Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die hier beschriebenen Verarbeitungen im Sinne der Datenschutz-Grundverordnung ist:

Digital Dreamers – Simon Schweizer
Wilhelm-Kopp-Straße 6
71277 Rutesheim
Deutschland
E-Mail: hi@ooviflow.app
Telefon: +49 151 46429706

2. Konto und Anmeldung

Ein Konto entsteht mit Ihrer E-Mail-Adresse. Passwörter gibt es keine — zur Anmeldung schicken wir Ihnen einen Code an Ihre Adresse.

Daten: E-Mail-Adresse und Ihr Name; zu jeder angemeldeten Sitzung zusätzlich IP-Adresse und Browserkennung, um Missbrauch zu erkennen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — ohne Konto können wir die Anwendung nicht bereitstellen. Die Sitzungsdaten stützen wir zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz der Konten vor fremdem Zugriff.

Speicherdauer: Kontodaten bleiben, solange das Konto besteht. Eine Sitzung läuft nach sieben Tagen ohne Nutzung ab; IP-Adresse und Browserkennung löschen wir spätestens zwei Tage danach, Anmeldecodes spätestens einen Tag nach Anforderung.

3. Ihre Inhalte

Was Sie in OOVI flow anlegen — Übungen, Klassen, Studios und Bilder samt zugehöriger Notizen und Markierungen — speichern wir zu Ihrem Konto.

Zu jedem Datensatz speichern wir, wer ihn angelegt und zuletzt geändert hat.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — das Speichern Ihrer Inhalte ist die Leistung, für die Sie das Konto führen.

Speicherdauer: Bis Sie den einzelnen Inhalt oder Ihr Konto löschen.

4. Bilder

Sie können Fotos zu einer Übung hochladen.

Wer sie sehen kann: nur Sie und die Kolleginnen, für die Sie eine Übung freigeben; darüber hinaus erreichen die Bilder nur die in Abschnitt 11 genannten Dienstleister.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Sind auf einem Foto Menschen zu sehen, verarbeiten wir deren Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, dass eine Trainerin ihre Übungen mit Bild dokumentieren kann. Die Daten stammen aus dem Foto, das die Trainerin hochlädt. Abgebildete Personen können der Verarbeitung widersprechen (Abschnitt 17) — wir löschen das Bild dann.

Speicherdauer: Bis Sie das Bild, die zugehörige Übung oder Ihr Konto löschen. Wird aus Ihrem Foto eine Illustration, bleibt das Original gespeichert.

5. KI-Funktion

Ein Bild in den Katalogstil bringen: Aus Ihrem Foto erzeugt ein Bildmodell eine Illustration im einheitlichen Stil des Katalogs. Übermittelt werden die Bilddaten.

Die Anfrage läuft über das AI Gateway von Vercel an OpenAI (Abschnitt 11).

OpenAI hält die Anfragen bis zu dreißig Tage vor und löscht sie danach. Die Verarbeitung kann in den Vereinigten Staaten stattfinden — siehe Abschnitt 12.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die KI-Funktion ist Bestandteil der Leistung, und Sie entscheiden über jeden einzelnen Aufruf.

Wenn Menschen auf dem Foto zu sehen sind: Dann übermitteln Sie mit dem Bild deren Daten.

6. Inhalte teilen und Einladungen

Sie können eine Übung oder eine Klasse für eine Kollegin freigeben; sie erhält dadurch Zugriff auf den Inhalt. Alternativ erzeugen wir einen Link, den Sie selbst weitergeben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Das Teilen von Inhalten ist Teil der Leistung, für die Sie das Konto führen; die Adresse der Empfängerin verarbeiten wir dabei als die unserer eigenen Nutzerin.

Speicherdauer: Bis Sie die Freigabe zurücknehmen. Ein Einladungslink, den niemand einlöst, verfällt nach sechs Monaten.

7. Abonnement und Zahlung

Die Zahlungsabwicklung übernimmt Stripe; Ihre Zahlungsdaten geben Sie dort ein. Zu uns zurück fließen der Status Ihres Abonnements, der Zeitpunkt der nächsten Abrechnung und die Kennung Ihres Stripe-Kundenkontos.

Für eigene Zwecke, insbesondere die Erkennung von Betrug, ist Stripe eigenständig verantwortlich; Näheres im Datenschutzhinweis von Stripe.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Abwicklung des Abonnements; Art. 6 Abs. 1 lit. c DSGVO für die Aufbewahrung der Rechnungen.

Speicherdauer: Rechnungen und Buchungsbelege bewahren wir acht Jahre auf (§ 147 Abs. 1 Nr. 4, Abs. 3 AO und § 14b Abs. 1 UStG). Diese Frist gilt auch dann weiter, wenn Sie Ihr Konto löschen.

8. Betrieb, Sicherheit und Missbrauchsschutz

Beim Aufruf der Anwendung fallen bei unserem Hosting-Dienstleister Protokolldaten an: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode und Browserkennung. Wir nutzen sie zur Aufklärung von Störungen und Angriffen; sie sind höchstens dreißig Tage abrufbar.

Zur Begrenzung von Anmeldeversuchen halten wir die IP-Adresse kurzzeitig fest und löschen sie spätestens täglich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und störungsfreie Betrieb sowie die Abwehr automatisierter Angriffe auf die Anmeldung.

