Datenschutzerklärung
Diese Datenschutzerklärung beschreibt, wie Box Planner (XF3 GmbH) personenbezogene Daten auf der Website www.box-planner.com, in der Web-Anwendung app.box-planner.com und in den Box-Planner-Apps verarbeitet.
1. Verantwortlicher und Rollen
XF3 GmbH
Kirschstr. 18
80999 München, Deutschland
E-Mail: office@box-planner.com
Telefon: +49 (170) 4546193
Mitglieder einer Box: Wenn Sie Box Planner als Mitglied, Probetrainierende oder Drop-in-Gast einer Box (Gym, Studio) nutzen, ist die Box Verantwortliche für Ihre Mitgliedschafts-, Buchungs-, Zahlungs- und Trainingsdaten. Die XF3 GmbH verarbeitet diese Daten im Auftrag und nach Weisung der Box (Art. 28 DSGVO, Art. 9 DSG). Bitte richten Sie Fragen und Anträge zu diesen Daten an Ihre Box; Anfragen, die uns erreichen, leiten wir unverzüglich an die Box weiter. Wie die Box Ihre Daten nutzt, steht in ihrer Datenschutzerklärung.
Die XF3 GmbH ist Verantwortliche für diese Website, für die Konten von Box-Inhabern und Trainern, für Verträge und Abrechnung der Box-Planner-Abonnements, für App-Abonnements, die Sie direkt bei Box Planner abschließen, und für Konten ohne Verbindung zu einer Box.
2. Welche Daten wir verarbeiten und warum
| Zweck | Daten | Rechtsgrundlage |
|---|---|---|
| Bereitstellung der Website, Sicherheit | IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser | berechtigtes Interesse an einem sicheren, stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO) |
| Registrierung und Konto | Name, E-Mail, Telefon, Passwort (nur als Hash), Box | Vertrag bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) |
| Box-Planner-Abonnement von Boxen, App-Abonnements | Vertrags-, Rechnungs- und Zahlungsdaten | Vertrag (lit. b), gesetzliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO) |
| Kontaktformular, E-Mail, WhatsApp | Name, E-Mail bzw. Telefonnummer, Nachricht | Bearbeitung Ihrer Anfrage (lit. b bzw. lit. f) |
| Schutz des Kontaktformulars vor Spam | technische Browser- und Gerätedaten, IP-Adresse | berechtigtes Interesse (lit. f) |
| Besuchsstatistik (nur mit Zustimmung) | siehe Abschnitt 4 | Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) |
| Mitgliederverwaltung, Buchungen, Abrechnung für eine Box | siehe Datenschutzerklärung der Box | Auftragsverarbeitung für die Box (Abschnitt 1) |
| Verbesserung von App und Plattform | Absturzberichte, Nutzungsereignisse mit pseudonymer Benutzer-ID | berechtigtes Interesse an einer fehlerfreien App (lit. f) |
3. Hosting und Dienstleister
Website, Web-Anwendung und Datenbank betreiben wir bei Microsoft Azure (Microsoft Ireland Operations Ltd., Dublin) in Rechenzentren in der EU (Region North Europe, Irland). Für den Versand von E-Mails nutzen wir Microsoft 365. Für Absturzberichte und Nutzungsereignisse der Apps nutzen wir Microsoft App Center, für Push-Mitteilungen auf iPhones den Apple Push Notification Service (Apple Inc., USA). KI-Funktionen der Trainingsplanung nutzen OpenAI (OpenAI Ireland Ltd., Dublin); dabei werden nur die Texteingaben der Nutzer übermittelt, keine Mitgliederdaten.
Diese Anbieter verarbeiten die Daten in unserem Auftrag (Art. 28 DSGVO). Soweit Daten in die USA gelangen, erfolgt das auf Grundlage des EU-U.S. Data Privacy Framework bzw. der EU-Standardvertragsklauseln.
4. Cookies, lokale Speicherung und Besuchsstatistik
Ohne Zustimmung speichern wir in Ihrem Browser nur, was für die Website nötig ist (§ 25 Abs. 2 TDDDG): Ihre Auswahl im Cookie-Banner (lokaler Speicher) und, wenn Sie sie umschalten, die Sprache (Cookie user_language, 1 Jahr) und den hellen oder dunklen Darstellungsmodus (Cookie, 1 Jahr). Unser Hosting-Anbieter Microsoft Azure setzt für die Dauer Ihres Besuchs die Cookies ARRAffinity und ARRAffinitySameSite, damit Ihre Anfragen denselben Server erreichen. Beim Login in die Web-Anwendung setzen wir ein Sitzungs-Cookie.
