Datenschutzerklärung

Stand: 12.10.2026

Hier erfahren Sie, welche personenbezogenen Daten wir auf dinkelfrei.de (einschließlich aller Unterseiten wie dem Fitness-Guide unter /guide/), in unserer Coaching-Web-App, in unseren E-Mails und rund um unser Fitness-Coaching verarbeiten, wozu wir das tun, an wen Daten gehen und welche Rechte Sie haben. Die Erklärung ist nach den Situationen gegliedert, in denen Sie mit uns in Kontakt kommen.

Inhalt

1. Verantwortlicher
2. Website-Hosting und Server-Logs
3. Cookies, lokaler Speicher und Einwilligungsbanner
4. Google Analytics
5. Meta-Pixel
6. Schriften, Bibliotheken, Videos, Live-Zahl und Links
7. Fitness-Guide, Newsletter und E-Mails
8. Wartelisten für Programme
9. Coaching-Bewerbung
10. Startcheck (Fragebogen)
11. „Frag Timm“
12. Kontakt und Terminbuchung
13. Coaching-Web-App
14. Kauf, Zahlung und Rechnung
15. KI-Dienste und Profiling
16. Automatisierung und interne Abläufe
17. Social-Media-Präsenzen
18. Empfänger und Drittlandübermittlung
19. Speicherdauer
20. Ihre Rechte
21. Widerspruchsrecht
22. Weitere Hinweise

1. Verantwortlicher

DAZZLING WAY, UNIPESSOAL LDA (Marke Dinkelfrei®)
vertreten durch den Geschäftsführer Timm von den Busch
Praça Duque de Saldanha 1, Edif. Atrium Saldanha, Piso 7
1050-094 Lisboa, Portugal
E-Mail: dinkelfrei@gmail.com · Telefon: +49 151 64500515

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an diese Adresse. Ein Datenschutzbeauftragter ist derzeit nicht benannt.

2. Website-Hosting und Server-Logs

Die Website dinkelfrei.de wird bei Netlify, Inc., 101 2nd Street, Suite 575, San Francisco, CA 94105, USA, gehostet und über deren Content-Delivery-Netzwerk ausgeliefert. Domain, DNS und unsere E-Mail-Postfächer liegen bei der goneo Internet GmbH, Dresdener Straße 18, 32423 Minden.

Beim Aufruf jeder Seite verarbeitet Netlify technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browser und Betriebssystem sowie die zuvor besuchte Seite (Referrer). Das ist nötig, um die Website auszuliefern, ihre Sicherheit zu gewährleisten und Angriffe abzuwehren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einer sicheren und funktionierenden Website). Netlify verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO). Zur Übermittlung in die USA siehe Abschnitt 18.

3. Cookies, lokaler Speicher und Einwilligungsbanner

Beim ersten Besuch fragen wir in einem Banner, ob Sie Statistik (Google Analytics) und Werbung/Remarketing (Meta-Pixel) zulassen. Sie können alles annehmen, nur Notwendiges zulassen oder einzeln auswählen. Ihre Auswahl gilt für die gesamte Website.

Ihre Entscheidung speichern wir im lokalen Speicher Ihres Browsers (Schlüssel cmp:v1), damit das Banner nicht bei jedem Seitenaufruf erscheint. Sie können sie jederzeit über den Link „Cookie-Einstellungen“ am Seitenende ändern oder widerrufen.

Außerdem speichern einige Seiten Daten ausschließlich lokal in Ihrem Browser, damit Funktionen erhalten bleiben, die Sie selbst nutzen. Diese Daten werden nicht an uns übertragen und bleiben, bis Sie sie löschen:

• Fitness-Guide und Rechner: Ihre Einträge im Tracker (z. B. Kalorienziele, Wochenwerte, Körpermaße, Trainingslog),
• Coaching-Bewerbung und Startcheck: ein Zwischenstand Ihrer Eingaben, damit beim Neuladen nichts verloren geht; nach dem erfolgreichen Absenden wird er gelöscht,
• Kurs-Übungen: Ihre Eingaben (z. B. Gewicht, Notizen); Sie können sie über „Felder leeren“ oder in Ihrem Browser löschen,
• Ihre Darstellungswahl (hell/dunkel).

In der Coaching-App speichert Ihr Browser zusätzlich Ihre Login-Sitzung (ein Anmelde-Token, das bei Anfragen an unsere Datenbank mitgeschickt wird, damit Sie angemeldet bleiben) sowie Anzeige-Einstellungen und zwischengespeicherte Werte, die zugleich in Ihrem Konto liegen (siehe Abschnitt 13).

Rechtsgrundlage: Für die Speicherung Ihrer Banner-Auswahl, der Login-Sitzung und für Funktionen, die Sie ausdrücklich nutzen, § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich) und Art. 6 Abs. 1 lit. f bzw. lit. b DSGVO. Für Statistik- und Werbe-Technologien Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO.

4. Google Analytics

Wir nutzen Google Analytics 4 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“), um zu verstehen, wie unsere Seiten genutzt werden (z. B. Seitenaufrufe, Herkunft der Besucher, Schritte im Bewerbungsformular).

