Puzzle Gym Nürnberg Probetraining

Datenschutz

Stand: 20. Oktober 2026. Diese Hinweise gelten für die Website, den Mitgliederbereich und das interne Puzzle System unter www.puzzle-gym.de.

1. Verantwortlicher

Sertac Burcak e.K., Platenstraße 59, 90441 Nürnberg.
Datenschutzanfragen: studio@puzzle-gym.de.

2. Bereitstellung der Website

Für den sicheren Betrieb nutzen wir Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Beim Abruf werden technisch notwendige Verbindungsdaten wie IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser- und Geräteinformationen verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser Interesse ist die sichere und zuverlässige Bereitstellung dieser Website.

Cloudflare verarbeitet Daten in einem weltweiten Netzwerk; eine Verarbeitung in den USA ist möglich. Informationen zu Schutzmechanismen für internationale Übermittlungen, einschließlich Standardvertragsklauseln und dem EU-US Data Privacy Framework, findest du bei Cloudflare. In unserem Website-Code werden keine Besucherprofile erstellt; Protokolle enthalten keine Formularinhalte.

3. Probetraining und Kontaktanfragen

Wir verarbeiten deinen Namen, deine E-Mail-Adresse, deine Anschrift (Straße und Hausnummer, Postleitzahl und Ort), dein Geburtsdatum, dein Geschlecht und dein Interesse. Telefon und Terminwunsch sind freiwillig; beim Geschlecht kannst du „Keine Angabe“ wählen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO (vorvertragliche Anfrage); bei allgemeinen Kontaktanfragen Art. 6 Abs. 1 Buchst. f DSGVO (Beantwortung deiner Nachricht). Wir verwenden die Angaben für deine Probetraining-Anfrage. Anhand des Geburtsdatums prüfen wir das Mindestalter und ob eine Einwilligung der Erziehungsberechtigten erforderlich ist. Ohne diese Angaben kann das Formular nicht abgesendet werden.

Die Anfrage wird über Cloudflare an studio@puzzle-gym.de zur Bearbeitung durch die für Puzzle Gym zuständigen Personen übermittelt. Die Website speichert keine Kopie deiner Anfrage in einer öffentlichen oder lokalen Browser-Datenbank. Für den Missbrauchsschutz werden kurzlebige technische Kennungen verarbeitet; sie dienen nicht dem Tracking. Eine Nutzung zu Werbezwecken erfolgt nicht.

Abgeschlossene Anfragen werden gelöscht, sobald sie für die Bearbeitung nicht mehr benötigt werden. Soweit gesetzliche Aufbewahrungspflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen eine weitere Speicherung erfordern, werden nur die hierfür erforderlichen Daten für die Dauer dieser Fristen aufbewahrt. Dann erfolgt eine Löschung. Es findet keine automatisierte Entscheidung oder Profilbildung statt.

Firmenfitness-Anfragen

Fragt ein Unternehmen über die Seite „Firmenfitness Nürnberg“ unsere Firmenkonditionen an, verarbeiten wir den Firmennamen, die Ansprechperson, die E-Mail-Adresse, die Anzahl der Mitarbeitenden sowie freiwillig Telefonnummer, Standort und Nachricht. Daraus erstellen wir sofort das Infoblatt mit den Konditionen als PDF und legen die Anfrage als Interessent im Puzzle System an, damit wir uns persönlich melden können. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO (vorvertragliche Anfrage) und Art. 6 Abs. 1 Buchst. f DSGVO (Beantwortung von Geschäftsanfragen). Das PDF wird nur an den anfragenden Browser übermittelt und nicht per E-Mail versendet. Für die Speicherdauer gilt dasselbe wie bei Probetraining- und Kontaktanfragen oben.

Feste Löschfristen

Zusätzlich gelten im Puzzle System feste Fristen: Name, E-Mail-Adresse, Telefonnummer und Notiz von Bestellungen (Frühstück, Supplements, Verkaufs-Tool) entfernen wir 90 Tage nach dem Bestelltag; die Bestellung selbst bleibt ohne Personenbezug für unsere Statistik. Interessenten-Anfragen löschen wir zwölf Monate nach der letzten Bearbeitung, wenn daraus eine Mitgliedschaft wurde oder keine zustande kam, und spätestens 24 Monate nach der letzten Bearbeitung in jedem Fall. Einträge des Zutrittsprotokolls (Drehkreuz, Gesichts-Check-in) und Check-ins am Tresen löschen wir nach 24 Monaten, Name, E-Mail-Adresse, Telefonnummer und Hinweis einer Running-Club-Anmeldung drei Monate nach dem Lauf. Ob jemand eine E-Mail von uns geöffnet hat, messen wir nicht. Das System wendet diese Fristen jeden Tag automatisch an. Vertrags-, Buchhaltungs- und Kassendaten bewahren wir so lange auf, wie es gesetzliche Pflichten verlangen.

