Datenschutzerklärung

Stand: Oktober 2026

1. Verantwortlicher & Geltungsbereich

The Nexus Collective GmbH

Poststraße 14-16, 20354 Hamburg, Deutschland

E-Mail: [email protected]

Registergericht: Amtsgericht Hamburg, HRB 196591

USt-ID: DE459881075

Vertretungsberechtigter Geschäftsführer: Daniel Hanelt

athleo ist ein Produkt und eine Marke der The Nexus Collective GmbH.

Web: athleo.de

Diese Datenschutzerklärung gilt für unsere Website, unsere Landingpages (inkl. studio-Subdomains) sowie für die interne SaaS-/CRM-Verarbeitung im Zusammenhang mit unseren Leistungen (Leadgenerierung, Terminvereinbarung, Kommunikation, Zahlungsabwicklung).

2. Grundsätze der Datenverarbeitung

Wir verarbeiten personenbezogene Daten nach DSGVO und TDDDG (zuvor TTDSG). Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer und Betroffenenrechte werden nachfolgend je Verarbeitung beschrieben. Nicht technisch notwendige Cookies/Tracker werden erst nach Einwilligung eingesetzt (Opt-in mit Ablehnen-Option).

3. Hosting, Infrastruktur & Server-Logs

Hosting:

IONOS SE (DE/EU) – Hosting einzelner Webpräsenzen/Landingpages
Vercel, Inc. (USA/EU) – Hosting/Deployment von Projekten (Edge/Global-CDN)

Server-Logs: Beim Aufruf unserer Seiten verarbeitet der jeweilige Hoster u. a. IP-Adresse, Datum/Uhrzeit, User-Agent, Referrer, angefragte Ressource. Zweck: technische Bereitstellung, Sicherheit (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer: bis auf Widerruf (administrative Löschroutine).

Empfänger/Rolle: Hoster als Auftragsverarbeiter (AVV). Bei Übermittlungen in Drittländer gelten DPF/SCC (siehe Ziff. 10).

4. Consent-Management & Cookies/Tracking

Beim ersten Besuch dieser Website fragen wir dich über einen eigenen Einwilligungs-Hinweis (kein Drittanbieter-Tool), ob wir Cookies zur Reichweitenmessung und Marketing-Zwecken setzen dürfen. Solange du noch nicht entschieden hast, speichert PostHog nichts auf deinem Gerät und erfasst keine Ereignisse. Technisch notwendige Cookies und Server-Logs beruhen auf Art. 6 Abs. 1 lit. f DSGVO.

Reichweitenmessung (PostHog): Wir nutzen PostHog (PostHog Inc.; Datenverarbeitung auf EU-Servern), um zu verstehen, welche Inhalte gelesen werden und über welche Kanäle Besucher zu uns finden. Stimmst du zu, setzt PostHog ein First-Party-Cookie, mit dem wir dich bei einem späteren Besuch wiedererkennen (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG). Lehnst du ab, erheben wir nur eine anonyme Statistik: PostHog zählt Besuche dann über eine serverseitig gebildete, datenschutzfreundliche Prüfsumme, ohne Speicherung auf deinem Gerät (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einer Reichweitenstatistik). Eine Aufzeichnung von Bediensitzungen findet auf dieser Website nicht statt.

Marketing (Meta Pixel und Google Ads): Diese Tags werden ausschließlich geladen, wenn du Marketing zustimmst. Ohne Einwilligung werden keine Marketing-Cookies gesetzt und keine Ereignisse an Meta oder Google übermittelt.

Deine Optionen: Browser-Einstellungen sowie Änderung oder Widerruf deiner Auswahl – jederzeit und mit Wirkung für die Zukunft: .

5. Kontakt, Formulare & Kommunikation

Formulare (Web/Landingpages, z. B. Tally.so):

Daten: Name, E-Mail, Telefon, Nachricht/Angaben zum Studio/Termin etc.

Zwecke: Beantwortung von Anfragen, Terminvereinbarung, Angebot, Onboarding.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche/vertragliche Kommunikation) bzw. lit. f (berechtigtes Interesse an effizienter Kommunikation); bei Einwilligungen lit. a.

Speicherdauer: bis auf Widerruf bzw. bis Zweckerfüllung; gesetzliche Aufbewahrungspflichten unberührt.