9. Reichweitenmessung

Wir nutzen Vercel Web Analytics zur Reichweitenmessung. Der Dienst arbeitet ohne Cookies, legt nichts auf Ihrem Gerät ab und speichert Ihre IP-Adresse nicht; Besucherinnen werden über einen Hashwert erkannt, der nach vierundzwanzig Stunden verfällt.

Erfasst werden Zeitpunkt, aufgerufene Seite, verweisende Seite, Land und Region, Betriebssystem, Browser und Gerätetyp. Die Auswertungen sind zwölf Monate abrufbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist zu verstehen, welche Teile der Anwendung genutzt werden, um sie weiterzuentwickeln.

10. Speicherung auf Ihrem Gerät

Wir setzen genau ein Cookie: den Sitzungsschlüssel, der Sie angemeldet hält. Er entsteht mit Ihrer Anmeldung und läuft nach sieben Tagen ohne Nutzung ab. Ohne ihn ist kein angemeldeter Zustand möglich; er ist damit nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich und einwilligungsfrei.

Im Trainer Mode legen wir zusätzlich den Stand der laufenden Klasse im Speicher des Browser-Tabs ab, damit er beim Wiederaufwachen des Geräts erhalten bleibt. Diese Daten verlassen Ihr Gerät nicht und werden mit dem Tab gelöscht.

11. Empfänger

Wir arbeiten mit den folgenden Dienstleistern zusammen. Hinter jedem steht, worauf wir eine Übermittlung in die USA stützen.

• Vercel Inc., USA — Betrieb und Auslieferung der Anwendung, Bildspeicher, Reichweitenmessung und Vermittlung der KI-Anfragen. Zertifiziert unter dem EU-U.S. Data Privacy Framework (Art. 45 DSGVO), ergänzend Standardvertragsklauseln.
• Neon, LLC, eine Gesellschaft von Databricks, Inc., USA — Datenbank. Databricks gibt an, dass die Zertifizierung unter dem Data Privacy Framework auch Neon umfasst (Art. 45 DSGVO); ergänzend gelten die Standardvertragsklauseln.
• Plus Five Five, Inc. (Resend), USA — Versand der Anmeldecodes und der Nachrichten zu Ihrem Konto. Zertifiziert unter dem Data Privacy Framework (Art. 45 DSGVO); die Verarbeitung findet in den USA statt.
• Stripe Payments Europe, Limited, Irland — Zahlungsabwicklung und Rechnungsstellung. Soweit Stripe Daten an die US-Gesellschaft weitergibt, ist diese unter dem Data Privacy Framework zertifiziert (Art. 45 DSGVO).
• OpenAI, USA — Betrieb des Bildmodells, als Unterauftragnehmer von Vercel. Eine Zertifizierung unter dem Data Privacy Framework ist uns nicht bekannt; Übermittlungen stützen sich auf die Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

12. Übermittlung in die USA

Wo Ihre Daten liegen: Datenbank, Anwendung und Bildspeicher laufen in Frankfurt am Main.

Die Unternehmen hinter unseren Diensten sitzen teils in den Vereinigten Staaten; worauf sich die jeweilige Übermittlung stützt, steht in Abschnitt 11 hinter jedem Empfänger. Grundlage ist entweder der Angemessenheitsbeschluss der Europäischen Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO) oder die Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Standardvertragsklauseln erhalten Sie von uns auf Anfrage.

13. Löschung und Sicherungskopien

Löschen Sie einen Inhalt oder Ihr Konto, verschwindet er aus der Anwendung sofort. Aus den verschlüsselten Sicherungskopien unseres Datenbankanbieters fällt er spätestens nach dreißig Tagen heraus.

Konten ohne laufendes Abonnement löschen wir, wenn Sie sich drei Monate lang nicht angemeldet haben. Wir schreiben Ihnen vorher zweimal: einen Monat und vierzehn Tage vor der Löschung. Jede Anmeldung setzt die Frist zurück. Konten mit laufendem Abonnement sind davon nicht betroffen.

14. Was Sie angeben müssen

Erforderlich sind Ihre E-Mail-Adresse, Ihr Name und der Name Ihres ersten Studios — ohne sie können wir das Konto nicht einrichten und den Vertrag nicht erfüllen. Für ein Abonnement kommen die Angaben hinzu, die Stripe zur Zahlung benötigt. Alle weiteren Angaben sind freiwillig.

15. Keine automatisierten Entscheidungen

Wir treffen keine ausschließlich automatisierten Entscheidungen im Sinne des Art. 22 DSGVO und betreiben kein Profiling.

16. Ihre Rechte

Ihnen stehen gegenüber uns die folgenden Rechte zu:

• Auskunft (Art. 15 DSGVO) — welche Daten wir über Sie verarbeiten, und eine Kopie davon.
• Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Angaben.
• Löschung (Art. 17 DSGVO) — Löschung Ihrer Daten und Ihres Kontos.
• Einschränkung (Art. 18 DSGVO) — Sperrung der Verarbeitung statt Löschung, solange etwas strittig ist.
• Datenübertragbarkeit (Art. 20 DSGVO) — Ihre Inhalte in einem maschinenlesbaren Format zur Mitnahme.

Für die Ausübung Ihrer Rechte schreiben Sie an hi@ooviflow.app.

18. Beschwerde bei einer Aufsichtsbehörde

Sie können sich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de