Datenschutzerklärung
Gemäß Art. 13, 14 DSGVO · Stand: 3. Juli 2026
1. Verantwortlicher
2. Welche Daten wir erheben
Wir erheben personenbezogene Daten teils direkt von dir, teils automatisch bei der Nutzung und teils aus den von dir verbundenen Diensten (intervals.icu – darüber auch Daten von Garmin-Geräten –, Wahoo, Polar, Suunto, Hammerhead sowie Apple Health). Aus solchen Quellen stammende Daten (Art. 14 DSGVO) behandeln wir wie von dir selbst bereitgestellte Daten.
Registrierung & Konto
Bei der Registrierung speichern wir Name, E-Mail-Adresse und ein verschlüsseltes Passwort (bcrypt). Bei Anmeldung über „Mit Google anmelden" oder „Mit Apple anmelden" erhalten wir Name und E-Mail-Adresse vom jeweiligen Anbieter; bei Apple kann die E-Mail über Apples private Relay-Funktion verborgen werden. Registrierung und Anmeldung sind sowohl über die Web-App (usetrace.de) als auch über die iOS-App möglich. Die Angabe von Name, E-Mail-Adresse und Passwort ist für die Kontoerstellung erforderlich; ohne sie kann der Nutzungsvertrag nicht geschlossen werden. Alle weiteren Angaben sind freiwillig.
Profil- & Trainingsangaben
Zur Personalisierung der Analysen speichern wir von dir gemachte oder aus verbundenen Diensten übernommene Profilangaben, z. B. Geschlecht, Geburtsdatum bzw. Alter, Körpergröße und Gewicht, Sportarten und Trainingsziele sowie leistungsbezogene Einstellungen wie FTP, Schwellenwerte, maximale Herzfrequenz und Trainingszonen. Diese Angaben dienen der Berechnung deiner Zonen, Kennzahlen und Empfehlungen. Soweit dabei Gesundheitsdaten im Sinne von Punkt 2a verarbeitet werden (z. B. Herzfrequenz, Gewicht und daraus abgeleitete Werte), erfolgt dies ausschließlich auf Grundlage deiner Einwilligung nach Punkt 2a.
Geräte- & Dienste-Verbindungen (intervals.icu, Wahoo, Polar, Suunto, Hammerhead)
Über intervals.icu, Wahoo, Polar, Suunto und Hammerhead kannst du Aktivitäten und – je nach Dienst – Wellness-Daten (z. B. HRV, Schlaf) synchronisieren. Eine direkte Verbindung zu Garmin oder Strava bietet trace derzeit nicht an; Daten von Garmin-Geräten kannst du über den Zwischendienst intervals.icu importieren. Jede Verbindung stellst du selbst per OAuth her: Wir speichern ausschließlich die zur Synchronisation nötigen Zugriffs-Token, niemals deine Passwörter bei diesen Diensten, und du kannst jede Verbindung jederzeit in den Einstellungen oder direkt beim jeweiligen Anbieter widerrufen. Die vollständige Liste der eingesetzten Anbieter findest du unter Punkt 4.
Trainingsdaten
Aktivitäten, die du synchronisierst oder als Datei (FIT, TCX, GPX) hochlädst, werden in unserer Datenbank gespeichert. Dazu zählen Datum, Sportart, Distanz, Dauer, Herzfrequenz, Leistungs- und Trittfrequenzwerte, Höhenmeter, GPS-Streckendaten (sofern vorhanden) sowie – bei verbundenen Diensten – sekündliche Messreihen (Streams). Hochgeladene Originaldateien werden bei unserem Speicher-Dienstleister (Vercel Blob) abgelegt. Aus diesen Daten berechnen und speichern wir abgeleitete Analysewerte (z. B. VO₂max, Form/Fitness als CTL·ATL·TSB, kritische Leistung, Belastbarkeit). Zur Darstellung deiner Strecke auf einer Karte werden Routendaten an unseren Kartendienst Mapbox übermittelt. Soweit dabei Gesundheitsdaten im Sinne von Punkt 2a verarbeitet werden (z. B. Herzfrequenzverläufe und daraus abgeleitete Analysewerte), erfolgt dies ausschließlich auf Grundlage deiner Einwilligung nach Punkt 2a.
