Datenschutzerklärung

Thomas Schwabauer, Kirschenwäldchen 8D, 35578 Wetzlar, Deutschland, E-Mail: kontakt@physiqueforge.de

Website, Backend, Datenbank, KI-Dienst und Dateispeicher (für Fortschrittsfotos, Rezept- und Produktbilder) betreiben wir selbst auf einem angemieteten Server der STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin, mit Standort in Deutschland. Beim Aufruf werden automatisch technisch notwendige Daten verarbeitet (IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browser- und Betriebssysteminformationen).

Zweck

Bereitstellung, Sicherheit und Stabilität von Website und App

Daten

Server-Logs, alle in der App gespeicherten Inhalte

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb)

Empfänger

STRATO AG als Auftragsverarbeiter

Drittland

Nein

Server-Logs werden nach kurzer Zeit automatisch gelöscht.

Registrierung und Anmeldung in App und Website laufen über Auth0, einen Dienst der Okta, Inc., 100 First Street, San Francisco, CA 94105, USA. Wir nutzen einen Auth0-Mandanten in der EU-Region. Du kannst dich per E-Mail-Code oder optional über dein Google- oder Apple-Konto anmelden; im letzten Fall erhalten wir von Google bzw. Apple nur die für die Anmeldung nötigen Angaben (E-Mail-Adresse, Name). Anmelde-Codes versenden wir über unseren E-Mail-Server bei STRATO.

Zweck

Konto-Verwaltung und sichere Anmeldung

Daten

E-Mail-Adresse, Name, Konto-Kennung, Anmelde-Protokolle (Zeitpunkt, IP-Adresse, Gerät/Browser)

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Empfänger

Okta, Inc. (Auth0) als Auftragsverarbeiter

Drittland

Speicherung in der EU. Eine Übermittlung in die USA ist möglich; sie ist durch die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) bzw. die Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework (Art. 45 DSGVO) abgesichert.

In der App kannst du Trainingspläne, Workouts, Ernährung, Körpermaße, Gewicht, Beschwerden und Fortschrittsfotos erfassen. Diese Daten können Gesundheitsdaten im Sinne von Art. 9 DSGVO darstellen. Wir verarbeiten sie ausschließlich zur Bereitstellung der App-Funktionen auf unseren eigenen Servern (Abschnitt 2) und auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a, Art. 6 Abs. 1 lit. a DSGVO), die du bei der Registrierung erteilst und jederzeit durch Löschung deines Kontos widerrufen kannst. Diese Daten werden nicht an Werbe- oder Analysedienste weitergegeben.

Wenn du die Verbindung in den Einstellungen der App aktivierst, liest die App Daten aus Apple Health (iOS) bzw. Health Connect (Android). Die App liest nur, sie schreibt keine Daten zurück. Gelesen werden: Schritte, Distanz, erklommene Etagen, aktiver und Grundumsatz, Herzfrequenz, Ruheherzfrequenz, Herzfrequenzvariabilität, Blutdruck, Sauerstoffsättigung, Schlafphasen und Körpergewicht.

Die Werte werden auf unserem Server zwischengespeichert, damit die App sie geräteübergreifend anzeigen kann; dein Körpergewicht wird auf Wunsch in deine Körpermessungen übernommen. Gesundheitsdaten werden nie für Werbung, nie für Nutzungsanalyse und nie zur Profilbildung verwendet und nicht an Dritte weitergegeben.

Zweck

Anzeige deiner Aktivitäts-, Vital- und Schlafwerte sowie Übernahme des Körpergewichts

Daten

die oben genannten Gesundheitsdaten (besondere Kategorie nach Art. 9 DSGVO)

Rechtsgrundlage

Deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a, Art. 6 Abs. 1 lit. a DSGVO), erteilt über die Berechtigungsabfrage von Apple Health bzw. Health Connect

Empfänger

Keine Dritten; Speicherung auf unseren Servern (Abschnitt 2)

Drittland

Nein

Du kannst die Einwilligung jederzeit widerrufen, indem du die Verbindung in der App deaktivierst oder PhysiqueForge die Berechtigung in Apple Health bzw. Health Connect entziehst. Bereits übernommene Werte werden mit deinem Konto gelöscht.

