Datenschutzerklärung — School of Movement Community-App

Stand: 20. Oktober 2026 · Version: 2.3 · Gilt für: SoM Community-App (iOS, Android, Web)

Diese Datenschutzerklärung erklärt, welche personenbezogenen Daten in der SoM Community-App verarbeitet werden, wie und auf welcher Rechtsgrundlage. Sie ist nach den Vorgaben der EU-Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) und des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) erstellt — Stand 20. Oktober 2026.

Inhaltsverzeichnis

1. Verantwortlicher und Kontakt
2. Übersicht: Welche Daten wir verarbeiten
3. Zwecke der Verarbeitung und Rechtsgrundlagen
4. Empfänger und Auftragsverarbeiter
5. Drittlandtransfer
6. Push-Benachrichtigungen
7. Anmeldung und E-Mail-Versand
8. Absturz- und Fehlerberichte (Sentry)
9. Trainings-Log
10. Cookies und auf dem Gerät gespeicherte Daten
11. Speicherdauer
12. Deine Rechte
13. Account-Löschung in der App
14. Datensicherheit (TOMs)
15. Automatisierte Entscheidungsfindung
16. Erforderlichkeit der Datenbereitstellung
17. Minderjährige
18. Beschwerderecht bei der Aufsichtsbehörde
19. Änderungen dieser Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Nikolai Pawlas School of Movement Hohenesch 55 22765 Hamburg Deutschland

Allgemeine Fragen: info@schoolofmovement.hamburg Datenschutz, Behörden- und Beschwerde-Kontakt (Art. 11 / 12 DSA): legal@schoolofmovement.hamburg (Sprachen: Deutsch, Englisch)

School of Movement hat keinen Datenschutzbeauftragten bestellt, weil die gesetzlichen Schwellen (§ 38 BDSG, Art. 37 DSGVO) nicht überschritten werden. Datenschutz-Anfragen kannst Du direkt an die oben genannten Adressen richten.

2. Übersicht: Welche Daten wir verarbeiten

Im Rahmen Deiner Nutzung der App verarbeiten wir folgende personenbezogene Daten:

2.1 Pflichtdaten

• E-Mail-Adresse — zur Anmeldung. Du meldest Dich mit einem Anmelde-Link oder einem Code an, den wir Dir per E-Mail schicken; in der iPhone- und Android-App zusätzlich mit E-Mail-Adresse und Passwort.
• Passwort — nur wenn Du die Anmeldung mit Passwort nutzt. Es wird ausschließlich als Hash (nicht im Klartext) bei Supabase Auth gespeichert.
• Nutzer-ID (UUID) — interne, pseudonyme Kennung Deines Accounts, generiert von Supabase
• Beitrittslink — Dein Konto wird über einen persönlichen Beitrittslink angelegt, den Du von School of Movement erhältst. Dabei verarbeiten wir die E-Mail-Adresse, für die der Link ausgestellt wurde.

2.2 Freiwillige Profilangaben

• Vorname
• Profilbild (Avatar)
• Trainingsbeginn-Datum
• Kurze Bio
• Lieblingsdisziplin
• Anzeige-Einstellungen Deines Profils (welche Bereiche die App auf Deiner Profilseite anderen Mitgliedern anzeigt, siehe § 17 der Nutzungsbedingungen)

2.3 Inhalte, die Du erstellst

• Posts (Titel, Text, Bilder, Videos, Kategorie)
• Kommentare (Text, Bilder, Videos)
• Chat-Nachrichten (Text, Bilder, Videos, Sprachnachrichten)
• Reaktionen (Emoji-Reaktionen auf Posts/Kommentare/Nachrichten)
• Konversations- und Gruppen-Mitgliedschaften
• Teilnahmen an Challenges und Umfragen
• Meldungen von Inhalten und Deine Blockier-Liste (wen Du blockiert hast)

2.4 Optionales Trainings-Log

• Trainings-Sessions (Datum, Notizen, Tags)
• Übungen und Sätze (Wiederholungen, Gewicht, Dauer, Qualitäts-Bewertung)
• Trainings-Videos (optional)
• Diese Daten können Gesundheitsdaten im Sinne von Art. 9 DSGVO sein. Details in Abschnitt 9.

2.5 Mitgliedschaft und Kursbuchung

Wenn Du eine Studio-Mitgliedschaft über School of Movement abschließt oder Kurse buchst, verarbeiten wir in derselben Datenbank wie die App:

• Vertragsdaten — Name, E-Mail-Adresse, gewählter Tarif und Beitrag, Vertragsbeginn und -ende, Pausen, Kündigungen und Widerrufe, Zeitpunkt Deiner Zustimmung zu den Studio-AGB und zur Widerrufsbelehrung
• Zahlungsdaten — Kunden- und Mandatskennung bei unserem Geschäftskonto-Anbieter Qonto, Status des SEPA-Lastschriftmandats, fällige Beträge und Termine. Deine Bankverbindung (IBAN) gibst Du direkt bei Qonto ein, wenn Du das Mandat unterschreibst; wir speichern sie nicht in unserer Datenbank.
• Kursbuchungen — gebuchte Kurse und Termine, Warteliste, Stornierungen, Teilnahme, Zehnerkarten
• Diese Daten zeigen wir Dir in der App unter „Einstellungen → Mitgliedschaft“ und im Kursplan an, soweit diese Bereiche für Dich freigeschaltet sind.