WhatsApp Business API:

Kommunikation über WhatsApp (Meta/WhatsApp Ireland). Inhalte/Metadaten werden zur Abwicklung deiner Anfrage verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f; bei Einwilligung lit. a. Hinweis: WhatsApp verarbeitet Daten als eigener Verantwortlicher (Plattformbetrieb). Details bei WhatsApp.

E-Mail-Newsletter/Broadcasts (z. B. Brevo o. ä.):

Versand an Interessenten/Kunden nur mit (Double-)Opt-In; Widerruf/Abmeldung jederzeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) oder § 7 UWG i. V. m. Art. 6 Abs. 1 lit. f DSGVO (Bestandskundenwerbung, sofern zulässig).

Terminbuchung (cal.com):

Verarbeitung deiner Termin- und Kontaktdaten für Slot-Vergabe/Erinnerungen (ggf. via E-Mail/SMS). Rechtsgrundlage: Art. 6 Abs. 1 lit. b (Terminvereinbarung) bzw. lit. f.

6. CRM, Datenquellen & Automatisierung

Datenquellen:

(1) direkt über unsere Formulare/Landingpages, (2) Lead-Import durch Partner-Fitnessstudios, (3) Kommunikationskanäle (WhatsApp/E-Mail).

CRM/Datenbank: Supabase (Speicherung/Verarbeitung der Leads/Kundendaten).

Automatisierung: Make.com (Lead-Ingestion, kanalübergreifende Antworten).

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b (vorvertraglich/vertraglich), lit. f (effiziente Vertriebs-/Supportprozesse), ggf. lit. a (Newsletter/Tracking).

Speicherdauer: Leads/Kontakte bis auf Widerruf bzw. bis Zweckerfüllung. Vertrags-/Abrechnungsdaten nach gesetzlichen Fristen (regelmäßig bis zu 10 Jahre).

7. Online-Marketing & Reichweitenmessung

Die folgenden Marketing-Dienste werden erst nach Einwilligung aktiviert (TDDDG/Art. 6 Abs. 1 lit. a DSGVO). Ohne Einwilligung werden keine nicht notwendigen Identifikatoren auf deinem Endgerät gespeichert oder ausgelesen.

Meta Ads / Meta Pixel / Conversions API (Facebook/Instagram):

Nach deiner Einwilligung laden wir das Meta Pixel zur Kampagnen-Steuerung, Conversion-Messung und gegebenenfalls für Remarketing. Dabei können Ereignisse wie Seitenaufrufe und Formularabsendungen, Geräte-IDs sowie Kampagnenparameter verarbeitet werden. Ohne Einwilligung wird das Pixel nicht geladen.

Ergänzend übermitteln wir bei der Buchung eines Demo-Termins ein Conversion-Ereignis server-seitig über die Meta Conversions API. E-Mail-Adresse und Name werden dabei ausschließlich pseudonymisiert (SHA-256-Hash) übermittelt, daneben IP-Adresse, Browser-Informationen und – sofern vorhanden – eine mit dem Anzeigen-Klick übergebene Klick-ID; Cookie-Kennungen (_fbp/_fbc) nur, wenn du zuvor in Marketing eingewilligt hast. Zweck ist die Messung und Optimierung unserer Werbekampagnen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Messung der Wirksamkeit unserer Werbung); du kannst dieser Verarbeitung jederzeit widersprechen.

Rechtsgrundlage: Einwilligung; Widerruf jederzeit.

Empfänger: Meta Platforms Ireland Ltd. (EU) / Meta Platforms Inc. (USA).

Google Ads (Conversion Tracking):

Das Google-Tag wird ausschließlich nach deiner Einwilligung geladen. Wir verwenden Consent Mode v2 im Basic Mode: Vor deiner Zustimmung werden weder das Tag geladen noch Daten an Google gesendet.

Rechtsgrundlage: Einwilligung; Widerruf jederzeit.

Empfänger: Google Ireland Ltd. (EU) / Google LLC (USA).

Hinweis zu Profilbildung/Remarketing: Soweit eingesetzt, erfolgt dies nur nach Einwilligung. Du kannst deine Auswahl jederzeit über ändern.

7a. Google-Ads-Kontoverbindung im athleo AI Manager (Google OAuth)

Unabhängig vom Conversion Tracking dieser Website (Ziff. 7) können Studio-Administratoren in athleo optional ein Google-Ads-Werbekonto ihres Studios verbinden. Die Verbindung wird vom Administrator über Google OAuth gestartet; dabei wird das Werbekonto des Studios direkt oder über ein Verwaltungskonto (MCC) ausgewählt. Google-Passwörter werden nicht an athleo übermittelt.

