Datenschutzerklärung

Verantwortlicher ist Refreesh S.r.l. Società Benefit, Via Lazzaro Spallanzani 10, 20129 Mailand (MI), Italien — USt-IdNr. IT13516410969, REA MI-2727959, das Unternehmen, das den Dienst Athleex betreibt.

Für Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte schreiben Sie an info@athleex.com. Wir haben keinen Datenschutzbeauftragten (DPO) benannt, da dies nicht verpflichtend ist: Unsere Verarbeitungen erfolgen nicht in großem Umfang (Art. 37 DSGVO). Anfragen werden von unserem Datenschutz-Ansprechpartner unter derselben Adresse bearbeitet.

Athleex wird von Personal Trainern (PT) und deren Athleten genutzt, sowie von Athleten, die allein trainieren.

• Refreesh ist Verantwortlicher für die Daten Ihres Kontos, Ihre Einwilligungen, Ihre Abonnements, die Sicherheit, die Funktionen, die es Ihnen direkt anbietet (Messungen, Tagebuch, Athleex Score und Athlete Twin, Rangliste und Challenges) und die Missbrauchsprävention.
• Ihr PT ist Verantwortlicher für die Daten, die er verwendet, um Sie als Fachperson zu betreuen: Programme, Notizen, Ernährungspläne, Nahrungsergänzungsmittel, Feedback, an Sie ausgestellte Rechnungen, Termine und die Analysen, die Athleex ihm liefert (zum Beispiel Churn Radar). Für diese Daten handelt Refreesh als Auftragsverarbeiter im Auftrag des PT, gemäß der Auftragsverarbeitungsvereinbarung (DPA).
• Ihr PT sieht Ihre Gesundheitsdaten nur, wenn Sie zustimmen (Abschnitt 5) und nur solange Ihre Beziehung auf Athleex aktiv ist.

Für die von Ihrem PT verarbeiteten Daten können Sie sich auch direkt an ihn wenden.

• Konto und Kontakt: Name, E-Mail, Telefon, Geburtsdatum, Geschlecht, Sprache, Profilfoto; für PT auch Adresse und Standortkoordinaten (für die Karte), öffentliches Profil, Instagram und Website.
• Zugang und Sicherheit: Passwort, das nur als kryptografischer Hash gespeichert wird (Argon2id), Passkeys, temporäre Verifizierungscodes, Wiederherstellungscodes (nur als Hash gespeichert), der Schlüssel der Authenticator-App, falls Sie sie aktivieren (verschlüsselt gespeichert), aktive Sitzungen mit Gerätetyp und Teil der IP-Adresse, Sicherheitsereignisse (zum Beispiel fehlgeschlagene Anmeldungen oder Passwortänderungen), IP-Adresse und Browser in Einwilligungs-, Sicherheits- und Verwaltungsprotokollen.
• Gesundheitsdaten (Art. 9 DSGVO), nur mit Ihrer ausdrücklichen Einwilligung: Gewicht, Größe, Körperzusammensetzung, Umfänge und die zugehörigen Ziele (zum Beispiel ein anzustrebendes Gewicht), Fortschrittsfotos, Nahrungsmittelunverträglichkeiten, Ernährungstagebuch.
• Training: Programme, protokollierte Einheiten (Lasten, Wiederholungen, empfundene Anstrengung, Bewertungen, Notizen), athletische Tests, persönliche Bestleistungen, Leistungsziele, Ausführungsvideos der Übungen (zur Korrektur der Technik) und zugehörige Kommentare, Stimmung und Energie im Trainingstagebuch.
• Ernährung und Nahrungsergänzungsmittel, vom PT zugewiesen: Ernährungspläne, Ratschläge, Nahrungsergänzungsmittel mit Dosierungen und Erinnerungszeiten.
• Kommunikation: Chat-Nachrichten (Text, Sprachnachrichten, Anhänge), Benachrichtigungen, etwaige WhatsApp-Nachrichten, wenn Sie Ihre Nummer mit einem Code verknüpfen, oder Instagram-Nachrichten, wenn der PT sein Konto verbindet.
• Punktzahlen und Statistiken: Athleex Score und Prognosen (mit Einwilligung), Abwanderungsrisiko-Score für den PT (Churn Radar), Erfahrungspunkte, Ranglisten und Challenges.
• Zahlungen: Plan, Status und Kennungen des Abonnements. Kartendaten werden von Stripe oder Apple verarbeitet, niemals von Athleex. Für PT: von ihnen für ihre Athleten erfasste Gebühren und Rechnungen.
• Bewertungen: Wenn Sie einem PT eine Bewertung hinterlassen, werden Note und Text auf dessen Seite mit Ihrem Namen und dem Anfangsbuchstaben Ihres Nachnamens veröffentlicht.
• Öffentliche Seite der PT: die vom PT veröffentlichten Inhalte, einschließlich etwaiger Vorher-Nachher-Fotos seiner Kunden, die nur mit schriftlicher Einwilligung der abgebildeten Person und ohne Gesundheitsangaben in den Bildunterschriften zulässig sind.
• Technische Nutzungsdaten: Datum der letzten Aktivität, für Benachrichtigungen registrierte Geräte. Für interne Nutzungsstatistiken: die Tage, an denen Sie Athleex nutzen, die Anzahl der Öffnungen und die Plattform (Web, iOS, Android).

