Datenschutz-Whitepaper

1. Zweck dieses Dokuments

Dieses Whitepaper beschreibt, wie IK Pilates in der Ukraine, betrieben von der Einzelunternehmerin Iryna Oleksandrivna Karnaukh, das Gesetz der Ukraine „Über den Schutz personenbezogener Daten“ Nr. 2297-VI und die damit verbundenen Anforderungen des ukrainischen Rechts auf der IK-Pilates-Plattform und im Studiobetrieb umsetzt.

Es wird im Interesse der Transparenz veröffentlicht. Unsere Datenschutzerklärung sagt Ihnen, was wir mit Ihren Daten tun und welche Rechte Sie haben; dieses Dokument erläutert, wie wir diese Verarbeitung steuern, absichern und nachweisen. Es richtet sich an Kundinnen und Kunden, die Details wünschen, an Partner, die eine Due-Diligence-Prüfung durchführen, und an unsere eigenen Mitarbeitenden.

Setzen dieses Dokument und die Datenschutzerklärung unterschiedliche Schwerpunkte, ist für die Beschreibung der Verarbeitung gegenüber betroffenen Personen die Datenschutzerklärung maßgeblich.

2. Verhältnis zur Datenschutz-Grundverordnung

Unser bulgarisches Studio wird von einer gesonderten juristischen Person, der IK Pilates Studio EOOD, betrieben, die eigenständige Verantwortliche nach der Verordnung (EU) 2016/679 ist. Die beiden Betriebe sind keine gemeinsam Verantwortlichen: Jeder bestimmt Zwecke und Mittel seiner eigenen Verarbeitung, führt seine eigenen Verzeichnisse und beantwortet seine eigenen Anträge.

Wenn Sie sich im Europäischen Wirtschaftsraum aufhalten, gelten für Sie die bulgarischen Dokumente und der Standard der Verordnung.

Für unseren ukrainischen Betrieb gilt ukrainisches Recht. In der Praxis haben wir uns jedoch entschieden, die Plattform in beiden Ländern nach einem einheitlichen technischen Standard zu bauen. Die nachstehend beschriebenen Verschlüsselungs-, Einwilligungs-, Aufbewahrungs-, Sitzungs- und Löschmechanismen sind in der Ukraine und in Bulgarien identisch. Ukrainische Kundinnen und Kunden profitieren daher von diesen Maßnahmen, unabhängig davon, ob das Gesetz sie verlangt.

Die Ukraine ist Vertragspartei des Übereinkommens 108 des Europarats. Der Gesetzentwurf Nr. 8153 „Über den Schutz personenbezogener Daten“, der das ukrainische Recht an die Verordnung angleichen, Datenschutzbeauftragte, Meldepflichten bei Verletzungen und einen Rahmen für grenzüberschreitende Übermittlungen einführen und eine unabhängige Aufsichtsbehörde schaffen würde, wurde am 20. November 2024 von der Werchowna Rada in erster Lesung angenommen und wird für die zweite Lesung vorbereitet. Wir verfolgen seinen Fortgang und erwarten, dass die in diesem Dokument beschriebenen Maßnahmen seine Anforderungen bei Verabschiedung im Wesentlichen erfüllen.

3. Eigentümerin der Datei personenbezogener Daten und verantwortliche Person

Eigentümerin der Datei personenbezogener Daten: Einzelunternehmerin Iryna Oleksandrivna Karnaukh Steuernummer: 3029410706 Anschrift: prov. Otakara Yarosha 12a, Charkiw, 61045, Ukraine Kontakt in Datenschutzangelegenheiten: privacy@ikpilates.com

Artikel 24 des Gesetzes verpflichtet die Eigentümerin einer Datei personenbezogener Daten, die besondere Kategorien personenbezogener Daten verarbeitet, eine Person zu benennen, die für die Organisation der Arbeiten zum Schutz personenbezogener Daten verantwortlich ist, und den Menschenrechtsbeauftragten des Parlaments der Ukraine über diese Benennung zu informieren. Da wir gesundheitsbezogene Daten verarbeiten, gilt diese Anforderung für uns.

Die verantwortliche Person wird durch interne Anordnung benannt und ist verantwortlich für die Führung der Liste der Verarbeitungsvorgänge, die Bearbeitung von Anträgen betroffener Personen, die Unterweisung der Mitarbeitenden, die Führung des nach Artikel 14 erforderlichen Verzeichnisses der Weitergaben und die Koordinierung der Reaktion auf Sicherheitsvorfälle. Die Benennung ist in unseren internen Unterlagen festgehalten und wird dem Menschenrechtsbeauftragten des Parlaments der Ukraine auf Anfrage mitgeteilt.

