Datenschutzerklärung für Coaches

Version: 2026-08-24
Gültig ab: 24. August 2026

Die deutsche Fassung ist maßgeblich. Eine englische Übersetzung dieses Dokuments wird zur Erleichterung des Verständnisses bereitgestellt.

1. Einleitung und Geltungsbereich

(1) Die Gain. Fitness GmbH, Kelchweg 3, 8048 Zürich, Schweiz (nachfolgend „Gain“, „wir“ oder „uns“) betreibt die Coaching-Plattform „Gain“ einschließlich der Coach-Webanwendung (nachfolgend die „Plattform“).

(2) Diese Datenschutzerklärung richtet sich an Sie als Coachin oder Coach (nachfolgend „Coach“), das heißt als Person, die die Plattform zur Betreuung ihrer Kundinnen und Kunden (nachfolgend „Athleten“) nutzt.

(3) Sie erfahren hier zweierlei:

• welche personenbezogenen Daten über Sie wir verarbeiten, zu welchen Zwecken, auf welcher Rechtsgrundlage, wer sie erhält, wie lange sie gespeichert werden und welche Rechte Ihnen zustehen (Ziffern 4 bis 16);
• in welcher datenschutzrechtlichen Rolle Sie die Daten Ihrer Athleten auf der Plattform verarbeiten und welche Pflichten sich daraus für Sie ergeben (Ziffern 2, 3, 5 und 6).

(4) Wir halten insbesondere ein:

• die Datenschutz-Grundverordnung (DSGVO) — für Coaches in der EU/im EWR gemäß Art. 3 Abs. 2 DSGVO;
• das Schweizer Bundesgesetz über den Datenschutz (revDSG);
• den California Consumer Privacy Act (CCPA/CPRA), soweit anwendbar (Ziffer 14).

(5) Für Athletinnen und Athleten gilt eine eigene Datenschutzerklärung unter https://gain-app.com/privacy/athlete. Der vollständige Text der Vereinbarung über die gemeinsame Verantwortlichkeit ist unter https://gain-app.com/legal/joint-controller-agreement abrufbar; die Nutzungsbedingungen für Coaches finden Sie unter https://gain-app.com/terms/coach.

2. Verantwortliche Stellen — wer ist wofür verantwortlich?

Auf der Plattform gibt es drei voneinander abgegrenzte Verantwortungsbereiche. Diese Aufteilung hat sich gegenüber früheren Fassungen dieser Datenschutzerklärung geändert: Gain ist nicht länger alleiniger Verantwortlicher für sämtliche Athletendaten, und Sie sind nicht länger lediglich „autorisierte Nutzerin oder autorisierter Nutzer“ der Plattform.

2.1 Gain als alleiniger Verantwortlicher

Gain. Fitness GmbH ist alleiniger Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für:

• Ihre Konto-, Registrierungs- und Authentifizierungsdaten (Ziffer 4.1);
• technische Daten und Diagnosedaten einschließlich der Zugriffsprotokolle (Ziffern 4.4 und 4.6);
• Abrechnungs- und Zahlungsdaten im Verhältnis zwischen Ihnen und Gain sowie die Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten (Ziffer 4.3);
• Reichweitenmessung und Conversion-Tracking, insbesondere die Conversion-Messung bei Ihrer Registrierung (Ziffer 4.5);
• Sicherheit, Missbrauchs- und Betrugsprävention der Plattform;
• sämtliche Daten von Nutzenden ohne Coach (Solo-Nutzung), einschließlich deren Gesundheitsdaten.

Kontakt: privacy@gain-app.com.

2.2 Gain und Sie als gemeinsam Verantwortliche

Sobald ein Athletenkonto mit Ihrem Coach-Konto verknüpft ist, sind Gain und Sie gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO für die Coaching-Daten dieses Athleten. Das sind die folgenden acht Datenkategorien:

Diese Daten sind ganz überwiegend Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO.

Die gemeinsame Verantwortlichkeit für einen einzelnen Athleten beginnt mit der Verknüpfung dieses Athleten mit Ihrem Coach-Konto (angenommene Einladung); importierte historische Daten unterliegen ihr ab dem Import (Ziffer 6). Sie endet mit der Aufhebung dieser Verknüpfung. Die Aufteilung der Pflichten zwischen Gain und Ihnen beschreibt Ziffer 3.

2.3 Sie als alleiniger Verantwortlicher

Für alles, was Sie außerhalb der Plattform verarbeiten, sind Sie allein verantwortlich. Dazu gehören insbesondere:

• Ihre eigenen Notizen, Tabellenkalkulationen, Vorsysteme und sonstigen Aufzeichnungen außerhalb der Plattform;
• Ihre Kommunikation mit Athleten außerhalb der Plattform (z. B. E-Mail, Messenger, Telefon, persönliche Gespräche);
• Vertragsanbahnung, Rechnungsstellung und Buchhaltung gegenüber Ihren Athleten;
• Ihre Marketing- und Werbemaßnahmen.

