Datenschutzerklärung von Corenta

Diese Übersetzung dient nur zur Information; rechtlich verbindlich ist der türkische Text.

Version: 3.4 Gültig ab / letzte Aktualisierung: 20. Oktober 2026 Herausgeber: Mertcan Demir — Einzelunternehmen unter dem Handelsnamen "Teta Studio" ("Teta Studio", "wir") Sprache: Türkisch

Änderungsprotokoll

• 3.4 — 20. Oktober 2026: Die Zeile zu Fehlerprotokollen in §3 beschreibt jetzt, was die App tatsächlich erfasst: Langsamkeitswerte in der mobilen App, die einem Fehler beigefügte Bildschirm- und Aktionsspur (ohne Gesundheitsbildschirme), Verbindungsart und IP-Adressen in Serverprotokollen. Es wurde keine neue Verarbeitungstätigkeit ergänzt.
• 3.3 — 19. Oktober 2026: Der weltweite Geltungsbereich wurde aufgenommen: Corenta wird über die App-Stores in mehreren Ländern angeboten (§2); ergänzt wurden ein Abschnitt zur DSGVO für Nutzer:innen in der EU/im EWR (§5) und länderspezifische zwingende Rechte (§8). Rollen und Verarbeitungstätigkeiten sind unverändert.
• 3.2 — 19. Oktober 2026: Veröffentlichungsfassung; gültig ab 19. Oktober 2026. Die leeren Zeilen zu MERSİS und KEP wurden aus dem Abschnitt zur Identität entfernt.
• 3.1 — 18. Oktober 2026: Die am 18. Oktober 2026 hinzugekommenen Funktionen wurden aufgenommen: Praxisgruppen, Sticker und Guthaben, Challenges, Abzeichen und Treuekarte, Studioliga, mitnehmbare Profilkarte der Fachkraft, Studioeinladung, Gründerstudio, Corenta Lab, Entdecken v2 (Video, Probestunde, gesponserter Platz), Markierung wiederholter Testzeiträume, Gerätebindung, teilweise Erstattung über den Store. Neu ist §5-A (Community-Funktionen und Gesundheitsdaten). §6 wurde in eine Liste von Cookies und SDKs umgewandelt. §10 enthält Regeln für Gruppen und Challenges bei Minderjährigen. Der Satz zum Datenschutzversprechen wurde mit dem Text verknüpft. Abgeschaltete Funktionen sind in diesem Text nicht beschrieben.
• 3.0 — 11. Oktober 2026: Der Text wurde auf Grundlage der Compliance-Prüfung vom 11. Oktober 2026 (Feststellungen F05, F06, F07, F09, F11, F12, F17, F22, F23) neu geschrieben. Formulierungen, die wie interne Prüfnotizen klangen, etwa "UNKNOWN", "ist zu prüfen" und "dieser Text gibt keine Erklärung ab", wurden entfernt und durch im Code geprüfte Tatsachen ersetzt. Die zwei Rollen von Teta Studio (Auftragsverarbeiter bei den Praxisdaten, Verantwortlicher bei den eigenen Tätigkeiten) wurden getrennt. Die Angaben zur Identität wurden auf Einzelunternehmen korrigiert (die Begriffe "juristische Person/Gesellschaft" wurden entfernt). Die Übermittlung ins Ausland wurde nach Art. 9 des Gesetzes Nr. 6698 in der Fassung ab 2024 formuliert. Exportlink, Löschung von Anhängen, E-Mail-Versand und Sicherheitsmaßnahmen wurden mit den übrigen Rechtstexten einheitlich formuliert. Der Ausdruck "Messung ohne Identität" wurde zu "pseudonymisierte Messung" korrigiert. Der Satz "Corenta sendet keine Marketing-E-Mails" wurde durch die Regel für Werbenachrichten ersetzt, die eine gesonderte Einwilligung und die Eintragung im İYS voraussetzt.
• 2.2 — 10. Oktober 2026: Expo (Expo Push Notification Service) wurde aus der Liste der Unterauftragsverarbeiter entfernt.
• 2.1 — 4. Oktober 2026: Die Firmierung wurde aktualisiert.
• 2.0 — 4. Oktober 2026: Der Arbeitstext vom 2. Oktober 2026 wurde als Version festgeschrieben.
• 1.0 — 7. Juli 2026: frühere veröffentlichte Fassung.

