Datenschutzerklärung

Gemäß Art. 13, 14 DSGVO · Stand: Juni 2026

1. Verantwortlicher

Lukas Ramsaier

Nordendstraße 29, 80801 München

2. Welche Daten wir erheben

Wir erheben personenbezogene Daten teils direkt von dir, teils automatisch bei der Nutzung und teils aus den von dir verbundenen Diensten (z. B. Strava, Garmin über intervals.icu, Apple Health, Wahoo, Polar, Hammerhead, Suunto, COROS). Aus solchen Quellen stammende Daten (Art. 14 DSGVO) behandeln wir wie von dir selbst bereitgestellte Daten.

Registrierung & Konto

Bei der Registrierung speichern wir Name, E-Mail-Adresse und ein verschlüsseltes Passwort (bcrypt). Bei Anmeldung über „Mit Google anmelden" oder „Mit Apple anmelden" erhalten wir Name und E-Mail-Adresse vom jeweiligen Anbieter; bei Apple kann die E-Mail über Apples private Relay-Funktion verborgen werden. Registrierung und Anmeldung sind sowohl über die Web-App (usetrace.de) als auch über die iOS-App möglich.

Profil- & Trainingsangaben

Zur Personalisierung der Analysen speichern wir von dir gemachte oder aus verbundenen Diensten übernommene Profilangaben, z. B. Geschlecht, Geburtsdatum bzw. Alter, Körpergröße und Gewicht, Sportarten und Trainingsziele sowie leistungsbezogene Einstellungen wie FTP, Schwellenwerte, maximale Herzfrequenz und Trainingszonen. Diese Angaben dienen der Berechnung deiner Zonen, Kennzahlen und Empfehlungen.

Strava-Integration

Du kannst dein Strava-Konto per OAuth verbinden, um Aktivitäten automatisch zu importieren; in der iOS-App lassen sich Strava-Daten zusätzlich über intervals.icu beziehen. Bei der Verbindung speichern wir ein Zugriffs-Token (niemals dein Strava-Passwort), um Aktivitäten in deinem Auftrag abzurufen. Du kannst die Verbindung jederzeit in den Einstellungen oder direkt bei Strava widerrufen.

Garmin, intervals.icu & weitere Geräte-Dienste

Eine direkte Garmin-Verbindung über Zugangsdaten bieten wir aus Datenschutzgründen nicht an; Garmin-Daten lassen sich über intervals.icu importieren. Über intervals.icu sowie – je nach Verfügbarkeit – Wahoo, Polar, Hammerhead, Suunto und COROS kannst du ebenfalls Aktivitäten und Wellness-Daten (z. B. HRV, Schlaf) synchronisieren. Für jede Verbindung speichern wir ausschließlich die zur Synchronisation nötigen Zugriffs-Token, niemals deine Passwörter bei diesen Diensten. Die vollständige Liste der eingesetzten Anbieter findest du unter Punkt 4.

Trainingsdaten

Aktivitäten, die du synchronisierst oder als Datei (FIT, TCX, GPX) hochlädst, werden in unserer Datenbank gespeichert. Dazu zählen Datum, Sportart, Distanz, Dauer, Herzfrequenz, Leistungs- und Trittfrequenzwerte, Höhenmeter, GPS-Streckendaten (sofern vorhanden) sowie – bei verbundenen Diensten – sekündliche Messreihen (Streams). Hochgeladene Originaldateien werden bei unserem Speicher-Dienstleister (Vercel Blob) abgelegt. Aus diesen Daten berechnen und speichern wir abgeleitete Analysewerte (z. B. VO₂max, Form/Fitness als CTL·ATL·TSB, kritische Leistung, Belastbarkeit). Zur Darstellung deiner Strecke auf einer Karte werden Routendaten an unseren Kartendienst Mapbox übermittelt.

Standort- & Routendaten

Sofern deine Aktivitäten GPS-Daten enthalten, verarbeiten wir Standort- und Routeninformationen (Start- und Zielpunkt, zurückgelegte Strecke, Höhenprofil), um deine Aktivität darzustellen, auf einer Karte anzuzeigen und Analysen wie Anstiege oder Segmente zu berechnen. Standortdaten können sensibel sein und Rückschlüsse auf Orte wie deine Wohnadresse zulassen. Zur Kartendarstellung werden Routenausschnitte an Mapbox übermittelt (siehe Punkt 4). Du kannst Aktivitäten ohne GPS hochladen oder die Standortfreigabe in deinen verbundenen Diensten einschränken.