Gain ist für diese Verarbeitungen weder Verantwortlicher noch Auftragsverarbeiter. Diese Datenschutzerklärung gilt hierfür nicht. Sie erfüllen die datenschutzrechtlichen Pflichten insoweit eigenverantwortlich und müssen Ihre Athleten über Ihre eigenen Verarbeitungen gesondert informieren.

Übernehmen Sie Daten aus Ihrem alleinigen Verantwortungsbereich in die Plattform (Datenimport, Ziffer 6), unterliegen diese Daten ab dem Import der gemeinsamen Verantwortlichkeit nach Ziffer 2.2. Die Rechtmäßigkeit der Erhebung und des Besitzes vor dem Import verbleibt in Ihrer alleinigen Verantwortung.

2.4 Übersicht

3. Wesentlicher Inhalt der Vereinbarung über die gemeinsame Verantwortlichkeit (Art. 26 DSGVO)

(1) Grundlage der gemeinsamen Verantwortlichkeit nach Ziffer 2.2 ist die Vereinbarung über die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO („Joint Controller Agreement“, nachfolgend die „Vereinbarung“). Sie nehmen diese Vereinbarung im Rahmen des Onboardings ausdrücklich an (Click-Accept); die Annahme wird mit Versionskennung und Zeitstempel protokolliert. Die angenommene Fassung können Sie jederzeit in Ihrem Coach-Konto einsehen und als PDF herunterladen. Der vollständige Text ist öffentlich abrufbar unter https://gain-app.com/legal/joint-controller-agreement.

(2) Die Vereinbarung ist keine Auftragsverarbeitungsvereinbarung im Sinne von Art. 28 DSGVO. Keine Partei verarbeitet die Coaching-Daten weisungsgebunden für die andere.

(3) Die Vereinbarung weist die datenschutzrechtlichen Pflichten wie folgt zu:

(4) Anlaufstelle ist Gain. Betroffene Personen können sich unter privacy@gain-app.com an uns wenden. Erhalten Sie eine Anfrage einer betroffenen Person, die sich auf die Verarbeitung innerhalb der Plattform bezieht, leiten Sie diese unverzüglich, spätestens innerhalb von drei (3) Werktagen an privacy@gain-app.com weiter und informieren die betroffene Person über die Weiterleitung. Sie beantworten solche Anfragen nicht eigenständig. Die zur Beantwortung erforderlichen Auskünfte erteilen Sie uns innerhalb von fünf (5) Werktagen nach Aufforderung, damit die Frist des Art. 12 Abs. 3 DSGVO eingehalten werden kann.

(5) Art. 26 Abs. 3 DSGVO. Ungeachtet dieser Aufteilung kann die betroffene Person ihre Rechte bei und gegenüber jeder der beiden Parteien geltend machen. Weder Gain noch Sie dürfen eine betroffene Person allein unter Verweis auf die Vereinbarung zurückweisen.

(6) Haftung. Nach Art. 82 Abs. 4 DSGVO haftet jeder gemeinsam Verantwortliche für den gesamten Schaden. Im Innenverhältnis gleichen Gain und Sie den Schaden nach den jeweiligen Verantwortungsanteilen aus (Art. 82 Abs. 5 DSGVO). Die Aufteilung der Pflichten in Absatz 3 lässt die gesetzliche Verantwortlichkeit beider Parteien unberührt.

(7) Ihre wesentlichen Pflichten ergeben sich im Einzelnen aus § 10 der Vereinbarung, insbesondere: Zweckbindung (Verarbeitung der Athletendaten ausschließlich zu Coaching-Zwecken), strenge Vertraulichkeit auch nach Beendigung, Zugangsdatenhygiene und Endgerätesicherheit, keine Eingabe oder kein Import von Gesundheitsdaten vor abgeschlossenem Onboarding einschließlich der Einwilligung, kein Export und keine Massenauszüge über Ihren eigenen rechtmäßigen Verantwortungsbereich hinaus, Datenqualität sowie Mitwirkung nach den Absätzen 4 und 5.

4. Kategorien der von uns über Sie verarbeiteten Daten

4.1 Konto- und Authentifizierungsdaten

Bei der Einrichtung Ihres Coach-Kontos über unseren Authentifizierungsdienstleister (Auth0) verarbeiten wir:

• Name
• E-Mail-Adresse
• Profilbild
• pseudonyme Nutzerkennung (Auth0-ID)

4.2 Von Ihnen erstellte Inhalte

Die Inhalte, die Sie in der Plattform erstellen — insbesondere Trainings- und Ernährungspläne, Check-in-Feedback, Notizen und benutzerdefinierte Tracking-Felder —, werden Ihrem Coach-Konto zugeordnet und Ihren verknüpften Athleten angezeigt. Soweit diese Inhalte personenbezogene Daten Ihrer Athleten enthalten, gilt hierfür Ziffer 2.2.

