Datenschutzerklärung

Stand: 13.09.2026

1. Verantwortliche Stelle

Niklas Pape
Niklas Pape Gesundheits und Fitnesstraining
Mengstraße 40
23552 Lübeck

Telefon: +49 176 404 715 28
E-Mail: [email protected]

2. Hosting & technische Infrastruktur

Cloudflare Pages

Wir hosten unsere Website bei Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA). Beim Aufruf unserer Website wird Ihre Anfrage über das nächstgelegene Cloudflare-Rechenzentrum geleitet. Dabei werden automatisch Server-Log-Dateien erhoben:

• Browsertyp und -version
• Betriebssystem
• Referrer URL
• IP-Adresse (anonymisiert)
• Uhrzeit der Anfrage

Speicherdauer: max. 72 Stunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherer Bereitstellung). Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

Weitere Informationen: Cloudflare Datenschutzerklärung

SSL/TLS-Verschlüsselung

Diese Website nutzt eine SSL/TLS-Verschlüsselung. Verschlüsselte Verbindungen erkennen Sie am Schloss-Symbol und „https://“ in der Adresszeile.

3. Analyse

Diese Website verwendet zwei Analyse-Dienste mit unterschiedlichem Ansatz: Cloudflare Web Analytics arbeitet cookiefrei und ohne Personenbezug und benötigt daher keine Einwilligung. Google Analytics 4 wird über Google Consent Mode V2 gesteuert – das Skript wird technisch geladen, alle Einwilligungs-Signale stehen jedoch standardmäßig auf „denied“: ohne Ihre ausdrückliche Einwilligung über das Cookie-Banner werden keine Analyse-Cookies gesetzt und keine Messdaten erhoben. Es werden kein Google Tag Manager, kein Meta Pixel und keine sonstigen Tracking-Dienste eingesetzt.

Cloudflare Web Analytics

Cookiefreier Analysedienst, der keine personenbezogenen Daten erhebt. Es werden ausschließlich aggregierte, anonyme Metriken zu Seitenaufrufen und Referrern erfasst. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Analyse der Websitenutzung, kein Cookie-Consent nach § 25 TDDDG nötig).

Google Analytics 4 (mit Consent Mode V2)

Webanalyse-Dienst von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Messung ist nur aktiv, wenn Sie den Analyse-Cookies im Cookie-Banner aktiv zustimmen.

• Verarbeitete Daten: pseudonyme Geräte-Kennung (Client-ID), gekürzte IP-Adresse (IP-Anonymisierung aktiv), Browser- und Geräteinformationen, aufgerufene Seiten, Verweildauer
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG
• Speicherdauer: 14 Monate (Standard-GA4-Einstellung)
• Drittlandübermittlung: Google verarbeitet Daten ggf. in den USA, auf Grundlage des EU-US Data Privacy Framework (Google ist zertifiziert) sowie EU-Standardvertragsklauseln.
• Widerruf: jederzeit über die Cookie-Einstellungen oder tools.google.com/dlpage/gaoptout
• Details: policies.google.com/privacy

4. Kontaktaufnahme & Zugangsanfrage

4.1 Allgemeine Kontaktaufnahme

Wenn Sie uns per E-Mail kontaktieren, erheben wir Ihren Namen, Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Beantwortung).

4.2 Zugangsanfrage (Double-Opt-In)

Wenn Sie unter newprime.studio/registrieren einen Zugang anfordern, erheben wir folgende Daten:

• E-Mail-Adresse (Pflicht)
• Name (optional)
• Studio-Typ (optional, z. B. Solo-PT, Studio)
• IP-Adresse zum Zeitpunkt der Einwilligung (Nachweis nach Art. 7 DSGVO und Missbrauchsabwehr)
• Zeitstempel der Einwilligung, verwendeter Einwilligungs-Text, Version und Bestätigungsstatus

Double-Opt-In: Nach Eintragung erhalten Sie eine Bestätigungs-E-Mail mit einem Verifikations-Link. Erst nach Klick auf diesen Link gilt Ihre Zugangsanfrage als bestätigt. Unbestätigte Anfragen werden nach 7 Tagen automatisch gelöscht.