4. Grundsätze in der Praxis

Rechtmäßigkeit und bestimmter Zweck. Jeder Verarbeitungsvorgang wird vor seiner Einführung einem Grund nach Artikel 11 des Gesetzes zugeordnet, und sein Zweck wird in der Datenschutzerklärung in klarer Sprache und in sechs Sprachen angegeben.

Zweckbindung. Zur Durchführung von Einheiten erhobene Daten werden nicht für Marketing oder Analysen umgewidmet. Gesundheitsbezogene Daten werden ausschließlich für einen sicheren Unterricht und für Funktionen verwendet, die die Kundin oder der Kunde ausdrücklich aktiviert hat.

Datenminimierung. Das Onboarding wurde so zusammengefasst, dass Kundinnen und Kunden eine einzige medizinische Checkliste statt mehrerer medizinischer Bildschirme beantworten; betrieblich nicht genutzte Felder wurden entfernt. IP-Adressen werden nur als verschlüsselte Hashwerte und nicht im Klartext gespeichert.

Richtigkeit. Kundinnen und Kunden können ihr Profil, ihre Einstellungen und ihre Kontaktdaten jederzeit einsehen und berichtigen. Vorausgefüllte Onboarding-Daten werden zur erneuten Bestätigung vorgelegt und nicht stillschweigend wiederverwendet.

Speicherbegrenzung. Automatisierte Aufbewahrungsjobs laufen nach Zeitplan und löschen Datensätze, deren Speicherfrist abgelaufen ist, wie in Abschnitt 8 beschrieben.

Sicherheit. Die technischen und organisatorischen Maßnahmen in Abschnitt 9 setzen Artikel 24 des Gesetzes um.

Transparenz und Rechenschaftspflicht. Dieses Dokument, die Liste der Verarbeitungsvorgänge, das Dienstleisterregister, der Aufbewahrungsplan und das Vorfallprotokoll bilden zusammen unsere Rechenschaftsdokumentation.

5. Verarbeitungsvorgänge

Wir führen eine interne Liste der Verarbeitungsvorgänge. Die wichtigsten Vorgänge sind nachstehend mit dem nach Artikel 11 des Gesetzes herangezogenen Grund zusammengefasst.

Verwaltung der Kundenkonten - Identitäts-, Kontakt- und Authentifizierungsdaten - Erfüllung eines Rechtsgeschäfts Buchung und Teilnahme - Buchungs-, Teilnahme- und Wartelistendaten - Erfüllung eines Rechtsgeschäfts Gesundheitsabfrage für ein sicheres Training - gesundheitsbezogene Daten - Einwilligung nach den Artikeln 7 und 11 Mobile Gesundheits- und Fitnessintegration - gesundheitsbezogene Daten - Einwilligung pro Kategorie nach den Artikeln 7 und 11 Transaktionale Kommunikation - Kontaktdaten und Zustellprotokolle - Erfüllung eines Rechtsgeschäfts Marketingkommunikation - Kontaktdaten - Einwilligung Zahlungen, Rechnungsstellung und Buchhaltung - Abrechnungs- und Zahlungsdaten - durch Gesetz erteilte Befugnis Plattformsicherheit, Prüfung und Missbrauchsverhinderung - gehashte IP, Sitzungs- und Prüfdaten - berechtigte Interessen der Eigentümerin Messung der Website-Leistung - aggregierte, cookielose Zählungen - berechtigte Interessen der Eigentümerin Warteliste und Anfragen von Interessenten - Kontakt- und Präferenzdaten - Einwilligung und vorvertragliche Maßnahmen Verwaltung von Trainerinnen, Trainern und Mitarbeitenden - Einsatzdaten - Erfüllung eines Rechtsgeschäfts und durch Gesetz erteilte Befugnis On-Demand-Kurse und Wiedergabeverlauf - Konto-, Wiedergabeverlaufs- und technische Wiedergabedaten - Erfüllung eines Rechtsgeschäfts Sicherheitsprotokolle der Wiedergabe - gehashte IP-Adresse, Plattform und App-Version - berechtigte Interessen der Eigentümerin KI-Bewegungserkennung - Ergebnisse der Einheiten und Ereignisprotokolle - Erfüllung eines Rechtsgeschäfts Produktion von Kursinhalten - Aufnahmen von Trainerinnen, Trainern und Mitarbeitenden sowie abgeleitete Bewegungsdaten - Erfüllung eines Rechtsgeschäfts und berechtigte Interessen der Eigentümerin

