Datenschutzerklärung

1. Verantwortlicher

Rüdiger Riehl, Vogesenstr. 14a, 60529 Frankfurt
E-Mail: info@trainyx.app

2. Hosting & Infrastruktur

Unsere Plattform wird bei der Contabo GmbH (München, Deutschland) gehostet. Beim Besuch der Website werden technisch notwendige Server-Log-Dateien erhoben (IP-Adresse, Zeitstempel, aufgerufene Seite, Browser). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Server-Logs werden nach 14 Tagen automatisch gelöscht.

3. Cookies

Wir verwenden technisch notwendige Cookies für den Login-Status (JWT-Token). Darüber hinaus setzen wir keine Marketing- oder Werbe-Cookies ein. Rechtsgrundlage: § 25 Abs. 2 TDDDG (technisch erforderlich).

4. Analyse-Tools & Drittanbieter

Wir nutzen Plausible Analytics zur anonymen statistischen Auswertung. Plausible wird auf unseren eigenen Servern betrieben (Self-Hosted) — es werden keine Daten an externe Analyse-Dienste übertragen. Es werden keine Cookies gesetzt und keine personenbezogenen Daten gespeichert. Plausible erhebt lediglich aggregierte Seitenaufruf-Statistiken (aufgerufene Seite, Referrer, Land, Gerätetyp) ohne Rückschluss auf einzelne Personen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Angebots).

Wir laden keine externen Fonts, CDNs oder sonstige Drittanbieter-Ressourcen auf der Website.

4a. Absturzberichte der App

Stürzt die App auf iPhone oder Android ab oder tritt ein unerwarteter Fehler auf, sendet sie einen technischen Fehlerbericht an unsere eigene, selbst betriebene Instanz von GlitchTip. Es findet keine Übermittlung an einen Drittanbieter statt. Die Web-Version sendet keine Absturzberichte.

Übermittelt werden: Fehlermeldung, technische Fehlerspur (Stacktrace), Gerätemodell, Betriebssystem- und App-Version.

Nicht übermittelt werden: Name, E-Mail-Adresse, eine Zuordnung zu deinem Konto, Trainingsdaten, Bildschirmaufnahmen oder Bildschirminhalte. Die IP-Adresse wird serverseitig verworfen und nicht gespeichert. Die Berichte enthalten keine Kennung, mit der wir sie einer Person zuordnen könnten.

Nur mit deiner Einwilligung: Die App fragt beim ersten Start auf dem Gerät, ob sie Absturzberichte senden darf; ohne Zustimmung wird nichts gesendet. Du kannst die Entscheidung jederzeit in der App unter Mehr → Daten & Speicher → Einwilligungen ändern. Sie gilt jeweils für das Gerät, auf dem du sie triffst.

Rechtsgrundlage: deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

4b. Standort für das lokale Wetter

Trainyx kann dir zu deinen geplanten Einheiten das lokale Wetter anzeigen, damit du dein Training darauf abstimmen kannst. Dafür fragt die App die Standortberechtigung ab. Du musst nicht zustimmen — lehnst du ab, verwendet Trainyx die Stadt aus deinem Profil, sofern du eine hinterlegt hast. Ohne beides wird kein Wetter angezeigt; alles andere funktioniert unverändert.

Wie genau: Wir fragen den Standort mit der niedrigsten Genauigkeitsstufe ab, in der Größenordnung eines Kilometers. Eine Adresse oder eine Bewegungsspur entsteht dabei nicht.

Was damit geschieht: Die Koordinate wird an unseren Server übermittelt, dort aber nicht gespeichert und deinem Konto nicht zugeordnet. Unser Server ruft damit die Wetterdaten bei der OpenMeteo GmbH, Bürglen (UR), Schweiz ab und rundet die Koordinate vorher auf zwei Nachkommastellen. Deine IP-Adresse erreicht Open-Meteo nicht — die Anfrage stellt unser Server, nicht dein Gerät. Zwischengespeichert wird für eine Stunde ausschließlich das Wetterergebnis zur gerundeten Koordinate, ohne Personenbezug. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission.

Widerruf: Du kannst die Standortfreigabe jederzeit in den Einstellungen deines Geräts beziehungsweise deines Browsers zurücknehmen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, erteilt über die Systemabfrage deines Geräts).

4c. Push-Benachrichtigungen

Erlaubst du Benachrichtigungen, erzeugt dein Gerät einen Push-Token — eine technische Zustelladresse für genau diese App-Installation. Diesen Token speichern wir zusammen mit deinem Konto und der Plattform (iOS, Android oder Web), damit wir dir Erinnerungen und Hinweise zu deinem Training schicken können. Einen Gerätenamen überträgt die App nicht. Die Berechtigung ist freiwillig; ohne sie funktioniert die App unverändert, nur eben ohne Benachrichtigungen.

