Datenschutzerklärung

a. Verantwortliche Stelle

Fitness First Germany GmbH
Hanauer Landstr. 148a
60314 Frankfurt am Main
Deutschland
Telefon: +49 (0) 69 4080 160 00
E-Mail: datenschutz@fitnessfirst.de
Website: unitedletsmove.org

ist der Verantwortliche im Sinne der EU-Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze.

b. Kontaktdaten des Datenschutzbeauftragten

Den Datenschutzbeauftragten des Verantwortlichen erreichst Du unter:

Dirk Kempa
Fitness First Germany GmbH
Hanauer Landstr. 148a
60314 Frankfurt am Main
E-Mail: datenschutz@fitnessfirst.de

Unsere Website wird über die Plattform Cloudflare Pages bereitgestellt und über Cloudflare Workers ausgeliefert. Anbieter ist die Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Cloudflare stellt zugleich ein Content-Delivery-Network (CDN), das Routing der Anfragen sowie Sicherheitsfunktionen (u. a. Schutz vor Überlastungs- und Angriffsversuchen) bereit und ermittelt zur technischen Auslieferung das Herkunftsland der Anfrage anhand der IP-Adresse.

Bei jedem Aufruf erfasst unser System bzw. Cloudflare automatisiert eine Reihe technischer Daten vom aufrufenden Gerät und speichert sie temporär in Server-Logfiles:

• Datum und Uhrzeit des Zugriffs
• die abgerufene URL bzw. Datei und der Zugriffsstatus
• die übertragene Datenmenge
• Browsertyp und -version sowie das Betriebssystem
• die Referrer-URL (zuvor besuchte Seite)
• das anhand der IP-Adresse ermittelte Herkunftsland
• die IP-Adresse des aufrufenden Geräts

Zweck und Rechtsgrundlage: Die Verarbeitung erfolgt nach Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer sicheren, stabilen und performanten Bereitstellung des Onlineangebots sowie in der Abwehr von Störungen und Angriffen. Die vorübergehende Speicherung der IP-Adresse ist erforderlich, um die Website an Dein Gerät auszuliefern.

Cookies: Cloudflare setzt technisch notwendige Cookies, insbesondere __cf_bm (Unterscheidung zwischen menschlichen und automatisierten Zugriffen) und cf_clearance (Speicherung des Ergebnisses einer Sicherheitsprüfung). Diese Cookies sind zur Gewährleistung der Sicherheit und Funktionsfähigkeit erforderlich und werden auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung gesetzt.

Speicherdauer: Die Log-Daten werden gelöscht, sobald sie für den genannten Zweck nicht mehr erforderlich sind, spätestens nach 7 Tagen; eine darüber hinausgehende Speicherung erfolgt nur in anonymisierter bzw. verfremdeter Form.

Drittland: Eine Übermittlung in die USA wird durch das EU-US Data Privacy Framework (DPF) bzw. die Standardvertragsklauseln (SCCs) der Europäischen Kommission abgesichert.

Weitere Informationen: cloudflare.com/de-de/privacypolicy

Für die Speicherung der über unsere Formulare übermittelten Daten (z. B. Newsletter-Anmeldung, Kontaktaufnahme) sowie für die abgesicherte Anmeldung an unserem internen Verwaltungsbereich (Admin-Login) nutzen wir die Plattform Supabase (PostgreSQL-Datenbank und Authentifizierung). Anbieter ist die Supabase, Inc. (USA). Supabase verarbeitet die Daten ausschließlich in unserem Auftrag und nach unseren Weisungen; ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO inklusive Standardvertragsklauseln (SCCs) besteht.

Verarbeitete Daten: die jeweils über ein Formular übermittelten Angaben (siehe Ziffer 7) nebst technischer Metadaten (z. B. Zeitstempel) sowie – für den internen Bereich – die Zugangsdaten autorisierter Administratorinnen und Administratoren.

Zweck und Rechtsgrundlage: Bereitstellung der Datenbank- und Anmeldefunktion. Die inhaltliche Rechtsgrundlage für die jeweils gespeicherten Daten ergibt sich aus den Zwecken in Ziffer 7; die Absicherung des internen Verwaltungsbereichs erfolgt auf Grundlage unseres berechtigten Interesses an der Sicherheit unserer Systeme (Art. 6 Abs. 1 lit. f DSGVO).