Abgerufene Daten: Kontoname, Kunden- und Verwaltungskonto-IDs, Kontowährung, Kampagnennamen und -status, Budgets, Leistungskennzahlen, Anzeigengruppen sowie Keywords und ausschließende Keywords.

Zwecke: Anzeige und Verwaltung des verbundenen Werbekontos des Studios sowie von Nutzern angeforderte Analysen und Änderungsvorschläge durch den AI Manager.

Änderungen: Vorschläge betreffen Status, Name und Tagesbudget bestehender Kampagnen sowie Keywords und ausschließende Keywords. Vor dem Speichern werden sie über die Prüffunktion von Google (validateOnly) validiert. Im Google-Ads-Konto wird eine Änderung erst ausgeführt, nachdem ein Nutzer sie in athleo ausdrücklich freigegeben hat; der KI-Chat selbst kann keine Freigabe erteilen.

Speicherung: Serverseitig in unserer Supabase-Datenbank; die OAuth-Berechtigung (Refresh-Token) wird verschlüsselt in Supabase Vault gespeichert. Gespeichert werden Verbindungsmetadaten, Änderungsvorschläge, Vorher-/Nachher-Protokolle ausgeführter Änderungen sowie Google-Daten, die in Unterhaltungen mit dem AI Manager einfließen.

Empfänger: Unsere Hosting- und Datenbank-Dienstleister (Ziff. 10). Nutzt du Google-Ads-Funktionen im AI Manager, werden die dafür relevanten Konto-, Kampagnen- und Keyword-Daten sowie vorgeschlagene Änderungen zur Verarbeitung durch ein KI-Modell an OpenRouter übermittelt; eingesetzt werden Claude-Modelle des Modellentwicklers Anthropic. OpenRouter leitet jede Anfrage je nach Routing an einen Anbieter weiter, der das Modell ausführt. Das kann Anthropic selbst, Amazon Web Services (Amazon Bedrock) oder Google Cloud (Vertex AI) sein; die jeweilige Anfrage wird von dem Anbieter verarbeitet, an den sie geleitet wird. In unserem OpenRouter-Konto sind kostenpflichtige Endpunkte, die Eingaben zum Training verwenden können, deaktiviert; ebenso sind die Nutzung von Ein- und Ausgaben durch OpenRouter für eigene Produktzwecke und die Protokollierung von Ein- und Ausgaben in unserem Konto deaktiviert. Modellanfragen sind zudem auf Anbieter beschränkt, die Eingaben nach den Angaben von OpenRouter nicht zum Training verwenden. Eine vorübergehende Speicherung durch OpenRouter oder den ausführenden Anbieter, etwa zur Missbrauchserkennung oder aufgrund gesetzlicher Pflichten, ist damit nicht ausgeschlossen. Die Verarbeitung kann dabei auch außerhalb der EU erfolgen; es gelten die Hinweise zu Drittlandübermittlungen in Ziff. 10.

Zugriff durch Mitarbeitende: Auf die von Google abgerufenen Daten greifen Mitarbeitende von athleo nur mit Autorisierung des Studios für den Support zu oder soweit dies für die Sicherheit oder zur Erfüllung gesetzlicher Pflichten erforderlich ist.

Nutzungsbeschränkung: Wir nutzen Google-Daten ausschließlich für die hier beschriebenen, für Nutzer sichtbaren Funktionen der Integration und des AI Managers. Wir verkaufen sie nicht, verwenden sie nicht für davon unabhängige Werbung und nutzen sie nicht zum Training allgemeiner KI-Modelle. Die Nutzung und Übertragung von Informationen, die athleo über Google APIs erhält, entspricht der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).

Trennung & Löschung: Beim Trennen der Verbindung wird die gespeicherte Berechtigung des jeweiligen Studios entfernt und die Angaben zum ausgewählten Werbekonto werden gelöscht; Verbindungen anderer Studios bleiben bestehen. Änderungsverlauf und Unterhaltungen mit dem AI Manager werden getrennt von der Berechtigung gespeichert und können für den Betrieb und die Nachvollziehbarkeit des Dienstes erhalten bleiben. Ihre Löschung kannst du unter [email protected] verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Zusätzlich kannst du den Zugriff von athleo jederzeit unter myaccount.google.com/connections widerrufen.