1. Wer wir sind und unsere zwei Rollen

Corenta bietet Web- und Mobile-Software, mit der Betriebe für klinisches Pilates, Physiotherapie, Reformer, Wellness/Massage und Yoga Termine, Pakete, Klient:innen, Anamnese, Einheiten und Vergütung verwalten. Corenta wird von Mertcan Demir als Einzelunternehmen unter dem Handelsnamen "Teta Studio" betrieben. Das Einzelunternehmen hat keine eigene Rechtspersönlichkeit.

Bei Corenta werden personenbezogene Daten in zwei verschiedenen Rollen verarbeitet:

Über die Daten der Praxis informiert die Praxis mit ihrem eigenen Datenschutzhinweis; der Hinweis für Klient:innen in der App wird zu diesem Zweck im Namen der Praxis angezeigt. Einzelheiten zu den Tätigkeiten, für die Teta Studio Verantwortlicher ist, stehen im KVKK-Datenschutzhinweis — KVKK (Türkiye Kişisel Verilerin Korunması Kanunu) — in Teil C — Datenschutzhinweis zu Corenta-Konto und Plattform.

2. Identität und Kontakt

• Verantwortlicher (für die eigenen Tätigkeiten von Teta Studio): Mertcan Demir — Einzelunternehmen unter dem Handelsnamen "Teta Studio"
• Steuernummer: 2771408706
• Anschrift: Kavaklıdere Mahallesi, Esad Caddesi No:12/1, Çankaya/Ankara 06680
• Allgemeiner Kontakt und Anträge nach dem KVKK: hello@corenta.app
• Support: support@corenta.app
• Geltungsbereich des Dienstes: Corenta wird weltweit über den App Store und Google Play angeboten, in den Ländern, in denen diese Stores verfügbar sind. Diese Erklärung gilt für Nutzer:innen in jedem Land; zwingende Datenschutzvorschriften deines Landes bleiben unberührt.

Bist du Klient:in und betrifft dein Anliegen Daten, die deine Praxis führt, wende dich zuerst an deine Praxis (siehe §8).

3. Welche Daten wir erheben

Corenta verarbeitet keine Kartennummern und keine Kartenprüfnummern (CVV). Abozahlungen werden über den Apple App Store und Google Play eingezogen.

4. Zwecke und Rechtsgrundlagen

Der Datenschutzhinweis ist keine Einwilligung. Die App zeigt den Hinweis in einem eigenen Schritt und speichert die Bestätigung "Gelesen und verstanden". Die Einwilligung in die Verarbeitung von Gesundheitsdaten und die Einwilligung in Werbenachrichten sind getrennt und freiwillig. Gibst du keine Einwilligung für Gesundheitsdaten, kannst du dein Konto und die grundlegenden Terminfunktionen weiter nutzen; nur die Gesundheitsfunktionen stehen dann nicht zur Verfügung.

5. Empfänger und Übermittlung ins Ausland

Deine Daten werden nicht verkauft und nicht für Werbung weitergegeben; sie werden bei der Übertragung mit TLS verschlüsselt und nur von den unten genannten Infrastrukturanbietern verarbeitet, die den Dienst bereitstellen (Einzelheiten: Liste der Unterauftragsverarbeiter). Gespeicherte Daten (Datenbank und Dateiablage) liegen verschlüsselt in der Infrastruktur des Hosting-Anbieters (Supabase). Informationen, die anderen Nutzer:innen in Gruppen, in der Liga, im Lab und in Entdecken angezeigt werden, sind weder ein Verkauf noch eine Weitergabe zu Werbezwecken; sie erscheinen als Teil der Funktion, die du oder dein Studio nutzt, in den in §5-A beschriebenen Grenzen.

An zuständige Behörden und öffentliche Stellen werden Daten nur in den gesetzlich vorgesehenen Fällen und im Umfang des Ersuchens übermittelt.

