1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

M&H Gym GmbH
Weißkopfstraße 34
86343 Königsbrunn
Deutschland

Fitnessstudio:
THE GYM Augsburg
Wandalenstraße 59 1/2
86343 Königsbrunn

Telefon: 08231 / 9581942
E-Mail: fitness@thegym-augsburg.de

Vertretungsberechtigter Geschäftsführer: Philippe Hegglin

Die Unternehmens- und Kontaktdaten entsprechen den derzeit auf der Website veröffentlichten Angaben. The Gym Augsburg

2. Allgemeine Hinweise zur Datenverarbeitung

Wir nehmen den Schutz Ihrer personenbezogenen Daten ernst und behandeln Ihre personenbezogenen Daten vertraulich sowie entsprechend den gesetzlichen Datenschutzvorschriften.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Hierzu gehören beispielsweise Name, Anschrift, E-Mail-Adresse, Telefonnummer, Mitgliedsnummer, IP-Adresse und – soweit ausdrücklich eingewilligt – biometrische Daten.

Wir verarbeiten personenbezogene Daten nur, soweit hierfür eine gesetzliche Rechtsgrundlage besteht oder Sie in die Verarbeitung eingewilligt haben.

3. Kategorien personenbezogener Daten

Abhängig von der Nutzung unserer Website, dem Abschluss und der Durchführung einer Mitgliedschaft sowie der Nutzung unserer Angebote können insbesondere folgende Daten verarbeitet werden:

• Bestandsdaten, z. B. Name und Anschrift
• Kontaktdaten, z. B. E-Mail-Adresse und Telefonnummer
• Vertrags- und Mitgliedsdaten
• Zahlungs- und Abrechnungsdaten
• Zutritts- und Nutzungsdaten
• Inhaltsdaten, z. B. Angaben in Kontaktformularen
• Nutzungsdaten unserer Website
• technische Kommunikationsdaten, insbesondere IP-Adresse und Geräteinformationen
• gegebenenfalls Gesundheits- bzw. Trainingsangaben, soweit diese von Ihnen bereitgestellt werden
• bei freiwilliger Nutzung des biometrischen Zugangssystems biometrische Daten

4. Zwecke und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten insbesondere:

• zur Durchführung und Verwaltung von Mitgliedschaftsverträgen,
• zur Bereitstellung unserer Leistungen,
• zur Zutrittskontrolle,
• zur Bearbeitung von Anfragen,
• zur Abrechnung,
• zur Bereitstellung und Sicherung unserer Website,
• zur Wahrung berechtigter Interessen, insbesondere der IT- und Studiosicherheit,
• sowie aufgrund einer Einwilligung, soweit eine solche erforderlich ist.

Je nach Verarbeitung kommen insbesondere Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) als Rechtsgrundlagen in Betracht.

Für biometrische Daten gelten zusätzlich die besonderen Voraussetzungen des Art. 9 DSGVO.

---

5. Website und Server-Log-Dateien

Beim Aufruf unserer Website werden durch den Webserver bzw. Hostinganbieter technisch erforderliche Daten verarbeitet. Dazu können insbesondere gehören:

• IP-Adresse
• Browsertyp und Browserversion
• Betriebssystem
• Referrer-URL
• Hostname bzw. Gerätedaten
• Datum und Uhrzeit der Serveranfrage
• aufgerufene Seiten bzw. Dateien

Die Verarbeitung erfolgt insbesondere zur technisch fehlerfreien Bereitstellung unserer Website sowie zur Gewährleistung der Sicherheit und Stabilität unseres Internetangebots.

Soweit die Verarbeitung auf unseren berechtigten Interessen beruht, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO.

6. SSL-/TLS-Verschlüsselung

Unsere Website verwendet aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung.

Eine verschlüsselte Verbindung erkennen Sie insbesondere an „https://“ in der Adresszeile Ihres Browsers und dem entsprechenden Schloss-Symbol.

Dadurch sollen Daten, die Sie an uns übermitteln, vor dem unbefugten Zugriff Dritter geschützt werden.

7. Kontaktaufnahme

Wenn Sie uns beispielsweise per E-Mail oder über andere Kontaktmöglichkeiten kontaktieren, verarbeiten wir die von Ihnen übermittelten Angaben zur Bearbeitung Ihrer Anfrage.

