Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website und im Vereinsbetrieb:

Verein „Gesundheits- & Fitnesstraining NP"
c/o Niklas Pape
Mengstraße 40
23552 Lübeck
Telefon: 0176 404 715 28
E-Mail: info@niklaspape.de

Wir haben keinen Datenschutzbeauftragten benannt (nicht erforderlich nach § 38 BDSG). Bei Anliegen zum Datenschutz wenden Sie sich an die oben genannte Adresse.

2. Welche Daten wir verarbeiten

Im Rahmen unserer Vereinstätigkeit und auf dieser Website verarbeiten wir folgende Kategorien personenbezogener Daten:

Kontaktdaten beim Anmeldeformular „Platz reservieren": Name, Telefon und die weiteren Angaben, die Sie im Formular eintragen
Teilnehmer-Stammdaten (nach Aufnahme in eine Gruppe): Vor- und Nachname, Geburtsdatum, Anschrift, Telefon, E-Mail
Verordnungsdaten (nach Aufnahme): Krankenkasse, Versichertennummer, Verordnungs-Indikation, Verordnungsfrequenz
Bankdaten (optional, nur bei SEPA-Lastschriftmandat): IBAN, BIC, Mandatsdaten
Gesundheitsdaten (besondere Kategorie nach Art. 9 DSGVO): ärztliche Verordnung, ggf. Vorerkrankungen / Einschränkungen, die für die sichere Trainingsdurchführung relevant sind. Diese Daten verarbeiten wir nur mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).
Teilnahmedaten: Anwesenheit bei Übungseinheiten (zur Dokumentation gegenüber den Kostenträgern)
Chat-Nachrichten (nur bei Nutzung des Chat-Assistenten): siehe Abschnitt 11
Technische Daten beim Webseitenbesuch: siehe Abschnitt 7 (Server-Logs) und 8 (Analyse)

3. Rechtsgrundlagen

Art. 6 Abs. 1 lit. a DSGVO: Einwilligung (z. B. Cookie-Consent für Analyse; im Anmeldeformular, soweit dort eine Einwilligung abgefragt wird)
Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung (Teilnahme am Reha-Sport)
Art. 6 Abs. 1 lit. c DSGVO: gesetzliche Verpflichtungen (Abrechnung mit Krankenkassen, steuerliche Aufbewahrungspflichten)
Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse (technische Bereitstellung der Website, Schutz vor Missbrauch)
Art. 9 Abs. 2 lit. a DSGVO: ausdrückliche Einwilligung bei Gesundheitsdaten

4. Empfänger der Daten

Wir geben Ihre Daten nur weiter, soweit dies zur Erfüllung des Vereinszwecks oder aufgrund gesetzlicher Vorgaben erforderlich ist. Empfänger können sein:

Krankenkasse / Kostenträger: Abrechnungsdaten zur Reha-Sport-Übungseinheit
Rehabilitations- und Behindertensportverband Schleswig-Holstein (RBSV-SH): Teilnehmerstammdaten zur Verbandsverwaltung
Mollie B.V., Niederlande (Zahlungsdienstleister): Bankverbindung und Abrechnungsbeträge bei SEPA-Lastschriftmandat
Finanzamt Lübeck: bei steuerlichen Pflichtmeldungen
Auftragsverarbeiter für Hosting, Bereitstellung des Anmeldeformulars und Reichweitenanalyse (siehe Abschnitte 7 bis 10)
Auftragsverarbeiter für den Chat-Assistenten: Amazon Web Services EMEA SARL (Amazon Bedrock, Verarbeitung in der EU), Supabase (Frankfurt), Cloudflare und Resend (siehe Abschnitt 11)
Auftragsverarbeiter für Anfragen an unsere Kontaktadresse (siehe Abschnitt 10): Cloudflare (Weiterleitung von E-Mails an unsere Kontaktadresse), Supabase mit Servern in Frankfurt (Speicherung der Anfragen in unserer Studiosoftware New Prime) und Amazon Web Services EMEA SARL (Amazon Bedrock, Verarbeitung in der EU; automatische Auswertung des Anliegens, ohne Gesundheitsangaben und Anhänge)

