Datenschutzerklärung

Stand: 05.10.2026

‍

1. Wer für deine Daten verantwortlich ist

‍

Bei BeMember sind zwei Stellen beteiligt. Das klingt umständlich, macht aber deine Rechte klarer — und du erfährst gleich, an wen du dich mit welcher Frage wendest.

‍

Clientex

‍

Clientex Marketing und Software Solutions Lilienstraße 11, 91074 Herzogenaurach E-Mail: info@bemember.app

Clientex stellt die App bereit und ist Verantwortlicher für den technischen Betrieb: dein Nutzerkonto, die Anmeldung, Betriebssicherheit und die Abwicklung der Zahlungen über Stripe.

Für die Daten, die dein Studio verantwortet, handelt Clientex als Auftragsverarbeiter nach Art. 28 DSGVO — also ausschließlich nach Weisung des Studios und nicht für eigene Zwecke.

Einen Datenschutzbeauftragten hat Clientex nicht bestellt; die gesetzlichen Voraussetzungen dafür liegen nicht vor.

Wenn du eine Frage oder Anfrage hast, schreib an info@bemember.app. Betrifft sie dein Studio, leiten wir sie dorthin weiter. Du musst dir nicht überlegen, wer zuständig ist.

‍

2. Welche Daten verarbeitet werden

‍

2.1 Nutzerkonto und Anmeldung

‍

Beim Registrieren verarbeiten wir Vor- und Nachname, Anzeigename, E-Mail-Adresse, Telefonnummer und Geburtsdatum, dazu Zeitpunkte von Registrierung und Beitritt zu einem Studio.

Die Anmeldung läuft über Supabase Auth. Dein Passwort wird dort mit dem Verfahren bcrypt gehasht gespeichert — im Klartext ist es weder für uns noch für dein Studio jemals sichtbar, und in unserer eigenen Datenbank existiert überhaupt kein Passwortfeld.

Alternativ kannst du dich mit Sign in with Apple oder Sign in with Google anmelden. Dabei erhalten wir eine eindeutige Kennung und die E-Mail-Adresse. Nutzt du bei Apple die Option „E-Mail verbergen", erhalten wir ausschließlich Apples Weiterleitungsadresse und niemals deine echte Adresse; wir versuchen auch nicht, sie aufzulösen.

Zweck: Bereitstellung des Kontos, Authentifizierung, Zuordnung deiner Mitgliedschaft. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrags.

Dein Geburtsdatum verwenden wir zur Prüfung des Mindestalters und, sofern dein Studio das anbietet, für Geburtstagsaktionen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Altersprüfung, Art. 6 Abs. 1 lit. f DSGVO für Geburtstagsaktionen. Du kannst der Nutzung für Geburtstagsaktionen jederzeit widersprechen.

‍

2.2 Mitgliedschaft und Bestellungen

‍

Verarbeitet werden die gewählte Mitgliedschaft, ihr Status und Zeitraum, der bei Abschluss geltende Preis, deine Bestellungen mit Positionen, Beträgen, Steueranteil und Zahlungsstatus sowie der Statusverlauf einer Bestellung.

Beim Abschluss einer Mitgliedschaft wird zusätzlich deine Postanschrift erfasst und zum Zeitpunkt des Abschlusses gespeichert. Dieser Stand bleibt unverändert erhalten, auch wenn du deine Adresse später änderst — das ist für die Nachvollziehbarkeit von Verträgen und Rechnungen erforderlich.

Verantwortlich: dein Studio. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO für die handels- und steuerrechtlichen Aufbewahrungspflichten.

‍

2.3 Treuepunkte

‍

Wir führen ein fortlaufendes Punktekonto: gutgeschriebene und eingelöste Punkte, der Anlass, der Zeitpunkt und eine kurze Beschreibung. Einträge werden nur ergänzt, nie überschrieben, damit dein Punktestand jederzeit nachvollziehbar bleibt.

Verantwortlich: dein Studio. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

‍

2.4 Nachrichten und Inhalte in der App

‍

Dein Studio kann dir Nachrichten in der App senden — an alle Kundinnen und Kunden oder gezielt an einzelne. Ebenso kann es Neuigkeiten veröffentlichen. Gespeichert werden Inhalt, Empfängerkreis, Zeitpunkt und Zustellstatus.

