Datenschutzerklärung

1) Verantwortlicher und Kontaktdaten

1.1 Verantwortlicher für die Datenverarbeitung auf dieser Website und in der FITprofil App im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

KRS Media UG (haftungsbeschränkt)
Kolonnen Str. 8
10827 Berlin, Deutschland
E-Mail: rk@krs-media.de

1.2 Wir freuen uns, dass Sie unsere Website besuchen und bedanken uns für Ihr Interesse. Im Folgenden informieren wir Sie über den Umgang mit Ihren personenbezogenen Daten bei Nutzung unserer Website und App. Personenbezogene Daten sind hierbei alle Daten, mit denen Sie persönlich identifiziert werden können.

1.3 Diese Website nutzt aus Sicherheitsgründen und zum Schutz der Übertragung personenbezogener Daten und anderer vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Sie können eine verschlüsselte Verbindung an der Zeichenfolge "https://" und dem Schloss-Symbol in Ihrer Browserzeile erkennen.

2) Hosting

Unsere Website wird bei Firebase Hosting (Google Cloud) gehostet. Anbieter ist die Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Beim Aufruf unserer Website werden automatisch Informationen (Server-Logfiles) durch den Hostinganbieter erfasst. Hierzu zählen:

• Besuchte Website und aufgerufene Dateien
• Datum und Uhrzeit des Zugriffs
• Menge der gesendeten Daten in Byte
• Quelle/Verweis, von welchem Sie auf die Seite gelangten
• Verwendeter Browser und Betriebssystem
• Verwendete IP-Adresse (ggf. in anonymisierter Form)

Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. f DSGVO auf Basis unseres berechtigten Interesses an der sicheren und effizienten Bereitstellung unserer Website. Die Server-Logfiles werden nach 14 Tagen automatisch gelöscht.

Mit Google Ireland Limited besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Google verarbeitet Daten unter anderem in den USA. Die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Frameworks (DPF). Weitere Informationen finden Sie in der Firebase-Datenschutzerklärung.

3) Cookies und Einwilligungsmanagement

3.1 Technisch notwendige Cookies: Wir verwenden technisch notwendige Cookies, die für den Betrieb der Website erforderlich sind (z. B. Warenkorb, Anmeldestatus). Diese Cookies werden auf Grundlage von § 25 Abs. 2 TTDSG i.V.m. Art. 6 Abs. 1 lit. f DSGVO gesetzt und erfordern keine Einwilligung.

3.2 Einwilligungspflichtige Cookies: Cookies, die nicht technisch notwendig sind (z. B. Analyse-Cookies von Google Analytics), werden nur mit Ihrer ausdrücklichen Einwilligung gemäß § 25 Abs. 1 TTDSG i.V.m. Art. 6 Abs. 1 lit. a DSGVO gesetzt. Beim erstmaligen Besuch unserer Website werden Sie über einen Cookie-Banner über die verwendeten Cookies informiert und um Ihre Einwilligung gebeten.

3.3 Die Einwilligung wird im Local Storage Ihres Browsers gespeichert (fitprofil_cookie_consent). Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen auf unserer Website widerrufen. Zudem können Sie Ihren Browser so einstellen, dass Sie über das Setzen von Cookies informiert werden und einzeln über deren Annahme entscheiden können.

4) Kontaktaufnahme

4.1 Kontaktformular: Wenn Sie unser Kontaktformular nutzen, werden die von Ihnen eingegebenen Daten (Name, E-Mail-Adresse, Betreff, Nachricht) zum Zweck der Bearbeitung Ihrer Anfrage an unsere E-Mail-Adresse rk@krs-media.de weitergeleitet. Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfrage) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

4.2 E-Mail-Kontakt: Bei Kontaktaufnahme per E-Mail werden die von Ihnen übermittelten personenbezogenen Daten (Name, E-Mail-Adresse, Inhalt der Anfrage) ausschließlich zur Bearbeitung Ihres Anliegens verarbeitet.

