Datenschutz

• Wir speichern nur, was für Mitgliedschaft, Buchungen und dein Trainingstagebuch nötig ist.
• Kein Tracking, keine Werbung, keine Analyse-Dienste, keine Weitergabe an Dritte.
• Die App läuft auf einem eigenen Server. Es gibt nur ein technisch notwendiges Anmelde-Cookie.
• Im Konto unter Daten kannst du jederzeit alle deine Daten herunterladen oder deine Trainings löschen, unter Sicherheit dein Konto selbst löschen.

Lechner Michael IT Solutions
Michael Lechner
Nelkenstraße 3
83417 Kirchanschöring
Deutschland

E-Mail: michael@lecmich.it

• Konto: Name, Benutzername, Passwort (nur als nicht umkehrbarer Hash), Rolle, Zeitpunkt von Anfrage und Freigabe sowie die Nachricht aus deiner Mitgliedschaftsanfrage. Legt ein Admin dein Konto an, stammen Name, Benutzername und gegebenenfalls die E-Mail-Adresse für die Einladung von ihm.
• Gastanfrage ohne Konto: Name, E-Mail-Adresse, Telefonnummer, dein Grund, der gewünschte Termin und der Zeitpunkt deiner Zustimmung zum Haftungsverzicht. Das sehen nur Admins, damit sie entscheiden und dich erreichen können (Art. 6 Abs. 1 lit. b DSGVO). Bei einer Zusage entsteht ein Gastkonto, das bis zum Ende des Trainingstags gilt (auf Wunsch und nach Freigabe 14 Tage länger); dein Profil ist dabei für andere nicht sichtbar und du stehst in keiner Rangliste. Läuft das Gastkonto aus, wird es gesperrt und nach 90 Tagen mit allen Daten gelöscht. Abgelehnte oder nicht beantwortete Anfragen löschen wir ebenfalls nach 90 Tagen.
• Profil (Angaben freiwillig): Foto, Über mich, Trainingsziel, Erfahrung, „trainiert seit“ und eine Kontaktangabe. Das Profil ist für andere Mitglieder standardmäßig sichtbar (ohne Kontaktangabe); abschalten kannst du das jederzeit im Konto unter Profil. Das Foto wird vor dem Hochladen in deinem Browser verkleinert und von Standort- und anderen Bilddaten befreit. Für die Puls-Auswertung optional Geburtsjahr, Geschlecht und Maximalpuls; diese drei Angaben siehst nur du, weder andere Mitglieder noch Admins.
• Aktivität: Zeitpunkt deiner letzten Anmeldung und deiner letzten Nutzung der App.
• Buchungen: gebuchte Trainingszeiten. Wenn du ein Training startest, wirst du automatisch für die Zeitfenster eingebucht, in denen du trainierst (im Kalender der Admins als „durch Training“ markiert); verwirfst du das Training, wird diese Buchung wieder entfernt.
• Zugang zum Gym (wenn das Türschloss angebunden ist): Zugangscodes zu deinen Buchungen (werden nach Ablauf gelöscht), die Zuordnung deiner Karte, deines Fingerabdrucks oder festen Codes am Schloss zu deinem Konto sowie das Öffnungsprotokoll: Zeitpunkt und Art jeder Öffnung der Tür mit deinem Namen, wenn die Methode dir zugeordnet ist. Öffnest du ohne Buchung, wird das laufende Zeitfenster für dich gebucht (im Kalender „über Schloss“). Das Schloss läuft über die Cloud des Herstellers Tuya (Rechenzentrum in der EU); dorthin gehen Codes, Zeitfenster und ein Name der Buchung, nicht dein Name.
• Heizung (wenn sie angebunden ist): zu jeder Buchung, ob du die Heizung vorher eingeschaltet haben möchtest. Der Server liest dafür die Raumtemperatur und schaltet die Heizung über dieselbe Tuya-Cloud; dorthin geht kein Name und keine Buchung, nur der Schaltbefehl. Wann die Heizung ein- und ausgeschaltet wurde, steht mit dem Namen der Person, deren Termin der Anlass war, im Protokoll der Admins (12 Monate). Die Raumtemperatur speichert der Server etwa alle 10 Minuten für 90 Tage (ohne Personenbezug), damit Admins den Verlauf sehen.
• Smart Gym (Geräte schalten auf der Gym-Seite): Schalten darfst du vor Ort oder mit Termin. Für „vor Ort“ fragt die App, wenn du es erlaubst, den Standort deines Handys ab und schickt ihn an unseren Server. Der vergleicht ihn mit dem Standort des Gyms und merkt sich nur das Ergebnis („vor Ort ja/nein“) für 15 Minuten im Arbeitsspeicher; die Koordinaten werden weder gespeichert noch protokolliert (Art. 6 Abs. 1 lit. a DSGVO, Freigabe jederzeit in den Einstellungen deines Browsers widerrufbar). Wer welches Gerät wann geschaltet hat, steht im Protokoll der Admins (12 Monate).
• Defektmeldungen: Gerät, Beschreibung, Art und optional ein Foto vom Schaden (im Browser verkleinert, ohne Metadaten und Standort). Das Foto sehen nur angemeldete Personen; es wird gelöscht, sobald ein Admin den Defekt als behoben markiert.
• Training: Trainings mit Datum und Dauer, Übungen, Gewichten, Wiederholungen, Satzart, deiner Angabe, wie viele Wiederholungen noch gegangen wären (RIR), und Notizen, dazu deine Trainingspläne, eigenen Übungen, Merkzettel zu Übungen und deine Ziele. Verbindest du im Training freiwillig einen Bluetooth-Pulssensor (z. B. deine Uhr), speichern wir zusätzlich deinen Pulsverlauf in Schritten von 5 Sekunden, den Puls beim Abhaken jedes Satzes, Durchschnitt und Höchstwert sowie den Namen des Sensors. Die Verbindung läuft direkt zwischen Uhr und deinem Browser; der Hersteller der Uhr ist nicht beteiligt. Hast du Geburtsjahr, Geschlecht oder Körpergewicht hinterlegt, berechnen wir beim Beenden daraus Schätzwerte für Kalorien, Intensität, Zeit in Pulszonen und Belastung und speichern sie am Training. Sendest du ein Training an Strava, stehen Durchschnitt, Höchstwert, Intensität und Kalorien im Beschreibungstext der Aktivität.
• Körpergewicht (freiwillig): Datum und Gewicht, wenn du es unter „Körper und Fotos“ einträgst oder beim Jefit-Import ausdrücklich übernimmst. Nur du siehst es, außer du gibst es einem gewählten Trainer frei (siehe Coaching).