Wir setzen den Einwilligungsmodus von Google (Consent Mode) ein. Standardmäßig ist alles auf „abgelehnt“ gestellt:

• Mit Ihrer Einwilligung („Statistik“) setzt Google Analytics Cookies (_ga, _ga_*), um wiederkehrende Besuche zu erkennen, und erfasst Nutzungsdaten wie aufgerufene Seiten, Verweildauer, Formularschritte, Geräte- und Browserinformationen sowie den ungefähren Standort.
• Ohne Ihre Einwilligung setzt Google Analytics keine Cookies. Der Google-Tag wird auf vielen Seiten trotzdem geladen und sendet cookielose Signale, z. B. dass eine Seite aufgerufen oder ein Formularschritt erreicht wurde, Ihren Einwilligungsstatus, Gerätetyp, Bildschirmauflösung und Zeitpunkt. Dabei werden technisch bedingt Ihre IP-Adresse und Browserinformationen an Google übermittelt. Kampagnen-Parameter in der Adresse (z. B. die Herkunft eines Werbeklicks) können an Folgeseiten weitergegeben werden. Google wertet diese Signale nach eigenen Angaben nur zusammengefasst aus.

Wir nutzen Google Analytics mit minimalen Einstellungen: Google Signals und Verknüpfungen mit Google-Werbekonten sind deaktiviert, und Ereignisdaten werden nach 2 Monaten automatisch gelöscht.

Rechtsgrundlage: Für Cookies und die Auswertung mit Wiedererkennung Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Für das Laden des Tags und die cookielosen Signale ohne Einwilligung stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine zusammengefasste Messung der Reichweite und der Nutzung unseres Bewerbungsformulars. Dabei werden personenbezogene Daten verarbeitet (insbesondere IP-Adresse sowie Browser- und Geräteinformationen). Da wir diese Signale einzelnen Besuchern nicht zuordnen können, verhindern Sie sie am wirksamsten mit dem Tracking-Schutz Ihres Browsers oder einem Inhaltsblocker. Google verarbeitet Daten auch in den USA (Abschnitt 18). Mehr bei Google: policies.google.com/privacy.

5. Meta-Pixel (Facebook/Instagram)

Wenn Sie im Banner „Werbung“ zustimmen, laden wir das Meta-Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“). Ohne diese Einwilligung wird das Pixel nicht geladen.

Das Pixel erfasst, dass Sie eine unserer Seiten besucht haben, und zwei Ereignisse: das Absenden des Formulars für den Fitness-Guide („Lead“) und den Aufruf unserer Willkommensseite nach der Bestätigung Ihrer Anmeldung („CompleteRegistration“). Dabei werden u. a. IP-Adresse, Browser- und Geräteinformationen, die aufgerufene Adresse und Cookie-Kennungen (z. B. _fbp) an Meta übermittelt. Ihren Namen, Ihre E-Mail-Adresse oder Gesundheitsangaben geben wir dabei nicht an Meta weiter. Sind Sie bei Facebook oder Instagram angemeldet, kann Meta die Daten Ihrem Konto zuordnen. Damit eine Bestätigung bei mehrfachem Klick nur einmal gezählt wird, übermitteln wir dabei eine zufällige Kennung Ihrer Anmeldung (keine E-Mail-Adresse) an Meta.

Wir nutzen das Pixel, um den Erfolg unserer Anzeigen zu messen, Anzeigen an Personen mit ähnlichen Interessen auszuspielen und Besuchern unserer Seite erneut Anzeigen zu zeigen (Remarketing).

Gemeinsame Verantwortlichkeit: Für die Erhebung der Daten auf unserer Website und ihre Übermittlung an Meta sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO). Grundlage ist die Vereinbarung von Meta für gemeinsam Verantwortliche (Controller Addendum). Danach informieren wir Sie über die Verarbeitung; Meta ist Ansprechpartner für Ihre Rechte bezüglich der bei Meta gespeicherten Daten, Sie können sich aber auch an uns wenden. Für die weitere Verarbeitung nach der Übermittlung ist Meta allein verantwortlich: facebook.com/privacy/policy.

Rechtsgrundlage: Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO, jederzeit widerrufbar über „Cookie-Einstellungen“. Zur Übermittlung in die USA siehe Abschnitt 18.

6. Schriften, Bibliotheken, Videos, Live-Zahl und Links

Schriftarten (Google Fonts)

Einige Seiten laden die Schriftart „Inter“ direkt von Servern von Google (Google Ireland Limited, Irland; Google LLC, USA). Dabei werden Ihre IP-Adresse und Browserinformationen an Google übertragen. Diese Datenschutzerklärung, Impressum, AGB und unsere Anmeldeseiten für den Fitness-Guide nutzen keine Google Fonts.

Programmbibliotheken (CDN)

Für einzelne Funktionen laden die Coaching-App und die Seite zum Zurücksetzen des Passworts Programmbibliotheken über öffentliche Auslieferungsnetze: cdn.jsdelivr.net (Volentio JSD Limited, Vereinigtes Königreich) und unpkg.com (Betreiber nicht öffentlich benannt). Dabei wird Ihre IP-Adresse an den jeweiligen Betreiber bzw. dessen Netzwerkdienstleister übermittelt.