Zweck und Rechtsgrundlage: Wir verarbeiten die Daten, um Ihnen einen persönlichen Zugangscode bereitzustellen und den Vertragsschluss anzubahnen (Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Maßnahmen). Informationen zum Start versenden wir auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO sowie § 7 Abs. 2 Nr. 2 UWG); diese Einwilligung erfolgt mittels aktiver Checkbox im Formular und Klick auf den Bestätigungslink in der DOI-E-Mail und ist jederzeit über den Abmeldelink in jeder E-Mail widerrufbar.

Speicherort: Die Daten der Zugangsanfrage werden in der Cloudflare KV-Datenbank (Cloudflare Workers KV) gespeichert. Cloudflare KV ist ein Edge-Storage-Dienst der Cloudflare, Inc. (USA). Cloudflare ist unter dem EU-U.S. Data Privacy Framework (DPF) zertifiziert (Art. 45 DSGVO Angemessenheitsbeschluss). Zusätzlich greifen Standardvertragsklauseln (SCCs) der EU-Kommission nach Art. 46 Abs. 2 DSGVO, falls der DPF-Status entfällt.

Speicherdauer: Unbestätigte Anfragen werden nach 7 Tagen automatisch gelöscht. Bestätigte Anfragen speichern wir bis zur Bereitstellung des Zugangs, längstens 12 Monate nach dem letzten Kontakt, oder bis zum Widerruf Ihrer Einwilligung. Sie können Ihre Anfrage jederzeit über den Abmelde-Link in jeder E-Mail oder per Anfrage an [email protected] zurückziehen; Ihr Eintrag wird dann unverzüglich gelöscht.

4.3 DSGVO-Checkliste (Lead-Magnet)

Auf der Seite newprime.studio/dsgvo-checkliste bieten wir eine kostenlose PDF-Checkliste zum Download an. Sie können wählen, ob Sie nur das PDF erhalten möchten (kein Newsletter, keine Speicherung Ihrer Daten) oder zusätzlich einen Zugang anfordern möchten (Double-Opt-In wie unter Punkt 4.2 beschrieben).

Wenn Sie nur das PDF herunterladen (Checkbox für die Zugangsanfrage nicht aktiviert), wird Ihre E-Mail-Adresse nicht in unserer Datenbank gespeichert. Lediglich die Cloudflare-Server-Logs erfassen den API-Aufruf für maximal 72 Stunden zu Sicherheits- und Diagnose-Zwecken (vgl. Punkt 2). Wenn Sie zusätzlich die Checkbox für die Zugangsanfrage aktivieren, gelten die Bedingungen aus 4.2 (Double-Opt-In).

4.4 E-Mail-Versand (Resend)

Bestätigungs-, Welcome- und Abmelde-E-Mails werden über den Dienstleister Resend (Resend Inc., 2261 Market Street #4253, San Francisco, CA 94114, USA) versendet. Resend ist nach EU-U.S. Data Privacy Framework zertifiziert. Es besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO.

5. Externe Dienste

Schriftarten (Self-Hosted)

Diese Website verwendet die Schriftarten Bebas Neue und Montserrat. Die Schriftarten werden lokal auf unserem Server gehostet (Self-Hosting). Es findet keine Verbindung zu Google-Servern statt und es werden keine Daten an Google oder andere Dritte übermittelt.

6. Unterauftragsverarbeiter (Subprocessors)

Im Rahmen der Bereitstellung unserer Software „New Prime“ (erreichbar unter app.newprime.studio) setzen wir die nachfolgend genannten Dienstleister als Unterauftragsverarbeiter ein. Mit allen Dienstleistern wurden – soweit erforderlich – Auftragsverarbeitungsverträge nach Art. 28 DSGVO abgeschlossen. Die stets aktuelle Übersicht mit Sitz und Absicherung findest du gesammelt unter /subprozessoren.

Alle Dienstleister mit Sitz außerhalb der EU sind durch Standardvertragsklauseln (SCCs) der EU-Kommission gebunden. Cloudflare ist darüber hinaus unter dem EU-U.S. Data Privacy Framework zertifiziert.

Einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO stellen wir unseren Kunden zur Verfügung. Nähere Informationen hierzu finden Sie auf unserer Seite AVV (Auftragsverarbeitungsvertrag).