• Körpermaße und Fortschrittsfotos (freiwillig): Umfänge, Körperfettanteil und Fotos, die du unter „Körper und Fotos“ einträgst. Fotos werden schon auf deinem Gerät verkleinert und neu gespeichert, dabei fallen Standort- und andere Metadaten weg. Nur du siehst Maße und Fotos, auch Admins nicht; Maße (nie Fotos) kannst du einem gewählten Trainer freigeben. Beim Löschen eines Fotos oder deines Kontos wird die Bilddatei gelöscht.
• Coaching (freiwillig): Wählst du im Konto einen Trainer (ein Mitglied mit der Rolle Trainer oder ein Admin, der zugleich Trainer ist), speichern wir diese Wahl mit Datum. Der Trainer sieht dann deinen Trainingsverlauf (auch private Trainings, mit Sätzen, Gewichten und Notizen) und deine Pläne und kann dir Pläne erstellen, dir Ziele für Übungen setzen und dir zu einzelnen Trainings Rückmeldung geben. Rückmeldungen (Text, optional die Übung, Zeitpunkt, Verfasser) speichern wir am Training; sie sehen du und deine Trainer, löschen kannst du alle unter deinen Trainings, Trainer nur ihre eigenen. Nach dem Training kannst du freiwillig Anstrengung und Gefühl (je 1 bis 5) angeben; das sehen nur du und deine Trainer. Körpergewicht und Maße, Erholung und Statistik sieht ein Trainer nur, wenn du sie ihm einzeln freigibst (Konto → Profil → „Mein Trainer“, jederzeit widerrufbar); Fortschrittsfotos lassen sich nicht freigeben. Für Trainer speichern wir eine freiwillige Vorstellung, die Mitglieder bei der Wahl sehen, und wann sie zuletzt über eine längere Trainingspause einer betreuten Person informiert wurden. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); du und der Trainer könnt das Coaching jederzeit beenden, danach endet der Zugriff sofort.
• Level und Rangliste: Dein Level berechnet die App aus den insgesamt bewegten Kilos; nur du siehst es, außer du machst bei der Rangliste mit. Neue Mitglieder nehmen standardmäßig an der Rangliste teil; austreten geht jederzeit auf der Seite „Rangliste“. Wer mitmacht, sieht von den anderen Teilnehmenden Name, Level samt bewegten Kilos, Serie sowie Trainings, Kilos und Rekorde des laufenden Monats (ohne private Trainings), nie Gewichte einzelner Übungen. Wer nicht mitmacht, sieht die Liste nicht und steht nicht darin.
• Feed: Fäuste und Kommentare, die du zu Trainings anderer gibst, mit Zeitpunkt.
• Mitteilungen: Mitteilungen an dich (z. B. Erinnerungen, Fäuste, Kommentare), deine Einstellungen dazu und, wenn du Push einschaltest, die Push-Adresse deines Geräts.
• Neuigkeiten: Infos der Admins an dich und wann du sie als gelesen bestätigt hast. Admins sehen, wer eine Neuigkeit schon bestätigt hat und wer noch nicht.
• Defektmeldungen: Gerät, Beschreibung, Zeitpunkt und wer gemeldet hat.
• Zwei-Faktor-Anmeldung (freiwillig, Admins): ein Geheimnis für die Authenticator-App und Prüfwerte der Reservecodes.
• Protokoll: Änderungen durch Admins (z. B. Mitglied gesperrt, Einstellungen geändert) mit Zeitpunkt und Name; nach 12 Monaten gelöscht. Nur Admins sehen es.
• E-Mail-Adresse: bei der Mitgliedschaftsanfrage (sobald der Mailversand eingerichtet ist) oder später im Konto, gültig erst nach Bestätigung über einen Link. Wir nutzen sie für Mails zu deinem Konto (Bestätigung, Entscheidung über die Anfrage, Einladung durch einen Admin, Link bei „Passwort vergessen“, Hinweis bei geändertem Passwort) und, nur wenn du es einschaltest, für Mitteilungen und den Monatsrückblick. Andere Mitglieder und Admins sehen sie nicht.
• Sprache: ob du die App auf Deutsch oder Englisch nutzt, damit Mitteilungen und E-Mails in dieser Sprache kommen. Die Wahl steht außerdem im Browser deines Geräts.
• Haftungsverzicht und Trainingsort: deine Angabe, ob du im Homegym oder in einem anderen Gym trainierst, und, nur im Homegym, Zeitpunkt und Textversion deiner Zustimmung zum Haftungsverzicht. Wer nur den Workout-Tracker nutzt, stimmt keinem Haftungsverzicht zu.
• Spenden (Selbstauskunft): Wenn du im Homegym trainierst, fragt die App nach jedem Monat mit Training, ob du gespendet hast (nichts, 10, 15 oder 20 €). Gespeichert werden Monat, Betrag, Zeitpunkt deiner Angabe und ob du bar oder per PayPal gegeben hast. Es findet keine Zahlung über die App statt. Ist ein PayPal-Spendenlink hinterlegt, öffnet der PayPal-Knopf nur diesen Link (PayPal.me) mit dem Betrag; die App übermittelt dabei keine Daten an PayPal und erfährt nicht, ob eine Zahlung stattgefunden hat. Für den Besuch bei PayPal gelten deren Datenschutzbestimmungen.
• Anmeldung: ein Sitzungs-Cookie (gültig 30 Tage), auf dem Server nur als Hash gespeichert. Während einer Anmeldung über Google oder Microsoft zusätzlich ein Cookie für höchstens 10 Minuten, das den Vorgang an deinen Browser bindet.
• Anmeldung mit Google oder Microsoft (freiwillig): wenn du dein Konto unter Sicherheit verknüpfst, die feste Konto-Kennung des Anbieters und der Zeitpunkt der Verknüpfung. Nicht deine E-Mail-Adresse, nicht dein Name beim Anbieter und kein Zugriff auf Mails, Kontakte oder Dateien.
• Auf deinem Gerät: einige Einstellungen im Browserspeicher (z. B. Pausendauer, Übungsfilter, ob du die App installieren möchtest). Sie verlassen dein Gerät nicht.
• Technisch: Deine IP-Adresse wird kurzzeitig im Arbeitsspeicher genutzt, um wiederholte falsche Passworteingaben zu bremsen. Der vorgeschaltete Webserver protokolliert Zugriffe für Betrieb und Sicherheit.