4. Einwilligung der Erziehungsberechtigten

Für Teilnehmende von 15 bis 17 Jahren verarbeiten wir die im Elternformular angegebenen Namen, das Geburtsdatum zur Altersprüfung, den Trainingstermin und die Unterschriften zum Nachweis der Einwilligung. Grundlage ist Art. 6 Abs. 1 Buchst. b DSGVO für Vorbereitung und Durchführung; für den Nachweis der Einwilligung Art. 6 Abs. 1 Buchst. f DSGVO. Unser Interesse ist die rechtmäßige Durchführung und Absicherung des Probetrainings.

Das ausgefüllte PDF bleibt auf deinem Gerät, bis du es selbst weitergibst. Es wird nicht automatisch übertragen. Das unterschriebene Formular wird im Studio nur berechtigten Personen zugänglich gemacht und nach Wegfall des Zwecks bzw. der erforderlichen Nachweis- und Aufbewahrungsfristen gelöscht oder vernichtet. Bitte trage keine Gesundheitsdaten ein.

5. Mitgliedschaft, Zahlung und Empfänger

Schließt du eine Mitgliedschaft online ab, verarbeiten wir deine Vertrags-, Kontakt- und Zahlungsdaten sowie deine elektronische Unterschrift, um den Vertrag zu erfüllen (Art. 6 Abs. 1 lit. b DSGVO). Der fertige Vertrag wird dir als PDF bereitgestellt und an das Studio übermittelt.

Empfänger sind:

Vertrags- und Rechnungsdaten bewahren wir für die gesetzlichen Aufbewahrungsfristen auf (bis zu zehn Jahre nach § 147 AO und § 257 HGB).

Mit allen Dienstleistern, die personenbezogene Daten in unserem Auftrag verarbeiten, schließen wir Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Das betrifft insbesondere Cloudflare für den Betrieb von Website und Mitgliedersystem, OpenAI für den internen Assistenten (siehe unten), Facetronic für den Gesichts-Check-in (siehe unten) sowie — solange sie eingesetzt werden — Magicline für die Vertragsverwaltung. Die Finion Fair Pay GmbH wird als Inkassodienstleister erst tätig, wenn Forderungen nach erfolgloser Mahnung übergeben werden; sie verarbeitet die Daten dann in eigener Verantwortung auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO.

Wie lange wir speichern. Vertrags-, Rechnungs- und Zahlungsdaten zehn Jahre nach Ablauf des Jahres, in dem der Vertrag endete (§ 147 AO, § 257 HGB). Das SEPA-Mandat dreizehn Monate nach dem letzten Einzug, weil so lange eine Rückbuchung möglich ist. Check-in-Daten und Zutrittsprotokolle 24 Monate. Interessenten- und Probetraining-Anfragen zwölf Monate nach der letzten Bearbeitung, wenn daraus eine Mitgliedschaft wurde oder keine zustande kam, spätestens aber 24 Monate nach der letzten Bearbeitung. Danach löschen wir, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Wer im Studio worauf zugreift. Vertrags-, Bank- und Zahlungsdaten sehen nur der Inhaber und die Studioleitung. Das Team am Tresen sieht Name, Vertragsnummer, Tarif und Zutrittsstatus, um seine Arbeit zu tun — keine Bankverbindung, keine Beiträge, keine Umsätze. Jeder Zugriff auf Vertragsdaten wird protokolliert.

6. Links zu Google Maps

Auf der Website ist keine Karte eingebettet und es wird kein Gerätestandort abgefragt. Über „Anfahrt planen“ im Kontaktbereich kannst du die Studioadresse bei Google Maps öffnen.

Erst beim Öffnen des Links wird eine Verbindung zu Google Maps hergestellt und die Studioadresse übergeben. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dort gelten die Datenschutzhinweise von Google. Eine Übermittlung in Drittländer ist möglich. Die Nutzung von Google Maps ist freiwillig; die Studioadresse kannst du auch in einem anderen Routenplaner verwenden.