4.3 Speicherdauer: Ihre Kontaktdaten werden nach vollständiger Bearbeitung Ihres Anliegens gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten (z. B. handels- oder steuerrechtliche Aufbewahrungsfristen von bis zu 10 Jahren) entgegenstehen.

4.4 E-Mail-Versand: Für den Versand von E-Mails (Kontaktformular, Bestellbestätigungen, Verifizierungscodes) nutzen wir den SMTP-Dienst von Zoho Corporation (Estrada de Paço de Arcos 66-A, 2735-317 Oeiras, Portugal). Zoho verarbeitet Daten als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO. Die Verarbeitung erfolgt auf EU-Servern.

5) Newsletter

5.1 Sie haben die Möglichkeit, auf unserer Website unseren Newsletter zu abonnieren. Hierfür benötigen wir Ihre E-Mail-Adresse. Die Anmeldung erfolgt auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

5.2 Ihre E-Mail-Adresse wird ausschließlich für den Versand des Newsletters und die Verwaltung Ihres Abonnements verwendet. Wir speichern zudem den Zeitpunkt der Anmeldung und die Quelle (z. B. Footer, Blog) zu Nachweiszwecken. Der Versand der E-Mails erfolgt über den SMTP-Dienst von Zoho (siehe Abschnitt 4.4).

5.2a Interne Verwaltung (Google Sheets): Zur internen Verwaltung der Anmeldungen übertragen wir Ihre E-Mail-Adresse, den Anmeldezeitpunkt und die Quelle in eine von uns geführte Google-Tabelle (Google Sheets, Google Ireland Limited). Mit Google besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO; eine etwaige Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Frameworks. Eine Weitergabe zu Werbezwecken Dritter erfolgt nicht.

5.3 Abmeldung: Sie können Ihre Einwilligung jederzeit widerrufen und den Newsletter über den Abmeldelink in jeder Newsletter-E-Mail oder per E-Mail an rk@krs-media.de abbestellen. Nach Abmeldung wird Ihre E-Mail-Adresse unverzüglich gelöscht.

5a) Selbstcheck und Gesundheits-Quiz

5a.1 Auf einigen Seiten unserer Website (z. B. Blog-Artikel und Selbstcheck-Landingpages) bieten wir kurze Selbstchecks ("Quiz") an. Die Beantwortung der Fragen selbst ist ohne Angabe personenbezogener Daten möglich. Erst wenn Sie Ihre Auswertung per E-Mail anfordern, erheben wir folgende Daten: Ihre E-Mail-Adresse, Ihre Quiz-Antworten und das daraus berechnete Ergebnis sowie technische Meta-Daten (Quelle der Einsendung, Kampagnen-Parameter, Browser-Kennung).

5a.2 Zweck und Rechtsgrundlage: Wir verarbeiten diese Daten, um Ihnen die angeforderte Auswertung per E-Mail zuzusenden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung der von Ihnen angeforderten Leistung). Sofern Sie zusätzlich den Newsletter abonnieren (separates Opt-in-Häkchen), gilt hierfür Abschnitt 5.

5a.3 Speicherung und Empfänger: Die Einsendungen werden in Cloud Firestore auf EU-Servern (Region europe-west10, Berlin) gespeichert. Der E-Mail-Versand erfolgt über den SMTP-Dienst von Zoho (siehe Abschnitt 4.4). Zur internen Verwaltung und Auswertung der Einsendungen werden die Daten zudem in eine von uns geführte Google-Tabelle (Google Sheets, Google Ireland Limited) übertragen. Mit Google besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO; eine etwaige Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Frameworks.

5a.4 Werbe-Messung nur mit Einwilligung: Nur wenn Sie zuvor in die Kategorie "Marketing" im Cookie-Banner eingewilligt haben (siehe Abschnitt 7a), übermitteln wir beim Absenden des Quiz-Formulars zusätzlich ein Lead-Ereignis an Meta (Meta Conversions API). Ohne Marketing-Einwilligung erfolgt keine Übermittlung an Meta.