• Dein Profil (ohne Kontakt) sehen andere Mitglieder nur, wenn du es im Konto freigibst.
• Andere Mitglieder sehen im Belegungsplan, wer zu welcher Zeit gebucht hat (falls von den Admins eingeschaltet), und im Feed, wann du trainiert hast, wie lange, welche Übungen und neue Rekorde. Gewichte, Notizen und Pulswerte sehen sie nie. Den Feed kannst du im Konto für dich abschalten oder einzelne Trainings im Verlauf auf „Privat“ stellen. Fäuste und Kommentare unter einem Training sehen alle, die das Training im Feed sehen, mit deinem Namen. Kommentare kannst du selbst löschen, ebenso die Person, deren Training es ist.
• Trainingspartner und Challenges: Sind Namen im Belegungsplan freigegeben, sehen Mitglieder, wer im selben Zeitfenster gebucht hat, und bekommen auf Wunsch eine Mitteilung, wenn jemand dazubucht. Bei Challenges sehen andere nur, ob du ein persönliches Ziel geschafft hast (wenn du im Feed sichtbar bist), nie deine Zahlen; bei gemeinsamen Challenges nur die Summe.
• Defektmeldungen: Den Text offener Meldungen sehen alle angemeldeten Mitglieder auf der Gym-Seite, Gäste nur den Hinweis „Defekt gemeldet“. Wer gemeldet hat, sehen nur Admins.
• Admins sehen Mitgliederliste, Anfragen, alle Buchungen und die Trainingspläne der Mitglieder, um Pläne erstellen zu können. Ist das Türschloss angebunden, sehen sie das Öffnungsprotokoll mit Namen; du siehst nur deine eigenen Öffnungen. Außerdem sehen Admins dein Profil samt Kontaktangabe, deine letzte Anmeldung und wann du zuletzt aktiv warst. Deine Trainingsdetails (Gewichte, Wiederholungen, Notizen, Puls), dein Körpergewicht, deine Maße, Fotos und Ziele sehen auch Admins nicht. Admins können die Buchungen eines Zeitraums als Tabelle herunterladen. Außerdem sehen Admins deinen Trainingsort, wann du dem Haftungsverzicht zugestimmt hast, und deine Spendenangaben pro Monat (mit dem Hinweis, ob du in dem Monat im Homegym trainiert hast); sie können Spendeneinträge für dich setzen, etwa bei Barzahlung.

