Datenschutzerklärung

Stand: 29.10.2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und in der Plattform BitFit GYM ist:

Wenn du Mitglied eines Studios bist, das BitFit GYM nutzt, ist das jeweilige Studio (dein Trainer) für die Daten seiner Mitglieder verantwortlich; wir verarbeiten sie dann in dessen Auftrag als technischer Dienstleister.

2. Hosting und Server-Logfiles

Die Plattform wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, gehostet. Beim Aufruf der Seiten werden technisch notwendige Daten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Browsertyp) kurzzeitig in Logfiles verarbeitet, um den sicheren Betrieb zu gewährleisten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am stabilen und sicheren Betrieb). Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung.

3. Konto, Registrierung und Nutzung der Plattform

Wenn du ein Gym anlegst, dich per Einladung registrierst oder die Plattform nutzt, verarbeiten wir die Daten, die du eingibst oder erzeugst:

• Stammdaten: Name, E-Mail-Adresse, Passwort (nur als Hash gespeichert), Rolle (Trainer oder Mitglied), Gym-Name
• optionale Profilangaben: Profilbild, Kurzbeschreibung
• Nutzungsdaten: Workouts, Trainingspläne, Körpergewicht, Fortschrittsfotos und Form-Check-Videos, Ernährungsdaten, Challenges und Punkte, Chat-Nachrichten, Beiträge und Kommentare im Energy Feed

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen). Körpergewicht, Fotos und Ernährungsdaten können Gesundheitsbezug haben; du gibst sie freiwillig ein, die Verarbeitung erfolgt auf Grundlage deiner Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du jederzeit durch Löschen der Daten oder deines Kontos widerrufen kannst.

Trainer deines Studios können die Daten ihrer Mitglieder einsehen, soweit das für die Betreuung nötig ist (Workouts, Fortschritt, Körpergewicht, Ernährung, Wasser, Schritte, Ausdauertraining und Wochen-Check, siehe Abschnitt 10). Beiträge im Energy Feed sind für dein Gym sichtbar; wenn du „Alle Gyms“ wählst, sind sie für alle angemeldeten Nutzer der Plattform sichtbar.

4. Cookies

Wir verwenden ausschließlich ein technisch notwendiges Sitzungs-Cookie, das dich nach dem Login angemeldet hält. Es wird nach Ablauf der Sitzung bzw. beim Abmelden gelöscht. Tracking- oder Werbe-Cookies setzen wir nicht ein. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO.

5. Zahlungsabwicklung

Standard (Karte) — Stripe

Für Abonnements nutzen wir Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland. Die Zahlungsdaten gibst du direkt bei Stripe ein; wir erhalten keine vollständigen Kartendaten, sondern nur Abo-Status, Paket und Zahlungsreferenzen. Stripe kann Daten auch in Drittländer (z. B. USA) übermitteln, auf Basis von Standardvertragsklauseln bzw. dem EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Bitcoin / Lightning — BTCPay Server

Für Zahlungen in Bitcoin betreiben wir einen eigenen BTCPay Server. Dabei werden Rechnungsdaten (Betrag, Paket, Gym-Kennung, E-Mail-Adresse) bei uns gespeichert. Bitcoin-Transaktionen sind naturgemäß öffentlich in der Blockchain einsehbar; darauf haben wir keinen Einfluss.

6. E-Mail-Versand

Für System-E-Mails (Passwort zurücksetzen, Einladungen, Benachrichtigungen, Antworten auf Kontaktanfragen) nutzen wir den Dienst EmailJS (EmailJS Pte. Ltd., Singapur; Server in den USA) in Verbindung mit unserem E-Mail-Postfach-Anbieter (20i / StackCP), über den die Nachricht versendet wird. Dabei werden Empfängeradresse und Inhalt der E-Mail an diese Dienstleister übermittelt. Mit EmailJS besteht ein Vertrag zur Auftragsverarbeitung; für die Übermittlung in die USA gelten Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

7. Kontaktformular und E-Mail-Kontakt

Wenn du uns über das Kontaktformular oder per E-Mail schreibst, verarbeiten wir Name, E-Mail-Adresse und deine Nachricht, um die Anfrage zu beantworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. f DSGVO. Wir löschen die Daten, sobald die Anfrage erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

8. Dateispeicherung

Hochgeladene Bilder und Videos (Profilbilder, Feed-Fotos, Fortschrittsfotos, Trainingsvideos) speichern wir bei Hetzner Object Storage in Deutschland. Die Dateien liegen unter nicht erratbaren Adressen; wer die Adresse kennt, kann die Datei aufrufen.