5a.5 Löschung: Sie können jederzeit die Löschung Ihrer Quiz-Einsendung per E-Mail an rk@krs-media.de verlangen.

5b) Täglicher Check-in in der App

5b.1 In der FITprofil-App können Sie einmal täglich angeben, wie es Ihnen geht ("gut", "geht so", "nicht gut"), welche Beschwerden Sie bemerken (z. B. Rücken, Schlaf, Erschöpfung) und wie stark diese sind. Zusätzlich können Sie eine kurze Notiz von höchstens 140 Zeichen hinterlegen. Diese Angaben sind Gesundheitsdaten im Sinne von Art. 9 DSGVO. Die Nutzung des Check-ins ist freiwillig; die App funktioniert auch ohne ihn.

5b.2 Zweck und Rechtsgrundlage: Wir verarbeiten diese Angaben ausschließlich, um Ihre Tagesempfehlung in der App auszuwählen und Ihnen Ihre eigenen Einträge anzuzeigen, auch als einfache Wochenübersicht (Anzahl der Tage mit Eintrag und Verteilung Ihres Befindens). Rechtsgrundlage ist Ihre ausdrückliche Einwilligung gemäß Art. 6 Abs. 1 lit. a in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO, die Sie vor dem ersten Eintrag in der App erteilen. Eine Auswertung zu Werbezwecken findet nicht statt.

5b.3 Speicherung und Empfänger: Die Einträge werden in Ihrem Nutzerkonto in Cloud Firestore auf EU-Servern (Region europe-west10, Berlin) gespeichert. Eine Weitergabe an Dritte, insbesondere an Meta oder andere Werbepartner, erfolgt nicht.

5b.4 Widerruf und Löschung: Sie können Ihre Einwilligung jederzeit in der App unter Konto → Einstellungen widerrufen. Mit dem Widerruf werden alle Ihre Check-in-Einträge gelöscht. Unabhängig davon werden die Einträge gelöscht, wenn Sie Ihr Konto löschen.

6) Bestellungen und Zahlungsabwicklung

6.1 Bei der Bestellung erheben und verarbeiten wir Ihre personenbezogenen Daten (Name, E-Mail-Adresse, Telefonnummer, Lieferanschrift, Zahlungsdaten) nur, soweit dies zur Erfüllung und Abwicklung Ihrer Bestellung erforderlich ist. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

6.2 Speicherdauer: Bestelldaten werden für die Dauer der gesetzlichen Aufbewahrungsfristen gespeichert (handelsrechtlich: 6 Jahre, steuerrechtlich: 10 Jahre gemäß §§ 147 AO, 257 HGB) und anschließend gelöscht, sofern keine weiteren Aufbewahrungspflichten bestehen.

Zahlungsdienstleister: Stripe

Für die Zahlungsabwicklung nutzen wir den Zahlungsdienstleister Stripe Payments Europe Limited (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland).

Im Rahmen der Zahlungsabwicklung werden folgende Daten an Stripe übermittelt: Name des Karteninhabers, E-Mail-Adresse, Telefonnummer und Lieferanschrift (beim Kauf über den Stripe-Bezahllink, für Rückfragen zur Lieferung), Bestellnummer, Kreditkartendaten (Kartennummer, Gültigkeitsdauer, Prüfnummer), Transaktionsbetrag sowie Datum und Uhrzeit der Transaktion. Die Übermittlung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Stripe ist Teilnehmer des EU-US Data Privacy Frameworks (DPF) und verarbeitet Daten unter Einhaltung der EU-Standardvertragsklauseln. Weitere Informationen zum Datenschutz bei Stripe finden Sie unter https://stripe.com/de/privacy.

