Datenschutzerklärung

1. Verantwortlicher für diese Website

Verantwortlicher

PhysiQ — Einzelunternehmen Dominic Michael Müller
Kainachgasse 20a
1210 Wien, Österreich

E-Mail

support@getphysiq.at

Datenschutzbeauftragter

Es ist kein Datenschutzbeauftragter bestellt. Anliegen zum Datenschutz bitte an die oben genannte E-Mail-Adresse.

2. Wer wofür verantwortlich ist

Diese Plattform wird von zwei Seiten benutzt, und die datenschutzrechtlichen Rollen sind dabei nicht dieselben.

Für die Daten einer Klientin oder eines Klienten ist der jeweilige Coach Verantwortlicher im Sinn des Art. 4 Z 7 DSGVO. Er entscheidet, wen er betreut, welche Angaben er erhebt, welche Pläne er schreibt und wie lange er die Akte behält. Der Betreiber der Plattform verarbeitet diese Daten ausschließlich in seinem Auftrag und nach seinen Weisungen und ist damit Auftragsverarbeiter nach Art. 28 DSGVO. Die Einzelheiten stehen im Auftragsverarbeitungsvertrag, der zwischen Betreiber und Coach gilt.

Was das praktisch bedeutet: Wer als Klientin oder Klient Auskunft über die eigenen Daten will, sie berichtigen oder löschen lassen möchte, wendet sich an seinen Coach. Der Betreiber leitet solche Anliegen an den zuständigen Coach weiter und unterstützt ihn dabei, darf sie aber nicht eigenmächtig erledigen.

Eigenverantwortlich verarbeitet der Betreiber nur die Daten der Coaches selbst: das Coach-Konto, die Zugangsberechtigung, die Abrechnung und die technischen Protokolle des Betriebs.

3. Welche Daten verarbeitet werden

Konto und Anmeldung

Die Anmeldung erfolgt über Google oder Apple. Dabei werden die E-Mail-Adresse, die Kennung beim jeweiligen Anbieter und, sofern übermittelt, der angezeigte Name verarbeitet. Ein Passwort wird nicht gespeichert. Ersatzweise ist eine Anmeldung über einen einmaligen Link per E-Mail möglich; dabei werden die E-Mail-Adresse und der Zeitpunkt der Anmeldung verarbeitet. Zweck ist der Zugang zur Anwendung und die Zuordnung der Daten zum richtigen Konto.

Stammdaten der Klientinnen und Klienten

Name, Kontaktdaten, Anschrift, Geburtsdatum, Geschlecht, Körpergröße, Zielsetzung sowie freie Notizen des Coaches. Zweck ist die Betreuung, die der Coach vereinbart hat.

Trainings- und Ernährungspläne

Übungen, Sätze, Wiederholungen, Gewichte, Mahlzeiten, Lebensmittel, Mengen, Nährwerte, Einkaufslisten sowie die Zuweisung eines Plans an eine Klientin oder einen Klienten samt Zeitraum.

Check-ins

Regelmäßige Rückmeldungen mit Körpergewicht, Schlafqualität, Energielevel, Muskelkater, weiteren Messwerten und Freitextangaben, jeweils mit Datum. Dazu die Antwort des Coaches auf den Check-in.

Trainingsprotokolle aus der PhysiQ-App

Verbindet sich eine Klientin oder ein Klient in der PhysiQ-App mit dem Beitrittscode des Coaches, übermittelt die App die Trainings, die nach dem Plan des Coaches absolviert werden: Datum, Trainingstag, Übungen, Sätze, Gewichte und Wiederholungen sowie den Hinweis, welche Übungen getauscht, ergänzt oder weggelassen wurden. Zusammen mit jedem Protokoll werden der Name des Trainingstags und der Übung gespeichert, damit es lesbar bleibt, wenn der Coach den Plan später ändert. Das Verbinden löst die betroffene Person selbst aus; sie kann es in der App jederzeit wieder beenden. Danach werden keine neuen Protokolle mehr übermittelt.

Ernährungstagebuch aus der PhysiQ-App

Klientinnen und Klienten, die die PhysiQ-App nutzen, können ihrem Coach freiwillig Einblick in ihr Ernährungstagebuch geben. Freigegeben werden dabei die erfassten Lebensmittel, Mengen, Kalorien und Makronährstoffe je Tag.

