Subcoach — Datenschutzerklärung

Bei Abweichungen dient die englische Fassung der Klärung der Absicht.

Diese Datenschutzerklärung erläutert, welche personenbezogenen Daten Subcoach („wir") erhebt, warum, und welche Rechte Sie haben. Sie gilt für die mobile Subcoach-Anwendung und die zugehörigen Dienste (der „Dienst"). Verantwortlicher im Sinne der DSGVO ist Itai Lahat (Einzelunternehmer), Deutschland. Wir haben keinen Datenschutzbeauftragten bestellt: Nach unserer derzeitigen Einschätzung (keine umfangreiche systematische Überwachung, keine umfangreiche Verarbeitung besonderer Kategorien, Personalstärke unterhalb der Schwelle des § 38 BDSG) ist ein DSB derzeit nicht erforderlich — wir prüfen dies bei Wachstum des Dienstes erneut; die Einschätzung steht auf der anwaltlichen Prüfliste.

1. Welche Daten wir erheben

• Konto- & Profildaten: Name, E-Mail, Rolle (Studio oder Lehrkraft) sowie von Ihnen angegebene Profildetails (z. B. Studioname, Standort, Logo; Lehrkraft-Erfahrung, selbst angegebene Zertifizierungen, Arbeitsgebiete, Fotos, Geburtsdatum bei Lehrkräften — erhoben zur Prüfung der 18+-Altersanforderung). Die Angabe der Basis-Kontodaten ist für die Nutzung des Dienstes erforderlich (vertragliche Erforderlichkeit, Art. 13 Abs. 2 lit. e DSGVO): Ohne sie können wir Ihr Konto nicht anlegen oder betreiben. Optionale Profilangaben sind in der App als solche gekennzeichnet.
• Nutzungsdaten: ausgeschriebene Schichten und Bewerbungen darauf, Nachrichten, Lesezeichen, Benachrichtigungen und für den Marktplatzbetrieb erforderliche Aktivitäten.
• Abrechnungsdaten (Studios): Abonnementstatus und Stripe-Kunden-/Abonnement-Kennungen. Kartendaten werden von Stripe verarbeitet und niemals auf Subcoach-Servern gespeichert.
• Standort-/Geokodierungsdaten: eingegebene Adressen werden über die Geocoding-API von Google in Koordinaten umgewandelt, um die Standortzuordnung zu ermöglichen. Die Zuordnung/Reihung erfolgt algorithmisch (Profile werden nach Entfernung, Verfügbarkeit und Passung bewertet), aber es wird keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung getroffen (Art. 22 DSGVO): Studios und Lehrkräfte entscheiden stets selbst über eine Beauftragung.
• Einwilligungsnachweise: erteilte oder widerrufene Einwilligungen (Bedingungen, Datenschutz, Inhaltsrichtlinie, Marketing, „Do Not Sell", Analyse) mit Version, Zeitstempel, Quelle und bestmöglicher Regionskennung.
• Trust-&-Safety-Daten: von Ihnen gemeldete Verstöße, Moderations-/Sanktionsdaten zu Ihrem Konto und ein unveränderliches Audit-Protokoll wichtiger Aktionen. Eine Meldung über Sie sind personenbezogene Daten, die wir vom meldenden Nutzer erhalten (nicht von Ihnen) — Quellenangabe nach Art. 14 DSGVO; wir informieren Sie nicht über die Existenz einer Meldung, soweit dies die Prüfung gefährden würde (Abwägung nach Art. 14 Abs. 5).
• Geräte- & technische Daten: Push-Token und grundlegende Diagnosedaten.

Selbst angegebene Qualifikationen. Auf Profilen angezeigte Zertifizierungen und Qualifikationen werden von Nutzern bereitgestellt und von Subcoach nicht überprüft. Siehe die Nutzungsbedingungen, „Keine Überprüfung der Qualifikationen von Lehrkräften".

