Datenschutzerklärung — MoovX

Letzte Aktualisierung: 17. Mai 2026

Version: 1.0

Präambel

Diese Datenschutzerklärung (nachfolgend „die Erklärung") hat zum Ziel, die Nutzer der MoovX-Plattform darüber zu informieren, wie ihre personenbezogenen Daten erhoben, verarbeitet, gespeichert und geschützt werden.

Diese Erklärung entspricht:

Dem revidierten Schweizer Bundesgesetz über den Datenschutz (revDSG), in Kraft seit dem 1. September 2023;
Der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union (Verordnung EU 2016/679);
Der Schweizer Datenschutzverordnung (DSV).

Das revDSG betrachtet Daten zur Gesundheit als besonders schützenswerte Personendaten, die einem verstärkten Schutz unterliegen. MoovX verarbeitet diese Art von Daten im Rahmen seiner Fitness- und Ernährungs-Coaching-Tätigkeit. Diese Erklärung beschreibt die getroffenen Schutzmassnahmen.

1. Identität des Verantwortlichen

Der Verantwortliche für die Verarbeitung personenbezogener Daten ist:

Marco Ferreira

Tätig unter dem Geschäftsnamen MoovX

Chemin Clair Val 2

1226 Thônex, Kanton Genf, Schweiz

Kontakt-E-Mail für Fragen zum Datenschutz: contact@moovx.ch

Hinweis: Der Anbieter ist nicht verpflichtet, einen Datenschutzbeauftragten (DPO) im Sinne von Artikel 10 revDSG oder Artikel 37 DSGVO zu bestellen, da seine Tätigkeit die kumulativen Voraussetzungen nicht erfüllt (Verarbeitung sensibler Daten in grossem Umfang). Bei Fragen zum Datenschutz beantwortet der Anbieter Anfragen, die an contact@moovx.ch gerichtet werden, persönlich.

2. Grundprinzipien

Die Verarbeitung personenbezogener Daten beruht auf folgenden Prinzipien:

Rechtmässigkeit, Treu und Glauben, Transparenz: Daten werden rechtmässig, nach Treu und Glauben und transparent verarbeitet.
Zweckbindung: Daten werden für festgelegte, eindeutige und legitime Zwecke erhoben.
Datenminimierung: Es werden nur die für den verfolgten Zweck notwendigen Daten erhoben.
Richtigkeit: Massnahmen zur Sicherstellung der Datenrichtigkeit werden ergriffen.
Speicherbegrenzung: Daten werden nicht länger als notwendig aufbewahrt.
Integrität und Vertraulichkeit: Daten werden durch angemessene technische und organisatorische Massnahmen geschützt.
Privacy by Design und Privacy by Default: Datenschutz wird ab Konzeption des Dienstes integriert, und die Standardeinstellungen sind möglichst datenschutzfreundlich.

3. Erhobene personenbezogene Daten

3.1 Datenkategorien

a) Identifikations- und Kontodaten

Name, Vorname
E-Mail-Adresse
Passwort (als sicherer Hash gespeichert, nie im Klartext)
Registrierungsdatum, letzte Anmeldung

b) Profildaten

Alter / Geburtsdatum
Geschlecht
Grösse, Gewicht
Aktivitätsniveau
Sportliche Ziele (Gewichtsverlust, Muskelaufbau, Leistung usw.)
Ernährungspräferenzen, Allergien, Einschränkungen (vegetarisch usw.)

c) Besonders schützenswerte Daten zu Gesundheit und Fitness (Verarbeitung mit verstärktem Schutz)

Körpermasse (Gewicht, Grösse, Taillenumfang usw.)
Fortschrittsfotos (nur bei freiwilligem Upload durch den Nutzer)
Sportliche Leistungen (Trainings, Gewichte, Zeiten, Wiederholungen)
Ernährungsdaten (Kalorienaufnahme, Makronährstoffe)
Trainings- und Ernährungshistorie

d) Zahlungsdaten

Diese Daten werden ausschliesslich von unserem Dienstleister Stripe Payments Europe Ltd. erhoben und verarbeitet.
Der Anbieter MoovX speichert keinerlei Bankdaten.
Intern gespeichert werden ausschliesslich: gezahlter Betrag, Zahlungsdatum, Stripe-Transaktions-ID, Abonnementtyp.

e) Interaktionsdaten mit Athena

Inhalt der Gespräche mit dem KI-Assistenten Athena
Generierte Antworten (zur Verbesserung der Servicequalität verwendet)

f) Technische Daten

IP-Adresse (für Analytics anonymisiert)
Gerätetyp, Betriebssystem, Browser
Besuchte Seiten, Sitzungsdauer
Cookies (siehe Cookie-Richtlinie)

g) Kommunikationsdaten

E-Mails mit dem Support
Benachrichtigungseinstellungen

3.2 Datenquellen

Alle Daten werden erhoben:

Direkt vom Nutzer (bei der Registrierung, beim Ausfüllen des Profils, bei der Nutzung der Plattform);
Automatisch durch die Nutzung der Plattform (Logs, Analytics-Cookies nach Einwilligung).

