Datenschutzerklärung

Kiptly („wir“, „uns“, „der Dienst“) ist eine Fitness-Tracking-App für iOS und Android einschließlich der Website kiptly.com. Diese Datenschutzerklärung erläutert, wie wir deine personenbezogenen Daten erheben, verwenden, weitergeben und schützen und welche Rechte du nach der Datenschutz-Grundverordnung der EU (DSGVO) hast.

Verantwortlicher: Aliaksandr Samuseu, Privatperson mit Wohnsitz in Polen. Kontakt: [email protected].

1. Welche Daten wir erheben

Wir erheben nur die Daten, die für den Dienst erforderlich sind. Kategorien:

• Kontodaten: Name, E-Mail-Adresse und Profilfoto, die wir erhalten, wenn du dich über Google oder Apple anmeldest.
• Trainingsdaten: Übungen, Sätze, Wiederholungen, Gewicht, Dauer, Notizen und Bestleistungen, die du im Dienst erfasst.
• Körpermaße (optional): Gewicht, Körperfettanteil und Umfänge, wenn du sie eingeben möchtest.
• Gesundheitsbezogene Daten – besondere Kategorie (Art. 9 DSGVO): Angaben zu deinem Menstruationszyklus, die du eingibst (wenn du das Training nach Zyklus aktivierst), und Erholungsdaten, die du eingibst – Schlafdauer und -qualität, Ruhepuls und Herzfrequenzvariabilität. Diese Daten werden erst verarbeitet, nachdem du im Dienst ausdrücklich eingewilligt hast.
• Schritte und Schlaf aus Apple Health oder Health Connect (optional): Nur wenn du auf der Karte „Schritte und Schlaf“ in der App auf „Verbinden“ tippst und den Zugriff erlaubst, liest die App aus Apple Health (iOS) oder Health Connect (Android) deine täglichen Schritte und deine Schlafzeit der letzten 7 Tage und zeigt sie dir auf dieser Karte. Diese Werte bleiben auf deinem Gerät; wir erhalten sie nicht. Wir erhalten nur, ob überhaupt Schritte und ob überhaupt Schlaf gefunden wurden – ein Ja oder Nein für jedes – und ob dein Gerät iOS oder Android verwendet. Die Karte liest nichts anderes aus Apple Health oder Health Connect und schreibt nichts hinein. Trainings in Apple Health oder Health Connect (optional): Nur wenn du in den Einstellungen der App das Speichern von Trainings einschaltest und es erlaubst, speichert die App jedes Training, das du danach auf diesem Handy beendest, in Apple Health oder Health Connect – als Krafttraining mit Start- und Endzeit, ohne Übungen, Sätze, Gewichte oder Kalorien. Die App schreibt das auf deinem Gerät in den Speicher, den du gewählt hast; wir erhalten davon nichts, und der Schalter wird auf deinem Handy gespeichert. Ein Training, das du in der App löschst, wird auch dort entfernt; bereits gespeicherte Trainings bleiben dort, auch wenn du den Schalter ausschaltest, bis du sie dort löschst. Trainings, die du mit der Kiptly-App auf der Apple Watch aufzeichnest, speichert die Uhr selbst in Apple Health – mit der Herzfrequenz und der aktiven Energie, die sie währenddessen gemessen hat; das Handy speichert sie nicht ein zweites Mal.
• Gerätedaten: Push-Token, Zeitzone, Version des Betriebssystems und App-Version.
• Anmeldeprotokolle: Bei jeder Anmeldung speichern wir die Methode (Google, Apple oder E-Mail), die Gerätebeschreibung, die dein Browser oder deine App sendet, die IP-Adresse der Verbindung sowie Beginn und Ende der Sitzung. Wir speichern dies, damit du eine Anmeldung erkennen kannst, die nicht von dir stammt, und um gestohlene Sitzungen zu beenden. Wir bewahren diese Daten bis 90 Tage nach Ablauf der Sitzung auf; eine Sitzung, in der du noch angemeldet bist, wird nie entfernt.
• Diagnosedaten: Absturzberichte und Fehlerprotokolle, einschließlich Stacktrace, Gerätetyp, Version des Betriebssystems, App-Version und deiner anonymisierten Konto-ID. Deine E-Mail-Adresse, deinen Namen oder Trainingsinhalte erfassen wir in Diagnosedaten nicht.