4.3 Abrechnungs- und Zahlungsdaten

Nach Ablauf der Testphase setzt die weitere Nutzung der Plattform ein kostenpflichtiges Abonnement unmittelbar mit Gain voraus (§ 12 der Nutzungsbedingungen für Coaches). Für dessen Abwicklung verarbeiten wir die erforderlichen Vertrags-, Abrechnungs- und Zahlungsdaten (z. B. Abonnementstatus, Rechnungsangaben, Zahlungsstatus, Anzahl der abgerechneten aktiven Klienten). Die Zahlungsabwicklung erfolgt über Stripe (Ziffer 9.1); vollständige Kartendaten erhalten wir dabei nicht. Für diese Daten ist Gain allein verantwortlich; sie unterliegen den gesetzlichen handels- und steuerrechtlichen Aufbewahrungsfristen (Ziffer 11).

Rechnen Sie Ihre Coaching-Leistungen unmittelbar mit Ihren Athleten ab, sind hierfür allein Sie verantwortlich (Ziffer 2.3).

4.4 Technische Daten und Diagnosedaten

Über Sentry erheben wir in begrenztem Umfang technische Daten:

• Namen von Ausnahme-Klassen (Exception-Klassen)
• Stack-Traces
• Performance-Traces
• Breadcrumb-Meldungen von einer Positivliste
• Browsertyp und -version
• Betriebssystemversion
• pseudonyme Nutzerkennung (Auth0-ID)

Name, E-Mail-Adresse und IP-Adresse werden in Diagnoseprotokollen nicht absichtlich gespeichert. Zur IP-Adresse, die bei der Übermittlung des Conversion-Ereignisses an Meta verarbeitet wird, siehe Ziffer 4.5.

Absturzprotokolle werden für höchstens 90 Tage aufbewahrt, sofern sie nicht für Sicherheitsuntersuchungen benötigt werden.

4.5 Conversion-Messung bei Ihrer Registrierung

(1) Wenn Sie die Registrierung als Coach abschließen, übermitteln wir gegebenenfalls ein einmaliges Conversion-Ereignis (ein Lead-Ereignis über die Meta Conversions API) an Meta Platforms, Inc. („Meta“), um die Wirksamkeit unserer Werbekampagnen zu messen.

(2) Das Ereignis wird nur übermittelt, wenn Attributionsdaten vorliegen. Mindestens eines der folgenden Signale muss vorhanden sein:

• das Meta-Pixel-Cookie _fbp, das von Metas Skript fbevents.js in Ihrem Browser gesetzt wird (dies geschieht nur, wenn Sie Analyse-/Messungs-Cookies über den Cookie-Banner akzeptiert haben), oder
• das Meta-Pixel-Cookie _fbc, gesetzt von fbevents.js, oder
• ein Eintrag metaFbclid in Ihrem sessionStorage mit der Meta-Klick-Kennung aus dem URL-Parameter fbclid, die beim Öffnen der Anwendung erfasst wurde (Ziffer 16.1).

Liegt keines dieser Signale vor — etwa weil Sie den Cookie-Banner abgelehnt haben und nicht über eine Meta-Anzeige gekommen sind —, wird kein Conversion-Ereignis übermittelt.

(3) Übermittelt werden in diesem Fall:

• ein SHA-256-Hash Ihrer E-Mail-Adresse (die Klartext-Adresse verlässt unsere Server nicht)
• Ihre IP-Adresse (von unserem Server beobachtet, bei uns über die Anfrage hinaus nicht gespeichert)
• der Browser-User-Agent
• die URL der Seite, auf der die Registrierung abgeschlossen wurde
• eine zufällig erzeugte Ereigniskennung (ausschließlich zur Entdopplung gegenüber einem etwaigen browserseitigen Pixel-Ereignis)
• die Meta-Browser-Kennung (_fbp) und/oder Klick-Kennung (_fbc), soweit vorhanden

(4) Diese Daten dienen ausschließlich dazu, Ihre Registrierung der entsprechenden Werbekampagne zuzuordnen und Conversion-Raten zu messen. Sie werden nicht für personalisierte Werbung, Profilbildung, Retargeting oder automatisierte Entscheidungsfindung verwendet.

(5) Meta ist für die empfangenen Daten unabhängiger Verantwortlicher und verarbeitet sie nach seiner eigenen Datenrichtlinie und den Nutzungsbedingungen für Unternehmen.

(6) Wir stützen diese Messung auf berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO), gestützt auf eine dokumentierte Interessenabwägung. Der Hinweis auf dem Registrierungsbildschirm informiert Sie im Zeitpunkt der Übermittlung. Sie können dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO) — per E-Mail an privacy@gain-app.com; siehe Ziffer 13.