Versanddienstleister

Bei Warenlieferungen geben wir Ihre Lieferanschrift und ggf. E-Mail-Adresse (für Sendungsbenachrichtigungen) an den Versanddienstleister DHL weiter. Die Weitergabe erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

6a) Vorbestellung Familienfenster

6a.1 Zweck und Rechtsgrundlage: Über das Formular auf der Seite Familienfenster können Sie das Familienfenster unverbindlich vorbestellen. Wir verarbeiten Ihre Angaben, um die Vorbestellung entgegenzunehmen und die Einrichtung des Geräts mit Ihnen abzustimmen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf Ihre Anfrage).

6a.2 Daten: Tarifwunsch, Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Lieferadresse und, falls vorhanden, die Kampagnenkennung des Links, über den Sie zu uns gekommen sind.

6a.3 Speicherung und Empfänger: Die Vorbestellung wird in Cloud Firestore (Google Cloud, Region europe-west10, Berlin) gespeichert. Die Bestätigungsmail an Sie und die interne Meldung an uns versenden wir über Zoho Mail. Weitere Empfänger gibt es nicht.

6a.4 Speicherdauer: Folgt auf die Vorbestellung kein Vertrag, löschen wir Ihre Angaben spätestens 90 Tage nach der Vorbestellung. Kommt ein Vertrag zustande, werden die Angaben mit der Bestellung nach Abschnitt 6 weiterverarbeitet.

6a.5 Ihre Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit, Beschwerde bei einer Aufsichtsbehörde) gelten wie in dieser Erklärung beschrieben.

7) Webanalysedienste

7.1 Keine einwilligungsfreie Reichweitenmessung: Ohne Ihre Einwilligung setzen wir keinerlei Analyse- oder Werbedienste ein. Es wird dann weder ein Analyse-Skript geladen noch ein Besuchs- oder Wiedererkennungsmerkmal gebildet. Ausgewertet werden in diesem Fall ausschließlich die technisch anfallenden Server-Logfiles nach Abschnitt 2. Die zuvor eingesetzte cookielose Reichweitenmessung haben wir im August 2026 ersatzlos eingestellt.

7.2 Google Analytics 4
Wir verwenden auf unserer Website den Webanalysedienst Google Analytics 4 der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland; "Google"). Mess-ID: G-KJHP3NB4WZ.

Google Analytics verwendet Cookies und vergleichbare Technologien, die eine Analyse der Benutzung der Website ermöglichen. Die erzeugten Informationen werden in der Regel an einen Server von Google übertragen und dort gespeichert.

Rechtsgrundlage: Die Nutzung von Google Analytics erfolgt ausschließlich mit Ihrer Einwilligung auf Grundlage des § 25 Abs. 1 S. 1 TTDSG i.V.m. Art. 6 Abs. 1 lit. a DSGVO. Ohne Ihre Einwilligung (über den Cookie-Banner) wird Google Analytics nicht geladen.

Widerruf: Sie können die Einwilligung jederzeit widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird. Den Widerruf können Sie jederzeit unter Cookie-Einstellungen vornehmen. Ohne Ihre Einwilligung wird Google Analytics nicht geladen — es findet dann keine Datenübertragung an Google statt.

Drittlandtransfer: Google ist Teilnehmer des EU-US Data Privacy Frameworks. Weitere Informationen finden Sie unter https://policies.google.com/technologies/partner-sites.

Speicherdauer: Die von Google Analytics gesetzten Cookies werden für maximal 14 Monate gespeichert und anschließend automatisch gelöscht.

7a) Werbepixel und Remarketing (Meta Pixel)

Wir verwenden auf unserer Website den Meta Pixel (auch "Facebook Pixel") der Meta Platforms Ireland Limited (Merrion Road, Dublin 4, D04 X2K5, Irland; "Meta"). Pixel-ID: 201036586091797.