6. Besondere Kategorien von Daten und Risikobewertung

Artikel 7 des Gesetzes verbietet die Verarbeitung gesundheitsbezogener Daten, außer aus den in diesem Artikel genannten Gründen. Wir stützen uns auf die eindeutige Einwilligung der betroffenen Person und haben die Risiken dieser Verarbeitung und die zu ihrer Beherrschung erforderlichen Maßnahmen bewertet.

Die Bewertung identifizierte als Hauptrisiken den unbefugten Zugriff auf Gesundheitsdaten durch Studiomitarbeitende ohne betrieblichen Bedarf, die Offenlegung von Gesundheitsdaten bei einer Kompromittierung der Datenbank, eine schleichende Nutzung für Analysen oder Marketing und eine nicht wirklich granulare Einwilligung.

Folgende Maßnahmen wurden umgesetzt.

Die Einwilligung ist granular und kategoriebezogen, wird serverseitig erfasst und bei jedem Lesezugriff durchgesetzt. Der Widerruf der Einwilligung für eine Messkategorie wirkt sich auf keine andere aus. Wer alle Gesundheitsfunktionen ablehnt, kann die Plattform uneingeschränkt nutzen.

Sensible Werte werden im Ruhezustand spaltenweise verschlüsselt. Der Schlüssel für die medizinischen Felder einer Kundin oder eines Kunden wird aus einem Hauptschlüssel zusammen mit deren oder dessen eigener Kennung abgeleitet, sodass Schlüssel nicht zwischen Kundinnen und Kunden geteilt werden.

Der Zugriff ist rollenbasiert beschränkt. Trainerinnen, Trainer und Studiomitarbeitende sehen nur die Informationen, die zur sicheren Beaufsichtigung einer Einheit erforderlich sind, und jede Person mit Zugriff hat eine Vertraulichkeitsverpflichtung nach Artikel 10 des Gesetzes unterzeichnet.

Gesundheitsdaten sind konzeptionell von Marketing, Werbung, Profiling und Weitergabe an Dritte ausgeschlossen. In unseren mobilen Apps sind keine Tracking-Domains deklariert und kein Werbe-Framework eingebettet.

Die Löschung ist automatisiert. Endet eine Kundenbeziehung, werden die verschlüsselten medizinischen Felder zur Löschung vorgemerkt und nach einer Frist von dreißig Tagen geleert; die Löschung wird protokolliert.

Wir haben unsere On-Demand-Kurse und die KI-Bewegungserkennung gesondert bewertet. Das für die Erkennung verwendete Kamerabild wird ausschließlich auf dem Gerät der Kundin oder des Kunden ausgewertet und erreicht uns nie. Die Auswertung schätzt Körperpositionen und identifiziert niemanden; sie erzeugt daher keine biometrischen Daten. Die gespeicherten Ergebnisse beschreiben die Ausführung eines Kurses und keinen Gesundheitszustand, werden nicht für Rückschlüsse auf die Gesundheit verwendet und sind für Mitarbeitende nicht sichtbar; wir behandeln sie daher nicht als gesundheitsbezogene Daten im Sinne von Artikel 7 des Gesetzes. Die verbleibenden Risiken, nämlich Rückschlüsse auf die Gesundheit aus Ergebnissen im Zeitverlauf, übermäßige Speicherung und die Offenlegung von Wiedergabedaten gegenüber dem Videoanbieter, werden durch die getrennte Speicherung der Ergebnisse von Gesundheitsdaten, eine Frist von zwölf Monaten für Ereignisprotokolle, das Hashing von IP-Adressen in Wiedergabeprotokollen mit einem Schlüssel und den Ausschluss von Namen, E-Mail-Adressen und Kontokennungen aus allem, was an den Videoanbieter gesendet wird, adressiert. Die Bewertung wird vor jeder wesentlichen Änderung dieser Funktionen überprüft.

