Datenschutz
Entwurf – noch nicht öffentlich freigegeben. Fehlende Pflichtangaben müssen ergänzt und die Fassung fachkundig geprüft werden.
Diese Information gilt für die Website, die Browser-App und die Android-Pilot-App von GymMatch. Es gibt keine Werbetracker, keine Reichweitenanalyse und keine Datenverbindung zum Merch-Shop, bevor du dessen Link anklickst.
1. Verantwortlicher
Infinity-Print – Inhaber Timo Kasprzyk
Bergstraße 20
97534 Theilheim
Deutschland
info@infinity-print.de
2. Website und technische Protokolle
Beim Aufruf verarbeitet der Webserver technisch erforderliche Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, HTTP-Status sowie Browser- und Geräteangaben. Zweck sind sichere Auslieferung, Fehleranalyse und Schutz vor Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist der sichere und stabile Betrieb.
Die Protokolle dienen nicht der Reichweitenmessung oder Werbung. Sie werden nur solange vorgehalten, wie es für Betriebssicherheit, Fehleranalyse und die Aufklärung konkreter Sicherheitsvorfälle erforderlich ist; anschließend werden sie gelöscht oder durch Rotation überschrieben.
3. Registrierung, Anmeldung und Gerätespeicher
Für ein Testkonto verarbeiten wir E-Mail-Adresse, einen gesicherten Passwortnachweis, Volljährigkeitsbestätigung, Konto- und Sitzungsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für Teilnahme und Bereitstellung des Piloten sowie Art. 6 Abs. 1 lit. f DSGVO für Missbrauchsschutz.
- Die Browser-App setzt ausschließlich das technisch notwendige HttpOnly-Cookie
gymmatch_session. Es ist auf den GymMatch-Pfad begrenzt, wird verschlüsselt übertragen und läuft spätestens nach 30 Tagen ab. - Die Darstellungseinstellung wird lokal auf dem Gerät gespeichert. Auf Android liegen Anmeldedaten im geschützten Gerätespeicher; eine freiwillig aktivierte Biometrie wird nur durch das Betriebssystem geprüft.
- Ein Einwilligungsbanner ist nicht vorgesehen, weil keine optionalen Analyse-, Marketing- oder Drittanbieter-Cookies eingesetzt werden. Rechtsgrundlage für den unbedingt erforderlichen Gerätezugriff ist § 25 Abs. 2 Nr. 2 TDDDG.
4. Profil und öffentlicher QR-Link
Im geschützten Bereich verarbeiten wir Anzeigename, Geburtsdatum, optionale Geschlechtsangabe, Studio und Ort, Profilbild, Bio, Trainingsziele und -tage sowie den gewählten Kontaktzweck. Diese Angaben dienen der Profil- und Kontaktfunktion, Art. 6 Abs. 1 lit. b DSGVO.
Über einen aktiven persönlichen QR-Link werden ausschließlich Profilbild, Vorname und ausgewähltes Fitnessstudio ausgegeben. E-Mail-Adresse, vollständiges Geburtsdatum, Alter, Bio, Trainingstage und Nachrichten sind nicht öffentlich. Das Profil kann pausiert werden.
Wenn du die Studiosuche bewusst mit einer exakten fünfstelligen Postleitzahl ausführst, kann unser Server ausschließlich diese Such-PLZ an eine OpenStreetMap-Overpass-Schnittstelle senden, um fehlende deutsche Studiofilialen zu ergänzen. Dabei werden weder deine Konto-ID noch deine IP-Adresse oder dein Gerätestandort übermittelt; der externe Dienst sieht technisch nur die Serververbindung. Erfolgreiche PLZ-Abrufe werden frühestens nach 30 Tagen erneut ausgeführt, fehlgeschlagene nach 15 Minuten. Übernommene Studioeinträge bleiben als nicht mit einem Konto verknüpfter Teil des Verzeichnisses gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Datenquelle: OpenStreetMap-Mitwirkende, ODbL.
5. Kontakte, Chat, Training und Sicherheit
GymMatch verarbeitet Kontaktanfragen, Kontakte, Likes, Chatnachrichten, Blockierungen, Meldungen, interne Benachrichtigungen sowie freiwillig erstellte Trainingskreise und Termine. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Meldungen und sicherheitsrelevante Daten können zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO beruhen; berechtigtes Interesse ist der Schutz der Teilnehmenden und des Dienstes.
Offene Kontaktanfragen laufen nach 14 Tagen ab. Es gibt keine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung und kein Werbeprofiling.
