Datenschutzerklärung
Gemäß Art. 13, 14 DSGVO · Stand: März 2026
1. Verantwortlicher
2. Welche Daten wir erheben
Registrierung & Konto
Bei der Registrierung speichern wir Name, E-Mail-Adresse und ein verschlüsseltes Passwort (bcrypt). Bei Anmeldung über Google oder Strava erhalten wir Name, E-Mail und Profilbild vom jeweiligen Anbieter.
Strava-Integration
Eine direkte Strava-Integration über OAuth ist derzeit nicht freigeschaltet. Strava-Daten können momentan über Intervals.icu importiert werden. Sobald Strava unsere Produktions-API-Anbindung freigibt, integrieren wir den OAuth-Flow. Wir speichern zu keinem Zeitpunkt dein Strava-Passwort.
Garmin-Integration
Eine direkte Garmin-Integration über Zugangsdaten ist nicht verfügbar. Garmin-Daten können derzeit über Intervals.icu importiert werden. Sobald Garmin uns für die offizielle Health API freischaltet, integrieren wir den OAuth-Flow. Es werden zu keinem Zeitpunkt Garmin-Zugangsdaten gespeichert.
Trainingsdaten
Aktivitäten, die du synchronisierst oder hochlädst, werden in unserer Datenbank gespeichert. Dazu zählen Datum, Sportart, Distanz, Dauer, Herzfrequenz, Leistungswerte, Höhenmeter und GPS-Streckendaten (sofern vorhanden).
KI-Analysen
Für KI-gestützte Trainingsanalysen und -pläne werden aggregierte Trainingsdaten (keine personenbezogenen Kontaktdaten) an die Anthropic API übermittelt und dort verarbeitet. Die Anthropic API speichert keine Prompts oder Antworten dauerhaft (gemäß Anthropics Datenschutzrichtlinien). Es findet keine automatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt; die KI-Empfehlungen sind unverbindliche Hinweise.
Haftungsausschluss-Akzeptanz
Zur rechtlichen Nachweisbarkeit speichern wir bei jeder Zustimmung zum Haftungsausschluss: Zeitstempel, Version des Disclaimers, deine IP-Adresse und den verwendeten User-Agent (Browser-/Gerätekennung). Rechtsgrundlage: Art. 6 Abs. 1 lit. c und f DSGVO (rechtliche Verpflichtungen und berechtigtes Interesse an Nachweisfähigkeit). Diese Daten werden bis zu 3 Jahre nach Kontolöschung aufbewahrt.
Server-Logs
Beim Aufruf der Website werden automatisch technische Daten erfasst: IP-Adresse, Browsertyp, Betriebssystem, aufgerufene Seite und Uhrzeit. Diese Daten werden ausschließlich zur Fehleranalyse verwendet und nach 30 Tagen gelöscht.
2a. Gesundheitsdaten (Art. 9 DSGVO)
Im Rahmen unseres Dienstes verarbeiten wir besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO, insbesondere Herzfrequenz (HR), Herzfrequenzvariabilität (HRV), Ruhepuls, Schlafphasen und Schlafdauer, Atemfrequenz und Stress-Werte. Rechtsgrundlage für diese Verarbeitung ist ausschließlich deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Ohne diese Einwilligung können wir Funktionen wie Readiness Score, HRV-Trend und Trainingsempfehlungen auf Basis dieser Daten nicht bereitstellen — die übrigen Funktionen der Plattform bleiben verfügbar. Du kannst deine Einwilligung jederzeit unter Einstellungen → Datenschutz widerrufen. Der Widerruf wirkt für die Zukunft; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Nach Widerruf löschen wir die betreffenden Daten innerhalb von 30 Tagen oder anonymisieren sie unwiderruflich, soweit dies technisch möglich ist.
3. Zweck & Rechtsgrundlage
Wir verarbeiten deine Daten auf folgenden Rechtsgrundlagen gemäß DSGVO:
- ·Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung: Bereitstellung der Kernfunktionen (Aktivitätssynchronisation, Analysen, Trainingspläne)
- ·Art. 6 Abs. 1 lit. a DSGVO — Einwilligung: Verbindung von Strava- und Garmin-Konten
- ·Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung: Zahlungsabwicklung über Stripe bei kostenpflichtigen Abonnements
- ·Art. 6 Abs. 1 lit. f DSGVO — Berechtigte Interessen: Sicherheit und Fehleranalyse (Server-Logs)
- ·Art. 6 Abs. 1 lit. c & f DSGVO — Rechtliche Verpflichtung & berechtigte Interessen: Dokumentation der Disclaimer-Akzeptanz zur Haftungsabwehr
4. Eingesetzte Drittanbieter
Supabase (Supabase Inc.)