5. Speicherdauer

Wir speichern Ihre Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:

Anfragen über das Anmeldeformular („Platz reservieren") ohne anschließende Teilnahme: spätestens 6 Monate nach letztem Kontakt
Teilnehmerstammdaten: für die Dauer der Teilnahme
Abrechnungsrelevante Unterlagen (Verordnungen, Teilnahmenachweise): 10 Jahre (steuerliche Aufbewahrungspflicht nach § 147 AO)
Server-Logs: siehe Abschnitt 7
Chat-Verläufe: siehe Abschnitt 11 (30 Tage)
Reichweiten-Analyse-Daten: siehe Abschnitt 8

6. Ihre Rechte

Sie haben jederzeit das Recht auf:

Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
Widerruf einer einmal erteilten Einwilligung: Wirkung nur für die Zukunft (Art. 7 Abs. 3 DSGVO)
Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Wenden Sie sich für die Ausübung Ihrer Rechte bitte an info@niklaspape.de. Zuständige Aufsichtsbehörde ist das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel, datenschutzzentrum.de.

7. Hosting & Server-Logs (Cloudflare Pages)

Diese Website wird auf Cloudflare Pages gehostet. Anbieter:

Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA
EU-Ansprechpartner: Cloudflare Germany GmbH, Rosental 7, 80331 München.

Beim Aufruf der Website werden automatisch technische Logdaten verarbeitet:

Anonymisierte IP-Adresse (Cloudflare anonymisiert auf Edge-Ebene)
Datum und Uhrzeit der Anfrage
Aufgerufene Ressource (URL)
User-Agent (Browser-Typ, Betriebssystem)
Referrer (vorherige Website)
HTTP-Statuscode

Diese Logs werden ausschließlich zur Sicherstellung des technischen Betriebs sowie zur Abwehr von Angriffen verwendet und nach spätestens 30 Tagen automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an technischer Sicherheit).

Cloudflare verarbeitet Daten ggf. in Drittländern. Es bestehen EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO sowie ein Auftragsverarbeitungsvertrag.

Cloudflare-Datenschutz: cloudflare.com/de-de/privacypolicy

8. Reichweitenanalyse

Diese Website verwendet zwei Analyse-Dienste mit unterschiedlichem Ansatz: Cloudflare Web Analytics arbeitet cookiefrei und ohne Personenbezug und benötigt daher keine Einwilligung (a). Google Analytics 4 wird über Google Consent Mode V2 gesteuert: Das Skript wird beim Seitenaufruf geladen, alle Einwilligungs-Signale stehen jedoch standardmäßig auf „denied". Ohne Ihre ausdrückliche Einwilligung über das Cookie-Banner werden keine Analyse-Cookies gesetzt. Beim Laden des Google-Skripts können technisch bedingt Verbindungsdaten (etwa IP-Adresse und Browserangaben) an Google übertragen werden; Näheres steht unter (b).

a) Cloudflare Web Analytics

Datenschutzfreundliche, cookiefreie Reichweitenmessung von Cloudflare, Inc. Erhoben werden ausschließlich aggregierte Daten zu Seitenaufrufen, Referrer und groben Geo-Regionen. Keine Cookies, keine personenbeziehbaren Identifier, keine IP-Speicherung über Edge-Ebene hinaus.

Anbieter: Cloudflare, Inc. (siehe Abschnitt 7)
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweitenmessung; kein Cookie-Consent nach § 25 TDDDG nötig)
Speicherdauer aggregierter Daten: 6 Monate
Details: cloudflare.com/de-de/privacypolicy

b) Google Analytics 4 (mit Consent Mode V2)

Webanalyse-Dienst von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die vollständige Messung mit Cookies und Geräte-Kennung ist nur aktiv, wenn Sie den Analyse-Cookies im Cookie-Banner aktiv zustimmen (Consent Mode V2, Default „denied"). Solange keine Entscheidung vorliegt oder Sie abgelehnt haben, setzt Google Analytics keine Cookies. Das Skript wird aber weiterhin geladen, und nach Angaben von Google können dabei Signale ohne Cookie-Kennung (sogenannte cookielose Pings) an Google übertragen werden.