Bezieht sich die Anfrage auf einen bestehenden Vertrag oder dient sie der Anbahnung eines Vertrages, erfolgt die Verarbeitung grundsätzlich auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

In anderen Fällen kann die Verarbeitung auf Grundlage unseres berechtigten Interesses an der Bearbeitung von Anfragen gemäß Art. 6 Abs. 1 lit. f DSGVO erfolgen.

8. Cookies

Unsere Website kann Cookies verwenden. Cookies sind kleine Dateien, die auf Ihrem Endgerät gespeichert werden.

Technisch notwendige Cookies können eingesetzt werden, soweit sie für den Betrieb und die grundlegenden Funktionen unserer Website erforderlich sind.

Soweit Cookies oder vergleichbare Technologien verwendet werden, die einer Einwilligung bedürfen, erfolgt die Verarbeitung erst nach Ihrer entsprechenden Einwilligung. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

9. Google Fonts

Soweit auf unserer Website Schriftarten von Google Fonts eingesetzt werden, achten wir auf eine datenschutzkonforme Einbindung.

Sollten Google Fonts lokal auf unserem Webserver gespeichert sein, findet beim Laden der Schriftarten grundsätzlich keine Verbindung zu Servern von Google zum Abruf der Schriftarten statt.

Hinweis: Eure aktuelle Datenschutzerklärung nennt Google Fonts noch ausdrücklich als Dienst von Google LLC. The Gym Augsburg Hier würde ich tatsächlich prüfen, ob die Fonts inzwischen lokal eingebunden sind. Falls sie extern von Google geladen werden, sollte dieser Abschnitt entsprechend detaillierter gestaltet werden.

---

10. Mitgliedschaft und Mitgliederverwaltung

Im Rahmen der Begründung, Durchführung und Beendigung einer Mitgliedschaft verarbeiten wir die hierfür erforderlichen personenbezogenen Daten.

Hierzu können insbesondere gehören:

• Name und Anschrift
• Geburtsdatum
• Kontaktdaten
• Mitgliedsnummer
• Vertragsdaten
• Zahlungs- und Abrechnungsdaten
• gebuchte Leistungen und Zusatzleistungen
• Zutrittsdaten
• gegebenenfalls für die Vertragsdurchführung erforderliche weitere Angaben.

Die Verarbeitung erfolgt grundsätzlich zur Durchführung des Mitgliedschaftsvertrages gemäß Art. 6 Abs. 1 lit. b DSGVO.

Soweit gesetzliche Aufbewahrungspflichten bestehen, erfolgt die weitere Speicherung auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

Zur Verwaltung unserer Mitgliedschaften können wir cloudbasierte Mitgliederverwaltungs- und Trainingssysteme einsetzen. Eure AGB weisen bereits auf die Speicherung in einer cloudbasierten Mitgliedersoftware sowie weiteren Trainingssoftwares und Apps hin. The Gym Augsburg

---

11. Zutrittskontrolle

Zur Kontrolle der Zutrittsberechtigung zu unserem Fitnessstudio setzen wir elektronische Zugangssysteme ein.

Je nach gewähltem bzw. angebotenem Verfahren kann der Zutritt beispielsweise mittels RFID-Karte/Chip, QR-Code oder – nach ausdrücklicher Einwilligung – über ein biometrisches Verfahren erfolgen.

Bei klassischen Zugangsmitteln werden insbesondere die Identifikationsnummer des jeweiligen Mediums sowie der Zeitpunkt des Zutritts verarbeitet.

Die Verarbeitung erfolgt zur Durchführung des Mitgliedschaftsvertrages gemäß Art. 6 Abs. 1 lit. b DSGVO.

---

12. Biometrisches Zugangssystem – Facetronic

Wir setzen für die Zutrittskontrolle ein System der

Facetronic UG (haftungsbeschränkt)
Im Zukunftspark 4
74076 Heilbronn

ein.

Das System ermöglicht neben klassischen Zugangsmöglichkeiten wie RFID-Medien oder QR-Codes auch eine freiwillige biometrische Identifikation bzw. Verifikation mittels Gesichtserkennung.

Die Gesichtserkennung dient ausschließlich der Identitätsprüfung und Zutrittskontrolle und ist von einer allgemeinen Videoüberwachung zu unterscheiden. Hinweisblatt_03_2026

12.1 Funktionsweise der Gesichtserkennung

Entscheidet sich ein Mitglied freiwillig für die biometrische Zugangsmöglichkeit, wird ein biometrisches Referenzprofil erstellt.