Wir fragen Sie nicht nach Diagnosen, Erkrankungen oder Medikamenten und verarbeiten weder genetische noch biometrische Daten zu Identifikationszwecken. Wir bitten Sie, solche Informationen nicht in Freitextfeldern (Chat, Notizen, Kommentare) anzugeben: Falls Sie es doch tun, speichern wir sie nur, um sie Ihnen und den Personen, an die Sie sie gesendet haben, anzuzeigen.

Woher die Daten stammen

• Von Ihnen, wenn Sie sich registrieren und Athleex nutzen.
• Von Ihrem PT, wenn er Ihr Konto erstellt hat oder Sie betreut: Name und E-Mail, danach Programme, Notizen, Ernährungspläne, Nahrungsergänzungsmittel und Ziele. In der Einladungs-E-Mail teilen wir Ihnen mit, wer Ihre Daten eingegeben hat und wo Sie diese Erklärung lesen können.
• Von Stripe oder Apple: Zahlungsergebnis und Abonnementstatus.
• Von Ihrer IP-Adresse: das Land, geschätzt auf unserem Server mit der GeoLite2-Datenbank von MaxMind, ohne die Adresse an Dritte zu senden, um Ihnen Sprache, Währung und Preise anzuzeigen und die Einschränkungen aus Abschnitt 19 anzuwenden.
• Von WhatsApp oder Instagram, nur wenn Sie Ihre WhatsApp-Nummer verknüpfen oder wenn der PT Instagram verbindet und Sie ihm von dort schreiben: Ihre Nummer oder Ihr Benutzername und die Nachrichten.

