Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist Michael Kamleiter, Deutenbacherstraße 46, 90547 Stein, Deutschland. Kontakt: info@getreppd.app.

2. Datenschutzbeauftragter

Aufgrund der derzeitigen Größe des Dienstes ist die Bestellung eines Datenschutzbeauftragten nicht gesetzlich vorgeschrieben. Für alle Anfragen zum Datenschutz erreichst du den Verantwortlichen direkt unter info@getreppd.app.

3. Welche Daten wir erheben

3.1 Website (getreppd.app)

Diese Website besteht überwiegend aus statischen Seiten; nur die Seiten für geteilte Workouts (3.1.3) werden beim Aufruf erzeugt. Wir setzen keine Analytics, keine Tracking-Pixel, keine Werbe-Cookies und keine externen Schriften oder Embeds ein. Über die reine Auslieferung der Seite hinaus erheben wir nur die unten genannten technischen Verbindungsdaten.

3.1.1 Server-Logfiles

Beim Aufruf von getreppd.app verarbeitet unser Hosting-Provider automatisch technische Verbindungsdaten in Logfiles:

• gekürzte IP-Adresse
• Datum und Uhrzeit der Anfrage
• aufgerufene URL und HTTP-Statuscode
• übertragene Datenmenge
• Referrer-URL
• User-Agent (Browser-/Betriebssystem-Kennung)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb der Website sowie an der Abwehr missbräuchlicher Zugriffe). Speicherdauer: in der Regel maximal 14 Tage, danach automatische Löschung. Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt.

Hosting-Auftragsverarbeiter: Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA (Cloudflare Workers). Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Auslieferung erfolgt überwiegend über Edge-Server in der jeweiligen Nutzerregion.

3.1.2 Kontaktaufnahme per E-Mail

Wenn du uns per E-Mail kontaktierst, verarbeiten wir die von dir mitgeteilten Daten (E-Mail-Adresse, Name, Inhalt) zur Bearbeitung deiner Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen / Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung). Wir löschen die Korrespondenz, sobald sie für den Zweck nicht mehr erforderlich ist, spätestens nach drei Jahren — es sei denn, gesetzliche Aufbewahrungsfristen (z. B. § 257 HGB) verlangen eine längere Aufbewahrung.

3.1.3 Geteilte Workouts (getreppd.app/w/…)

Rufst du einen Link zu einem geteilten Workout oder Trainingsplan auf, fragt unser Server den im Link enthaltenen Code bei unserem App-Backend ab und zeigt eine Vorschau an. Dabei werden keine Daten über dich übermittelt — weder deine IP-Adresse noch Cookies; dein Browser stellt keine Anfragen an Dritte. Wir protokollieren lediglich, dass der Code aufgerufen wurde (ohne Personenbezug), um die Nutzung offizieller Codes auszuwerten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung der Vorschau).

3.2 reppd App

a) Authentifizierungsdaten

Bei der Kontoerstellung speichern wir deine E-Mail-Adresse sowie einen gehashten Passwort-Verifier bei unserem Backend-Anbieter Supabase (siehe Abschnitt 5). Diese Daten werden serverseitig nicht Ende-zu-Ende-verschlüsselt verarbeitet, um Login und Kontosicherheit zu ermöglichen. System-E-Mails (z. B. Bestätigung der Registrierung, Passwort-Zurücksetzen) versenden wir über den E-Mail-Dienst Resend (Resend, Inc., USA); dabei werden deine E-Mail-Adresse und der Inhalt der jeweiligen System-E-Mail verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

b) Trainings- und Körperdaten (besondere Kategorie, Art. 9 DSGVO)

Workouts, Sätze/Wiederholungen/Gewichte, Conditioning-Einheiten sowie optionale Körpermaße (z. B. Gewicht, Umfänge) können Gesundheitsdaten im Sinne von Art. 4 Nr. 15 DSGVO sein und fallen dann unter die besondere Kategorie nach Art. 9 DSGVO. reppd speichert diese Daten zunächst lokal auf deinem Gerät und synchronisiert sie mit deinem Konto auf den Servern unseres Backend-Anbieters Supabase (Rechenzentrum in Frankfurt am Main, EU).