Diese Freigabe erfolgt ausschließlich durch die betroffene Person selbst über einen Schalter im Klientenbereich. Weder der Coach noch der Betreiber können sie an ihrer Stelle erteilen. Ohne diese Freigabe hat der Coach keinerlei Zugriff auf die Tagebuchdaten; das ist technisch in der Datenbank durchgesetzt und nicht bloß eine Einstellung der Oberfläche.

Der Zugriff ist rein lesend und auf den jeweils betreuenden Coach beschränkt. Er endet sofort, sobald die Freigabe widerrufen oder die Betreuung beendet wird — auch rückwirkend für zurückliegende Einträge.

Körperfotos

Zu einem Check-in können Fotos hochgeladen werden, die den Körper der abgebildeten Person zeigen. Sie liegen in einem nicht öffentlichen Speicher und sind nur über signierte Adressen mit kurzer Gültigkeit abrufbar; ein Aufruf ohne Berechtigung scheitert. Das Hochladen ist freiwillig.

Nachrichten

Der Nachrichtenverlauf zwischen Coach und Klientin oder Klient samt Anhängen, Sende- und Lesezeitpunkt.

Push-Benachrichtigungen

Wer Benachrichtigungen aktiviert, meldet sein Gerät beim Push-Dienst des Browsers oder Betriebssystems an. Gespeichert werden die technische Adresse dieser Anmeldung (Push-Endpunkt), die zugehörigen Schlüssel und der Zeitpunkt. Die Anmeldung kann jederzeit in der Anwendung oder in den Einstellungen des Geräts widerrufen werden.

Technische Daten

Beim Aufruf der Anwendung fallen serverseitige Protokolle an: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung und Statuscode. Sie dienen dem Betrieb, der Fehlersuche und der Abwehr von Angriffen.

4. Gesundheitsdaten nach Art. 9 DSGVO

Körpergewicht, Schlaf, Energie, Muskelkater, weitere Messwerte und Körperfotos lassen Rückschlüsse auf die Gesundheit der betroffenen Person zu. Sie sind damit Daten besonderer Kategorien nach Art. 9 Abs. 1 DSGVO und unterliegen einem grundsätzlichen Verarbeitungsverbot.

Die Verarbeitung stützt sich auf die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO der betroffenen Person, die der Coach vor Beginn der Betreuung einholt. Daneben stützt sich die Verarbeitung auf Art. 6 Abs. 1 lit. b DSGVO, weil sie zur Erfüllung des Betreuungsvertrags erforderlich ist. Fehlt die Einwilligung oder wird sie widerrufen, werden diese Daten nicht weiter verarbeitet.

Die Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Der Widerruf richtet sich an den Coach. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt. Nach einem Widerruf ist eine sinnvolle Betreuung über die Plattform in der Regel nicht mehr möglich.

Gesondert davon steht die Freigabe des Ernährungstagebuchs. Auch die dort erfassten Angaben sind Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO. Für sie gilt eine eigene, davon unabhängige Einwilligung, die die betroffene Person selbst im Klientenbereich erteilt und ebenso selbst wieder beenden kann. Sie ist keine Voraussetzung für die Betreuung: Wer sie nicht erteilt, kann die Plattform vollständig nutzen; sein Coach sieht dann lediglich den Plan und die Check-ins, nicht aber das Tagebuch.

Zeitpunkt der Erteilung und Zeitpunkt eines Widerrufs werden gespeichert. Das dient dem Nachweis nach Art. 7 Abs. 1 DSGVO und ist nicht abschaltbar; der Nachweis bleibt auch nach einem Widerruf erhalten, während der Zugriff selbst sofort endet.

5. Rechtsgrundlagen im Überblick

• Konto, Zugang und Betrieb der Anwendung: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionierenden Dienst).
• Stammdaten, Pläne und Nachrichten: Art. 6 Abs. 1 lit. b DSGVO (Betreuungsvertrag zwischen Coach und Klient).
• Check-in-Werte und Körperfotos: Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung).
• Push-Benachrichtigungen: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Aktivieren).
• Abrechnung und steuerliche Aufbewahrung: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung, insbesondere § 132 BAO).