Kommunikation & Coaching

Wenn du den trace Coach oder die Trainer-Funktion nutzt, speichern wir die ausgetauschten Nachrichten, Chat-Verläufe mit dem KI-Coach, Trainernotizen sowie Team- und Trainer-Beziehungen, um diese Funktionen bereitzustellen. Subjektive Check-ins (z. B. Stimmung, Müdigkeit, frei eingegebene Notizen) speichern wir nur, wenn du sie eingibst.

Push-Benachrichtigungen

Wenn du Benachrichtigungen aktivierst, speichern wir ein Geräte-Token, um dir Push-Nachrichten zu senden (z. B. Sync-Hinweise, Bestleistungen, Erholungshinweise). Die Zustellung erfolgt über die Push-Dienste von Expo bzw. Apple (APNs), bei Web-Push über den Push-Dienst deines Browsers. Du kannst Benachrichtigungen jederzeit in den Einstellungen oder auf Betriebssystemebene deaktivieren.

KI-Analysen

Für KI-gestützte Analysen, Insights, Trainingspläne und den trace Coach übermitteln wir zur Laufzeit aggregierte Trainings- und Leistungsdaten (z. B. Sportart, Dauer, Herzfrequenz, Leistung, Alter, Geschlecht, Fitness-Kennzahlen) an die Anthropic-API (Modell Claude). Direkte Identifikatoren wie Name, E-Mail oder Adresse werden nicht übermittelt; frei eingegebene Aktivitätsnamen können jedoch beliebige Angaben enthalten. Anthropic verarbeitet diese Daten als Auftragsverarbeiter und nutzt über die API übermittelte Inhalte gemäß seinen Bedingungen nicht zum Training seiner Modelle. Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt; die Empfehlungen sind unverbindlich.

Haftungsausschluss-Akzeptanz

Zur rechtlichen Nachweisbarkeit speichern wir bei jeder Zustimmung zum Haftungsausschluss: Zeitstempel, Version des Disclaimers, deine IP-Adresse und den verwendeten User-Agent (Browser-/Gerätekennung). Rechtsgrundlage: Art. 6 Abs. 1 lit. c und f DSGVO (rechtliche Verpflichtungen und berechtigtes Interesse an Nachweisfähigkeit). Diese Daten werden bis zu 3 Jahre nach Kontolöschung aufbewahrt.

Server-Logs

Beim Aufruf der Web-App und bei API-Anfragen werden technische Daten verarbeitet: IP-Adresse, Browser-/Gerätetyp, Betriebssystem, aufgerufene Seite und Zeitpunkt. Diese dienen der Bereitstellung, Sicherheit und Fehleranalyse. Server- und Zugriffs-Logs werden von unseren Hosting- und Monitoring-Dienstleistern (Vercel, Sentry) verarbeitet und nur für einen kurzen, von diesen vorgegebenen Zeitraum aufbewahrt. Zur Begrenzung von Missbrauch (Rate-Limiting) verarbeiten wir kurzzeitig IP-Adresse bzw. Nutzerkennung (Upstash).

2a. Gesundheitsdaten (Art. 9 DSGVO)

Im Rahmen unseres Dienstes verarbeiten wir besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO. Dazu zählen je nach verbundenem Gerät bzw. Dienst insbesondere: Herzfrequenz (HR) und Herzfrequenzvariabilität (HRV), Ruhepuls, Schlafphasen und Schlafdauer, Atemfrequenz, Stress- bzw. Erholungswerte (z. B. „Body Battery"), Sauerstoffsättigung (SpO₂/Puls-Ox), Hauttemperatur, geschätzte VO₂max, Körpergewicht und Körperzusammensetzung sowie – sofern du solche Daten aus verbundenen Diensten überträgst – Angaben zu Zyklus oder Schwangerschaft. Rechtsgrundlage für diese Verarbeitung ist ausschließlich deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Ohne diese Einwilligung können wir Funktionen wie Readiness Score, HRV-Trend und darauf gestützte Trainingsempfehlungen nicht bereitstellen – die übrigen Funktionen der Plattform bleiben verfügbar. Deine Gesundheitsdaten werden niemals für Werbung verwendet, nicht verkauft und nicht zu Werbe- oder Marketingzwecken an Dritte weitergegeben. Du kannst deine Einwilligung jederzeit unter Einstellungen → Datenschutz widerrufen. Der Widerruf wirkt für die Zukunft; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Nach Widerruf löschen wir die betreffenden Daten innerhalb von 30 Tagen oder anonymisieren sie unwiderruflich, soweit dies technisch möglich ist.