4.6 Zugriffsprotokolle

Zugriffe auf Athletendaten werden zu Sicherheits- und Compliance-Zwecken protokolliert. Diese Protokolle sind auch Ihrem Coach-Konto zugeordnet und damit personenbezogene Daten über Sie. Für sie ist Gain allein verantwortlich; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Plattform, Nachweis- und Kontrollfähigkeit).

5. Einwilligung Ihrer Athleten in die Verarbeitung von Gesundheitsdaten (Art. 9 Abs. 2 lit. a DSGVO)

(1) Gain holt die Einwilligung ein — nicht Sie. Gain holt von jedem Athleten beim Onboarding eine ausdrückliche Einwilligung in die Verarbeitung seiner Gesundheitsdaten nach Art. 9 Abs. 2 lit. a DSGVO ein. Dies geschieht als gesonderter, ungebündelter Schritt, getrennt von der Annahme der Nutzungsbedingungen. Der Wortlaut der Einwilligungserklärung ist in der jeweils geltenden Fassung unter https://gain-app.com/legal/art9-consent veröffentlicht. Gain dokumentiert die Einwilligung nachweisbar (Fassung des Einwilligungstextes, Versionskennung, Zeitstempel; Art. 7 Abs. 1 DSGVO). Sie holen keine Einwilligung im Namen von Gain ein.

(2) Umfang der Einwilligung. Sie umfasst die Verarbeitung der Gesundheitsdaten nach Ziffer 2.2 zu Coaching-Zwecken, bedingt den Zugriff des mit dem Athleten verknüpften Coaches auf diese Daten sowie historische Daten, die Sie bereitstellen, einschließlich der aus Vorsystemen importierten Daten (Ziffer 6).

(3) Statusanzeige in der Plattform. Sie können den Einwilligungsstatus je Athlet in der Plattform einsehen. Sie dürfen sich auf die von Gain eingeholte Einwilligung verlassen. Liegt für einen Athleten keine Einwilligung vor, stehen Ihnen dessen Gesundheitsdaten in der Plattform nicht zur Verfügung.

(4) Kein Vorgriff. Sie dürfen Gesundheitsdaten eines Athleten erst dann in die Plattform eingeben oder importieren, wenn dieser Athlet das Onboarding einschließlich der Einwilligung abgeschlossen hat.

(5) Widerruf und Ihre Pflicht danach. Athleten können ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. In diesem Fall gilt:

• Gain sperrt und blendet die betroffenen Gesundheitsdaten aus; eine weitere Verarbeitung zu Coaching-Zwecken findet nicht mehr statt;
• Ihr Zugriff auf diese Daten wird entzogen;
• Gain benachrichtigt Sie unverzüglich über den Widerruf;
• Sie haben nach Erhalt dieser Benachrichtigung jede weitere Verarbeitung der betroffenen Gesundheitsdaten unverzüglich einzustellen. Das umfasst auch außerhalb der Plattform vorhandene Kopien und Auszüge; diese sind zu löschen oder zu sperren, sofern Sie nicht über eine eigene, fortbestehende Rechtsgrundlage verfügen oder einer gesetzlichen Aufbewahrungspflicht unterliegen;
• die endgültige Löschung erfolgt nach dem regulären Prozess der Kontolöschung (https://gain-app.com/account-deletion) bzw. nach den in der Datenschutzerklärung für Athleten genannten Aufbewahrungsfristen.

(6) Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

6. Datenimport aus Vorsystemen (Google Sheets)

(1) Übernehmen Sie historische Daten eines Athleten aus einem Vorsystem (z. B. einer Google-Sheets-Tabelle) in die Plattform, gelten ergänzend Anlage 2 der Vereinbarung (https://gain-app.com/legal/joint-controller-agreement) sowie die Nutzungsbedingungen für Coaches (https://gain-app.com/terms/coach).

(2) Voraussetzung: abgeschlossenes Onboarding und Einwilligung. Ein Import ist nur zulässig, wenn der betroffene Athlet die Einladung angenommen, das Onboarding abgeschlossen und die Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO erteilt hat (Ziffer 5). Vor Erteilung der Einwilligung werden keine historischen Daten an die Plattform übertragen; ein Import „auf Vorrat“ ist unzulässig.

(3) Ein Athlet je Tabelle. Jede zum Import übermittelte Tabelle darf die Daten genau eines Athleten enthalten und keine personenbezogenen Daten Dritter.

(4) Ihre Zusicherungen. Mit der Übermittlung sichern Sie zu, dass Sie die enthaltenen Daten rechtmäßig erhoben haben und rechtmäßig besitzen, dass Sie den betroffenen Athleten vor dem Import über die Übertragung informiert haben, dass die Daten inhaltlich richtig sind und dass keine Daten Dritter enthalten sind.