2.6 Geräte- und technische Daten

• Push-Tokens (APNs-Token auf iOS, FCM-Token auf Android, Web-Push-Endpoint im Browser) — nur wenn Du Push-Benachrichtigungen erlaubst
• Push-Einstellungen (Vorschau zeigen, werbliche Benachrichtigungen)
• Onboarding- und Anzeige-Einstellungen (Theme, Chat-Hintergrund)
• Zeitstempel Deiner Aktivitäten (Profil-Update, Post-Erstellung, Last-Active-Stempel des Push-Tokens)
• Lokale Kopie Deiner Chats und Deines Trainings-Logs auf dem Gerät (iPhone- und Android-App), damit die App auch offline funktioniert (siehe Abschnitt 10)

2.7 Was wir nicht verarbeiten

• Keine Standortdaten (keine Geolocation-Abfrage in der App)
• Keine Kontaktdaten Deines Geräts
• Keine Werbe-Identifikatoren (auf Android wurde die AD_ID-Permission ausdrücklich entfernt; auf iOS verwendet die App keine IDFA)
• Keine Tracking-Cookies, keine Analytics-Tracker, kein Facebook-Pixel, kein Google Analytics, kein Plausible in der App
• Keine Werbenetzwerke, keine Datenweitergabe an Werbetreibende
• Keine Verkaufsdaten an Dritte
• Keine Anmeldung über Apple- oder Google-Konten (diese Anmeldewege wurden entfernt)

3. Zwecke der Verarbeitung und Rechtsgrundlagen

4. Empfänger und Auftragsverarbeiter

Für den Betrieb der App setzen wir folgende Dienstleister ein. Mit den Auftragsverarbeitern in 4.1 bis 4.6 bestehen Datenverarbeitungsverträge (DPAs) gemäß Art. 28 DSGVO. Für Resend, JourneyApps und Hetzner (4.7 bis 4.9) gelten die Auftragsverarbeitungsbedingungen der jeweiligen Anbieter. Alle Unterlagen sind auf Anfrage einsehbar.

4.1 Supabase Inc. — Datenbank, Authentifizierung, Storage, Realtime, Edge Functions

• Sitz: 970 Toa Payoh North, Singapur 318992 (Hauptsitz Supabase Inc., USA-Delaware)
• Server-Region für SoM: eu-central-1 (Frankfurt am Main, Deutschland)
• Verarbeitete Daten: Profil, Inhalte, Auth-Sessions, Passwort-Hashes, Storage-Dateien, Realtime-Verbindungen, Mitgliedschafts- und Kursbuchungsdaten
• Rechtsgrundlage Drittlandtransfer: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO, SCC 2021/914 Modul 2) + Datenresidenz in der EU. Supabase Inc. ist als US-Mutter dem CLOUD Act unterworfen; gegenüber US-Behörden bestehen technische Schutzmaßnahmen.
• Datenschutzerklärung: supabase.com/privacy · DPA: supabase.com/legal/dpa

4.2 Vercel Inc. — Hosting der Web-App

• Sitz: 440 N Baxter St, Los Angeles, CA 90012, USA
• Server-Regionen: Edge-Netzwerk, EU-Knoten für EU-Nutzer bevorzugt
• Verarbeitete Daten: HTTP-Anfragen, IP-Adresse (transient für Routing), Build-Output
• Rechtsgrundlage Drittlandtransfer: EU-US Data Privacy Framework (DPF) + ergänzend EU-Standardvertragsklauseln. Vercel ist aktiver DPF-Teilnehmer.
• Datenschutzerklärung: vercel.com/legal/privacy-policy

4.3 Functional Software Inc. d/b/a Sentry — Fehler- und Crash-Überwachung

• Sitz: 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA
• Server-Region für SoM: EU-Region (de.sentry.io, gehostet in Frankfurt am Main)
• Verarbeitete Daten: nur bei Absturz oder Fehler — Stack-Trace, App- und Systemversion, Gerätemodell, technische Spur der letzten App-Schritte ohne Netzwerk-Adressen; in der Web-App zusätzlich der Name der betroffenen Server-Aktion und der Anzeige-Modus (PWA/Browser). Keine Nutzerkennung, keine Performance-Messungen, keine Sitzungs- oder Bildschirmaufzeichnung
• Vor Übermittlung an Sentry werden Nutzerangaben und sicherheitsrelevante Angaben im Bericht automatisch entfernt; die bei der Übertragung technisch anfallende IP-Adresse speichert Sentry nicht; Löschung der Berichte nach 30 Tagen. Details in Abschnitt 8
• Rechtsgrundlage Drittlandtransfer: EU-US Data Privacy Framework (DPF) + EU-Standardvertragsklauseln. Functional Software Inc. ist aktiver DPF-Teilnehmer.
• Datenschutzerklärung: sentry.io/privacy · DPA: sentry.io/legal/dpa

