Datenschutzerklärung

1. Verantwortlicher und Datenschutzbeauftragte

Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze ist:

ProgressCompass – Dominik Schwoch
Schüttenrode 8
48282 Emsdetten
Deutschland
E-Mail: datenschutz@progresscompass.de
Website: progresscompass.de

Datenschutzbeauftragte

Saskia Rehr LL.M.
E-Mail: datenschutz@progresscompass.de

2. Bereitstellung der Website und Server-Protokolldateien

Bei jedem Aufruf unserer Website werden automatisch Zugriffsdaten erhoben und in Protokolldateien (Logfiles) gespeichert:

• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite bzw. Datei und ob der Abruf erfolgreich war
• zuvor besuchte Seite (Referrer)
• übertragene Datenmenge
• Browsertyp und -version sowie Betriebssystem
• IP-Adresse

Die Verarbeitung ist erforderlich, um die Website auszuliefern sowie die Funktionsfähigkeit und Sicherheit unserer Systeme zu gewährleisten. Ihre IP-Adresse wird dabei kurzfristig verarbeitet, um die Auslieferung zu ermöglichen und Angriffe abzuwehren; eine dauerhafte Speicherung zusammen mit anderen Sie identifizierenden Daten erfolgt nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, sicheren Betrieb).

Empfänger (Auftragsverarbeiter): Das Hosting erfolgt bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Die Server stehen in Deutschland.

Speicherdauer: Protokolldateien werden nach spätestens vier Wochen gelöscht, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls länger benötigt werden.

Betriebsprotokoll (fachliche Ereignisse): Zusätzlich zu den technischen Server-Protokolldateien halten wir betriebliche Ereignisse fest, um Störungen aufklären zu können – etwa die Anfrage einer Registrierung, den Versand einer System-E-Mail (Empfänger, Betreff und Erfolg – nicht der Inhalt der Nachricht), das Einlösen eines Verbindungscodes sowie Beginn, Wechsel und Ende eines Abonnements. Ohne diese Aufzeichnung liesse sich eine Rückfrage wie „ich habe keine Bestätigungsmail erhalten“ nicht beantworten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem nachvollziehbaren, fehlerfreien Betrieb) sowie Art. 6 Abs. 1 lit. b DSGVO, soweit die Ereignisse der Vertragsdurchführung dienen.

Speicherdauer: Einträge des Betriebsprotokolls werden automatisch nach 90 Tagen gelöscht. Löschen Sie Ihr Konto, entfernen wir die zugehörigen Einträge sofort; zurück bleibt lediglich der Vermerk, dass eine Kontolöschung stattgefunden hat – ohne Ihre Daten.

3. Cookies und lokale Speicherung

Wir setzen nur technisch notwendige Cookies ein, die für Anmeldung und Sicherheit erforderlich sind (Sitzungs-Cookie zur Anmeldung sowie ein Cookie zum Schutz vor Cross-Site-Request-Forgery). Diese Cookies enthalten keine Werbe- oder Tracking-Kennungen.

Zusätzlich speichern wir Ihre Anzeige-Einstellung (z. B. helles/dunkles Design) lokal in Ihrem Browser („localStorage“). Diese Angabe verlässt Ihr Gerät nicht und dient allein der Darstellung.

Rechtsgrundlage: § 25 Abs. 2 TDDDG (technisch notwendige Speicherung) sowie Art. 6 Abs. 1 lit. f DSGVO. Ein Einwilligungsbanner ist für rein notwendige Cookies nicht erforderlich.

4. Reichweitenmessung (Umami)

Zur Verbesserung unseres Angebots messen wir die Nutzung unserer Website mit Umami. Umami wird von uns selbst auf unserem Server (Hetzner, Deutschland) betrieben – es werden also keine Daten an einen externen Analyse-Anbieter übermittelt.

Die Messung erfolgt ohne Cookies und ohne dauerhafte Kennung. Es werden nur aggregierte, nicht auf eine Person zurückführbare Kennzahlen erhoben (z. B. aufgerufene Seiten, Referrer, ungefähre Region, Geräte-/Browsertyp); IP-Adressen werden nicht gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Reichweitenmessung).