(5) Information vor dem Import (Art. 14 DSGVO). Die Information der betroffenen Person vor dem Import ist Ihre Pflicht (Ziffer 3 Abs. 3). Gain stellt hierfür eine Musterinformation bereit: https://gain-app.com/legal/migration-notice. Ihre Verwendung wird empfohlen.

(6) Löschung der Quelldatei. Gain löscht die zum Import übermittelte Quelldatei nach Abschluss des Imports. Für die in Ihrem eigenen Verantwortungsbereich verbleibenden Kopien bleiben Sie allein verantwortlich (Ziffer 2.3).

(7) Verantwortlichkeit ab dem Import. Ab dem Import unterliegen die übernommenen Daten der gemeinsamen Verantwortlichkeit nach Ziffer 2.2.

7. Rechtsgrundlagen der Verarbeitung

Gesundheitsbezogene Daten sind besondere Kategorien personenbezogener Daten. Für ihre Verarbeitung genügt Art. 6 Abs. 1 lit. b DSGVO allein nicht; es muss zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegen. Als solche Ausnahme stützen wir uns ausschließlich auf die ausdrückliche Einwilligung des Athleten nach Art. 9 Abs. 2 lit. a DSGVO (Ziffer 5).

Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

8. Zwecke der Verarbeitung

Wir verarbeiten Daten, um:

• die Plattform und die Coach-Funktionen bereitzustellen und zu betreiben;
• die Betreuung Ihrer Athleten und die Zusammenarbeit mit ihnen zu ermöglichen;
• Sie zu authentifizieren;
• die Sicherheit des Systems zu gewährleisten und unbefugte Zugriffe zu verhindern;
• technische Störungen zu erkennen und zu beheben;
• die Wirksamkeit unserer eigenen Werbekampagnen zu messen (Ziffer 4.5);
• gesetzliche Pflichten zu erfüllen (z. B. Aufbewahrungspflichten).

Wir tun Folgendes nicht:

• personenbezogene Daten verkaufen;
• personenbezogene Daten für personalisierte Werbung, Ad-Targeting oder Retargeting verwenden;
• Profilbildung betreiben;
• automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung treffen.

Wir übermitteln allerdings bei Abschluss Ihrer Registrierung ein begrenztes, einmaliges Conversion-Ereignis an Meta, sofern Attributionsdaten vorliegen (Ziffer 4.5). Dies dient ausschließlich der Messung der Werbewirksamkeit, nicht der Ausspielung von Werbung an Sie.

9. Empfängerinnen und Empfänger

9.1 Auftragsverarbeiter (Art. 28 DSGVO)

Wir setzen sorgfältig ausgewählte Auftragsverarbeiter auf Grundlage von Auftragsverarbeitungsverträgen (Art. 28 DSGVO) ein:

Hinweis zu Stripe. Stripe verarbeitet die Zahlungsdaten teilweise auch als eigener Verantwortlicher — insbesondere zur Erfüllung eigener aufsichtsrechtlicher Pflichten (Geldwäscheprävention, Betrugsbekämpfung, Zahlungsverkehrsrecht). Insoweit gelten die Datenschutzhinweise von Stripe. Die Zahlungsabwicklung erfolgt über Stripe Payments Europe, Ltd. (Irland); dabei kann Stripe Stripe, Inc. (USA) als Unterauftragsverarbeiter einsetzen (Ziffer 10).

Mit Ausnahme der vorstehend beschriebenen Eigenverantwortlichkeit von Stripe handeln die genannten Auftragsverarbeiter ausschließlich weisungsgebunden für uns und unter vertraglichen Garantien. Die Auswahl, Beauftragung und Kontrolle der Auftragsverarbeiter obliegt Gain (Ziffer 3 Abs. 3).

9.2 Unabhängige Verantwortliche

Meta und Stripe sind für die insoweit empfangenen Daten unabhängige Verantwortliche und verarbeiten sie nach ihren eigenen Datenschutzhinweisen. Stripe nimmt daneben die in Ziffer 9.1 genannte Rolle als Auftragsverarbeiter wahr.

9.3 Sonstige Empfänger

Eine Weitergabe an Behörden, Gerichte oder Rechtsberatung erfolgt nur, soweit wir dazu gesetzlich verpflichtet sind oder dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

10. Internationale Datenübermittlungen

(1) Die Daten werden auf Servern in den Vereinigten Staaten gespeichert. Damit werden personenbezogene Daten aus dem EWR und der Schweiz in ein Drittland übermittelt.

(2) Primäre Garantie: Data Privacy Framework. Die von uns eingesetzten US-Auftragsverarbeiter — Amazon Web Services (Amazon.com, Inc.) einschließlich Amazon SES, Auth0 LLC / Okta, Inc. und Functional Software, Inc. (Sentry) — sind aktive Teilnehmer am EU–U.S. Data Privacy Framework (DPF) sowie am Swiss–U.S. Data Privacy Framework. Die Übermittlung erfolgt daher auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission (Art. 45 DSGVO) bzw. der Anerkennung durch den Schweizer Bundesrat.