Standort- & Routendaten
Sofern deine Aktivitäten GPS-Daten enthalten, verarbeiten wir Standort- und Routeninformationen (Start- und Zielpunkt, zurückgelegte Strecke, Höhenprofil), um deine Aktivität darzustellen, auf einer Karte anzuzeigen und Analysen wie Anstiege oder Segmente zu berechnen. Standortdaten können sensibel sein und Rückschlüsse auf Orte wie deine Wohnadresse zulassen. Zur Kartendarstellung werden Routenausschnitte an Mapbox übermittelt (siehe Punkt 4). Du kannst Aktivitäten ohne GPS hochladen oder die Standortfreigabe in deinen verbundenen Diensten einschränken.
Wetter- & Geodaten-Anreicherung
Zur Analyse von Hitzebelastung und Hitze-Akklimatisierung reichern wir Aktivitäten mit Wetterdaten (Temperatur, Luftfeuchte) an. Dazu übermitteln wir die auf ca. 1 km vergröberten Startkoordinaten sowie den Zeitraum der Aktivität an die Wetter-Schnittstelle von Open-Meteo; Namen, Konto-Kennungen oder weitere Daten werden dabei nicht übertragen. Zur Benennung von Anstiegen fragen wir zudem Kartendaten von OpenStreetMap über die Overpass-Schnittstelle (overpass-api.de, betrieben vom FOSSGIS e.V., Deutschland) ab; übermittelt werden dabei die Koordinaten des jeweiligen Anstiegs (z. B. der Kuppe oder Passhöhe), ebenfalls ohne Kennungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); soweit in die Hitze-Analyse Gesundheitsdaten (z. B. Herzfrequenz) einfließen, stützt sich deren Verarbeitung ausschließlich auf deine Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO (Punkt 2a).
Kommunikation & Coaching
Wenn du den trace Coach oder die Trainer-Funktion nutzt, speichern wir die ausgetauschten Nachrichten, Chat-Verläufe mit dem KI-Coach, Trainernotizen sowie Team- und Trainer-Beziehungen, um diese Funktionen bereitzustellen. Subjektive Check-ins (z. B. Stimmung, Müdigkeit, frei eingegebene Notizen) speichern wir nur, wenn du sie eingibst.
Push-Benachrichtigungen
Wenn du Benachrichtigungen aktivierst, speichern wir ein Geräte-Token, um dir Push-Nachrichten zu senden (z. B. Sync-Hinweise, Bestleistungen, Erholungshinweise). Die Zustellung erfolgt über die Push-Dienste von Expo bzw. Apple (APNs), bei Web-Push über den Push-Dienst deines Browsers. Du kannst Benachrichtigungen jederzeit in den Einstellungen oder auf Betriebssystemebene deaktivieren.
Zahlungen & In-App-Käufe
Bei Abschluss eines Abonnements über die Website erfolgt die Zahlungsabwicklung durch Stripe; wir erhalten und speichern keine vollständigen Zahlungsdaten, sondern nur Status- und Abrechnungsinformationen zu deinem Abonnement. Schließt du ein Abonnement als In-App-Kauf über den Apple App Store ab, wickelt Apple die Zahlung ab; wir erhalten über unseren Dienstleister RevenueCat lediglich Kauf- und Abo-Status-Ereignisse (z. B. Produkt, Beginn, Verlängerung, Kündigung), verknüpft mit deiner trace-Konto-ID – keine Zahlungs- oder Kartendaten. Diese Informationen benötigen wir, um deinen Tarif freizuschalten und zu verwalten (Art. 6 Abs. 1 lit. b DSGVO).
KI-Analysen
Für KI-gestützte Analysen, Insights, Trainingspläne und den trace Coach übermitteln wir zur Laufzeit aggregierte Trainings- und Leistungsdaten (z. B. Sportart, Dauer, Herzfrequenz, Leistung, Alter, Geschlecht, Fitness-Kennzahlen) an die Anthropic-API (Modell Claude). Direkte Identifikatoren wie Name, E-Mail oder Adresse werden nicht übermittelt; frei eingegebene Aktivitätsnamen können jedoch beliebige Angaben enthalten. Anthropic verarbeitet diese Daten als Auftragsverarbeiter und nutzt über die API übermittelte Inhalte gemäß seinen Bedingungen nicht zum Training seiner Modelle. Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt; die Empfehlungen sind unverbindlich.