Nachrichten und Gruppennachrichten werden über den Echtzeitdienst von Supabase (Realtime) verarbeitet, Studiovideos in der Dateiablage von Supabase; dafür wurde kein neuer Anbieter hinzugefügt. Für den gesponserten Platz (Boost) werden weder Werbenetzwerke noch Werbe-SDKs genutzt; gesponserte Studios erscheinen in der eigenen Liste von Corenta mit dem Hinweis "Gesponsert", und es werden keine Nutzerdaten an Werbetreibende übermittelt.

Übermittlung ins Ausland: Alle oben genannten Anbieter verarbeiten Daten außerhalb der Türkei. Auch das Hosting in Deutschland ist eine Übermittlung ins Ausland im Sinne des Gesetzes Nr. 6698. Da diese Übermittlungen regelmäßig und dauerhaft erfolgen, stützen sie sich nicht auf eine ausdrückliche Einwilligung, sondern werden auf eine der Verarbeitungsbedingungen der Art. 5 und 6 des Gesetzes und nach Art. 9/4-c auf die vom Kişisel Verileri Koruma Kurulu (Kurul) veröffentlichten Standardverträge gestützt. Zum Datum dieses Texts sind die Standardverträge mit den Anbietern noch nicht unterzeichnet und dem Kurul noch nicht gemeldet. Jeder Vertrag wird dem Kurul innerhalb von 5 Arbeitstagen nach Unterzeichnung gemeldet, und dieser Abschnitt wird mit einer Liste der Anbieter und Daten aktualisiert. Einen Angemessenheitsbeschluss des Kurul zu diesen Ländern gibt es nicht (letzte Prüfung: 11. Oktober 2026).

Nutzer:innen in der EU/im EWR (DSGVO): Da Corenta über den App Store und Google Play auch Personen in der Europäischen Union und im Europäischen Wirtschaftsraum angeboten wird, gilt für die Verarbeitung ihrer Daten nach Art. 3 Abs. 2 lit. a die DSGVO (EU 2016/679). Die Rollen bleiben gleich: Bei den Praxisdaten ist Teta Studio Auftragsverarbeiter, bei den eigenen Tätigkeiten Verantwortlicher. Rechtsgrundlagen sind die Vertragserfüllung (Art. 6 Abs. 1 lit. b), das berechtigte Interesse (Art. 6 Abs. 1 lit. f), die rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) und die gesonderte Einwilligung (Art. 6 Abs. 1 lit. a); Gesundheitsdaten stützen sich auf Art. 9 Abs. 2 lit. a oder lit. h. Datenbank und Dateien werden in der EU (Frankfurt) gehostet. Übermittlungen an Anbieter außerhalb der EU/des EWR (Vercel, Google, Apple) stützen sich auf Übermittlungsmechanismen nach Art. 45–46 DSGVO, etwa die EU-Standardvertragsklauseln oder das EU-US Data Privacy Framework der Anbieter. Einzelheiten und Rechte: DSGVO-Erklärung.

5-A. Community- und Wachstumsfunktionen — Gesundheitsdaten und Sichtbarkeit

Gesundheitsdaten sind besondere Kategorien personenbezogener Daten. Die folgenden Funktionen zeigen oder teilen keine Gesundheitsdaten (Anamnese, Einheitsnotizen, Messwerte):