2. Wie wir Daten verwenden & Rechtsgrundlagen (Art. 6 DSGVO)

3. Weitergabe & Auftragsverarbeiter

Wir geben personenbezogene Daten weiter an:

• Andere Nutzer, soweit dem Marktplatz immanent (z. B. ist das Profil einer Lehrkraft für Studios sichtbar, bei denen sie sich bewirbt, und umgekehrt). Nutzer, die Ihre Informationen über den Marktplatz erhalten, sind für deren weitere Verwendung selbst verantwortlich (z. B. ein Studio, das Bewerberdaten für seine Auswahlentscheidung verarbeitet); Subcoach kontrolliert diese nachgelagerte Nutzung nicht. (Die genaue Rollenverteilung steht auf der anwaltlichen Prüfliste.)

• Dienstleister (Auftragsverarbeiter), jeweils im Rahmen ihres standardmäßig veröffentlichten Auftragsverarbeitungsvertrags (AVV/DPA). Dieser verpflichtet den Anbieter, die ihm von uns anvertrauten personenbezogenen Daten nach unserer Weisung zu verarbeiten. Für Übermittlungen EU→USA sind die EU-Standardvertragsklauseln des jeweiligen AVV unsere Garantie. Einige Anbieter sind zusätzlich nach dem EU-US Data Privacy Framework selbstzertifiziert; das werten wir als Zusatz und nicht als die Garantie, auf die wir uns stützen (siehe § 7). Die Bestätigung je Anbieter ist ein offener, nachverfolgter Punkt. Stripe ist ein Sonderfall und wird nachstehend gesondert beschrieben.

  Auftragsverarbeiter	Zweck	Region	Schutzmaßnahme
  Supabase	Datenbank, Auth, Dateispeicher	USA (us-west-1)	DPA + SCC
  Expo (650 Industries)	Push-Benachrichtigungen	USA	DPA + SCC
  Twilio SendGrid	Transaktions-E-Mails	USA	DPA + SCC
  Google (Maps Platform / Geocoding)	Adress-Geokodierung	USA	DPA + SCC
  Sentry (geplant, derzeit nicht aktiv)	Fehlerdiagnose	USA	DPA + SCC (bei Aktivierung)

  Die gepflegte Liste finden Sie unter docs/compliance/sub-processors.md.

• Stripe — unser Zahlungsdienstleister und zugleich eigener Verantwortlicher. Stripe ist für uns nicht nur Auftragsverarbeiter. In Ziffer 2 seines Auftragsverarbeitungsvertrags nimmt Stripe für sich „the sole and exclusive authority to determine the purposes and means of Processing Personal Data" in Anspruch — also die alleinige Entscheidung über Zwecke und Mittel — und zwar für eigene Zwecke: Überwachung, Verhinderung und Aufdeckung von Betrug, Begrenzung finanzieller Verluste und von Sicherheitsrisiken, die internen Prozesse hinter den eigenen Produkten, Erfüllung gesetzlicher Pflichten (einschließlich Geldwäsche- und Know-your-Customer-Prüfungen) sowie Analyse, Verbesserung und Weiterentwicklung der eigenen Produkte. Auftragsverarbeiter ist Stripe nur, soweit es die Stripe-Dienste erbringt und Zahlungen für uns und nach unserer Weisung abwickelt.

  Was das für Sie bedeutet. Nur Studios schließen ein Abonnement ab; Lehrkräfte nutzen Subcoach kostenlos und werden nie nach Zahlungsdaten gefragt. Für die Abonnementzahlung, die wir über Stripe einziehen, wenden Sie sich an uns. Soweit Stripe eigene Zwecke verfolgt, ist Stripe der Verantwortliche und es gilt die Datenschutzerklärung von Stripe — Auskunft, Berichtigung, Löschung oder Widerspruch müssen Sie insoweit bei Stripe geltend machen; wir können darüber nicht entscheiden. Stripe veröffentlicht seine Erklärung und die Wege zur Ausübung Ihrer Rechte unter https://stripe.com/privacy (privacy@stripe.com; Datenschutzbeauftragter: dpo@stripe.com). Sie können sich zunächst an uns wenden; wir verweisen Sie, soweit möglich, an die richtige Stelle — handeln kann insoweit aber nur Stripe.