6. Freiwillige Push-Benachrichtigungen
Du kannst Push-Hinweise für neue Likes und Chatnachrichten freiwillig in den Einstellungen aktivieren und dort wieder deaktivieren. Dafür verarbeiten wir ein technisches Firebase-Registrierungstoken, die Plattform und die Zuordnung zu deinem Konto. Die Mitteilung enthält nur einen allgemeinen Hinweis sowie Typ und interne Zielseite; Anzeigename, Profilbild und Chatinhalt werden nicht an Firebase übermittelt.
Zur technischen Zustellung wird Firebase Cloud Messaging von Google eingesetzt. Die Aktivierung setzt deine Gerätefreigabe voraus. Deaktivierung, Abmeldung und Kontolöschung entfernen die gespeicherte Tokenzuordnung. Die In-App-Übersicht funktioniert auch ohne Push. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen.
7. Feedback und Pilotverwaltung
Freiwilliges Feedback enthält Kategorie, optionale Bewertung, Nachricht, Bearbeitungsstatus und Kontozuordnung. Es ist nur für die absendende Person und die Pilotverwaltung sichtbar und wird für Fehlerbehebung und Produktverbesserung verarbeitet, Art. 6 Abs. 1 lit. f DSGVO.
8. GymMatch Plus und Zahlungen
GymMatch Plus läuft im Feldtest ohne echte Abbuchung. Es werden derzeit keine Zahlungsdaten an Stripe oder andere Zahlungsanbieter übermittelt.
9. Externer Spreadshop
Der Merch-Shop ist noch nicht aktiviert. Die lokalen Produktbilder stellen keine Verbindung zu Spreadshop her.
10. Empfänger und Hosting
Die Pilotdaten werden in einer selbst betriebenen GymMatch-Installation mit PostgreSQL und privatem Bildspeicher verarbeitet. Profilbilder werden nicht in der Datenbank gespeichert. Daten werden nur offengelegt, wenn dies zur technischen Bereitstellung erforderlich ist, eine gesetzliche Pflicht besteht oder du die jeweilige Funktion bewusst nutzt.
Es findet keine Synchronisierung mit Werbenetzwerken, Analyseanbietern oder Spreadshop statt. Nur bei der oben beschriebenen exakten PLZ-Studiosuche kann der Server die Such-PLZ an die konfigurierte OpenStreetMap-Overpass-Instanz senden. Bei freiwillig aktiviertem Push wird das technische Registrierungstoken mit den oben beschriebenen minimierten Mitteilungsdaten an Firebase Cloud Messaging übermittelt. Die konkreten Auftragsverarbeitungs- und Übermittlungsbedingungen müssen vor der Live-Aktivierung fachkundig geprüft werden.
11. Speicherdauer und Löschung
- Aktive Browser-Sitzungen laufen spätestens nach 30 Tagen ab; Abmeldung und Kontolöschung widerrufen sie vorzeitig.
- Offene Kontaktanfragen werden nach 14 Tagen als abgelaufen behandelt.
- Erfolgreiche OpenStreetMap-PLZ-Abrufe werden frühestens nach 30 Tagen wiederholt, fehlgeschlagene nach 15 Minuten. Importierte Studioeinträge sind keinem Konto zugeordnet und bleiben bis zu einer Verzeichnisbereinigung gespeichert.
- Bei Kontolöschung werden Profil, Profilbild, QR-Zuordnung, Kontaktanfragen, Kontakte, Likes, Matches, Nachrichten, Blockierungen, Meldungen, Benachrichtigungen, Push-Registrierungen, Feedback sowie eigene Trainingskreise und Termine gelöscht; der technische Nutzer-Datensatz wird mit neutralisierter E-Mail und entfernten Zugangsdaten als gelöscht markiert.
- Abrechnungs- und Auditdaten werden nur insoweit erhalten, wie gesetzliche Nachweis- oder Aufbewahrungspflichten dies verlangen. Im aktuellen Test-Billing entstehen keine echten Zahlungsdaten.
- Noch einzutragen: konkrete Backup-Aufbewahrung und Verfahren zur erneuten Löschung nach einer Wiederherstellung
12. Deine Rechte
Du hast nach Maßgabe der DSGVO Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Einen maschinenlesbaren Datenexport und die Kontolöschung kannst du in den Einstellungen auslösen. Du kannst dich außerdem an den oben genannten Verantwortlichen wenden.
Bei Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO kannst du aus Gründen deiner besonderen Situation widersprechen.
13. Beschwerderecht
Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren. Für den Betreiber voraussichtlich zuständig:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Telefon: +49 981 180093-0
https://www.lda.bayern.de
14. Änderungen
Diese Fassung bildet den technischen Stand des auf 100 volljährige Personen begrenzten Feldtests ab. Vor neuen Empfängern, echtem Zahlungsbetrieb, Analysewerkzeugen oder einer wesentlichen Funktionserweiterung wird die Information aktualisiert.
Stand: 30. Juli 2026