Haftungsausschluss-Akzeptanz
Zur rechtlichen Nachweisbarkeit speichern wir bei jeder Zustimmung zum Haftungsausschluss und zu Einwilligungen: Zeitstempel, Version des Dokuments, deine IP-Adresse, den verwendeten User-Agent (Browser-/Gerätekennung) sowie – nach einer Kontolöschung – deine E-Mail-Adresse zur Zuordnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Nachweisbarkeit und Verteidigung gegen Rechtsansprüche, orientiert an der Verjährungsfrist des § 195 BGB); für die Dokumentation datenschutzrechtlicher Einwilligungen zudem unsere Nachweispflicht aus Art. 7 Abs. 1 DSGVO. Diese Daten werden bis zu 3 Jahre nach Kontolöschung aufbewahrt.
Server-Logs
Beim Aufruf der Web-App und bei API-Anfragen werden technische Daten verarbeitet: IP-Adresse, Browser-/Gerätetyp, Betriebssystem, aufgerufene Seite und Zeitpunkt. Diese dienen der Bereitstellung, Sicherheit und Fehleranalyse. Server-Logs bei Vercel werden nur kurzzeitig (Stunden bis wenige Tage) vorgehalten; Fehler-Ereignisse bei Sentry werden bis zu 90 Tage gespeichert; Rate-Limiting-Einträge (Upstash) verfallen automatisch nach wenigen Minuten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der sicheren, stabilen Bereitstellung des Dienstes und der Abwehr von Missbrauch.
Warteliste
Trägst du dich auf unserer Warteliste (usetrace.de/early) ein, verarbeiten wir deinen Namen und deine E-Mail-Adresse, um deine Anmeldung zu bestätigen (Double-Opt-In) und dich über den Start sowie deinen Wartelisten-Status zu informieren (Art. 6 Abs. 1 lit. b DSGVO). Wir löschen diese Daten, sobald sie für die Warteliste nicht mehr benötigt werden, spätestens zwölf Monate nach deiner Eintragung, sofern du bis dahin kein Konto erstellt hast – oder jederzeit vorab auf deinen Wunsch.
2a. Gesundheitsdaten (Art. 9 DSGVO)
Im Rahmen unseres Dienstes verarbeiten wir besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO. Dazu zählen je nach verbundenem Gerät bzw. Dienst insbesondere: Herzfrequenz (HR) und Herzfrequenzvariabilität (HRV), Ruhepuls, Schlafphasen und Schlafdauer, Atemfrequenz, Stress- bzw. Erholungswerte (z. B. „Body Battery"), Sauerstoffsättigung (SpO₂/Puls-Ox), Hauttemperatur, geschätzte VO₂max, Körpergewicht und Körperzusammensetzung sowie – sofern du solche Daten aus verbundenen Diensten überträgst – Angaben zu Zyklus oder Schwangerschaft. Auch die von uns daraus abgeleiteten Kennzahlen (z. B. Readiness Score, Erholungs- und Belastungswerte) behandeln wir als Gesundheitsdaten. Rechtsgrundlage für diese Verarbeitung ist ausschließlich deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Deine Einwilligung umfasst dabei auch die Verarbeitung dieser Daten durch unsere KI-Funktionen (siehe „KI-Analysen"), einschließlich der dortigen Übermittlung aggregierter Werte an unseren Auftragsverarbeiter Anthropic, sowie die Aggregation und unumkehrbare Anonymisierung dieser Daten zur Verbesserung unserer Analyse-Modelle. Ohne diese Einwilligung können wir Funktionen wie Readiness Score, HRV-Trend und darauf gestützte Trainingsempfehlungen nicht bereitstellen – die übrigen Funktionen der Plattform bleiben verfügbar. Deine Gesundheitsdaten werden niemals für Werbung verwendet, nicht verkauft und nicht zu Werbe- oder Marketingzwecken an Dritte weitergegeben. Du kannst deine Einwilligung jederzeit unter Einstellungen → Datenschutz widerrufen. Der Widerruf wirkt für die Zukunft; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Nach Widerruf löschen wir die betreffenden Daten innerhalb von 30 Tagen aus unseren aktiven Systemen oder anonymisieren sie unwiderruflich; aus verschlüsselten Backups werden sie spätestens mit der turnusmäßigen Rotation nach weiteren 30 Tagen entfernt (siehe Punkt 7).