4.4 BunnyWay d.o.o. (Bunny.net) — Video-Hosting und CDN

• Sitz: Cesta komandanta Staneta 4A, 1215 Medvode, Slowenien (EU)
• Verarbeitete Daten: Trainings-Videos, Post-Videos, Comment-Videos, Chat-Videos
• Drittlandtransfer: kein Transfer in Drittländer, da EU-Sitz und EU-Server
• Datenschutzerklärung: bunny.net/privacy · DPA: bunny.net/gdpr

4.5 Apple Push Notification Service (APNs) — iOS-Push

• Anbieter: Apple Distribution International Ltd., Hollyhill, Cork T23 YK84, Irland (EU-Counterpart) und Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA
• Verarbeitete Daten: APNs-Device-Token, IP-Adresse, technische Übertragungs-Metadaten, Push-Inhalt (Vorname des Absenders, bei Gruppen der Gruppenname, Nachrichtenanfang; bei Ankündigungen Titel und Anfang des Beitrags; bei Kursbuchungen Kurs und Termin; ohne Vorschau nur ein allgemeiner Hinweis)
• Rolle nach DSGVO: Apple positioniert APNs als eigene Verarbeitung; SoM stützt sich auf das Apple Developer Program License Agreement und ergänzendes Apple Data Transfer Agreement.
• Drittlandtransfer USA: Apple Inc. ist nicht im EU-US Data Privacy Framework gelistet. Übermittlung stützt sich auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Datenschutzerklärung: apple.com/legal/privacy

4.6 Google Firebase Cloud Messaging (FCM) — Android-Push

• Anbieter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland (EU-Counterpart) und Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA
• Verarbeitete Daten: FCM-Token, Firebase-Installation-ID, IP-Adresse, Push-Inhalt (Vorname des Absenders, bei Gruppen der Gruppenname, Nachrichtenanfang; bei Ankündigungen Titel und Anfang des Beitrags; bei Kursbuchungen Kurs und Termin; ohne Vorschau nur ein allgemeiner Hinweis)
• Rolle nach DSGVO: Google agiert als Auftragsverarbeiter nach Art. 28 DSGVO (Firebase Data Processing and Security Terms)
• Drittlandtransfer USA: EU-US Data Privacy Framework (DPF) + EU-Standardvertragsklauseln. Google LLC ist aktiver DPF-Teilnehmer.
• Datenschutzerklärung: firebase.google.com/support/privacy

4.7 Resend, Inc. — E-Mail-Versand

• Sitz: 2261 Market Street #5039, San Francisco, CA 94114, USA
• Verarbeitete Daten: Über Resend versenden wir alle E-Mails der App: Anmelde-Links und Anmelde-Codes, E-Mails rund um Deine Mitgliedschaft (Buchungsbestätigung, Vertragsunterlagen, Eingangsbestätigungen bei Kündigung oder Widerruf, Hinweise zur Umstellung bestehender Mitgliedschaften) sowie die interne Benachrichtigung an uns, wenn Du einen Inhalt meldest (Deine Nutzer-UUID, ID des gemeldeten Inhalts, Meldegrund, Freitext; ohne Deine E-Mail-Adresse). Resend verarbeitet dabei Empfängeradresse, Betreff und Inhalt der jeweiligen E-Mail.
• Rolle nach DSGVO: Auftragsverarbeiter (Art. 28 DSGVO)
• Drittlandtransfer USA: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
• Datenschutzerklärung: resend.com/legal/privacy-policy · DPA: resend.com/legal/dpa

4.8 Journey Mobile, Inc. (JourneyApps, PowerSync) — Synchronisation für Chat und Trainings-Log

• Sitz: USA
• Verarbeitete Daten: In der iPhone- und Android-App synchronisiert der Dienst PowerSync Deine Chats (Konversationen, Nachrichten, Mitglieder, Reaktionen, dazu Vorname, Profilbild und Rolle der Beteiligten) und Dein Trainings-Log (Sessions, Übungen, Sätze) zwischen Deinem Gerät und unserer Datenbank. Die PowerSync-Instanz hält dafür eine Kopie dieser Daten. Zur Zugriffsprüfung erhält der Dienst Deine Anmelde-Kennung (Token).
• Rolle nach DSGVO: Auftragsverarbeiter (Art. 28 DSGVO)
• Drittlandtransfer: Die Instanz läuft in der PowerSync-Cloud; eine Übermittlung in die USA ist möglich. Grundlage: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Datenschutzerklärung: powersync.com/legal/privacy-policy