7. Dienstleister und Weitergabe

Jeder Dienstleister, der personenbezogene Daten in unserem Auftrag verarbeitet, tut dies auf Grundlage einer schriftlichen Vereinbarung, die die Verarbeitung ausschließlich nach unseren Weisungen, Vertraulichkeit, angemessene Sicherheitsmaßnahmen, Beschränkungen für die Einschaltung weiterer Unterdienstleister, Unterstützung bei Anträgen betroffener Personen, die Meldung von Vorfällen sowie die Löschung oder Rückgabe der Daten am Ende der Zusammenarbeit vorschreibt.

Vor der Beauftragung eines Dienstleisters prüfen wir dessen Sicherheitsniveau, Hosting-Standorte, Übermittlungssituation und Zusagen zur Meldung von Vorfällen. Das Register hält für jeden Dienstleister Zweck, Datenkategorien und Hosting-Region fest. Die aktuelle Liste findet sich in Abschnitt 6 unserer Datenschutzerklärung und wird mindestens jährlich überprüft.

Artikel 14 des Gesetzes erlaubt die Weitergabe personenbezogener Daten an Dritte nur mit Einwilligung der betroffenen Person oder aus gesetzlich vorgesehenen Gründen. Jede Weitergabe an Dritte wird mit Datum, Empfänger und Rechtsgrundlage aufgezeichnet, und dieses Verzeichnis steht der betroffenen Person auf Anfrage zur Verfügung.

8. Aufbewahrungsplan und automatisierte Löschung

Speicherfristen werden durch geplante Jobs und nicht durch manuelle Überprüfung durchgesetzt, sodass der Ablauf der Regelfall und nicht die Ausnahme ist.

Kontakt- und Anfragedatensätze - 730 Tage Zustellprotokolle für Benachrichtigungen - 365 Tage Sicherheits- und Prüfprotokolle - 730 Tage Aufzeichnungen widerrufener Sitzungen - 90 Tage Inaktive Konten - nach 24 Monaten Inaktivität erkannt Frist bei Kontolöschung - 30 Tage, in denen der Antrag zurückgenommen werden kann Löschung medizinischer Felder nach Ende der Kundenbeziehung - 30 Tage Buchungs- und Teilnahmeaufzeichnungen - 3 Jahre, entsprechend der allgemeinen Verjährungsfrist nach dem Zivilgesetzbuch der Ukraine Buchhaltungs- und Steuerunterlagen - für die im Steuergesetzbuch der Ukraine und in den Vorschriften des Staatlichen Archivdienstes vorgeschriebenen Fristen Wiedergabeprotokolle - 365 Tage Ereignisprotokolle der KI-Bewegungserkennung - 12 Monate Wiedergabeverlauf und Ergebnisse der KI-Bewegungserkennung - für die Dauer des Kontos

Bei der Löschung werden rein persönliche Datensätze endgültig gelöscht. Datensätze, die wir aufbewahren müssen, vor allem Buchungs- und Buchhaltungseinträge, werden in entpersonalisierter Form aufbewahrt: Der Identitätsdatensatz wird auf einen Tombstone ohne personenbezogene Daten reduziert, wodurch die identifizierende Verbindung aus jedem darauf verweisenden Datensatz entfernt wird.

9. Technische und organisatorische Sicherheitsmaßnahmen

Die nachstehenden Maßnahmen setzen Artikel 24 des Gesetzes um und werden im Rahmen unserer regelmäßigen Sicherheitsüberprüfung überprüft.

Transportsicherheit. Der gesamte Datenverkehr zwischen Clients, Apps und unseren Servern wird mit TLS verschlüsselt. Für unsere Webangebote gilt eine Content Security Policy. On-Demand-Kurse werden über signierte, zeitlich begrenzte Wiedergabelinks bereitgestellt, und im Videoplayer werden keine Analyse- oder Tracking-Technologien eingesetzt.

Authentifizierung. Authentifizierungstoken werden asymmetrisch mit ES256 signiert, haben eine kurze Lebensdauer und werden hinsichtlich Aussteller, Zielgruppe und Ablauf streng geprüft. Sitzungen sind einsehbar und von der Kundin oder dem Kunden einzeln widerrufbar, und eine serverseitige Sperrliste setzt den Widerruf durch, bevor das Token sonst ablaufen würde.

Verschlüsselung im Ruhezustand. Sensible Gesundheitsfelder werden spaltenweise mit symmetrischer PGP-Verschlüsselung und kundenspezifischer Schlüsselableitung verschlüsselt. Der Datenbankspeicher wird von unserem Hosting-Anbieter im Ruhezustand verschlüsselt.

