Datenschutzerklärung

1. Datenschutz auf einen Blick

Wir nehmen den Schutz Ihrer personenbezogenen Daten ernst. Diese Erklärung gilt für die App Repp und für die Website unter repp-workout.app. Personenbezogene Daten verarbeiten wir nur, soweit das für den Betrieb der App notwendig ist oder Sie eingewilligt haben. Das Workout-Tracking funktioniert ohne Konto und ohne Werbe-Tracking.

Repp bindet keine Werbe- oder Analyse-SDKs ein. Es gibt keine Werbe-IDs, kein Tracking durch Dritte und keine Analyse-Dienste.

2. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung ist:

Daniel Gläser
Gläser IT-Solutions
Georgstraße 46
09111 Chemnitz
Deutschland
Telefon: +49 173 6807991
E-Mail: hi@glaeser-it.com

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten (z. B. Namen, E-Mail-Adressen o. Ä.) entscheidet.

3. Welche Daten wir verarbeiten

Tracking ohne Konto

Wenn Sie Repp ohne Konto nutzen, bleiben Ihre Trainingsdaten zunächst lokal auf Ihrem Gerät. Eine Verarbeitung auf unseren Servern findet in diesem Fall nicht statt.

Konto und Sync (optional)

Melden Sie sich über „Mit Apple anmelden“ an, verarbeiten wir eine pseudonyme Nutzerkennung sowie, falls Sie diese freigeben, Ihre E-Mail-Adresse. Damit synchronisieren wir Ihre Anamnese, Pläne, Trainingslogs und Gewichtseinträge über Ihre Geräte. Ihre Apple-ID müssen Sie dabei nicht offenlegen. Ihren Namen erhalten wir von Apple nicht, denn die Anmeldung fragt nur die E-Mail-Adresse ab. Ein etwaiger Name bleibt auf Ihrem Gerät. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Gesundheits- und Trainingsdaten

Anamnese-Angaben (z. B. Ziel, Erfahrung, verfügbare Tage, Equipment) und Ihre Trainingslogs verarbeiten wir, um Ihren Plan zu erstellen und fortzuschreiben. Diese Angaben werden nicht für Werbung genutzt und in kein Werbeprofil überführt. Soweit es sich um Gesundheitsdaten handelt, stützen wir die Verarbeitung auf Ihre Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

Apple Health

Nur wenn Sie es ausdrücklich freigeben, greift Repp auf Apple Health zu. Die Verbindung arbeitet in beide Richtungen: Repp schreibt Ihre abgeschlossenen Workouts, Ihr Körpergewicht und eine geschätzte Kalorienangabe in Apple Health, und Repp liest Ihr Körpergewicht aus Apple Health (z. B. Messungen einer smarten Waage), um Ihren Gewichtsverlauf in der App anzuzeigen. Beide Richtungen steuern Sie über die Berechtigungen in der Health-App und den Apple-Health-Schalter in Repp; ohne Ihre Freigabe findet kein Zugriff statt.

Aus Apple Health übernommene Gewichtseinträge werden wie Ihre übrigen Trainingsdaten behandelt: Sind Sie angemeldet und ist die Synchronisierung aktiv, werden sie verschlüsselt an unser Backend übertragen, um sie zwischen Ihren Geräten abzugleichen (siehe „Konto und Sync“). Sie dienen ausschließlich dieser Funktion, werden nicht für Werbung genutzt und lassen sich in der App jederzeit löschen. Rechtsgrundlage ist Ihre Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO; sie ist über den Apple-Health-Schalter in Repp jederzeit widerrufbar.

Kontaktaufnahme per E-Mail

Wenn Sie uns per E-Mail (z. B. an hi@glaeser-it.com) kontaktieren, verarbeiten wir Ihre Angaben aus der Nachricht (Ihre E-Mail-Adresse, Ihren Namen, falls angegeben, sowie den Inhalt Ihrer Anfrage einschließlich etwaiger Angaben zu iPhone-Modell und iOS-Version), um Ihr Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um einen Vertrag geht, im Übrigen unser berechtigtes Interesse an der Beantwortung Ihrer Anfrage nach Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Nachrichten, sobald die Bearbeitung abgeschlossen ist und keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

4. Eingesetzte Dienste und Auftragsverarbeiter

Apple und App Store

Die Bereitstellung der App und die Anmeldung über „Mit Apple anmelden“ laufen über Apple (Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland). Über Apple wickeln wir auch die In-App-Käufe ab: den Kauf der KI-Trainingspläne und freiwillige Unterstützungskäufe („Buy me a coffee“, ein Trinkgeld ohne Gegenleistung). Beides sind Einmalkäufe ohne Abonnement. Zahlung und Abrechnung der In-App-Käufe wickelt Apple ab. Wir erhalten keine vollständigen Zahlungsdaten, sondern nur die zur Verwaltung Ihres Kaufs nötigen Informationen (z. B. Kaufstatus über StoreKit-Belege).