9. KI-Funktionen (Ernährungs-Scanner)

Wenn du den Ernährungs-Scanner nutzt, wird das von dir aufgenommene Foto zur Analyse an Google (Gemini API, Google LLC, USA) übermittelt. Dasselbe gilt für die Spracheingabe im Training: Deine Sprachaufnahme (oder der diktierte Text) wird zur Auswertung an Google (Gemini API) übermittelt und bei uns nicht gespeichert. Beides passiert nur, wenn du die Funktion aktiv verwendest. Rechtsgrundlage: Art. 6 Abs. 1 lit. b, bei Gesundheitsbezug Art. 9 Abs. 2 lit. a DSGVO (Einwilligung durch die Nutzung).

10. Einsicht durch deinen Trainer (Ernährung, Gewicht, Training)

Dein Trainer im Studio kann deine Ernährungs- und Trainingsdaten einsehen: Kalorien, Mahlzeiten, Wasser, Körpergewicht, Schritte, Ausdauertraining und Trainingsverlauf. Das dient der persönlichen Betreuung; andere Mitglieder sehen diese Daten nicht. Die Einsicht beruht auf deiner Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du bei der Einrichtung deiner Ziele erteilst. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, indem du die betreffenden Daten bzw. dein Konto löschst oder uns schreibst (info@bitfitgym.com). Dein Trainer kann dir ein neues Kalorienziel vorschlagen; erst mit deiner Annahme wird es zu deinem aktiven Ziel.

Entwurf — Prüfung durch Anwalt nötig (Gesundheitsdaten, Rollenverteilung Studio/Plattform).

10a. Wochen-Check Ernährung

Wenn du Mahlzeiten und Körpergewicht regelmäßig einträgst, werten wir jeden Montag die vergangene Woche automatisch aus (Durchschnitt der Kalorien, Gewichtsverlauf) und senden dir eine Rückmeldung mit einem möglichen Vorschlag für ein angepasstes Kalorienziel. Es handelt sich um eine einfache Rechenregel, keine ärztliche oder ernährungsmedizinische Beratung, und es wird nichts ohne deine Zustimmung geändert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, bei Gesundheitsbezug Art. 9 Abs. 2 lit. a DSGVO.

10b. Mitglieder-Verzeichnis, Chat und Meldungen

Mitglieder und Trainer desselben Studios sehen sich in einem Verzeichnis mit Name, Profilbild, Kurzbeschreibung, Level, Punkten, Trainingsstatistik (z. B. Serie, Bestleistungen, Abzeichen) und Beitrittsdatum. Ernährung, Körpergewicht und Fotos sind dort nicht sichtbar. Du kannst private Nachrichten anderer Mitglieder in deinem Profil ausschalten, einzelne Mitglieder blockieren und Mitglieder melden; Meldungen sehen die Trainer deines Studios. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10c. Strava, Schritte und Push-Benachrichtigungen

Strava: Wenn du dein Strava-Konto verbindest, rufen wir über die Strava-Schnittstelle deine Aktivitäten ab (Art, Dauer, Distanz, Datum) und speichern die Zugangstoken verschlüsselt auf unserem Server. Die Verbindung kannst du jederzeit in den Einstellungen trennen. Strava (Strava, Inc., USA) verarbeitet Daten nach eigener Datenschutzerklärung. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Schritte: Wenn du den Schrittzähler im Browser aktivierst, nutzt die App den Bewegungssensor deines Geräts, solange die App geöffnet ist. Die Rohdaten des Sensors verlassen dein Gerät nicht; gespeichert wird nur die Tagessumme.

Push: Wenn du Benachrichtigungen erlaubst, speichern wir die technische Adresse deines Browsers bzw. Geräts (Push-Abonnement) und senden Mitteilungen über den Push-Dienst deines Browser- bzw. Betriebssystemanbieters (z. B. Google, Apple, Mozilla). Du kannst das jederzeit in den Einstellungen deines Browsers oder in der App widerrufen. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Entwurf — Prüfung durch Anwalt nötig.