Zugriffskontrolle. In der Datenbank wird Sicherheit auf Zeilenebene durchgesetzt. Anwendungsrollen folgen dem Prinzip der geringsten Rechte, und privilegierte Vorgänge laufen über definierte Security-Definer-Funktionen statt über weitreichende Berechtigungen. Eine Rollen- und Berechtigungsmatrix wird gepflegt und getestet.

Entpersonalisierung. IP-Adressen werden vor der Speicherung mit einem geheimen Schlüssel gehasht. Gelöschte Identitäten werden zu Tombstones, die aufbewahrte betriebliche Datensätze entpersonalisieren.

Protokollierung und Überwachung. Privilegierte und sicherheitsrelevante Vorgänge werden in einem Prüfprotokoll mit festgelegter Speicherfrist erfasst. Ratenbegrenzungen schützen Authentifizierungs- und Buchungsendpunkte, und eine Missbrauchsschutzprüfung schützt das öffentliche Kontaktformular.

Organisatorische Maßnahmen. Mitarbeitende, Trainerinnen und Trainer unterzeichnen Vertraulichkeitsverpflichtungen zu personenbezogenen Daten, werden bei Beginn ihrer Tätigkeit unterwiesen und erhalten Zugriff streng nach ihrer Rolle. Zugriffsrechte werden bei einem Rollenwechsel überprüft und beim Ausscheiden entzogen, einschließlich des Widerrufs aktiver Sitzungen.

Ausfallsicherheit. Die Daten werden bei einem Anbieter gespeichert, der Redundanz und Sicherungen außerhalb des von Kampfhandlungen betroffenen Gebiets bietet, sodass die Aufzeichnungen auch bei Schäden an der lokalen Infrastruktur verfügbar bleiben.

Änderungsmanagement. Datenbankänderungen werden über nummerierte, geprüfte Migrationen eingespielt. Sicherheitsüberprüfungen werden regelmäßig durchgeführt und ihre Ergebnisse bis zum Abschluss verfolgt.

10. Verfahren bei Sicherheitsvorfällen

Jede Mitarbeiterin und jeder Mitarbeiter, die oder der von einem vermuteten Vorfall mit Bezug zu personenbezogenen Daten erfährt, muss ihn sofort der in Abschnitt 3 genannten verantwortlichen Person melden.

Die verantwortliche Person dämmt den Vorfall ein, bewertet die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen und erfasst den Vorfall samt Begründung im Vorfallprotokoll.

Kann der Vorfall die Rechte betroffener Personen berühren, informieren wir die betroffenen Personen und den Menschenrechtsbeauftragten des Parlaments der Ukraine unverzüglich und in klarer Sprache über die Art des Vorfalls, seine wahrscheinlichen Folgen, die ergriffenen Maßnahmen und die Anlaufstelle für weitere Informationen.

Erfährt ein Dienstleister von einem Vorfall, der unsere Daten betrifft, verpflichtet ihn seine Vereinbarung, uns unverzüglich zu benachrichtigen, damit wir diese Pflichten erfüllen können. Für unsere eigene Bewertung und Benachrichtigung wenden wir eine Zielfrist von 72 Stunden an, entsprechend dem Standard, den wir in Bulgarien anwenden, obwohl das ukrainische Recht derzeit keine feste Frist vorschreibt.

11. Anträge betroffener Personen

Anträge können über die Plattform oder schriftlich an privacy@ikpilates.com gestellt werden. Viele Rechte lassen sich direkt im Konto ausüben: Einsicht und Bearbeitung des Profils, Überprüfung und Widerruf von Sitzungen und Geräten, Verwaltung von Einwilligungen pro Kategorie sowie Beantragung der Löschung mit einer Kopie der Daten.

Jeder Antrag wird bei Eingang protokolliert. Wir prüfen die Identität verhältnismäßig und nutzen nach Möglichkeit das Konto selbst, statt zusätzliche Ausweisdokumente anzufordern. Wir antworten innerhalb von dreißig Kalendertagen, wie Artikel 16 des Gesetzes es verlangt.

Lehnen wir einen Antrag ganz oder teilweise ab, nennen wir den Grund und die Rechtsgrundlage und weisen auf das Recht hin, sich beim Menschenrechtsbeauftragten des Parlaments der Ukraine zu beschweren und ein Gericht anzurufen.

Anträge werden unentgeltlich bearbeitet.