2. Rechtsgrundlagen der Verarbeitung

Nach Art. 6 DSGVO (und Art. 9 DSGVO für gesundheitsbezogene Daten) stützen wir uns auf folgende Rechtsgrundlagen:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b): Die Verarbeitung von Konto-, Trainings- und Abodaten ist erforderlich, um den Dienst bereitzustellen, für den du dich registriert hast.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f): Sicherheit, Betrugsprävention sowie Diagnose von Abstürzen und Fehlern; Produkt-E-Mails (zum Beispiel Erinnerungen an die Testphase, Trainingseinladungen von Trainern und Freunden, Erinnerungen an den Fragebogen und Trainingszusammenfassungen); anonyme Analysen der Produktnutzung mit Amplitude (siehe Abschnitt 5). Unser Interesse ist es, den Dienst stabil und sicher zu halten, dich über ihn zu informieren und ihn zu verbessern. Du kannst jederzeit widersprechen: Jede Produkt-E-Mail enthält einen Link zum Abbestellen, und in den Einstellungen der App kannst du die Analysen ausschalten. Wir senden nie Werbung Dritter.
• Einwilligung (Art. 6 Abs. 1 lit. a): Push-Benachrichtigungen und jede andere optionale Verarbeitung, für die wir dich ausdrücklich um Zustimmung bitten. Du kannst deine Einwilligung jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird.
• Ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a): gesundheitsbezogene Daten. Die Daten zu deinem Zyklus und die Erholungsdaten, die du eingibst, deckt eine Einwilligung ab; Schritte und Schlaf aus Apple Health oder Health Connect eine gesonderte Einwilligung, die du erteilst, wenn du auf „Verbinden“ tippst. Du kannst jede davon jederzeit in der App widerrufen, ohne die andere zu berühren.

3. Wie wir deine Daten verwenden

• Deine Trainings, deinen Fortschritt und deine Statistiken im Dienst anzeigen.
• Wenn du Apple Health oder Health Connect verbindest: deine Schritte und deinen Schlaf der letzten 7 Tage auf der Karte „Schritte und Schlaf“ anzeigen und die Angabe, ob welche gefunden wurden, nutzen, um diese Funktion zu verbessern – etwa um zu entscheiden, ob wir eine ausführlichere Ansicht für Schritte und Schlaf bauen.
• Deine Daten zwischen deinen Geräten synchronisieren.
• Push-Benachrichtigungen, die du erlaubst (Trainingserinnerungen, Nachrichten von Trainern), und unsere E-Mails senden: transaktionale E-Mails, etwa Zahlungsbelege, und Produkt-E-Mails, die du jederzeit abbestellen kannst.
• Die Zuverlässigkeit verbessern, Abstürze diagnostizieren und Fehler beheben – mit anonymisierten Diagnosedaten.
• Betrug und Missbrauch erkennen, einschließlich Abo-Missbrauch und Verstößen gegen die Nutzungsbedingungen.

4. Gesundheits- und Fitnessdaten – besondere Hinweise

• Gesundheitsbezogene Daten verarbeiten wir nur mit deiner ausdrücklichen Einwilligung, die du getrennt von der Annahme der Nutzungsbedingungen erteilst.
• Apple Health und Health Connect: Die App liest nur Schritte und Schlaf, nur nachdem du auf „Verbinden“ getippt und den Zugriff erlaubt hast, und nur, um sie dir zu zeigen und diese Funktion zu verbessern. Nichts davon geht an Werbetreibende oder Datenhändler oder an die Analyse- und Absturzberichtsdienste aus Abschnitt 5 (Amplitude, Sentry), und nichts davon wird deinem Trainer gezeigt. Du kannst die Verbindung jederzeit in der App trennen und den Zugriff selbst in den Einstellungen von Apple Health oder Health Connect auf deinem Gerät widerrufen. Sie schreibt dort nur die oben beschriebenen Trainings hinein, und nur, wenn du das in den Einstellungen der App einschaltest.
• Gesundheits- oder Fitnessdaten verwenden wir nie für Werbung, Marketing oder Data-Mining.
• Gesundheits- oder Fitnessdaten verwenden wir nie, um zu entscheiden, ob du für eine Beschäftigung, eine Versicherung, einen Kredit oder Wohnraum infrage kommst.
• Personenbezogene Gesundheitsdaten legen wir nie in iCloud oder einer anderen Verbraucher-Cloud eines Dritten ab. Deine Gesundheitsdaten werden auf unseren verwalteten Servern in der EU (Hetzner, Deutschland) gespeichert, wie in Abschnitt 5 beschrieben, und nur in den dort beschriebenen verschlüsselten Backup-Speicher repliziert.
• Wir verkaufen deine Daten nie an Dritte und geben sie nicht an Werbetreibende weiter.