4.9 Hetzner Online GmbH — Sicherungskopien der Datenbank

• Sitz: Industriestr. 25, 91710 Gunzenhausen, Deutschland; Speicherort: Rechenzentrum Falkenstein (Deutschland)
• Verarbeitete Daten: Einmal täglich legen wir eine vollständige Sicherungskopie unserer Datenbank (ohne Bild-, Video- und Audiodateien) verschlüsselt übertragen auf einer Hetzner Storage Box ab. Sie enthält alle in dieser Erklärung genannten Daten, die in der Datenbank liegen. Zugriff hat ausschließlich School of Movement; wir rufen Sicherungen nur zur Wiederherstellung nach einem Datenverlust ab.
• Rolle nach DSGVO: Auftragsverarbeiter (Art. 28 DSGVO)
• Drittlandtransfer: kein Transfer in Drittländer, da EU-Sitz und Rechenzentrum in Deutschland
• Datenschutzerklärung: hetzner.com/legal/privacy-policy

4.10 Qonto (Olinda SAS) — Geschäftskonto und SEPA-Lastschrift

• Anbieter: Olinda SAS, 18 rue de Navarin, 75009 Paris, Frankreich (EU), Zahlungsinstitut
• Verarbeitete Daten: Wenn Du eine Mitgliedschaft abschließt, legen wir Dich bei Qonto als Kunden an (Vor- und Nachname, E-Mail-Adresse) und erstellen ein SEPA-Lastschriftmandat, das Du auf einer Seite von Qonto unterschreibst; dort gibst Du Deine Bankverbindung ein. Qonto zieht die Beiträge ein und verarbeitet dafür Mandatsdaten, Beträge, Termine und Verwendungszweck.
• Rolle nach DSGVO: Qonto verarbeitet Zahlungsdaten als Zahlungsdienstleister in eigener Verantwortung; die Kunden- und Mandatskennungen speichern wir in unserer Datenbank.
• Drittlandtransfer: kein Transfer in Drittländer durch uns (EU-Sitz)
• Datenschutzerklärung: qonto.com/de/privacy-policy

4.11 GitHub Inc. — App-Site-Association-Hosting

• Anbieter: GitHub Inc., 88 Colin P Kelly Jr St, San Francisco, CA 94107, USA
• Verarbeitete Daten: statische apple-app-site-association.json und assetlinks.json (öffentliche Konfiguration, keine personenbezogenen Daten)
• Datenschutzerklärung: docs.github.com/site-policy/privacy-policies

5. Drittlandtransfer

Wann immer Daten in Länder außerhalb der EU/des EWR übermittelt werden, geschieht dies auf folgender Grundlage:

• USA — EU-US Data Privacy Framework (DPF): Vercel, Sentry, Google (FCM). Diese Anbieter haben sich selbst zertifiziert (zuletzt geprüft Mai 2026 — Bestätigung über dataprivacyframework.gov).
• USA — EU-Standardvertragsklauseln (SCC 2021/914 Modul 2): Supabase, Apple (APNs), Resend, JourneyApps (PowerSync). Diese Anbieter sind nicht oder nicht für alle relevanten Datenkategorien im DPF gelistet und stützen sich auf SCC.
• EU/EWR: Bunny.net (Slowenien), Hetzner (Deutschland), Qonto (Frankreich). Kein zusätzlicher Transfer-Mechanismus erforderlich.

Ergänzende Absicherung: Damit auch bei Änderungen der Rechtslage zum DPF ein angemessenes Schutzniveau besteht, sind bei den DPF-Anbietern zusätzlich die SCC vereinbart. Eine Kopie der Standardvertragsklauseln erhältst Du auf Anfrage an legal@schoolofmovement.hamburg kostenfrei. Restrisiken (z. B. CLOUD-Act-Zugriffe) reduzieren wir durch Datenminimierung, EU-Hosting, wo es möglich ist, und die Unterdrückung der IP-Speicherung bei Sentry.

6. Push-Benachrichtigungen

(1) Wenn Du in den System-Einstellungen Deines Geräts Push-Benachrichtigungen für die SoM-App zulässt, übermittelt Dein Gerät einen geräteindividuellen Push-Token an unseren Server. Wir nutzen diesen Token, um Dich über neue Chat-Nachrichten, Kommentare an Beiträgen, die Du geschrieben oder kommentiert hast, Reaktionen und Abstimmungen zu Deinen Beiträgen, Anmeldungen zu Deinen Terminen, Ankündigungen des Studios sowie Änderungen an Deinen Kursbuchungen und Deiner Mitgliedschaft zu informieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung), § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für die von Dir gewünschte Funktion). Du kannst die System-Berechtigung jederzeit in den Geräte-Einstellungen widerrufen.