2b. Apple Health (HealthKit)
Auf dem iPhone kannst du optional Apple Health (HealthKit) als Datenquelle verbinden. Die Verbindung wird nur hergestellt, wenn du sie in der App aktiv startest und der iOS-Berechtigungsabfrage je Datenart zustimmst. trace liest dann ausschließlich folgende Daten aus Apple Health: Ruhepuls, Herzfrequenzvariabilität (HRV/SDNN), Schlafanalyse, Schritte und aktive Energie sowie – sofern du die entsprechende Berechtigung erteilst – deine Trainingseinheiten (Workouts) einschließlich Herzfrequenzverlauf, Distanz, Kalorien und, falls vorhanden, GPS-Route. Der Zugriff erfolgt rein lesend – trace schreibt keine Daten zurück nach Apple Health. Diese Daten werden ausschließlich verwendet, um deine Aktivitäten darzustellen sowie deine Erholung, deinen Readiness Score und deine Trainingsanalysen zu berechnen. Über HealthKit gewonnene Gesundheitsdaten werden niemals für Werbung verwendet, nicht verkauft und nicht zu Werbe- oder Marketingzwecken an Dritte weitergegeben. Rechtsgrundlage ist deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO (siehe 2a). Du kannst die Freigabe jederzeit in der App trennen oder in den iOS-Einstellungen unter Datenschutz & Sicherheit → Health widerrufen; bei Löschung deines Kontos werden die übertragenen Werte mitgelöscht.
3. Zweck & Rechtsgrundlage
Wir verarbeiten deine Daten auf folgenden Rechtsgrundlagen gemäß DSGVO:
- ·Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Bereitstellung der Kernfunktionen (Aktivitätssynchronisation, Analysen, Trainingspläne, Coaching, Wetter- und Geodaten-Anreicherung)
- ·Art. 9 Abs. 2 lit. a DSGVO – Ausdrückliche Einwilligung: Verarbeitung von Gesundheitsdaten (HRV, Ruhepuls, Schlaf u. a.) für Erholungs- und Readiness-Analysen
- ·Art. 6 Abs. 1 lit. a DSGVO – Einwilligung: Verbindung von Drittanbieter-Konten (intervals.icu, Wahoo, Polar, Suunto, Hammerhead, Apple Health) sowie Push-Benachrichtigungen
- ·Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Zahlungsabwicklung und Abo-Verwaltung (Stripe im Web; Apple/RevenueCat bei In-App-Käufen)
- ·Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen: Sicherheit, Missbrauchsabwehr und Fehleranalyse (Server-Logs, Rate-Limiting)
- ·Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen: Verbesserung unserer Analyse-Modelle und des Dienstes auf Basis anonymisierter bzw. aggregierter Daten ohne Personenbezug; die Anonymisierung von Gesundheitsdaten selbst ist von deiner Einwilligung nach Punkt 2a umfasst
- ·Art. 6 Abs. 1 lit. f DSGVO & Art. 7 Abs. 1 DSGVO – Berechtigte Interessen & Nachweispflicht: Dokumentation der Disclaimer- und Einwilligungs-Akzeptanz zur Haftungsabwehr
- ·Art. 6 Abs. 1 lit. c DSGVO – Rechtliche Verpflichtung: Erfüllung gesetzlicher Pflichten (z. B. handels- und steuerrechtliche Aufbewahrung, Beantwortung berechtigter behördlicher Anfragen)
4. Empfänger: Auftragsverarbeiter & weitere Empfänger
Supabase (Supabase Inc.)
Datenbank, Authentifizierung und Speicher (Region EU/Irland). Hier werden deine Konto-, Trainings- und Gesundheitsdaten gespeichert. Weitere Informationen: supabase.com/privacy
Vercel (Vercel Inc.)
Hosting und Auslieferung der Web-App sowie serverlose Funktionen (Region Frankfurt am Main), Datei-Speicher für hochgeladene Originaldateien (Vercel Blob, Region Frankfurt am Main) sowie cookielose Reichweiten- und Performance-Messung (Web Analytics, Speed Insights). Weitere Informationen: vercel.com/legal/privacy-policy
Sentry (Functional Software, Inc.)
Fehler- und Stabilitäts-Monitoring der Web-App; Verarbeitung auf EU-Servern (de.sentry.io). Logs können technische Daten und Nutzerkennungen enthalten. Weitere Informationen: sentry.io/privacy
Upstash (Upstash, Inc.)