7. KI-gestützte Funktionen und Gesundheitsdaten

New Prime nutzt die Claude-API der Anthropic PBC (USA) für mehrere KI-gestützte Funktionen: den in-App Co-Trainer-Assistenten („Teddy"), kontextbezogene Coaching-Tipps, die Analyse von Mahlzeitenfotos sowie die Beantwortung fachlicher Fragen zu Training und Ernährung.

Welche Daten an Anthropic übermittelt werden: ausschließlich der Chat-Inhalt, den der/die Nutzer:in aktiv eingibt, sowie gegebenenfalls ein begrenzter Kontext aus dem Kundenprofil (z.B. Trainingsziel, Fitness-Level, aktueller Trainingsplan), soweit für die Beantwortung der konkreten Frage erforderlich. Es werden keine IBAN-, Zahlungs- oder Kontaktdaten an Anthropic gesendet. Namen werden vor der Übermittlung wo möglich pseudonymisiert (Nachname entfernt bzw. durch Platzhalter ersetzt).

Gesundheitsbezogene Daten: Da die App im Coaching-Kontext betrieben wird, können Nutzer:innen im KI-Chat freiwillig gesundheitsbezogene Informationen (z.B. Verletzungen, Schmerzen, Medikamente, PAR-Q-Angaben, Stimmung, Schlaf) teilen. Diese sind besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO.

Rechtsgrundlage für die Verarbeitung solcher Angaben ist Art. 9 Abs. 2 lit. h DSGVO (Verarbeitung für Zwecke der Gesundheitsvorsorge und des Trainings/Coachings) in Verbindung mit einer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die Nutzer:innen vor der ersten KI-Chat-Nutzung in der App aktiv erteilen. Die Einwilligung kann jederzeit in den Einstellungen zur Datenverarbeitung mit Wirkung für die Zukunft widerrufen werden.

Speicherung und technische Schutzmaßnahmen: Anthropic verarbeitet die übermittelten Daten ausschließlich zur Beantwortung der jeweiligen Anfrage und nicht zum Training seiner Modelle. Wir haben mit Anthropic einen Auftragsverarbeitungsvertrag (AVV / Data Processing Addendum) nach Art. 28 DSGVO abgeschlossen, der die Übermittlung in die USA durch Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO absichert. Anthropic speichert API-Anfragen standardmäßig für maximal 30 Tage zur Missbrauchsprävention (Abuse-Monitoring); danach erfolgt eine automatische Löschung. Der Ausschluss des Modell-Trainings ist vertraglich in den Commercial Terms von Anthropic zugesichert.

Automatisierte Entscheidungen: Die KI-Antworten sind rein informatorisch; eine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt. Medizinische Entscheidungen trifft der Nutzer eigenverantwortlich oder in Abstimmung mit einem/einer Arzt/Ärztin.

Widerspruch / Opt-Out: Wer die KI-Funktionen nicht nutzen möchte, kann sie in den Profil-Einstellungen vollständig deaktivieren. Ohne Einwilligung werden keine Chatinhalte an Anthropic übermittelt.

7.1 Voice-Log (Ernährungs-Eingabe per Sprache)

Im Ernährungs-Modul können Nutzer:innen Mahlzeiten per Sprache loggen. Die Spracherkennung läuft browser-nativ auf dem Endgerät über die Web Speech API — es wird kein Audio an Cloud-Anbieter gestreamt. Nur das fertige Transkript wird an die KI (Anthropic) übergeben, um Lebensmittel und Makros zu extrahieren. Nutzer:innen sehen das Transkript vor Absenden und können es korrigieren oder verwerfen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 9 Abs. 2 lit. a DSGVO (Einwilligung) bei gesundheitsbezogenen Angaben.

7.2 Meal-Scan (Foto-Erkennung von Mahlzeiten)

Beim Foto-Scanner wird das Foto der Mahlzeit zur Bild- und Nährwert-Erkennung an die Vision-API von Anthropic (USA) übermittelt. Die übertragenen Bilder werden nicht zum Training der Modelle verwendet und maximal 30 Tage gespeichert (siehe Punkt 7). Das erkannte Ergebnis (Items + Makros + Mikronährstoffe) wird im Kunden-Tagebuch gespeichert; das Original-Foto kann optional ebenfalls gespeichert werden (User-Wahl). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Nutzer:innen können den Food-Scanner in den Einstellungen deaktivieren.

