GetBeyondShape Coaching-Plattform (GBS Digital) Stand: 5. September 2026 1. Wer für Ihre Daten verantwortlich ist Verantwortlich für die Verarbeitung Ihrer Daten in dieser Anwendung ist: GetBeyondShape GmbH Wienerstraße 188 70469 Stuttgart Vertreten durch den Geschäftsführer: Alexander Djordjevic Registergericht: Amtsgericht Stuttgart · HRB 802515 USt-IdNr.: DE458464453 E-Mail: support@getbeyondshape.de Was diese Erklärung abdeckt: ausschließlich unsere Coaching-Plattform — also die Anwendung, in der Sie als Klientin oder Klient Ihr Konto haben. Für unsere Website getbeyondshape.de und unsere Newsletter gilt eine eigene Datenschutzerklärung unter getbeyondshape.de/datenschutz. 2. Kurz vorweg Wir verarbeiten in dieser Anwendung Gesundheitsdaten. Das sind nach der Datenschutz-Grundverordnung besonders geschützte Daten, und wir behandeln sie entsprechend: Wir holen für jede Verarbeitung Ihre ausdrückliche Einwilligung ein — getrennt nach Zweck, nicht als Sammelklausel. Zugriff hat ausschließlich Ihr persönlicher Coach. Nicht unser Vertrieb, nicht unser Marketing. Wir nutzen Ihre Gesundheitsdaten niemals für Werbung und geben sie nicht an Dritte weiter. Wir setzen kein Tracking, keine Analyse-Werkzeuge und keine Werbe-Cookies in dieser Anwendung ein. Sie können jede Einwilligung jederzeit selbst widerrufen und Ihre Daten jederzeit exportieren oder löschen lassen. 3. Ihr Nutzerkonto Um die Plattform zu nutzen, legen wir für Sie ein Konto an. Verarbeitete Daten: Name, E-Mail-Adresse, verschlüsseltes Passwort, Zeitpunkt der letzten Anmeldung, technische Verbindungsdaten beim Zugriff. Zweck: Bereitstellung Ihres Zugangs und Zuordnung Ihrer Coaching-Daten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung Ihres Coaching-Vertrages. 4. Gesundheitsdaten im Coaching 4.1 Welche Daten Anamnese: Vorerkrankungen, Medikamente, Nahrungsergänzungsmittel, Beschwerden und Symptome Laborwerte: Hormonwerte einschließlich Testosteron, Blutbild, Entzündungs- und Stoffwechselwerte, Schwermetallbelastung — soweit Sie sie uns zur Verfügung stellen Selbstauskünfte: Fragebögen zu Energie, Schlaf, Stress und Libido Körperdaten: Gewicht, Körperzusammensetzung, Umfänge sowie Fotos, soweit Sie sie hochladen Verlaufsdaten: Ernährungs-, Trainings- und Schlafprotokolle, wöchentliche Check-ins Gesprächsdokumentation: Notizen aus Ihren Coaching-Terminen Wearable-Daten, siehe Abschnitt 6 4.2 Zweck Ausschließlich Ihre Betreuung im gebuchten Coaching-Programm: Ihren Ausgangspunkt verstehen, Empfehlungen auf Sie zuschneiden, Ihre Entwicklung gemeinsam mit Ihnen nachvollziehen. 4.3 Rechtsgrundlage Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO. Wir weisen ausdrücklich darauf hin, dass unser Coaching keine Heilbehandlung darstellt. Wir stützen uns deshalb nicht auf Art. 9 Abs. 2 lit. h DSGVO. Ihre ausdrückliche Einwilligung ist zwingende Voraussetzung dafür, dass wir Sie betreuen können. 4.4 Wer Zugriff hat Ihr persönlicher Coach — derzeit ausschließlich Alexander Djordjevic als Geschäftsführer und verantwortlicher Coach. Eine einzige Person. Sollte sich das ändern, informieren wir Sie vorher und holen Ihre Einwilligung erneut ein. Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet — auch nach dem Ende ihrer Tätigkeit für uns. 5. Ihre Einwilligungen Wir erfassen fünf voneinander getrennte Einwilligungen. Jede können Sie einzeln erteilen und einzeln widerrufen, jederzeit in Ihren Einstellungen unter „Meine Einwilligungen". AGB und Datenschutz — Grundlage der Nutzung (erforderlich) Gesundheitsdaten — Verarbeitung nach Abschnitt 4 (erforderlich) Einsicht durch den Coach — Ihre Betreuung (erforderlich) WHOOP-Anbindung — Wearable-Daten nach Abschnitt 6 (freiwillig) Withings-Anbindung — Waagendaten nach Abschnitt 7 (freiwillig) Die ersten drei sind Voraussetzung dafür, dass wir Sie coachen können — sie betreffen den Kern der Leistung, die Sie gebucht haben. Die WHOOP- und Withings-Anbindung sind davon unabhängig: Ihr Coaching funktioniert vollständig ohne sie. Zum Widerruf: Er wirkt ab sofort und für die Zukunft. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Wir bewahren den Nachweis Ihrer Einwilligung und Ihres Widerrufs auf, weil wir gesetzlich belegen können müssen, auf welcher Grundlage wir verarbeitet haben (Art. 5 Abs. 2 DSGVO). Dieser Nachweis enthält keine Gesundheitsdaten. 6. Anbindung von WHOOP Freiwillig. Nur wenn Sie Ihr WHOOP-Konto selbst verbinden. 6.1 Wie die Verbindung entsteht Über das offizielle Autorisierungsverfahren von WHOOP (OAuth 2.0). Wir erhalten zu keinem Zeitpunkt Ihre WHOOP-Zugangsdaten. Bevor wir Sie zu WHOOP weiterleiten, zeigen wir Ihnen einen eigenen Einwilligungsdialog. 6.2 Welche Daten wir speichern Dauerhaft gespeichert werden ausschließlich diese neun Werte: Recovery-Score · Herzratenvariabilität (HRV) · Ruheherzfrequenz · Schlafdauer · Schlaf-Performance · REM-Schlaf · Tiefschlaf · Tages-Strain · Energieverbrauch Die Antwort der WHOOP-Schnittstelle enthält darüber hinaus weitere Werte — unter anderem Sauerstoffsättigung, Hauttemperatur, Atemfrequenz, Leicht- und Wachphasen sowie Sportart, Distanz und Herzfrequenzzonen. Diese Werte verwerfen wir unmittelbar nach dem Empfang und speichern sie nicht. Wir fragen die Berechtigungen read:profile (Name, E-Mail) und read:body_measurement (Größe, Gewicht, maximale Herzfrequenz) bewusst nicht an. Herzratenvariabilität, Ruheherzfrequenz und Schlafdaten sind Gesundheitsdaten nach Art. 4 Nr. 15 DSGVO. 6.3 Zweck und Rechtsgrundlage Anpassung Ihrer Coaching-Empfehlungen an Ihre tatsächliche Regeneration, Ihren Schlaf und Ihre Belastung. Rechtsgrundlage: Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO. Wir nutzen Ihre WHOOP-Daten ausdrücklich nicht für Werbung, Retargeting oder Zielgruppenbildung, nicht zum Training von KI-Modellen, nicht für automatisierte Entscheidungen nach Art. 22 DSGVO — und wir verkaufen, vermieten oder lizenzieren sie nicht. 6.4 Übermittlung in die USA Betreiberin ist die WHOOP, Inc., 1325 Boylston Street, Boston, MA 02215, USA. Beim Abruf werden personenbezogene Daten an Server in den USA übermittelt. Dort besteht kein Datenschutzniveau, das dem der Europäischen Union entspricht. Es kann nicht ausgeschlossen werden, dass US-Behörden auf dort verarbeitete Daten zugreifen; wirksame Rechtsbehelfe dagegen stehen Ihnen möglicherweise nicht zur Verfügung. Die Übermittlung erfolgt auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO, über die wir Sie vorher gesondert informieren. 