Summary in English (Google Ads integration):

Studio administrators can optionally connect their studio's Google Ads advertiser account to athleo via Google OAuth, selecting the account directly or through a manager account (MCC). Google passwords are not shared with athleo. athleo accesses the account name, customer and manager IDs, account currency, campaign names and status, budgets, performance metrics, ad groups, and keywords and negative keywords, solely to display and manage the connected account and to provide user-requested AI Manager analyses and proposals.

Proposed changes cover the status, name and daily budget of existing campaigns as well as keywords and negative keywords. They are checked with Google's validateOnly mode before being stored and are applied in Google Ads only after a user explicitly approves them in athleo; the AI chat cannot approve changes. Data is stored server-side in our Supabase database, with the OAuth refresh token encrypted in Supabase Vault. We store connection metadata, proposals, before/after audit snapshots and Google data included in AI Manager conversations.

When users use Google Ads features in the AI Manager, relevant account, campaign and keyword data and proposed changes are sent to OpenRouter for inference with Claude models developed by Anthropic. Depending on OpenRouter's routing, each request is served by one inference provider: Anthropic directly, Amazon Web Services (Amazon Bedrock) or Google Cloud (Vertex AI); a request is processed by the provider it is routed to. In our OpenRouter account, paid endpoints that may train on inputs are disabled, and OpenRouter's use of inputs and outputs for its own product purposes as well as input/output logging in our account are disabled. Model requests are also limited to providers that, according to OpenRouter, do not use inputs for training. This does not rule out temporary retention by OpenRouter or the serving provider, for example for abuse monitoring or legal obligations. Processing may take place outside the EU; our hosting and database processors and the safeguards for international transfers are described in section 10. Google user data is not sold, not used for unrelated advertising and not used by athleo to train general AI models. athleo staff access Google data only with the studio's authorization for support, or where necessary for security or legal obligations.

Disconnecting removes that studio's stored authorization and clears the selected account metadata without affecting other studios' connections. Change history and AI conversations are stored separately and may be retained for service and audit purposes; users can request their deletion at [email protected], subject to legal retention obligations, and can revoke athleo's access at any time at myaccount.google.com/connections.

athleo's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.

8. Zahlungsabwicklung (Stripe)

Zwecke: Abwicklung von Einmalzahlungen, Abos, Payment-Links; Betrugsprävention; Rechnungsstellung.

Daten: Identitäts-/Kontakt- und Zahlungsdaten (z. B. Name, E-Mail, Rechnungsadresse; Zahlungs-Token; Mandatsdaten); Transaktions-/Kommunikationsdaten; Webhooks an unsere Systeme (z. B. Zahlungserfolg).

Rollen: Stripe kann je nach Prozess (Mit-)Verantwortlicher und/oder Auftragsverarbeiter sein (DPA verfügbar).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Durchführung), Art. 6 Abs. 1 lit. c (Aufbewahrung/Steuer), ggf. lit. f (Betrugsprävention).

Speicherdauer: nach gesetzlichen Aufbewahrungsfristen (regelmäßig bis zu 10 Jahre).

9. Gemeinsame Verantwortlichkeit mit Fitnessstudios (Art. 26 DSGVO)

Bei gemeinsam betriebenen Landingpages/Kampagnen sind The Nexus Collective GmbH (unter der Marke athleo) und das jeweilige Fitnessstudio gemeinsam Verantwortliche für die Erhebung der Leads. Wesentliche Inhalte der Vereinbarung:

gemeinsame Zwecke: Lead-Erfassung/-Zuleitung, Kampagnen-Auswertung;
Festlegung der primären Kontaktstelle für Betroffenenrechte: [email protected];
Informationspflichten werden gegenüber den Betroffenen gemeinsam erfüllt;
technische/organisatorische Maßnahmen werden abgestimmt;
datenschutzrechtliche Verantwortlichkeiten (insb. für Antwort an Betroffene, Löschkonzepte) sind koordiniert.

Kontaktdaten des jeweiligen Partner-Studios teilen wir auf Anfrage mit.

Für allein unter der Marke athleo betriebene Seiten und Prozesse ist The Nexus Collective GmbH allein Verantwortliche.

