Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist Manuel Hohlwegler, Anschrift wie im Impressum. Kontakt: manuel.hohlwegler@gmx.de.

2. Verarbeitete Daten

Wir verarbeiten Accountdaten wie Name, E-Mail-Adresse und Authentifizierungsdaten, freiwillige Profildaten, Profilbilder, Trainer-Athleten-Zuordnungen sowie Trainings- und Analyseangaben. Dazu gehören insbesondere Alter, Geschlecht, Größe, Gewicht, Körperfett, Fitnesswerte, Testleistungen, Trainingsziele und die daraus berechneten Ergebnisse. Bei einem Kauf verarbeiten wir außerdem Bestellstatus, Betrag, Währung und die zur Zahlungszuordnung erforderlichen Transaktionsreferenzen sowie technisch erforderliche Verbindungs-, Protokoll- und Sicherheitsdaten.

Setzt du in der Community oder im Blog ein Herz oder schreibst einen Kommentar, speichern wir den Inhalt, den Zeitpunkt und dein Konto.

3. Zwecke und Rechtsgrundlagen

Die Verarbeitung dient der Registrierung und Anmeldung, der Verwaltung von Profilen und Trainer-Zuordnungen, der Berechnung, Speicherung und Darstellung von Trainingsanalysen sowie dem sicheren Betrieb der Plattform. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO, soweit die Verarbeitung zur Bereitstellung der angeforderten Plattformfunktionen erforderlich ist. Sicherheitsmaßnahmen und die Abwehr von Missbrauch beruhen auf Art. 6 Abs. 1 Buchst. f DSGVO. Gesetzlich vorgeschriebene Verarbeitungen beruhen auf Art. 6 Abs. 1 Buchst. c DSGVO.

Körper- und Leistungsangaben können je nach Inhalt Gesundheitsdaten im Sinne von Art. 9 DSGVO darstellen. Soweit Art. 9 DSGVO anwendbar ist, erfolgt ihre Verarbeitung nur auf Grundlage einer zusätzlich einschlägigen Ausnahme, insbesondere einer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 Buchst. a DSGVO. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden; die Rechtmäßigkeit der vorherigen Verarbeitung bleibt unberührt.

Die Einwilligung wird vor dem ersten Speichern solcher Daten abgefragt und mit Zeitpunkt und Fassung des Einwilligungstextes protokolliert. Legt ein Trainer Daten für eine betreute Person an, bevor diese selbst eingewilligt hat, bestätigt der Trainer, dass ihm die Einwilligung vorliegt; diese Bestätigung wird mit seinem Namen protokolliert und ist für die betreute Person im Profil sichtbar. Der Widerruf ist im Profil möglich. Dabei werden Analysen, Wochenfeedbacks sowie Körper- und Leistungswerte im Profil gelöscht.

Blog. Blogbeiträge kannst du ohne Konto lesen, einige nur nach der Anmeldung. Herzen und Kommentare unter Beiträgen sind nur mit Konto möglich. Andere angemeldete Mitglieder sehen dabei deinen Namen, dein Profilbild und deinen Kommentar; Besucher ohne Konto sehen nur, wie viele Herzen und Kommentare ein Beitrag hat. Eigene Kommentare kannst du jederzeit löschen, ein Herz jederzeit zurücknehmen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO.

4. Hosting und Auftragsverarbeiter

Die Anwendung wird über Vercel bereitgestellt. Authentifizierung, Datenbank und Dateispeicher werden über Supabase betrieben. Diese Anbieter verarbeiten Daten in unserem Auftrag, soweit dies für Hosting, Auslieferung, Authentifizierung, Speicherung und Sicherheit erforderlich ist. Mit den eingesetzten Auftragsverarbeitern werden die nach Art. 28 DSGVO erforderlichen Vereinbarungen geschlossen. Weitere Empfänger erhalten Daten nur, wenn dies für die Leistung erforderlich, gesetzlich vorgeschrieben oder von einer Einwilligung gedeckt ist.

Für Online-Zahlungen setzen wir Stripe ein. Die Zahlung wird auf einer von Stripe bereitgestellten Checkout-Seite durchgeführt. Stripe erhält dabei die für Zahlungsabwicklung, Betrugsprävention und gesetzliche Nachweise erforderlichen Kontakt-, Zahlungs- und Transaktionsdaten. Wir speichern keine vollständigen Kartendaten. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b und, soweit Aufbewahrungs- oder Nachweispflichten bestehen, Buchst. c DSGVO.

