Gilt für die Website krofit.life und den KROFIT-Gesundheitsbrief (DEIN.HEUTE).

1 · Verantwortlicher

Wildstahl e.U., Inh. Ing. Jochen Krobath
Laufnitzdorf 18, A-8130 Frohnleiten, Österreich
E-Mail: jochen@krofit.life · Tel: +43 664 3912426
FN 538198v · UID ATU78944001

2 · Überblick: Welche Daten, wozu

Wir verarbeiten personenbezogene Daten, um dir deinen personalisierten, automatisiert erstellten Gesundheits-/Trainingsbrief zuzustellen, deine Rückmeldungen zu berücksichtigen und unsere Website bereitzustellen.

3 · Kategorien verarbeiteter Daten

3.1 Allgemeine Daten: Name, E-Mail, ggf. Telefon, Beruf/Rolle, Lebensphase, Ziele, Selbsteinschätzungen (z. B. Energie/Schlaf/Ruhe), Zustellpräferenzen, Kommunikationsinhalte, Terminbuchungen.

3.4 Angaben zu Ansprache und Arbeitsweise: Antworten aus dem freiwilligen Profilbogen (16 Fragen zu Antrieb, gewünschter Struktur, Tonfall, Lesetiefe, Umgang mit Rückschlägen, Selbstwirksamkeit). Diese Angaben steuern ausschließlich Ton und Umfang deines Briefes, nicht die Trainingsinhalte. Sie sind freiwillig; ohne sie schreiben wir neutral.

3.5 Push-Nachrichten (optional): Wenn du Push einschaltest, speichern wir die vom Browser erzeugte Push-Adresse (Endpoint), zwei technische Schlüssel zur Verschlüsselung der Nachricht und eine Kurzkennung deines Geräts und Browsers. Die Push-Adresse wird vom Betriebssystem-Hersteller vergeben (Apple bzw. Google). Du kannst Push jederzeit in den Einstellungen deines Geräts abschalten.

3.2 Besondere Kategorien — Gesundheitsdaten nach Art. 9 DSGVO: Trainings- und Bewegungsdaten (Art, Dauer, Intensität, Herzfrequenz, Leistung), Verletzungen/Beschwerden/Schmerzen, Körperdaten (z. B. Gewicht), Schlaf/Erholung/Stress, Stimmung/Befinden, Nahrungsergänzung; optional hochgeladene Screenshots von Sport-Apps/-Uhren (können Trainings- und ggf. Standort-/Streckendaten enthalten).

3.3 Nutzungs-/Server-Daten: beim Aufruf der Website technisch erforderliche Daten (z. B. IP-Adresse, Zeitpunkt, abgerufene Ressource) durch den Hosting-Dienst.

4 · Zwecke & Rechtsgrundlagen

Vertragserfüllung (Zustellung der Briefe, Betrieb) — allgemeine Daten — Art. 6 Abs. 1 lit. b DSGVO

Gesundheitsdaten — Art.-9-Daten — Art. 9 Abs. 2 lit. a (ausdrückliche Einwilligung)

KI-Texterstellung (Mistral, EU) — eingegebene Daten — Art. 6 Abs. 1 lit. b i. V. m. Art. 9 Abs. 2 lit. a

Kontakt-/Anfragebearbeitung — Kontaktangaben — Art. 6 Abs. 1 lit. b/f

Updates/Newsletter (optional) — E-Mail — Einwilligung (Art. 6 Abs. 1 lit. a)

Websitebetrieb/Sicherheit — Server-Daten — Art. 6 Abs. 1 lit. f

Push-Nachrichten (optional) — Push-Adresse, Geräteangabe — Einwilligung (Art. 6 Abs. 1 lit. a); der Inhalt der Nachricht nennt keine Gesundheitsdaten

Zahlungsabwicklung — Zahlungs- und Rechnungsdaten — Art. 6 Abs. 1 lit. b sowie lit. c (steuerliche Aufbewahrung)

Angaben zu Ansprache und Arbeitsweise — Profilbogen — Einwilligung (Art. 6 Abs. 1 lit. a)

Die Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar (E-Mail genügt); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

5 · Empfänger / eingesetzte Dienste (Auftragsverarbeiter)

Mit jedem Auftragsverarbeiter besteht bzw. wird ein Vertrag nach Art. 28 DSGVO geschlossen.

