Datenschutzerklärung

Verantwortliche im Sinne von Art. 5 lit. j des Schweizer Datenschutzgesetzes (DSG) ist die oben genannte Gesellschaft. Sie entscheidet über Zweck und Mittel der Bearbeitung deiner Personendaten.

Diese Erklärung gilt für die Webanwendung Adactiv Diagnostics unter adactivdiagnostics.ch sowie für die damit verbundenen E-Mails. Sie richtet sich nach dem revidierten Schweizer Datenschutzgesetz (DSG, SR 235.1) und der Datenschutzverordnung (DSV, SR 235.11).

Nutzt du den Dienst von ausserhalb der Schweiz, können zusätzlich die Datenschutzvorschriften deines Wohnsitzstaates zur Anwendung kommen.

2.1 Kontodaten

Bei der Eröffnung eines Kontos bearbeiten wir:

• E-Mail-Adresse
• Anzeigename (freiwillig)
• Profilbild (freiwillig)
• Zeitpunkt der Kontoeröffnung sowie Anmeldezeitpunkte
• Bei Anmeldung über Google oder Apple: die von diesen Anbietern übermittelte Kennung und E-Mail-Adresse

2.2 Fahrt- und Testdaten

Lädst du eine Fahrtdatei (.FIT) hoch oder gibst du Werte manuell ein, bearbeiten wir:

• Leistungsdaten (Watt im Zeitverlauf) sowie, sofern in der Datei enthalten, Herzfrequenz und Trittfrequenz
• Körpergewicht und Geschlecht (von dir angegeben; das Geschlecht dient der Schätzung von W′)
• Abgeleitete physiologische Kennwerte: Critical Power, W′, VO₂max-Schätzung, Trainingszonen, Substratverwertung, Leistungseinstufung und Fahrertyp
• Zeitpunkt und Dateiname des Uploads

2.3 Zahlungsdaten

Zahlungen wickeln wir über Stripe ab. Deine vollständigen Kartendaten werden ausschliesslich von Stripe bearbeitet und erreichen unsere Server nicht. Wir erhalten von Stripe lediglich transaktionsbezogene Angaben wie Betrag, Währung, Zahlungsstatus, Zeitpunkt und eine Zahlungskennung.

2.4 Technische Daten

Beim Aufruf des Dienstes fallen technische Daten an, insbesondere IP-Adresse, Browsertyp, Betriebssystem, Zugriffszeitpunkt und aufgerufene Seiten. Wir bearbeiten sie zum Betrieb, zur Fehlersuche und zur Abwehr von Missbrauch.

Wir setzen keine Analyse-, Tracking- oder Werbedienste ein.

Die aus deinen Fahrtdaten abgeleiteten physiologischen Kennwerte (u. a. Critical Power, VO₂max-Schätzung, Trainingszonen) sowie dein Körpergewicht sind Daten über die Gesundheit und gelten damit als besonders schützenswerte Personendaten nach Art. 5 lit. c Ziff. 2 DSG.

Deren Bearbeitung setzt nach Art. 6 Abs. 7 lit. a DSG deine ausdrückliche Einwilligung voraus. Du erteilst sie, indem du vor dem Start der Analyse das entsprechende Kästchen aktiv ankreuzt. Ohne dieses Häkchen starten wir die Auswertung nicht. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmässigkeit der bis dahin erfolgten Bearbeitung bleibt unberührt.

Ohne diese Einwilligung können wir die Leistungsdiagnostik nicht erbringen, da sie deren einziger Gegenstand ist.

Freigabe für die Verbesserung unserer Verfahren

Bei einem Comprehensive Test bieten wir dir an, dein vollständiges Auswertungsergebnis für unsere eigene Forschung freizugeben. Wir verwenden es ausschliesslich dazu, den Quick Test und die automatische Erkennung deiner Testintervalle an echten Fahrten zu verbessern.

Freigegeben wird das vollständige Ergebnis inklusive der daraus abgeleiteten Gesundheitsdaten; es wird in ein internes Forschungskonto derselben verantwortlichen Stelle kopiert und dort aufbewahrt. Eine Bekanntgabe an Dritte findet nicht statt, und die Kopie bleibt deinem Konto zugeordnet, damit wir sie auf Verlangen löschen können.

Das Kästchen dafür ist bereits angekreuzt; du kannst das Häkchen vor dem Start der Analyse entfernen. Deine Auswertung ist in beiden Fällen identisch, und die Freigabe ist keine Bedingung für die Nutzung des Dienstes. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen und die Löschung der Kopie verlangen (Kontakt siehe unten).