Verarbeitete Daten: pseudonyme Geräte-Kennung (Client-ID), gekürzte IP-Adresse (IP-Anonymisierung aktiv), Browser- und Geräteinformationen, aufgerufene Seiten, Verweildauer
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG
Speicherdauer: 14 Monate (Standard-GA4-Einstellung)
Drittlandübermittlung: Google verarbeitet Daten ggf. in den USA. Grundlage: EU-US Data Privacy Framework (Google ist zertifiziert) sowie EU-Standardvertragsklauseln.
Widerruf: jederzeit über die Cookie-Einstellungen, durch Browser-Plugin tools.google.com/dlpage/gaoptout oder durch Aufruf des Cookie-Banners
Details: policies.google.com/privacy

9. Cookies & lokale Speicherung

Diese Website setzt grundsätzlich keine Cookies, die zur Funktion der Seite nicht zwingend erforderlich sind. Die wenigen verwendeten Speicherobjekte:

Cookie-Consent-Entscheidung (LocalStorage des Browsers): wird gespeichert, damit das Cookie-Banner nicht bei jedem Besuch neu erscheint. Keine personenbezogenen Daten, kein Identifier, lokal im Browser.
Schriftgrößen-Einstellung (LocalStorage): speichert Ihre gewählte Textgröße für die Barrierefreiheit. Verbleibt ausschließlich in Ihrem Browser.
Bei Einwilligung in Analyse: Google-Analytics-Cookies (`_ga`, `_ga_*`): Pseudonymisierter Identifier, Speicherdauer max. 2 Jahre.

Sie können Cookies in Ihrem Browser jederzeit löschen oder das Setzen blockieren. Die Funktion dieser Website wird dadurch nicht eingeschränkt.

10. Anmeldung („Platz reservieren")

Das Anmeldeformular auf der Seite „Platz reservieren" wird als eingebetteter Rahmen (iframe) von app.newprime.studio geladen, einem Formular der Plattform „New Prime". Ihre Eingaben im Formular werden an diese Plattform übermittelt und landen in der Interessentenliste des Vereins, über die wir uns bei Ihnen melden.

IP-Adresse beim Laden: Das Formular wird beim Aufruf der Seite geladen, sobald der Bereich in Ihren Sichtbereich kommt, ohne dass Sie etwas anklicken müssen. Dabei wird technisch bedingt Ihre IP-Adresse an den Server der Plattform übermittelt.

Plattform „New Prime": Betreiber der Plattform ist Niklas Pape, Mengstraße 40, 23552 Lübeck. Die Daten aus dem Formular werden auf Servern innerhalb der EU gespeichert (Supabase, Frankfurt am Main); die Auslieferung erfolgt über Cloudflare als Content-Delivery-Network. Rechtsgrundlage für die Bearbeitung Ihrer Anfrage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) bzw. Ihre Einwilligung, soweit Sie Gesundheitsdaten angeben (Art. 9 Abs. 2 lit. a DSGVO). Bitte tragen Sie im Formular keine Gesundheitsdaten ein, die für die Anfrage nicht nötig sind.

Wenn Sie das Formular nicht nutzen möchten, erreichen Sie uns auch per Telefon, WhatsApp (siehe Abschnitt 12) oder E-Mail. Bitte schicken Sie uns per WhatsApp keine Gesundheitsdaten oder Verordnungsfotos.

Kontakt per E-Mail: Anfragen an unsere Kontaktadresse werden über Cloudflare (Weiterleitung) an unsere Studiosoftware New Prime übergeben und dort gespeichert (Server in Frankfurt). Damit wir Anfragen schnell zuordnen können, wird das Anliegen automatisch ausgewertet, auch mit einer KI über Amazon Web Services EMEA SARL (Amazon Bedrock, Rechenzentren in der EU). Name, E-Mail-Adresse, Telefonnummer, Anschrift und Bankdaten werden vorher durch Platzhalter ersetzt. Gesundheitsangaben und Anhänge wie Verordnungen werden nicht an die KI übermittelt; sie stehen nur uns zur Bearbeitung Ihrer Anmeldung zur Verfügung. Die Daten werden nicht zum Training der KI verwendet. Spam löschen wir sofort, nicht zuordenbare Nachrichten nach 30 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO, für Gesundheitsangaben Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit der Durchführung des Rehabilitationssports.