(2) Werbliche Push-Benachrichtigungen — etwa Hinweise auf neue Kurse, Workshops oder Sonderaktionen — senden wir Dir nur, wenn Du einen separaten Schalter aktivierst: in der iPhone- und Android-App unter „Profil → Einstellungen → Push-Einstellungen → Werbliche Push-Benachrichtigungen“, in der Web-App unter „Profil → Einstellungen → Push → Werbliche Benachrichtigungen“ (Standard: aus). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO + § 7 UWG. Den Widerruf kannst Du jederzeit über denselben Schalter erklären.

(3) Push-Inhalt: In Push-Benachrichtigungen zu Chat-Nachrichten stehen der Vorname des Absenders, bei Gruppen zusätzlich der Gruppenname, und der Anfang der Nachricht (bis zu 150 Zeichen). Bei Kommentaren und Reaktionen steht der Vorname der Person im Push, bei Antworten auf Kommentare zusätzlich der Anfang der Antwort (bis zu 100 Zeichen). Bei Ankündigungen des Studios stehen der Titel und der Anfang des Beitrags (bis zu 150 Zeichen) im Push. Hinweise zu Deinen Kursbuchungen und Deiner Mitgliedschaft nennen den Kurs und den Termin bzw. den Zeitraum. Diese Texte laufen über die Push-Dienste von Apple (APNs) und Google (FCM) und sind dort für den Betreiber des jeweiligen Dienstes technisch einsehbar. Auf dem Sperrbildschirm kann der Text auch für Personen in Deiner Nähe sichtbar sein. In der iPhone- und Android-App kannst Du das unter „Push-Einstellungen → Vorschau zeigen“ abschalten; dann steht in Pushes, die eine andere Person auslöst, nur „Neue Nachricht“ bzw. „Neue Mitteilung“, ohne Namen und Inhalt. Hinweise zu Kursbuchungen und Mitgliedschaft bleiben davon unberührt. In der iPhone- und Android-App erhältst Du von Personen, die Du blockiert hast, keine Push-Benachrichtigungen. Beim Web-Push wird der Inhalt nach RFC 8291 (aes128gcm) Ende-zu-Ende verschlüsselt zum Browser-Push-Service übertragen.

(4) Speicherdauer der Push-Tokens: Dein Push-Token bleibt gespeichert, solange Dein Konto besteht und das Gerät registriert ist. Er wird entfernt, wenn Du Dich in der App abmeldest, wenn der Push-Dienst von Apple oder Google ihn als ungültig meldet (z. B. nach einer Neuinstallation) und spätestens bei der Löschung Deines Kontos. Schaltest Du Push-Benachrichtigungen in den Geräte-Einstellungen aus, werden an dieses Gerät keine Benachrichtigungen mehr zugestellt.

7. Anmeldung und E-Mail-Versand

(1) Dein Konto wird über einen persönlichen Beitrittslink angelegt, den Du von School of Movement erhältst. Eine freie Registrierung gibt es nicht.

(2) Zur Anmeldung schicken wir Dir auf Wunsch einen Anmelde-Link oder einen sechsstelligen Code an Deine E-Mail-Adresse. In der iPhone- und Android-App kannst Du Dich außerdem mit E-Mail-Adresse und Passwort anmelden. Die Anmeldung übernimmt Supabase Auth (Abschnitt 4.1); dort liegen Deine Sitzungen und, falls Du ein Passwort nutzt, dessen Hash.

(3) Alle E-Mails der App versenden wir über Resend (Abschnitt 4.7): Anmelde-Links und -Codes, E-Mails zu Deiner Mitgliedschaft (Buchungsbestätigung, Vertragsunterlagen, Eingangsbestätigungen bei Kündigung oder Widerruf) sowie Hinweise zur Umstellung bestehender Mitgliedschaften. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

(4) Eine Anmeldung über Apple- oder Google-Konten bietet die App nicht mehr an. Daten, die früher über diese Anmeldewege übermittelt wurden, verarbeiten wir nicht weiter.

8. Absturz- und Fehlerberichte (Sentry)

Damit die App stabil funktioniert, nutzen wir Sentry der Functional Software Inc. in der EU-Region (de.sentry.io, gehostet in Frankfurt). Stürzt die App ab, reagiert sie nicht mehr oder tritt ein technischer Fehler auf, sendet sie einen Fehlerbericht an Sentry. Sonst sendet sie nichts an Sentry: keine Performance-Messungen, keine Aufzeichnung Deiner Nutzung oder Sitzungen, keine Bildschirminhalte.