Zusätzlich siehst du in der App einen Aktivitätsverlauf, in dem Ereignisse zu deinem Konto festgehalten werden, etwa eine bezahlte Bestellung oder eine Punktegutschrift.

Nachrichten und Neuigkeiten erscheinen in der App. Zusätzlich kann dein Studio dir Push-Nachrichten senden, sofern du Mitteilungen in den Systemeinstellungen deines Geräts erlaubt hast; für Belohnungen und Neuigkeiten muss zusätzlich die Einstellung „Angebote per Mitteilung“ in der App aktiviert sein. Dafür wird deinem Konto eine technische Gerätekennung (Push-Token) zugeordnet. Die Zustellung läuft auf dem iPhone über den Apple Push Notification service (Apple Inc.) und auf Android-Geräten über Google Firebase Cloud Messaging (Google Ireland Ltd.); dazu wird der Token an den jeweiligen Dienst übergeben und dort ausschließlich zur Zustellung verarbeitet. Löschst du dein Konto oder die App, entfällt der Token. Werbe-E-Mails und SMS versendet BeMember nicht.

Verantwortlich: dein Studio. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Nachrichten zu deiner Mitgliedschaft, Art. 6 Abs. 1 lit. f DSGVO für allgemeine Informationen deines Studios über sein Angebot.

‍

2.5 Notizen des Studios

‍

Dein Studio kann zu Bestellungen interne Anmerkungen erfassen, etwa zum Ablauf eines Termins.

Angaben zu deiner Gesundheit gehören dort nicht hinein. Studios sind vertraglich verpflichtet, keine Gesundheitsdaten in diese Felder einzutragen. Möchtest du dem Studio etwas mitteilen, das für eine Behandlung wichtig ist — etwa eine Unverträglichkeit —, besprich das bitte direkt vor Ort und nicht über die App.

Verantwortlich: dein Studio. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse des Studios an der ordnungsgemäßen Abwicklung seiner Leistungen.

‍

2.6 Zahlungen

‍

Zahlungen werden über die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland abgewickelt.

Deine Kartendaten erreichen unsere Systeme zu keinem Zeitpunkt. Die Zahlung findet auf einer von Stripe betriebenen Seite statt; Kartennummer, Prüfziffer und Gültigkeitsdatum werden dort eingegeben. In der App ist keine Stripe-Komponente eingebunden.

Von uns gespeichert werden Kennungen zur Zuordnung — Stripe-Kunden-, Abonnement-, Zahlungs- und Rechnungsnummern — sowie die Ereignismeldungen, die Stripe uns zum Zahlungsverlauf übermittelt. Diese Meldungen speichern wir unverändert; sie können auch von Stripe erzeugte Angaben zum Zahlungsmittel enthalten, etwa Kartenmarke und die letzten vier Ziffern. Deine E-Mail-Adresse geben wir an Stripe weiter, damit du deinen Zahlungsbeleg erhältst.

Stripe ist für die Zahlungsabwicklung eigenständig verantwortlich; zusätzlich gilt die Datenschutzerklärung von Stripe unter https://stripe.com/de/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO.

‍

2.7 Berechtigungen

‍

Die App fragt eine einzige Berechtigung ab: die Erlaubnis, dir Mitteilungen zu senden. Du entscheidest beim ersten Hinweis darüber und kannst sie jederzeit in den Einstellungen deines Geräts wieder entziehen. Lehnst du ab, funktioniert die App vollständig weiter — du erhältst dann nur keine Push-Nachrichten deines Studios.

Weitere Berechtigungen fragt die App nicht ab — weder Kamera noch Standort, Fotos, Kontakte oder Mikrofon.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

‍

2.8 Protokolldaten

‍

Beim Zugriff auf unsere Server entstehen bei unserem Hoster Supabase technische Protokolle mit IP-Adresse, Zeitpunkt, aufgerufenem Pfad, Statuscode und Programmkennung des Geräts. Diese Protokolle werden nach einem Tag automatisch gelöscht.

Sämtliche Anfragen an unsere Server laufen zuvor über Cloudflare, das als vorgelagerter Sicherheits- und Auslieferungsdienst deine IP-Adresse und technische Merkmale der Anfrage verarbeitet. Zweck ist die Abwehr von Angriffen und die Stabilität des Dienstes.

Für das Studio-Dashboard erhebt unser Hoster Railway entsprechende Zugriffsprotokolle.