10. Empfänger, Auftragsverarbeiter & Drittlandtransfers

Typische Empfänger/Auftragsverarbeiter:

IONOS SE (DE/EU) – Hosting/CDN
Vercel, Inc. (USA/EU) – Hosting/Edge-Delivery
Supabase (US/EU, regionspezifisch) – Datenbank/Storage
Make.com (EU/Global) – Automatisierung/Integrationen
Tally.so (BE/EU) – Formulare
cal.com (US/EU) – Terminbuchung
Meta / WhatsApp / Instagram (EU/US) – Ads & Kommunikation
Google (EU/US) – Ads/Conversion; je nach Routing optional KI-Inferenz über Google Cloud Vertex AI (Google-Ads-Integration, siehe Ziff. 7a)
PostHog Inc. (EU-Hosting) – Reichweitenmessung
Stripe (EU/US) – Payments
OpenRouter, Inc. (USA) – Weiterleitung von KI-Modellanfragen (Google-Ads-Integration, siehe Ziff. 7a)
Anthropic (USA) – KI-Modelle Claude (Google-Ads-Integration, siehe Ziff. 7a)
Amazon Web Services, Inc. (USA) – je nach Routing optional KI-Inferenz über Amazon Bedrock (Google-Ads-Integration, siehe Ziff. 7a)

Drittlandübermittlungen: Soweit Daten in die USA oder andere Drittländer übertragen werden, erfolgt dies auf Basis:

EU-US Data Privacy Framework (DPF), sofern der Dienst zertifiziert ist; und/oder
Standardvertragsklauseln (SCC) inkl. ggf. Transfer Impact Assessment (TIA) und ergänzender Maßnahmen. Details teilt der jeweilige Anbieter in seiner Datenschutzerklärung mit.

11. Speicherdauern & Löschung

Server-Logs: bis auf Widerruf (administrative Routinen).
Leads/Kommunikation: bis auf Widerruf bzw. bis Zweckerfüllung/Abschluss des Vorgangs.
Kunden-/Vertrags-/Zahlungsdaten: nach gesetzlichen Pflichten regelmäßig bis zu 10 Jahre.
Newsletter-Einwilligungen/Protokolle: bis zum Widerruf + Nachweisfristen.

Wir löschen/anonymisieren Daten nach Ablauf der jeweiligen Fristen oder auf deinen Widerruf/Löschantrag, sofern keine Pflichten entgegenstehen.

12. Datensicherheit

Wir setzen geeignete technische und organisatorische Maßnahmen (TOMs) ein (TLS-Verschlüsselung, Zugriffskontrollen/RBAC, 2FA, Protokollierung, Backups, Need-to-Know). Bei Auftragsverarbeitern achten wir auf AV-Verträge und angemessene Garantien (DPF/SCC).

13. Rechte der betroffenen Personen

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit sowie Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. e oder lit. f beruhen, und gegen Direktwerbung (inkl. Profiling für Direktwerbung). Einwilligungen kannst du jederzeit widerrufen (ohne Rückwirkung auf die bis dahin rechtmäßige Verarbeitung).

Kontakt: [email protected]

14. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns ist in der Regel die Behörde am Sitz des Unternehmens zuständig (Berlin).

15. Social-Media-Präsenzen

Wir unterhalten Unternehmensseiten bei Facebook, Instagram, LinkedIn. Bei Seiten-Insights etc. kann eine gemeinsame Verantwortlichkeit mit dem jeweiligen Plattformanbieter bestehen. Es gelten ergänzend die Datenschutzhinweise der Plattformen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f (Außenauftritt/Kommunikation) bzw. lit. a (wenn du einwilligst, z. B. in Tracking).

16. Aktualität dieser Erklärung

Wir passen diese Erklärung an, wenn sich Rechtslage, Dienste oder Verarbeitungen ändern. Die aktuelle Fassung ist hier veröffentlicht (Stand: Oktober 2026).

Transparenz-Hinweise & Referenzen (Auswahl)

Umbenennung TTDSG → TDDDG am 13. Mai 2024.
EU-US Data Privacy Framework (Angemessenheitsbeschluss 10. Juli 2023; jüngste Bestätigung durch EuG, 03.09.2025).
Anbieter-Infos: Vercel (DPF), Tally (EU, Datenspeicherung in Europa), Make.com (SCC/DPF-Bezug), cal.com (Privacy/Third-party services), Supabase (Privacy/Regionen), IONOS (Datenschutz/Sicherheit).