  Welche Stripe-Gesellschaft. Unser Auftragsverarbeitungsvertrag besteht mit der irischen Stripe Payments Europe, Limited. Als seine Hauptniederlassung in Europa im Sinne der DSGVO benennt Stripe eine weitere irische Gesellschaft, die Stripe Technology Company, Limited. Stripe verarbeitet Daten auch in den USA. Die aktuelle Liste seiner Gesellschaften veröffentlicht Stripe unter https://stripe.com/privacy-center/legal.

  Garantie für die Übermittlung in die USA: die EU-Standardvertragsklauseln im Stripe-Vertrag. Stripe ist zusätzlich nach dem EU-US Data Privacy Framework selbstzertifiziert; darauf stützen wir uns jedoch nicht (siehe § 7). Die PCI-DSS-Zertifizierung von Stripe ist ein Kartensicherheitsstandard und kein Übermittlungsinstrument.

• Aus rechtlichen Gründen, soweit gesetzlich vorgeschrieben oder zum Schutz von Rechten und Sicherheit.

Wir verkaufen Ihre personenbezogenen Daten nicht und wir „verkaufen" oder „teilen" sie nicht für kontextübergreifende verhaltensbasierte Werbung im Sinne des kalifornischen Rechts (siehe § 11 CCPA/CPRA).

4. Speicherung & Löschung

Wir speichern personenbezogene Daten, solange Ihr Konto aktiv ist und soweit zur Bereitstellung des Dienstes erforderlich. Auf eine Löschanfrage hin beginnen wir eine 30-tägige Karenzzeit mit vorläufiger Löschung; nach deren Ablauf werden Ihre personenbezogenen Daten gelöscht oder unwiderruflich anonymisiert. Während der Karenzzeit kann die Anfrage rückgängig gemacht werden.

Wir bewahren bestimmte Aufzeichnungen über die Löschung hinaus auf, soweit erforderlich oder zulässig — und in anonymisierter Form, soweit sie Sie nicht mehr identifizieren:

Diese Fristen sind mit docs/ops/audit-retention-policy.md und dem Daten-Inventar unter docs/compliance/data-inventory.md abgestimmt. Bei mehreren anwendbaren Fristen gilt die längere (z. B. Audit-Protokolle 7 Jahre).

5. Ihre Rechte (DSGVO)

Vorbehaltlich geltenden Rechts können Sie Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit (Export im JSON-Format) verlangen, der auf berechtigten Interessen beruhenden Verarbeitung widersprechen und eine Einwilligung jederzeit widerrufen (ohne Auswirkung auf die Rechtmäßigkeit der bisherigen Verarbeitung). Sie können:

• Ihre Daten in der App herunterladen (Einstellungen „Datenschutz & Daten") — wir senden Ihnen per E-Mail einen sicheren, zeitlich begrenzten Link zu einem JSON-Export Ihrer Daten.
• Ihr Konto in der App löschen (30-tägige Karenzzeit; während dieser kann die Löschung rückgängig gemacht werden).
• Marketing-Einwilligung und die „Do Not Sell/Share"-Einstellung in der App verwalten.

Zur Ausübung können Sie uns auch unter support@subcoach.app oder über das Kontaktformular unter https://subcoach.app/de/contact kontaktieren. Überall dort, wo die DSGVO auf unsere Verarbeitung Ihrer Daten anwendbar ist, haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77) — unabhängig von Ihrer Staatsangehörigkeit oder Ihrem Wohnsitz; in Deutschland ist die zuständige Behörde die Datenschutzbehörde des Bundeslandes des Betreibers (Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI), Alt-Moabit 59–61, 10555 Berlin — https://www.datenschutz-berlin.de). Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder Arbeitsplatzes wenden.

