Datenschutz der Plattform

Wer ist verantwortlich?

numara ist eine Software, mit der Fitnessstudios, Boutique-Studios und Coaching-Anbieter (im Folgenden „Studio“) ihren Betrieb organisieren. Wer für eine Verarbeitung verantwortlich ist, hängt davon ab, um welche Daten es geht:

Daten von Mitgliedern, Interessenten, Gästen und Coaching-Kundinnen und -Kunden eines Studios: Verantwortlicher ist das jeweilige Studio. Numara Works UG (haftungsbeschränkt) verarbeitet diese Daten im Auftrag des Studios als Auftragsverarbeiter auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO) und nur nach dessen Weisung. Welche Daten ein Studio erhebt und zu welchen Zwecken, entnehmen Sie bitte der Datenschutzerklärung Ihres Studios.
Konten von Studio-Mitarbeitenden, Vertragsabwicklung und Abrechnung mit Studios, Sicherheit und Missbrauchsabwehr: Verantwortlicher ist Numara Works UG (haftungsbeschränkt).

Wenn Sie Mitglied eines Studios sind, wenden Sie sich mit Anfragen zu Ihren Daten bitte zuerst an Ihr Studio. Wir unterstützen das Studio bei der Beantwortung. Erreicht uns Ihre Anfrage direkt, leiten wir sie an das zuständige Studio weiter.

Diese Hinweise beschreiben die Plattform, wie sie technisch arbeitet. Für die Website numara.works gilt die Datenschutzerklärung der Website.

Kontakt

Numara Works UG (haftungsbeschränkt)
Kolonnenstraße 8
10827 Berlin
Deutschland
E-Mail: mail@numara.works

Vertreten durch die Geschäftsführer Simon Schmidt und Benedikt Rapp. Ein Datenschutzbeauftragter ist nicht benannt; Fragen zum Datenschutz richten Sie bitte an die genannte E-Mail-Adresse.

Konten für Studio-Mitarbeitende

Mitarbeitende eines Studios melden sich ohne Passwort über einen Anmeldelink per E-Mail an. Die Anmeldung wird über Firebase Authentication abgewickelt, einen Dienst von Google. Dabei verarbeiten wir:

E-Mail-Adresse und Name,
Rolle im Studio und zugeordnete Standorte,
ein Sitzungscookie __session (httpOnly, Secure, SameSite=Lax, Gültigkeit 5 Tage),
einen Eintrag auth_email_for_sign_in im Local Storage des Browsers, damit die Anmeldung nach dem Klick auf den Link abgeschlossen werden kann.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der vertraglich vereinbarten Software). Das Konto besteht, solange das Studio den Zugang nicht entfernt oder der Vertrag mit dem Studio endet.

Mitgliederbereich und Buchungsportal

Studios können ihren Mitgliedern ein Buchungsportal bereitstellen. Die Anmeldung dort geschieht ebenfalls über einen Link per E-Mail, der einen Tag gültig ist. Nach der Anmeldung setzt die Plattform das Sitzungscookie __session_member (httpOnly, Secure, SameSite=Lax); die Sitzung endet nach 35 Tagen.

Im Mitgliederbereich werden Buchungen, Wartelistenplätze und Guthaben (etwa Kurskontingente) verarbeitet. Diese Verarbeitung geschieht im Auftrag des Studios; Rechtsgrundlage ist in der Regel Ihr Vertrag mit dem Studio.

Technisch notwendige Speicherung

Die Plattform speichert nur Informationen auf Ihrem Endgerät, die für den ausdrücklich gewünschten Dienst unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht erforderlich. Analyse- oder Werbecookies setzen wir nicht ein.