(3) Ersatzgarantie: Standardvertragsklauseln. Sollte das jeweilige Data Privacy Framework wegfallen, ausgesetzt werden oder auf eine Übermittlung nicht anwendbar sein, erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914) — für Übermittlungen aus der Schweiz in der vom EDÖB anerkannten Fassung — nebst ergänzenden technischen und organisatorischen Maßnahmen (Ziffer 15).

(4) Übermittlung an Meta Platforms, Inc. Für die Übermittlung an Meta als unabhängigen Verantwortlichen (Ziffer 4.5) gilt dieselbe Struktur: Primäre Garantie ist die aktive Teilnahme von Meta Platforms, Inc. am EU–U.S. Data Privacy Framework (DPF) sowie am Swiss–U.S. Data Privacy Framework; die Übermittlung erfolgt daher auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission (Art. 45 DSGVO) bzw. der Anerkennung durch den Schweizer Bundesrat. Ersatzgarantie sind — bei Wegfall, Aussetzung oder Unanwendbarkeit des jeweiligen Frameworks — die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914), für Übermittlungen aus der Schweiz in der vom EDÖB anerkannten Fassung.

(4a) Übermittlung an Stripe. Die Zahlungsabwicklung erfolgt über Stripe Payments Europe, Ltd. mit Sitz in Irland; eine Übermittlung in die USA findet nur statt, soweit Stripe Stripe, Inc. als Unterauftragsverarbeiter einsetzt. Stripe, Inc. ist aktiver Teilnehmer am EU–U.S. Data Privacy Framework sowie am Swiss–U.S. Data Privacy Framework; Ersatzgarantie sind — bei Wegfall, Aussetzung oder Unanwendbarkeit des Frameworks — die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914), für Übermittlungen aus der Schweiz in der vom EDÖB anerkannten Fassung.

(5) Eine Kopie der jeweils einschlägigen Garantien erhalten Sie auf Anfrage unter privacy@gain-app.com.

11. Speicherdauer

Im Browser gespeicherte Daten werden nach Ziffer 16.1 behandelt.

12. Beendigung des Coach-Kontos und Löschung

(1) Mit Beendigung Ihres Coach-Kontos wird Ihnen der Zugriff auf sämtliche Athletendaten unverzüglich entzogen. Die Vereinbarung über die gemeinsame Verantwortlichkeit endet automatisch; die Pflichten zur Vertraulichkeit, zur Mitwirkung bei vor der Beendigung entstandenen Sachverhalten und zur Haftung gelten fort.

(2) Die Beendigung berührt nicht die Rechte der Athleten an ihren Daten und nicht deren Nutzungsverhältnis mit Gain.

(3) Sie können die Löschung Ihres Kontos und der zugehörigen Daten jederzeit verlangen. Das Verfahren ist unter https://gain-app.com/account-deletion beschrieben; alternativ genügt eine Nachricht an privacy@gain-app.com. Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht (insbesondere Abrechnungsdaten) oder die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind; diese werden gesperrt und nach Ablauf der jeweiligen Frist gelöscht.

13. Ihre Rechte

(1) Hinsichtlich der über Sie verarbeiteten personenbezogenen Daten stehen Ihnen nach der DSGVO und dem revDSG die folgenden Rechte zu:

• Auskunft (Art. 15 DSGVO);
• Berichtigung unrichtiger Daten (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO);
• Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO), einschließlich der Conversion-Messung nach Ziffer 4.5. Wir stellen die betreffende Verarbeitung ein, sofern wir keine zwingenden schutzwürdigen Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen;
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), etwa der Cookie-Einwilligung (Ziffer 16.2).

(2) Kontakt: privacy@gain-app.com. Wir beantworten Ihre Anfrage innerhalb der Frist des Art. 12 Abs. 3 DSGVO von einem Monat; bei komplexen Anfragen kann die Frist um bis zu zwei weitere Monate verlängert werden, worüber wir Sie informieren.

(3) Abgrenzung. Diese Rechte betreffen Ihre eigenen Daten. Rechte Ihrer Athleten hinsichtlich der Coaching-Daten werden nach Ziffer 3 bearbeitet; Anfragen von Athleten leiten Sie an privacy@gain-app.com weiter (Ziffer 3 Abs. 4).

(4) Beschwerderecht (Art. 77 DSGVO). Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — in der EU/im EWR bei der Behörde Ihres Aufenthaltsorts, Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern.