Zusätzlich führen wir in der Datenbank ein Protokoll administrativer Vorgänge — etwa Änderungen an Einstellungen eines Studios. Es enthält weder IP-Adressen noch Inhalte von Anfragen.

Zweck: Betriebssicherheit, Fehlersuche, Nachvollziehbarkeit von Änderungen, Abwehr von Missbrauch. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

‍

2.9 Was nicht stattfindet

‍

Damit du es nicht zwischen den Zeilen suchen musst:

Kein Tracking und keine Analyse. In der App ist kein Analyse-, Werbe- oder Attributionsbaustein eingebunden.
Keine Werbe-Kennung. Die App verwendet keine IDFA und zeigt die Abfrage zur App-übergreifenden Nachverfolgung nicht an.
Keine Absturzberichte an Dritte.
Keine Werbe-E-Mails und keine SMS. Push-Nachrichten kommen ausschließlich von deinem Studio und nur, wenn du Mitteilungen erlaubt hast.
Kein Standortzugriff.
Keine Weitergabe oder Verkauf von Daten zu Werbezwecken.
Kein Profiling und keine automatisierte Entscheidungsfindung nach Art. 22 DSGVO.

‍

3. Empfänger

‍

Supabase Pte. Ltd., Singapur — Datenbank, Anmeldung, Dateispeicher, Serverfunktionen. Ort der Verarbeitung: Frankfurt am Main, Deutschland (eu-central-1)
Railway Corporation, 548 Market St PMB 68956, San Francisco, CA 94104, USA — Bereitstellung des Studio-Dashboards. Ort der Verarbeitung: EU (Amsterdam, Niederlande)
Cloudflare, Inc. — Unterauftragsverarbeiter von Supabase; vorgelagerter Netzwerk- und Sicherheitsdienst, verarbeitet IP-Adresse und technische Merkmale der Anfrage. Ort der Verarbeitung: EU-Rechenzentren mit Weitergabe an Cloudflare, Inc. (USA)
Stripe Payments Europe, Ltd. — Zahlungsabwicklung. Ort der Verarbeitung: Irland, mit Weitergabe an Stripe, Inc. (USA)
Sendinblue SAS (Brevo), 9–17 rue Salneuve, 75017 Paris, Frankreich — Versand der Anmelde- und Bestätigungs-E-Mails. Ort der Verarbeitung: EU
Apple Inc. — Auslieferung der App, Sign in with Apple sowie Zustellung von Push-Nachrichten auf iPhones über den Apple Push Notification service. Ort der Verarbeitung: USA / EU
Google Ireland Ltd. — Sign in with Google, sofern du diese Anmeldung nutzt, sowie Zustellung von Push-Nachrichten auf Android-Geräten über Firebase Cloud Messaging. Ort der Verarbeitung: Irland / USA

Mit Supabase, Railway, Sendinblue SAS (Brevo) und Google Ireland Ltd. bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Cloudflare ist kein eigener Vertragspartner von uns, sondern Unterauftragsverarbeiter von Supabase. Für Google Firebase Cloud Messaging gelten ergänzend die Auftragsverarbeitungsbedingungen von Google.

Datenbank, Anmeldung, Dateispeicher und Serverfunktionen liegen in der Region Frankfurt am Main — dort liegen auch die Daten deines Kundenkontos. Einzelne Daten verarbeiten zusätzlich Stripe für Zahlungen und Brevo für den E-Mail-Versand. Über Railway werden ausschließlich die Dateien des Studio-Dashboards ausgeliefert (EU, Amsterdam); deine Daten gehen aus dem Browser direkt an Supabase in Frankfurt.

Übermittlung in Drittländer: Soweit Daten außerhalb der EU und des EWR verarbeitet werden oder dorthin gelangen können — bei Supabase als Unternehmen mit Sitz in Singapur, auch wenn die Server in Frankfurt stehen, bei Railway als US-Unternehmen, auch wenn die Server in Amsterdam stehen, bei Stripe konzernintern in die USA, bei Cloudflare im Rahmen des Netzwerkbetriebs sowie bei Apple und Google im Rahmen der Anmeldeverfahren und der Zustellung von Push-Nachrichten — stützt sich dies auf die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, bei den US-Anbietern zusätzlich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework nach Art. 45 DSGVO. Für Railway ist die DP-Dock GmbH, Hamburg, als Vertreter in der EU benannt.