5. Dienstleister

Für den Betrieb des Dienstes geben wir Daten an eine begrenzte Zahl von Dienstleistern weiter. Diejenigen, die sie in unserem Auftrag verarbeiten, sind durch einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO gebunden:

• Google-Anmeldung und Apple-Anmeldung: Authentifizierung, wenn du dich mit Google oder Apple anmeldest. Diese Anmeldung läuft nach den eigenen Datenschutzbestimmungen von Google und Apple. Ausgetauschte Daten: Anmeldetoken, E-Mail-Adresse, Name, Profilbild.
• RevenueCat (USA): Verwaltung der Abos. Weitergegebene Daten: anonymisierte Nutzer-ID, Abostatus. Übermittlungen auf Grundlage des EU-US Data Privacy Framework und von Standardvertragsklauseln.
• Firebase Cloud Messaging (USA): Zustellung von Push-Benachrichtigungen. Weitergegebene Daten: Push-Token. Übermittlungen auf Grundlage des EU-US Data Privacy Framework und von Standardvertragsklauseln.
• Resend (USA): Zustellung unserer E-Mails, sowohl der transaktionalen (Belege, Zurücksetzen des Passworts, wichtige Kontohinweise) als auch der Produkt-E-Mails (zum Beispiel Erinnerungen an die Testphase und an den Fragebogen, Trainingseinladungen, Trainingszusammenfassungen). Weitergegebene Daten: E-Mail-Adresse, Inhalt der Nachricht. Übermittlungen auf Grundlage des EU-US Data Privacy Framework und von Standardvertragsklauseln.
• Sentry (USA): Absturz- und Fehlerberichte. Weitergegebene Daten: Stacktrace, Gerätetyp, Version des Betriebssystems, App-Version, anonymisierte Konto-ID. E-Mail-Adresse, Name oder Trainingsinhalte übermitteln wir nicht an Sentry. Übermittlungen auf Grundlage des EU-US Data Privacy Framework und von Standardvertragsklauseln.
• Amplitude (Europäische Union): anonyme Analysen der Produktnutzung (welche Funktionen genutzt werden, Funnel-Ereignisse), verarbeitet im EU-Rechenzentrum von Amplitude (Frankfurt, Deutschland). Weitergegebene Daten: eine zufällige Kennung pro Person und Namen von Ereignissen – keine E-Mail-Adresse, kein Name, keine Trainingsinhalte. Du kannst unter Einstellungen → Rechtliches in der App widersprechen. Verbundene Unternehmen von Amplitude in den USA können für Support, Sicherheit und Fehlersuche aus der Ferne auf diese Daten zugreifen; diese Übermittlungen erfolgen auf Grundlage des EU-US Data Privacy Framework und von Standardvertragsklauseln.
• Hetzner Online GmbH (Deutschland): Hosting der Hauptdatenbank und der Anwendungsserver innerhalb der Europäischen Union.
• Cloudflare, Inc. (USA, mit Rechenzentren in der EU): DNS, Schutz vor DDoS-Angriffen und externer verschlüsselter Backup-Speicher (Cloudflare R2, EU-Region). Backups werden innerhalb von 30 Tagen rotiert. Übermittlungen auf Grundlage des EU-US Data Privacy Framework und von Standardvertragsklauseln.

6. Dein Trainer

Wenn du dich in Kiptly mit einem Trainer verbindest, erhält er Zugriff auf deine Kundenkarte: alles, was du in der App erfasst – deine Antworten im Fragebogen, Trainings und Messungen –, zusammen mit eurem Chat und allem, was er selbst zu deinem Training festhält: Notizen, von ihm geplante Termine und dir zugewiesene Programme sowie während eines Trainings erfasste Messungen. Drei Dinge bleiben in deinem Profil unter deiner Kontrolle: ob er Nachrichten aus der Zeit vor eurer Verbindung lesen darf, ob er Trainings für dich erfassen darf und – sobald wir die Ernährungsansicht bauen – ob er dein Ernährungstagebuch sehen darf. Du kannst das jederzeit ändern.

Die Daten bleiben bei uns. Kiptly speichert deine Daten und gewährt deinem Trainer Zugriff darauf, solange ihr zusammenarbeitet. Du kannst die Verbindung jederzeit trennen; danach kann dein Trainer deine Karte 90 Tage lang noch in dem Stand öffnen, den sie am Tag der Trennung hatte, und sieht nichts, was du danach tust. Anschließend löschen wir die von ihm geplanten Termine und die dir zugewiesenen Programme; seine Notizen bleiben Teil deiner Daten, und du kannst sie weiter lesen.