Die Analyse bewertet deine Fahrtdaten automatisiert, um Aspekte deiner Gesundheit und Leistungsfähigkeit einzuschätzen: etwa deine aerobe Kapazität, deine Trainingszonen und deine Einstufung im Vergleich zu einer Referenzpopulation. Dies stellt ein Profiling im Sinne von Art. 5 lit. f DSG dar.

Die Auswertung dient ausschliesslich der von dir angeforderten Diagnostik. Es findet keine automatisierte Einzelentscheidung mit Rechtsfolgen für dich statt, und wir verwenden die Ergebnisse weder zur Bonitäts- noch zur Eignungsbeurteilung ausserhalb des Sports.

Der Dienst kennt ein Coach-Konto. Löst du eine Einladung ein, die dir eine Trainerin oder ein Trainer geschickt hat, oder wird dein Konto einem Coach zugeordnet, so werden deine Testergebnisse für dieses Coach-Konto sichtbar.

Sichtbar sind dabei insbesondere: dein Name bzw. deine E-Mail-Adresse, deine Testresultate samt der daraus abgeleiteten physiologischen Kennwerte, dein Testverlauf sowie Notizen und Zielvorgaben, die die Trainerin oder der Trainer zu dir erfasst.

Da es sich dabei um besonders schützenswerte Personendaten handelt, erfolgt diese Bekanntgabe nur mit deiner ausdrücklichen Einwilligung nach Art. 6 Abs. 7 lit. a DSG. Diese erteilst du mit dem Einlösen der Einladung.

Die Trainerin oder der Trainer ist für die weitere Bearbeitung dieser Daten datenschutzrechtlich selbst verantwortlich. Möchtest du die Verknüpfung aufheben, genügt eine Mitteilung an uns; wir entziehen den Zugriff für künftige Auswertungen.

• Erbringung des Dienstes: Durchführung der Leistungsdiagnostik und Anzeige deiner Resultate.
• Kontoverwaltung: Führung deines Kontos, deines Testverlaufs und deiner Zugangsberechtigung.
• Abwicklung von Zahlungen: Verarbeitung von Testkäufen und Coach-Guthaben sowie die gesetzlich vorgeschriebene Buchführung.
• Kommunikation: Versand transaktionsbezogener E-Mails wie Einladungen, Bestätigungen und Trainingszonen.
• Sicherheit und Missbrauchsabwehr: Erkennung von Betrug, Bot-Zugriffen und unbefugter Nutzung.
• Verbesserung des Dienstes: Weiterentwicklung der Analysemodelle. Hierfür verwenden wir Daten nur in aggregierter oder anonymisierter Form.

Wir verkaufen, vermieten oder handeln deine Personendaten nicht. Wir setzen die folgenden Auftragsbearbeiter ein, die deine Daten ausschliesslich weisungsgebunden und zu den nachstehenden Zwecken bearbeiten (Art. 19 Abs. 2 lit. c und Abs. 4 DSG):

• Google Ireland Ltd. / Google LLC (Firebase): Authentifizierung, Datenbank und Dateispeicherung
  Land: Irland / Vereinigte Staaten · Garantie: Angemessener Schutz nach Anhang 1 DSV; Google LLC ist unter dem Datenschutzrahmen Schweiz–USA zertifiziert.
• Stripe, LLC / Stripe Payments Europe Ltd.: Zahlungsabwicklung und Betrugsprävention
  Land: Irland / Vereinigte Staaten · Garantie: Angemessener Schutz nach Anhang 1 DSV; Stripe, LLC ist unter dem Datenschutzrahmen Schweiz–USA zertifiziert.
• Vercel, Inc.: Hosting und Auslieferung der Webanwendung
  Land: Vereinigte Staaten · Garantie: Angemessener Schutz nach Anhang 1 DSV; Vercel, Inc. ist unter dem Datenschutzrahmen Schweiz–USA zertifiziert.
• Resend (Plus Five Five, Inc.): Versand transaktionsbezogener E-Mails
  Land: Vereinigte Staaten · Garantie: Standardvertragsklauseln nach Art. 16 Abs. 2 lit. d DSG: die EU-Klauseln (Beschluss 2021/914) mit den für die Schweiz verlangten Anpassungen, die der EDÖB am 27. August 2021 anerkannt hat. Resend ist unter dem EU–US Data Privacy Framework und dessen UK-Erweiterung zertifiziert, nicht jedoch unter dem Datenschutzrahmen Schweiz–USA; die Angemessenheit nach Anhang 1 DSV trägt diese Bekanntgabe daher nicht.
• Intuition Machines, Inc. (hCaptcha): Bot- und Betrugserkennung im Bezahlvorgang; wird von Stripe eingebunden
  Land: Vereinigte Staaten · Garantie: Eingebunden über Stripe im Rahmen von deren Auftragsbearbeitung.