Mit Ihrer Zustimmung laden wir den Google Tag Manager (Google Ireland Limited, Dublin) und darüber Google Analytics, um zu verstehen, wie die Website genutzt wird. Dabei werden Cookies gesetzt (z. B. _ga, bis zu 2 Jahre) und Daten wie IP-Adresse, aufgerufene Seiten und Geräteinformationen an Google übermittelt, auch in die USA (EU-U.S. Data Privacy Framework). Vor Ihrer Zustimmung wird der Tag Manager nicht geladen.
Sie können Ihre Zustimmung jederzeit über den Link „Cookie-Einstellungen" im Fußbereich der Website widerrufen; die Google-Cookies werden dann gelöscht.
5. Schriftarten, Icons und externe Inhalte
Schriftarten, Icons und Skripte liegen auf unserem eigenen Server; beim Aufruf der Website wird keine Verbindung zu Google Fonts, Content Delivery Networks oder anderen Drittanbietern aufgebaut. Ausnahmen sind nur die folgenden Dienste.
Kontaktformular: Zum Schutz vor Spam nutzen wir Cloudflare Turnstile (Cloudflare, Inc., USA). Turnstile prüft anhand technischer Merkmale Ihres Browsers, ob die Anfrage von einem Menschen stammt, und übermittelt dafür u. a. Ihre IP-Adresse an Cloudflare (EU-U.S. Data Privacy Framework).
Videos: Übungsseiten enthalten Videos von YouTube (Google Ireland Limited) im erweiterten Datenschutzmodus (youtube-nocookie.com). YouTube setzt dabei erst Cookies, wenn Sie das Video abspielen; beim Laden der Seite wird aber bereits Ihre IP-Adresse an Google übermittelt.
Links zu sozialen Netzwerken (Facebook, Instagram, X, YouTube, LinkedIn) und zu WhatsApp sind einfache Links; Daten werden erst übermittelt, wenn Sie sie anklicken. Schreiben Sie uns per WhatsApp, verarbeitet WhatsApp (Meta) Ihre Nachricht und Telefonnummer.
6. Schnittstellen der Boxen (Lead-Integration, Partnerplattformen)
Eine Box kann in Box Planner Schnittstellen zu eigenen Diensten aktivieren, z. B. zu einem CRM-System (HighLevel, GymPilot von MemberBoost), zu Zahlungsdienstleistern oder zu Partnerplattformen (Urban Sports Club, Wellpass, Wellhub). Box Planner übermittelt dann im Auftrag der Box die dort beschriebenen Daten, bei der Lead-Integration Name, E-Mail, Telefon, Sprache und Ereignisse wie „Probetraining gebucht" oder „Mitglied geworden". Die Anbieter sind teilweise in den USA ansässig. Verantwortlich für diese Übermittlung und für den Vertrag mit dem Anbieter ist die Box; Einzelheiten stehen in der Datenschutzerklärung Ihrer Box.
7. Speicherdauer
- Protokolldaten (z. B. Login-Zeiten, technische Anfragen) werden ausschließlich zu Sicherheits- und Stabilitätszwecken gespeichert und nach 90 Tagen automatisch gelöscht.
- Datensicherungen werden nach spätestens 35 Tagen überschrieben.
- Konto- und Vertragsdaten speichern wir, solange das Konto bzw. der Vertrag besteht; danach löschen oder anonymisieren wir sie, soweit keine gesetzlichen Aufbewahrungsfristen bestehen (z. B. 8 Jahre für Rechnungen und Buchungsbelege, § 147 AO, § 257 HGB).
- Anfragen löschen wir, wenn sie erledigt sind und keine Aufbewahrungspflicht besteht.
8. Zugriff auf Ihre Daten und Auskunft
Ihre Daten zu Mitgliedschaften, Kursbuchungen, Zahlungen und Konto sehen Sie jederzeit im Mitgliederportal bzw. in der App. Eine formale Kopie aller gespeicherten Daten (Art. 15 DSGVO) erhalten Sie auf Anfrage an office@box-planner.com innerhalb eines Monats in strukturierter Form (z. B. CSV oder JSON). Die erste Kopie ist kostenfrei. Für Daten, die wir für eine Box verarbeiten, wenden Sie sich bitte an die Box (Abschnitt 1).
9. Datensicherheit
Alle Verbindungen sind TLS-verschlüsselt. Passwörter speichern wir nur als Hash. Wir treffen technische und organisatorische Maßnahmen, um Ihre Daten vor unbefugtem Zugriff, Veränderung und Verlust zu schützen.
10. Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
Widerspruchsrecht: Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.
Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de. In der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) zuständig, in Österreich die Datenschutzbehörde.
11. Kontakt
Für Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte wenden Sie sich an uns (Mitglieder einer Box bitte zuerst an ihre Box, siehe Abschnitt 1):
XF3 GmbH
Kirschstr. 18, 80999 München, Deutschland
E-Mail: office@box-planner.com
Telefon: +49 (170) 4546193
Stand: 17. Oktober 2026 · © 2026 Box Planner | XF3 GmbH