Zweck der Verarbeitung: Der Meta Pixel erfasst das Nutzungsverhalten auf unserer Website, um (1) die Wirksamkeit unserer Werbeanzeigen auf Facebook und Instagram zu messen (Conversion-Tracking), (2) Nutzer gezielt mit passenden Inhalten anzusprechen (Remarketing), (3) sogenannte Custom Audiences und Lookalike Audiences für zukünftige Kampagnen zu bilden und (4) die Auslieferung unserer Anzeigen durch Meta zu optimieren.

Erfasste Daten: IP-Adresse, Browser- und Geräteinformationen, Referrer-URL, besuchte Seiten sowie folgende Event-Daten: Seitenaufruf (PageView), Produktansicht (ViewContent), Hinzufügen zum Warenkorb (AddToCart), Kaufabschluss mit Bestellwert und Bestellpositionen (Purchase), Lead-Generierung bei Newsletter-Anmeldung, Kontaktformular und Quiz-Einsendung (Lead).

Kein automatisch erweiterter Abgleich (Advanced Matching): Wir haben die Funktion "Automatischer erweiterter Abgleich" in den Meta-Pixel-Einstellungen deaktiviert. Der Pixel liest somit keine Formularfelder (z. B. Ihre E-Mail-Adresse oder Telefonnummer) aus, bevor Sie ein Formular abgeschickt haben.

Meta Conversions API (serverseitige Übermittlung): Zusätzlich zum Browser-Pixel übermitteln wir bei bestimmten Ereignissen (Lead-Generierung bei Newsletter-Anmeldung und Quiz-Einsendung, Kaufabschluss) Ereignisdaten serverseitig über die Meta Conversions API an Meta. Dabei werden Ihre E-Mail-Adresse ausschließlich in SHA-256-gehashter (pseudonymisierter) Form sowie IP-Adresse, Browser-Kennung und ggf. die Meta-Cookie-IDs (_fbp, _fbc) übermittelt. Browser- und Server-Ereignis tragen dieselbe Ereignis-ID, sodass Meta doppelt erfasste Ereignisse zusammenführt (Deduplizierung). Auch diese serverseitige Übermittlung erfolgt ausschließlich mit Ihrer Marketing-Einwilligung; ohne Einwilligung wird kein Server-Ereignis gesendet.

Rechtsgrundlage: Die Nutzung des Meta Pixel erfolgt ausschließlich mit Ihrer ausdrücklichen Einwilligung (Kategorie "Marketing" im Cookie-Banner) auf Grundlage von § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO. Ohne Ihre Einwilligung wird der Pixel-Code nicht geladen und es werden keine Daten an Meta übertragen.

Gemeinsame Verantwortlichkeit (Art. 26 DSGVO): Für die Erhebung der Daten durch den Pixel und deren Übermittlung an Meta sind wir und Meta Platforms Ireland Limited gemeinsam Verantwortliche. Die Vereinbarung zur gemeinsamen Verantwortlichkeit regelt, dass Meta die Verantwortung für alle Informations- und Betroffenenrechte nach Erhalt der Daten trägt. Die Vereinbarung können Sie unter https://www.facebook.com/legal/controller_addendum einsehen.

Drittlandtransfer: Daten werden von Meta auch in den USA verarbeitet. Meta Platforms, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert. Zusätzlich hat Meta EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO implementiert.

Speicherdauer: Die vom Meta Pixel erhobenen Event-Daten werden von Meta standardmäßig bis zu 2 Jahre nach dem letzten Nutzerkontakt gespeichert. Für die Lokale Speicherung der Pixel-Cookies (_fbp, _fbc) gilt eine Lebensdauer von 90 Tagen.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Den Widerruf können Sie über Cookie-Einstellungen vornehmen. Nach Widerruf wird der Meta Pixel nicht mehr ausgeführt und die Seite neu geladen, damit keine weiteren Daten übertragen werden.

Weitere Informationen zum Datenschutz bei Meta: https://www.facebook.com/privacy/policy sowie Meta Business Help — Informationen zum Pixel.