Empfänger: Der Versand läuft über den Push-Dienst von Expo (650 Industries, Inc., USA) und von dort über den Apple Push Notification service (Apple) beziehungsweise Firebase Cloud Messaging (Google) an dein Gerät. Übermittelt werden dabei der Push-Token und der Text der Benachrichtigung — keine Trainingsdaten. Damit ist eine Übermittlung in die USA verbunden.

Widerruf: Du kannst Benachrichtigungen jederzeit in den Systemeinstellungen deines Geräts abschalten. Der Token wird beim nächsten Zustellversuch als ungültig erkannt und bei uns gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Übermittlung in die USA erfolgt auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem Expo zertifiziert ist; ergänzend hat Expo die EU-Standardvertragsklauseln übernommen.

5. Nutzerkonto, Google- & Apple-Login

Du kannst dich per E-Mail/Passwort oder via Google OAuth2 registrieren. Eine Verknüpfung mit Google dient ausschließlich der Authentifizierung — es werden keine Google-Profildaten gespeichert oder weitergegeben.

In der App für iPhone und iPad kannst du dich auch mit Apple anmelden („Mit Apple anmelden"). Apple übermittelt uns dabei eine Kennung für dein Konto und deine E-Mail-Adresse — wenn du „E-Mail-Adresse verbergen" wählst, eine anonyme Weiterleitungsadresse von Apple — sowie beim ersten Anmelden auf Wunsch deinen Namen. Die Verknüpfung dient ausschließlich der Anmeldung.

Wir speichern deine E-Mail-Adresse und Trainingsdaten ausschließlich auf unseren eigenen Servern bei der Contabo GmbH; Sicherungskopien liegen zusätzlich verschlüsselt auf einem eigenen Sicherungsspeicher des Betreibers (siehe Abschnitt 11). Deine Daten werden gespeichert, bis du dein Konto löschst. Du kannst dein Konto jederzeit in der App unter Profil → Konto löschen vollständig entfernen — dabei werden alle deine Daten unwiderruflich gelöscht. Einzige Ausnahme ist das Versandprotokoll unserer System-E-Mails (siehe Abschnitte 6a und 11), das wir zum Nachweis für eine begrenzte Frist aufbewahren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

5a. Gesundheitsdaten und Einwilligungen

Nach der Anmeldung fragt Trainyx auf einem Bildschirm drei getrennte, freiwillige Einwilligungen ab: Gesundheitsdaten, KI-Coach (Abschnitt 7) und Absturzberichte (Abschnitt 4a). Keine ist vorausgewählt; du kannst jede einzeln erteilen oder ablehnen und jederzeit unter Mehr → Daten & Speicher → Einwilligungen ändern.

Gesundheitsdaten sind Angaben über deinen Gesundheitszustand: Körperwerte (z. B. Gewicht, Körperfett), dein Tagesbefinden (Schlaf, Stress, Motivation, Gefühl) sowie Beschwerden, Verletzungen und medizinische Hinweise. Wir speichern und verwenden sie, um dein Training darauf abzustimmen — nur mit deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO). Ohne diese Einwilligung werden sie bei Planung, Auswertung und KI-Coach nicht berücksichtigt.

Trainingsdaten wie Dauer, Distanz, Puls während der Einheit, Pulszonen und -schwellen, Leistungstests sowie Importe von Uhren (Polar, Garmin, Apple Health, Health Connect) gehören nicht dazu: Sie beschreiben Belastung und Leistung, nicht deinen Gesundheitszustand, und sind für die Trainingsplanung erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Ruhepuls und Herzfrequenzvariabilität verarbeiten wir nicht.

Widerruf: Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Jede Erteilung und jeder Widerruf wird mit Zeitpunkt und Textfassung protokolliert.

5b. Zugriff durch uns zur Fehlerbehebung

Damit wir Probleme — etwa einen unpassenden Trainingsplan — nachvollziehen und beheben können, kann der Betreiber mit Administrationsrechten auf deine Trainings-, Plan- und Coach-Daten sowie die zugehörigen KI-Anfragen zugreifen. Dabei können wir auf Basis deiner Daten Testpläne erzeugen; diese sind reine Vorschauen und verändern deinen Kalender nicht. Jeder solche Zugriff wird protokolliert (wer, wann, welcher Datensatz).

Wir nutzen deine Daten nicht, um KI-Modelle oder Prompts zu trainieren oder statistisch auszuwerten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (funktionierende Trainingsplanung); soweit Gesundheitsdaten betroffen sind, deine Einwilligung aus Abschnitt 5a, deren Zweck unverändert bleibt.