• Bereitstellung des Dienstes (Vertrag, Art. 6 Abs. 1 lit. b): Konto, PT-Athlet-Beziehung, Programme, Trainingsprotokollierung, Chat, Servicebenachrichtigungen, Abonnements und Support.
• Gesundheitsdaten (ausdrückliche Einwilligung, Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a): siehe Abschnitt 5.
• Athleex Score und Athlete Twin (Einwilligung, Art. 6 Abs. 1 lit. a; für Schätzungen zu Gewichts-, Körperzusammensetzungs- und Körpermaßzielen zusätzlich ausdrückliche Einwilligung, Art. 9 Abs. 2 lit. a, nur wenn Sie der Verarbeitung von Gesundheitsdaten zugestimmt haben): siehe Abschnitt 6.
• Churn Radar für den PT (berechtigtes Interesse des PT, seine Kunden zu betreuen, Art. 6 Abs. 1 lit. f; Refreesh handelt im Auftrag des PT): siehe Abschnitt 6. Sie können jederzeit widersprechen.
• Rangliste (Einwilligung, Art. 6 Abs. 1 lit. a) und wöchentliche Challenges zwischen Athleten desselben PT, die sich für die Anzeige in der Rangliste entschieden haben.
• Verhinderung von Missbrauch des kostenlosen Plans (berechtigtes Interesse, Art. 6 Abs. 1 lit. f): mit einem Coach verbundene Athleten nutzen Athleex ohne Abo. Um zu verhindern, dass Coach-Konten nur angelegt werden, um diesen Zugang zu erhalten, analysieren wir bestimmte Signale in Beziehungen, bei denen der Coach den kostenlosen Plan nutzt: Zeit zwischen der Registrierung des Coaches und der Verknüpfung des Athleten, Aktivität des Athleten, Beteiligung des Coaches (Programmtermine, Nachrichten, Notizen, Feedback, nie die Inhalte) und Ähnlichkeit von Namen oder E-Mail-Adressen. Die Prüfung erzeugt nur eine Liste, die von befugtem Personal gesichtet wird: Sie führt zu keiner Sperre, Aussetzung oder Speicherung eines Scores. Über Maßnahmen entscheidet ein Mensch, nachdem Sie um Klarstellung gebeten wurden. Sie können widersprechen (Abschnitt 10).
• Sicherheit (berechtigtes Interesse und Sicherheitspflichten, Art. 6 Abs. 1 lit. f und 32): Zugriffs-, Verwaltungs- und Sicherheitsereignisprotokolle, Verhinderung unbefugter Zugriffe, Backups, E-Mail-Warnungen zu Sicherheitsereignissen Ihres Kontos (zum Beispiel eine Anmeldung von einem neuen Gerät, eine Passwortänderung oder ein Registrierungsversuch mit Ihrer Adresse; für Administratoren auch ein neuer Passkey oder die Verwendung eines Wiederherstellungscodes).
• Interne Nutzungsstatistiken (berechtigtes Interesse von Refreesh, zu verstehen, wie der Dienst genutzt wird, und ihn zu verbessern, Art. 6 Abs. 1 lit. f): Wir zählen für jeden Tag, ob Sie Athleex nutzen, wie oft Sie es öffnen und über welche Plattform. Das interne Dashboard zeigt nur Summen; keine Drittanbieter und keine zusätzlichen Cookies: Ihre Anmeldesitzung genügt. Administratorkonten sind ausgenommen. Sie können in Einstellungen » Nutzungsstatistiken widersprechen: Bereits gezählte Daten werden gelöscht.
• Rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. c): Aufbewahrung der Buchhaltungsunterlagen von Refreesh zu Abonnements, Beantwortung von Behördenanfragen.
• Newsletter (Einwilligung, Art. 6 Abs. 1 lit. a), widerrufbar über jede E-Mail oder die Einstellungen.
• Nutzungsstatistiken und Kampagnenmessung auf der öffentlichen Website (Einwilligung über das Cookie-Banner, Art. 6 Abs. 1 lit. a): siehe die Cookie-Richtlinie.

Gesundheitsdaten werden durch zwei getrennte, jeweils freiwillige und über die Einstellungen widerrufbare Entscheidungen aktiviert:

• Einwilligung zur Verarbeitung: erlaubt uns, Messungen sowie Gewichts-, Körperzusammensetzungs- und Körpermaßziele, Fortschrittsfotos, Nahrungsmittelunverträglichkeiten und das Ernährungstagebuch in Ihrem Konto zu speichern. Ohne diese Einwilligung speichern diese Bereiche keine Daten; der Rest von Athleex funktioniert normal.
• Einwilligung zur Weitergabe an Ihren PT: erlaubt dem PT, mit dem Sie eine aktive Beziehung haben, Messungen und die zugehörigen Ziele, Fortschrittsfotos, Unverträglichkeiten und das Ernährungstagebuch zu sehen. Erfordert die Einwilligung zur Verarbeitung. Ohne Weitergabe sieht der PT diese Daten nicht.

• Widerrufen Sie nur die Weitergabe, sieht der PT die Daten sofort nicht mehr; die Daten bleiben in Ihrem Konto.
• Widerrufen Sie die Einwilligung zur Verarbeitung, werden die Daten sofort ausgeblendet und nach 30 Tagen endgültig gelöscht (sie bleiben bis zu ihrem Ablauf in verschlüsselten Backups, Abschnitt 7). Die Weitergabe an den PT wird automatisch deaktiviert.
• Die Einwilligung zur Verarbeitung besteht seit dem 14.09.2026. Wenn Sie vor diesem Datum Gesundheitsdaten gespeichert hatten, bleiben sie ausgeblendet, bis Sie Ihre Einwilligung erteilen: Sie können sie innerhalb von 30 Tagen in den Einstellungen erteilen, um sie zu behalten, andernfalls werden sie gelöscht. Eine vor diesem Datum erteilte Weitergabe an den PT betrifft nur Messungen und Fotos; für Unverträglichkeiten und Tagebuch ist die neue Einwilligung zur Weitergabe zu bestätigen.

Keine Entscheidung, die rechtliche Wirkung entfaltet oder Sie in ähnlich erheblicher Weise beeinträchtigt, wird ausschließlich automatisiert getroffen (Art. 22 DSGVO). Die hier beschriebenen Scores sind Informationswerkzeuge.