2b. Apple Health (HealthKit)

Auf dem iPhone kannst du optional Apple Health (HealthKit) als Datenquelle verbinden. Die Verbindung wird nur hergestellt, wenn du sie in der App aktiv startest und der iOS-Berechtigungsabfrage je Datenart zustimmst. trace liest dann ausschließlich folgende Werte aus Apple Health: Ruhepuls, Herzfrequenzvariabilität (HRV/SDNN), Schlafanalyse, Schritte und aktive Energie. Der Zugriff erfolgt rein lesend – trace schreibt keine Daten zurück nach Apple Health. Diese Werte werden ausschließlich verwendet, um deine Erholung, deinen Readiness Score und deine Trainingsanalysen zu berechnen. Über HealthKit gewonnene Gesundheitsdaten werden niemals für Werbung verwendet, nicht verkauft und nicht zu Werbe- oder Marketingzwecken an Dritte weitergegeben. Rechtsgrundlage ist deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO (siehe 2a). Du kannst die Freigabe jederzeit in der App trennen oder in den iOS-Einstellungen unter Datenschutz & Sicherheit → Health widerrufen; bei Löschung deines Kontos werden die übertragenen Werte mitgelöscht.

3. Zweck & Rechtsgrundlage

Wir verarbeiten deine Daten auf folgenden Rechtsgrundlagen gemäß DSGVO:

·Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Bereitstellung der Kernfunktionen (Aktivitätssynchronisation, Analysen, Trainingspläne, Coaching)
·Art. 9 Abs. 2 lit. a DSGVO – Ausdrückliche Einwilligung: Verarbeitung von Gesundheitsdaten (HRV, Ruhepuls, Schlaf u. a.) für Erholungs- und Readiness-Analysen
·Art. 6 Abs. 1 lit. a DSGVO – Einwilligung: Verbindung von Drittanbieter-Konten (Strava, Garmin, intervals.icu, Wahoo, Polar, Hammerhead, Suunto, COROS) sowie Push-Benachrichtigungen
·Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Zahlungsabwicklung über Stripe bei kostenpflichtigen Abonnements
·Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen: Sicherheit, Missbrauchsabwehr und Fehleranalyse (Server-Logs, Rate-Limiting)
·Art. 6 Abs. 1 lit. c & f DSGVO – Rechtliche Verpflichtung & berechtigte Interessen: Dokumentation der Disclaimer- und Einwilligungs-Akzeptanz zur Haftungsabwehr
·Art. 6 Abs. 1 lit. c DSGVO – Rechtliche Verpflichtung: Erfüllung gesetzlicher Pflichten (z. B. handels- und steuerrechtliche Aufbewahrung, Beantwortung berechtigter behördlicher Anfragen)

4. Eingesetzte Drittanbieter (Auftragsverarbeiter)

Supabase (Supabase Inc.)

Datenbank, Authentifizierung und Speicher (Region EU/Irland). Hier werden deine Konto-, Trainings- und Gesundheitsdaten gespeichert. Weitere Informationen: supabase.com/privacy

Vercel (Vercel Inc.)

Hosting und Auslieferung der Web-App (EU/Frankfurt), serverlose Funktionen, Datei-Speicher (Vercel Blob) sowie cookielose Reichweiten- und Performance-Messung (Web Analytics, Speed Insights). Weitere Informationen: vercel.com/legal/privacy-policy

Sentry (Functional Software, Inc.)

Fehler- und Stabilitäts-Monitoring der Web-App; Verarbeitung auf EU-Servern (de.sentry.io). Logs können technische Daten und Nutzerkennungen enthalten. Weitere Informationen: sentry.io/privacy

Upstash (Upstash, Inc.)