Kurzzeitige Verarbeitung von IP-Adresse bzw. Nutzerkennung zur Missbrauchsabwehr (Rate-Limiting); Redis-Datenbank in der Region Frankfurt am Main. Weitere Informationen: upstash.com/trust
Anthropic (Anthropic, PBC)
KI-Verarbeitung für Analysen, Empfehlungen und den trace Coach. Aggregierte Trainings- und Leistungsdaten werden zur Laufzeit übermittelt; keine direkten Identifikatoren. Weitere Informationen: anthropic.com/legal/privacy
Mapbox (Mapbox, Inc.)
Karten und Streckendarstellung. Zur Erzeugung von Kartenausschnitten werden Routen- bzw. Standortdaten an Mapbox übermittelt. Weitere Informationen: mapbox.com/legal/privacy
Stripe (Stripe, Inc.)
Zahlungsabwicklung für über die Website abgeschlossene Abonnements. Zahlungsdaten werden direkt an Stripe übermittelt; wir speichern keine Kartendaten. Weitere Informationen: stripe.com/de/privacy
RevenueCat (RevenueCat, Inc.)
Verwaltung von In-App-Käufen über den Apple App Store. Verarbeitet werden Kauf- und Abo-Status-Ereignisse sowie deine trace-Konto-ID; keine Zahlungsdaten. Weitere Informationen: revenuecat.com/privacy
Resend (Resend, Inc.)
Versand transaktionaler E-Mails (z. B. Verifizierung, Passwort-Reset). Deine E-Mail-Adresse wird an Resend übermittelt. Weitere Informationen: resend.com/legal/privacy-policy
Expo (650 Industries, Inc.)
Auslieferung von App-Updates und Vermittlung von Push-Benachrichtigungen an Apple (APNs). Übermittelt wird ein Geräte-Token. Weitere Informationen: expo.dev/privacy
Apple (Apple Inc.)
Anmeldung „Mit Apple", Zustellung von Push-Benachrichtigungen über den Apple Push Notification service (APNs) sowie – bei In-App-Käufen – Zahlungsabwicklung über den App Store; insoweit ist Apple eigenständiger Verantwortlicher. Weitere Informationen: apple.com/legal/privacy
Cloudflare (Cloudflare, Inc.)
Bot-Schutz (Turnstile) auf einzelnen Formularseiten (z. B. Warteliste). Dabei verarbeitet Cloudflare technische Daten wie IP-Adresse und Browser-Merkmale. Weitere Informationen: cloudflare.com/privacypolicy
Open-Meteo
Wetterdaten-Abruf zur Hitze-Analyse. Übermittelt werden ausschließlich auf ca. 1 km vergröberte Aktivitäts-Startkoordinaten und der Zeitraum – keine Namen oder Kennungen. Weitere Informationen: open-meteo.com/en/terms
OpenStreetMap / Overpass API (FOSSGIS e.V.)
Abfrage von Kartendaten zur Benennung von Anstiegen (overpass-api.de). Übermittelt werden die Koordinaten des jeweiligen Anstiegs, ohne Kennungen. Weitere Informationen: fossgis.de/datenschutzerklaerung
Google (Google LLC)
Optionale Anmeldung via Google; Google agiert insoweit als eigenständiger Verantwortlicher. Weitere Informationen: policies.google.com/privacy
intervals.icu
Optionale Verbindung zum Abruf von Aktivitäts- und Wellness-Daten; dient auch als Brücke für Daten von Garmin-Geräten. intervals.icu ist eigenständiger Verantwortlicher. Weitere Informationen: intervals.icu
Weitere Geräte- und Aktivitätsdienste
Je nach von dir hergestellter Verbindung: Wahoo, Polar, Suunto, Hammerhead (Aktivitäts- und ggf. Wellness-Daten). Diese Dienste sind eigenständige Verantwortliche; es gelten die Datenschutzbestimmungen des jeweiligen Anbieters.