Athleex Score und Athlete Twin (optional, mit Einwilligung). Auf Grundlage Ihrer Trainingsdaten der letzten 12 Wochen und Ihrer Ziele berechnen sie eine Prognose des 1RM in 4 Wochen mit Konfidenzintervall, einen Erholungs-/Übertrainingsrisiko-Index, eine Prognose zur Zielerreichung und einen Score von 0 bis 100. Prognosen zu Gewichts-, Körperzusammensetzungs- und Körpermaßzielen werden nur berechnet, wenn Sie zusätzlich der Verarbeitung von Gesundheitsdaten zugestimmt haben. Methoden: Epley-Formel, lineare Regression, exponentiell gewichteter gleitender Mittelwert, lineare Extrapolation. Sichtbar für Sie und Ihren PT; Prognosen zu Körperzielen sieht der PT nur, wenn Sie Ihre Gesundheitsdaten mit ihm teilen. Es handelt sich um statistische Schätzungen, keine medizinischen Ratschläge oder Verordnungen. Der Widerruf der Einwilligung löscht die Prognosen sofort; andernfalls werden sie höchstens 60 Tage aufbewahrt.

Churn Radar (für den PT). Für jeden Athleten mit aktiver Beziehung berechnet Athleex täglich für den PT einen Abwanderungsrisiko-Score von 0 bis 100, basierend auf: Tagen seit dem letzten Training, Konstanz, Bewertungstrend, unbeantworteten Nachrichten, überfälligen Zahlungen, verpassten Zielen, Datum der letzten Messung (nur wenn Sie Ihre Gesundheitsdaten teilen) und letzter Aktivität. Nur Ihr PT sieht ihn, um zu entscheiden, ob er Sie kontaktiert; keine Nachricht wird automatisch versendet. Scores werden 90 Tage aufbewahrt. Sie können sich in den Einstellungen ausschließen: bestehende Scores werden gelöscht und keine weiteren berechnet.

Rangliste und Challenges. Wenn Sie sich für die Anzeige in der Rangliste entscheiden, sehen andere Athleten desselben PT Ihren Namen und den Anfangsbuchstaben des Nachnamens, Punkte und Rang; mit derselben Wahl können Sie mit ihnen wöchentlichen Challenges zugeordnet werden.

Die Missbrauchsprävention wird in Abschnitt 4 beschrieben.

• Konto: solange es aktiv ist. Nutzen Sie Athleex 24 Monate lang nicht, benachrichtigen wir Sie per E-Mail; melden Sie sich nicht innerhalb von 30 Tagen an, wird das Konto gelöscht. Konten mit aktivem kostenpflichtigem Abonnement oder aktiver Beziehung zu einem PT sind ausgenommen.
• Kontolöschung über die Einstellungen: sofort. Nur Kopien von Nachrichten in den Unterhaltungen der anderen Person und verschlüsselte Backups bleiben bis zu ihrem Ablauf bestehen.
• Nie aktivierte Konten: eine nie bestätigte Registrierung wird nach 30 Tagen gelöscht; ein von einem PT erstelltes und nie genutztes Konto wird 30 Tage nach Ende der Beziehung zum PT gelöscht.
• Gesundheitsdaten: solange die Einwilligung zur Verarbeitung aktiv ist; 30 Tage nach dem Widerruf gelöscht, einschließlich der technischen Kopien der Offline-Synchronisierung.
• Technische Kopien der Offline-Synchronisierung (dienen dazu, ein ohne Verbindung gesendetes Datum nicht doppelt zu speichern): 7 Tage.
• Prognosen von Athleex Score und Twin: 60 Tage. Churn-Radar-Scores: 90 Tage.
• Protokoll der Zugriffe auf Gesundheitsdaten: 12 Monate. Protokoll der Verwaltungsaktivitäten: 24 Monate. Verifizierungscodes: 24 Stunden.
• Einwilligungsprotokoll: für die Dauer des Kontos (der Fingerabdruck der IP-Adresse wird nach 180 Tagen entfernt). Cookie-Entscheidungen der Besucher: 13 Monate.
• Sitzungen und Geräte: bis zur Abmeldung oder zum Ablauf der Sitzung, danach 90 Tage, um eine Anmeldung von einem neuen Gerät zu erkennen.
• Anfragen zu Ihren Rechten: 12 Monate ab Abschluss.
• Von der öffentlichen Seite eines PT erhaltene Kontakte: 90 Tage ab der Anfrage, auch wenn der PT Sie bereits kontaktiert hat; werden Sie sein Kunde, 90 Tage später, weil Ihre Daten von da an in Ihrem Konto liegen. Warteliste: bis zur Abmeldung und in jedem Fall höchstens 24 Monate.
• Buchhaltungsunterlagen von Refreesh zu Abonnements: 10 Jahre (Art. 2220 des italienischen Zivilgesetzbuchs), bei Stripe oder Apple für Zahlungsdaten.
• Verschlüsselte Backups von Datenbank und Dateien: 14 Tage auf dem Server und 60 Tage in der externen EU-Kopie.
• Nutzungsstatistiken: 13 Monate, danach gelöscht.
• Von Stripe erhaltene Zahlungsereignisse: 60 Tage. WhatsApp-Nachrichten, die wir keinem Konto zuordnen können: 30 Tage.
• Technische Server-Logs: rotierend nach Größe, üblicherweise wenige Wochen.