Datenbankdienst. Deine Konto- und Trainingsdaten werden auf Supabase-Servern gespeichert. Weitere Informationen: supabase.com/privacy
Vercel (Vercel Inc.)
Hosting und Bereitstellung der Webanwendung. Server befinden sich in den USA und der EU. Weitere Informationen: vercel.com/legal/privacy-policy
Google (Google LLC)
Optionale Anmeldung via Google OAuth. Weitere Informationen: policies.google.com/privacy
Strava (Strava Inc.)
Optionale Verbindung zur Strava-API zum Abruf von Trainingsdaten. Weitere Informationen: strava.com/legal/privacy
Anthropic (Anthropic, PBC)
KI-Verarbeitung für Trainingsanalysen und -empfehlungen. Aggregierte Trainingsdaten werden zur Laufzeit übermittelt. Weitere Informationen: anthropic.com/privacy
Stripe (Stripe, Inc.)
Zahlungsabwicklung für kostenpflichtige Abonnements. Bei Abschluss eines Abonnements werden Zahlungsdaten (z. B. Kreditkartendaten) direkt an Stripe übermittelt und dort verarbeitet. Wir speichern keine Zahlungsdaten selbst. Weitere Informationen: stripe.com/de/privacy
Resend (Resend, Inc.)
E-Mail-Versanddienst für transaktionale E-Mails (z. B. Passwort-Reset, Benachrichtigungen). Dabei wird deine E-Mail-Adresse an Resend übermittelt. Weitere Informationen: resend.com/legal/privacy-policy
Mit allen genannten Auftragsverarbeitern wurden Verträge gemäß Art. 28 DSGVO geschlossen. Diese verpflichten die Anbieter zur Einhaltung des Datenschutzniveaus der DSGVO und beschränken die Verarbeitung auf den Zweck der jeweiligen Dienstleistung. Soweit personenbezogene Daten in Drittländer — insbesondere die USA — übermittelt werden, erfolgt dies auf einer der folgenden Grundlagen: (1) Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework (DPF), sofern der jeweilige Anbieter zertifiziert ist (z. B. Stripe, Anthropic, Vercel — Stand: 11.05.2026); (2) Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO bei nicht DPF-zertifizierten Anbietern; (3) ergänzende technische und organisatorische Maßnahmen (Verschlüsselung in Transit und at Rest, Zugangskontrollen).
5. Speicherdauer
Kontodaten und Trainingsdaten werden gespeichert, solange dein Konto aktiv ist. Nach Löschung deines Kontos werden alle personenbezogenen Daten innerhalb von 30 Tagen vollständig gelöscht. Server-Logs werden nach 30 Tagen automatisch gelöscht.
6. Deine Rechte (DSGVO)
Du hast gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten:
- ·Auskunft: Art. 15 DSGVO — welche Daten wir über dich gespeichert haben
- ·Berichtigung: Art. 16 DSGVO — Korrektur unrichtiger Daten
- ·Löschung: Art. 17 DSGVO — Recht auf Vergessenwerden
- ·Einschränkung: Art. 18 DSGVO — eingeschränkte Verarbeitung
- ·Datenübertragbarkeit: Art. 20 DSGVO — Herausgabe in maschinenlesbarem Format
- ·Widerspruch: Art. 21 DSGVO — Widerspruch gegen Verarbeitung
- ·Widerruf: Art. 7 Abs. 3 DSGVO — Widerruf erteilter Einwilligungen
Um ein Recht geltend zu machen, wende dich an: lukas@usetrace.de
Du hast außerdem das Recht, dich bei der zuständigen Aufsichtsbehörde zu beschweren. In Bayern ist das der Bayerische Landesbeauftragte für den Datenschutz (BayLfD), www.datenschutz-bayern.de.
7. Cookies & Tracking
Trace verwendet ausschließlich technisch notwendige Cookies für die Sitzungsverwaltung (Authentifizierung). Es werden keine Tracking-, Analyse- oder Werbe-Cookies eingesetzt. Eine Einwilligung per Cookie-Banner ist daher nicht erforderlich.
8. Änderungen dieser Erklärung
Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen des Dienstes oder der gesetzlichen Anforderungen anzupassen. Die jeweils aktuelle Version ist stets unter usetrace.de/datenschutz abrufbar.
Stand: März 2026