Käufe und Abonnements (PhysiqueForge Pro) wickeln Apple (App Store) bzw. Google (Google Play) ab; Zahlungsdaten erhalten nur sie, nicht wir. Apple und Google handeln dabei als eigene Verantwortliche nach ihren Datenschutzbestimmungen. Zur Verwaltung des Abo-Status nutzen wir RevenueCat, Inc., USA. RevenueCat meldet Kauf- und Verlängerungsereignisse an unseren Server.

Zweck

Freischaltung und Verwaltung von Abonnements, Wiederherstellen von Käufen

Daten

Konto-Kennung, gekauftes Produkt, Kauf- und Ablaufzeitpunkt, Preis und Währung, Store-Land, Kaufbelege, Gerätetyp und App-Version

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Empfänger

RevenueCat, Inc. als Auftragsverarbeiter; Apple bzw. Google als eigene Verantwortliche

Drittland

Eine Übermittlung in die USA ist möglich; sie ist durch die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) bzw. die Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework (Art. 45 DSGVO) abgesichert.

Nutzer ohne Pro-Abo können in der App freiwillig ein Belohnungsvideo ansehen. Dafür binden wir Google AdMob ein, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Das AdMob-SDK wird beim App-Start initialisiert; Anzeigen lädt die App nur, wenn du ein Video anforderst. Gesundheits-, Trainings- und Ernährungsdaten werden nie an AdMob übermittelt.

Zweck

Ausspielung von Werbung, Reichweitenmessung, Betrugsvermeidung; mit Einwilligung personalisierte Werbung

Daten

Werbe-ID des Geräts (IDFA/Android Advertising ID), IP-Adresse, Geräte- und App-Informationen, Interaktionen mit der Anzeige

Rechtsgrundlage

Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die wir vor dem ersten Laden von Werbung abfragen; auf iOS zusätzlich die App-Tracking-Freigabe

Empfänger

Google Ireland Limited und Google LLC

Drittland

Eine Übermittlung in die USA ist möglich; sie ist durch die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) bzw. die Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework (Art. 45 DSGVO) abgesichert.

Ohne Einwilligung zeigt AdMob nur nicht personalisierte Werbung. Du kannst deine Entscheidung jederzeit in der App unter Einstellungen → „Werbe-Einwilligung“ ändern oder widerrufen; auf iOS zusätzlich unter Einstellungen → Datenschutz & Sicherheit → Tracking.

Wenn du in der App einwilligst, erfassen wir mit PostHog, wie die App genutzt wird (z. B. welche Bildschirme aufgerufen und welche Funktionen verwendet werden), um sie zu verbessern. Anbieter ist PostHog Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA; wir nutzen ausschließlich die EU-Cloud mit Rechenzentrum in Frankfurt am Main. Mit derselben Einwilligung steuern wir über PostHog die schrittweise Freischaltung neuer Funktionen.

Zweck

Statistische Auswertung der App-Nutzung und schrittweise Freischaltung von Funktionen

Daten

Pseudonyme Nutzer-Kennung, Nutzungsereignisse, App-Version, Gerätetyp, Betriebssystem, ungefährer Standort aus der IP-Adresse

Rechtsgrundlage

Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG)

Empfänger

PostHog Inc. als Auftragsverarbeiter

Drittland

Speicherung in der EU. Eine Übermittlung in die USA ist möglich; sie ist durch die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) bzw. die Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework (Art. 45 DSGVO) abgesichert.

Du kannst die Einwilligung jederzeit in den Einstellungen der App widerrufen; danach werden keine Nutzungsdaten mehr erfasst.

Einige Funktionen der App verarbeiten deine Eingaben mit KI-Modellen externer Anbieter. Übermittelt wird nur, was für die jeweilige Anfrage nötig ist.

a) Rezept-Import aus Instagram-Reels

Reichst du einen Reel-Link ein, ruft unser eigener KI-Dienst das öffentlich verfügbare Video über die HikerAPI ab und lässt es von Google Gemini (Google Ireland Limited) analysieren, um Zutaten und Zubereitung zu erkennen. Übermittelt werden nur der Link und das öffentliche Video, keine Daten aus deinem Konto.

b) KI-Assistent, Mahlzeiten-Scan und Prüfung des Nutzernamens

Der KI-Assistent, die Nährwertschätzung aus einem Mahlzeitenfoto und die Prüfung deines Nutzernamens auf beleidigende Inhalte nutzen Modelle von OpenAI (OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland). Übermittelt werden die jeweilige Texteingabe, das Mahlzeitenfoto bzw. der gewünschte Nutzername. Sprachbefehle an den Assistenten wandelt die Spracherkennung deines Betriebssystems (Apple bzw. Google) in Text um.