Name	Art	Zweck	Dauer
`__session`	Cookie	Sitzung von Studio-Mitarbeitenden	5 Tage
`__session_member`	Cookie	Sitzung im Mitgliederbereich	35 Tage
`auth_email_for_sign_in`	Local Storage	Abschluss der Anmeldung per E-Mail-Link	bis zum Abschluss der Anmeldung
`numara-theme`	Local Storage	gewählte Darstellung (hell oder dunkel)	bis zur Löschung im Browser
`numara_checkin_client_id`, `numara_rating_client_id`	Local Storage	zufällige Gerätekennungen für den QR-Check-in und Kursbewertungen; verhindern doppelte Einsendungen	bis zur Löschung im Browser
Schlüssel für Buchungsversuche	Local Storage	verhindern Doppelbuchungen bei wiederholtem Absenden	bis zur Löschung im Browser
Spalteneinstellungen von Tabellen	Local Storage	merken die gewählte Tabellenansicht	bis zur Löschung im Browser
Quelle des ersten Besuchs	Session Storage	UTM-Parameter und bereinigte Referrer-Adresse; werden nur übertragen, wenn Sie ein Formular absenden, damit das Studio erkennt, woher eine Anfrage kam	nur für den geöffneten Browser-Tab

Nutzungsmessung

Nur im Bereich für Studio-Mitarbeitende messen wir, wie schnell und fehlerfrei die Anwendung arbeitet. Erfasst werden das Muster der aufgerufenen Route ohne Studio-Kennung, die Art der Navigation, Ladezeiten und ein Merkmal, ob ein Fehler auftrat. Nutzer-, Studio- oder Inhaltsdaten sind darin nicht enthalten. Die Messwerte werden in die Serverprotokolle geschrieben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine stabile und schnelle Anwendung.

E-Mail-Versand und Einwilligungen

Alle E-Mails der Plattform werden über den Dienst Resend (Resend, Inc., USA) als Auftragsverarbeiter versendet: Anmeldelinks, Buchungs- und Wartelistenbenachrichtigungen sowie Kampagnen und automatisierte Abläufe der Studios. Resend meldet Zustellereignisse zurück (zugestellt sowie, soweit verfügbar, geöffnet oder unzustellbar). Diese Ereignisse speichern wir 90 Tage.

Double-Opt-in: Anmeldungen über Formulare eines Studios werden per Bestätigungslink verifiziert. Der Link ist standardmäßig 72 Stunden gültig; das Studio kann eine Gültigkeit zwischen 24 und 168 Stunden einstellen. Als Nachweis der Einwilligung speichern wir Zeitpunkt, IP-Adresse, User-Agent und den Einwilligungstext, solange die Einwilligung für einen Nachweis relevant ist. Nicht bestätigte Anmeldungen werden 30 Tage nach Ablauf des Links gelöscht.

Abmeldung: Jede Marketing-E-Mail enthält einen Abmeldelink und einen Header für die Abmeldung mit einem Klick. Nach einer Abmeldung oder Löschung wird nur ein Einweg-Hashwert (SHA-256) der E-Mail-Adresse aufbewahrt, damit die Abmeldung wirksam bleibt.

Zahlungen

Nur wenn ein Studio den Online-Verkauf aktiviert hat, werden Zahlungen über Stripe abgewickelt. Anbieter ist die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Händler ist das Studio. Kartendaten geben Sie direkt bei Stripe ein; sie gelangen nie zu numara. Stripe handelt teilweise als eigenständiger Verantwortlicher, etwa zur Betrugsprävention und zur Erfüllung gesetzlicher Pflichten. Näheres finden Sie in der Datenschutzerklärung von Stripe.

Bankdaten im Finanzbereich

Nur wenn ein Studio sein Geschäftskonto verbindet, verarbeitet der Finanzbereich Umsatzdaten dieses Kontos:

sofern aktiviert: finAPI GmbH, Adams-Lehmann-Straße 44, 80797 München, ein von der BaFin zugelassener Kontoinformationsdienst.

Gespeichert werden für das Studio Gegenpartei, Verwendungszweck, Betrag und Datum der Buchungen. Solche Umsätze können personenbezogene Daten enthalten, etwa den Namen eines zahlenden Mitglieds. Bankumsätze und Bestellungen werden nach den steuerrechtlichen Vorschriften aufbewahrt (§ 147 AO, bis zu 10 Jahre).