Inhalt eines Berichts: die technische Fehlerbeschreibung (Stack-Trace), die App- und Systemversion, das Gerätemodell und eine kurze technische Spur der letzten App-Schritte vor dem Fehler, ohne die Adressen von Netzwerk-Anfragen. In der Web-App kommen der Name der betroffenen Server-Aktion, der Anzeige-Modus (PWA oder Browser), Browser und Betriebssystem sowie bei manchen Fehlern die technische Kennung des betroffenen Inhalts (z. B. eines Beitrags oder Chats) hinzu; Kennungen in Seitenadressen werden unkenntlich gemacht. Eine Nutzerkennung oder Deine E-Mail-Adresse enthält der Bericht nicht: Die App entfernt diese Angaben sowie sicherheitsrelevante Daten (wie Anmelde-Schlüssel) schon vor dem Versand aus dem Bericht. Die bei der Übertragung technisch notwendige IP-Adresse speichert Sentry nicht, sondern verwirft sie sofort.

Speicherdauer: 30 Tage, danach löscht Sentry die Berichte automatisch.

Rechtsgrundlage: Für das Auslesen der technischen Angaben aus Deinem Gerät § 25 Abs. 2 Nr. 2 TDDDG: Absturz- und Fehlerberichte sind unbedingt erforderlich, damit wir Dir die App, die Du nutzt, fehlerfrei bereitstellen können. Für die weitere Verarbeitung Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein stabiler und sicherer Betrieb. Gegen die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO steht Dir ein Widerspruchsrecht nach Art. 21 DSGVO zu (formlos an legal@schoolofmovement.hamburg). Da die Berichte ohne Nutzerkennung und ohne gespeicherte IP-Adresse eingehen, können wir bereits übermittelte Berichte in der Regel keiner bestimmten Person zuordnen (Art. 11 Abs. 2 DSGVO). Eine Abschaltung auf Deinem Gerät ist in der App derzeit nicht vorgesehen.

9. Trainings-Log

(1) Das Trainings-Log ist freiwillig. Wenn Du es nutzt, kannst Du Trainings-Sessions, Übungen, Sätze, Wiederholungen, Belastungsempfinden und Notizen erfassen. Diese Daten können — sobald sie Bezüge zu Schmerzen, Beschwerden, Verletzungen oder gesundheitlichen Auswirkungen enthalten — als besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO (Gesundheitsdaten) gelten.

Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung). Du erteilst diese Einwilligung, indem Du das Trainings-Log nutzt und Dinge wie Schmerzen, Beschwerden oder Verletzungen aus freien Stücken in Notizen oder Übungen einträgst. Ohne solche Angaben verarbeiten wir aus dem Trainings-Log keine Gesundheitsdaten. Du kannst die Einwilligung jederzeit für die Zukunft widerrufen, indem Du entsprechende Einträge löschst, uns unter legal@schoolofmovement.hamburg schreibst oder Deinen Account löschst.

(2) Über Deine Trainings-Log-Daten bestimmst allein Du. School of Movement nutzt sie ausschließlich, um Dir die Anzeige, Auswertung und Trends Deiner Trainings zu ermöglichen. Wir geben sie nicht zu fremden oder werblichen Zwecken weiter und werten sie nicht kommerziell aus. Gespeichert und synchronisiert werden sie über unsere weisungsgebundenen technischen Dienstleister (Supabase, PowerSync, Hetzner, bei Videos Bunny.net, siehe Abschnitt 4), ausschließlich um Dir die Funktion bereitzustellen. Anonyme, nicht reidentifizierbare aggregierte Statistiken (z. B. „X % der Mitglieder trainieren wöchentlich“) darf School of Movement intern auswerten.

(3) Auf Deiner Profilseite zeigt die App anderen Mitgliedern Deine Trainings-Sessions standardmäßig nicht an. Du kannst das in den Anzeige-Einstellungen Deines Profils ändern (§ 17 der Nutzungsbedingungen).

10. Cookies und auf dem Gerät gespeicherte Daten

Die App speichert ausschließlich technisch notwendige Informationen auf Deinem Gerät:

• Auth-Session-Cookie (Web) bzw. Token im Keychain (iOS) / Tink-AEAD-verschlüsselter DataStore (Android)
• Eine lokale Datenbank mit Deinen Chats und Deinem Trainings-Log (iPhone- und Android-App, über PowerSync), damit die App offline funktioniert und schnell lädt; sie wird beim Abmelden gelöscht
• Onboarding-Fortschritt
• Theme- und UI-Einstellungen
• Absturz- und Fehlerberichte, die noch nicht gesendet werden konnten, bis zum nächsten erfolgreichen Versand an Sentry (Abschnitt 8)

Diese Speicherung ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, da sie für die Bereitstellung des von Dir ausdrücklich gewünschten Dienstes unbedingt erforderlich ist.

Es werden keine Marketing-, Analyse- oder Werbe-Cookies gesetzt. Ein Cookie-Banner ist daher nicht erforderlich.