7. Cookies und lokale Daten

Die öffentliche Website verwendet keine Analyse- oder Marketing-Cookies, keine Tracking-Pixel und keine eingebetteten Videos oder Karten. Schriften und Bilder werden lokal über unsere Website ausgeliefert. Ein Zustimmungsbanner für solche Dienste ist deshalb derzeit nicht erforderlich.

Die frühere App-Vorschau bieten wir nicht mehr an. Wer sie genutzt hat, kann noch Demo-Daten unter den Schlüsseln puzzleGymUsers, puzzleGymSession, puzzleGymBookings und puzzleGymAppSession im eigenen Browser gespeichert haben. Diese Daten wurden nie an uns übertragen und lassen sich jederzeit über die Browser-Einstellungen („Websitedaten löschen“) entfernen. Der echte Kundenbereich verwendet das unten beschriebene Puzzle System.

Lokale Vorschau-Daten verwalten
Die Löschung meldet dich aus der Vorschau ab und entfernt dort gespeicherte Demo-Buchungen. Andere Websites und das frühere Intranet sind nicht betroffen.

8. Deine Rechte

Du hast nach Maßgabe der gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit (Art. 15 bis 20 DSGVO). Bei einer Verarbeitung auf Grundlage berechtigter Interessen kannst du aus Gründen deiner besonderen Situation widersprechen (Art. 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit für die Zukunft widerrufen; die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt.

Wende dich dazu an studio@puzzle-gym.de. Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere beim Bayerischen Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach.

Frühstücksreservierung

Für eine Frühstücksanfrage verwenden wir deinen Namen, deine E-Mail-Adresse, Wunschtag, Uhrzeit, Bowl-Anzahl und gewählte Zutaten zur Bearbeitung und Rückmeldung. Die Anfrage wird an das Studio per E-Mail übermittelt. Der technische Schutz vor doppeltem Versand speichert für 24 Stunden lediglich den Versandstatus und einen Prüfwert der Anfrage, keine Formularinhalte. Deine Anfrage ist unverbindlich. Wir melden uns zur Bestätigung der Verfügbarkeit.

Puzzle System: Mitgliedskonto und Kursbuchungen

Für berechtigte Mitarbeiter speichern wir Name, E-Mail-Adresse, Passwort-Hash, Rolle und Zugangsstatus. Die Rollen steuern den Zugriff auf Mitgliederverwaltung, Verkaufserfassung und Check-ins. Bei internen Verkäufen werden Artikel, Mengen, Preise, Zahlungsart und Zeitpunkt gespeichert; auf Wunsch kann ein Mitglied zugeordnet werden. Manuelle Check-ins enthalten Mitglied und Zeitpunkt. Mitarbeiter der Rolle Team erhalten keine Umsatzübersichten, Mitgliederkennzahlen oder Kursbuchungen.

Zur Verwaltung deiner Mitgliedschaft speichern wir Name, Vertrags-E-Mail-Adresse, Vertragsnummer, Tarif, Beitrag, Laufzeit, Vertragsstatus und Kursberechtigung. Dein Konto wird über einen persönlichen Aktivierungscode mit dem beim Studio hinterlegten Vertrag verbunden. Passwörter werden ausschließlich als gesalzene Passwort-Hashes gespeichert; Aktivierungscodes und Sitzungsschlüssel ebenfalls nur als Hash.

Das Studio verwaltet die Vertragsdaten. Kunden können nur ihren eigenen Vertrag und eigene Buchungen einsehen. Kursbuchungen enthalten den gewählten Termin und den Buchungszeitpunkt; der Betreiber kann die Teilnehmerliste einsehen. Änderungen werden zur Nachvollziehbarkeit protokolliert. Ein notwendiges, sicheres Sitzungscookie hält dich für bis zu zwölf Stunden angemeldet und wird beim Abmelden ungültig.

Die Verarbeitung dient der Durchführung deiner Mitgliedschaft und der gewünschten Kursbuchungen. Die Daten werden bei Cloudflare in der serverseitigen Datenbank verarbeitet und nicht als Website-Dateien veröffentlicht. Für Auskunft, Berichtigung und Löschung wende dich bitte an das Studio. Vertragsdaten werden während der Vertragsabwicklung und anschließend im Umfang bestehender gesetzlicher Aufbewahrungspflichten aufbewahrt.