8) Cloud-Dienste und Auftragsverarbeitung

8.1 Firebase (Google Cloud): Wir nutzen verschiedene Dienste von Firebase/Google Cloud für den Betrieb unserer Website und App, darunter Firebase Authentication (Anmeldung), Cloud Firestore (Datenspeicherung), Cloud Functions (serverseitige Verarbeitung) und Firebase Storage (Dateispeicherung). Anbieter ist die Google Ireland Limited.

Alle Daten werden auf Servern in der EU gespeichert (Cloud Firestore: Region europe-west10, Berlin; Cloud Functions: Region europe-west1, Belgien; Firebase Storage: EU). Mit Google Ireland Limited besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und zuverlässigen Infrastruktur).

8.2 Drittlandtransfer: Google kann im Rahmen von Wartungs- und Supportarbeiten auf Daten aus den USA zugreifen. Die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Frameworks (DPF) sowie der EU-Standardvertragsklauseln.

9) Gesundheitsdaten (FITprofil App und Band)

9.1 Im Rahmen der Nutzung der FITprofil App erheben wir Gesundheitsdaten aus dem FITprofil Band oder, wenn Sie die Verbindung in der App einrichten, aus Apple Health (iOS) bzw. Health Connect (Android). Vom Band sind das: Herzfrequenz, Herzratenvariabilität (HRV), Blutsauerstoffsättigung (SpO2), Hauttemperatur, Schlafphasen und -dauer, Schritte und Aktivitätsdaten sowie Stresslevel. Aus Apple Health bzw. Health Connect lesen wir Schritte, Schlaf, Herzfrequenz und HRV. Diese Daten stellen besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO dar.

9.2 Rechtsgrundlage: Die Verarbeitung erfolgt ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO. Die App fragt diese Einwilligung vor dem ersten Speichern von Körperdaten ab, bei bestehenden Konten beim ersten Start nach dem Update, und erneut, wenn sich der Einwilligungstext ändert. Ohne Einwilligung werden keine Körperdaten in Ihrem Konto gespeichert; die App zeigt dann nur die aktuellen Werte auf Ihrem Gerät. Wer sich mit demselben Konto anmeldet, sieht die gespeicherten Daten.

9.3 Zweck: Die Daten werden ausschließlich verwendet für: die Berechnung Ihrer täglichen Tagesform-Interpretation, personalisierte Ritual- und Gesundheitsempfehlungen sowie die Anzeige von Statistiken und Verlaufsdaten in der App, auch als einfache Wochenübersicht (Anzahl der Tage mit Körperdaten, ohne Messwerte).

9.4 Speicherung: Gesundheitsdaten werden in Cloud Firestore auf EU-Servern (Region europe-west10, Berlin) in Ihrem Nutzerkonto gespeichert, unter dailyHealth, dailySteps, dailyTemplates, adaptiveBaseline, patterns und, auf dem Familienfenster, bloodPressure (von Hand eingetragener Blutdruck, siehe 9a.5). Die Daten werden nicht an Dritte weitergegeben und nicht zu Werbezwecken verwendet.

9.5 Widerruf und Löschung: Sie können Ihre Einwilligung jederzeit in der App unter Konto → Einstellungen → "Gesundheitsdaten speichern" widerrufen. Mit dem Widerruf werden alle gespeicherten Gesundheitsdaten gelöscht. Auskunft über Ihre Daten und eine Kopie davon erhalten Sie per E-Mail an rk@krs-media.de (Art. 15, 20 DSGVO). Bei Löschung des Benutzerkontos werden sämtliche Gesundheitsdaten unwiderruflich gelöscht.