Hosting und Drittland: Die Datenhaltung erfolgt in einer Rechenzentrumsregion innerhalb der Europäischen Union (Frankfurt am Main). Soweit der in den USA ansässige Mutterkonzern auf Daten zugreifen kann, ist dies vertraglich auf Grundlage der Standardvertragsklauseln (SCCs) der Europäischen Kommission abgesichert.

Weitere Informationen: supabase.com/privacy

Unser Studio-Finder bietet eine Funktion „Mein Standort", mit der Studios in Deiner Nähe angezeigt werden können. Wird die Funktion genutzt, fragt Dein Browser über die Standort-Schnittstelle (Geolocation API) Deine Erlaubnis ab. Nur wenn Du der Standortfreigabe aktiv zustimmst, ermittelt Dein Gerät Deine ungefähren Standortkoordinaten und übergibt sie an die Anwendung, um die Umkreissuche durchzuführen. Zur Umwandlung in eine Ortsangabe können die Koordinaten an den unter Ziffer 5 genannten Kartendienst übermittelt werden.

Zweck und Rechtsgrundlage: Anzeige von Studios in Deiner Umgebung. Rechtsgrundlage ist Deine Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO, die Du über die Standortabfrage Deines Browsers erteilst. Du kannst die Standortfreigabe jederzeit in den Einstellungen Deines Browsers oder Geräts widerrufen.

Speicherdauer: Die Standortdaten werden ausschließlich vorübergehend zur Durchführung der Suche verarbeitet und von uns nicht dauerhaft gespeichert.

Damit der Studio-Finder zu einer eingegebenen Postleitzahl oder zu Deinem Standort die passenden Studios anzeigen kann, müssen Orts- bzw. Postleitzahlangaben in geografische Koordinaten umgewandelt werden.

Nominatim / OpenStreetMap: Zur Umwandlung einer PLZ bzw. Ortsangabe in Koordinaten (Geocoding) nutzen wir den Dienst Nominatim, der von der OpenStreetMap Foundation (OSMF), St John's Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich, bereitgestellt wird. Bei einer Anfrage werden der Suchbegriff (z. B. die PLZ) sowie Deine IP-Adresse an die Server der OSMF übermittelt.

OpenPLZ API: Ergänzend bzw. als Fallback zur Auflösung von Postleitzahlen in Ortsbezeichnungen nutzen wir die OpenPLZ API (openplzapi.org), ein Open-Data-Projekt. Der Webdienst wird auf einem Server des deutschen Anbieters STRATO in einem Rechenzentrum in Deutschland betrieben. Bei einer Anfrage werden die Postleitzahl sowie Deine IP-Adresse an diesen Dienst übermittelt.

Zweck und Rechtsgrundlage: Bereitstellung der von Dir aktiv ausgelösten Umkreis- bzw. PLZ-Suche. Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an einem funktionsfähigen Studio-Finder gemäß Art. 6 Abs. 1 lit. f DSGVO.

Drittland: Die Übermittlung an die OpenStreetMap Foundation im Vereinigten Königreich ist durch den Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich abgesichert. Die Verarbeitung über die OpenPLZ API findet ausschließlich in Deutschland statt.

Weitere Informationen: osmfoundation.org/wiki/Privacy_Policy und openplzapi.org

Auf unserer Website zeigen wir im Rahmen einer „Social Wall“ Beiträge aus sozialen Netzwerken. Dabei werden keine Inhalte der Anbieter eingebettet: Vorschaubilder werden von uns einmalig kopiert und von unserem eigenen Server ausgeliefert, Texte speichern wir selbst. Dein Browser baut deshalb beim bloßen Betrachten der Social Wall keine Verbindung zu TikTok, YouTube oder Instagram auf, und es werden keine Daten an diese Anbieter übertragen. Erst wenn Du einen Beitrag anklickst, öffnet sich die Original-Seite beim jeweiligen Anbieter; ab diesem Zeitpunkt gilt dessen Datenschutzerklärung:

• TikTok – TikTok Technology Limited, Dublin, Irland – Datenschutzerklärung
• YouTube – Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland – Datenschutzerklärung
• Instagram – Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland – Datenschutzerklärung

Diese Inhalte werden erst geladen, nachdem Du eingewilligt hast. Beim Laden stellt Dein Browser eine Verbindung zu den Servern des jeweiligen Anbieters her; dabei können personenbezogene Daten – insbesondere Deine IP-Adresse, Geräte- und Browserinformationen sowie ggf. Cookie-Informationen – an den Anbieter übertragen werden. Bist Du beim jeweiligen Dienst angemeldet, kann der Anbieter den Aufruf Deinem dortigen Nutzerkonto zuordnen. Auf Art und Umfang der durch die Anbieter vorgenommenen Verarbeitung haben wir keinen Einfluss.