Puzzle System: Finanzverwaltung

Für die interne Vertrags- und Zahlungsverwaltung werden Forderungen, Zahlungsreferenzen, SEPA-Mandatsdaten (Kontoinhaber, IBAN, Mandatsreferenz und Datum), vorbereitete Zahlläufe sowie Verkaufs- und Gutscheindaten verarbeitet. Zugriff auf Finanz- und Mandatsdaten haben ausschließlich Inhaber und Studioleitung. Ein XML- oder CSV-Export wird manuell ausgelöst. Es erfolgt keine automatische Übermittlung an eine Bank oder einen Inkassoanbieter.

Puzzle System: Profilbild, Zutritt und Kündigung

Profilbild am Empfang. Auf deinen Wunsch nehmen wir am Tresen ein Foto auf, damit wir dich beim Einlass schneller zuordnen können. Das Foto ist freiwillig; Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO). Es ist für das Studioteam im Puzzle System sichtbar und geht für den Gesichts-Check-in an Facetronic (siehe unten). Du kannst die Einwilligung jederzeit widerrufen — dann löschen wir das Foto.

Zutritt. Für den Einlass speichern wir die Nummer deines Chips bzw. deiner Karte, deine Zutrittsberechtigung sowie Zeitpunkt und Gerät jedes Durchgangs am Drehkreuz, jedes Gesichts-Check-ins und jedes Check-ins am Tresen (Art. 6 Abs. 1 Buchst. b DSGVO). Diese Einträge löschen wir nach 24 Monaten.

Gesichts-Check-in. Am Check-in steht ein Terminal der Facetronic UG (haftungsbeschränkt), Im Zukunftspark 4, 74076 Heilbronn, das dich am Gesicht erkennen kann. Dafür übermitteln wir Facetronic deinen Namen, deine Mitgliedsnummer, deine E-Mail-Adresse, den Stand deines Vertrags (aktiv, ruhend, noch nicht begonnen, beendet) und dein Profilbild; Facetronic verarbeitet diese Daten in unserem Auftrag (Art. 28 DSGVO). Die Erkennung am Gesicht nutzt biometrische Daten und geschieht nur mit deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 Buchst. a DSGVO). Ohne sie kommst du wie gewohnt mit Chip oder am Tresen herein. Die biometrischen Merkmale bleiben bei Facetronic; das Puzzle System kennt nur eine zufällige Kennung, aus der sich nichts über dein Gesicht ablesen lässt. Bei jedem Scan prüft das Puzzle System, ob du hereinkommst, und speichert den Durchgang wie einen Check-in am Tresen. Du kannst die Einwilligung jederzeit widerrufen — sag uns am Tresen Bescheid oder wende dich an Facetronic; dein Gesicht wird dann abgemeldet und die Gesichtsdaten werden gelöscht. Endet deine Mitgliedschaft, melden wir dich spätestens 30 Tage nach Vertragsende bei Facetronic ab, und Facetronic löscht Foto und Gesichtsdaten.

Online-Kündigung. Kündigst du über die Website, verarbeiten wir Name, Anschrift, E-Mail-Adresse, Vertragsnummer, Vertragsart, Kündigungstermin und einen freiwilligen Grund, um die Kündigung zu bearbeiten und dir den Eingang zu bestätigen (Art. 6 Abs. 1 Buchst. b und c DSGVO). Die Kündigung bewahren wir als Teil der Vertragsunterlagen auf.

Puzzle Gym App

Die App für iPhone und Android öffnet deinen Mitgliederbereich im Puzzle System. Es gelten dieselben Zwecke, Rechtsgrundlagen und Speicherfristen wie oben beschrieben. Die App enthält keine Werbung und keine Analyse- oder Tracking-Dienste von Drittanbietern.

Angemeldet bleiben. Nach der Anmeldung legt die App einen zufälligen Geräteschlüssel im geschützten Schlüsselbund deines Geräts ab, damit du dich nicht jedes Mal neu anmelden musst. Bei uns liegt davon nur eine Prüfsumme, dazu der Gerätetyp (zum Beispiel „iPhone 15“) und wann der Schlüssel zuletzt genutzt wurde (Art. 6 Abs. 1 Buchst. b DSGVO). Er verfällt, wenn du dich abmeldest oder dein Passwort änderst, und spätestens nach 180 Tagen ohne Nutzung.