7.3 Body-Photos (Vorher-Nachher-Galerie)

Kunden können freiwillig Fortschrittsfotos hochladen, die im verschlüsselten Supabase-Storage (EU-Frankfurt) abgelegt werden. Standardmäßig sind diese Fotos ausschließlich für den/die Eigentümer:in sowie den/die zuständigen Trainer:in sichtbar (Row-Level-Security). Zugriff durch andere Studio-Mitarbeiter:innen ist nur möglich, wenn explizite Sub-Berechtigungen gesetzt sind. Fotos können jederzeit einzeln gelöscht werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung beim Upload).

7.4 Korrelations-Insights (App-internes Profiling, keine automatisierte Entscheidung)

Die App berechnet aus den Daten des/der Nutzer:in automatisch Muster zwischen Schlaf, Training, Ernährung und Recovery — z. B. „weniger Schlaf führt im Mittel zu 12 % weniger Trainings-Volumen am Folgetag“. Diese Analyse erfolgt vollständig in unserer eigenen Infrastruktur (Supabase-DB + Edge Functions im EU-Frankfurt-Rechenzentrum). Es findet keine Übertragung an externe ML-Anbieter und keine Profilbildung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO statt. Nutzer:innen können die Insight-Anzeige in den Einstellungen deaktivieren. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und ergänzend Art. 9 Abs. 2 lit. a DSGVO, soweit besondere Kategorien einbezogen werden.

8. Gesundheits- und Wellness-Daten in der App (Art. 9 DSGVO)

Über die Coaching-Funktionen hinaus können in der App weitere gesundheitsbezogene Daten erhoben werden — alle ausschließlich auf freiwilliger Basis und mit explizitem Hinweis. Diese gelten als besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO und werden ausschließlich auf Grundlage einer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) verarbeitet.

• Anamnese / PAR-Q-Self-Service: Pre-Activity-Readiness-Fragen vor dem Training. Erhebung mit IP-Audit + Zeitstempel zur Nachweisführung der Einwilligung.
• Recovery- und HRV-Daten: Herzraten-Variabilität, Belastungs-Score, Strain-Coach. Verknüpfbar mit Wearable-Quellen (Apple Health auf iOS, Health Connect auf Android) auf ausdrückliche Einwilligung des/der Nutzer:in.
• Apple-Health-Daten (nur iOS-App): Schritte, Herzfrequenz, Ruhepuls, HRV, VO₂max, Atemfrequenz, Blutsauerstoff, Schlaf und abgeschlossene Trainings — nur mit expliziter Einwilligung über den iOS-Berechtigungsdialog; Zugriff jederzeit widerrufbar in den iOS-Einstellungen → Datenschutz → Health.
• Health-Connect-Daten (nur Android-App): Schritte, Schlaf, Gewicht, Herzfrequenzvariabilität (HRV), Trainingseinheiten, aktive Kalorien, Ernährung und Flüssigkeit — ausschließlich lesend, die App schreibt keine Daten nach Health Connect. Zugriff nur mit expliziter Einwilligung über den Health-Connect-Berechtigungsdialog, jederzeit widerrufbar unter Health Connect → App-Berechtigungen. Die Daten dienen ausschließlich der Berechnung der In-App-Werte (Recovery-Score, Schlafindex, Aktivität, Ernährungs-Übersicht); sie werden nicht für Werbung genutzt, nicht verkauft und nicht an Dritte weitergegeben. Löschung zusammen mit dem Nutzerkonto.
• Schlaf-Daten: Schlafphasen (Tief / REM / Wach), Quality-Score, Wochen-Trend.
• Cycle-Tracking (Menstruationszyklus): Optional zuschaltbar, Phase-basierte Trainings-Empfehlungen, Symptom-Logging. Strikt opt-in, jederzeit deaktivierbar.
• Wellness-Journal & Stimmungs-Tracking: Tägliche Selbstauskünfte zu Stimmung, Energie, Stress.
• Fitness-Test-Werte: ILB-Test (Kraft), McGill-Test (Rumpfausdauer), Y-Balance (Stabilität), Cooper-Test (Ausdauer) sowie weitere Messwerte (Gewicht, Umfänge, Körperfett etc.).
• Fortschrittsfotos: Siehe Punkt 7.3.