9a) Familienfenster auf dem Tablet

9a.1 Fotos, Namen und Sätze: Für das Familienfenster legen wir die Fotos, Namen und Sätze, die Sie uns schicken, im Konto dieses Geräts auf unseren Servern (siehe 9a.2) ab. Das Konto dieses Geräts richtet FITprofil ein und verwaltet es. Das Tablet lädt sie bei WLAN-Verbindung und hält eine Kopie auf dem Gerät, damit die Fotos auch ohne WLAN weiterlaufen. Lesen kann sie nur das Konto dieses Geräts; ein Mitglied des Familienkreises sieht in seiner App außerdem die Fotos, die es selbst geschickt hat, mit Name und Satz (siehe 9a.7). Die Fotos stellen wir ein, oder Mitglieder des Familienkreises schicken sie mit der FITprofil-App auf ihrem Handy (siehe 9a.7).

9a.2 Rechtsgrundlage und Empfänger: Die Verarbeitung erfolgt zur Erfüllung des Vertrags über das Familienfenster, Art. 6 Abs. 1 lit. b DSGVO. Gespeichert wird in Cloud Firestore (Region europe-west10, Berlin) und Cloud Storage (EU) von Google; Google ist unser Auftragsverarbeiter nach Art. 28 DSGVO. Weitere Empfänger gibt es nicht, außer den Mitgliedern des Familienkreises nach 9a.7.

9a.3 Löschung: Auf Ihren Wunsch löschen wir einzelne oder alle Fotos, Namen und Sätze. Mit dem Löschen des Kontos des Geräts werden sie ebenfalls gelöscht.

9a.4 Lebenszeichen: Das Tablet meldet uns, wann es zuletzt aktiv war und wann das Band zuletzt abgeglichen wurde ("zuletzt aktiv", "Band zuletzt abgeglichen"). Den Zeitpunkt des Bandabgleichs melden wir erst, nachdem die Person, die das Tablet nutzt, nach 9a.5 mit "Ja" zugestimmt hat. Übermittelt werden nur diese Zeitpunkte, nie Werte. So merken wir, wenn ein Gerät stillsteht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. f DSGVO (Betrieb des Geräts und Fehlersuche).

9a.5 Blutdruck, Befinden und Bandwerte: Auf dem Familienfenster fragt das Tablet beim ersten Start die Person, die es nutzt, selbst um ihr Einverständnis. Mit ihrem "Ja" gilt die Einwilligung nach Abschnitt 9 (Gesundheitsdaten, Art. 9 Abs. 2 lit. a DSGVO) und die Einwilligung für den Check-in nach Abschnitt 5b, ausdrücklich auch für den Blutdruck, den sie von Hand einträgt. Vor diesem "Ja" speichern wir keine Gesundheitsdaten. Bei "Lieber nicht" bleiben Fotos, Datum, Uhrzeit und Erinnerungen; Bandwerte, Befinden und Blutdruck werden dann nicht gespeichert. Die Einwilligung kann jederzeit auf dem Tablet unter "Einstellungen" zurückgenommen werden; dabei werden die gespeicherten Werte gelöscht. Von diesen Angaben sieht die Familie nichts.

9a.6 Erinnerungen: Erinnerungstexte werden nicht an FITprofil übertragen.