Darüber hinaus geben wir Daten nur bekannt, wenn wir gesetzlich dazu verpflichtet sind oder es zur Durchsetzung unserer Rechte erforderlich ist.

Wie in Ziffer 7 aufgeführt, werden Personendaten in die Vereinigten Staaten und in Länder des Europäischen Wirtschaftsraums bekanntgegeben.

Für die Vereinigten Staaten stützen wir uns auf Anhang 1 DSV, soweit der jeweilige Anbieter unter dem Datenschutzrahmen Schweiz–USA zertifiziert ist, und andernfalls auf Standardvertragsklauseln nach Art. 16 Abs. 2 lit. d DSG. Für den Europäischen Wirtschaftsraum besteht ein Angemessenheitsbeschluss nach Anhang 1 DSV.

Auf Anfrage stellen wir dir Angaben zu den eingesetzten Garantien zur Verfügung.

Wir bewahren Personendaten nur so lange auf, wie es für die genannten Zwecke erforderlich ist (Art. 6 Abs. 4 DSG):

• Konto- und Testdaten: für die Dauer deines Kontos. Nach dessen Löschung entfernen wir sie innert 30 Tagen aus den aktiven Systemen; Sicherungskopien werden innert 90 Tagen überschrieben.
• Zahlungs- und Buchhaltungsbelege: zehn Jahre. Diese Frist schreibt Art. 958f Abs. 1 OR vor; sie geht einem Löschbegehren vor. Betroffen sind Betrag, Datum, Zahlungskennung und die zur Zuordnung nötigen Angaben, nicht deine Fahrt- oder Gesundheitsdaten.
• Server- und Sicherheitsprotokolle: in der Regel 90 Tage.
• Aggregierte oder anonymisierte Auswertungen: unbefristet, da sie keinen Personenbezug mehr aufweisen.

Wir treffen angemessene technische und organisatorische Massnahmen, die dem erhöhten Schutzbedarf von Gesundheitsdaten Rechnung tragen: Übertragung ausschliesslich über TLS, Verschlüsselung der gespeicherten Daten, Zugriffsbeschränkung nach dem Prinzip der minimalen Rechte sowie serverseitig durchgesetzte Zugriffsregeln.

Hochgeladene Fahrtdateien werden im Arbeitsspeicher verarbeitet und nicht dauerhaft als Datei abgelegt; gespeichert werden die daraus errechneten Resultate.

Dir stehen nach dem DSG insbesondere folgende Rechte zu:

• Auskunft (Art. 25 DSG): Bestätigung darüber, ob wir Daten über dich bearbeiten, und Auskunft über diese Daten.
• Berichtigung (Art. 32 Abs. 1 DSG): Korrektur unrichtiger Daten.
• Löschung und Untersagung (Art. 32 Abs. 2 DSG): Löschung deiner Daten oder Untersagung einer bestimmten Bearbeitung oder Bekanntgabe.
• Datenherausgabe (Art. 28 DSG): Herausgabe der von dir bereitgestellten Daten in einem gängigen elektronischen Format oder deren Übertragung an eine andere verantwortliche Person.
• Widerruf der Einwilligung: jederzeit mit Wirkung für die Zukunft, namentlich für die Bearbeitung von Gesundheitsdaten und für den Zugriff deiner Trainerin oder deines Trainers.

Zur Ausübung genügt eine Nachricht an info@adactivdiagnostics.ch. Wir können zur Sicherheit einen Identitätsnachweis verlangen.

Bist du der Ansicht, dass wir deine Daten nicht rechtmässig bearbeiten, kannst du dies dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern, melden. Der Rechtsweg an die Zivilgerichte nach Art. 32 DSG bleibt dir offen.

Auf den öffentlichen Seiten setzen wir ein einziges, technisch notwendiges Cookie (NEXT_LOCALE), das deine Sprachwahl speichert. Analyse-, Tracking- oder Werbe-Cookies verwenden wir nicht.

Im angemeldeten Bereich speichert Firebase Anmeldeinformationen lokal in deinem Browser, damit du angemeldet bleibst. Im Bezahlvorgang setzen Stripe und der von Stripe eingebundene Bot-Schutz hCaptcha eigene Cookies; sie sind für die sichere Abwicklung der Zahlung erforderlich.

Wir können diese Erklärung anpassen, wenn sich der Dienst oder die Rechtslage ändert. Massgebend ist die jeweils auf dieser Seite veröffentlichte Fassung mit dem angegebenen Stand. Über wesentliche Änderungen informieren wir dich vorgängig per E-Mail oder im Dienst.

Diese Erklärung untersteht Schweizer Recht. Ausschliesslicher Gerichtsstand ist der Kanton Schwyz, Schweiz. Zwingende Bestimmungen des Rechts an deinem Wohnsitz bleiben vorbehalten.