearbeitet. Gespeichert werden Vorname, Nachname, E-Mail, Telefon, das Anliegen, das gewünschte Studio, die Nachricht, die Seite und – falls vorhanden – Kampagnenparameter (UTM) der Website, die Fassung und der Zeitpunkt der Einwilligung, bei Rehasport und Physiotherapie zusätzlich die Angaben „Verordnung vorhanden“ und „Kostenträger“ mit der dafür erteilten Einwilligung (keine Diagnosen), sowie technische Merkmale zur Erkennung automatisierter Anfragen (Ausfüllzeit, Zahl der Anfragen derselben E-Mail-Adresse in 24 Stunden bzw. desselben pseudonymen Absender-Schlüssels in einer Stunde). Im Verlauf dokumentieren wir Anrufversuche, E-Mails, Notizen, Termine, Zuständigkeit und Stufe. Zweck ist die Bearbeitung der Anfrage und die Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO; Gesundheitsangaben nur mit Einwilligung, Art. 9 Abs. 2 lit. a DSGVO). Sehen und bearbeiten können die Anfragen nur Personen mit dem Recht „CRM“ für das jeweilige Studio sowie die Verwaltung. Bewerbungen über die Website laufen genauso in einer eigenen Pipeline „Bewerbungen“ (Angaben wie oben, dazu Bereich, Stelle, Anstellungsart und Links zu den Unterlagen, die auf der Website liegen und dort nach sechs Monaten gelöscht werden); sie sehen dieselben Personen, sie gehen nie an Magicline, und es gelten dieselben Fristen. Für die weitere Betreuung (etwa nach einer Terminvereinbarung) legen Mitarbeitende die Person bei Bedarf per Knopf in unserer Studiosoftware Magicline als Interessent:in an – nie automatisch. Dabei gehen Vorname, Nachname, E-Mail, Telefon und das Studio an Magicline, dazu eine Notiz mit Datum und Weg der Anfrage, Anliegen, Studio und Bearbeiter:in – nie die Nachricht, Verordnung oder Kostenträger. Die Kundennummer, die Magicline vergibt, speichern wir zur Person; sie wird mit ihr anonymisiert. Spätestens 12 Monate nach der letzten Aktivität bzw. nach Abschluss werden Name, E-Mail, Telefon, Nachricht, Notizen sowie die Angaben zu Verordnung und Kostenträger automatisch entfernt; Stufe, Anliegen, Studio, Quelle, Zeiten und Grund bleiben ohne Personenbezug für die Auswertung. Benachrichtigungen zu einer Anfrage werden mit ihr entfernt. Auf Verlangen löschen wir früher. Die Frist lässt sich in den CRM-Einstellungen nur verkürzen.

12. Reha-Anträge (Antragsteller ohne Account)

Beim Erstgespräch zum Rehasport nehmen dafür freigeschaltete Mitarbeitende einen Antrag in Vitness Crew auf: Vorname, Nachname, Telefon, E-Mail, gewünschtes Studio, gewünschte Reha-Kurse mit Anmerkung, Art und Name des Kostenträgers, ob eine Verordnung vorliegt und genehmigt ist, bis zu 3 Fotos der ärztlichen Verordnung, die Unterschriften von Antragsteller:in und Mitarbeiter:in mit Ort und Zeitpunkt, die Einwilligungen (Fassung und Prüfsumme des gezeigten Texts) sowie Bearbeitungsstand, Notizen und ein Verlauf, wer wann was geändert hat. Zweck ist die Vorbereitung der Teilnahme und die Klärung der Kostenübernahme (Gesundheitsangaben nur mit Einwilligung, Art. 9 Abs. 2 lit. a DSGVO; Kontakt über WhatsApp nur mit gesonderter Einwilligung). Nach dem Einreichen sehen den Antrag nur Personen mit dem Recht „Reha: Anträge verwalten“ bzw. „Reha-Anträge“ und die Verwaltung; wer ihn aufgenommen hat, sieht danach nur noch Name, Studio, Zeitpunkt, Bearbeitungsstand und Kurswunsch – keine Kontaktdaten, Fotos, Unterschriften oder Notizen. Fotos und Unterschriften liegen in einem eigenen, nicht öffentlichen Speicher und werden nur nach Prüfung des Rechts für einige Minuten abrufbar gemacht. Benachrichtigt wird über die Glocke, nie per E-Mail. 12 Monate nach Abschluss (erledigt oder abgesagt) werden Antrag, Verlauf, Fotos und Unterschriften automatisch gelöscht. Der Hinweis für Antragsteller:innen steht unter Datenschutzhinweis für Reha-Anträge.