Die Verarbeitung dient der Durchführung der Mitgliedschaft und der Nutzung der App (Art. 6 Abs. 1 lit. b DSGVO). Die Bremse gegen Passwort-Raten und die Zugriffsprotokolle dienen der Sicherheit des Angebots (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Die Anzeige im Feed, das für Mitglieder sichtbare Profil und die Teilnahme an der Rangliste dienen dem Miteinander im Gym (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO); sie sind nur für angemeldete Mitglieder sichtbar und lassen sich jederzeit abschalten (Widerspruch, Art. 21 DSGVO).

Deine Daten bleiben gespeichert, bis du dein Konto löschst oder es von einem Admin gelöscht wird. Abgelehnte Anfragen löschen Admins im Admin-Bereich. Gastanfragen ohne Konto und ausgelaufene Gastkonten löscht der Server 90 Tage nach der Entscheidung bzw. dem Ablauf automatisch. Tägliche Sicherungen der Datenbank werden nach 14 Tagen automatisch entfernt, gelöschte Daten verschwinden also spätestens dann auch aus den Sicherungen. Das Öffnungsprotokoll des Türschlosses wird nach 90 Tagen gelöscht (Admins können die Frist zwischen 7 und 365 Tagen einstellen).

Beim Import (z. B. aus Jefit) wird die Exportdatei nur in deinem Browser ausgewertet. An den Server gehen ausschließlich die Trainings (Datum, Dauer, Übungen, Sätze). Profil-, Körper- und Geburtsdaten aus der Datei werden nicht übertragen; nur wenn du es ankreuzt, geht das Körpergewicht (Datum und Wert) mit. Importierte Trainings sind als solche gekennzeichnet und zunächst privat. Im Feed erscheinen sie nur, wenn du sie selbst veröffentlichst (einzeln im Verlauf oder gesammelt unter Konto → Import). Du kannst sie dort jederzeit wieder privat stellen oder ganz entfernen.