Systemmails wie Registrierungsbestätigungen, Einladungen und Links zum Zurücksetzen des Passworts versenden wir über Brevo (Sendinblue SAS, 17 rue Salneuve, 75017 Paris, Frankreich). Brevo erhält dafür Empfängeradresse, Name, Mailinhalt und die für Zustellung und Missbrauchsabwehr erforderlichen Protokolldaten. Körper-, Leistungs- und Analysedaten sind nicht Teil dieser Mails. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Lädt ein Trainer eine betreute Person ein, gibt er deren Name und E-Mail-Adresse an; der Versand der Einladung beruht dann auf Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt darin, der eingeladenen Person den vom Trainer vorgesehenen Zugang zu ermöglichen.

Zur Fehlerüberwachung setzen wir Sentry (Functional Software, Inc., San Francisco, USA) ein; die Daten werden in einem Rechenzentrum in Deutschland gespeichert. Tritt ein Fehler auf, erhält Sentry technische Angaben wie Fehlermeldung, betroffene Seite, Browser, Betriebssystem und IP-Adresse. Formularinhalte, Datenbankinhalte, Cookies und Profildaten übermitteln wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist der stabile und sichere Betrieb der Plattform.

5. Übermittlungen in Drittländer

Bei eingesetzten Dienstleistern kann eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums nicht vollständig ausgeschlossen werden. Eine solche Übermittlung erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, etwa auf Basis eines Angemessenheitsbeschlusses oder geeigneter Garantien wie den Standardvertragsklauseln der Europäischen Kommission.

Brevo gibt für seine Datenbanken Speicherorte innerhalb der EU an. Ein Zugriff von außerhalb der EU kann bei Dienstleistern und deren Unterauftragsverarbeitern nicht vollständig ausgeschlossen werden. Bei Sentry ist ein Zugriff aus den USA etwa im Rahmen von Support möglich; er ist durch Standardvertragsklauseln abgesichert.

Verbundene Apps. Du kannst Apps wie ChatGPT (OpenAI) oder Claude (Anthropic) mit deinem Konto verbinden. Die App darf dann deine Tests mit Datum und Kernwerten, Schwellen, Trainingszonen, Stoffwechselwerte aus dem Radtest und dein Körpergewicht abrufen, wenn du sie im Chat danach fragst, und auf deinen ausdrücklichen Wunsch neue Lauf- und Radtests mit den im Chat genannten Werten eintragen. Diese Daten gehen an den Anbieter der App, der sie als eigener Verantwortlicher nach seinen Datenschutzbestimmungen verarbeitet, auch in den USA. Rechtsgrundlage ist deine ausdrückliche Einwilligung bei der Verbindung (Art. 6 Abs. 1 Buchst. a, Art. 9 Abs. 2 Buchst. a und Art. 49 Abs. 1 Buchst. a DSGVO). Verbundene Apps können nichts löschen oder bestehende Daten ändern und sehen keine Notizen, Wochenfeedbacks, Community-Beiträge oder Daten anderer Personen. Du kannst eine Verbindung jederzeit im Profil unter „Privatsphäre“ trennen; der Zugriff endet dann sofort.

6. Cookies und lokale Speicherung

Die Plattform verwendet technisch notwendige Cookies beziehungsweise vergleichbare Speichermechanismen für Anmeldung, Sitzungsverwaltung und die lokale Darstellungseinstellung. Diese Verarbeitung ist für die angeforderten Funktionen erforderlich.

Mit deiner gesonderten Einwilligung verwenden wir PostHog zur Nutzungsanalyse (PostHog, Inc., USA; EU-Cloud). Erfasst werden Seitenaufrufe, feste Nutzungsschritte bei Diagnostik, Reports und Wochenfeedback, Sportart, Gast- oder Anmeldestatus, grobe Bearbeitungsdauer, Zeitpunkt, technische Browser- und Geräteangaben sowie eine zufällige Browser- und Sitzungskennung. Namen, E-Mail-Adressen, Formularinhalte und Leistungswerte werden nicht übermittelt. Seitenpfade enthalten Platzhalter statt persönlicher Kennungen; URL-Parameter und Fragmente werden entfernt. Automatisches Klick-Tracking und Personenprofile sind deaktiviert. Die Browserkennung wird nicht mit deinem Konto verknüpft und kann für die Zuordnung zu einem Test unterschiedlicher Einstiegstexte genutzt werden. Bei verfügbaren Kaufangeboten können Angebotsansicht, Checkout-Anfrage und bestätigte Kauf-Rückkehr samt Euro-Betrag erfasst werden. IP-Adressen sind technisch für die Verbindung erforderlich; ihre Speicherung und die IP-basierte Standortauswertung sind deaktiviert. Die Ereignisdaten werden in der EU verarbeitet. Für mögliche Zugriffe aus Drittländern gelten die unter Abschnitt 5 genannten Voraussetzungen.