13. Dokumente und Einwilligungen von Mitarbeitenden

Unter „Dokumente“ lesen Mitarbeitende Erklärungen und unterschreiben sie am Bildschirm – zurzeit die freiwillige Einwilligung in Fotos und Videos (Website, Social Media, Aushänge, interne Nutzung, Nennung des Vornamens). Gespeichert werden die Antwort je Punkt, der eingetippte Name, die Unterschrift als Bild, Zeitpunkt, Fassung und Prüfsumme des gelesenen Texts sowie spätere Widerrufe mit Zeitpunkt; fehlt das Geburtsdatum, auch die eigene Bestätigung, volljährig zu sein. Rechtsgrundlage ist die Einwilligung (Art. 6 Abs. 1 lit. a, Art. 7 DSGVO, § 26 Abs. 2 BDSG). Sehen dürfen die Erklärungen die Person selbst und die Verwaltung (Admin oder Recht „Dokumente & Einwilligungen“); bei einem Widerruf erhält die Verwaltung eine Benachrichtigung in der App. Die Erklärung bleibt als Nachweis gespeichert, solange Aufnahmen auf ihrer Grundlage verwendet werden, und danach bis zum Ende der dreijährigen Verjährungsfrist. Personen unter 18 und Praktikantinnen und Praktikanten können diese Erklärung nicht abgeben.

14. Anmeldungen zu Präventionskursen (feelfit.jetzt, Yummy)

Meldet sich ein Mitglied im Studio zu einem Präventionskurs der CTK GmbH an, füllen Mitarbeitende des Vertriebs das Anmeldeformular in Vitness Crew aus: Vorname, Nachname, Anschrift, Telefon, E-Mail, Geburtsdatum, Krankenkasse, IBAN und Kontoinhaber (sofern angegeben) für die Abbuchung der Kursgebühr, die angehakten Erklärungen des Formulars (bei Yummy auch der angegebene BMI-Bereich), Sonstiges, Ort, Zeitpunkt und die Unterschrift der Person, außerdem Studio, wer aufgenommen hat, Bearbeitungsstand, Notizen und ein Verlauf, wer wann was geändert hat. Zweck ist die Anmeldung zum Kurs und die Abbuchung der Kursgebühr (Art. 6 Abs. 1 lit. b DSGVO). Sehen dürfen die Anmeldung nur die Verwaltung (Admin oder Recht „Präventionskurse“); wer sie aufgenommen hat, sieht danach nur noch Name, Kurs, Krankenkasse, Studio, Zeitpunkt und Stand – keine Bankdaten und keine Unterschrift. Die Unterschrift liegt in einem eigenen, nicht öffentlichen Speicher. Die Anmeldung wird nicht per E-Mail verschickt. Gespeichert wird sie, solange sie für die Abwicklung des Kurses und gesetzliche Aufbewahrungspflichten gebraucht wird; danach löscht die Verwaltung sie. Die Zuschussliste der Krankenkassen enthält keine personenbezogenen Daten.

15. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird bei wesentlichen Änderungen der Plattform oder der eingesetzten Dienste angepasst. Die jeweils aktuelle Fassung ist über den Footer der Plattform abrufbar.