6. Sicherheit

Wir setzen branchenübliche Maßnahmen ein (Verschlüsselung bei der Übertragung, Zugriffskontrollen, Row-Level-Security, unveränderliches Audit-Logging). Kein System ist vollkommen sicher; absolute Sicherheit können wir nicht garantieren.

7. Internationale Übermittlungen

Wir betreiben Subcoach aus Deutschland; ein erheblicher Teil Ihrer Daten wird jedoch außerhalb der Europäischen Union und des weiteren Europäischen Wirtschaftsraums (EWR) verarbeitet. Dieser Abschnitt beschreibt, wohin Ihre Daten gelangen und worauf sich die jeweilige Übermittlung stützt.

Ihre Daten werden in den USA gespeichert. Ihre Konto-, Profil-, Schicht- und Nachrichtendaten liegen in einer Datenbank, die Supabase für uns betreibt (§ 3), und diese Datenbank wird in den USA gehostet — in der US-Region us-west-1 von Supabase. Für den größten Teil Ihrer Daten ist die Speicherung außerhalb der EU/des EWR damit der Regelfall und nicht die Ausnahme. Unsere Garantie für diese Übermittlung sind die EU-Standardvertragsklauseln im Standard-Auftragsverarbeitungsvertrag von Supabase, der mit der Nutzung des Dienstes gilt; die Bestätigung und Ablage dieser Unterlagen je Anbieter ist ein offener, nachverfolgter Punkt auf unserer anwaltlichen Prüfliste (§ 3). Verlagern wir die Datenbank in eine andere Region, aktualisieren wir diesen Abschnitt vor der Verlagerung.

Unsere übrigen Dienstleister. Auch die übrigen in § 3 genannten Anbieter verarbeiten Daten in den USA. Für die USA gibt es keinen allgemeinen Angemessenheitsbeschluss — die Europäische Kommission hat nicht festgestellt, dass das US-Recht personenbezogene Daten generell auf EU-Niveau schützt. Ihr Beschluss vom 10. Juli 2023 erfasst ausschließlich US-Unternehmen mit einer aktiven Zertifizierung nach dem EU-US Data Privacy Framework. Einige unserer Anbieter, darunter Stripe, sind danach selbstzertifiziert; wir stützen uns darauf jedoch nicht als Garantie: Angemessenheitsbeschlüsse für die USA wurden vom Gerichtshof der Europäischen Union bereits zweimal für ungültig erklärt, 2015 und erneut 2020. Wir stützen uns stattdessen auf die Standardvertragsklauseln im Auftragsverarbeitungsvertrag des jeweiligen Anbieters, die unabhängig vom Fortbestand des Frameworks gelten. Die PCI-DSS-Zertifizierung von Stripe ist ein Kartensicherheitsstandard und kein Übermittlungsinstrument.

Stripe handelt auch in eigener Sache. Wie in § 3 erläutert, ist Stripe für die Abonnementzahlung, die wir einziehen lassen, unser Auftragsverarbeiter, zugleich aber eigener Verantwortlicher für eigene Zwecke der Betrugsprävention, des Risikomanagements, der Rechtsbefolgung und der Produktentwicklung. Insoweit entscheidet Stripe, und es gilt die Datenschutzerklärung von Stripe: Auskunft, Berichtigung, Löschung oder Widerspruch zu dieser eigenen Verarbeitung müssen Sie bei Stripe geltend machen (https://stripe.com/privacy, privacy@stripe.com, Datenschutzbeauftragter: dpo@stripe.com). Wir können darüber nicht für Sie entscheiden. Sie können sich zuerst an uns wenden; wir verweisen Sie dann an die richtige Stelle.