10d. Bitcoin-Zahlung (Lightning) für Mitgliedschaften

Wenn dein Studio Bitcoin-Zahlung anbietet, hinterlegt das Studio eine Lightning-Adresse. Wenn du damit zahlst, rufen wir bei dieser Adresse bzw. deren Zahlungsdienst eine Rechnung (Invoice) über den fälligen Betrag ab und fragen den aktuellen Euro-Kurs bei mempool.space oder ersatzweise CoinGecko ab; dabei werden weder dein Name noch deine E-Mail-Adresse übermittelt. Gespeichert werden Betrag, Zeitpunkt, Status und die Zahlungsreferenz. Ob die Zahlung eingegangen ist, prüft die Adresse des Studios oder das Studio bestätigt sie manuell. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10e. Demo-Zugang

Die Startseite bietet einen Demo-Zugang ohne Registrierung. Dabei legen wir ein Test-Studio mit erfundenen Beispieldaten an und setzen ein technisch notwendiges Sitzungs-Cookie bzw. einen Sitzungs-Token; es werden keine personenbezogenen Daten verlangt. Zum Schutz vor Missbrauch wird die Anzahl der Demo-Starts pro IP-Adresse kurzzeitig im Arbeitsspeicher gezählt. Demo-Studios werden nach 24 Stunden automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 TDDDG.

10e-1. Anmeldung mit Nostr (optional)

Du kannst dich statt mit E-Mail und Passwort mit einem Nostr-Schlüssel anmelden oder registrieren. Dabei speichern wir deinen öffentlichen Nostr-Schlüssel (pubkey) zusammen mit deinem Konto, um dich bei der Anmeldung wiederzuerkennen. Dein privater Schlüssel verlässt dein Gerät nicht; wir erhalten nur eine einmalige Signatur über eine kurzlebige Zufallszeichenfolge. Nutzt du eine Signer-App oder einen Bunker (NIP-46), kommuniziert dein Browser dazu direkt mit einem Nostr-Relay, das dein Signer vorgibt; dabei werden technische Verbindungsdaten (z. B. deine IP-Adresse) an den Betreiber dieses Relays übertragen, auf den wir keinen Einfluss haben. Registrierst du dich nur mit Nostr, speichern wir keine E-Mail-Adresse. Beim ersten Anmelden oder Registrieren mit Nostr sowie auf Knopfdruck im Profil holt dein Browser dein öffentliches Nostr-Profil (Name, Beschreibung, Profilbild-Adresse) von mehreren öffentlichen Relays (z. B. relay.primal.net, relay.damus.io, nos.lol); dabei werden technische Verbindungsdaten wie deine IP-Adresse an die Relay-Betreiber übertragen. Wir übernehmen daraus Name, Beschreibung und Profilbild in dein Konto; das Bild lädt unser Server einmalig von der im Profil angegebenen Adresse und speichert es als dein Profilfoto. Du kannst alles jederzeit im Profil ändern. Du kannst die Verknüpfung jederzeit im Bereich „Profil & Passwort“ trennen. Konten ohne Passwort bestätigen das Löschen mit einer Nostr-Signatur. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. lit. a bei Nutzung eines externen Relays auf deinen Wunsch.

10f. Empfehlungsprogramm

Wenn du einen Empfehlungscode nutzt oder weitergibst, speichern wir die Zuordnung zwischen werbendem und geworbenem Mitglied bzw. Studio, um den Rabatt (50 % für einen Monat) zu gewähren. Die werbende Person sieht nur die Anzahl der Empfehlungen, nicht die Namen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Entwurf — Prüfung durch Anwalt nötig.

11. Schriftarten und externe Bilder

Die Schriftarten der Seiten werden von unserem eigenen Server geladen; dabei findet keine Verbindung zu Google statt. Die Startseite und die App zeigen Bilder von Unsplash (unsplash.com), zum Beispiel Rezeptfotos. Beim Laden dieser Bilder wird deine IP-Adresse an Unsplash übertragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (ansprechende Darstellung). Du kannst das durch einen Blocker für externe Inhalte in deinem Browser verhindern; die Seiten bleiben dann ohne diese Bilder nutzbar.

12. Speicherdauer und Löschung

Wir speichern deine Daten, solange dein Konto besteht. Du kannst dein Konto jederzeit selbst unter „Profil & Passwort → Konto löschen“ löschen; dabei werden deine Daten und hochgeladene Dateien entfernt. Studio-Betreiber können damit auch das gesamte Gym mit allen Mitgliedsdaten löschen. Daten, die wir aus steuer- und handelsrechtlichen Gründen aufbewahren müssen (z. B. Rechnungen), bleiben bis zum Ablauf der gesetzlichen Fristen gespeichert.

13. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Einen Datenexport erhältst du direkt unter „Profil & Passwort → Meine Daten herunterladen“. Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Wende dich dafür an info@bitfitgym.com.

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, z. B. beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

14. Sicherheit

Die Übertragung erfolgt verschlüsselt (HTTPS). Passwörter werden nur als Hash gespeichert. Wir passen unsere Maßnahmen laufend dem Stand der Technik an.

15. Änderungen

Wir passen diese Erklärung an, wenn sich die Plattform oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.