Rechtsgrundlage für Schriften und Bibliotheken: Art. 6 Abs. 1 lit. f DSGVO (Interesse an einer einheitlichen und funktionsfähigen Darstellung). Sie können dem widersprechen; technisch verhindern lässt sich die Übertragung z. B. mit einem Inhaltsblocker.

Live-Zahl auf der Startseite

Unsere Startseite zeigt, wie viele Kilogramm unsere Kundinnen und Kunden zusammen abgenommen haben. Diese Zahl enthält keine Angaben zu einzelnen Personen. Ihr Browser ruft sie beim Laden der Seite direkt aus unserer Datenbank bei Supabase ab (siehe Abschnitt 13); dabei werden technisch bedingt Ihre IP-Adresse, Datum und Uhrzeit sowie Browserinformationen an Supabase übertragen. Cookies werden nicht gesetzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse, aktuelle Ergebnisse unseres Coachings zu zeigen).

YouTube-Videos

Wir binden Videos von YouTube (Google Ireland Limited, Irland) im erweiterten Datenschutzmodus (youtube-nocookie.com) ein. Der Videoplayer wird erst geladen, wenn Sie auf ein Video klicken; erst dann werden Wiedergabedaten an YouTube übermittelt. Rechtsgrundlage ist Ihre Einwilligung, die Sie mit dem Klick auf das Video erteilen (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO); laden Sie die Seite neu, wird der Player nicht mehr geladen.

Die Vorschaubilder der Videos werden bereits beim Seitenaufruf von Servern von YouTube (i.ytimg.com) geladen. Dabei werden Ihre IP-Adresse und Browserinformationen übertragen, aber keine Cookies gesetzt. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO (ansprechende Darstellung unserer Videoinhalte).

Links zu anderen Anbietern

Links zu anderen Websites, z. B. zur Bezahlseite von Stripe, zu Übungsanleitungen auf musclewiki.com oder die „Postfach öffnen“-Schaltfläche nach Ihrer Anmeldung, öffnen erst beim Anklicken die Seite des jeweiligen Anbieters. Vorher werden keine Daten an diese Anbieter übertragen. Ihre E-Mail-Adresse geben wir dabei nicht weiter.

7. Fitness-Guide, Newsletter und E-Mails

Auf unseren Anmeldeseiten können Sie sich mit Ihrer E-Mail-Adresse und optional Ihrem Vornamen für den kostenlosen Fitness-Guide und unsere E-Mails eintragen: bis zu dreimal pro Woche Fitness-Basics, News und gelegentlich Informationen zu unserem Coaching.

Double-Opt-in und Nachweis

Nach dem Eintragen erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst nach dem Klick sind Sie angemeldet. So stellen wir sicher, dass sich niemand mit fremder Adresse einträgt. Wir speichern dazu E-Mail-Adresse, Vorname, die vollständige Adresse der Seite, auf der Sie sich eingetragen haben (einschließlich etwaiger Kampagnen-Parameter, z. B. die Herkunft aus einer Anzeige oder Direktnachricht), den Zeitpunkt der Anmeldung und der Bestätigung sowie einen Bestätigungscode. Diese Angaben dienen dem Nachweis Ihrer Einwilligung.

Vor dem Absenden prüft Ihr Browser die eingegebene Adresse auf typische Tippfehler (z. B. „gmial.com“); diese Prüfung findet nur lokal statt. Bereits angemeldete Personen erhalten statt einer neuen Bestätigung nur noch einmal den Link zum Guide.

Beteiligte Dienste

• n8n (von uns selbst betrieben auf einem Server von Hostinger in Deutschland, siehe Abschnitt 16) nimmt die Anmeldung entgegen, verschickt die Bestätigungs-Mail und überträgt bestätigte Adressen an Mailchimp.
• Supabase speichert die Anmeldung und den Nachweis (siehe Abschnitt 13).
• Unser E-Mail-Server bei goneo (siehe Abschnitt 2) versendet die Bestätigungs-Mail.
• Mailchimp (The Rocket Science Group LLC d/b/a Mailchimp, 405 N Angier Ave NE, Atlanta, GA 30308, USA) versendet die E-Mails. Dort liegen E-Mail-Adresse, Vorname, die Anmelde-Adresse (wie oben), eine Markierung der Anmeldeseite (z. B. „quelle-meta-ad“) und der Abo-Status; bei Kundinnen und Kunden zusätzlich Nachname, Telefonnummer und eine Markierung als Kunde (siehe Abschnitt 14). Mehr: intuit.com/privacy.

Erfolgsmessung

Unsere E-Mails enthalten ein unsichtbares Zählpixel und Links, die über Mailchimp geleitet werden. So sehen wir, ob und wann Sie eine E-Mail geöffnet und welche Links Sie angeklickt haben. Wir nutzen das, um unsere Inhalte zu verbessern und um Adressen zu erkennen, die längere Zeit keine E-Mail mehr öffnen; diese fragen wir, ob sie weiter E-Mails von uns möchten. Darin willigen Sie bei der Anmeldung ein.

Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG (Erfolgsmessung) und § 7 Abs. 2 UWG. Die Protokollierung der Anmeldung beruht auf unserem berechtigten Interesse, die Einwilligung nachweisen zu können (Art. 6 Abs. 1 lit. f i. V. m. Art. 7 Abs. 1 DSGVO).