Es werden keine Daten von Dritten oder Datenhändlern bezogen.

4. Zwecke und Rechtsgrundlagen der Verarbeitung

| Zweck | Datenkategorien | Rechtsgrundlage (DSGVO / revDSG) |

|-------|-----------------|-----------------------------------|

| Erstellung und Verwaltung des Nutzerkontos | Identifikation, Profil | Vertragserfüllung (Art. 6.1.b DSGVO) |

| Erbringung der Dienste (Programme, Tracking, Athena) | Profil, Gesundheit, Fitness | Vertragserfüllung (Art. 6.1.b DSGVO) + ausdrückliche Einwilligung für besonders schützenswerte Daten (Art. 9.2.a DSGVO / Art. 6 Abs. 7 revDSG) |

| Zahlungsabwicklung | Zahlungsdaten | Vertragserfüllung (Art. 6.1.b DSGVO) |

| Transaktionskommunikation (Bestätigung, Rechnungen, Support) | E-Mail | Vertragserfüllung |

| Verbesserung der Dienste | Anonymisierte technische Daten, anonymisierte Athena-Gespräche | Berechtigtes Interesse (Art. 6.1.f DSGVO) |

| Anonymisierte Statistiken (Analytics) | Technische Daten | Einwilligung (Art. 6.1.a DSGVO) |

| Werbekommunikation (Newsletter) | E-Mail | Ausdrückliche Opt-in-Einwilligung (Art. 6.1.a DSGVO) |

| Einhaltung gesetzlicher Verpflichtungen (Buchhaltung, Betrugsbekämpfung) | Alle betroffenen Daten | Rechtliche Verpflichtung (Art. 6.1.c DSGVO) |

5. Auftragsverarbeiter und Datenempfänger

MoovX nutzt mehrere technische Dienstleister, die als Auftragsverarbeiter im Sinne von Artikel 28 DSGVO und Artikel 9 revDSG handeln. Jeder ist durch einen Auftragsverarbeitungsvertrag gebunden, der strenge Vertraulichkeits- und Sicherheitspflichten auferlegt.

5.1 Liste der Auftragsverarbeiter

|---------------------|---------------------|---------------|------------------------|

5.2 Übermittlungen ausserhalb Schweiz / EU

Einige Auftragsverarbeiter sind in den Vereinigten Staaten ansässig. Diese Übermittlungen sind geregelt durch:

Den Beitritt der betreffenden Auftragsverarbeiter zum EU-US Data Privacy Framework (DPF), einem von der Europäischen Kommission anerkannten Mechanismus (Angemessenheitsbeschluss vom 10. Juli 2023);
Gegebenenfalls ergänzt durch Standardvertragsklauseln (SCC), die von der Europäischen Kommission genehmigt wurden.

Für Schweizer Nutzer hat die Schweiz im September 2024 ihren eigenen Angemessenheitsbeschluss für das DPF veröffentlicht, der Datenübermittlungen aus der Schweiz an zertifizierte US-Unternehmen ermöglicht.

5.3 Sonderfall Athena (Anthropic)

Gespräche mit Athena werden zur KI-Verarbeitung an die API von Anthropic PBC übermittelt. Anthropic verpflichtet sich vertraglich, die über die API empfangenen Daten nicht zum Training seiner Modelle zu verwenden (Zero-Data-Retention-Richtlinie verfügbar auf Anthropics Website).

Die Nutzer werden gebeten, keine sensiblen medizinischen Daten in ihren Gesprächen mit Athena mitzuteilen (z. B. medizinische Diagnose, Behandlung, Gesundheitsdaten).

5.4 Kein Datenverkauf

Der Anbieter verkauft, vermietet oder überträgt personenbezogene Daten der Nutzer nicht an Dritte für kommerzielle oder werbliche Zwecke.