5. Nutzerkonten und Registrierung

Für die Nutzung des Coach-Portals können Sie sich selbst ein Nutzerkonto anlegen. Dabei verarbeiten wir:

• E-Mail-Adresse (zugleich Anmeldename)
• Passwort (nur verschlüsselt als Hash gespeichert, für uns nicht lesbar)
• Name bzw. Anzeigename
• ggf. Angaben eines öffentlichen Coach-Profils (Kurzbeschreibung, Über mich, Schwerpunkte, Ort/PLZ, öffentliche Kontakt-E-Mail, Profil- und Bannerbild) – nur, soweit Sie diese selbst eintragen
• Zeitpunkt der Registrierung sowie zur Missbrauchsabwehr die IP-Adresse zum Registrierungszeitpunkt

Bestätigungsverfahren (Double-Opt-In): Nach dem Absenden des Registrierungsformulars senden wir eine Bestätigungs-E-Mail an die angegebene Adresse. Ihr Konto wird erst nach Klick auf den Bestätigungslink angelegt und aktiviert. So stellen wir sicher, dass die E-Mail-Adresse Ihnen gehört.

Die Postleitzahl eines öffentlichen Profils wird zur Umkreissuche in ungefähre Koordinaten umgewandelt.

Zweck: Bereitstellung des Kontos und der Portalfunktionen sowie, bei öffentlichen Profilen, die Auffindbarkeit in der Coach-Suche.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen); für das öffentliche Profil zusätzlich Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch freiwillige Veröffentlichung).

Speicherdauer: bis zur Löschung des Kontos; danach Löschung, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Sie können Ihr Konto jederzeit über die Kontoeinstellungen löschen; Ihre Stammdaten können Sie dort selbst ändern.

6. Coaching-Portal: Teilnehmer- und Gesundheitsdaten (Art. 9 DSGVO)

Coaches können im Portal Teilnehmer:innen betreuen. Dabei werden folgende Daten verarbeitet:

1. Stammdaten: Vor- und Nachname, E-Mail-Adresse, ggf. Telefonnummer, Geschlecht, Geburtsdatum/Alter
2. Zielsetzung und Notizen des Coaches
3. Gesundheitsbezogene Daten: Körpermaße (u. a. Gewicht, Größe, Brust-, Taillen-, Bauch-, Hüft-, Oberschenkel- und Oberarmumfang sowie ggf. eigene Messfelder), Ernährungs- und Trainingspläne

Körpermaße und darauf bezogene Auswertungen sind Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO.

Rollen: Für die im Auftrag des Coaches verarbeiteten Teilnehmerdaten ist in der Regel der jeweilige Coach Verantwortlicher; ProgressCompass handelt insoweit als Auftragsverarbeiter. Grundlage ist der Vertrag zur Auftragsverarbeitung (AVV), den Coaches mit uns schließen. Für die Bereitstellung der Plattform selbst sind wir Verantwortlicher.

Rechtsgrundlage: Verarbeitung der Gesundheitsdaten auf Grundlage der ausdrücklichen Einwilligung, Art. 9 Abs. 2 lit. a DSGVO; die Erteilung der Einwilligung wird im System dokumentiert (Einwilligungszeitpunkt). Im Übrigen Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: für die Dauer der Betreuung; nach Widerruf der Einwilligung oder Ende der Betreuung werden die Gesundheitsdaten gelöscht, soweit keine gesetzlichen Pflichten entgegenstehen. Teilnehmer:innen können ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

7. Bilder und Dateispeicher

Hochgeladene Bilder (z. B. Profil- und Bannerbilder von Coaches, Teilnehmerfotos, Fotos von Gerichten) werden in einem Objektspeicher (S3) der Hetzner Online GmbH in Deutschland gespeichert. Vor dem Speichern werden Bilder verkleinert und von Metadaten (z. B. EXIF/GPS) bereinigt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw., soweit Teilnehmerfotos betroffen sind, im Rahmen der Auftragsverarbeitung für den Coach (siehe Ziffer 6).