Kundinnen und Kunden unseres Coachings können wir nach einem Kauf per E-Mail über eigene, ähnliche Angebote und Inhalte informieren (§ 7 Abs. 3 UWG, Art. 6 Abs. 1 lit. f DSGVO). Dem können Sie jederzeit widersprechen, ohne dass dafür andere als die Übermittlungskosten nach den Basistarifen entstehen; ein Hinweis darauf steht in jeder E-Mail.

Abmeldung: Jederzeit über den Link am Ende jeder E-Mail oder per Nachricht an uns. Damit endet auch die Erfolgsmessung. Nach der Abmeldung behalten wir Ihre Adresse in einer Sperrliste, damit wir Sie nicht versehentlich erneut anschreiben, und die Nachweisdaten bis zu drei Jahre, um eine frühere Einwilligung belegen zu können. Unbestätigte Anmeldungen löschen wir nach 30 Tagen.

8. Wartelisten für Programme

Für einzelne Programme (z. B. das 6-Wochen-Programm) können Sie sich mit Vor- und Nachnamen sowie E-Mail-Adresse auf eine Warteliste setzen. Die Angaben werden über unsere n8n-Instanz bei n8n Cloud (siehe Abschnitt 16) entgegengenommen und gespeichert, damit wir Sie per E-Mail über den Start des Programms informieren können.

Rechtsgrundlage: Ihre Einwilligung, die Sie mit dem Eintrag in die Warteliste erteilen (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG). Sie können sie jederzeit per E-Mail widerrufen. Die Daten löschen wir, wenn das Programm gestartet ist und Sie nicht teilnehmen, spätestens nach 12 Monaten.

9. Coaching-Bewerbung

Über unsere Bewerbungsseiten können Sie sich für ein Coaching bewerben. Wir erfragen Ihre Ziele, Altersgruppe, Geschlecht, wie dringend Ihr Anliegen ist, Name, E-Mail, Telefonnummer, Postleitzahl und optional eine Nachricht.

• Das Formular wird über Netlify Forms (Netlify, Inc., USA) entgegengenommen und an unser n8n weitergeleitet.
• Wir speichern die Bewerbung in unserer Datenbank (Supabase) und bearbeiten sie in unserem Vertriebs-CRM Close (Elastic Inc. d/b/a Close, PO Box 1145, Jackson, WY 83001, USA). Bei der Übertragung nach Close unterstützt uns ein technischer Dienstleister in unserem Auftrag.
• Wir melden uns telefonisch oder per E-Mail bei Ihnen.
• Einige Bewerbungsseiten haben wir für Empfehlungspartner eingerichtet, um zu erkennen, über wen Interessenten zu uns kommen. Auch diese Bewerbungen bearbeiten wir selbst. Wir vermerken lediglich die Partnerseite und führen Datum, Name, E-Mail, Telefonnummer und Dringlichkeit dafür zusätzlich in einer internen Tabelle in Google Sheets (Google Ireland Limited, Irland).
• Welche Schritte des Formulars Sie öffnen, erreichen und absenden, messen wir mit Google Analytics – nur die Schrittnummer, nicht Ihre Eingaben. Mit Ihrer Einwilligung geschieht das mit Cookies, ohne Einwilligung nur als cookieloses Signal (siehe Abschnitt 4).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage); für den Vermerk der Partnerseite Art. 6 Abs. 1 lit. f DSGVO (Auswertung und Abrechnung unserer Empfehlungspartnerschaften). Das Häkchen am Ende des Formulars bestätigt, dass Sie diese Hinweise zur Kenntnis genommen haben. Machen Sie im freiwilligen Nachrichtenfeld Angaben zu Ihrer Gesundheit, verarbeiten wir diese nur zur Bearbeitung Ihrer Bewerbung (Art. 9 Abs. 2 lit. a DSGVO); bitte machen Sie dort nur Angaben, die für das Erstgespräch nötig sind. Kommt kein Vertrag zustande, löschen wir die Bewerbung spätestens 12 Monate nach dem letzten Kontakt; dasselbe gilt für die Einsendungen bei Netlify Forms und die interne Partner-Tabelle.

10. Startcheck (Fragebogen)

Mit dem Startcheck können Sie uns Angaben zu Zielen, Körper (z. B. Alter, Größe, Gewicht, Körperfett), Alltag, Training, Ernährung und Gesundheit (z. B. Beschwerden, Verletzungen, Unverträglichkeiten, Erkrankungen oder Medikamente) machen. Wir bitten ausdrücklich, keinen echten Namen und keine Kontaktdaten anzugeben. Die Angaben werden direkt in unserer Datenbank bei Supabase gespeichert und von uns ausgewertet, um Startkalorien und Makros zu berechnen. Außerdem dürfen wir sie ohne Namen in Inhalten, z. B. Videos auf YouTube, zeigen. Auf dieser Seite setzen wir weder Google Analytics noch das Meta-Pixel ein.