6.5 Verhältnis zu WHOOP WHOOP, Inc. ist für die Verarbeitung innerhalb der WHOOP-Plattform eigenständig verantwortlich und nicht unser Auftragsverarbeiter. Es gilt dort die Datenschutzerklärung von WHOOP: whoop.com/privacy Wir stehen zu WHOOP in keiner Geschäftsbeziehung, die über die Nutzung der öffentlichen Entwicklerschnittstelle hinausgeht. Unser Coaching wird von WHOOP weder geprüft noch empfohlen. WHOOP ist eine eingetragene Marke der WHOOP, Inc. 6.6 Verbindung trennen Jederzeit in Ihren Einstellungen unter „Geräte". Wir entziehen dann sofort unseren Zugriff bei WHOOP und löschen die bezogenen Daten innerhalb von 30 Tagen. Unabhängig davon können Sie uns den Zugriff jederzeit direkt in Ihrem WHOOP-Konto entziehen. 7. Weitere Datenquellen und Dienste Withings. Falls Sie eine Withings-Waage verbinden, gilt das Verfahren aus Abschnitt 6 sinngemäß: eigener Einwilligungsdialog vor dem OAuth-Redirect, freiwillig, jederzeit trennbar. Anbieterin ist die Withings SA, Frankreich — innerhalb der EU, keine gesonderte Einwilligung zu einer Drittlands-Übermittlung nötig. Dauerhaft gespeichert werden ausschließlich drei Werte: Gewicht, Körperfettanteil und Muskelanteil — Letzterer berechnet aus Muskelmasse und Gewicht derselben Messung. Withings-Waagen liefern je nach Modell weitere Werte, etwa Wasseranteil, Knochenmasse oder Herzfrequenz; diese verwerfen wir unmittelbar nach dem Empfang. Push-Benachrichtigungen. Wenn Sie sie aktivieren, läuft die Zustellung technisch über die Dienste von Google (Firebase Cloud Messaging), Apple (Push Notification Service) und Mozilla. Unsere Benachrichtigungen enthalten bewusst keine Inhalte und keine Gesundheitsdaten — nur einen neutralen Hinweis, dass es etwas Neues gibt. Rechtsgrundlage: Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, jederzeit in den Einstellungen widerrufbar. Open Food Facts. Für die Lebensmittelsuche im Ernährungsbereich fragen wir die offene Produktdatenbank Open Food Facts ab. Übermittelt werden dabei Ihr Suchbegriff oder ein gescannter Barcode — keine personenbezogenen Daten und kein Bezug zu Ihrem Konto. 8. Hosting und Auftragsverarbeiter Dienstleister · Aufgabe · Standort Supabase · Datenbank, Anmeldung, Dateispeicher · Irland (eu-west-1) Vercel · Betrieb der Anwendung, Serverfunktionen · Frankfurt (fra1) Mit beiden Anbietern besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO einschließlich der EU-Standardvertragsklauseln. Wir setzen in dieser Anwendung nicht ein: keine Analyse- oder Tracking-Werkzeuge, keine Fehlerprotokollierung bei Drittanbietern, keine Werbenetzwerke, keine KI-Schnittstellen. Es gibt in dieser Anwendung keine Werbe-Cookies und deshalb auch kein Cookie-Banner. Wir verwenden ausschließlich technisch notwendige Cookies, um Ihre Anmeldung aufrechtzuerhalten (§ 25 Abs. 2 Nr. 2 TDDDG). 9. Wie lange wir speichern Daten · Frist Gesundheits- und Coaching-Daten · Vertragsdauer und danach 12 Monate, damit Sie wieder einsteigen können Einzelne Wearable-Messwerte · automatische Löschung, sobald älter als 400 Tage Wearable-Daten nach Trennung der Verbindung · 30 Tage Nutzerkonto · bis zur Löschung durch Sie oder 12 Monate nach Vertragsende Nachweis Ihrer Einwilligungen · 3 Jahre nach Kontolöschung, danach endgültige Löschung Rechnungs- und Vertragsunterlagen · bis zu 10 Jahre, gesetzliche Aufbewahrungspflicht — enthalten keine Gesundheitsdaten Sicherungskopien. Wir erstellen regelmäßige Sicherungen, um Ihre Daten bei einem technischen Zwischenfall wiederherstellen zu können. Diese Sicherungen werden nach 30 Tagen automatisch gelöscht. Wenn Sie eine Löschung verlangen, entfernen wir Ihre Daten sofort aus dem laufenden Betrieb — aus bereits erstellten Sicherungen verschwinden sie mit deren regulärem Ablauf, spätestens also nach 30 