Zweck und Rechtsgrundlage: Darstellung aktueller Inhalte rund um die Aktion und eine ansprechende Nutzererfahrung. Rechtsgrundlage ist Deine Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Du kannst Deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Drittland: Bei TikTok kann eine Übermittlung in Drittländer auf Grundlage der Standardvertragsklauseln (SCCs) erfolgen. Bei Google (YouTube) und Meta (Instagram) wird eine Übermittlung in die USA durch das EU-US Data Privacy Framework (DPF) bzw. die Standardvertragsklauseln (SCCs) abgesichert.

Für den Versand von Nachrichten (Newsletter sowie Bestätigungs- und Antwort-Mails) nutzen wir den Dienst Bird der MessageBird B.V., Amsterdam, Niederlande. Bird verarbeitet die Daten als Auftragsverarbeiter in unserem Auftrag; ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO besteht.

a. Newsletter

Wenn Du Dich für unseren Newsletter anmeldest, verarbeiten wir Deine E-Mail-Adresse sowie ggf. weitere von Dir angegebene Daten (z. B. Deinen Namen). Zur Bestätigung Deiner Anmeldung setzen wir das Double-Opt-in-Verfahren ein: Nach Deiner Anmeldung senden wir Dir eine E-Mail mit der Bitte, die Anmeldung zu bestätigen. Zum Nachweis der Anmeldung speichern wir Zeitpunkt der Anmeldung und Bestätigung sowie Deine IP-Adresse.

Zweck und Rechtsgrundlage: Versand von Informationen rund um die Aktion „United Let's Move". Rechtsgrundlage ist Deine Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Du kannst den Newsletter jederzeit über den Abmeldelink in jeder E-Mail oder durch eine Nachricht an uns abbestellen und Deine Einwilligung damit widerrufen.

Speicherdauer: Wir speichern Deine Daten, bis Du den Newsletter abbestellst bzw. Deine Einwilligung widerrufst.

b. Kontaktaufnahme

Wenn Du uns über ein Kontaktformular oder per E-Mail kontaktierst, verarbeiten wir die von Dir übermittelten Daten – in der Regel Name, E-Mail-Adresse und der Inhalt Deiner Nachricht – sowie bei der Übermittlung über ein Formular zusätzlich Deine IP-Adresse und den Zeitpunkt der Absendung. Die Speicherung der Inhalte erfolgt in unserer Datenbank (Ziffer 3), der Versand etwaiger Bestätigungs-/Antwort-Mails über Bird.

Zweck und Rechtsgrundlage: Bearbeitung Deiner Anfrage. Rechtsgrundlage ist bei Vorliegen einer Einwilligung Art. 6 Abs. 1 lit. a DSGVO, im Übrigen unser berechtigtes Interesse an der Beantwortung Deiner Anfrage gemäß Art. 6 Abs. 1 lit. f DSGVO; zielt Deine Anfrage auf einen Vertragsabschluss ab, zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: Die Daten werden gelöscht, sobald Deine Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Weitere Informationen zu Bird: bird.com/legal/privacy

Cookies sind kleine Textdateien, die auf Deinem Endgerät gespeichert werden. Auf unserer Website setzen wir technisch notwendige Cookies ein, die für den sicheren Betrieb und die Auslieferung der Seite erforderlich sind (siehe Ziffer 2); diese werden auf Grundlage von § 25 Abs. 2 TDDDG ohne Einwilligung gesetzt. Analyse- und Marketing-Cookies (siehe Ziffern 14, 15 und 16) setzen wir ausschließlich nach Deiner ausdrücklichen Einwilligung („Alle akzeptieren") auf Grundlage von § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO ein; ohne Deine Einwilligung werden sie nicht geladen. Deine Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar.

Deine Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar — über den Link „Cookie-Einstellungen“ im Fußbereich der Seite. Beim Widerruf werden die von den Anbietern gesetzten Cookies gelöscht und die Skripte nicht erneut geladen. Über die Einstellungen Deines Browsers kannst Du Cookies zudem einschränken, deaktivieren oder löschen; einzelne Funktionen der Website stehen dann unter Umständen nicht mehr vollständig zur Verfügung.