Wird ein Datum benötigt, um einen Rechtsanspruch geltend zu machen, auszuüben oder zu verteidigen, oder verlangt eine Behörde es, bewahren wir es so lange wie unbedingt erforderlich auf, auch über diese Fristen hinaus.

Wir verkaufen keine personenbezogenen Daten und verwenden sie nicht für Werbung Dritter. Daten sind für Ihren PT im Rahmen von Abschnitt 5, für befugtes Refreesh-Personal (mit protokolliertem Zugriff) und für Dienstleister sichtbar, die uns bei der Erbringung des Dienstes helfen und vertraglich gebunden sind:

• Hetzner Online GmbH (Deutschland): Server und Datenbank.
• Backblaze, Inc.: externe Kopie der Backups, vor dem Versand verschlüsselt, gespeichert in der EU-Region (Niederlande).
• Stripe (Stripe Payments Europe Ltd. und Stripe, LLC): Web-Zahlungen. Erhält E-Mail, Rechnungsdaten und Abonnement-Kennung.
• Apple Inc.: In-App-Käufe auf iOS und Zustellung von Push-Benachrichtigungen auf iPhone.
• Google (Google Ireland Ltd. und Google LLC): Zustellung von Push-Benachrichtigungen auf Android (Firebase Cloud Messaging) und, nur mit Ihrer Einwilligung, Website-Nutzungsstatistiken (Google Analytics 4).
• Mozilla Corporation und Microsoft Corporation: Zustellung von Web-Push-Benachrichtigungen in den Browsern Firefox und Edge, wenn du sie aktivierst. Sie erhalten nur die technische Zustelladresse und die verschlüsselte Nachricht, ohne Gesundheitsinhalte.
• Microsoft Ireland Operations Ltd. (Microsoft 365): das Postfach info@athleex.com, das die Nachrichten und Anfragen empfängt, die Sie uns schreiben.
• Unser Steuerberater: Abrechnungsdaten der Abonnements, für die gesetzlichen Pflichten.
• Resend (Plus Five Five, Inc., USA): Versand von Service-E-Mails und Newsletter. Erhält Adresse, Namen und E-Mail-Inhalt.
• Meta Platforms Ireland Ltd.: nur mit Marketing-Einwilligung, Messung von Kampagnen auf der Website (Pixel und Conversions API); nur wenn Sie WhatsApp oder Instagram mit Ihrem PT nutzen, Zustellung von Nachrichten auf diesen Kanälen.
• OpenStreetMap Foundation (Vereinigtes Königreich): Umwandlung der Adresse des PT in Koordinaten für die Karte.
• CARTO und YouTube/Vimeo: nur wenn Sie klicken, um die Karte „PT finden" oder ein Video auf der Seite eines PT zu laden; sie erhalten Ihre IP-Adresse.

Push-Benachrichtigungen: der Text, der über Apple und Google läuft, ist generisch (zum Beispiel „Neue Nachricht von Marco" oder „Zeit für Ihr Nahrungsergänzungsmittel") und enthält weder den Inhalt der Nachrichten, Namen oder Dosierungen von Nahrungsergänzungsmitteln, noch Messwerte. Details sind nur in der App sichtbar.

Die Liste der Dienstleister, die Daten im Auftrag von PT verarbeiten, ist unter /legal/sub-processors veröffentlicht. Wir geben Daten an Behörden nur weiter, wenn das Gesetz dies vorschreibt.