6. Empfänger und Auftragsverarbeiter

Die Daten werden nicht verkauft und nicht für Werbung Dritter verwendet. Eingebunden sind ausschließlich Dienstleister, die im Auftrag und nach Weisung tätig werden:

Supabase Inc. — Datenbank, Dateispeicher, Anmeldung

[Anschrift laut Auftragsverarbeitungsvertrag]. Sämtliche Anwendungsdaten liegen in der Region eu-north-1 (Stockholm, Schweden) und damit innerhalb der Europäischen Union.

Vercel Inc. — Auslieferung der Anwendung

[Anschrift laut Auftragsverarbeitungsvertrag]. Betreibt die Server, auf denen die Anwendung ausgeführt und ausgeliefert wird, und verarbeitet dabei die technischen Protokolldaten.

Google Ireland Limited — Anmeldung

Gordon House, Barrow Street, Dublin 4, Irland. Kommt nur zum Einsatz, wenn die Anmeldung über Google gewählt wird, und erhält dabei die Information, dass eine Anmeldung bei dieser Anwendung erfolgt.

Apple Distribution International Ltd. — Anmeldung

Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Entsprechend, wenn die Anmeldung über Apple gewählt wird.

Weder Google noch Apple erhalten Inhalte aus der Plattform, also weder Pläne noch Check-ins, Fotos oder Nachrichten. Ihre Rolle beschränkt sich auf die Prüfung der Identität bei der Anmeldung.

Push-Benachrichtigungen laufen über den Push-Dienst des jeweils verwendeten Browsers oder Betriebssystems (etwa Apple, Google oder Mozilla). Übertragen wird dabei ein verschlüsselter Hinweistext.

Soweit einzelne dieser Anbieter Daten in einem Drittland verarbeiten oder von dort aus darauf zugreifen können, erfolgt dies auf Grundlage der Standardvertragsklauseln der Europäischen Kommission und, soweit anwendbar, des EU-US Data Privacy Framework. [Vor der Veröffentlichung prüfen und die tatsächlich abgeschlossenen Grundlagen benennen.]

Eine Weitergabe an Behörden erfolgt nur, soweit dazu eine rechtliche Verpflichtung besteht.

7. Speicherdauer

• Konto- und Klientendaten, Pläne, Check-ins und Nachrichten bleiben gespeichert, solange die Betreuung besteht und der Coach die Akte führt.
• Anhänge in Nachrichten werden 90 Tage nach dem Hochladen automatisch entfernt. Der Nachrichtentext selbst bleibt erhalten.
• Gelöschte Einträge liegen 30 Tage im Papierkorb und können in dieser Zeit wiederhergestellt werden. Danach werden sie endgültig entfernt.
• Technische Protokolle werden nach spätestens 30 Tagen gelöscht.
• Belege und Aufzeichnungen zur Abrechnung werden sieben Jahre aufbewahrt (§ 132 Bundesabgabenordnung).

8. Cookies und Speicher im Browser

Es werden keine Cookies zu Werbe- oder Analysezwecken gesetzt. Verwendet werden ausschließlich technisch notwendige Cookies für die Anmeldesitzung sowie ein Merkmal, ob die Sitzung nur bis zum Schließen des Browsers gelten soll. Für diese Cookies ist keine Einwilligung erforderlich.

9. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO statt. Auswertungen wie Gewichtsverläufe dienen allein der Darstellung für den Coach und seine Klientin oder seinen Klienten; jede Entscheidung über die Betreuung trifft der Coach.

10. Rechte der betroffenen Personen

Betroffene Personen haben das Recht auf

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf ein berechtigtes Interesse gestützt sind (Art. 21 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Klientinnen und Klienten richten diese Anliegen an ihren Coach, Coaches an den Betreiber unter support@getphysiq.at. Der Betreiber unterstützt die Coaches bei der Erfüllung dieser Rechte.

Unabhängig davon besteht ein Beschwerderecht bei der Aufsichtsbehörde:

Österreichische Datenschutzbehörde

Barichgasse 40-42, 1030 Wien
dsb@dsb.gv.at
dsb.gv.at

11. Pflicht zur Bereitstellung

Die Angabe der Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne Konto ist die Anwendung jedoch nicht nutzbar, und ohne Check-in-Werte kann ein Coach die Betreuung nicht anpassen.

12. Änderungen dieser Erklärung

Ändert sich die Anwendung oder die Rechtslage, wird diese Erklärung angepasst. Maßgeblich ist die jeweils hier veröffentlichte Fassung.