Hierzu analysiert die Software biometrische Merkmale des Gesichts und erstellt daraus einen mathematischen Datensatz („Template“ bzw. Hash).

Nach Angaben des Systemanbieters kann aus diesem mathematischen Datensatz das ursprüngliche Gesichtsbild nicht rekonstruiert werden.

Beim späteren Check-in erfasst das Facetronic-Gerät das Gesicht kurzfristig und wandelt die relevanten Merkmale in einen temporären mathematischen Wert um. Dieser wird mit dem hinterlegten Referenz-Template abgeglichen.

Das System kann zusätzlich eine KI-basierte „Liveness Detection“ einsetzen, um festzustellen, ob sich tatsächlich eine reale Person vor dem Gerät befindet und beispielsweise kein Foto oder Video zur Täuschung eingesetzt wird. Hinweisblatt_03_2026

12.2 Biometrische Identifikation

Beim kartenlosen Zugang kann ein Abgleich des erfassten biometrischen Datensatzes mit den im System hinterlegten Referenz-Templates erfolgen, um das Mitglied zu identifizieren.

Nach erfolgreicher Identifizierung wird die Mitglieds-ID an die Mitgliederverwaltungssoftware übermittelt. Dort wird geprüft, ob eine gültige Zutrittsberechtigung besteht. Bei bestehender Berechtigung wird die Türöffnung ausgelöst. Hinweisblatt_03_2026

12.3 Zwei-Faktor-Verifikation

Alternativ kann die Gesichtserkennung mit einem RFID-Medium bzw. QR-Code kombiniert werden.

Hierbei wird zunächst das Zugangsmedium erfasst. Anschließend erfolgt ein biometrischer 1:1-Abgleich mit dem dem Mitglied zugeordneten Referenz-Template.

Dieses Verfahren dient insbesondere dazu, eine unberechtigte Weitergabe bzw. Nutzung des Zutrittsmediums durch andere Personen zu verhindern. Hinweisblatt_03_2026

12.4 Zweck der Verarbeitung

Die Verarbeitung dient ausschließlich insbesondere:

• der Identitätsverifikation,
• der Prüfung der Zutrittsberechtigung,
• der automatisierten Zutrittskontrolle und
• dem Schutz vor einer missbräuchlichen Verwendung von Zugangsmedien.

Die biometrischen Daten werden nicht für Marketingzwecke oder zur Erstellung von Verhaltensprofilen verwendet.

Nach Angaben von Facetronic werden die Daten außerdem nicht zum Training oder zur Weiterentwicklung von KI-Algorithmen verwendet. Hinweisblatt_03_2026

12.5 Rechtsgrundlage

Die Verarbeitung allgemeiner personenbezogener Daten, die für die Zutrittskontrolle erforderlich sind, erfolgt grundsätzlich gemäß Art. 6 Abs. 1 lit. b DSGVO.

Die Verarbeitung biometrischer Daten zur eindeutigen Identifizierung erfolgt ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO.

Die Einwilligung ist freiwillig. Hinweisblatt_03_2026

12.6 Freiwilligkeit und alternative Zutrittsmöglichkeit

Die Nutzung der Gesichtserkennung ist nicht Voraussetzung für die Mitgliedschaft.

Mitgliedern steht eine alternative Zugangsmöglichkeit ohne Verarbeitung biometrischer Daten zur Verfügung, beispielsweise mittels RFID-Chip bzw. QR-Code.

Die Nicht-Erteilung oder der Widerruf der Einwilligung in die biometrische Verarbeitung führt daher nicht zum Verlust der grundsätzlichen Möglichkeit, das Studio im vertraglich vereinbarten Umfang zu nutzen. Hinweisblatt_03_2026

12.7 Widerruf

Eine erteilte Einwilligung zur Verarbeitung biometrischer Daten kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Der Widerruf berührt nicht die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung.

Nach einem Widerruf erfolgt der Zutritt über eine alternative, nicht biometrische Zugangsmöglichkeit.

12.8 Welche Daten verarbeitet werden

Abhängig vom gewählten Zugang können insbesondere verarbeitet werden:

Allgemeine Daten:
Name, Mitgliedsnummer und Mitgliedsstatus.