Mit den Anbietern, die als Auftragsverarbeiter für uns tätig sind, wurden Verträge gemäß Art. 28 DSGVO geschlossen. Diese verpflichten die Anbieter zur Einhaltung des Datenschutzniveaus der DSGVO und beschränken die Verarbeitung auf den Zweck der jeweiligen Dienstleistung. Unsere Datenbank einschließlich Authentifizierung (Supabase) wird in der EU (Irland) betrieben; die Auslieferung der Web-App und unsere Serverless-Funktionen (Vercel) laufen in der EU (Frankfurt am Main); auch der Datei-Speicher für hochgeladene Originaldateien (Vercel Blob) und der Redis-Speicher für das Rate-Limiting (Upstash) liegen in der Region Frankfurt am Main. Deine Konto-, Trainings- und Gesundheitsdaten werden damit in der EU gespeichert und verarbeitet. Einige dieser Anbieter (z. B. Vercel, Supabase, Sentry, Upstash) sind US-Unternehmen, die ihre Systeme für uns in der EU betreiben; ein Zugriff aus Drittländern (etwa im Support-Fall) lässt sich dabei nicht vollständig ausschließen. Soweit personenbezogene Daten an Anbieter in Drittländern – insbesondere die USA – übermittelt oder dort verarbeitet werden (u. a. Anthropic, Stripe, Mapbox, Expo, Apple, Resend, RevenueCat, Cloudflare), stützen wir dies auf Standardvertragsklauseln der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO, ergänzt um technische und organisatorische Maßnahmen (Verschlüsselung in Transit und at Rest, Pseudonymisierung bzw. Datenminimierung, Zugangskontrollen). Soweit der jeweilige Anbieter nach dem EU-US Data Privacy Framework (DPF) zertifiziert ist, tritt der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 als zusätzliche Übermittlungsgrundlage hinzu; die weitere Entwicklung des DPF (u. a. das beim EuGH anhängige Rechtsmittel C-703/25 P) beobachten wir und passen unsere Übermittlungsgrundlagen bei Bedarf an. Eine Kopie der jeweils verwendeten Standardvertragsklauseln erhältst du auf Anfrage unter lukas@usetrace.de; der Mustertext der EU-Kommission ist im Durchführungsbeschluss (EU) 2021/914 (eur-lex.europa.eu) abrufbar. Empfänger, die keine Auftragsverarbeiter, sondern eigenständige Verantwortliche sind – z. B. Open-Meteo und OpenStreetMap/Overpass (erhalten nur vergröberte bzw. anlassbezogene Koordinaten ohne Kennungen), Apple bei In-App-Käufen, Google bei der Anmeldung sowie die von dir verbundenen Dienste (intervals.icu, Wahoo, Polar, Suunto, Hammerhead) –, sind entsprechend gekennzeichnet.
5. Weitergabe deiner Daten
Wir verkaufen deine Daten nicht und nutzen sie nicht für Werbung. Eine Weitergabe erfolgt nur in folgenden Fällen:
- ·An Auftragsverarbeiter, die uns beim Betrieb des Dienstes unterstützen (siehe Punkt 4); diese sind vertraglich auf unsere Weisungen und den jeweiligen Zweck beschränkt.
- ·An eine von dir verbundene Trainerin oder einen Trainer bzw. an dein Team: Wenn du die Trainer-/Coach-Funktion nutzt, werden die freigegebenen Trainings- und ggf. Gesundheitsdaten für die verbundene Person sichtbar. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a, für Gesundheitsdaten Art. 9 Abs. 2 lit. a DSGVO), die du mit der aktiven Freigabe erteilst und jederzeit mit Wirkung für die Zukunft widerrufen kannst, indem du die Verbindung beendest.
- ·An staatliche Stellen oder Dritte, wenn wir gesetzlich dazu verpflichtet sind oder dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 6 Abs. 1 lit. c und f DSGVO).
- ·Im Rahmen einer etwaigen Unternehmensnachfolge (z. B. Verkauf oder Umstrukturierung); in diesem Fall bleibt das Datenschutzniveau gewahrt und wir informieren dich vorab.
6. Datensicherheit
Wir treffen angemessene technische und organisatorische Maßnahmen, um deine Daten zu schützen. Dazu gehören die Verschlüsselung der Übertragung (TLS/HTTPS) und der gespeicherten Daten (Verschlüsselung „at Rest"), eine zeilenbasierte Zugriffskontrolle in der Datenbank (Row Level Security), restriktive Zugriffsrechte, Passwort-Hashing (bcrypt) sowie Maßnahmen zur Missbrauchsabwehr. Kein Verfahren der Übertragung oder Speicherung ist vollständig sicher; eine absolute Sicherheit können wir daher nicht garantieren.