12. Grenzüberschreitende Übermittlung

Artikel 29 des Gesetzes erlaubt die Übermittlung an eine ausländische Stelle, wenn der Empfängerstaat einen angemessenen Schutz gewährleistet. Die Mitgliedstaaten des Europäischen Wirtschaftsraums und die Vertragsstaaten des Übereinkommens 108 gelten kraft Gesetzes als Staaten mit angemessenem Schutz.

Unsere wichtigsten Datenspeicher befinden sich in der Europäischen Union, was diese Voraussetzung erfüllt. Findet eine begrenzte Übermittlung an einen Dienstleister außerhalb des Europäischen Wirtschaftsraums statt, vor allem für die Zustellung von Push-Benachrichtigungen und E-Mails, stützen wir uns auf die vom Dienstleister angebotenen Garantien, darunter die Standardvertragsklauseln der Europäischen Kommission, zusammen mit Verschlüsselung bei der Übertragung und im Ruhezustand und einer Minimierung der übermittelten Daten.

Unsere On-Demand-Kursvideos werden von Mux, Inc. in den Vereinigten Staaten gehostet und gestreamt. Diese Übermittlung ist erforderlich, um den Kurs bereitzustellen, den die Kundin oder der Kunde ansehen möchte, und sie ist durch den Auftragsverarbeitungsvertrag von Mux, der die Standardvertragsklauseln der Europäischen Kommission enthält, sowie durch die Teilnahme von Mux am EU-US-Datenschutzrahmen geschützt. Namen, E-Mail-Adressen und Kontokennungen werden nicht an Mux gesendet.

13. Marketing und elektronische Kommunikation

Transaktionale Nachrichten zu einer Buchung, zur Änderung einer Buchung, zu einem Sicherheitsereignis im Konto oder zu einem rechtlichen Hinweis werden auf Grundlage des Vertrags versandt und können, solange das Konto aktiv ist, nicht abbestellt werden.

Marketingnachrichten werden nur mit vorheriger Einwilligung versandt. Jede Marketingnachricht enthält einen funktionierenden Abmeldemechanismus, und die Einwilligung kann jederzeit in den Kontoeinstellungen widerrufen werden. Die Einwilligungsnachweise enthalten Zeitpunkt, Kanal und den angezeigten Wortlaut.

Push-Benachrichtigungen erfordern neben der in der Plattform erfassten Einwilligung eine Berechtigung des Betriebssystems und können pro Kategorie deaktiviert werden. Betriebliche Benachrichtigungen an Mitarbeitende, etwa die Bestätigung, dass ein hochgeladener Kurs bereit ist, werden auf Grundlage des Arbeits- oder Tätigkeitsverhältnisses versandt.

14. Überprüfungszyklus

Dieses Whitepaper, die Liste der Verarbeitungsvorgänge, das Dienstleisterregister, der Aufbewahrungsplan und die Benennung der verantwortlichen Person werden mindestens jährlich überprüft.

Eine zusätzliche Überprüfung wird durch jedes der folgenden Ereignisse ausgelöst: die Einführung einer neuen Kategorie personenbezogener Daten; die Beauftragung eines neuen Dienstleisters oder ein Wechsel der Hosting-Region; ein Sicherheitsvorfall; die Verabschiedung des Gesetzentwurfs Nr. 8153 oder eine sonstige wesentliche Änderung des ukrainischen Rechts; Leitlinien des Menschenrechtsbeauftragten des Parlaments der Ukraine; oder eine Beschwerde, die eine Lücke offenlegt.

15. Kontakt und Beschwerden

Einzelunternehmerin Iryna Oleksandrivna Karnaukh Steuernummer: 3029410706 Anschrift: prov. Otakara Yarosha 12a, Charkiw, 61045, Ukraine Datenschutzanfragen: privacy@ikpilates.com Allgemeine Anfragen: studio@ikpilates.com Telefon: +380 67 508 4343

Sie können jederzeit Beschwerde beim Kontrollorgan für den Schutz personenbezogener Daten in der Ukraine einlegen.

Menschenrechtsbeauftragter des Parlaments der Ukraine Anschrift: vul. Instytutska 21/8, Kyjiw, 01008, Ukraine Hotline: 0 800 50 17 20 E-Mail: hotline@ombudsman.gov.ua Website: www.ombudsman.gov.ua

Sie haben außerdem das Recht, zum Schutz Ihrer Rechte und auf Ersatz des materiellen und immateriellen Schadens, der durch einen Verstoß gegen die Datenschutzvorschriften verursacht wurde, ein Gericht anzurufen.