Zweck

Bereitstellung der von dir angefragten KI-Funktion

Daten

Reel-Link und öffentliches Video; Texteingaben, Mahlzeitenfotos, Nutzername

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der angefragten Funktion)

Empfänger

HikerAPI, Google Ireland Limited (Gemini), OpenAI Ireland Ltd., jeweils als Auftragsverarbeiter

Drittland

Eine Übermittlung in die USA ist möglich; sie ist durch die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) bzw. die Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework (Art. 45 DSGVO) abgesichert.

Bitte gib in KI-Funktionen keine Angaben ein, die du nicht übermitteln möchtest. Gesundheitsdaten aus Apple Health bzw. Health Connect werden nicht an KI-Anbieter übermittelt.

Für optionale Push-Benachrichtigungen (z. B. Erinnerungen) nutzen wir Firebase Cloud Messaging, einen Dienst der Google Ireland Limited. Andere Firebase-Dienste setzen wir nicht ein; Anmeldung und Datenspeicherung laufen nicht über Firebase.

Zweck

Zustellung von Push-Benachrichtigungen

Daten

Geräte-Token, Inhalt der Benachrichtigung

Rechtsgrundlage

Deine Einwilligung über die Benachrichtigungs-Berechtigung deines Geräts (Art. 6 Abs. 1 lit. a DSGVO); du kannst sie dort jederzeit deaktivieren

Empfänger

Google Ireland Limited als Auftragsverarbeiter

Drittland

Eine Übermittlung in die USA ist möglich; sie ist durch die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) bzw. die Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework (Art. 45 DSGVO) abgesichert.

Für Nährwert-Informationen und Produktbilder fragt unser Server die öffentliche Datenbank Open Food Facts ab und speichert Produktbilder auf unserem eigenen Server zwischen. Dabei werden keine personenbezogenen Daten von dir an Open Food Facts übermittelt.

Auf der Website setzen wir Google Analytics 4 (Google Ireland Limited) ein, um die Nutzung der Website statistisch auszuwerten — nur, wenn du im Cookie-Banner einwilligst.

Zweck

Statistische Auswertung der Website-Nutzung

Daten

IP-Adresse, Geräte- und Browserinformationen, aufgerufene Seiten, Cookie-Kennung

Rechtsgrundlage

Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG)

Empfänger

Google Ireland Limited und Google LLC

Drittland

Eine Übermittlung in die USA ist möglich; sie ist durch die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) bzw. die Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework (Art. 45 DSGVO) abgesichert.

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen.

Bei technischen Fehlern in App, Website und KI-Dienst erfassen wir Diagnosedaten. Die Verarbeitung erfolgt ausschließlich auf unserem eigenen Server mit der Software GlitchTip (Abschnitt 2); Daten an den Anbieter Sentry werden nicht übermittelt, wir nutzen nur dessen quelloffene Software-Bibliothek.

Zweck

Erkennen und Beheben von Fehlern

Daten

Fehlermeldung und Ablauf, App-Version, Gerätetyp, Betriebssystem, pseudonyme Konto-Kennung

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem fehlerfreien Betrieb)

Empfänger

Keine Dritten

Drittland

Nein

Wenn du dich für unseren Newsletter anmeldest, verarbeiten wir deine E-Mail-Adresse auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst dich jederzeit über den Abmeldelink in jeder E-Mail abmelden.

Wir speichern deine Daten, solange dein Konto besteht. Du kannst dein Konto jederzeit in der App löschen (Profil → „Konto löschen"). Dabei löschen wir unverzüglich und unwiderruflich sämtliche Daten in unserer Datenbank einschließlich aller Trainings-, Ernährungs-, Gesundheits- und Mediendaten sowie dein Konto bei Auth0. Wie du dein Konto auch ohne App löschen lassen kannst, beschreibt unsere Seite Account und Daten löschen.

Nicht automatisch gelöscht werden: Kaufbelege bei Apple, Google und RevenueCat, soweit gesetzliche Aufbewahrungspflichten bestehen; pseudonyme Nutzungsdaten bei PostHog, die nach Ablauf der Speicherfrist des Anbieters entfernt werden. Auf Anfrage an kontakt@physiqueforge.de veranlassen wir auch dort die Löschung, soweit keine Aufbewahrungspflicht entgegensteht.

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit.