Datenschutz­hinweise

1. Wer ist verantwortlich?

GymOS ist eine Software zur Organisation von Fitnessstudios. Für die Daten, die Studios und ihre Mitarbeitenden in GymOS verarbeiten, ist das jeweilige Studio bzw. Unternehmen verantwortlich, das GymOS einsetzt – in der Regel Ihr Arbeitgeber oder Auftraggeber (im Folgenden „Studio“). Wir verarbeiten diese Daten ausschließlich im Auftrag und nach Weisung des Studios auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO).

Für den technischen Betrieb und die Sicherheit der Plattform sind wir selbst verantwortlich:

Justin Kamionka – GymOS
Goldbachstraße 4, 97688 Bad Kissingen, Deutschland
E-Mail: justinkamionka@icloud.com

Fragen und Anträge zu Ihren Daten richten Sie bitte zuerst an Ihr Studio. Anfragen, die uns erreichen, leiten wir unverzüglich an das Studio weiter.

2. Welche Daten verarbeitet werden

Welche Module genutzt werden, entscheidet das Studio. Je nach Nutzung verarbeitet GymOS:

• Konto und Profil: Vor- und Nachname, E-Mail-Adresse, Benutzername, Passwort (nur als Hash), Rolle, Standortzuordnung, optional Profilbild.
• Arbeitsorganisation: Schichten, Wunschzeiten, Schichttausch, Aufgaben mit Erledigungsvermerk und Kommentaren, Reinigungs-, Lager- und Bestellvorgänge, Kalendertermine und Mitteilungen.
• Zeiterfassung: Arbeitsbeginn, Arbeitsende, Pausen, Gleitzeitsaldo und Abgleich mit dem Schichtplan.
• Abwesenheiten: Art (Urlaub, Krankheit, sonstige) und Zeitraum. Bei Krankheit handelt es sich um Gesundheitsdaten; Diagnosen werden nicht abgefragt und sollten nicht eingetragen werden.
• Learning: Kursfortschritt, erfasste Videowiedergabe, Bestätigungen, Quiz-Ergebnisse und Zeitpunkte.
• Dokumente und Einreichungen: hochgeladene Dateien, Fahrtkosten (Start, Ziel, Kilometer), Auslagen mit Belegen sowie Prüfstatus.
• Kameras und KI-Sicherheit (nur wenn das Studio sie einsetzt): Livebilder, Aufzeichnungen und Sicherheitsereignisse; für den Zeitabgleich können berechtigte Personen Ankunfts- und Abgangsclips einem Mitarbeitenden zuordnen.
• Protokolle: Änderungsprotokoll (wer hat wann was geändert), Fehlermeldungen, die Sie selbst einreichen, sowie Geschäftskontakte wie Händler.

3. Zwecke und Rechtsgrundlagen

• Organisation des Arbeitsverhältnisses (Planung, Aufgaben, Abwesenheiten, Schulungen, Erstattungen): Art. 6 Abs. 1 lit. b DSGVO.
• Gesetzliche Pflichten, insbesondere die Aufzeichnung der Arbeitszeit: Art. 6 Abs. 1 lit. c DSGVO.
• Krankheitszeiten als Gesundheitsdaten: Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG.
• Videoüberwachung zum Schutz von Personen und Eigentum sowie zur Wahrnehmung des Hausrechts: Art. 6 Abs. 1 lit. f DSGVO. Die Entscheidung über Einsatz, Kamerabereiche und Speicherfristen trifft das Studio.
• Betrieb, Sicherheit und Fehleranalyse der Plattform durch uns: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren, stabilen Dienst.

4. Hosting und Dienstleister

Server

Die Anwendung läuft auf Servern der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin. Beim Aufruf werden technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserangaben) verarbeitet, um die Anwendung auszuliefern und vor Angriffen zu schützen. Sie werden nur so lange gespeichert, wie es dafür erforderlich ist.

Datenbank und Anmeldung

Anwendungsdaten und Benutzerkonten werden mit Google Firebase (Realtime Database und Authentication) verarbeitet. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Datenbank liegt im Rechenzentrum europe-west1 in Belgien. Ein Zugriff durch die Google LLC in den USA lässt sich nicht ausschließen; die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO), zusätzlich gelten die Standardvertragsklauseln der EU-Kommission.