11. Speicherdauer

12. Deine Rechte

Du hast nach der DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO): Auskunft über alle bei uns gespeicherten personenbezogenen Daten.
• Berichtigung (Art. 16 DSGVO): Berichtigung unrichtiger oder unvollständiger Daten.
• Löschung (Art. 17 DSGVO): Löschung Deiner personenbezogenen Daten. Den einfachsten Weg findest Du in Abschnitt 13 (In-App-Löschung).
• Einschränkung der Verarbeitung (Art. 18 DSGVO): unter den dort genannten Voraussetzungen.
• Datenübertragbarkeit (Art. 20 DSGVO): Kopie Deiner Daten in maschinenlesbarem Format. In der Web-App unter „Profil → Einstellungen → Daten → Meine Daten herunterladen“ (JSON-Datei mit Profil, Beiträgen, Kommentaren, Nachrichten, Trainings-Log und Challenge-Teilnahmen, ohne Mediendateien). Eine Kopie Deiner selbst hochgeladenen Mediendateien (Fotos, Videos, Sprachnachrichten) stellen wir Dir auf Anfrage an legal@schoolofmovement.hamburg gesondert bereit. In der iPhone- und Android-App schreibst Du uns dazu eine E-Mail an legal@schoolofmovement.hamburg; wir stellen Dir die Daten innerhalb der Frist von einem Monat (Art. 12 Abs. 3 DSGVO) zur Verfügung.
• Widerspruch (Art. 21 DSGVO): gegen Verarbeitungen, die auf berechtigtes Interesse gestützt sind (z. B. Sentry-Fehlerberichte).
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): für jede einwilligungsbasierte Verarbeitung (werbliche Push-Benachrichtigungen, Gesundheitsdaten im Trainings-Log).

Anlauf für alle Rechte: legal@schoolofmovement.hamburg. Wir antworten innerhalb der Frist von einem Monat (Art. 12 Abs. 3 DSGVO).

13. Account-Löschung in der App

Du kannst Deinen Account selbst löschen:

In der App: Profil → Einstellungen → „Konto löschen“ (iPhone, Android und Web). Nach einer Bestätigungs-Abfrage werden Profil, Beiträge, Kommentare, Reaktionen, Chat-Nachrichten, Trainings-Daten, Bilder, Sprachnachrichten, Kursbuchungen und Push-Tokens unwiderruflich aus unserer Datenbank und unserem Speicher gelöscht. Deine Nachrichten verschwinden dabei auch aus den Chats anderer Mitglieder. Deine bei Bunny.net gespeicherten Videos beauftragen wir bei der Kontolöschung zur Löschung. Eine Anonymisierung anstelle der Löschung bieten wir derzeit nicht an.

Über das Web (ohne installierte App): community.schoolofmovement.hamburg/account-loeschen — Anleitung und E-Mail-Weg zur Löschung.

Per E-Mail: info@schoolofmovement.hamburg mit dem Betreff „Account-Löschung“.

Was bestehen bleibt: Eine laufende Studio-Mitgliedschaft endet durch die Account-Löschung nicht (zwei getrennte Verträge, § 14 und § 18 der Nutzungsbedingungen). Vertrags- und Zahlungsunterlagen zu Deiner Mitgliedschaft bewahren wir für die gesetzlichen Fristen auf (Abschnitt 11). Nach der Löschung können Kopien Deiner Daten in Sicherungen fortbestehen (Abschnitt 11, Zeile „Sicherungskopien“); sie werden nicht mehr abgerufen, außer zur Wiederherstellung nach einem Datenverlust.

14. Datensicherheit (TOMs)

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO:

• Verschlüsselung im Transit: TLS 1.2+ für alle Verbindungen (App ↔ Supabase, ↔ PowerSync, ↔ Bunny, ↔ Sentry, ↔ APNs/FCM), SSH für Sicherungskopien zu Hetzner
• Verschlüsselung at-rest: AES-256 (Supabase + Bunny.net Standard)
• Token-Schutz auf dem Gerät: iOS Keychain mit eigenem Service-Namen; Android AndroidX DataStore + Tink AEAD
• Web-Push-Verschlüsselung: aes128gcm gemäß RFC 8188/8291 (Ende-zu-Ende)
• Web-Sicherheits-Header: HSTS, Content-Security-Policy, Permissions-Policy
• Zugriffskontrolle: Supabase Row Level Security (RLS) für alle Tabellen; Medien in privaten Storage-Buckets, Chat-Medien nur für Mitglieder der jeweiligen Konversation
• Sicherungen: tägliche Sicherungen bei Supabase und zusätzlich eine tägliche Sicherungskopie der Datenbank auf einer Hetzner Storage Box in Deutschland
• Datenpannen: Meldung an den HmbBfDI innerhalb von 72 Stunden (Art. 33 DSGVO) und Information der Betroffenen, wenn ein hohes Risiko besteht (Art. 34 DSGVO)
• Pseudonymisierung: UUID statt Klarnamen in Logs; Unterdrückung der IP-Speicherung bei Sentry
• Zugriff: ausschließlich Nikolai Pawlas hat Vollzugriff auf die Datenbank; weitere Lehrerinnen und Lehrer von School of Movement haben keinen technischen Admin-Zugriff auf die App-Datenbank

15. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Alle Entscheidungen, die Dich betreffen (z. B. Inhaltsmoderation nach § 8 AGB, Entscheidungen zu Deiner Mitgliedschaft), trifft Nikolai Pawlas persönlich. Automatische Abläufe wie Wartelisten-Nachrücken oder fällige Lastschriften setzen nur um, was Du gebucht oder vertraglich vereinbart hast.

16. Erforderlichkeit der Datenbereitstellung

Die Bereitstellung Deiner E-Mail-Adresse ist für die Nutzung der App erforderlich, da sie zur Anmeldung dient. Ein Konto wird nur über einen persönlichen Beitrittslink von School of Movement angelegt. Für eine Studio-Mitgliedschaft sind zusätzlich Name, E-Mail-Adresse und ein SEPA-Lastschriftmandat erforderlich.

Alle weiteren Angaben (Vorname, Profilbild, Trainingsbeginn, Bio, Trainings-Log, Challenge-Teilnahmen, Push-Erlaubnis) sind freiwillig. Die Nichtbereitstellung hat keine Auswirkung auf die grundlegende Nutzung der App, kann aber den Funktionsumfang einschränken (z. B. ohne Push-Erlaubnis keine Echtzeit-Benachrichtigungen).

17. Minderjährige

Die Nutzung der App ist erst ab 16 Jahren zulässig (§ 3 AGB). Wir verarbeiten bewusst keine Daten von Personen unter 16 Jahren. Sollten wir Kenntnis davon erhalten, dass dennoch ein Konto einer Person unter 16 Jahren besteht, löschen wir das Konto und die zugehörigen Daten unverzüglich.

18. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs hast Du das Recht, Beschwerde bei einer Aufsichtsbehörde einzureichen. Zuständig für uns ist:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Ludwig-Erhard-Str. 22, 7. OG 20459 Hamburg Telefon: +49 40 428 54-4040 E-Mail: mailbox@datenschutz.hamburg.de Web: datenschutz-hamburg.de

Du kannst auch jede andere EU-Aufsichtsbehörde Deines Wohnsitzes oder Arbeitsplatzes anrufen.

19. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen — etwa bei Änderungen an der App, neuen Subprozessoren oder neuen rechtlichen Anforderungen. Die jeweils aktuelle Fassung findest Du stets unter community.schoolofmovement.hamburg/datenschutz.

Bei wesentlichen Änderungen (z. B. neue Datenkategorien, neue Auftragsverarbeiter, neue Verarbeitungszwecke) informieren wir Dich zusätzlich per E-Mail oder In-App-Hinweis.

Versionshistorie:

• Version 2.3 (20. Oktober 2026): Absturz- und Fehlerberichte auf das Nötigste beschränkt und neu begründet (§ 25 Abs. 2 Nr. 2 TDDDG, ohne Performance-Messung, Nutzerkennung und Netzwerk-Adressen, 30 Tage); Sicherungskopien bei Hetzner 30 Tage; Weitergabe beim Trainings-Log klarer beschrieben; Medien-Kopie auf Anfrage; Sprachen der DSA-Kontaktstelle; Kopie der Standardvertragsklauseln auf Anfrage
• Version 2.2 (19. Oktober 2026): Text an die tatsächlichen Abläufe angeglichen — Push-Inhalt und Vorschau-Schalter, Sentry-Umfang ohne App-Schalter, Push-Token-Speicherdauer ohne Löschfrist, Datenexport nur in der Web-App, Löschung statt Anonymisierung, Einwilligung im Trainings-Log, Profil-Anzeige-Einstellungen; neue Dienstleister Resend, PowerSync (JourneyApps), Hetzner (Sicherungskopien) und Qonto (SEPA-Lastschrift); Mitgliedschaft und Kursbuchung ergänzt; Anmeldung über Apple- und Google-Konten entfernt; Mindestalter 16 als Nutzungsvoraussetzung klargestellt
• Version 2.1 (Oktober 2026): KI-Trainings-Parser (Mistral AI) entfernt, die Funktion gibt es nicht mehr
• Version 2.0 (Mai 2026): Welle-4-Launch-Aktualisierung — Mistral AI ergänzt, APNs/FCM/Sign-in-with-Apple/Google-Sign-in ergänzt, Sentry-Region auf EU korrigiert, DSA-Kontaktstelle ergänzt
• Version 1.0 (März 2026): Initiale Fassung Web-PWA

Stand: 20. Oktober 2026 (Version 2.3).