Andere Nutzer, wo immer sie sind. Subcoach ist ein Marktplatz. Was Sie einstellen — Ihr Profil, Ihre Schichten, Ihre Nachrichten — wird für die Personen sichtbar, mit denen Sie zu tun haben, und diese können sich in einem anderen Land befinden. Die App bietet derzeit Städte in Deutschland, Spanien und Frankreich (innerhalb der EU/des EWR) sowie im Vereinigten Königreich, in Israel und in den USA (außerhalb) an; weitere können hinzukommen. Befindet sich Ihr Gegenüber an einem dieser Orte außerhalb der EU/des EWR, gelangen Ihre Informationen in dieses Land. Handelt es sich dabei um ein eigenständiges Unternehmen, liegt in dieser Sichtbarkeit selbst eine Übermittlung außerhalb der EU/des EWR. Mit einzelnen Nutzern schließen wir keine Standardvertragsklauseln, und wir kontrollieren nicht, was sie mit dem tun, was sie sehen (§ 3 erläutert dies; die genaue Rollenverteilung steht auf der anwaltlichen Prüfliste). Diese Aufzählung nennt die Orte, die die App anbietet — sie ist keine Zusage darüber, wo sich ein einzelner Nutzer tatsächlich aufhält.

Angemessenheit, Land für Land. Die DSGVO verpflichtet uns anzugeben, ob die Europäische Kommission für ein Land außerhalb der EU/des EWR ein angemessenes Schutzniveau festgestellt hat (Art. 13 Abs. 1 lit. f). Für die drei oben genannten Länder außerhalb der EU/des EWR gilt:

• Vereinigtes Königreich — Angemessenheitsbeschluss vorhanden. Die Europäische Kommission hat am 28. Juni 2021 festgestellt, dass das Vereinigte Königreich ein angemessenes Schutzniveau bietet, und diesen Beschluss im Dezember 2025 verlängert. Solange er gilt, ist keine zusätzliche Garantie für die Übermittlung erforderlich (Art. 45 Abs. 1 DSGVO).
• Israel — Angemessenheitsbeschluss vorhanden. Die Europäische Kommission hat festgestellt, dass Israel ein angemessenes Schutzniveau bietet (Beschluss 2011/61/EU). Solange er gilt, ist keine zusätzliche Garantie erforderlich. Der Beschluss erfasst nicht jede Art von Übermittlung; soweit er nicht reicht, ist eine andere Grundlage erforderlich. Wir speichern keine Daten auf Servern in Israel — ein Zugriff aus Israel erfolgt über den Dienst.
• USA — kein allgemeiner Angemessenheitsbeschluss. Wie oben dargestellt, erfasst die Angemessenheit nur Unternehmen, die nach dem EU-US Data Privacy Framework zertifiziert sind. Einzelne Nutzerinnen und Nutzer sind keine zertifizierten Unternehmen; für das, was einen anderen Nutzer in den USA erreicht, gibt es daher weder einen Angemessenheitsbeschluss noch Standardvertragsklauseln. Dies ist einem internationalen Marktplatz immanent; die zutreffende Rechtsgrundlage dafür steht auf unserer anwaltlichen Prüfliste.

Die Kommission überprüft jeden Angemessenheitsbeschluss fortlaufend und kann ihn ändern, aussetzen oder aufheben. Deckt ein hier genannter Beschluss eine unserer Übermittlungen nicht mehr ab, legen wir hier dar, worauf wir uns stattdessen stützen.

Kopie der Garantien. Die EU-Standardvertragsklauseln und die oben genannten Angemessenheitsbeschlüsse sind öffentliche, von der Europäischen Kommission über EUR-Lex veröffentlichte Dokumente. Soweit für einen bestimmten Anbieter Garantien bestehen, können Sie Einzelheiten unter support@subcoach.app anfordern.

8. Kinder

Der Dienst richtet sich nicht an Personen unter 18 Jahren, und wir erheben wissentlich keine Daten von ihnen. Nutzer bestätigen bei der Registrierung, dass sie 18 Jahre oder älter sind.

9. Cookies, Gerätespeicherung & Tracking

Dieser Abschnitt betrifft zwei Dinge: die Website subcoach.app und die Subcoach-App. Maßgeblich ist § 25 TDDDG — und das ist keine reine Cookie-Vorschrift: Erfasst ist jede Speicherung von Informationen auf Ihrem Endgerät und jeder Zugriff auf dort bereits gespeicherte Informationen, im Browser ebenso wie in einer App.