6. Aufbewahrungsdauer der Daten

| Datentyp | Aufbewahrungsdauer |

|----------|---------------------|

| Kontodaten (Identifikation, Profil) | Solange das Konto aktiv ist + 30 Tage nach Löschung |

| Besonders schützenswerte Daten (Gesundheit, Fotos, Masse) | Solange das Konto aktiv ist + sofortige Löschung bei Kontoschliessung |

| Zahlungsdaten (Rechnungen, Transaktionen) | 10 Jahre (gesetzliche Pflicht Schweizer Buchhaltung — Art. 958f OR) |

| Technische Logs, IPs | Maximal 12 Monate |

| Athena-Gespräche | 90 Tage (für Support- und Debugging-Zwecke), dann Löschung / Anonymisierung |

| Cookies | Siehe Cookie-Richtlinie (variable Dauer je nach Typ) |

| Support-E-Mails | 3 Jahre nach der letzten Interaktion |

Nach Ablauf dieser Fristen werden die Daten entweder endgültig gelöscht oder unwiderruflich anonymisiert.

7. Rechte der betroffenen Personen

Gemäss DSGVO und revDSG verfügt der Nutzer über folgende Rechte:

7.1 Auskunftsrecht (Art. 15 DSGVO / Art. 25 revDSG)

Der Nutzer kann jederzeit erfragen, welche ihn betreffenden personenbezogenen Daten verarbeitet werden, und eine Kopie dieser Daten erhalten.

7.2 Recht auf Berichtigung (Art. 16 DSGVO / Art. 32 revDSG)

Der Nutzer kann die Berichtigung unrichtiger oder unvollständiger Daten verlangen. Ein Grossteil dieser Daten kann auch direkt aus dem Profil heraus geändert werden.

7.3 Recht auf Löschung („Recht auf Vergessenwerden") (Art. 17 DSGVO)

Der Nutzer kann die Löschung seiner personenbezogenen Daten verlangen, insbesondere wenn:

die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind;
der Nutzer seine Einwilligung widerruft;
die Daten unrechtmässig verarbeitet wurden.

Hinweis: Bestimmte Daten können über das Löschverlangen hinaus aufgrund gesetzlicher Verpflichtungen aufbewahrt werden (insbesondere Buchhaltung — 10 Jahre).

7.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Der Nutzer kann in den gesetzlich vorgesehenen Fällen die vorübergehende Einfrierung bestimmter Verarbeitungen verlangen.

7.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO / Art. 28 revDSG)

Der Nutzer kann verlangen, seine Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten (JSON, CSV), oder deren direkte Übermittlung an einen anderen Verantwortlichen verlangen, soweit dies technisch möglich ist.

7.6 Widerspruchsrecht (Art. 21 DSGVO / Art. 30 revDSG)

Der Nutzer kann jederzeit und aus Gründen, die sich aus seiner besonderen Situation ergeben, der auf das berechtigte Interesse des Anbieters gestützten Verarbeitung seiner Daten widersprechen. Der Nutzer kann zudem jederzeit und ohne Angabe von Gründen der Verwendung seiner Daten zu Direktwerbezwecken widersprechen.

7.7 Recht auf Widerruf der Einwilligung (Art. 7.3 DSGVO)

Wenn die Verarbeitung auf einer Einwilligung beruht (Analytics-Cookies, Newsletter, sensible Gesundheitsdaten), kann der Nutzer diese Einwilligung jederzeit widerrufen, ohne dass die Rechtmässigkeit der vorherigen Verarbeitung berührt wird.

7.8 Recht, keiner automatisierten Entscheidung unterworfen zu werden (Art. 22 DSGVO / Art. 21 revDSG)

Die Empfehlungen von Athena stellen keine „automatisierten Entscheidungen mit rechtlicher Wirkung" im Sinne von Artikel 22 DSGVO dar. Sie werden lediglich zu Informationszwecken bereitgestellt und ersetzen keine menschliche Beurteilung. Der Nutzer kann dennoch ein menschliches Eingreifen für jede Frage im Zusammenhang mit Athenas Empfehlungen verlangen.

7.9 Ausübung der Rechte

Jede Anfrage zur Ausübung dieser Rechte ist zu richten an: contact@moovx.ch

Eine Antwort erfolgt innerhalb von höchstens 30 Tagen nach Erhalt der Anfrage. Diese Frist kann bei komplexen Anfragen um zwei Monate verlängert werden, mit begründeter Mitteilung an den Nutzer.

Der Nutzer kann zur sicheren Bearbeitung seiner Anfrage zur Vorlage eines Identitätsnachweises aufgefordert werden.