7. Speicherdauer
Konto-, Trainings- und Gesundheitsdaten speichern wir, solange dein Konto besteht. Wenn du dein Konto löschst (Einstellungen → Konto löschen), entfernen wir deine personenbezogenen Daten – einschließlich Aktivitäten, Gesundheits- und Wellness-Daten, hochgeladener Dateien, Streams, Chats und Verbindungen – innerhalb von 30 Tagen aus unseren aktiven Systemen; in verschlüsselten Sicherungskopien (Backups) können sie für einen kurzen, technisch bedingten Zeitraum verbleiben und werden mit der turnusmäßigen Backup-Rotation spätestens 30 Tage nach der Löschung endgültig entfernt. Ausgenommen sind: Nachweise zu Einwilligungen und zur Zustimmung zum Haftungsausschluss (Zeitstempel, Version, IP-Adresse, User-Agent, E-Mail-Adresse zur Zuordnung), die wir zur Rechtsverteidigung bis zu 3 Jahre aufbewahren, sowie Daten, für die gesetzliche Aufbewahrungspflichten bestehen (z. B. Rechnungs- und Buchungsdaten nach HGB/AO, bis zu 10 Jahre). Server-Logs werden nur kurzzeitig von unseren Dienstleistern vorgehalten.
8. Deine Rechte (DSGVO)
Du hast gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten:
- ·Auskunft: Art. 15 DSGVO – welche Daten wir über dich gespeichert haben
- ·Berichtigung: Art. 16 DSGVO – Korrektur unrichtiger Daten
- ·Löschung: Art. 17 DSGVO – Recht auf Vergessenwerden
- ·Einschränkung: Art. 18 DSGVO – eingeschränkte Verarbeitung
- ·Datenübertragbarkeit: Art. 20 DSGVO – Herausgabe in maschinenlesbarem Format
- ·Widerspruch: Art. 21 DSGVO – Widerspruch gegen Verarbeitung
- ·Widerruf: Art. 7 Abs. 3 DSGVO – Widerruf erteilter Einwilligungen
Widerspruchsrecht (Art. 21 DSGVO)
Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung deiner personenbezogenen Daten, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) erfolgt, Widerspruch einzulegen. Wir verarbeiten die betreffenden Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Richte deinen Widerspruch formlos an lukas@usetrace.de.
Um ein Recht geltend zu machen, wende dich an: lukas@usetrace.de
Du hast außerdem das Recht, dich bei der zuständigen Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns als Unternehmen mit Sitz in Bayern ist das das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.
9. Minderjährige
trace richtet sich an Personen ab 16 Jahren. Jüngere Personen dürfen den Dienst nur mit Zustimmung der Sorgeberechtigten nutzen. Wir erheben nicht wissentlich Daten von Kindern unter 16 Jahren ohne eine solche Zustimmung. Erhalten wir Kenntnis davon, dass uns Daten einer minderjährigen Person ohne erforderliche Einwilligung übermittelt wurden, löschen wir diese.
10. Cookies & Tracking
trace verwendet ausschließlich technisch notwendige Cookies für die Sitzungsverwaltung (Authentifizierung); diese sind nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Daneben nutzen wir den lokalen Speicher deines Browsers bzw. Geräts (localStorage) ebenfalls nur für unbedingt erforderliche Zwecke, etwa Sprach- und Darstellungseinstellungen, den Status des Cookie-Hinweises und Sitzungsinformationen. Zur Reichweiten- und Performance-Messung der Website setzen wir Vercel Web Analytics und Speed Insights ein; diese arbeiten ohne Cookies und ohne geräteübergreifendes Tracking und bilden keine auf dich zurückführbaren Profile. Zur Stabilitätssicherung kommt Fehler-Monitoring (Sentry) zum Einsatz. Es werden keine Werbe- oder Tracking-Cookies eingesetzt; ein Einwilligungs-Banner ist daher nicht erforderlich, der angezeigte Hinweis dient der Transparenz. Details zu den einzelnen Cookies findest du in der Cookie-Richtlinie unter usetrace.de/cookies.
11. Änderungen dieser Erklärung
Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen des Dienstes oder der gesetzlichen Anforderungen anzupassen. Die jeweils aktuelle Version ist stets unter usetrace.de/datenschutz abrufbar.
Stand: 3. Juli 2026