14. Kalifornische Datenschutzrechte (CCPA/CPRA)

Wenn Sie Ihren Wohnsitz in Kalifornien haben, stehen Ihnen vorbehaltlich der Identitätsprüfung und gesetzlicher Ausnahmen gegebenenfalls die folgenden Rechte zu:

• Recht auf Kenntnis darüber, welche personenbezogenen Informationen wir erheben, verwenden und offenlegen;
• Recht auf Löschung personenbezogener Informationen, vorbehaltlich gesetzlicher Ausnahmen;
• Recht auf Berichtigung unrichtiger personenbezogener Informationen;
• Recht auf Widerspruch gegen den Verkauf oder das Teilen — wir verkaufen personenbezogene Informationen nicht. Wir übermitteln bei der Registrierung gegebenenfalls ein einmaliges Conversion-Ereignis an Meta (Ziffer 4.5), was nach kalifornischem Recht als „Teilen“ für Zwecke kontextübergreifender verhaltensbasierter Werbung gelten kann. Sie können diese Übermittlung verhindern, indem Sie die Registrierung nach dem Hinweis auf dem Registrierungsbildschirm nicht abschließen oder indem Sie den Cookie-Banner ablehnen und nicht über eine Meta-Anzeige zur Anwendung gelangen. Bereits registrierte Coaches können unter privacy@gain-app.com die Löschung noch bei uns vorhandener Conversion-Ereignisdaten verlangen (Ereigniskennung und Anfragemetadaten werden bis zu 90 Tage aufbewahrt; Ziffer 11). Wir beantworten überprüfbare Anfragen innerhalb von 15 Werktagen;
• Recht auf Nichtdiskriminierung wegen der Ausübung dieser Rechte.

Zur Ausübung Ihrer Rechte wenden Sie sich an privacy@gain-app.com.

15. Datensicherheit

(1) Wir treffen die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, insbesondere:

• Verschlüsselung während der Übertragung (TLS 1.2 oder höher) und HTTPS-Erzwingung;
• Verschlüsselung im Ruhezustand (serverseitig, AES-256, bei AWS);
• strikte rollenbasierte Zugriffssteuerung — Coaches sehen ausschließlich die Daten der mit ihnen verknüpften Athleten;
• zeitlich begrenzte, vorsignierte Upload- und Zugriffs-URLs für Medien (Form-Check-Fotos und -Videos);
• Content-Security-Policy-Header, X-Frame-Options (Schutz vor Clickjacking) und strikte Referrer-Policy (strict-origin-when-cross-origin);
• Protokollierung von Zugriffen auf Athletendaten zu Sicherheits- und Compliance-Zwecken (Ziffer 4.6);
• Mandantentrennung auf Ebene der Anwendungslogik;
• Verpflichtung der eingesetzten Personen auf Vertraulichkeit und regelmäßige Datenschutzunterweisung;
• regelmäßige Sicherungen und Wiederherstellungsverfahren.

Eine ausführliche Übersicht enthält Anlage 1 der Vereinbarung (https://gain-app.com/legal/joint-controller-agreement).

(2) Ihr Beitrag. In Ihrem eigenen Bereich sind Sie für angemessene technische und organisatorische Maßnahmen verantwortlich (Ziffer 3 Abs. 3): Zugangsdaten geheim halten, kein Account-Sharing, starkes und einzigartiges Passwort, Aktivierung der Mehr-Faktor-Authentifizierung, sofern verfügbar, sowie Schutz Ihrer Endgeräte durch Bildschirmsperre und aktuelle Sicherheitsupdates. Sie sind zudem zur strengen Vertraulichkeit hinsichtlich aller über die Plattform zugänglichen Athletendaten verpflichtet; diese Pflicht besteht auch nach Beendigung des Coach-Kontos fort.

(3) Vorfälle. Verlust oder Kompromittierung von Zugangsdaten oder Endgeräten, unbefugte Zugriffe auf Ihr Coach-Konto sowie den unbefugten Abfluss von Athletendaten aus Ihrem Bereich melden Sie uns unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, unter privacy@gain-app.com, damit die Meldefrist des Art. 33 Abs. 1 DSGVO von 72 Stunden eingehalten werden kann.

16. Browser-Speicher und Cookies

16.1 Browser-Speicher

Die Plattform speichert die folgenden Daten lokal in Ihrem Browser:

• localStorage: Authentifizierungstoken (über Auth0), Oberflächeneinstellungen (Design, Sprache, Zustand der Seitenleiste), Ansichtseinstellungen sowie Ihre Auswahl im Cookie-Banner. Oberflächeneinstellungen und Ihre Cookie-Banner-Auswahl bleiben über die Browsersitzung hinaus erhalten.
• sessionStorage: temporäre Weiterleitungspfade der Authentifizierung, Onboarding-Daten sowie — wenn Sie über eine Meta-Werbeanzeige zur Anwendung gelangen — ein Eintrag metaFbclid mit der Meta-Klick-Kennung aus dem URL-Parameter fbclid und dem Zeitpunkt des Klicks. Dieser Eintrag wird ausschließlich im Zeitpunkt der Registrierung zur Zuordnung Ihrer Anmeldung zur Werbeanzeige verwendet (Ziffer 4.5) und beim Schließen des Browser-Tabs automatisch gelöscht.