Kurzzeitige Verarbeitung von IP-Adresse bzw. Nutzerkennung zur Missbrauchsabwehr (Rate-Limiting). Weitere Informationen: upstash.com/trust

Anthropic (Anthropic, PBC)

KI-Verarbeitung für Analysen, Empfehlungen und den trace Coach. Aggregierte Trainings- und Leistungsdaten werden zur Laufzeit übermittelt; keine direkten Identifikatoren. Weitere Informationen: anthropic.com/legal/privacy

Mapbox (Mapbox, Inc.)

Karten und Streckendarstellung. Zur Erzeugung von Kartenausschnitten werden Routen- bzw. Standortdaten an Mapbox übermittelt. Weitere Informationen: mapbox.com/legal/privacy

Stripe (Stripe, Inc.)

Zahlungsabwicklung für kostenpflichtige Abonnements (nur Web). Zahlungsdaten werden direkt an Stripe übermittelt; wir speichern keine Kartendaten. Weitere Informationen: stripe.com/de/privacy

Resend (Resend, Inc.)

Versand transaktionaler E-Mails (z. B. Verifizierung, Passwort-Reset). Deine E-Mail-Adresse wird an Resend übermittelt. Weitere Informationen: resend.com/legal/privacy-policy

Expo (650 Industries, Inc.)

Auslieferung von App-Updates und Vermittlung von Push-Benachrichtigungen an Apple (APNs). Übermittelt wird ein Geräte-Token. Weitere Informationen: expo.dev/privacy

Apple (Apple Inc.)

Anmeldung „Mit Apple" sowie Zustellung von Push-Benachrichtigungen über Apple Push Notification service (APNs). Weitere Informationen: apple.com/legal/privacy

Google (Google LLC)

Optionale Anmeldung via Google. Weitere Informationen: policies.google.com/privacy

Strava (Strava, Inc.)

Optionale Verbindung zum Abruf deiner Aktivitätsdaten. Weitere Informationen: strava.com/legal/privacy

intervals.icu

Optionale Verbindung zum Abruf von Aktivitäts- und Wellness-Daten; dient auch als Brücke zu Garmin und Strava. Weitere Informationen: intervals.icu

Weitere Geräte- und Aktivitätsdienste

Je nach von dir hergestellter Verbindung: Wahoo, Polar, Hammerhead, Suunto und COROS zum Abruf deiner Aktivitäts- und Gesundheitsdaten. Es gelten die Datenschutzbestimmungen des jeweiligen Anbieters.

Mit allen genannten Auftragsverarbeitern wurden Verträge gemäß Art. 28 DSGVO geschlossen. Diese verpflichten die Anbieter zur Einhaltung des Datenschutzniveaus der DSGVO und beschränken die Verarbeitung auf den Zweck der jeweiligen Dienstleistung. Unsere Datenbank (Supabase) wird in der EU (Irland) und unser Hosting (Vercel) in der EU (Frankfurt) betrieben; deine Konto-, Trainings- und Gesundheitsdaten werden somit in der EU gespeichert. Soweit personenbezogene Daten an Anbieter in Drittländern – insbesondere die USA – übermittelt oder dort verarbeitet werden (u. a. Anthropic, Stripe, Mapbox, Expo, Apple, Resend), erfolgt dies auf einer der folgenden Grundlagen: (1) Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework (DPF), sofern der Anbieter zertifiziert ist (u. a. Anthropic, Stripe, Vercel, Google, Apple); (2) Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO bei nicht DPF-zertifizierten Anbietern (u. a. Mapbox); (3) ergänzende technische und organisatorische Maßnahmen (Verschlüsselung in Transit und at Rest, Zugangskontrollen).

5. Weitergabe deiner Daten

Wir verkaufen deine Daten nicht und nutzen sie nicht für Werbung. Eine Weitergabe erfolgt nur in folgenden Fällen:

·An Auftragsverarbeiter, die uns beim Betrieb des Dienstes unterstützen (siehe Punkt 4); diese sind vertraglich auf unsere Weisungen und den jeweiligen Zweck beschränkt.
·An eine von dir verbundene Trainerin oder einen Trainer bzw. an dein Team: Wenn du die Trainer-/Coach-Funktion nutzt, werden die freigegebenen Trainings- und ggf. Gesundheitsdaten für die verbundene Person sichtbar. Dies geschieht nur auf deine Veranlassung und kann jederzeit beendet werden.
·An staatliche Stellen oder Dritte, wenn wir gesetzlich dazu verpflichtet sind oder dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 6 Abs. 1 lit. c und f DSGVO).
·Im Rahmen einer etwaigen Unternehmensnachfolge (z. B. Verkauf oder Umstrukturierung); in diesem Fall bleibt das Datenschutzniveau gewahrt und wir informieren dich vorab.

6. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen, um deine Daten zu schützen. Dazu gehören die Verschlüsselung der Übertragung (TLS/HTTPS) und der gespeicherten Daten (Verschlüsselung „at Rest"), eine zeilenbasierte Zugriffskontrolle in der Datenbank (Row Level Security), restriktive Zugriffsrechte, Passwort-Hashing (bcrypt) sowie Maßnahmen zur Missbrauchsabwehr. Kein Verfahren der Übertragung oder Speicherung ist vollständig sicher; eine absolute Sicherheit können wir daher nicht garantieren.

7. Speicherdauer

Konto-, Trainings- und Gesundheitsdaten speichern wir, solange dein Konto besteht. Wenn du dein Konto löschst (Einstellungen → Konto löschen), entfernen wir deine personenbezogenen Daten – einschließlich Aktivitäten, Gesundheits- und Wellness-Daten, hochgeladener Dateien, Streams, Chats und Verbindungen – innerhalb von 30 Tagen aus unseren aktiven Systemen; in verschlüsselten Sicherungskopien (Backups) können sie für einen kurzen, technisch bedingten Zeitraum verbleiben. Ausgenommen sind: Nachweise zur Einwilligung in den Haftungsausschluss (Zeitstempel, Version, IP-Adresse, User-Agent), die wir zur Rechtsverteidigung bis zu 3 Jahre aufbewahren, sowie Daten, für die gesetzliche Aufbewahrungspflichten bestehen (z. B. Rechnungs- und Buchungsdaten nach HGB/AO, bis zu 10 Jahre). Server-Logs werden nur kurzzeitig von unseren Dienstleistern vorgehalten.

8. Deine Rechte (DSGVO)

Du hast gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten:

·Auskunft: Art. 15 DSGVO – welche Daten wir über dich gespeichert haben
·Berichtigung: Art. 16 DSGVO – Korrektur unrichtiger Daten
·Löschung: Art. 17 DSGVO – Recht auf Vergessenwerden
·Einschränkung: Art. 18 DSGVO – eingeschränkte Verarbeitung
·Datenübertragbarkeit: Art. 20 DSGVO – Herausgabe in maschinenlesbarem Format
·Widerspruch: Art. 21 DSGVO – Widerspruch gegen Verarbeitung
·Widerruf: Art. 7 Abs. 3 DSGVO – Widerruf erteilter Einwilligungen

Um ein Recht geltend zu machen, wende dich an: lukas@usetrace.de

Du hast außerdem das Recht, dich bei der zuständigen Aufsichtsbehörde zu beschweren. In Bayern ist das der Bayerische Landesbeauftragte für den Datenschutz (BayLfD), www.datenschutz-bayern.de.

9. Minderjährige

trace richtet sich an Personen ab 16 Jahren. Jüngere Personen dürfen den Dienst nur mit Zustimmung der Sorgeberechtigten nutzen. Wir erheben nicht wissentlich Daten von Kindern unter 16 Jahren ohne eine solche Zustimmung. Erhalten wir Kenntnis davon, dass uns Daten einer minderjährigen Person ohne erforderliche Einwilligung übermittelt wurden, löschen wir diese.

10. Cookies & Tracking

trace verwendet ausschließlich technisch notwendige Cookies für die Sitzungsverwaltung (Authentifizierung). Zur Reichweiten- und Performance-Messung der Website setzen wir Vercel Web Analytics und Speed Insights ein; diese arbeiten ohne Cookies und ohne geräteübergreifendes Tracking und bilden keine auf dich zurückführbaren Profile. Zur Stabilitätssicherung kommt Fehler-Monitoring (Sentry) zum Einsatz. Es werden keine Werbe- oder Tracking-Cookies eingesetzt; eine Einwilligung per Cookie-Banner ist daher nicht erforderlich.

11. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen des Dienstes oder der gesetzlichen Anforderungen anzupassen. Die jeweils aktuelle Version ist stets unter usetrace.de/datenschutz abrufbar.

Stand: Juni 2026