Speicherung: Alle gesundheitsbezogenen Daten werden ausschließlich in der EU (Supabase-Rechenzentrum Frankfurt) gespeichert, mit Ausnahme der in Punkt 7 beschriebenen KI-Chat-Verarbeitung (Anthropic, USA, Standardvertragsklauseln), soweit Nutzer:innen dort freiwillig Gesundheitsangaben teilen. Zugriff ist durch Row-Level-Security auf den/die Eigentümer:in sowie autorisierte Studio-Mitarbeiter:innen beschränkt.

Widerruf: Jede einzelne Einwilligung kann in den Profil-Einstellungen mit Wirkung für die Zukunft widerrufen werden. Auf Wunsch werden die zugrundeliegenden Daten zusätzlich gelöscht (Art. 17 DSGVO).

9. Authentifizierung & Anmelde-Sicherheit

Zum Schutz von Konten und sensiblen Daten setzen wir mehrere Sicherheits-Mechanismen ein:

• Adaptive 2-Faktor-Authentifizierung (2FA / MFA): Optional aktivierbar, mit TOTP-Authenticator-App. Geräte werden nach erstem 2FA-Code rollenbasiert 14–90 Tage als „vertraut“ markiert.
• Passkeys (WebAuthn / FIDO2): Phishing-resistente Anmeldung über Face ID, Touch ID, Windows Hello oder Hardware-Token. Wir speichern nur den öffentlichen Schlüssel, niemals biometrische Daten.
• Recovery-Codes: 10 einmalig nutzbare Backup-Codes für den 2FA-Verlust-Fall.
• Login-History: Die letzten 30 Tage werden mit IP, User-Agent (anonymisiert), Geräte-Hinweis und Zeitstempel protokolliert und sind unter „Einstellungen → Sicherheit“ einsehbar. Zweck: Erkennung verdächtiger Anmeldungen, Möglichkeit andere Sessions abzumelden.
• Passwort-Sicherheitsprüfung (Have I Been Pwned): Bei Registrierung und Passwortänderung prüfen wir, ob das gewählte Passwort in bekannten Datenlecks auftaucht. Dabei wird nach dem k-Anonymity-Verfahren ausschließlich ein 5-stelliger Präfix des SHA-1-Hashwerts an die API von Have I Been Pwned (Betreiber: Superlative Enterprises Pty Ltd, Australien) übermittelt — niemals das Passwort selbst, kein vollständiger Hash und keine Nutzerkennung. Ein Rückschluss auf Sie oder Ihr Passwort ist dem Dienst damit nicht möglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Verarbeitung, Art. 32 DSGVO). Ist der Dienst nicht erreichbar, entfällt die Prüfung ersatzlos.
• Server-Rate-Limits: 5 Fehl-Logins / 15 Minuten / Email = 15-Minuten-Sperre, 10 Fehl-Logins / 30 Minuten / IP = 60-Minuten-Sperre. Rechtsgrundlage Art. 32 DSGVO.

10. Angebote, Empfehlungen und Aufgaben-Benachrichtigungen (Studio-Funktionen)

Nutzt ein Studio bzw. Trainer die folgenden Funktionen, verarbeiten wir personenbezogene Daten in dessen Auftrag (Art. 28 DSGVO, AVV):

• Angebote an Interessenten ohne Nutzerkonto: Ein Studio kann ein Angebot per E-Mail an Kundinnen, Kunden oder Interessenten (Leads) versenden. Die E-Mail enthält einen Link, über den das Angebot ohne Registrierung online eingesehen und angenommen werden kann. Verarbeitet werden Name, E-Mail-Adresse, Angebotsinhalt sowie Zeitpunkt von Aufruf und Annahme (Nachweis des Vertragsschlusses). Der Link enthält ein zufälliges, nicht erratbares Token und verliert nach Ablauf des Angebots seine Gültigkeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO (Anbahnung und Durchführung des Vertrags des jeweiligen Studios).
• Empfehlungsprogramm: Mitglieder können einen persönlichen Empfehlungs-Code teilen. Meldet sich eine geworbene Person damit an, speichern wir die Verknüpfung zwischen werbender und geworbener Person, um die Prämie (Bonuspunkte bzw. Freimonate) zuzuordnen; das Studio wird über die erfolgreiche Empfehlung informiert. Die Teilnahme ist freiwillig. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.
• Aufgaben- und System-Benachrichtigungen: Wird einem Teammitglied eine Aufgabe zugewiesen oder steht ein Termin an, versenden wir eine Benachrichtigung in der App, als Push-Nachricht und per E-Mail. Verarbeitet werden Name, E-Mail-Adresse und der Aufgaben- bzw. Terminbezug. Diese Nachrichten sind zur Vertragsdurchführung erforderlich und daher nicht abbestellbar; reine Marketing-Nachrichten sind davon getrennt und jederzeit abbestellbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