Die Website (subcoach.app). Diese Website setzt keine Cookies. Sie verwendet keine Analyse-Werkzeuge, keine Zählpixel und keine Skripte Dritter, sie lädt nichts von Servern Dritter — die Schriften werden von subcoach.app selbst ausgeliefert — und sie speichert nichts auf Ihrem Endgerät. Da auf Ihrem Endgerät weder nicht erforderliche Informationen gespeichert noch dort bereits gespeicherte Informationen ausgelesen werden, verlangt § 25 TDDDG hier keine Einwilligung; diese Website benötigt kein Cookie-Banner.

Die App. Die App verwendet keine Browser-Cookies, keine Werbe-ID, kein Drittanbieter-Tracking und kein Analyse-SDK. Beim Anmelden öffnet sich der Browser Ihres Geräts, der eigene Cookies des Anmeldedienstes setzen kann; die App setzt oder liest diese nicht. Die App legt allerdings wenige Daten auf Ihrem Endgerät ab. Jeder Eintrag der folgenden Tabelle ist unbedingt erforderlich, damit die App den von Ihnen ausdrücklich gewünschten Dienst zur Verfügung stellen kann — die Ausnahme des § 25 Abs. 2 Nr. 2 TDDDG:

Push-Benachrichtigungen. Wenn Sie Benachrichtigungen erlauben, speichert die App auf Ihrem Endgerät die Adresse, über die der Benachrichtigungsdienst dieses Gerät erreicht, und liest die Modellbezeichnung Ihres Geräts aus, damit eine Benachrichtigung dem richtigen Gerät zugeordnet werden kann. Beides geschieht erst, nachdem Sie die Benachrichtigungsberechtigung erteilt haben. Beides wird auch an unsere Server und an Expo übermittelt, damit eine Benachrichtigung überhaupt zugestellt werden kann — siehe Abschnitte 1 und 3. Beim Abmelden werden diese Angaben von Ihrem Endgerät und von unseren Servern entfernt.

Was die App sonst von Ihrem Endgerät ausliest. Sie liest von Ihnen ausgewählte Dateien — ein Profil- oder Studiofoto aus Ihrer Fotomediathek oder ein Nachweisdokument — und zwar erst nach Ihrer Auswahl und ausschließlich für diesen Upload. Sie liest die Spracheinstellung Ihres Geräts aus, um die Startsprache der App zu bestimmen. Jeder dieser Zugriffe erfolgt nur für einen von Ihnen gestarteten Vorgang — dieselbe Ausnahme des § 25 Abs. 2 Nr. 2 TDDDG. Eine Werbe-ID oder eine eindeutige Gerätekennung liest die App nicht aus, den Standort Ihres Geräts liest sie nicht aus, und sie durchsucht Ihre Fotomediathek oder Ihre Dateien zu keinem Zeitpunkt selbsttätig.

Falls sich das ändert. Sollten wir Analyse, Werbung oder eine sonstige nicht unbedingt erforderliche Speicherung einführen — auf der Website oder in der App —, holen wir vorher Ihre Einwilligung ein (§ 25 Abs. 1 TDDDG) und aktualisieren diesen Abschnitt, bevor die Funktion live geht.

10. Marketingkommunikation

E-Mail. Marketing-E-Mails erfolgen nur mit Einwilligung (Opt-in) und sind standardmäßig deaktiviert. Der Schalter befindet sich in den App-Einstellungen „Datenschutz & Daten"; Sie können ihn dort jederzeit ein- oder ausschalten. Derzeit versenden wir keine Marketing-E-Mails. Sobald wir damit beginnen, enthält jede Marketing-E-Mail einen funktionierenden Abmeldelink. Für Werbung per E-Mail gelten zwei Regelwerke nebeneinander, und wir beachten beide:

• § 7 Abs. 2 Nr. 2 UWG (Gesetz gegen den unlauteren Wettbewerb, Umsetzung von Art. 13 Abs. 1 der Richtlinie 2002/58/EG) verlangt vor Werbung per E-Mail eine vorherige ausdrückliche Einwilligung. Das ist kein Datenschutzrecht: Ein „berechtigtes Interesse" kann diese Einwilligung nicht ersetzen — und die Vorschrift schützt auch geschäftliche Empfänger, das Firmenpostfach eines Studios also genauso wie das private Postfach einer Lehrkraft. Für Werbung für eigene ähnliche Waren oder Dienstleistungen gegenüber Bestandskunden besteht eine enge gesetzliche Ausnahme (§ 7 Abs. 3 UWG); wir nehmen sie nicht in Anspruch. Diesen Maßstab wenden wir gegenüber allen an, die wir anschreiben, unabhängig davon, wo Sie sich befinden.
• Art. 6 Abs. 1 lit. a und Art. 7 DSGVO verlangen, dass die Einwilligung freiwillig erteilt und dokumentiert ist und der Widerruf so einfach ist wie die Erteilung (Art. 7 Abs. 3). Art. 21 Abs. 2 DSGVO gibt Ihnen ein jederzeitiges, bedingungsloses Widerspruchsrecht gegen Direktwerbung.

Push-Benachrichtigungen und In-App-Nachrichten sind eigene Kanäle. Eine Einwilligung in Marketing-E-Mails ist keine Einwilligung in Marketing per Push, und wir behandeln sie auch nicht als solche. Derzeit hat die App einen einzigen Marketing-Schalter, und er gilt nur für E-Mail.

• Werbliche Push- und In-App-Nachrichten versenden wir derzeit nicht. Die von uns versandten Push- und In-App-Benachrichtigungen sind Servicemitteilungen (z. B. eine Schicht, die zu Ihren festgelegten Arbeitsgebieten passt, eine Statusänderung Ihrer Bewerbung, eine neue Nachricht, ein Zahlungs- oder Moderationshinweis).
• Alle Push-Benachrichtigungen von Subcoach lassen sich jederzeit abschalten — in den Systemeinstellungen Ihres Geräts für die App (iOS: Einstellungen → Mitteilungen → Subcoach; Android: Einstellungen → Apps → Subcoach → Benachrichtigungen).
• Ein werblicher Push-Kanal bekäme zuerst einen eigenen Schalter. Sollten wir jemals werbliche Push-Benachrichtigungen oder werbliche In-App-Nachrichten einführen, gehen ein eigenes Opt-in und ein eigenes Opt-out in der App vorher live — standardmäßig deaktiviert. Eine Push-Benachrichtigung hat keinen Abmeldelink; die Steuerung muss deshalb in der App liegen.

Was als Servicemitteilung gilt. Transaktions-/Servicemitteilungen — Konto, Abrechnung, Sicherheit sowie Mitteilungen zu einer Schicht, die Sie ausgeschrieben haben, auf die Sie sich beworben haben oder die zu den von Ihnen selbst festgelegten Arbeitsgebieten und dem von Ihnen gewählten Radius passt — werden versandt, soweit dies zum Betrieb des Dienstes erforderlich ist. Sie enthalten keinerlei werbliche Inhalte. Das ist der Maßstab, nicht die Bezeichnung: Nach der Rechtsprechung des BGH ist eine Nachricht auch dann Direktwerbung, wenn sie zugleich etwas enthält, das Sie angefordert haben — eine Kundenzufriedenheitsbefragung, die zusammen mit einer Rechnung versandt wird, ist Direktwerbung (BGH, Urteil vom 10.07.2018 – VI ZR 225/17). Sobald wir einer Servicemitteilung also werbliche Inhalte hinzufügen, etwa einen Hinweis „Kolleginnen und Kollegen einladen" oder einen Upgrade-Hinweis, wird sie zu Werbung und setzt Ihre Marketing-Einwilligung voraus.