6. Kontaktaufnahme

Bei Kontaktaufnahme per E-Mail oder Kontaktformular werden die mitgeteilten Daten zur Bearbeitung der Anfrage gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f DSGVO.

6a. E-Mails von uns an dich

Wir schreiben dir aus drei Postfächern, je nach Anlass. Versendet werden die E-Mails über die IONOS SE (Montabaur, Deutschland) als Auftragsverarbeiter.

welcome@trainyx.app — Begrüßung und Zugang (Einladung zur Beta, Willkommensnachricht). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
support@trainyx.app — Antworten auf deine Anfragen sowie Servicenachrichten zu deinem Konto, etwa der Link zum Zurücksetzen deines Passworts. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
info@trainyx.app — Informationen zu Neuerungen (Newsletter). Diese Mails erhältst du nur, wenn der Newsletter in deinem Profil eingeschaltet ist; ohne diese Einstellung wird der Versand technisch verweigert. Du schaltest ihn bei der Registrierung, im Onboarding oder unter Profil → Persönliche Daten ein — und dort jederzeit wieder aus. Für Tester, die vor dem 12.09.2026 über die Beta-Anmeldung dabei waren, haben wir die Einstellung aktiviert, damit sie die Beta-Informationen wie bisher erhalten; auch sie können sie jederzeit abschalten. Jede dieser E-Mails enthält einen Abmeldehinweis. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (eigene Einstellung) bzw. lit. f DSGVO (Fortführung der Beta-Kommunikation mit bestehenden Testern).

Versandprotokoll. Für jede dieser E-Mails speichern wir, wann sie an welche Adresse ging, mit welchem Betreff und Wortlaut, ob der Versand gelang und — bei Newsletter-Mails — dass deine Zustimmung zum Versandzeitpunkt vorlag. Sicherheitsrelevante Bestandteile wie Einladungs- oder Passwort-Links werden dabei nicht im Klartext abgelegt. Zweck ist der Nachweis im Fall von Rückfragen oder Beschwerden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Geltendmachung und Verteidigung von Rechtsansprüchen). Die Speicherdauer findest du in Abschnitt 11.

7. KI-Coach & Datenverarbeitung

Um Trainingspläne zu erstellen und Wochen zu analysieren, nutzt Trainyx externe KI-Modelle. Die Anfragen erfolgen ausschließlich serverseitig von unseren Servern aus — die App kommuniziert nie direkt mit einem KI-Provider. Im Einsatz ist ausschließlich OpenAI.

Datenminimierung: Vor der Übermittlung werden die Daten auf den notwendigen Trainingskontext reduziert. Nicht übermittelt werden: Name, E-Mail-Adresse, Passwort, User- und Session-IDs, Standortdaten (keine GPS-Koordinaten, keine Stadt, keine Adresse), Zahlungsdaten und Bilder. Übermittelt werden:

Sportarten, Erfahrungslevel, Trainingsziel
Schwellenwerte (Herzfrequenz, Pace, Leistung)
Verfügbarkeit und Equipment-Auswahl
Trainingshistorie (Dauer, Distanz, Intensität, Status)
Aggregierte Geräte-Metriken (Trainingseffekt, Herzfrequenz-Durchschnitt)
Tagesbefinden (Gefühl, Schlafqualität, Motivation, Stress)
Intensitätszonen und Periodisierungskontext
Altersgruppe (als Band, z. B. „30–39" — nicht dein exaktes Geburtsdatum oder Alter) und Geschlecht — beides ist trainingsphysiologisch relevant (Progression, Regeneration, Herzfrequenz-Erwartung)

Die übermittelten Daten sind pseudonymisiert, aber weiterhin personenbezogen im Sinne der DSGVO. Die KI-Provider handeln als Auftragsverarbeiter (Art. 28 DSGVO) und verwenden die Daten nicht für Modell-Training. Vertragspartner ist die OpenAI Ireland Limited; die Übermittlung in die USA stützt sich auf die in den Auftragsverarbeitungsvertrag einbezogenen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). OpenAI bewahrt Anfragen und Antworten bis zu 30 Tage zur Erkennung von Missbrauch auf und löscht sie danach; das fertige Ergebnis (Plan, Analyse) wird in deinem Konto auf unseren Servern gesichert.