11. Demo-Zugang (app.newprime.studio/demo)

Über unsere Demo können Interessenten die Software mit Beispieldaten ausprobieren, ohne ein Konto anzulegen.

• Erhobene Daten: Ihre E-Mail-Adresse sowie Zeitpunkt und technische Rahmendaten des Demo-Starts (zur Begrenzung von Missbrauch). Die Demo läuft anschließend auf einem gemeinsamen Demo-Konto mit rein fiktiven Beispieldaten — es entstehen keine echten Kunden-, Trainings- oder Zahlungsdaten.
• Zweck und Rechtsgrundlage: Bereitstellung des Demo-Zugangs und Schutz vor automatisierten Massenzugriffen auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO).
• Werbliche Ansprache nur mit Einwilligung: Beim Start der Demo können Sie optional ankreuzen, dass wir Ihnen Infos zu New Prime per E-Mail schicken dürfen (Art. 6 Abs. 1 lit. a DSGVO, § 7 UWG). Das Kästchen ist nicht vorbelegt, und die Demo läuft auch ohne Ihre Zustimmung uneingeschränkt — die Einwilligung ist keine Bedingung für die Nutzung. Wir dokumentieren Zeitpunkt und Wortlaut Ihrer Zustimmung als Nachweis (Art. 7 Abs. 1 DSGVO). Sie können jederzeit widerrufen — per Abmeldelink in jeder E-Mail oder formlos per Nachricht an uns; ohne Einwilligung nutzen wir Ihre Adresse ausschließlich für Rückfragen zum Demo-Zugang, nicht für Werbung.
• Bot-Schutz: Vor dem Start prüft hCaptcha (Intuition Machines, Inc., USA), ob die Anfrage von einem Menschen stammt. Dabei werden IP-Adresse und Interaktionsdaten an hCaptcha übermittelt; Grundlage sind Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).
• Speicherdauer: Demo-Anmeldungen werden nach 12 Monaten gelöscht, sofern kein Vertrag oder eine Einwilligung eine längere Aufbewahrung rechtfertigt. Auf Wunsch löschen wir Ihre Demo-Anmeldung jederzeit vorab — eine formlose E-Mail genügt.

12. Google-Kalender-Integration (optional)

Trainer:innen und Studio-Inhaber:innen können in den Profil-Einstellungen ihren persönlichen Google-Kalender mit New Prime verbinden. Die Verbindung ist strikt freiwillig und kann jederzeit in den Einstellungen wieder getrennt werden.

Welche Daten werden verarbeitet:

• OAuth-Refresh-Token (verschlüsselt in unserer Datenbank gespeichert)
• Termininformationen aus dem verbundenen Kalender (Titel, Zeitraum, Status)
• Termin-IDs für die Synchronisation

Wofür wir den Zugriff nutzen:

• Push-Sync: In New Prime gebuchte Trainings-Termine werden automatisch in den verbundenen Google-Kalender geschrieben (Titel: anonymisiert, z.B. „Personal Training — Vorname"; keine sensiblen Kunden-Details).
• Pull-Busy: Bestehende Termine im Google-Kalender werden als „belegt“ in den New-Prime-Kalender übernommen, damit keine Doppelbuchungen entstehen. Andere Mitarbeiter:innen Ihrer Organisation sehen weder Titel noch Details solcher Termine — lediglich, dass die Zeit blockiert ist (technisch durchgesetzt durch dreistufige Privacy-Architektur: Spalten-Berechtigungen, Owner-Filter in Datenbank-Sicht, Row-Level-Security).