Supabase — Datenbank und Programmlogik; hier werden deine Angaben einschließlich der Gesundheitsdaten gespeichert — Rechenzentrum EU (Frankfurt am Main) — kein Drittland

Make.com — Automatisierung/Orchestrierung — EU (eu1) — kein Drittland

Mistral AI — KI-Texterstellung, Screenshot-Auslesung — EU — kein Drittland

Google (Drive, Gmail, Calendar) — Speicherung, Versand — EU/USA — Drittland

Netlify — Website-/Seiten-Hosting — USA — Drittland

Formspree — Kontakt-/Webformular — USA — Drittland

Stripe — Zahlungsabwicklung; erhält Zahlungs- und Kontaktdaten, keine Gesundheitsdaten — EU/USA — Drittland

Apple bzw. Google — Zustellung von Push-Nachrichten, sofern du sie einschaltest; erhält die Push-Adresse und den verschlüsselten Nachrichtentext — USA — Drittland

United Domains — Domains, E-Mail-Postfach — Deutschland/EU — kein Drittland

Reine Bild-/Social-Dienste (Placid, Cloudinary, Instagram) verarbeiten keine Kundendaten der Briefe und sind hier nur informativ erwähnt.

6 · Drittlandübermittlung (USA)

Die KI-gestützte Texterstellung (Mistral) erfolgt innerhalb der EU. Die Datenbank mit deinen Gesundheitsdaten (Supabase) steht in Frankfurt am Main. Eine Übermittlung in die USA findet beim Website-Hosting (Netlify), beim Webformular (Formspree), bei der Zahlungsabwicklung (Stripe), bei Teilen von Google und — falls du Push eingeschaltet hast — bei der Zustellung der Push-Nachricht (Apple bzw. Google) statt. Der Inhalt einer Push-Nachricht ist Ende-zu-Ende verschlüsselt und nennt keine Gesundheitsdaten; übermittelt wird lediglich, dass eine Ausgabe bereitliegt. Soweit kein Angemessenheitsbeschluss/keine Zertifizierung (EU-US Data Privacy Framework) greift, stützen wir diese Übermittlung auf Standardvertragsklauseln; bei Gesundheitsdaten zusätzlich auf deine ausdrückliche Einwilligung. Es besteht das Risiko, dass in Drittländern kein dem EU-Recht gleichwertiges Datenschutzniveau gewährleistet ist.

7 · KI-gestützte Verarbeitung & automatisierte Inhalte

Zur Erstellung der Briefe setzen wir einen KI-Dienst (Mistral, EU-gehostet) ein. Deine Angaben werden zu diesem Zweck innerhalb der EU verarbeitet. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt (menschliche Begleitung; Empfehlungen ohne bindende Wirkung).

8 · Speicherdauer

Wir speichern Daten so lange, wie es für die Zwecke erforderlich ist bzw. bis zum Widerruf/zur Kündigung, anschließend löschen oder anonymisieren wir sie, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Im Einzelnen: Gesundheits- und Trainingsdaten bis zur Kündigung oder zum Widerruf. Push-Adressen bis zum Abschalten oder bis das Gerät sie zurückweist — dann löschen wir sie automatisch. Rechnungsdaten sieben Jahre nach § 132 BAO.

9 · Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen (Zugriffsbeschränkung, Transportverschlüsselung). Der Zugriff auf deine Daten erfolgt ausschließlich über einen nicht erratbaren persönlichen Zugangsschlüssel; ein direkter Zugriff auf die Datenbank von außen ist gesperrt. Gesundheitsdaten behandeln wir mit besonderer Sorgfalt; eine Pseudonymisierung vor der KI-Verarbeitung wird angestrebt. Die Briefzustellung erfolgt per E-Mail (standardmäßig keine Ende-zu-Ende-Verschlüsselung) — mit deiner Einwilligung.

10 · Cookies / Website

Unsere Seite kommt mit möglichst wenig Tracking aus. Technisch notwendige Vorgänge beruhen auf Art. 6 Abs. 1 lit. f; einwilligungspflichtige Cookies/Dienste setzen wir nur nach deiner Zustimmung ein.

11 · Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (16), Löschung (17), Einschränkung (18), Datenübertragbarkeit (20) und Widerspruch (21) sowie auf Widerruf erteilter Einwilligungen (7 Abs. 3). Anfragen an: jochen@krofit.life.

12 · Beschwerderecht

Du kannst dich bei einer Aufsichtsbehörde beschweren, in Österreich bei der Österreichischen Datenschutzbehörde (dsb.gv.at).

13 · Pflicht zur Bereitstellung

Die Bereitstellung bestimmter Daten ist für die Vertragserfüllung erforderlich; ohne sie können wir die personalisierten Briefe nicht erbringen. Gesundheitsdaten und Screenshots stellst du freiwillig bereit.

14 · Änderungen

Wir passen diese Datenschutzerklärung bei Bedarf an den aktuellen Stand an. Es gilt die jeweils veröffentlichte Fassung.