Rechtsgrundlage: Ihre ausdrückliche Einwilligung, die Sie mit dem Häkchen am Ende des Startchecks erteilen (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO). Sie können sie jederzeit per E-Mail mit Wirkung für die Zukunft widerrufen; nennen Sie uns dazu Ihren Spitznamen und den ungefähren Zeitpunkt. Der Startcheck steht Personen ab 16 Jahren offen. Die Angaben löschen wir spätestens nach 24 Monaten oder früher auf Ihren Wunsch.

11. „Frag Timm“

Über „Frag Timm“ können Sie uns ohne Namen und ohne E-Mail-Adresse eine Frage stellen und optional Geschlecht und Alter angeben. Die Frage wird über unser n8n entgegengenommen, mithilfe von OpenAI (siehe Abschnitt 15) thematisch eingeordnet und uns per E-Mail zugestellt, damit wir sie z. B. in einem Video beantworten können. Bitte machen Sie in der Frage keine Angaben, die Sie identifizieren. Technisch bedingt wird beim Absenden Ihre IP-Adresse verarbeitet; wir werten sie nicht aus.

Rechtsgrundlage: Ihre ausdrückliche Einwilligung, die Sie mit dem Häkchen vor dem Absenden erteilen (Art. 6 Abs. 1 lit. a und, soweit Ihre Frage Gesundheitsangaben enthält, Art. 9 Abs. 2 lit. a DSGVO). „Frag Timm“ steht Personen ab 16 Jahren offen. Wir löschen die Fragen, sobald sie beantwortet oder nicht mehr relevant sind, spätestens nach 12 Monaten.

12. Kontakt per E-Mail, Telefon und Terminbuchung

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben, um Ihr Anliegen zu bearbeiten. Unsere Postfächer liegen bei goneo (Deutschland); außerdem nutzen wir ein Postfach bei Google (Gmail, Google Ireland Limited), in dem auch interne Benachrichtigungen eingehen (siehe Abschnitt 16). Für die Buchung von Gesprächsterminen nutzen wir Calendly (Calendly LLC, USA) und übernehmen die Termine (Name, E-Mail, Zeitpunkt, Angaben aus der Buchung) in unseren Google-Kalender und unsere Datenbank, um sie zu organisieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage auf einen Vertrag zielt, sonst Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen). Wir löschen Anfragen, wenn sie erledigt sind, soweit keine Aufbewahrungspflichten bestehen.

13. Coaching-Web-App

Als Coaching-Kunde nutzen Sie unsere Web-App. Dort verarbeiten wir:

• Konto- und Stammdaten: Name, E-Mail, Passwort (verschlüsselt), Rolle, Profilbild,
• Coaching- und Trackingdaten: Ziele, Kalorien- und Makroziele, Gewicht, Körperfett, Schritte, Schlaf, Energie, Hunger, Stress, Training, Mahlzeiten und Notizen, Angaben aus dem Onboarding (z. B. Vorerkrankungen, Medikamente, Nahrungsergänzung), unsere Notizen und Zusammenfassungen,
• Fotos, wenn Sie Mahlzeiten fotografieren oder die Körperfett-Schätzung mit Körperfotos nutzen,
• Kommunikation: Chatnachrichten mit Ihrem Coach,
• Community: Beiträge, Fotos, Kommentare und Likes, die Sie freiwillig veröffentlichen,
• technische Daten: IP-Adresse, Zeitstempel, Login-Ereignisse, bei Benachrichtigungen ein Geräte-Push-Token.

Community und Bestenliste

Beiträge in der Community (Text und Foto), Kommentare und Likes sehen alle anderen Kundinnen und Kunden in der App, jeweils mit Ihrem Vornamen (falls nicht hinterlegt: dem Teil Ihrer E-Mail-Adresse vor dem @) und Profilbild. In der Bestenliste zeigen wir die Personen mit den meisten Schritten im jeweiligen Zeitraum mit Name, Profilbild und Schrittzahl. Profilbilder und Community-Fotos liegen in einem Speicherbereich, dessen Dateien über ihre Internetadresse auch ohne Anmeldung abrufbar sind; wer die Adresse kennt, kann ein Bild also auch außerhalb der App öffnen. Bitte veröffentlichen Sie nur, was andere sehen dürfen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzung der Community-Funktion).

Onboarding-Gespräch

Zu Beginn des Coachings führen wir ein Onboarding-Gespräch per Videokonferenz. Wenn Sie zustimmen, wird das Gespräch in Text umgewandelt (Transkript). Das Transkript enthält alles, was im Gespräch gesagt wird, also auch Angaben zu Ihrer Gesundheit. Wir übermitteln es zusammen mit Ihren Onboarding-Angaben und unseren Notizen über n8n an OpenAI, das daraus eine Kundenzusammenfassung erstellt (siehe Abschnitt 15). Die Zusammenfassung speichern wir in Ihrem Kundenprofil und erhalten sie per E-Mail.