Tagen. Wir greifen in diesem Zeitraum nicht auf die Sicherungen zu, außer zur Wiederherstellung nach einem Zwischenfall. Wenn Sie Ihr Konto löschen: Wir löschen sofort und unwiederbringlich Ihre Gesundheits-, Coaching- und Wearable-Daten, Ihre Notizen, Protokolle, Dateien und Nachrichten. Ihre Identität im System wird anonymisiert. Erhalten bleiben nur der Nachweis Ihrer Einwilligungen und Ihre Rechnungsunterlagen — erstere für 3 Jahre, weil wir belegen können müssen, auf welcher Grundlage wir verarbeitet haben (Art. 17 Abs. 3 lit. e in Verbindung mit Art. 5 Abs. 2 DSGVO), letztere aufgrund gesetzlicher Pflicht. 10. Datensicherheit Wir schützen Ihre Daten durch technische und organisatorische Maßnahmen nach Art. 32 DSGVO: Verschlüsselte Übertragung (TLS) auf allen Wegen Verschlüsselte Speicherung Zeilenbasierte Zugriffskontrolle in der Datenbank: Sie sehen ausschließlich Ihre eigenen Daten. Die Zugriffstokens Ihrer verbundenen Geräte erreichen niemals Ihren Browser. Protokolldateien ohne Gesundheitsdaten Regelmäßige Sicherungskopien Kommt es zu einer Verletzung des Schutzes Ihrer Daten, informieren wir Sie unverzüglich, sofern die gesetzlichen Voraussetzungen vorliegen (Art. 34 DSGVO), und melden den Vorfall der Aufsichtsbehörde (Art. 33 DSGVO). 11. Ihre Rechte Sie haben jederzeit das Recht auf: Auskunft (Art. 15) — welche Daten wir über Sie verarbeiten Berichtigung (Art. 16) — Korrektur unrichtiger Daten Löschung (Art. 17) Einschränkung der Verarbeitung (Art. 18) Datenübertragbarkeit (Art. 20) — Ihre Daten in einem maschinenlesbaren Format Widerspruch (Art. 21) Widerruf erteilter Einwilligungen (Art. 7 Abs. 3) — jederzeit und mit Wirkung für die Zukunft Vieles davon können Sie selbst erledigen: In Ihren Einstellungen finden Sie unter „Meine Einwilligungen" den Widerruf jeder einzelnen Einwilligung und bei jedem verbundenen Gerät unter „Meine Daten" einen Export der davon bezogenen Messwerte. Ein Export sämtlicher Coaching-Daten über die Oberfläche ist in Vorbereitung; bis dahin stellen wir Ihnen Ihre vollständigen Daten auf Anfrage an support@getbeyondshape.de zur Verfügung. Die Löschung Ihres Kontos veranlassen wir für Sie: Schreiben Sie uns an support@getbeyondshape.de. Wir bestätigen den Eingang und führen die Löschung nach dem in Abschnitt 9 beschriebenen Verfahren durch, spätestens innerhalb eines Monats. Für alles Weitere: support@getbeyondshape.de. Wir antworten in der Regel innerhalb von zwei Werktagen, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Beschwerderecht. Sie können sich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg Lautenschlagerstraße 20, 70173 Stuttgart 12. Keine medizinische Beratung Unser Coaching und die in dieser Anwendung dargestellten Werte dienen der Förderung von Wohlbefinden, Fitness und Lebensstil. Sie stellen keine medizinische Diagnose, Behandlung, Heilung oder Vorbeugung von Krankheiten dar und ersetzen keine ärztliche Beratung. Diese Anwendung ist kein Medizinprodukt im Sinne der Verordnung (EU) 2017/745. Bei gesundheitlichen Beschwerden wenden Sie sich bitte an eine Ärztin oder einen Arzt. 13. Änderungen dieser Erklärung Wir passen diese Erklärung an, wenn sich die Anwendung ändert. Bei inhaltlichen Änderungen, die Ihre Einwilligungen betreffen, bitten wir Sie bei der nächsten Anmeldung um erneute Zustimmung — Sie erfahren also davon, statt es übersehen zu können. Fassung 1.0, Stand 5. September 2026.