Zur Prüfung eines Kaufs übermittelt Apple einen signierten Kaufbeleg. Diesen verifizieren wir auf unserem Backend und speichern die zugehörige Transaktionskennung serverseitig, um den Kauf freizuschalten, Doppel- oder Mehrfachfreischaltungen zu verhindern und Erstattungen zuordnen zu können. Bei den Unterstützungskäufen zählen wir darüber die Anzahl Ihrer Trinkgelder geräteübergreifend, damit die freiwilligen Unterstützer-Abzeichen auf allen Ihren Geräten gleich angezeigt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie unser berechtigtes Interesse an der Missbrauchsvermeidung nach Art. 6 Abs. 1 lit. f DSGVO.

Während der Plan-Erstellung verarbeiten wir einen Push-Token für eine Live Activity über den Apple Push Notification service (APNs, Apple), um Ihnen den Fortschritt der Erstellung auf dem Gerät anzuzeigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO. Der Token wird nur für die Dauer der Plan-Erstellung gespeichert und nach deren Abschluss von unseren Servern gelöscht.

Backend (api.repp-workout.app)

Konto-, Plan- und Trainingsdaten (einschließlich synchronisierter Gewichtseinträge) werden auf unserem Backend unter api.repp-workout.app verarbeitet und gespeichert. Die Server stehen in der Europäischen Union. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; soweit Gesundheitsdaten betroffen sind, Ihre Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

Auslieferung der Website (Cloudflare)

Die Website repp-workout.app wird über das Content Delivery Network unseres Auftragsverarbeiters Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, ausgeliefert. Cloudflare verarbeitet dabei technische Verbindungsdaten (insbesondere Ihre IP-Adresse sowie Anfrage- und Fehler-Metadaten), um die Website bereitzustellen und vor Angriffen zu schützen. Dabei können Daten in die USA übermittelt werden. Grundlage dafür sind ein Auftragsverarbeitungsvertrag, die Zertifizierung von Cloudflare unter dem EU-US Data Privacy Framework sowie ergänzend die Standardvertragsklauseln der EU-Kommission. Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und zuverlässigen Auslieferung der Website).

KI-Plan-Erstellung

Zur Erstellung Ihres Trainingsplans übermitteln wir Ihre Anamnese-Angaben an unseren Auftragsverarbeiter OpenAI, L.L.C., USA, der die KI-gestützte Verarbeitung durchführt. Übermittelt werden dabei die Anamnese-Angaben einschließlich Ihrer Freitextangaben zu Gesundheit. Diese Übermittlung erfolgt in die USA (Drittland) auf Grundlage eines Auftragsverarbeitungsvertrags und der EU-Standardvertragsklauseln. Die Daten werden ausschließlich zur Erstellung Ihres Plans genutzt und nicht für das Training fremder Modelle verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; soweit Gesundheitsdaten betroffen sind, Ihre Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

5. Automatisierte Verarbeitung

Die KI-Trainingspläne entstehen durch automatisierte Verarbeitung Ihrer Anamnese-Angaben. Diese Plan-Erstellung ist eine von Ihnen angeforderte Funktion und entfaltet keine rechtliche Wirkung Ihnen gegenüber im Sinne des Art. 22 DSGVO. Sie können einen erstellten Plan jederzeit anpassen oder verwerfen.

6. Allgemeine Hinweise und Pflichtinformationen

SSL- bzw. TLS-Verschlüsselung

Die Übertragung zwischen App, Website und unseren Servern erfolgt verschlüsselt über SSL bzw. TLS. Eine verschlüsselte Verbindung erkennen Sie unter anderem am Schloss-Symbol in der Adresszeile Ihres Browsers.

Server-Logfiles

Beim Zugriff auf unsere Server werden technische Daten in Server-Logfiles erfasst (Browsertyp und -version, verwendetes Betriebssystem, Referrer-URL, Hostname des zugreifenden Geräts, Uhrzeit der Anfrage und IP-Adresse). Diese Daten dienen dem sicheren und stabilen Betrieb. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Logfiles werden in der Regel nach 30 Tagen gelöscht.

Hinweis zur Datenweitergabe in Drittstaaten

Soweit eingesetzte Dienste Daten außerhalb der EU verarbeiten, geschieht dies auf Grundlage geeigneter Garantien, insbesondere der Standardvertragsklauseln der EU-Kommission bzw. eines Angemessenheitsbeschlusses.

7. Löschung und Speicherdauer

Wir speichern Ihre Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen. Sie können Ihr Konto und die zugehörigen Daten in der App löschen lassen. Nach der Löschung entfernen wir Ihre Konto-, Plan- und Trainingsdaten von unseren Servern, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.

8. Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft über Ihre verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zudem haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Die für uns zuständige Behörde ist:

Der Sächsische Datenschutzbeauftragte
Devrientstraße 5
01067 Dresden

9. Aktualität und Änderung dieser Datenschutzerklärung

Durch die Weiterentwicklung der App oder geänderte gesetzliche Vorgaben kann es nötig werden, diese Datenschutzerklärung anzupassen. Die jeweils aktuelle Fassung ist hier abrufbar.