• Praxisgruppen: Nur bestätigte Gruppenmitglieder und das Team der Praxis sehen die Nachrichten. Dein Name erscheint in der Form "Anna K."; Telefonnummer und E-Mail werden nicht angezeigt. Für den Beitritt gibst du eine ausdrückliche Zustimmung, und du kannst jederzeit austreten. Nachrichten sind freier Text: Wir bitten dich, in der Gruppe keine Gesundheitsinformationen (Schmerzen, Diagnose, Medikamente, Behandlung) zu teilen; geteilte Gesundheitsinformationen können gemeldet und vom Team ausgeblendet werden. Das Team kann regelwidrige Nachrichten ausblenden oder löschen, Mitglieder stummschalten oder aus der Gruppe entfernen; eine Nachricht, die drei verschiedene Mitglieder melden, wird automatisch ausgeblendet. Direktnachrichten zwischen Klient:innen gibt es nicht.
• Studiointerne Challenges: Die Teilnahme ist freiwillig. In der Tabelle stehen nur dein Vorname, der Anfangsbuchstabe deines Nachnamens und die Zahl der besuchten Einheiten; Schmerzen, Messwerte oder Gewicht werden nicht verwendet.
• Studioliga: Studios erscheinen nur mit Alias oder Code; der echte Name des Studios, Stadt und Größe sowie die Namen von Klient:innen und Fachkräften werden nicht angezeigt. Die Punkte ergeben sich nur aus den XP der Wochenaufgaben.
• Profilkarte der Fachkraft: Sie enthält nur die Gesamtzahl der Einheiten, die verifizierte Bewertung ab 5 Bewertungen und die Abzeichen; keine Klientendaten und keine Gesundheitsdaten. Nur die Fachkraft sieht und teilt die Karte.
• Abzeichen der Klient:innen und Treuekarte: Abzeichen sind nicht öffentlich. Bei der Berechnung eines Abzeichens wird der Inhalt von Gesundheitsdaten nicht gelesen; manche Abzeichen prüfen nur, ob ein Eintrag existiert oder wie viele es gibt (z. B. ob der Anamnesebogen abgeschickt wurde).
• Entdecken v2: Studiovideos werden nach einer Prüfung durch Corenta öffentlich gezeigt; die Einwilligung der Personen im Video einzuholen, liegt in der Verantwortung des Studios. Der gesponserte Platz trägt immer den Hinweis "Gesponsert" und wird getrennt von der organischen Reihenfolge angezeigt; Studios der Kategorie Physiotherapie werden nicht gesponsert angezeigt. Bist du bei einem Studio angemeldet, zeigt dir Entdecken keine konkurrierenden Studios. Gesucht wird über die gewählte Region/Gemeinde oder den gewählten Kartenausschnitt; der Standort deines Geräts wird nicht erfasst.
• Corenta Lab und Gründerstudios: Vorschläge und Kommentare im Lab sind für die anderen teilnehmenden Studios sichtbar; der Studioname erscheint nur, wenn du das wählst. In der Liste der Gründerstudios erscheint der Studioname nur mit Erlaubnis des Studios.

Wenn du dein Konto löschst, wird deine Gruppenmitgliedschaft gelöscht; der Text deiner bereits gesendeten Gruppennachrichten bleibt ohne Angabe des Absenders in der Gruppe. Deine eigenen Nachrichten kannst du jederzeit löschen.

6. Cookies, SDKs und ähnliche Technologien

• Web-Verwaltungspanel: Es werden technisch notwendige Sitzungscookies verwendet, damit du angemeldet bleibst. Ohne diese Cookies ist keine Anmeldung möglich.
• Website (corenta.app): Der Code der Website in diesem Repository speichert deine Sprach- und Darstellungseinstellung nur im lokalen Speicher deines Browsers (localStorage).
• Mobile App: Sitzungstoken liegen im sicheren Schlüsselspeicher des Geräts (sicherer Speicher auf Basis von iOS Keychain / Android Keystore).
• Es werden keine Cookies oder Skripte Dritter für Analyse, Werbung oder Tracking verwendet. Ändert sich das, wird dieser Text vor dem Einsatz von Cookies aktualisiert und die erforderliche Einwilligung gesondert eingeholt.

SDKs und Systemdienste in der mobilen App (Stand 18. Oktober 2026, apps/mobile/package.json):

Die mobile App enthält keine Werbe-, Werbe-ID- (IDFA/AAID), Analyse- oder Tracking-SDKs; die iOS-Tracking-Erlaubnis wird nicht abgefragt. Der Anbindungscode für Sentry (EU-Region) zur Fehlerüberwachung ist vorbereitet, aber abgeschaltet: Da keine Verbindungsadresse hinterlegt ist, werden keine Daten gesendet. Vor dem Einschalten werden dieser Text und die Liste der Unterauftragsverarbeiter aktualisiert.