Das Verhältnis zwischen dir und deinem Trainer regeln wir nicht. Kiptly gibt euch die Mittel zur Zusammenarbeit; Bedingungen, Bezahlung und Pflichten sind eine Sache zwischen euch beiden.

7. Übermittlungen in Drittländer

Deine Daten werden vorrangig auf Servern in der Europäischen Union (Hetzner, Deutschland) gespeichert. Einige unserer oben genannten Auftragsverarbeiter sind in den USA tätig. Diese Übermittlungen stützen sich auf das EU-US Data Privacy Framework, soweit der Auftragsverarbeiter zertifiziert ist, sowie auf Standardvertragsklauseln der Europäischen Kommission mit den erforderlichen zusätzlichen Garantien.

8. Speicherdauer

• Aktive Konten: Wir speichern deine personenbezogenen Daten, solange dein Konto aktiv ist.
• Schritte und Schlaf (Ja oder Nein): gespeichert, solange die Verbindung besteht, und innerhalb von 30 Tagen nach dem Trennen oder der Löschung deines Kontos gelöscht.
• Nach dem Löschen des Kontos: Alle personenbezogenen Daten werden innerhalb von 30 Tagen endgültig entfernt.
• Externe Backups: werden innerhalb von 30 Tagen rotiert; gelöschte Daten verschwinden innerhalb dieses Zeitraums auch aus den Backups.
• Absturz- und Fehlerprotokolle: werden bis zu 90 Tage bei Sentry aufbewahrt und dann gelöscht.
• Zusammengefasste Statistiken: werden unbegrenzt in vollständig anonymisierter Form aufbewahrt, ohne Kennungen, die auf dich zurückführen könnten.

9. Sicherheit

Wir schützen deine Daten bei der Übertragung mit TLS 1.3 und im Ruhezustand mit AES-256-Verschlüsselung. Der Zugriff auf Produktivsysteme ist auf befugte Personen beschränkt und wird protokolliert. Geheimnisse und Zugangsdaten werden in einem verwalteten Dienst für Geheimnisse gespeichert.

Bei einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich deine Rechte und Freiheiten beeinträchtigt, melden wir dies innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde und benachrichtigen betroffene Personen unverzüglich, wie in Art. 33 und 34 DSGVO vorgeschrieben.

10. Deine Rechte (DSGVO)

Nach der DSGVO hast du folgende Rechte:

• Recht auf Auskunft (Art. 15): eine Kopie deiner Daten anfordern. Direkt in der App abrufbar; die Schritte stehen auf kiptly.com/support.
• Recht auf Berichtigung (Art. 16): dein Profil jederzeit in der App bearbeiten.
• Recht auf Löschung (Art. 17): dein Konto samt allen zugehörigen Daten selbst in der App löschen. Die Schritte für deine App-Version stehen auf kiptly.com/support.
• Recht auf Einschränkung der Verarbeitung (Art. 18): uns bitten, die Verarbeitung in bestimmten Fällen auszusetzen.
• Recht auf Datenübertragbarkeit (Art. 20): deine Trainings und deinen Fortschritt als CSV exportieren.
• Widerspruchsrecht (Art. 21): einer Verarbeitung widersprechen, die auf berechtigten Interessen beruht.
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3): jede erteilte Einwilligung jederzeit so einfach widerrufen, wie du sie erteilt hast. Der Widerruf berührt nicht die Rechtmäßigkeit der bisherigen Verarbeitung.
• Beschwerderecht (Art. 77): eine Beschwerde bei der polnischen Aufsichtsbehörde, dem Urząd Ochrony Danych Osobowych (uodo.gov.pl), oder bei der Datenschutzbehörde deines Landes in der EU/im EWR einlegen.

Um eines dieser Rechte auszuüben, schreib an [email protected]. Wir antworten innerhalb von 30 Tagen.

Wir führen keine automatisierten Entscheidungen oder Profiling durch, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen.

11. Kinder

Der Dienst richtet sich an Personen ab 16 Jahren. Wir erheben wissentlich keine Daten von Kindern unter 16 Jahren. Wenn du glaubst, dass ein Kind dem Dienst personenbezogene Daten übermittelt hat, wende dich bitte an [email protected], und wir löschen sie umgehend.

12. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Über wesentliche Änderungen informieren wir dich mindestens 30 Tage vor ihrem Inkrafttreten per E-Mail und mit einem Hinweis in der App. Das Datum oben auf dieser Seite zeigt die letzte Aktualisierung.

13. Kontakt

Bei Fragen zum Datenschutz oder um deine Rechte auszuüben, wende dich an den Verantwortlichen, Aliaksandr Samuseu, unter [email protected].