Server, Datenbanken und Backups verbleiben in der Europäischen Union. Einige Dienstleister (Stripe, Apple, Google, Microsoft, Mozilla, Resend, Meta) können Daten in den Vereinigten Staaten verarbeiten. In diesen Fällen stützt sich die Übermittlung auf den EU-US-Angemessenheitsbeschluss (EU-US Data Privacy Framework) für zertifizierte Unternehmen und in jedem Fall auf die von der Europäischen Kommission genehmigten Standardvertragsklauseln, die in den Lieferantenverträgen vorgesehen sind; eine Kopie können Sie unter info@athleex.com anfordern. Push-Benachrichtigungen im Browser laufen über den vom Browser selbst gewählten Dienst (zum Beispiel Mozilla für Firefox, das nicht am Data Privacy Framework teilnimmt): Dieser erhält nur eine technische Zustelladresse und die verschlüsselte Nachricht, die er nicht lesen kann; der Versand dient dazu, Ihnen die von Ihnen aktivierten Benachrichtigungen zuzustellen (Art. 49 Abs. 1 lit. b DSGVO). Das Vereinigte Königreich (OpenStreetMap Foundation) profitiert von einem Angemessenheitsbeschluss.

Sie können jederzeit kostenlos die Rechte gemäß Art. 15-22 DSGVO ausüben:

• Auskunft und Übertragbarkeit: Einstellungen » Meine Daten exportieren (JSON oder PDF, mit allen Kategorien). Der Download erfolgt aus der App nach der Anmeldung; aus Sicherheitsgründen bitten wir Sie, Ihr Passwort zu bestätigen. Für den Wechsel zu einem anderen Dienst siehe auch den Abschnitt „Datenexport und Anbieterwechsel" der Nutzungsbedingungen.
• Berichtigung: über Ihr Profil und die Datenbereiche.
• Löschung: Einstellungen » Konto löschen. Stripe-Abonnements werden automatisch gekündigt; auf dem iPhone erworbene müssen über die Einstellungen Ihrer Apple-ID gekündigt werden.
• Widerruf von Einwilligungen (Gesundheitsdaten, Weitergabe an den PT, Athleex Score und Twin, Rangliste, Newsletter, Cookies): über die Einstellungen, mit sofortiger Wirkung und unbeschadet zuvor erfolgter Verarbeitungen.
• Widerspruch gegen Verarbeitungen auf Grundlage des berechtigten Interesses, insbesondere Churn Radar und Nutzungsstatistiken (Schalter in den Einstellungen) und Missbrauchsprävention, sowie Einschränkung der Verarbeitung: über das Anfrageformular in den Einstellungen oder durch Schreiben an info@athleex.com.
• Beschwerde bei der italienischen Datenschutzbehörde (garanteprivacy.it) oder der Behörde des Landes, in dem Sie leben.

Wir antworten unverzüglich und in jedem Fall innerhalb eines Monats; ist die Anfrage komplex oder erhalten wir viele Anfragen, können wir diese Frist um weitere zwei Monate verlängern und benachrichtigen Sie darüber innerhalb des ersten Monats (Art. 12 Abs. 3 DSGVO). Wir können Sie bitten, von der E-Mail-Adresse Ihres Kontos aus zu schreiben, um zu überprüfen, dass die Anfrage von Ihnen stammt.

Athleex ist Erwachsenen vorbehalten. Bei der Registrierung fragen wir das Geburtsdatum ab; bei von einem PT erstellten Konten fragen wir es beim ersten Zugriff ab. Wird ein Alter unter 18 Jahren festgestellt, wird das Konto sofort gesperrt, die Einwilligungen zu Gesundheitsdaten werden widerrufen, die Beziehungen zu PT werden beendet und die Daten werden innerhalb von 30 Tagen gelöscht, sofern die Person mit elterlicher Verantwortung nicht schriftlich an info@athleex.com etwas anderes verlangt. PT dürfen keine Konten für Minderjährige erstellen und bestätigen bei der Erstellung eines Athletenkontos, dass die betreffende Person volljährig ist. Auch die Warteliste und die Kontaktformulare auf den Seiten der PT sind Erwachsenen vorbehalten.

Wir treffen dem Risiko angemessene Maßnahmen, darunter:

• verschlüsselte Verbindungen (HTTPS mit TLS 1.2 oder 1.3 und HSTS); Server nur mit Schlüssel erreichbar und durch Firewall geschützt; Datenbank nicht dem Internet ausgesetzt;
• Passwörter mit Argon2id gespeichert, gemäß den Leitlinien der italienischen Cybersicherheitsbehörde (ACN); Zwei-Schritt-Verifizierung für Administratoren verpflichtend, mit Phishing-resistentem Passkey und Wiederherstellungscodes, und für PT mit Zugriff auf Gesundheitsdaten von Athleten mit Authenticator-App oder E-Mail-Code, mit Sitzungen von höchstens 7 Tagen, die nach 24 Stunden Inaktivität ablaufen; für andere optional, auch mit Authenticator-App; Passkey zum Entsperren der App; Liste der verbundenen Geräte mit Möglichkeit zur Abmeldung sowie eine E-Mail-Benachrichtigung bei jeder Anmeldung von einem neuen Gerät; Bestätigung des Passworts vor dem Herunterladen aller Ihrer Daten;
• Zugriff auf Gesundheitsdaten nur mit Einwilligung und aktiver Beziehung, mit Zugriffsprotokoll; Fotos, Anhänge und Rechnungen werden erst nach Autorisierungsprüfung bereitgestellt; aus hochgeladenen Fotos und Videos entfernen wir Metadaten, einschließlich des Standorts; Fotos, Videos, Anhänge und Rechnungen werden auf dem Server verschlüsselt (AES-256-GCM);
• tägliche verschlüsselte Backups von Datenbank und Dateien (AES-256 mit Integritätsprüfung), externe EU-Kopie und monatlicher Wiederherstellungstest;
• kontinuierliche Überwachung mit Alarmen, Protokoll der Sicherheitsereignisse, Verfahren zur Behandlung von Verstößen, befugtes Personal mit Vertraulichkeitsverpflichtung.

Die Datenbank des Servers ist nicht auf Festplattenebene verschlüsselt: sie wird durch die oben beschriebenen Zugriffskontrollen geschützt, und Backups sind verschlüsselt. Kein System ist zu 100 % sicher: Sollte ein Verstoß auftreten, der Sie einem Risiko aussetzt, benachrichtigen wir Sie gemäß den gesetzlichen Vorgaben.

Die Website verwendet notwendige technische Cookies (Sitzung, Einwilligungspräferenzen, Sprache, Zwei-Schritt-Verifizierung, Bestätigung der E-Mail-Adresse) und, nur mit Ihrer Einwilligung, Statistik-Cookies (Google Analytics 4) und Marketing-Cookies (Meta Pixel) auf öffentlichen Seiten. In geschützten Bereichen und in der iPhone- und Android-App verwenden wir keine Statistik- oder Marketing-Cookies. Details und Einstellungen in der Cookie-Richtlinie. Die internen Nutzungsstatistiken speichern keine zusätzlichen Cookies oder Kennungen auf Ihrem Gerät: sie verwenden nur die bestehende Anmeldesitzung.

Wir aktualisieren diese Erklärung, wenn sich Verarbeitungen oder Vorschriften ändern. Das Datum der letzten Aktualisierung wird oben angezeigt. Bei wesentlichen Änderungen informieren wir Sie in der App beim ersten Zugriff und, falls erforderlich, per E-Mail; falls neue Einwilligungen erforderlich sind, bitten wir Sie darum, bevor wir mit der Verarbeitung beginnen.

Dieser Abschnitt gilt für Nutzer mit Wohnsitz in den genannten Rechtsordnungen. Der englische Originaltext ist die rechtsverbindliche Fassung.

For California residents, Athleex complies with the California Consumer Privacy Act (CCPA) as amended by the California Privacy Rights Act (CPRA). You have the right to: (a) know what personal information we collect, use, disclose; (b) delete personal information; (c) correct inaccurate personal information; (d) opt out of "sale" or "sharing" (Athleex does NOT sell personal information; cross-context behavioural advertising is governed by the cookie banner and may be disabled at /legal/do-not-sell); (e) limit use of "sensitive personal information" (which we do not use beyond strictly necessary purposes); (f) non-discrimination. Equivalent rights apply to residents of Colorado, Connecticut, Virginia, Utah, Texas, Oregon, Tennessee, Indiana, Iowa, Montana, Florida, Delaware, New Hampshire, New Jersey, Maryland, Minnesota under their respective state privacy laws. To exercise rights write to info@athleex.com. We respond within 45 days (CCPA) — extendable once by another 45 days. Athleex is NOT a HIPAA Covered Entity or Business Associate; the service is wellness-tracking and not medical care.

Washington — My Health My Data Act (MHMDA, RCW 19.373): Trainingsprotokolle, Biometriedaten (mit Einwilligung), Wellness-Scores und alle Daten, die den vergangenen, gegenwärtigen oder zukünftigen körperlichen oder geistigen Gesundheitszustand eines Verbrauchers identifizieren, gelten als "consumer health data" im Sinne des MHMDA. Einwohner des Bundesstaates Washington erteilen ihre ausdrückliche und gesonderte Einwilligung (RCW 19.373.020) zur Verarbeitung solcher Daten über die in §5 beschriebene Einwilligung zu Gesundheitsdaten, ausschließlich für die in §4 beschriebenen Coaching-Zwecke. Athleex verkauft KEINE consumer health data. Athleex teilt KEINE consumer health data mit Dritten zu Werbezwecken. Die in §8 aufgeführten Dienstleister erhalten consumer health data ausschließlich als Dienstleister auf der Grundlage schriftlicher DPAs, die jede eigenständige Nutzung untersagen. Einwohner von Washington können ihre Einwilligung jederzeit widerrufen und die Löschung von consumer health data per E-Mail an info@athleex.com verlangen; die Löschung wird innerhalb von 30 Tagen an alle Auftragsverarbeiter weitergegeben (RCW 19.373.040). Geofencing von consumer health data ist verboten und Athleex praktiziert es nicht. See /legal/wa-consumer-health for the full standalone notice required by RCW 19.373.020(1).

Dieser Abschnitt gilt für Nutzer mit Wohnsitz in den genannten Rechtsordnungen. Der englische Originaltext ist die rechtsverbindliche Fassung.

For Canadian users, Athleex complies with the Personal Information Protection and Electronic Documents Act (PIPEDA) at the federal level and with Quebec's Law 25 (formerly Bill 64) for Quebec residents. Quebec Law 25 introduces requirements stricter than GDPR for sensitive data and automated decisions; Athleex's Art.22 protections (Athlete Twin / Athleex Score) extend to Quebec users by default. The competent authority is the Office of the Privacy Commissioner of Canada (OPC) — priv.gc.ca — and for Quebec residents the Commission d'accès à l'information du Québec (CAI). To exercise PIPEDA / Law 25 rights write to info@athleex.com.

Para los usuarios residentes en México, Athleex actúa conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Tienes derecho a ejercer los derechos ARCO (Acceso, Rectificación, Cancelación, Oposición), así como a revocar tu consentimiento y limitar el uso o divulgación de tus datos. Para ello escribe a info@athleex.com. La autoridad competente es la Secretaría Anticorrupción y Buen Gobierno (SABG), que asumió las funciones del antiguo INAI en materia de protección de datos personales — gob.mx/sabg. Las transferencias de datos hacia destinatarios fuera de México se realizan exclusivamente para cumplir el contrato con el usuario y para fines de prestación del servicio.

Dieser Abschnitt gilt für Nutzer mit Wohnsitz in den genannten Rechtsordnungen. Der englische Originaltext ist die rechtsverbindliche Fassung.

Athleex is operated from Italy and processes personal data primarily under the EU GDPR. For users resident in Norway, Iceland, Liechtenstein, Andorra, Monaco, San Marino — the GDPR or a regime declared adequate by the European Commission applies. For users resident in countries with national data-protection laws aligned to the GDPR template — including Serbia, Bosnia and Herzegovina, Montenegro, North Macedonia, Albania, Kosovo, Ukraine, Moldova, Georgia, Armenia and Azerbaijan — Athleex applies GDPR-equivalent technical, organisational and contractual safeguards and recognises the rights granted by your local law. The competent supervisory authorities of those countries can be contacted directly; we cooperate with any lawful request. Where consent is required by your local law (e.g. Ukraine's 2024 amended Law on Personal Data Protection), the cookie banner and account-creation flows operate as the consent-collection mechanism. To exercise rights write to info@athleex.com.

Dieser Abschnitt gilt für Nutzer mit Wohnsitz in den genannten Rechtsordnungen. Der englische Originaltext ist die rechtsverbindliche Fassung.

Athleex does not knowingly accept registrations from territories subject to comprehensive EU, UK, US or UN sanctions, including (without limitation) Belarus, North Korea, Iran, Syria, Cuba, the Crimea, Donetsk and Luhansk regions of Ukraine. Should an account be created from such a territory, we reserve the right to suspend it without prior notice and to comply with applicable sanctions law.