7.10 Recht auf Beschwerde

Der Nutzer hat das Recht, Beschwerde bei einer zuständigen Aufsichtsbehörde einzulegen:

Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) — https://www.edoeb.admin.ch
Frankreich: Commission Nationale de l'Informatique et des Libertés (CNIL) — https://www.cnil.fr
Deutschland: Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) — https://www.bfdi.bund.de
Andere EU-Länder: Aufsichtsbehörde des Mitgliedstaats des Wohnsitzes (vollständige Liste unter https://edpb.europa.eu)

8. Datensicherheit

Der Anbieter setzt geeignete technische und organisatorische Massnahmen zur Gewährleistung der Datensicherheit gemäss Artikel 32 DSGVO und Artikel 8 revDSG um.

8.1 Technische Massnahmen

Verschlüsselung in der Übertragung: mindestens TLS 1.3 (HTTPS auf allen Seiten);
Verschlüsselung im Ruhezustand: AES-256 (Supabase und Vercel);
Passwörter: mit bcrypt gehasht (niemals im Klartext gespeichert);
Authentifizierung: sichere Sitzungen (httpOnly, secure, sameSite strict Cookies);
Datenisolation: Row Level Security (RLS) auf Datenbankebene — jeder Nutzer kann nur auf seine eigenen Daten zugreifen;
Sicherheits-Header: Content Security Policy (CSP), HTTP Strict Transport Security (HSTS), X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy;
Schutz gegen gängige Angriffe: OWASP Top 10 (XSS, CSRF, SQL-Injection usw.);
Verschlüsselte Backups: automatische tägliche Sicherungen;
Idempotency Keys bei Zahlungsoperationen zur Vermeidung von Doppelabrechnungen.

8.2 Organisatorische Massnahmen

Datenzugriff begrenzt auf notwendige Personen (Need-to-know-Prinzip);
Auftragsverarbeitungsverträge gemäss Art. 28 DSGVO mit allen Dienstleistern;
Regelmässige Überwachung der Software-Abhängigkeiten auf Sicherheitslücken;
Reaktionsplan für Sicherheitsvorfälle.

8.3 Datenschutzverletzung

Im Falle einer Datenschutzverletzung, die ein Risiko für die Rechte und Freiheiten von Personen darstellt, wird der Anbieter den Vorfall melden:

an den EDÖB und/oder die zuständigen EU-Behörden innerhalb von 72 Stunden (Art. 24 revDSG / Art. 33 DSGVO);
unverzüglich an die betroffenen Nutzer, wenn das Risiko hoch ist (Art. 24 Abs. 4 revDSG / Art. 34 DSGVO).

9. Cookies und ähnliche Technologien

Die Nutzung von Cookies wird in der Cookie-Richtlinie detailliert beschrieben, die über das Einwilligungs-Banner auf der Plattform zugänglich ist.

Schlüsselprinzipien:

Streng notwendige Cookies (Authentifizierung, Spracheinstellungen, Warenkorb) werden ohne Einwilligung gesetzt (Rechtsgrundlage: berechtigtes Interesse / Vertragserfüllung);
Analytics-Cookies (Vercel Analytics, Speed Insights) werden nur nach ausdrücklicher Einwilligung (Opt-in) gesetzt;
Es werden derzeit keine Werbe- / Marketing-Cookies verwendet;
Der Nutzer kann seine Einstellungen jederzeit über das im Footer zugängliche Banner ändern.

10. Daten von Minderjährigen

Die MoovX-Plattform ist strikt auf Personen ab 18 Jahren beschränkt. Es werden wissentlich keine Daten von Minderjährigen erhoben.

Wenn Sie ein Elternteil oder gesetzlicher Vertreter sind und vermuten, dass ein Minderjähriger ein Konto auf der Plattform erstellt hat, kontaktieren Sie bitte contact@moovx.ch, damit das Konto gelöscht wird.

11. Änderung der Datenschutzerklärung

Der Anbieter behält sich das Recht vor, diese Erklärung jederzeit zu ändern, um Änderungen seiner Praktiken, des Gesetzes oder seiner Dienstleister widerzuspiegeln. Wesentliche Änderungen werden den Nutzern per E-Mail mit einer Mindestvorlaufzeit von 30 Tagen vor Inkrafttreten mitgeteilt.

12. Kontaktdaten

Für jede Frage zu dieser Erklärung oder zur Ausübung Ihrer Rechte:

Marco Ferreira / MoovX

[Adresse zu ergänzen]

1226 Thônex, Kanton Genf, Schweiz

E-Mail: contact@moovx.ch

Diese Erklärung ist in französischer, englischer und deutscher Sprache verfügbar. Bei Auslegungsunterschieden ist die französische Fassung massgebend.