11. Chat-Assistent (KI)

Auf dieser Website können Sie über eine Chat-Schaltfläche Fragen stellen. Beim Aufruf der Seite wird dafür nur ein kleines Skript von app.newprime.studio geladen (Betrieb der Chat-Software New Prime über Cloudflare); dabei wird technisch bedingt Ihre IP-Adresse an diesen Server übermittelt. Beim Aufruf der Seite werden außerdem die Einstellungen des Kontakt-Widgets (angebotene Kontaktwege, Platzierung) vom Server der Chat-Software New Prime abgerufen (Supabase, Frankfurt); dabei wird technisch bedingt Ihre IP-Adresse übermittelt und nur kurz zur Abwehr von Missbrauch verarbeitet, ohne Cookie. Der Chat selbst wird erst geladen, wenn Sie den KI-Assistenten auswählen und dem Hinweis zustimmen. Vorher werden keine Nachrichten oder Eingaben übertragen. Wählen Sie einen anderen Kontaktweg (zum Beispiel Telefon, E-Mail oder eine Nachrichten-App), öffnet sich die jeweilige Anwendung auf Ihrem Gerät; erst dann werden Daten an diesen Anbieter übertragen.

Wer antwortet: Ihnen antwortet eine KI („Sie schreiben mit einer KI“). Verbindliche Auskünfte erhalten Sie jederzeit direkt von uns. Für Anliegen, die eine persönliche Antwort brauchen, können Sie uns anrufen, schreiben oder im Chat Ihre Kontaktdaten hinterlassen. Der Chat beantwortet Fragen zu Verordnung, Gruppen und Anmeldung. Über die Kostenübernahme entscheidet Ihr Kostenträger, dazu macht der Chat keine Zusagen.

Welche Daten verarbeitet werden: der Inhalt Ihrer Nachrichten, Zeitpunkt und eine zufällige Sitzungskennung, ein aus Ihrer IP-Adresse gebildeter, nicht rückrechenbarer Kurzwert (Hash) zur Abwehr von Missbrauch sowie, wenn Sie diese freiwillig angeben, Ihr Name und Ihre Kontaktdaten. Zur Missbrauchsabwehr nutzen wir ein Captcha (Cloudflare Turnstile); dabei kann Ihre IP-Adresse an Cloudflare übermittelt werden.

Bitte geben Sie im Chat keine Gesundheitsdaten ein, also keine Diagnosen, Beschwerden, Medikamente oder Inhalte Ihrer Verordnung. Die Verordnung bringen Sie bitte zum ersten Termin mit. Erkennt das System solche Angaben, werden sie nicht an die KI übermittelt und nicht im Klartext gespeichert.

Kontaktaufnahme aus dem Chat: Hinterlassen Sie Ihre Kontaktdaten und stimmen Sie zu, tragen wir Sie als Interessent in die Interessentenliste des Reha-Sports ein (wie beim Formular „Platz reservieren“, siehe Abschnitt 10) und melden uns bei Ihnen. Der Chat-Verlauf wird dabei nicht an diese Liste übertragen, nur Ihre Angaben im Kontaktformular.

Zweck und Rechtsgrundlage: Beantwortung Ihrer Fragen und Vorbereitung der Teilnahme (Art. 6 Abs. 1 lit. b DSGVO), Ihre Einwilligung zur Nutzung des KI-Chats und zur Übermittlung Ihrer Kontaktdaten an den Reha-Sport (Art. 6 Abs. 1 lit. a DSGVO, erteilt durch Setzen des Häkchens vor der ersten Nachricht bzw. im Kontaktformular, jederzeit mit Wirkung für die Zukunft widerrufbar), Sicherheit, Missbrauchsabwehr und Kostenschutz (Art. 6 Abs. 1 lit. f DSGVO).