Beteiligte Dienste

• Supabase (Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513) stellt Anmeldung, Datenbank und Dateispeicher bereit; die Daten liegen auf Servern in der EU (Irland). Persönliche Daten schützen wir mit Zugriffsbeschränkungen auf Zeilenebene (Row-Level-Security); ausgenommen sind die oben genannten öffentlich abrufbaren Bilder.
• Netlify hostet die App.
• n8n (Hostinger-Server in Deutschland und n8n Cloud) steuert Abläufe wie Onboarding, Benachrichtigungen, Wochenauswertungen, Zusammenfassungen und den Versand persönlicher Unterlagen.
• KI-Dienste (OpenAI) unterstützen uns bei Mahlzeiten- und Körperfett-Schätzungen aus Fotos, Wochenempfehlungen, Kundenzusammenfassungen und Entwürfen für Chat-Antworten (siehe Abschnitt 15).
• Firebase Cloud Messaging (Google Ireland Limited, Irland) stellt Push-Benachrichtigungen zu, z. B. „Neue Nachricht von Coach Timm“ mit einem kurzen Auszug der Nachricht.
• PDFShift (PDFShift SASU, 128 rue la Boétie, 75008 Paris, Frankreich) erzeugt aus Ihrem persönlichen Fahrplan ein PDF, das wir Ihnen per E-Mail schicken.
• Für die Lebensmittelsuche fragt die App Nährwerte bei Open Food Facts (Frankreich) ab; dabei werden nur Suchbegriff oder Barcode übermittelt.
• Die App lädt Schriften von Google Fonts und Programmbibliotheken über jsDelivr (siehe Abschnitt 6).

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO für Konto, App-Nutzung und Coaching-Leistung; Art. 6 Abs. 1 lit. f DSGVO für IT-Sicherheit und Missbrauchsschutz. Für gesundheitsbezogene Daten (z. B. Gewicht, Körperfett, Schlaf, Ernährung, Stress, Körper- und Mahlzeitenfotos, Vorerkrankungen, Medikamente, Gesprächstranskript) einschließlich ihrer Auswertung mit KI-Diensten Ihre ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a i. V. m. Art. 9 Abs. 2 lit. a DSGVO, die Sie in der App vor der Eingabe gesondert erteilen. Sie können sie jederzeit per E-Mail an dinkelfrei@gmail.com mit Wirkung für die Zukunft widerrufen; danach verarbeiten wir keine neuen Gesundheitsangaben mehr, und die Betreuung ist nur eingeschränkt möglich.

Konto und Daten löschen

• In der App: Unter Profil → „Account löschen“ löschen Sie nach doppelter Bestätigung sofort Ihre Profildaten, Ihren Tracking-Verlauf, Schlafdaten, Mahlzeiten, Chatnachrichten und Umfrage-Antworten; Sie werden danach abgemeldet. Ihr Login (E-Mail-Adresse und verschlüsseltes Passwort) und weitere Daten, z. B. Onboarding-Angaben, Trainingsdaten, Körperfett-Schätzungen, Fotos, Community-Beiträge und unsere Zusammenfassungen, werden dabei noch nicht automatisch gelöscht. Wir löschen sie, sobald wir von der Kontolöschung erfahren, spätestens innerhalb eines Monats. Schneller geht es per E-Mail.
• Per E-Mail an dinkelfrei@gmail.com: Wir löschen dann Ihr Konto einschließlich Login und aller gespeicherten Daten (auch bei Mailchimp und in unserem CRM) und bestätigen Ihnen die Löschung.

Rechnungen und andere Unterlagen, die wir aus steuerlichen Gründen aufbewahren müssen, sind von der Löschung ausgenommen (siehe Abschnitt 19).

14. Kauf, Zahlung und Rechnung

Bezahlt wird über Stripe (Stripe Payments Europe, Limited, Dublin, Irland). Die Zahlungsseite wird von Stripe betrieben; Ihre Zahlungsdaten (z. B. Kartendaten) gibt Stripe nicht an uns weiter. Wir erhalten von Stripe Name, E-Mail, Telefonnummer, Rechnungsadresse, ggf. Firmenname und Steuernummer, gebuchtes Paket, Betrag und Zahlungsstatus. Damit richten wir Ihr Coaching ein, legen Sie in der App und in unserem E-Mail-Verteiler für Kunden (Mailchimp, siehe Abschnitt 7) an und erstellen die Rechnung mit InvoiceXpress (InvoiceXpress, Lda., Lissabon, Portugal). Über neue Käufe und Rechnungsentwürfe werden wir intern per E-Mail informiert. Stripe ist für Betrugsprävention und gesetzliche Pflichten teils selbst verantwortlich: stripe.com/de/privacy.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Pflichten).

15. KI-Dienste und Profiling

Für einige Aufgaben nutzen wir KI-Dienste als Auftragsverarbeiter:

• OpenAI (OpenAI Ireland Ltd, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland): Einordnung von „Frag Timm“-Fragen; Mahlzeiten- und Körperfett-Schätzung aus Fotos; Wochenempfehlungen; Kundenzusammenfassungen aus Onboarding-Angaben und Gesprächstranskript; Entwürfe für Chat-Nachrichten; Entwürfe für persönliche E-Mails an Kundinnen und Kunden, deren Coaching ausläuft.
• Anthropic (Anthropic Ireland, Limited, Dublin, Irland): Einordnung von und Antwortentwürfe auf Kommentare unter unseren Social-Media-Beiträgen (siehe Abschnitt 17) sowie das Auslesen von Rechnungsdokumenten für unsere Buchhaltung.