Innerhalb des Unternehmens erhalten nur die Stellen Deine Daten, die zur Erfüllung der genannten Zwecke erforderlich sind. Darüber hinaus setzen wir sorgfältig ausgewählte Dienstleister ein, mit denen – soweit erforderlich – Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO bestehen:

• Cloudflare, Inc. – Hosting, CDN, Routing und Sicherheit (Ziffer 2)
• Supabase, Inc. – Datenbank und Authentifizierung (Ziffer 3)
• MessageBird B.V. (Bird) – Versand von Newsletter- und Transaktions-E-Mails (Ziffer 7)

Beim Aufruf des Studio-Finders bzw. der Social Wall werden zudem Daten an die in den Ziffern 5 und 6 genannten Anbieter übermittelt. Eine darüber hinausgehende Weitergabe erfolgt nur, wenn gesetzliche Bestimmungen dies gebieten, Du eingewilligt hast oder wir hierzu berechtigt sind.

Eine Übermittlung in Staaten außerhalb des Europäischen Wirtschaftsraums (EWR) findet nur statt, soweit dies erforderlich oder gesetzlich vorgeschrieben ist oder Du eingewilligt hast und ausreichende Garantien im Sinne des Art. 44 ff. DSGVO vorliegen. Konkret:

• USA (Cloudflare, Google/YouTube, Meta/Instagram): abgesichert durch das EU-US Data Privacy Framework (DPF) und/oder die Standardvertragsklauseln (SCCs).
• USA-Bezug bei Supabase und TikTok: abgesichert durch die Standardvertragsklauseln (SCCs).
• Vereinigtes Königreich (OpenStreetMap Foundation): abgesichert durch den Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich.
• Bird (MessageBird B.V.) ist in den Niederlanden (EWR) ansässig; etwaige Übermittlungen in die USA werden durch das DPF bzw. SCCs abgesichert.
• OpenPLZ API: Verarbeitung ausschließlich in Deutschland.

Du hast ein Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch gegen die Verarbeitung (Art. 21 DSGVO). Soweit die Verarbeitung auf einer Einwilligung beruht, kannst Du diese jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Bitte kontaktiere uns, wenn Du diese Rechte ausüben möchtest: datenschutz@fitnessfirst.de

Wenn Du der Ansicht bist, dass die Verarbeitung Deiner personenbezogenen Daten gegen geltende datenschutzrechtliche Vorschriften verstößt, kannst Du Dich unbeschadet anderweitiger Rechtsbehelfe bei einer Aufsichtsbehörde beschweren – insbesondere in dem Mitgliedstaat Deines Aufenthaltsorts, Deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO — also eine Entscheidung, die Dir gegenüber rechtliche Wirkung entfaltet oder Dich in ähnlicher Weise erheblich beeinträchtigt — findet nicht statt.

Hiervon zu unterscheiden ist die reichweiten- und werbebezogene Auswertung nach den Ziffern 14, 15 und 16: Die dort genannten Anbieter können auf Grundlage Deiner Einwilligung Nutzungsprofile bilden und Dir auf ihren Plattformen passende Werbung ausspielen. Rechtliche oder ähnlich erhebliche Wirkungen im Sinne des Art. 22 DSGVO sind damit nicht verbunden.

Nach Deiner Einwilligung nutzen wir Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google Analytics verwendet Cookies und ähnliche Technologien, um Deine Nutzung der Website auszuwerten – u. a. aufgerufene Seiten, Verweildauer, ungefähre Herkunft, Geräte- und Browserinformationen sowie eine gekürzte, pseudonymisierte IP-Adresse.

Zweck und Rechtsgrundlage: Reichweitenmessung und Optimierung unseres Onlineangebots. Rechtsgrundlage ist Deine Einwilligung gemäß § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO, die Du über den Cookie-Banner erteilst und jederzeit mit Wirkung für die Zukunft widerrufen kannst.

Drittland: Eine Übermittlung in die USA wird durch das EU-US Data Privacy Framework (DPF) sowie die Standardvertragsklauseln (SCCs) abgesichert. Weitere Informationen: policies.google.com/privacy

Nach Deiner Einwilligung setzen wir das Meta-Pixel der Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland ein. Damit messen wir die Wirksamkeit unserer Kampagnen und das Auslösen bestimmter Aktionen – insbesondere den Klick auf unser Partner-Anfrageformular – und können passende Werbung ausspielen.