8. E-Mail-Versand

Für den Versand von System- und Einladungs-E-Mails (z. B. Teilnehmer-Einladungen mit Verbindungscode) nutzen wir den E-Mail-Dienst unseres Anbieters Hostinger als Auftragsverarbeiter. Verarbeitet werden die E-Mail-Adresse der Empfänger:innen sowie der Nachrichteninhalt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

9. ProgressCompass-App

Ergänzend bieten wir eine App an. Daten werden dort primär lokal auf dem Gerät gespeichert. Wird die App mit einem Coach verbunden, werden die vom Coach bereitgestellten Plandaten über eine gesicherte Schnittstelle synchronisiert; die Verbindung erfolgt über einen Verbindungscode/ein Zugriffs-Token. Eine Anmeldung mit E-Mail und Passwort ist optional möglich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Zahlungen und Abonnements (Stripe)

Für die Abwicklung kostenpflichtiger Abonnements setzen wir den Zahlungsdienstleister Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, ein.

Verarbeitete Daten: Name, E-Mail-Adresse, gewählter Tarif, Rechnungsbetrag und -datum sowie der Zahlungsstatus. Die eigentlichen Zahlungsdaten (z. B. Kartennummer oder PayPal-Konto) geben Sie unmittelbar auf einer von Stripe betriebenen Seite ein – sie erreichen unsere Server nicht. Bei uns gespeichert werden lediglich eine Kunden- und eine Abonnement-Kennung von Stripe, der gebuchte Tarif und das Ende des laufenden Abrechnungszeitraums.

Zweck: Begründung, Durchführung und Abrechnung des Abonnementvertrags, Betrugsprävention sowie Erfüllung handels- und steuerrechtlicher Pflichten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags), für die Betrugsprävention Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicheren Zahlungen) und für die Aufbewahrung der Abrechnungsdaten Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB.

Empfänger: Stripe Payments Europe, Ltd. und die von Stripe eingesetzten Zahlungs- und Bankdienstleister. Für die Zahlungsabwicklung selbst ist Stripe eigenständig verantwortlich; im Übrigen besteht ein Auftragsverarbeitungsvertrag (siehe unser Verzeichnis der Unterauftragsverarbeiter).

Drittlandübermittlung: Stripe kann Daten an die Muttergesellschaft Stripe, Inc. in den USA übermitteln. Die Übermittlung wird auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) gestützt; Stripe, Inc. ist nach eigenen Angaben zusätzlich unter dem EU-US Data Privacy Framework zertifiziert.

Speicherdauer: Vertrags- und Abrechnungsdaten bewahren wir für die Dauer des Vertrags und anschließend entsprechend der gesetzlichen Aufbewahrungsfristen von bis zu zehn Jahren auf. Das gilt auch nach Löschung Ihres Kontos: Die zur Rechnungslegung erforderlichen Daten bleiben bei Stripe und in unserer Buchhaltung erhalten.

Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe.

11. Ihre Rechte

Ihnen stehen gegenüber dem Verantwortlichen folgende Rechte hinsichtlich Ihrer personenbezogenen Daten zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch (Art. 21 DSGVO, siehe Ziffer 12)
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Beruht eine Verarbeitung auf einer Einwilligung oder einem Vertrag und erfolgt sie automatisiert, haben Sie das Recht, diese Daten in einem gängigen Format zu erhalten oder an Dritte übermitteln zu lassen (Art. 20 DSGVO).

Beschwerderecht: Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, etwa bei der für uns zuständigen Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (ldi.nrw.de).

12. Widerspruchsrecht (Art. 21 Abs. 1 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen. Wir verarbeiten die personenbezogenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Die Erhebung der Zugriffsdaten zur Bereitstellung der Website und die Speicherung der Protokolldateien sind für den Betrieb zwingend erforderlich.

Stand: Juli 2026. Bei Änderungen der Verarbeitung passen wir diese Erklärung an.