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

‍

4. Wie lange gespeichert wird

‍

Nutzerkonto und Stammdaten — bis zur Löschung durch dich
Bestellungen, Rechnungen, Zahlungsvorgänge — 10 Jahre ab Ende des Kalenderjahres (§ 147 AO, § 257 HGB)
Nachrichten des Studios — vom Studio festgelegt, standardmäßig 30 Monate
Treuepunkte-Konto — für die Dauer der Kundenbeziehung
Push-Token des Geräts — bis zur Kontolöschung; nach einer Deinstallation spätestens 90 Tage, nachdem der Token als ungültig gemeldet wurde
Protokolldaten von Supabase — 1 Tag
Zugriffsprotokolle von Railway (Studio-Dashboard) — je nach Tarif 3 bis über 30 Tage
Protokoll administrativer Vorgänge — für die Dauer der Geschäftsbeziehung des Studios

Steuerlich relevante Unterlagen werden für die Dauer der gesetzlichen Aufbewahrungsfrist gesperrt und nicht mehr für andere Zwecke verwendet.

‍

5. Wenn du dein Konto löschst

‍

Du kannst dein Konto jederzeit selbst in der App löschen: auf der Startseite unter „Profileinstellungen“ → „Account löschen“. Du musst dich dafür an niemanden wenden.

Dabei geschieht Folgendes:

Dein Zugang wird vollständig gelöscht — Anmeldedaten, Passwort-Hash und alle Sitzungen.
Deine Stammdaten werden gelöscht: Name, E-Mail, Telefonnummer, Geburtsdatum und Notizen werden entfernt, dein Eintrag wird als „Gelöschtes Konto" geführt.
Du wirst aus allen Empfängerlisten entfernt; künftige Nachrichten und Aktionen erreichen dich nicht mehr.
Erhalten bleiben in anonymisierter Form Bestellungen, Zahlungsvorgänge und der Verlauf deines Punktekontos. Noch nicht eingelöste Punkte verfallen mit der Löschung. Diese Unterlagen unterliegen steuerlichen Aufbewahrungspflichten; nach der Löschung lassen sie sich anhand unserer Daten keiner Person mehr zuordnen.

Hast du Mitgliedschaften bei mehreren Studios, betrifft die Löschung alle.

Wichtig: Solange eine Mitgliedschaft läuft, lässt sich das Konto nicht löschen. Kündige sie zuerst in der App — sie endet dann zum Ende des bezahlten Monats oder, falls dein Studio eine Mindestlaufzeit festgelegt hat, zu deren Ende. Danach kannst du dein Konto löschen.

‍

6. Deine Rechte

‍

Dir stehen zu:

Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit in einem gängigen Format (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen (Art. 21 DSGVO)
Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Schreib dafür an info@bemember.app. Wir antworten innerhalb eines Monats. Betrifft deine Anfrage dein Studio, leiten wir sie unverzüglich weiter und informieren dich darüber.

Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, für Clientex insbesondere beim

Bayerischen Landesamt für Datenschutzaufsicht (BayLDA) Promenade 18, 91522 Ansbach

Für dein Studio ist die Aufsichtsbehörde an dessen Sitz zuständig.

‍

7. Sicherheit

‍

Die Übertragung erfolgt ausschließlich verschlüsselt über TLS 1.2 oder höher. Unverschlüsselte Verbindungen sind in der App technisch ausgeschlossen.
Datenbank und Dateispeicher sind im Ruhezustand verschlüsselt (AES-256).
Passwörter werden mit bcrypt gehasht und sind für uns nicht lesbar.
Auf Datenbankebene ist für jede Tabelle eine mandantenbezogene Zugriffskontrolle aktiv. Sie stellt sicher, dass ein Studio ausschließlich auf seine eigenen Daten zugreifen kann.
Der Zugriff auf die Produktivdatenbank ist auf die technisch notwendigen Personen beschränkt.

8. Ob du Daten bereitstellen musst

‍

Gesetzlich verpflichtet bist du dazu nicht. Ohne Konto und ohne die zur Abwicklung erforderlichen Angaben lässt sich die App und das Angebot deines Studios allerdings nicht nutzen. Ein Zugang ohne Registrierung besteht nicht.

‍

9. Änderungen

‍

Wir passen diese Erklärung an, wenn sich Funktionen der App oder die Rechtslage ändern.

‍