Empfänger: Die Nachrichten werden zur Erzeugung der Antwort an Amazon Web Services EMEA SARL (Amazon Bedrock) übermittelt; diese Verarbeitung erfolgt ausschließlich in Rechenzentren in der EU. Technischer Betrieb: Supabase (Frankfurt) und Cloudflare. Hinterlassen Sie Ihre Kontaktdaten, benachrichtigen wir uns per E-Mail über den Dienstleister Resend (Resend Inc., USA); der Versand erfolgt aus der EU-Region (Irland), es besteht ein Auftragsverarbeitungsvertrag, und die Übermittlung an den Anbieter stützt sich auf das EU-U.S. Data Privacy Framework bzw. Standardvertragsklauseln.

Speicherdauer: Chat-Verläufe werden nach 30 Tagen gelöscht. Haben Sie Ihre Kontaktdaten hinterlassen, gilt für die Interessentenliste die Speicherdauer aus Abschnitt 5. Der Missbrauchs-Kurzwert und die Kostenprotokolle werden nach 30 Tagen gelöscht.

Keine automatisierte Entscheidung: Der Chat trifft keine Entscheidungen mit rechtlicher Wirkung. Buchungen und Verträge kommen nur durch Ihre ausdrückliche Handlung zustande.

12. WhatsApp-Kontakt

Auf dieser Website finden Sie verschiedene Verlinkungen zu WhatsApp (wa.me). Bei einem Klick werden Sie zu WhatsApp (Meta Platforms Ireland Ltd.) weitergeleitet, und es gelten ab diesem Moment die Datenschutzbestimmungen von WhatsApp / Meta. Beim bloßen Aufruf unserer Website werden keine Daten an WhatsApp übertragen. Der Kontakt erfolgt erst, wenn Sie den Link bewusst anklicken.

Details: whatsapp.com/legal/privacy-policy-eea

13. Newsletter „One Health Weekly" (SendFox)

Im Fußbereich der Website verlinken wir auf die Anmeldeseite unseres E-Mail-Newsletters „One Health Weekly" mit Gesundheits- und Bewegungstipps. Die Anmeldung erfolgt auf einer Seite des Dienstes SendFox (Sumo Group, Inc., Austin, TX, USA), der den Versand für uns als Auftragsverarbeiter übernimmt. Verarbeitet werden Ihre E-Mail-Adresse, optional Ihr Name sowie der Anmeldezeitpunkt; die Anmeldung wird per Double-Opt-in bestätigt.

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können den Newsletter jederzeit über den Abmeldelink am Ende jeder E-Mail abbestellen. Die Übermittlung in die USA ist über das EU-U.S. Data Privacy Framework bzw. EU-Standardvertragsklauseln abgesichert. Details: sendfox.com/privacy

14. Externe Links

Diese Website verlinkt auf unsere Schwestermarken personaltrainingluebeck.de, luebeck-physio.de und niklaspape.de sowie auf Google Maps, die Plattform New Prime und weitere Fachquellen und Verbände. Beim Klick verlassen Sie unsere Website. Wir haben keinen Einfluss auf die Datenverarbeitung der jeweiligen Anbieter.

15. Schriftarten

Wir verwenden die Schriftarten Bebas Neue und Montserrat, die lokal von unserem Server ausgeliefert werden. Es werden keine Verbindungen zu Drittanbietern wie Google Fonts aufgebaut.

16. Sicherheit

Wir treffen dem Stand der Technik entsprechende technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten gegen Verlust, Manipulation und unbefugten Zugriff zu schützen. Dazu zählen insbesondere eine durchgängige TLS-Verschlüsselung (HTTPS), eine Content Security Policy und weitere HTTP-Sicherheitsheader, der Schutz durch Cloudflare (Bot-Filter, DDoS-Schutz, Web Application Firewall). Unsere Maßnahmen werden fortlaufend an die technische Entwicklung angepasst.

Sicherheitsforscher können verantwortliche Hinweise an info@niklaspape.de oder gemäß /.well-known/security.txt melden.

17. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder Änderungen unserer Leistungen Rechnung trägt. Bei wesentlichen Änderungen werden Mitglieder aktiv informiert.

Stand: 12. Oktober 2026