Die Anbieter verwenden die über ihre Schnittstellen übermittelten Daten nach eigenen Angaben nicht zum Training ihrer Modelle. Die Verarbeitung kann auch in den USA erfolgen (Abschnitt 18).

Profiling: Aus Ihren Tracking-, Check-in- und Chatdaten erstellt eine KI einmal pro Woche eine Empfehlung zu Kalorien und Makros und einen Wert dafür, wie aktiv Sie das Coaching gerade nutzen. Ihr Coach nutzt beides, um Sie gezielter zu betreuen. Läuft Ihr Coaching aus, entwirft eine KI anhand Ihrer Vertrags- und Nutzungsdaten eine persönliche E-Mail, z. B. zur Verlängerung. Entscheidungen über Ihren Vertrag, Preise oder Leistungen trifft immer ein Mensch; automatisierte Entscheidungen mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO finden nicht statt. Chat-Antworten an Sie und Antworten auf Kommentare prüfen wir vor dem Versand.

Rechtsgrundlage: die des jeweiligen Zwecks: Coaching in der App Art. 6 Abs. 1 lit. b DSGVO und für Gesundheitsdaten Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO, Abschnitt 13); „Frag Timm“ Ihre Einwilligung (Abschnitt 11); E-Mails an Kundinnen und Kunden Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 7 Abs. 3 UWG (Abschnitt 7); Kommentare und Buchhaltung Art. 6 Abs. 1 lit. f DSGVO (effiziente Kommunikation und Organisation) bzw. lit. c (Buchführungspflichten).

16. Automatisierung und interne Abläufe

Viele Abläufe (Anmeldungen, Bestätigungs-Mails, Bewerbungen, App-Funktionen, Benachrichtigungen) steuern wir mit der Software n8n. Wir betreiben zwei Instanzen:

• eine selbst betriebene Instanz auf einem Server der Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern, mit Serverstandort in Deutschland (Frankfurt am Main),
• eine Instanz bei n8n Cloud der n8n GmbH, Novalisstraße 10, 10115 Berlin, gehostet in Rechenzentren in der EU.

n8n speichert zur Fehleranalyse Protokolle der einzelnen Abläufe, die die verarbeiteten Daten enthalten können. Diese Protokolle löschen wir automatisch nach spätestens 14 Tagen. Hostinger und n8n verarbeiten die Daten in unserem Auftrag (Art. 28 DSGVO).

Interne Benachrichtigungen (z. B. über neue Kunden, Käufe und Rechnungsentwürfe, Terminbuchungen, „Frag Timm“-Fragen oder technische Fehler) erhalten wir per E-Mail in unseren Postfächern bei goneo bzw. Google (Gmail). Sie enthalten die Daten, die wir für den jeweiligen Vorgang brauchen, z. B. Name, Kontaktdaten, gebuchtes Paket, Zahlungs- und Rechnungsdaten; die Kundenzusammenfassung nach dem Onboarding-Gespräch enthält auch Gesundheitsangaben. Für unsere Buchhaltung nutzen wir Google Sheets und Google Drive.

Rechtsgrundlage: die jeweilige Rechtsgrundlage des Zwecks (siehe oben) sowie Art. 6 Abs. 1 lit. f DSGVO (effiziente Organisation unseres Betriebs).

17. Social-Media-Präsenzen

Wir sind auf Instagram und Facebook (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland), TikTok (TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland) und YouTube (Google Ireland Limited, Irland) vertreten. Wenn Sie unsere Profile besuchen, verarbeiten die Plattformen Ihre Daten nach ihren eigenen Datenschutzbestimmungen und in eigener Verantwortung, auch für Werbezwecke und teils außerhalb der EU.

• Für die Statistiken zu unseren Instagram- und Facebook-Seiten („Insights“) sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO, Page Controller Addendum). Wir erhalten nur zusammengefasste Statistiken. Meta übernimmt die primäre Verantwortung für die Erfüllung Ihrer Rechte.
• Kommentare unter unseren Instagram-Beiträgen (Kommentar-ID, Text, Benutzername, Zeitpunkt, Sichtbarkeit) rufen wir über die Schnittstelle von Instagram ab und speichern sie in unserer Datenbank (Supabase), um sie zu beantworten und Spam oder Beleidigungen auszublenden. Eine KI (Anthropic, siehe Abschnitt 15) ordnet die Kommentare ein (z. B. Frage, Lob, Spam) und entwirft Antworten; als Beispiele erhält sie dabei auch frühere Kommentare und unsere Antworten. Veröffentlicht wird erst nach unserer Prüfung.
• Für automatische Antworten auf Direktnachrichten nutzen wir ManyChat (Manychat, Inc., USA). Kommen Sie über einen Link aus einer Direktnachricht auf unsere Seite, kann dieser eine Kennung von ManyChat enthalten, die zusammen mit Ihrer Anmeldung gespeichert wird (siehe Abschnitt 7).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Kommunikation mit Interessenten und Kunden in sozialen Medien und Schutz unserer Profile vor Spam und Beleidigungen). Ihre Rechte können Sie bei uns und direkt bei der Plattform geltend machen.