Eingeforderter OAuth-Scope: https://www.googleapis.com/auth/calendar.events (Lesen und Schreiben von Kalender-Ereignissen). Wir fragen keine weiteren Google-Scopes ab — kein Zugriff auf Gmail, Drive, Kontakte oder andere Google-Dienste.

Datenweitergabe an Dritte: Die übermittelten Kalenderdaten werden ausschließlich für die oben genannten Synchronisierungs-Zwecke verarbeitet. Kein Verkauf, kein Sharing mit Dritten, keine Werbe-Profilbildung, kein KI-Modell-Training.

Speicherdauer: Solange die Verbindung aktiv ist. Beim Trennen der Verbindung wird der Refresh-Token gelöscht. Synchronisierte „belegt“-Blocks werden bei Trennung innerhalb von 24 Stunden aus unserer Datenbank entfernt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung durch Verbinden des Kalenders im Profil), gesichert durch Standardvertragsklauseln und EU-U.S. Data Privacy Framework.

Die Nutzung Ihrer Google-Daten durch New Prime entspricht der Google API Services User Data Policy einschließlich der „Limited Use"-Anforderungen.

13. Datenübertragung in Drittländer

Teile der oben genannten Dienstleister haben ihren Sitz außerhalb der Europäischen Union (insbesondere in den USA). Die Übertragung personenbezogener Daten erfolgt – soweit einschlägig – auf Grundlage des EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss gemäß Art. 45 DSGVO) und/oder auf Grundlage der von der EU-Kommission erlassenen Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 DSGVO. Eine Übermittlung darüber hinaus findet nicht statt.

14. Ihre Rechte

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO) – Welche Daten wir über Sie speichern
• Berichtigung (Art. 16 DSGVO) – Korrektur unrichtiger Daten
• Löschung (Art. 17 DSGVO) – Löschung Ihrer Daten, sofern keine Aufbewahrungspflicht besteht
• Einschränkung (Art. 18 DSGVO) – Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO) – Herausgabe in maschinenlesbarem Format
• Widerspruch (Art. 21 DSGVO) – Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen
• Widerruf (Art. 7 Abs. 3 DSGVO) – Erteilte Einwilligungen jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird

Zur Ausübung Ihrer Rechte genügt eine E-Mail an [email protected]. Wir antworten innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO).

Widerspruch gegen Werbung

Der Nutzung Ihrer Kontaktdaten zur Übersendung von nicht ausdrücklich angeforderter Werbung wird hiermit widersprochen. Wir behalten uns bei unverlangter Zusendung von Werbeinformationen rechtliche Schritte vor.

Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren:

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD)
Holstenstraße 98, 24103 Kiel
www.datenschutzzentrum.de

15. Automatisierte Entscheidungsfindung & Profiling

Eine automatisierte Einzelfallentscheidung im Sinne des Art. 22 DSGVO mit rechtlicher Wirkung oder erheblicher Beeinträchtigung der betroffenen Person findet nicht statt.

Die App nutzt allerdings app-internes Profiling im weiteren Sinne — konkret die unter Punkt 7.4 beschriebenen Korrelations-Insights (Auswertung eigener Daten zu Schlaf, Training, Ernährung, Recovery), die unter Punkt 7 beschriebenen KI-Coaching-Empfehlungen sowie unter Punkt 7.1–7.3 beschriebene KI-Erkennung. Diese Funktionen liefern ausschließlich informatorische Vorschläge. Jede Entscheidung mit rechtlicher Wirkung (Vertrag, Diagnose, medizinische Behandlung) trifft der/die Nutzer:in eigenverantwortlich oder in Abstimmung mit einem/einer Arzt/Ärztin.

Nutzer:innen können die Profiling-Funktionen in den Einstellungen einzeln deaktivieren (KI-Assistent, Korrelations-Insights, Food-Scanner usw.).

16. Aktualität

Diese Datenschutzerklärung hat den Stand 13.09.2026 und wird bei Bedarf angepasst (insbesondere bei Änderungen der eingesetzten Dienstleister, neuer Funktionen oder Rechtsgrundlagen). Die aktuelle Fassung ist jederzeit auf dieser Seite abrufbar. Wesentliche Änderungen teilen wir Interessenten mit bestätigter Zugangsanfrage zusätzlich per E-Mail mit.