Schaltest du im Konto Push ein, legt dein Browser beim Push-Dienst seines Herstellers (Google, Mozilla, Apple oder Microsoft) eine Adresse an, an die wir Mitteilungen schicken. Der Inhalt wird vorher für dein Gerät verschlüsselt, der Push-Dienst kann ihn nicht lesen; er sieht nur, dass und wann eine Nachricht kommt. Ausschalten löscht die Adresse bei uns. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Mails verschicken wir über Microsoft 365 (Microsoft Exchange Online) des Betreibers. Dafür verarbeitet Microsoft als Auftragsverarbeiter deine Adresse und den Inhalt der Mail. Mails zu deinem Konto (Bestätigung, Freischaltung oder Ablehnung, Passwort zurücksetzen, Hinweis bei Passwortänderung) dienen der Verwaltung deiner Mitgliedschaft (Art. 6 Abs. 1 lit. b DSGVO). Mitteilungen und den Monatsrückblick per Mail schaltest du im Konto selbst ein und aus (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO); entfernst du die Adresse, kommen keine Mails mehr und „Passwort vergessen“ geht nur noch über einen Admin. Links zum Zurücksetzen gelten eine Stunde und nur einmal; gespeichert wird nur ein Prüfwert, nicht der Link selbst.

Zusätzlich zu Benutzername und Passwort kannst du dich mit deinem Google- oder Microsoft-Konto anmelden, nachdem du es im Konto unter Sicherheit verknüpft hast. Dabei leitet dich die App zum Anbieter; der bestätigt uns nur, wer du bist (OpenID Connect mit den Berechtigungen „openid“, „E-Mail“ und „Profil“). Gespeichert wird bei uns ausschließlich die feste Kennung deines Kontos beim Anbieter, damit die Zuordnung auch nach einer Änderung deiner Adresse stimmt; E-Mail-Adresse und Name aus der Antwort des Anbieters verwerfen wir. Es gibt keine automatische Zuordnung über die E-Mail-Adresse. Der Anbieter erfährt, dass du dich bei Repsly anmeldest; für ihn gelten die Datenschutzbestimmungen von Google bzw. Microsoft. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); unter Sicherheit löst du die Verknüpfung jederzeit wieder, danach geht die Anmeldung nur noch mit Passwort.

Du kannst auch deine Mitgliedschaftsanfrage, das Tracker-Konto oder eine Gastanfrage über Google oder Microsoft stellen. Dann übernehmen wir Name und E-Mail-Adresse aus der Antwort des Anbieters als Vorschlag ins Formular; was du abschickst, speichern wir wie bei jeder Anfrage, dazu die Kennung deines Kontos beim Anbieter. Eine von Google bestätigte Adresse gilt bei uns ohne weiteren Bestätigungslink als bestätigt. Dein Konto hat dann zunächst kein Passwort; eins festlegen kannst du jederzeit unter Sicherheit.

Wenn du im Konto Strava verbindest, legt die App beendete Trainings als Aktivität in deinem Strava-Konto an: Titel, Startzeit, Dauer und eine Beschreibung mit Übungen, Sätzen und Wiederholungen, auf Wunsch mit Gewichten. Notizen werden nie übertragen. Dafür speichern wir deinen Strava-Namen, die bei Strava erteilten Berechtigungen und einen Zugangsschlüssel für das Hochladen und, wenn du es bei Strava erlaubst, das Lesen deiner Aktivitäten. Für die Aktivitäten auf Strava gelten die Datenschutzbestimmungen von Strava. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit über „Verbindung trennen“ im Konto widerrufen kannst; der Zugangsschlüssel wird dann gelöscht und bei Strava zurückgegeben. Bereits angelegte Aktivitäten bleiben auf Strava, bis du sie dort löschst.

Gelesen wird nur, wenn du unter Konto → Import selbst „Aktivitäten abrufen“ wählst: die Liste deiner Aktivitäten im gewählten Zeitraum (Name, Sportart, Startzeit, Dauer, Distanz, Puls) und für übernommene Krafttrainings Beschreibung und Kalorien. Was du übernimmst, speichern wir als privates Training in deinem Verlauf, mit der Strava-ID, damit nichts doppelt ankommt; es ist in deinem Datenexport enthalten und wird mit deinem Konto gelöscht. Die übrige Liste liegt höchstens 30 Minuten im Arbeitsspeicher des Servers und wird nicht gespeichert. Importierte Trainings entfernst du gesammelt unter Konto → Import oder einzeln im Verlauf.

Übungsbilder stammen aus der freien Free Exercise DB. Sie werden von unserem Server geladen und zwischengespeichert. Dein Gerät stellt dafür keine Verbindung zu fremden Servern her.

• Auskunft und Datenübertragbarkeit: im Konto unter Daten → „Meine Daten“ als Datei (JSON und CSV).
• Löschung: im Konto unter „Konto löschen“.
• Berichtigung: Namen änderst du im Konto, Trainings im Verlauf. Für alles andere wende dich an den Betreiber.
• Einschränkung und Widerspruch sowie Fragen: an den Betreiber (Kontakt oben).
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde, z. B. Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.