18. Empfänger und Drittlandübermittlung

Wir geben Ihre Daten nur an die in dieser Erklärung genannten Empfänger weiter. Auftragsverarbeiter haben wir nach Art. 28 DSGVO verpflichtet. Plattformen wie Google (soweit wir ein Gmail-Postfach nutzen), Meta, TikTok und Stripe (teilweise) verarbeiten Daten als eigenständige Verantwortliche nach ihren eigenen Bestimmungen.

Einige Empfänger sitzen außerhalb des Europäischen Wirtschaftsraums (EWR) oder verarbeiten Daten dort. Die Grundlage steht in der Tabelle: „DPF“ heißt, der Empfänger ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss (EU) 2023/1795, Art. 45 DSGVO). „UK“ heißt Angemessenheitsbeschluss für das Vereinigte Königreich (Art. 45 DSGVO). „SCC“ heißt, wir haben mit dem Empfänger Standardvertragsklauseln der EU-Kommission vereinbart (Art. 46 Abs. 2 lit. c DSGVO); eine Kopie erhalten Sie auf Anfrage. Bei Empfängern mit dem Vermerk „ohne Garantie“ gibt es weder einen Angemessenheitsbeschluss noch Standardvertragsklauseln; dort besteht das Risiko, dass Behörden auf die Daten zugreifen, ohne dass Ihnen wirksame Rechtsbehelfe zur Verfügung stehen.

Ob ein US-Unternehmen nach dem DPF zertifiziert ist, können Sie unter dataprivacyframework.gov/list prüfen.

19. Speicherdauer

Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck nötig ist, Sie eingewilligt haben oder gesetzliche Pflichten es verlangen:

• Server-Logs: kurzfristig zur Sicherheit, in der Regel höchstens 30 Tage.
• Protokolle unserer Automatisierung (n8n): höchstens 14 Tage.
• Newsletter und E-Mails: bis zur Abmeldung; danach Sperrliste und Nachweis bis zu 3 Jahre. Unbestätigte Anmeldungen: 30 Tage.
• Wartelisten: bis zum Programmstart, höchstens 12 Monate.
• Bewerbungen ohne Vertragsschluss (Datenbank, CRM, Netlify Forms, interne Partner-Tabelle): 12 Monate nach dem letzten Kontakt.
• Startcheck: höchstens 24 Monate oder bis zum Widerruf.
• „Frag Timm“-Fragen: bis zur Beantwortung, höchstens 12 Monate.
• Termindaten (Calendly, Kalender, Datenbank): 3 Monate nach dem Termin; bei Kundinnen und Kunden wie Coaching-Daten.
• Kopien von Instagram-Kommentaren in unserer Datenbank: höchstens 6 Monate (die Kommentare auf Instagram selbst bleiben davon unberührt).
• App-Konto, Coaching-, Gesundheits- und Chatdaten, Fotos, Zusammenfassungen: solange Ihr Konto besteht; ohne aktive Betreuung höchstens 24 Monate nach Ende des Coachings.
• Vertragsdaten (gebuchtes Paket, Laufzeit, Zahlungsstatus): bis zum Ende der Betreuung, danach bis zum Ablauf der Verjährungsfrist (in der Regel 3 Jahre ab Jahresende).
• Rechnungen und Buchungsbelege: 10 Jahre nach portugiesischem Recht (Art. 123 Abs. 4 Código do IRC).
• Einwilligung im Cookie-Banner: im lokalen Speicher Ihres Browsers, bis Sie sie ändern oder den Speicher löschen. Ereignisdaten in Google Analytics: 2 Monate. Cookies von Google Analytics gelten bis zu 2 Jahre, das Meta-Cookie _fbp 90 Tage.

20. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3): im Cookie-Banner über „Cookie-Einstellungen“, bei E-Mails über den Abmeldelink und sonst formlos per E-Mail an uns. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem EU-Staat, in dem Sie wohnen oder arbeiten (in Deutschland z. B. bei der Datenschutzbehörde Ihres Bundeslandes). Für uns zuständig ist die portugiesische Aufsichtsbehörde Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa, Portugal, www.cnpd.pt.

22. Weitere Hinweise

Pflicht zur Bereitstellung: Sie sind weder gesetzlich noch vertraglich verpflichtet, uns Daten bereitzustellen. Für Bewerbung, Newsletter, Startcheck und Coaching benötigen wir die jeweils als Pflichtfeld markierten Angaben – im Startcheck z. B. Alter, Größe und Gewicht; ohne sie können wir die Leistung nicht erbringen. Freiwillige Felder, insbesondere Angaben zu Beschwerden, Erkrankungen und Medikamenten, können Sie leer lassen. Bei „Frag Timm“ brauchen wir nur Ihre Frage.

Mindestalter: Unsere Angebote richten sich an Personen ab 16 Jahren. Wenn Sie jünger sind, übermitteln Sie uns bitte keine Angaben; stellen wir fest, dass uns Angaben einer jüngeren Person vorliegen, löschen wir sie.

Datensicherheit: Wir übertragen Daten verschlüsselt (TLS), beschränken Zugriffe über Rollen und Row-Level-Security und protokollieren sicherheitsrelevante Vorgänge.

Änderungen: Wir passen diese Erklärung an, wenn sich unsere Angebote oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.