9a.7 Familienkreis: Zum Familienfenster gehört ein Familienkreis. Mitglieder sind die Person am Tablet (das Konto des Geräts) und Familienmitglieder mit eigenem FITprofil-Konto, die dem Kreis mit einem Einladungscode beigetreten sind; der Code hat 8 Zeichen, gilt 7 Tage und kann nur einmal benutzt werden. Verarbeitet werden die Anzeigenamen der Mitglieder und ihre Mitgliedschaft, Fotos mit Name und Satz, Grüße sowie Vorschläge für Erinnerungen und für Übungen (im Sitzen oder auch im Stehen) samt der Antwort "Ja" oder "Nein" der Person am Tablet. Vorschläge können Gesundheitsangaben enthalten, etwa zur Einnahme von Medikamenten. Vorschläge (Erinnerungen, Übungen) gelten erst mit dem "Ja" der Person am Tablet; Fotos und Grüße erscheinen ohne ihr Zutun. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Empfänger sind ausschließlich die Mitglieder des Kreises und unser Auftragsverarbeiter Google (siehe 9a.2); wir verwenden diese Angaben nicht zu Werbezwecken. Pro Rahmen sind höchstens 100 Fotos möglich. Grüße und Vorschläge löschen wir nach 30 Tagen, den Text eines Vorschlags schon, sobald die Person am Tablet geantwortet hat. Fotos bleiben, bis das Mitglied, das sie geschickt hat, oder wir sie löschen, sie in der mit einer PIN geschützten Familienecke am Tablet gelöscht werden oder das Konto des Mitglieds bzw. des Geräts gelöscht wird. Mitglieder können den Kreis jederzeit verlassen und dabei ihre Fotos löschen; die Familienecke am Tablet kann Mitglieder entfernen. Wer den Kreis verlassen hat oder entfernt wurde, kann uns bitten, seine Fotos zu löschen (info@fitprofil.de). Die Familie sieht keine Gesundheitswerte, kein Befinden, kein "zuletzt aktiv" und nicht, ob etwas gelesen wurde; sie sieht nur die Antwort auf ihren Vorschlag.

10) Benutzerkonto

10.1 Bei der Erstellung eines Benutzerkontos erheben wir Ihre E-Mail-Adresse. Die Anmeldung erfolgt über einen Verifizierungscode per E-Mail (passwortlose Authentifizierung über Firebase Authentication). Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

10.2 Speicherdauer: Ihre Kontodaten werden für die Dauer der Vertragsbeziehung gespeichert. Bei Löschung Ihres Kontos werden alle personenbezogenen Daten einschließlich Gesundheitsdaten, Bestellhistorie und Einstellungen unwiderruflich gelöscht, sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

11) Speicherdauer im Überblick

12) Datenweitergabe an Dritte

Wir geben Ihre personenbezogenen Daten nur in folgenden Fällen an Dritte weiter:

• Zur Vertragserfüllung (z. B. Versanddienstleister DHL, Zahlungsdienstleister Stripe)
• An Auftragsverarbeiter, mit denen ein AVV gemäß Art. 28 DSGVO besteht (z. B. Google/Firebase, Zoho)
• Wenn Sie ausdrücklich eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO)
• Wenn eine gesetzliche Verpflichtung zur Weitergabe besteht (Art. 6 Abs. 1 lit. c DSGVO)

Eine Weitergabe von Gesundheitsdaten an Dritte erfolgt nicht.

13) Ihre Rechte als betroffene Person

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung / "Recht auf Vergessenwerden" (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) — durch den Widerruf wird die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht berührt

Zur Ausübung Ihrer Rechte wenden Sie sich bitte per E-Mail an rk@krs-media.de.

14) Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61
10555 Berlin
Telefon: +49 (0)30 13889-0
E-Mail: mailbox@datenschutz-berlin.de
Website: https://www.datenschutz-berlin.de

15) Datensicherheit

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um Ihre Daten gegen Manipulation, Verlust oder unberechtigten Zugriff zu schützen. Dazu gehören insbesondere: SSL/TLS-Verschlüsselung bei der Datenübertragung, verschlüsselte Speicherung sensibler Daten, regelmäßige Sicherheitsupdates und Zugangsbeschränkungen.

16) Pflicht zur Bereitstellung von Daten

Die Bereitstellung personenbezogener Daten ist teilweise gesetzlich vorgeschrieben (z. B. steuerrechtliche Pflichten) oder ergibt sich aus vertraglichen Regelungen (z. B. Angaben zum Vertragspartner). Für den Abschluss eines Vertrages ist es erforderlich, dass Sie uns die hierfür notwendigen personenbezogenen Daten bereitstellen. Ohne diese Daten können wir den Vertrag nicht abschließen.

Kontakt für Datenschutzanfragen

Letzte Aktualisierung: 26.10.2026