Authentifizierungstoken und sitzungsbezogene Einträge werden beim Abmelden gelöscht. Oberflächeneinstellungen und Ihre Cookie-Banner-Auswahl bleiben erhalten, damit Ihre Einstellungen bei der nächsten Anmeldung wieder zur Verfügung stehen.

16.2 Cookies

Die Plattform verwendet die folgenden Cookies:

Unbedingt erforderlich (ohne Einwilligung gesetzt):

• Auth0-Authentifizierungs-Cookies

Analyse/Messung (nur nach Ihrer Zustimmung im Cookie-Banner gesetzt):

• _fbp — Meta-Pixel-Browser-Kennung. Wird von Metas Skript fbevents.js gesetzt, sobald das Meta-Pixel in Ihrem Browser initialisiert wird; dies geschieht nur nach Ihrer Zustimmung zu Analyse-/Messungs-Cookies über den Cookie-Banner (und nur in der Produktionsumgebung). Wird zusammen mit dem Ereignis der Conversions API (Ziffer 4.5) zur Entdopplung des Registrierungsereignisses zwischen Browser und Server verwendet. Laufzeit: rollierend 90 Tage (Verlängerung bei jedem Besuch mit aktivem Pixel). Sie können dies durch Ablehnung des Cookie-Banners verhindern und Ihre Einwilligung jederzeit durch Löschen Ihres Browser-Speichers widerrufen.
• _fbc — Meta-Klick-Kennung. Wird von fbevents.js gesetzt, wenn Sie über einen Link mit dem URL-Parameter fbclid zur Anwendung gelangen (und ebenfalls nur nach Zustimmung zu Analyse-/Messungs-Cookies). Wird zur Zuordnung Ihrer Registrierung zum ursprünglichen Anzeigenklick verwendet. Laufzeit: rollierend 90 Tage.

Lehnen Sie den Cookie-Banner ab, werden weder _fbp noch _fbc gesetzt. Das Conversion-Ereignis nach Ziffer 4.5 kann bei der Registrierung gleichwohl auf der dort beschriebenen Grundlage übermittelt werden, dann jedoch ohne diese Cookie-Werte.

Diese Ziffer beschreibt die Cookies der Plattform. Auf unserer Marketing-Website (gain-app.com) setzen wir nach Einwilligung über den dortigen Cookie-Banner zusätzlich Cookies von Google Analytics 4 und Google Ads (u. a. _ga, _ga_*, _gcl_au). Diese sind vollständig in der Cookie-Richtlinie beschrieben: https://gain-app.com/cookies.

17. Minderjährige

Die Plattform richtet sich nicht an Personen unter 16 Jahren. Wir erheben wissentlich keine Daten von Kindern unter 16 Jahren. Erlangen wir Kenntnis davon, dass Daten einer Person unter 16 Jahren ohne die erforderliche Grundlage verarbeitet werden, löschen wir diese unverzüglich.

18. Keine automatisierte Entscheidungsfindung

Wir führen keine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO durch.

19. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, etwa bei Änderungen der Plattform oder der Rechtslage. Über wesentliche Änderungen informieren wir Sie über die Plattform bzw. per E-Mail. Die jeweils geltende Fassung ist unter https://gain-app.com/privacy/coach abrufbar; die Versionskennung finden Sie im Kopf dieses Dokuments und in der Änderungshistorie.

Änderungen der Vereinbarung über die gemeinsame Verantwortlichkeit werden Ihnen gesondert mit angemessener Vorlauffrist angezeigt und werden erst mit Ihrer erneuten Annahme wirksam.

20. Kontakt

Gain. Fitness GmbH
Kelchweg 3
8048 Zürich
Schweiz

privacy@gain-app.com

EU-Vertreter (Art. 27 DSGVO): Wir haben die Prighter EU Rep GmbH, Schellinggasse 3, 1010 Wien, Österreich, als unseren Vertreter in der Europäischen Union gemäß Art. 27 DSGVO benannt. Betroffene Personen und Aufsichtsbehörden in der EU können sich in allen Fragen der Verarbeitung personenbezogener Daten wahlweise an unseren Vertreter wenden: https://prighter.com/q/14301940924 (oder postalisch an die oben genannte Adresse, mit dem Zusatz „z. Hd. Gain. Fitness GmbH“).

Weiterführende Dokumente: Vereinbarung über die gemeinsame Verantwortlichkeit (Art. 26 DSGVO) · Muster-Information zur Datenübernahme · Nutzungsbedingungen für Coaches · Datenschutzerklärung für Athleten · Cookie-Richtlinie · Kontolöschung

Änderungshistorie