Mit einer zusätzlichen, getrennten Einwilligung kannst du eine freiwillige Report-Umfrage mit festen Antworten zur Verständlichkeit erlauben. Mit einer weiteren getrennten Einwilligung sind maskierte Aufzeichnungen der öffentlichen Startseite sowie der Übersichten Blog, Wissen und Hilfe möglich. Texte, Eingaben und Elementattribute werden maskiert oder entfernt; Bilder, Formulare, Netzwerk-Inhalte und Konsolenmeldungen werden nicht erfasst. Diagnostik, Reports, Profil, Anmeldung, Coach-Bereich und einzelne Artikel sind von Aufzeichnungen ausgeschlossen. Beide Zusatzfunktionen kannst du unter Cookies gesondert ausschalten.

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO und § 25 Abs. 1 TDDDG. Die Entscheidung wird für 180 Tage lokal gespeichert. Du kannst unter Cookiesjederzeit ablehnen oder widerrufen. Beim Widerruf endet die Erfassung und der lokale PostHog-Speicher wird gelöscht; bereits übermittelte Ereignisse werden dadurch nicht nachträglich gelöscht.

Noch nicht abgegebene Wochenfeedbacks werden als Entwurf auf deinem Gerät gespeichert, getrennt nach Konto und Planungswoche. Diese Entwürfe werden erst durch deine ausdrückliche Abgabe an die Plattform übertragen. Sie können verworfen werden und werden bei erfolgreicher Abgabe oder beim Abmelden aus dem lokalen Speicher entfernt. Nach sieben Tagen werden sie nicht mehr wiederhergestellt und beim nächsten Öffnen des Wochenfeedbacks gelöscht.

7. Speicherdauer und Löschung

Account- und Profildaten werden grundsätzlich für die Dauer des Nutzerkontos gespeichert. Analysen bleiben gespeichert, bis sie vom Nutzer gelöscht werden oder das Nutzerkonto gelöscht wird. Profilbilder werden bei Austausch oder Entfernung gelöscht. Nutzer können ihr Konto im Profil selbst löschen. Dabei werden Profil, Analysen, Wochenfeedbacks, Trainingspläne, Profilbilder und hochgeladene Dateien gelöscht, ebenso Herzen in Community und Blog; Community-Beiträge und Kommentare bleiben ohne Namensnennung als „Gelöschtes Konto“ erhalten. Bestelldaten werden ohne Verknüpfung zum Konto aufbewahrt, soweit gesetzliche Aufbewahrungspflichten bestehen. Gesetzliche Aufbewahrungspflichten sowie technisch notwendige Löschzyklen in Protokollen und Sicherungskopien können zu einer längeren, zweckgebundenen Speicherung führen.

8. Betroffenenrechte

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Eine Kopie aller gespeicherten Daten lässt sich im Profil unter „Privatsphäre“ als Datei herunterladen. Weitere Anfragen können an manuel.hohlwegler@gmx.de gerichtet werden. Darüber hinaus besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde.

9. Automatisierte Auswertung

Die Plattform berechnet anhand der eingegebenen Test- und Profildaten Trainingskennzahlen und Empfehlungen. Diese Auswertungen dienen der sportlichen Orientierung und entfalten keine rechtliche oder ähnlich erhebliche Wirkung. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

10. Bereitstellung der Daten und Sicherheit

Für Registrierung und Nutzung sind die jeweils als erforderlich gekennzeichneten Angaben notwendig. Weitere Profil- und Leistungsdaten sind freiwillig; ohne sie können einzelne Analysefunktionen nicht oder nur eingeschränkt genutzt werden. Wir setzen angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten gegen Verlust, unbefugten Zugriff und Missbrauch zu schützen.