Dabei gilt:

• Ende-zu-Ende-verschlüsselt (optional): Wenn du die Verschlüsselung in der App aktivierst, werden deine persönlichen Profildaten (Name, Geburtsdatum, Geschlecht, Größe, Körpergewicht) und deine Körpermaße auf deinem Gerät mit AES-256-GCM verschlüsselt, bevor sie unsere Server erreichen. Den Schlüssel kennen nur deine Geräte (iCloud-Schlüsselbund) und dein Wiederherstellungsschlüssel — wir können diese Inhalte nicht entschlüsseln. Ohne aktivierte Verschlüsselung werden diese Daten nicht mit dem Server synchronisiert.
• Nicht Ende-zu-Ende-verschlüsselt: Alle übrigen Inhalte — insbesondere Workouts, Sessions, Sätze, Conditioning-Einheiten, Trainingspläne, Statistiken, Erfolge und Punkte sowie deine im Spotter hinterlegten Einschränkungen und Vorlieben — liegen auf dem Server lesbar vor. Sie sind durch TLS-Transportverschlüsselung, die Speicherverschlüsselung des Hosting-Anbieters und Zugriffsregeln auf Datenbankebene (Row Level Security) geschützt, sodass nur dein Konto sie abrufen kann. Technisch können wir als Betreiber auf diese Daten zugreifen; wir tun das nur, soweit es für den Betrieb (z. B. KI-Funktionen auf deinen Wunsch, Fehlerbehebung) erforderlich ist.

Details zur Verschlüsselung: Verschlüsselungsseite .

Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung, erteilt mit Kontoerstellung) i. V. m. Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Du kannst die Einwilligung jederzeit widerrufen, indem du dein Konto in der App löschst — deine Daten werden dann unmittelbar und kaskadierend gelöscht (siehe Abschnitt 10).

c) Apple Health Sync (optional)

Wenn du die Health-Integration aktivierst, schreibt reppd auf dem iPhone deine abgeschlossenen Workouts (ggf. mit der Anstrengungsbewertung) sowie die von dir in reppd erfassten Körpermaße Gewicht und Taillenumfang nach Apple Health. Die iPhone-App liest keine Daten aus Apple Health.

Nutzt du die Apple-Watch-App, startet sie während einer Session ein Workout auf der Watch und liest dafür mit deiner Erlaubnis Herzfrequenz und aktive Energie (Kalorien) aus HealthKit, um sie live auf der Watch und im Session-Bildschirm des iPhones anzuzeigen. Am Ende speichert die Watch das Workout inklusive dieser Werte in Apple Health. Puls- und Kalorienwerte werden nur lokal zwischen Watch und iPhone übertragen; sie werden von reppd nicht dauerhaft gespeichert und nicht an unsere Server gesendet.

Du kannst die Health-Berechtigungen jederzeit in den iOS-Systemeinstellungen entziehen.

Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (Einwilligung, erteilt beim erstmaligen Aktivieren der Health-Integration).

d) Abonnement & Zahlung (Pro)

Käufe und Abonnements werden ausschließlich über Apple In-App Purchase abgewickelt. Vertragspartner für die Zahlung ist Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Zur Verwaltung von Abonnements und Credit-Käufen nutzen wir den Dienst RevenueCat (RevenueCat, Inc., USA). Dabei verarbeitet RevenueCat deine pseudonyme reppd-Konto-ID (als App-User-ID), Kauf- und Abo-Informationen (z. B. Produkt, Kaufzeitpunkt, Laufzeit, Status) sowie technische Geräte- und App-Informationen und meldet den Abo-Status an unser Backend. Wir erhalten keine Zahlungsdaten, keine Kreditkarteninformationen und keine Apple-ID-Daten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Übermittlung in die USA erfolgt auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und, soweit anwendbar, des EU-U.S. Data Privacy Framework.

e) KI-Funktionen (Spotter, KI-Workouts, Import)

Nur wenn du eine KI-Funktion aktiv nutzt (z. B. den Spotter-Chat, Bewertungen und Auswertungen, KI-Workouts, Übungs-Tipps und Alternativen oder den Workout-Import), übermittelt unser Server die dafür notwendigen Daten im Klartext an unseren KI-Auftragsverarbeiter Anthropic. Das sind deine Eingabe (z. B. deine Frage, ein beschriebener Trainingsplan oder der auf deinem Gerät erkannte Text eines Bildes — nicht das Bild selbst) sowie, soweit für die Funktion relevant, dein Trainingsprofil (Fitnesslevel, Ziel, Trainingstage, Trainingsort, Volumenziele, Equipment), deine im Spotter hinterlegten Einschränkungen und Vorlieben, die Zahl deiner Trainingseinheiten der letzten 28 Tage und die Namen deiner letzten Workouts. Wir übergeben dabei keine E-Mail-Adresse, keine Profilkennung und keine Körperdaten.

Alle KI-Anfragen bearbeitet Anthropic PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA (Claude API), unabhängig von Funktion und Tarif. Anthropic gibt an, API-Eingaben nicht zum Training seiner Modelle zu verwenden.