KI-Funktionen

Für KI-Funktionen nutzen wir Google Vertex AI (Gemini) über die Google Cloud EMEA Limited. Die Anfragen werden über den globalen Endpunkt von Google verarbeitet; die Verarbeitung kann daher auch außerhalb der EU stattfinden. Grundlage sind der Vertrag zur Auftragsverarbeitung von Google Cloud, das EU-US Data Privacy Framework und die Standardvertragsklauseln. Google verwendet die Daten nach den Nutzungsbedingungen von Google Cloud nicht zum Training seiner Modelle.

Was an das Modell übermittelt wird:

Dashboards, Auswertungen und Vorschläge für den Kursplan: ausschließlich aggregierte Kennzahlen, niemals Namen, E-Mail-Adressen, Kennungen oder IBANs.
Kategorisierung von Bankumsätzen: Name der Gegenpartei und Verwendungszweck, nachdem E-Mail-Adressen, IBANs und Telefonnummern entfernt wurden.
Entwürfe für Coaching-Nachrichten: Vorname der Kundin oder des Kunden, eine bereinigte Zusammenfassung des Ziels, Trainingskennzahlen der letzten 30 Tage, bereinigte Auszüge aus dem bisherigen Kontakt und die Vorgabe des Coaches. Nachname, E-Mail-Adresse, Telefonnummer und Kennungen werden nicht übermittelt. Entwürfe werden erst versendet, nachdem der Coach sie geprüft hat.
Analyse von Kursplänen anderer Anbieter: ausschließlich öffentlich zugänglicher Text von Webseiten.

Protokolle der KI-Durchläufe werden nach 90 Tagen gelöscht.

Partnerplattformen

Nur wenn ein Studio sie aktiviert, verarbeitet numara Buchungen und Check-ins von Nutzerinnen und Nutzern der Partnerplattformen Urban Sports Club und EGYM Wellpass im jeweiligen Studio. Für Urban Sports Club speichern wir nur einen gesalzenen Hashwert der Kundennummer und einen Anzeigenamen. Die Partnerplattformen sind für die Daten ihrer Nutzerinnen und Nutzer eigenständige Verantwortliche.

Nur wenn ein Studio die Funktion aktiviert (sie ist noch nicht allgemein verfügbar), werden Nachrichten über die WhatsApp Business Platform versendet. Beteiligt sind Twilio Ireland Limited, 25–28 North Wall Quay, Dublin 1, Irland, und Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland. Voraussetzung ist eine gesonderte Einwilligung der Empfängerin oder des Empfängers. Unterhaltungen werden 180 Tage nach der letzten Nachricht gelöscht.

Unterauftragsverarbeiter

Anbieter	Leistung	Ort der Verarbeitung	Garantien
Google Cloud EMEA Limited, Dublin, Irland	Hosting (Cloud Run, Firestore, BigQuery, Cloud Storage, Secret Manager, Cloud Scheduler), Firebase Authentication, Vertex AI	Niederlande (europe-west4); Vertex AI global	Auftragsverarbeitungsvertrag, EU-US Data Privacy Framework, Standardvertragsklauseln
Resend, Inc., San Francisco, USA	E-Mail-Versand	USA	Auftragsverarbeitungsvertrag, Standardvertragsklauseln
Stripe Payments Europe, Limited, Dublin, Irland (sofern aktiviert)	Zahlungsabwicklung	EU; Übermittlungen in die USA möglich	Teilweise eigenständiger Verantwortlicher; siehe Datenschutzerklärung von Stripe
finAPI GmbH, München (sofern aktiviert)	Kontoinformationsdienst	Deutschland	DSGVO unmittelbar anwendbar
Twilio Ireland Limited, Dublin, Irland (sofern aktiviert)	Versand von WhatsApp-Nachrichten	EU; Übermittlungen in die USA möglich	Standardvertragsklauseln
Meta Platforms Ireland Limited, Dublin, Irland (sofern aktiviert)	WhatsApp Business Platform	EU; Übermittlungen in die USA möglich	EU-US Data Privacy Framework, Standardvertragsklauseln

Für Wetterdaten nutzen wir Open-Meteo; dabei werden keine personenbezogenen Daten übermittelt.