Face ID, Touch ID und Gerätecode. Wo die App danach fragt, prüft das allein dein Gerät. Biometrische Daten erhalten wir nicht.

Mitteilungen. Nur wenn du Mitteilungen erlaubst, speichern wir die Push-Adresse deines Geräts, um dir Hinweise zuzustellen. Zugestellt werden sie über die Push-Dienste von Apple beziehungsweise Google und den technischen Dienstleister Expo (650 Industries, Inc., USA); eine Übermittlung in Drittländer ist dabei möglich. Mitteilungen enthalten keine Namen, Anschriften, Gesundheits- oder Zahlungsdaten. Abschalten kannst du sie jederzeit in den Einstellungen deines Geräts.

Kamera und Fotos. Die App greift nur darauf zu, wenn du selbst ein Bild aufnimmst oder auswählst, um es hochzuladen.

Zugang löschen. In der App kannst du unter „Meine Daten“ deinen Zugang löschen. Dann werden dein Passwort und alle angemeldeten Geräte entfernt. Vertrag, Beiträge und Unterlagen bleiben bestehen, solange die Mitgliedschaft läuft und gesetzliche Aufbewahrungsfristen gelten (Art. 6 Abs. 1 Buchst. b und c DSGVO). Kündigen kannst du in der App unter „Kündigung“.

E-Mails vom Studio

Wir schreiben dir zu deiner Mitgliedschaft, zu Beiträgen, Kursen und zum Studiobetrieb (Art. 6 Abs. 1 Buchst. b DSGVO). Angebote und Aktionen schicken wir nur, wenn du dem zugestimmt hast (Art. 6 Abs. 1 Buchst. a DSGVO, § 7 UWG); die Zustimmung kannst du jederzeit im Mitgliederbereich oder per E-Mail an studio@puzzle-gym.de widerrufen. Ob und wann du eine E-Mail geöffnet hast, messen wir nicht — unsere E-Mails enthalten keine Zählpixel.

Unsere E-Mails versenden und empfangen wir über das Postfach studio@puzzle-gym.de bei der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, die dafür als Auftragsverarbeiter nach Art. 28 DSGVO für uns tätig ist. Schreiben zu offenen Beträgen (Mahnungen) schicken wir dir per E-Mail; hast du keine E-Mail-Adresse hinterlegt, per Brief. Jedes Schreiben vermerken wir in deiner Mitgliedsakte.

Running Club

Für die Anmeldung zum Running Club verarbeiten wir Vor- und Nachname, E-Mail-Adresse, freiwillig deine Telefonnummer und einen Hinweis, um die Plätze zu vergeben und dich bei Änderungen zu erreichen (Art. 6 Abs. 1 Buchst. b DSGVO). Drei Monate nach dem Lauf entfernen wir Name und Kontaktdaten; übrig bleibt nur die Teilnehmerzahl. Bei der anonymen Umfrage speichern wir keine Namen; damit niemand mehrfach abstimmt, merken wir uns statt deiner IP-Adresse nur einen mit einem geheimen Schlüssel gebildeten Prüfwert; die IP-Adresse selbst speichern wir nicht (Art. 6 Abs. 1 Buchst. f DSGVO).

Interner Assistent (OpenAI)

Die Inhaber nutzen im Puzzle System einen Assistenten („Vincent“), der Auswertungen erklärt und Vorschläge für die Studioorganisation macht. Dafür übermitteln wir zusammengefasste Kennzahlen (zum Beispiel Mitgliederzahlen, Besuche, Umsätze nach Tagen), offene Aufgaben mit Vertragsnummer, aber ohne Namen von Mitgliedern oder Interessenten, sowie Namen und Rollen der Mitarbeitenden an OpenAI. Bankdaten, Gesundheitsdaten, Fotos und Dokumente werden nicht übermittelt. Anbieter ist OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland; eine Verarbeitung in den USA ist möglich, abgesichert über das EU-US Data Privacy Framework bzw. Standardvertragsklauseln. OpenAI handelt als Auftragsverarbeiter nach Art. 28 DSGVO und verwendet über die Schnittstelle übermittelte Daten nach eigenen Angaben nicht zum Training seiner Modelle. Rechtsgrundlage ist unser berechtigtes Interesse an einer effizienten Studioorganisation (Art. 6 Abs. 1 Buchst. f DSGVO).