Zutrittsdaten:
Zeitpunkt, Studio-ID und Status des Zutrittsversuchs.

Zugangsmedium:
RFID-/Chip-ID oder QR-Code-Token.

Bei biometrischer Nutzung zusätzlich:
Referenz-Template bzw. mathematischer Datensatz, temporär erfasste Bilddaten sowie technische Merkmale zur Lebenderkennung.

Facetronic beschreibt diese Datenkategorien und Verwendungszwecke entsprechend in seinem Datenschutz-Hinweisblatt. Hinweisblatt_03_2026 Hinweisblatt_03_2026

12.9 Speicherdauer

Das zur Erstellung des biometrischen Templates verwendete Lichtbild wird nach Erstellung des Templates grundsätzlich unverzüglich gelöscht, sofern das Bild nicht aufgrund einer gesonderten Rechtsgrundlage beispielsweise als Profilbild gespeichert wird.

Das biometrische Referenz-Template wird insbesondere gelöscht, wenn:

• die Einwilligung widerrufen wird oder
• die Mitgliedschaft endet.

Beim regulären Zutritt wird das erfasste Bild nach Extraktion der biometrischen Merkmale gelöscht. Der daraus erzeugte temporäre Hash wird nach Abschluss des Identifikationsvorgangs ebenfalls gelöscht. Hinweisblatt_03_2026

Kann eine Person nicht eindeutig identifiziert werden, können Bild, Zeitstempel und ID nach Angaben des Systemanbieters für maximal 10 Tage gespeichert werden. Dies dient insbesondere der Prüfung technischer Fehler und der Aufklärung unberechtigter Zutrittsversuche.

Bei einem konkret dokumentierten Missbrauch können erforderliche Daten im rechtlich zulässigen Umfang zur Beweissicherung bzw. Geltendmachung oder Verteidigung von Rechtsansprüchen länger gespeichert werden. Hinweisblatt_03_2026

12.10 Empfänger und Auftragsverarbeitung

12.10 Empfänger, Magicline und Auftragsverarbeitung

Für die technische Bereitstellung des biometrischen Zugangssystems setzen wir die

Facetronic UG (haftungsbeschränkt)
Im Zukunftspark 4
74076 Heilbronn
E-Mail: info@facetronic.de

als Auftragsverarbeiter ein.

Zur Mitgliederverwaltung und Prüfung der jeweiligen Zutrittsberechtigung setzen wir außerdem die

Magicline GmbH
Raboisen 6
20095 Hamburg
E-Mail: welcome@magicline.de

als Auftragsverarbeiter ein.

Nach erfolgreicher Identifizierung bzw. Verifikation durch das Facetronic-System wird die Mitglieds-ID an Magicline übermittelt. Magicline prüft den aktuellen Vertrags- bzw. Mitgliedsstatus und übermittelt bei bestehender Zutrittsberechtigung die entsprechende Freigabe zur Türöffnung. Hinweisblatt_03_2026

Mit den eingesetzten Auftragsverarbeitern werden Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen. Die Dienstleister verarbeiten personenbezogene Daten grundsätzlich nur im Rahmen unserer Weisungen und für die vereinbarten Zwecke.

Facetronic setzt nach Angaben des Anbieters für die technische Abwicklung und sichere Speicherung Infrastruktur von Amazon Web Services (AWS) ein. Die Verarbeitung erfolgt dabei im Rechenzentrum Frankfurt am Main. Hinweisblatt_03_2026

Eine Weitergabe der biometrischen Daten an unbefugte Dritte oder eine Nutzung zu Marketingzwecken erfolgt nicht.

12.11 Automatisierte Zutrittsentscheidung

Die Entscheidung über die unmittelbare Türöffnung erfolgt automatisiert.

Das System prüft je nach gewählter Zugangsmethode die Identität bzw. das Zugangsmedium und anschließend die bestehende Zutrittsberechtigung bzw. den Vertragsstatus.

Betroffene Personen haben das Recht, eine entsprechende Entscheidung durch eine Person überprüfen zu lassen, ihren eigenen Standpunkt darzulegen und die Entscheidung anzufechten.

Bitte wenden Sie sich hierzu an:

M&H Gym GmbH
E-Mail: fitness@thegym-augsburg.de
Telefon: 08231 / 9581942

Facetronic beschreibt den automatisierten Check-in und die entsprechenden Rechte ausdrücklich in seinen Hinweisen. Hinweisblatt_03_2026

---

13. Videoüberwachung im Fitnessstudio

Aus Sicherheitsgründen und zur Kriminalitätsprävention können entsprechend gekennzeichnete Bereiche unseres Studios videoüberwacht werden.

Die Videoüberwachung ist technisch und datenschutzrechtlich von der biometrischen Gesichtserkennung zur Zutrittskontrolle getrennt.

Die Videoüberwachung kann insbesondere der Wahrung unseres Hausrechts, dem Schutz von Mitgliedern und Mitarbeitern sowie dem Schutz unseres Eigentums und der Aufklärung sicherheitsrelevanter Vorfälle dienen.

Eine Videoüberwachung findet nicht in Bereichen statt, in denen ein besonders hoher Schutz der Privatsphäre besteht, insbesondere nicht in Umkleidebereichen.

Die konkreten überwachten Bereiche und die verantwortliche Stelle werden durch entsprechende Hinweise vor Ort kenntlich gemacht.

Eure AGB nennen bereits die Videoüberwachung des Eingangsbereichs und der Trainingsfläche zu personallosen Zeiten. The Gym Augsburg

---

14. Speicherdauer allgemein

Wir speichern personenbezogene Daten grundsätzlich nur so lange, wie dies zur Erfüllung des jeweiligen Verarbeitungszwecks erforderlich ist.

Darüber hinaus können gesetzliche Aufbewahrungspflichten bestehen, insbesondere aufgrund handels- und steuerrechtlicher Vorschriften.

Nach Wegfall des Verarbeitungszwecks und Ablauf etwaiger gesetzlicher Aufbewahrungsfristen werden die betreffenden Daten gelöscht oder anonymisiert, soweit keine andere Rechtsgrundlage eine weitere Verarbeitung erlaubt.

---

15. Weitergabe und Auftragsverarbeiter

Personenbezogene Daten werden nur an Dritte weitergegeben, wenn hierfür eine Rechtsgrundlage besteht.

Wir können für bestimmte Leistungen externe Dienstleister als Auftragsverarbeiter gemäß Art. 28 DSGVO einsetzen. Diese Dienstleister dürfen personenbezogene Daten grundsätzlich nur entsprechend unseren Weisungen und für die vereinbarten Zwecke verarbeiten.

Hierzu können insbesondere Anbieter aus den Bereichen

• Mitgliederverwaltung,
• Zutrittskontrolle,
• IT und Hosting,
• Zahlungsabwicklung,
• Websitebetrieb und
• Trainingssoftware

gehören.

---

16. Rechte betroffener Personen

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

Auskunft gemäß Art. 15 DSGVO
Sie können Auskunft über die von uns verarbeiteten personenbezogenen Daten verlangen.

Berichtigung gemäß Art. 16 DSGVO
Sie können die Berichtigung unrichtiger bzw. Vervollständigung unvollständiger Daten verlangen.

Löschung gemäß Art. 17 DSGVO
Sie können unter den gesetzlichen Voraussetzungen die Löschung Ihrer personenbezogenen Daten verlangen.

Einschränkung der Verarbeitung gemäß Art. 18 DSGVO
Sie können unter den gesetzlichen Voraussetzungen die Einschränkung der Verarbeitung verlangen.

Datenübertragbarkeit gemäß Art. 20 DSGVO
Sie können unter den gesetzlichen Voraussetzungen verlangen, die von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.

Widerspruch gemäß Art. 21 DSGVO
Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. e oder f DSGVO beruht, haben Sie unter den gesetzlichen Voraussetzungen ein Recht auf Widerspruch.

Widerruf einer Einwilligung gemäß Art. 7 Abs. 3 DSGVO
Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt hiervon unberührt.

17. Beschwerderecht

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen datenschutzrechtliche Vorschriften verstößt.

Dies kann insbesondere bei einer Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Datenschutzverstoßes erfolgen.

18. Änderung dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich rechtliche Anforderungen, unsere Leistungen oder die von uns eingesetzten technischen Systeme ändern.

Es gilt die jeweils auf unserer Website veröffentlichte aktuelle Fassung.

Stand: Oktober 2026