Deine Einwilligung ist Voraussetzung. Die App fragt auf dem Einwilligungs-Bildschirm (Abschnitt 5a) bzw. vor der ersten Nutzung einer KI-Funktion ausdrücklich um deine Zustimmung und zeigt dir, was übermittelt wird und was nicht. Ohne diese Zustimmung wird nichts an KI-Anbieter übermittelt: unsere Server weisen jede KI-Anfrage ab, solange die Einwilligung fehlt — das ist technisch durchgesetzt und nicht bloß ein Hinweis. Gesundheitsdaten (Befinden, Körperwerte, Beschwerden) gehen nur mit, wenn du zusätzlich der Verarbeitung von Gesundheitsdaten zugestimmt hast (Abschnitt 5a). Du kannst die Zustimmung jederzeit in der App unter Mehr → Daten & Speicher → Einwilligungen widerrufen, genauso einfach wie du sie erteilt hast (Art. 7 Abs. 3 DSGVO). Danach sind die KI-Funktionen wieder gesperrt. Ohne Einwilligung bleibt Trainyx voll nutzbar — Kalender, Einheiten, Auswertungen und Geräte-Import funktionieren unverändert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); die KI-Funktionen sind zugleich Teil des Dienstes (Art. 6 Abs. 1 lit. b DSGVO), bleiben aber verzichtbar. Alle Details zur KI-Datenverarbeitung.

8. Schnittstellen und Importe (Polar, Garmin, Apple Health, Health Connect)

Polar: Die Verbindung mit deinem Polar-Konto erfolgt per OAuth2 über eine direkte Schnittstelle, die wir selbst implementiert haben; es werden keine weiteren Datentreuhänder zwischengeschaltet. Du kannst die Verbindung jederzeit in der App trennen.

Garmin-Datei: Lädst du eine Aktivitätsdatei (FIT oder ZIP) aus Garmin Connect hoch, lesen wir daraus die Trainingsdaten der Einheit. Die Datei selbst speichern wir nicht.

Apple Health (iPhone) und Health Connect (Android): Wenn du die Verbindung in der App einschaltest, liest Trainyx auf deinem Gerät die Trainings, die deine Uhr oder deren App dort gespeichert hat, und überträgt sie an unseren Server. Gelesen werden ausschließlich: Sportart, Beginn, Ende und Pausen des Trainings sowie die während des Trainings gemessene Herzfrequenz, Distanz, aktive Kalorien, Geschwindigkeit, Höhenmeter und Leistung. Körperwerte, Schlaf, Ruhepuls, Herzfrequenzvariabilität und medizinische Daten lesen wir nicht. Trainyx schreibt nichts in Apple Health oder Health Connect.

Zweck ist ausschließlich deine Trainingsplanung: Ein importiertes Training hakt die passende geplante Einheit ab, fließt in Auswertungen und Trainingsbelastung ein und — wenn du dem KI-Coach zugestimmt hast (Abschnitt 7) — in die Planung durch den KI-Coach. Die Daten werden nicht für Werbung verwendet, nicht verkauft und nicht an Dritte weitergegeben; sie werden nicht in iCloud gespeichert. Es gelten die Speicherdauer aus Abschnitt 11 und deine Rechte aus Abschnitt 9.

Du kannst den automatischen Abgleich in der App unter Mehr → Apps & Geräte ausschalten und die Leseerlaubnis in Apple Health bzw. in den Health-Connect-Einstellungen jederzeit entziehen. Bereits übernommene Trainings kannst du in der App löschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags — Trainingsplanung); das Verbinden von Polar, das Hochladen einer Datei und das Einschalten von Apple Health bzw. Health Connect sind freiwillig.

9. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Zur Ausübung wende dich an info@trainyx.app.

10. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit.

11. Speicherdauer

Konto- und Trainingsdaten: solange dein Konto besteht. Nach der Löschung werden sie vollständig entfernt; in Sicherungskopien können sie bis zu sechs Monate nachlaufen. Die Sicherungskopien dienen ausschließlich der Wiederherstellung nach einem Ausfall und werden danach planmäßig gelöscht.
Sicherheits-Protokolle (Anmeldeversuche, administrative Zugriffe, jeweils mit gekürzter IP-Adresse): 365 Tage, danach automatische Löschung. Zweck ist die Erkennung und Aufklärung von Missbrauch (Art. 6 Abs. 1 lit. f, Art. 32 DSGVO).
Protokolle der KI-Anfragen (siehe Abschnitt 7): 30 Tage, danach automatische Löschung.
Versandprotokoll unserer E-Mails (siehe Abschnitt 6a): bis zum Ende des dritten Kalenderjahres nach dem Versand — entsprechend der regelmäßigen Verjährungsfrist (§§ 195, 199 BGB) — danach automatische Löschung. Dieses Protokoll bleibt auch nach einer Kontolöschung für diese Frist bestehen, weil es sonst seinen Nachweiszweck nicht erfüllen könnte.