7. Speicherfristen und Kontolöschung

Die wichtigsten Speicherregeln (vollständige Tabelle: Richtlinie zur Aufbewahrung und Löschung von Daten):

Kontolöschung: Du kannst dein Konto in der App löschen. Seite für einen Löschantrag über das Web: corenta.app/account-deletion. Sobald die Löschung bestätigt ist, endet der Zugang zu deinem Konto sofort. Name, E-Mail, Telefonnummer, Profilbild, Identitäts- und Kontaktdaten der Klient:innen sowie die Gesundheitsfelder (Blutgruppe, Allergien, chronische Erkrankungen, Medikamente) werden gelöscht. Dein Authentifizierungseintrag und deine Dateien (Profilbild, Anhänge der Anamnese, Exportdateien und Zahlungsbelege) werden in einem dreißigtägigen Hintergrundprozess endgültig gelöscht. Nachweise zur Verifizierung von Fachkräften fallen nicht unter diese automatische Löschung; für diese Unterlagen kannst du einen Antrag an hello@corenta.app richten.

Datensätze, die die Praxis aufbewahren muss (Einheitsnotizen, Anamnesebögen, Messwerte, Zahlungs- und Vergütungsunterlagen), werden bei der Löschung ohne Personenbezug aufbewahrt. Der freie Text der Einheitsnotizen wird bei der Löschung nicht verändert; deshalb gelten diese Datensätze in keinem Fall als anonym. Sie werden mit eingeschränktem Zugriff für die Dauer der Pflicht der Praxis aufbewahrt und danach vernichtet. Technische Reste in Sicherungen werden am Ende des Sicherungszyklus gelöscht.

8. Deine Rechte und wie du sie geltend machst

Nach Art. 11 des Gesetzes Nr. 6698 hast du das Recht zu erfahren, ob deine personenbezogenen Daten verarbeitet werden, Auskunft zu verlangen, den Zweck der Verarbeitung zu erfahren, zu wissen, an welche Dritten sie übermittelt wurden, Berichtigung und Löschung zu verlangen, die Mitteilung dieser Maßnahmen an Dritte zu verlangen, dem Ergebnis einer automatisierten Auswertung zu widersprechen und Ersatz eines Schadens zu verlangen.

• Daten der Praxis (Termine, Anamnese, Einheitsnotizen usw.): Richte deinen Antrag an deine Praxis. Solche Anträge, die bei Corenta eingehen, werden an die Praxis weitergeleitet.
• Daten, für die Corenta Verantwortlicher ist: Schreib an hello@corenta.app.
• Anträge werden innerhalb von höchstens 30 Tagen kostenlos beantwortet.
• Gewährt dir das Recht deines Landes weitere Rechte (z. B. in der EU/im EWR Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nach Art. 15–22 DSGVO), kannst du sie über dieselben Adressen geltend machen. Dein Recht auf Beschwerde bei der Datenschutzaufsichtsbehörde deines Landes bleibt unberührt.
• Der Bildschirm "Meine Daten herunterladen" in der App stellt deine Daten als JSON bereit und, wenn die Datei erstellt werden kann, zusätzlich als ZIP über einen persönlichen Link, der 7 Tage gültig ist. Über den Bildschirm "Mein Konto löschen" übst du das Recht auf Löschung direkt aus.

9. Sicherheit

Durch Code und Konfiguration belegte Maßnahmen:

• Die Daten jeder Praxis sind durch Sicherheitsrichtlinien auf Zeilenebene (RLS) getrennt; die Standardregel verweigert den Zugriff.
• Gesundheitsdaten sehen die Klientin selbst, die zugeteilte Fachkraft und die berechtigte Leitung der Praxis. Einheitsnotizen, die die Fachkraft mit dem Team teilt, können auch die anderen Fachkräfte der Praxis sehen. Zugriff des Personals ist nur bei eingeschaltetem Gesundheitsmodul möglich.
• Abgeschickte Einheitsnotizen können weder geändert noch gelöscht werden.
• Der Supportmodus dauert höchstens 30 Minuten und ist standardmäßig nur lesend; der Zugriff auf Gesundheitsdaten braucht eine gesonderte Zustimmung; in Gesundheitsdaten kann nicht geschrieben werden. Das Supportpersonal sieht E-Mail und Telefonnummer der Klient:innen nicht.
• Daten werden bei der Übertragung mit TLS verschlüsselt.
• Auf mobilen Bildschirmen mit Gesundheitsdaten sind Screenshots und Bildschirmaufnahmen gesperrt.
• Administrationskonten der Plattform erfordern eine Zwei-Faktor-Authentifizierung (MFA).