Ergebnisse wie Workout- und Plan-Bewertungen sowie Wochen- und Monatsauswertungen speichern wir in deinem Konto, damit du sie in der App wieder aufrufen kannst. Chat-Nachrichten und Antworten speichern wir nicht auf unserem Server; dort protokollieren wir nur Nutzungsdaten (Funktion, Zeitpunkt, Modell, Tokenanzahl, verbrauchte Credits, ggf. dein Daumen-Feedback) für Kontingente und Abrechnung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, soweit du die KI-Funktion aktiv nutzt). Mit den Anbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Die Übermittlung in die USA erfolgt auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und, soweit anwendbar, des EU-U.S. Data Privacy Framework.

f) Workouts teilen (Pro)

Teilst du ein Workout oder einen Trainingsplan, speichern wir eine Kopie des Inhalts (Name, Übungen, Sätze/Wiederholungen, Pausen, Notizen) unter einem zufälligen Code auf unseren Servern. Diese Kopie ist nicht verschlüsselt: Jede Person mit dem Code oder Link kann sie ansehen und importieren. Persönliche Werte wie deine Trainingsgewichte, Trainingsverläufe oder Körperdaten sind nicht enthalten, ebenso wenig dein Name. Der Code ist 4 Tage gültig und wird spätestens 30 Tage danach gelöscht; mit der Löschung deines Kontos werden alle deine Shares sofort gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir genutzten Teilen-Funktion).

g) Crash-Reports / Diagnose

Zur Stabilitätssicherung der App nutzen wir Sentry (Functional Software, Inc., 45 Fremont St, 8th Floor, San Francisco, CA 94105, USA). Bei Abstürzen und Fehlern werden technische Diagnosedaten übermittelt (Stack-Trace, Geräte- und OS-Version, App-Version, technische Protokolleinträge vor dem Fehler, ggf. die zufällige ID der gerade laufenden Trainings-Session) sowie stichprobenartig Leistungsdaten der App. Die App übermittelt dabei bewusst keine E-Mail-Adresse, keine Nutzerkennung und keine Bildschirmfotos; deine IP-Adresse wird beim Verbindungsaufbau technisch bedingt verarbeitet. Trainingsinhalte sind nicht Gegenstand der Fehlerberichte.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Fehlerbehebung und Sicherheit der App). Mit Sentry besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; die Übermittlung in die USA erfolgt auf Grundlage von EU-Standardvertragsklauseln und, soweit anwendbar, des EU-U.S. Data Privacy Framework.

4. Wie wir deine Daten verwenden

• Authentifizierung und Kontoverwaltung
• Bereitstellung des reppd-Dienstes (Speicherung und Synchronisation deiner Daten)
• Abwicklung von Abonnements und Käufen
• Beantwortung von Support-Anfragen
• Stabilitätssicherung und Fehlerdiagnose
• Bereitstellung optionaler KI-Funktionen

Wir verwenden deine Daten nicht für Werbung, externes Tracking oder Verkauf an Dritte. Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung dir gegenüber im Sinne von Art. 22 DSGVO findet nicht statt. Innerhalb des Dienstes nutzen wir deine Trainingsdaten ausschließlich, um dir die Funktionen von reppd bereitzustellen. Progressionsvorschläge, Statistiken und die regelbasierten Spotter-Hinweise werden auf deinem Gerät berechnet; KI-Auswertungen erfolgen nur auf deine Anfrage wie in Abschnitt 3.2 e) beschrieben.

5. Empfänger / Auftragsverarbeiter

Wir verkaufen, teilen oder vermieten deine Daten nicht. Folgende Auftragsverarbeiter unterstützen uns nach Art. 28 DSGVO:

• Supabase, Inc. (USA) — Backend der App: Konto/Login, Datenbank, Synchronisation, Server-Funktionen; Datenhaltung im Rechenzentrum Frankfurt am Main (EU)
• Resend, Inc. (USA) — Versand von System-E-Mails (Registrierung, Passwort-Zurücksetzen)
• RevenueCat, Inc. (USA) — Verwaltung von Abonnements und In-App-Käufen
• Anthropic PBC (USA) — KI-Funktionen (Claude API, nur bei aktiver Nutzung)
• Functional Software, Inc. (Sentry) (USA) — Crash- und Fehlerdiagnose der App
• Cloudflare, Inc. (USA) — Hosting / Edge-Auslieferung der Website

Apple (Apple Distribution International Ltd., Irland) ist für App-Vertrieb und Zahlungsabwicklung im App Store eigenständig verantwortlich; Apple Health und HealthKit laufen auf deinem Gerät unter Apples Bedingungen.