Dateien und Videos

Hochgeladene Dokumente, Schulungsvideos und Profilbilder liegen auf unserem Server. Dokumente und Videos werden nur nach erneuter Berechtigungsprüfung ausgeliefert.

E-Mail-Versand

System-E-Mails, etwa zum Zurücksetzen des Passworts, versenden wir über einen E-Mail-Dienstleister als Auftragsverarbeiter.

Schutz der Anmeldung (Google reCAPTCHA)

Ist der Anmeldeschutz aktiviert, lädt die Anmeldeseite Google reCAPTCHA (Google Ireland Limited). reCAPTCHA prüft anhand von Browser- und Interaktionsdaten sowie Ihrer IP-Adresse, ob die Anmeldung von einem Menschen stammt, und schützt Konten so vor automatisierten Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; der dafür nötige Zugriff auf Ihr Endgerät erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG, weil er für den sicheren Anmeldedienst unbedingt erforderlich ist. Es gelten die Datenschutzerklärung und Nutzungsbedingungen von Google.

5. Speicherung im Browser

GymOS setzt keine Tracking- oder Werbe-Cookies und nutzt keine Analyse-Tools. Im Local- bzw. Session-Storage Ihres Browsers speichern wir nur, was für die Nutzung erforderlich ist: Anmelde-Token, Benutzer-ID, E-Mail-Adresse, Mandant, Ihre Design-Wahl (hell/dunkel) und Ansichtseinstellungen. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG. Beim Abmelden werden diese Daten gelöscht. Schriftarten werden lokal ausgeliefert, nicht über Google Fonts.

6. Wer Ihre Daten sieht

Innerhalb des Studios sehen nur Personen Ihre Daten, die sie nach dem Rollen- und Standortkonzept benötigen, etwa Ihre Leitung oder Verwaltung. Die Daten verschiedener Studios sind voneinander getrennt. Externe Empfänger sind ausschließlich die oben genannten Dienstleister als Auftragsverarbeiter. Wir verkaufen keine Daten und nutzen sie nicht für Werbung.

7. Speicherdauer

Daten werden gespeichert, solange das Studio sie für die genannten Zwecke benötigt oder bis berechtigte Personen sie löschen. Kameraaufzeichnungen und Sicherheitsereignisse werden nach den vom Studio festgelegten Fristen automatisch gelöscht; die Aufsichtsbehörden halten dafür in der Regel höchstens 72 Stunden für angemessen. Schulungs- und Prüfnachweise bleiben als Historie erhalten, solange das Studio sie benötigt. Gesetzliche Aufbewahrungsfristen, etwa für Arbeitszeitnachweise, legt das Studio fest. Nach Vertragsende löschen oder übergeben wir die Daten gemäß dem Vertrag zur Auftragsverarbeitung.

8. Sicherheit

Verbindungen sind TLS-verschlüsselt. Zugriffe werden serverseitig nach Rolle, Mandant und Standort geprüft. Kamera-Zugangsdaten werden verschlüsselt gespeichert, private Dateien liegen außerhalb des öffentlichen Webverzeichnisses.

9. KI und automatisierte Entscheidungen

Die KI-Sicherheitsfunktion wertet Kamerabilder lokal auf einem Rechner im Studio aus und markiert mögliche Sicherheitsereignisse zur Prüfung durch berechtigte Personen. Es findet keine Gesichtserkennung, keine biometrische Identifizierung und keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Wenden Sie sich dafür an Ihr Studio; wir unterstützen es bei der Umsetzung.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für unsere eigene Verarbeitung ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, zuständig; für das Studio die Aufsichtsbehörde an dessen Sitz.

11. Hinweis für Studios

Als Verantwortlicher informiert das Studio seine Mitarbeitenden über die Nutzung von GymOS (Art. 13 DSGVO) und schließt mit uns einen Vertrag zur Auftragsverarbeitung. Wer Kameras einsetzt, muss die Überwachung durch Hinweisschilder kenntlich machen, prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist (Art. 35 DSGVO), und einen vorhandenen Betriebsrat beteiligen (§ 87 Abs. 1 Nr. 6 BetrVG). Gleiches gilt für Zeiterfassung und Leistungsnachweise.