Kein System kann absolute Sicherheit garantieren. Bei einer Datenpanne informiert Teta Studio die Praxis über Praxisdaten, für die Teta Studio Auftragsverarbeiter ist, unverzüglich und spätestens innerhalb von 24 Stunden; Datenpannen bei Daten, für die Teta Studio Verantwortlicher ist, meldet Teta Studio dem Kurul innerhalb von 72 Stunden.

10. Kinder und Jugendliche

Ein Corenta-Konto ist für Personen ab 18 Jahren. Die Erfassung minderjähriger Klient:innen und der Ablauf von Information und Einwilligung liegen in der Verantwortung der Praxis und müssen über die Eltern oder den Vormund laufen. Einen eigenen Ablauf für Eltern minderjähriger Klient:innen gibt es in der App noch nicht.

Zusätzliche Regel für Community-Funktionen (18. Oktober 2026): Klient:innen mit hinterlegtem Geburtsdatum, die jünger als 18 Jahre sind, können nicht an Challenges oder Community-Gruppen teilnehmen; sie können nur zu Kursgruppen hinzugefügt werden, zu denen das Team der Praxis sie einlädt. Ist kein Geburtsdatum hinterlegt, wird für die Teilnahme an einer Challenge die Erklärung "Ich bin über 18" verlangt; in Gruppen gelten Klient:innen ohne hinterlegtes Geburtsdatum als volljährig.

11. Widerruf von Einwilligungen und Werbenachrichten

• Einwilligung für Gesundheitsdaten: Du kannst sie jederzeit unter Profil → Bildschirm KVKK/Daten widerrufen; nach dem Widerruf werden keine neuen Gesundheitsdaten gespeichert.
• Kampagnenmitteilungen der Praxis: Du kannst sie unter Profil → Mitteilungseinstellungen ausschalten. Transaktionale Mitteilungen wie Terminbestätigung, Absage und Erinnerung an eine Einheit hängen nicht von dieser Einwilligung ab.
• Werbe-E-Mails: Corenta sendet Werbe-E-Mails nur, wenn du gesondert eingewilligt hast und deine Einwilligung im İYS (İleti Yönetim Sistemi) eingetragen ist. Du kannst sie über den Abmeldelink in jeder Werbenachricht oder über hello@corenta.app kostenlos ablehnen. E-Mails zum Testzeitraum, zu Teameinladungen und vom Support sind Servicenachrichten.
• Berechtigungen des Betriebssystems (Mitteilungen, Fotos; Face ID/Fingerabdruck, wenn die App-Sperre aktiv ist): Sie lassen sich in den Geräteeinstellungen ausschalten. Die App fragt keine Berechtigung für Kamera, Mikrofon, Standort, Kontakte oder Kalender an.

Pseudonymisierte Produktmessung: Zur Verbesserung des Produkts können zusammengefasste Nutzungsereignisse nur serverseitig und mit einer pseudonymen Praxiskennung gemessen werden. Diese Messung enthält keine IP-Adresse, keine Gesundheitsdaten und kein Herkunfts- oder Werbe-Tracking. Die pseudonyme Praxiskennung ist ein Pseudonym; in einem Ein-Personen-Betrieb kann sie dieser Person zugeordnet werden. Diese Funktion ist derzeit abgeschaltet; vor dem Einschalten wird dieser Text aktualisiert.

12. Änderungen

Bei jeder Änderung wird diese Erklärung mit Versionsnummer, Datum und Änderungsprotokoll veröffentlicht. Bei wesentlichen Änderungen gibt es einen Hinweis in der App.

Version 3.4 · 20. Oktober 2026