Übermittlung in Drittländer

Die Plattform wird in der EU betrieben. Eine Übermittlung in Drittländer, insbesondere in die USA, findet statt beim E-Mail-Versand über Resend, bei KI-Funktionen über den globalen Endpunkt von Google Vertex AI sowie möglicherweise durch Zugriffe der US-Muttergesellschaften unserer Dienstleister. Sie ist durch Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) und, soweit der Empfänger zertifiziert ist, durch das EU-US Data Privacy Framework (Art. 45 DSGVO) abgesichert.

Speicherdauer

Daten	Speicherdauer
Audit- und Protokolleinträge	400 Tage
Nicht bestätigte Double-Opt-in-Anmeldungen	30 Tage nach Ablauf des Bestätigungslinks
Coaching-Nachrichten und -Notizen	730 Tage
Protokolle der KI-Durchläufe	90 Tage
WhatsApp-Unterhaltungen	180 Tage nach der letzten Nachricht
E-Mail-Zustellereignisse	90 Tage
Wartelisteneinträge und Buchungen über Partnerplattformen	30 Tage nach dem Kurs
Ereignisse aus Zahlungsbenachrichtigungen (Webhooks)	90 Tage
Bestellungen, Berechtigungen (etwa Mitgliedschaften und Guthaben) und Bankumsätze	nach gesetzlichen Aufbewahrungsfristen, bis zu 10 Jahre (§ 147 AO, § 257 HGB)
Sonstige Daten eines Studios	für die Laufzeit des Vertrags mit dem Studio, danach Löschung oder Rückgabe gemäß Auftragsverarbeitungsvertrag
Datensicherungen	tägliche Sicherungen 7 Tage, wöchentliche Sicherungen 4 Wochen; Analysedatenbank mit 7 Tagen Wiederherstellungsfenster

Löschung

Studios können Mitglieder und Interessenten in der Anwendung löschen. Dabei werden die personenbezogenen Felder anonymisiert; der Datensatz bleibt ohne Bezug zur Person für Statistiken erhalten. Eine Abmeldung von Marketing-E-Mails bleibt als Hashwert bestehen, damit keine erneute Zusendung geschieht.

Datensicherheit

Die Daten jedes Studios sind strikt von den Daten anderer Studios getrennt.
Die Übertragung ist durchgehend TLS-verschlüsselt.
Gespeicherte Daten werden von Google Cloud verschlüsselt.
Zugriffe sind rollenbasiert beschränkt.
Die Anmeldung funktioniert ohne Passwörter, per Link an die hinterlegte E-Mail-Adresse.

Ihre Rechte

Wenn Sie Mitglied, Interessent oder Gast eines Studios sind, richten Sie Anfragen bitte zuerst an Ihr Studio, weil es für Ihre Daten verantwortlich ist. Für die Verarbeitungen, für die Numara Works UG (haftungsbeschränkt) verantwortlich ist, haben Sie uns gegenüber folgende Rechte:

Recht auf Auskunft (Art. 15 DSGVO),
Recht auf Berichtigung (Art. 16 DSGVO),
Recht auf Löschung (Art. 17 DSGVO),
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
Recht auf Datenübertragbarkeit (Art. 20 DSGVO).

Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), zum Beispiel über den Abmeldelink in jeder Marketing-E-Mail. Die Rechtmäßigkeit der bis dahin geschehenen Verarbeitung bleibt unberührt.

Widerspruchsrecht

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, Widerspruch einzulegen (Art. 21 Abs. 1 DSGVO). Die Daten werden dann nicht mehr verarbeitet, es sei denn, es liegen nachweisbar zwingende schutzwürdige Gründe vor, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Verarbeitung für Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO).

Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für Numara Works UG (haftungsbeschränkt) zuständig ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61
10555 Berlin

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet durch numara nicht statt. KI-Entwürfe für Coaching-Nachrichten werden vor dem Versand vom Coach geprüft.

Änderungen

Wir passen diese Hinweise an, wenn sich Funktionen der Plattform, unsere Dienstleister oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.