Unsere Service-E-Mails enthalten einen Link mit der Beschriftung „Unsubscribe from notification emails" (Abmeldung von Benachrichtigungs-E-Mails). Dieser Link betrifft Servicebenachrichtigungen, nicht Marketing; unverzichtbare E-Mails (z. B. ein Link zum Datenexport) werden in jedem Fall zugestellt. Sie können uns auch unter support@subcoach.app bitten, nicht zwingend erforderliche Benachrichtigungs-E-Mails und Push-Benachrichtigungen für Ihr Konto abzuschalten — eine einzige Einstellung in Ihrem Konto steuert beides.

11. Datenschutzrechte für Kalifornien (CCPA / CPRA)

Dieser Abschnitt gilt für Einwohner Kaliforniens nach dem California Consumer Privacy Act in der durch den California Privacy Rights Act geänderten Fassung („CCPA/CPRA").

Kategorien erhobener personenbezogener Daten: Identifikatoren (Name, E-Mail); Merkmale (Geburtsdatum bei Lehrkräften — Altersprüfung); Kunden-/Geschäftsdaten (Abonnementstatus); Internet-/Nutzungsaktivität (In-App-Aktivität, über den Marktplatz gesendete Nachrichten); standortbezogene Daten (geokodierte Adresse — ob dies „präzise Standortdaten" als sensible personenbezogene Daten im Sinne des CPRA darstellt, steht auf der anwaltlichen Prüfliste); berufliche Daten (selbst angegebene Lehrerfahrung); Audio-/Bilddaten (Profilfotos, Studio-Logos); begrenzte Gerätedaten (Push-Token). Wir erheben diese für die in § 2 genannten Geschäftszwecke und speichern sie gemäß § 4.

Kein Verkauf, kein Teilen. Wir verkaufen Ihre personenbezogenen Daten nicht und planen dies auch nicht, und wir „teilen" sie nicht für kontextübergreifende verhaltensbasierte Werbung im Sinne des CCPA/CPRA. Wir verwenden oder offenbaren sensible personenbezogene Daten nicht über die nach dem CCPA zulässigen Zwecke hinaus. (Hinweis: Subcoach liegt derzeit unterhalb der „Business"-Schwellenwerte des CCPA — dieser Hinweis wird freiwillig als Best Practice bereitgestellt.)

Ihre kalifornischen Rechte: das Recht auf Kenntnis/Auskunft, Löschung, Berichtigung, Widerspruch gegen Verkauf/Teilen und Einschränkung der Nutzung sensibler personenbezogener Daten sowie das Recht, wegen der Ausübung nicht benachteiligt zu werden. Da wir nicht verkaufen oder teilen, wird das Opt-out als dauerhafte Einstellung berücksichtigt.

„Do Not Sell or Share My Personal Information." US-Nutzer können in den App-Einstellungen „Datenschutz & Daten" eine Do-Not-Sell/Share-Einstellung hinterlegen. Wir berücksichtigen sie als verbindliches Opt-out-Kennzeichen, auch wenn wir keine Daten verkaufen. Quelldetails: docs/compliance/ccpa-notice.md.

Zur Ausübung dieser Rechte kontaktieren Sie support@subcoach.app. Sie können einen bevollmächtigten Vertreter einsetzen. Wir überprüfen Anfragen anhand Ihrer Kontodaten.

12. Änderungen

Wir können diese Erklärung aktualisieren. Über wesentliche Änderungen informieren wir in der App oder per E-Mail; soweit erforderlich, wird eine erneute Zustimmung eingeholt.

13. Anbieterkennzeichnung (Impressum, § 5 DDG)

Anbieter/Verantwortlicher ist Itai Lahat (Einzelunternehmer), Deutschland. Vollständige Anbieterangaben (§ 5 DDG) finden Sie im Abschnitt „Impressum" der Nutzungsbedingungen und unter docs/legal/impressum.md.

14. Kontakt

Datenschutzfragen oder Datenanfragen: support@subcoach.app oder über das Kontaktformular unter https://subcoach.app/de/contact.