Das Meta-Pixel setzt Cookies (u. a. _fbp) und übermittelt Informationen über Dein Gerät und Deine Interaktion an Meta.

Ergänzend übermitteln wir dieselben Ereignisse über die Conversions API von unserem Server an Meta. Übertragen werden dabei: die Art des Ereignisses (z. B. Newsletter-Anmeldung), der Zeitpunkt, die aufgerufene Adresse, Deine IP-Adresse und Browserkennung, die genannten Meta-Cookie-Werte sowie — sofern Du sie uns angegeben hast — Deine E-Mail-Adresse in verschlüsselter Form (SHA-256-Hash; die Adresse selbst verlässt unseren Server nicht). Browser- und Serverereignis tragen dieselbe Kennung, damit Meta sie als ein einziges Ereignis zählt. Die Übermittlung erfolgt ausschließlich, wenn Du zuvor „Alle akzeptieren“ gewählt hast; nach einem Widerruf findet sie nicht mehr statt. Ein Abgleich über weitere Merkmale („Erweiterter Abgleich“ im Browser) findet nicht statt.

Gemeinsame Verantwortlichkeit: Für die Erhebung und Übermittlung der Daten sind wir und Meta gemeinsam Verantwortliche nach Art. 26 DSGVO. Die wesentlichen Inhalte dieser Vereinbarung sowie Informationen zur weiteren Verarbeitung durch Meta findest Du in der Zusatzvereinbarung für Verantwortliche. Deine Betroffenenrechte kannst Du sowohl uns gegenüber als auch gegenüber Meta geltend machen.

Zweck und Rechtsgrundlage: Conversion-Messung sowie Reichweiten- und Werbeoptimierung. Rechtsgrundlage ist Deine Einwilligung gemäß § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO, jederzeit mit Wirkung für die Zukunft widerrufbar.

Drittland: Eine Übermittlung in die USA wird durch das EU-US Data Privacy Framework (DPF) sowie die Standardvertragsklauseln (SCCs) abgesichert. Weitere Informationen: facebook.com/privacy/policy

Nach Deiner Einwilligung setzen wir das TikTok-Pixel der TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland ein. Damit messen wir die Wirksamkeit unserer Kampagnen auf TikTok und das Auslösen bestimmter Aktionen — etwa eine Newsletter-Anmeldung oder den Klick auf unser Partner-Anfrageformular.

Das TikTok-Pixel setzt Cookies (u. a. _ttp) und übermittelt Informationen über Dein Gerät und Deine Interaktion an TikTok. Ergänzend übermitteln wir dieselben Ereignisse über die Events API von unserem Server an TikTok — mit denselben Datenarten und derselben Ereigniskennung wie in der vorstehenden Ziffer beschrieben, einschließlich Deiner E-Mail-Adresse als SHA-256-Hash, sofern Du sie uns angegeben hast. Ein Abgleich über weitere Merkmale („Advanced Matching“ im Browser) findet nicht statt.

Zweck und Rechtsgrundlage: Conversion-Messung sowie Reichweiten- und Werbeoptimierung. Rechtsgrundlage ist Deine Einwilligung gemäß § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO, jederzeit mit Wirkung für die Zukunft widerrufbar über „Cookie-Einstellungen“ im Fußbereich.

Drittland: TikTok verarbeitet Daten auch außerhalb der EU, unter anderem im Vereinigten Königreich, in Singapur, in den USA und in der Volksrepublik China. Für diese Übermittlungen stützt sich TikTok auf die Standardvertragsklauseln (SCCs) der EU-Kommission sowie ergänzende Schutzmaßnahmen. Ein Angemessenheitsbeschluss der EU-Kommission liegt für die Volksrepublik China nicht vor; es kann daher nicht ausgeschlossen werden, dass dortige Behörden auf die Daten zugreifen und dass Deine Betroffenenrechte nicht in gleichem Maße durchsetzbar sind wie innerhalb der EU. Mit Deiner Einwilligung willigst Du auch in diese Übermittlung ein (Art. 49 Abs. 1 lit. a DSGVO). Weitere Informationen: tiktok.com/legal/privacy-policy-eea