Eine darüber hinausgehende Weitergabe an Dritte erfolgt nur, sofern wir gesetzlich dazu verpflichtet sind (z. B. auf behördliche Anordnung).

6. Datenübermittlungen in Drittländer

Soweit Daten an Anbieter in den USA übermittelt werden (siehe Abschnitt 3 und 5), geschieht dies auf Grundlage von:

• dem Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), sofern der jeweilige Empfänger zertifiziert ist, und/oder
• EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) mit ergänzenden technischen und organisatorischen Maßnahmen (u. a. Transportverschlüsselung, Datenminimierung — z. B. keine E-Mail-Adresse an den KI-Anbieter — und optionale clientseitige Ende-zu-Ende-Verschlüsselung von Profil- und Körperdaten).

Die Datenbank der App liegt in der EU (Frankfurt am Main). Da Supabase, Resend, RevenueCat, Sentry, Anthropic und Google Unternehmen mit Sitz in den USA sind bzw. Daten (auch) in den USA verarbeiten können, verbleiben nicht alle Daten ausschließlich in der EU.

7. Datenspeicherung & Sicherheit

Die Datenbank der App wird bei Supabase im Rechenzentrum Frankfurt am Main (EU) betrieben. Alle Verbindungen sind per TLS verschlüsselt; die gespeicherten Daten sind durch die Speicherverschlüsselung des Hosting-Anbieters und Zugriffsregeln auf Datenbankebene (Row Level Security) geschützt. Ende-zu-Ende verschlüsselt sind ausschließlich deine persönlichen Profildaten und Körpermaße — und nur, wenn du die Verschlüsselung aktiviert hast (siehe Abschnitt 3.2 b). Darüber hinaus setzen wir regelmäßige Sicherheitsupdates und Zugriffsbeschränkungen nach Art. 32 DSGVO ein.

8. Deine Rechte (DSGVO)

Nach der DSGVO hast du das Recht auf:

• Auskunft (Art. 15 DSGVO) — Kopie deiner Daten anfordern
• Berichtigung (Art. 16 DSGVO) — unrichtige Daten korrigieren
• Löschung (Art. 17 DSGVO) — Konto und alle Daten löschen
• Datenübertragbarkeit (Art. 20 DSGVO) — Daten exportieren
• Einschränkung (Art. 18 DSGVO) — Verarbeitung einschränken
• Widerspruch (Art. 21 DSGVO) — der Datenverarbeitung widersprechen
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft

Zur Ausübung deiner Rechte kontaktiere uns unter info@getreppd.app. Die Kontolöschung ist auch direkt in der App möglich und entfernt deine Daten aus unserer Datenbank permanent via Cascading Delete.

9. Cookies und ähnliche Technologien

Wir setzen auf getreppd.app derzeit weder Cookies noch vergleichbare Speicherungen in deiner Endeinrichtung ein. Sollten wir künftig technisch notwendige Cookies einsetzen, geschieht dies auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. f DSGVO. Details: Cookie-Richtlinie.

10. Speicherdauer

Wir speichern deine Daten, solange dein Konto besteht und dies zur Erbringung des Dienstes erforderlich ist. Bei Kontolöschung werden alle inhaltlichen Daten sofort und permanent aus unserer Datenbank gelöscht (kaskadierende Löschung, keine Soft-Deletes). In automatischen Sicherungskopien des Hosting-Anbieters können Daten noch bis zu deren turnusmäßiger Überschreibung enthalten sein. Kauf- und Abo-Informationen bei Apple und RevenueCat unterliegen deren Aufbewahrungsfristen bzw. gesetzlichen Aufbewahrungspflichten. Technische Logfiles werden nach maximal 14 Tagen gelöscht. Korrespondenz per E-Mail wird gelöscht, sobald sie nicht mehr erforderlich ist.

11. Minderjährige

reppd richtet sich nicht an Kinder unter 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren. Sollten wir Kenntnis davon erlangen, dass ein Konto von einer Person unter 16 Jahren angelegt wurde, löschen wir das Konto unverzüglich.

12. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung aktualisieren, um sie an geänderte Rechts- oder Sachlagen anzupassen. Die jeweils aktuelle Fassung ist auf dieser Seite mit Datumsstempel abrufbar. Bei wesentlichen Änderungen informieren wir dich zusätzlich über die App oder per E-Mail.

13. Kontakt & Aufsichtsbehörde

Für Datenschutz-Anfragen kontaktiere uns unter info@getreppd.app.

Du hast das Recht, Beschwerde bei einer Datenschutz-Aufsichtsbehörde einzulegen. Die für uns zuständige Behörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
Telefon: +49 981 180093-0
E-Mail: poststelle@lda.bayern.de
Web: www.lda.bayern.de