Datenschutzerklärung

Wer wir sind

Labonde Software Ltd („Labonde Software“), die Betreibergesellschaft des Produkts Coachalyst, ist für die in Abschnitt 2 abgegrenzten eigenen Verarbeitungszwecke Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Für eine Verarbeitung ausschließlich im Auftrag eines Coaching-Unternehmens gilt die dort beschriebene andere Rollenverteilung.

Sitz: Tasou Chatzipapanastasiou 11, LEPTOS FORTUNA COURT, Flat/Office 002, 8035 Geroskipou, Paphos, Zypern Firmennummer (Registrar of Companies and Intellectual Property, Zypern): HE 497672 E-Mail: hello@coachalyst.com Datenschutz-Kontakt: privacy@coachalyst.com

Coachalyst ist eine Marke der Labonde Software Ltd. Da wir in der Europäischen Union niedergelassen sind, ist kein Vertreter gemäß Art. 27 DSGVO erforderlich.

Geltungsbereich

Diese Erklärung beschreibt die Verarbeitung personenbezogener Daten bei der Nutzung von Coachalyst. Sie richtet sich an selbstverwaltete Nutzer, Coaches, Studios und deren Klienten.

Labonde Software Ltd ist für eigene Verarbeitungszwecke verantwortlich, insbesondere die Verwaltung eigener Vertragsbeziehungen, Abrechnung und Plattformbetrieb. Soweit wir Klientendaten ausschließlich im Auftrag eines Coaches oder Studios verarbeiten, ist das jeweilige Coaching-Unternehmen Verantwortlicher und Labonde Software Ltd Auftragsverarbeiter. Dafür ist ein gesonderter Auftragsverarbeitungsvertrag erforderlich. Die Datenschutzhinweise des Coaching-Unternehmens gelten zusätzlich. Die Rolle wird für den jeweiligen Zweck bestimmt; nicht jede Verarbeitung im Service ist Auftragsverarbeitung.

Kategorien personenbezogener Daten

Je nach genutzter Funktion und tatsächlichem Verarbeitungszweck können die folgenden Datenkategorien betroffen sein. Daraus folgt keine Erlaubnis, sämtliche Kategorien für jeden Zweck zu verarbeiten:

• Accountdaten: E-Mail, optionaler Name, Passwort-Hash, Sprachpräferenz, Erstellungsdatum, Verifizierungsstatus.
• Profildaten: Geburtsdatum, Geschlecht (optional, für Gesundheitsberechnungen), Größe, Gewicht, Trainingsziele, Erfahrungsstufe.
• Trainingsdaten: Workouts, Sätze, Wiederholungen, Gewichte, RPE, Personal Records, Notizen.
• Ernährungsdaten: Kalorien, Makronährstoffe, Mahlzeiten, Supplement-Einnahme.
• Gesundheitsbezogene Daten: Schlaf, Readiness, Recovery-Scores, Zyklusdaten (optional), Apple-Health- / Google-Health-Connect-Daten (nur bei Verbindung). Diese Daten sind besondere Kategorien gemäß Art. 9 Abs. 1 DSGVO.
• Fortschrittsmedien: von dir hochgeladene Fotos und Videos.
• Kommunikation: Chat-Nachrichten zwischen dir und deinem Coach, Check-in-Antworten, Support-Tickets.
• Zahlungsdaten: gekaufte Stufe, Abo-Status, Rechnungs-IDs. Kartendaten werden von Paddle (Web) oder Apple / Google (Mobile) verarbeitet; wir sehen und speichern keine Kartennummern.
• Geräte- und Nutzungstelemetrie: Gerätemodell, OS-Version, App-Version, IP-Adresse, Crash-Diagnose, grobe Nutzungsereignisse (geöffnete Screens, genutzte Features).
• Marketingdaten: UTM-Parameter aus Ad- / Social-Links, Referral-Codes, Wartelisten-E-Mail und Rolle.

Zwecke und Rechtsgrundlagen

Wir verarbeiten jede Datenkategorie für definierte Zwecke auf folgenden Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO (Art. 9 Abs. 2 zusätzlich bei Gesundheitsdaten):

• Bereitstellung des Service (Accounts, Sync, Coaching): Vertragserfüllung (Art. 6 Abs. 1 lit. b).
• Zahlungsabwicklung und Betrugsprävention: Vertragserfüllung (Art. 6 Abs. 1 lit. b) und berechtigtes Interesse (Art. 6 Abs. 1 lit. f).
• Verarbeitung gesundheitsbezogener Daten: soweit wir uns darauf stützen, deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a). Zum Widerruf siehe Abschnitt 10. Eine Coach-Freigabe deckt nicht automatisch die Verarbeitung durch die Plattform ab.
• Sicherheit, Missbrauchsverhinderung, Stabilität: berechtigte Interessen (Art. 6 Abs. 1 lit. f).
• Nutzungsanalyse in den Apps zur Verbesserung des Service und zur Fehlerbehebung: berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Du kannst jederzeit in den App-Einstellungen widersprechen (Abschnitt 14).
• Transaktionale E-Mails (Belege, Passwort-Reset, Sicherheitshinweise): Vertragserfüllung (Art. 6 Abs. 1 lit. b).
• Marketing-E-Mails (Warteliste, Launch-Updates): deine Einwilligung (Art. 6 Abs. 1 lit. a); jederzeit per Abmeldelink widerrufbar.
• Erfüllung rechtlicher Pflichten (Steuer, Behördenanfragen): rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c).

OFFEN VOR VERÖFFENTLICHUNG: Für jeden tatsächlichen Verarbeitungsvorgang ist die konkret verwendete Art.-6-Grundlage und bei Gesundheitsdaten zusätzlich die Art.-9-Voraussetzung festzulegen. Alternativ genannte Grundlagen ersetzen diese Zuordnung nicht. Eigene Produktforschung und zweckübergreifende Auswertungen sind dabei gesondert zu behandeln.

Gesundheits-, Zyklus- und Medizindaten (verstärkter Schutz)

Gesundheitsdaten können sich unmittelbar aus Messwerten und Angaben oder mittelbar aus deren Verknüpfung ergeben. Dazu gehören insbesondere Schlaf-, Puls-, Zyklus- und Erholungsdaten sowie gesundheitsbezogene Körper-, Trainings- und Ernährungsinformationen. Erforderlich sind sowohl eine Rechtsgrundlage nach Art. 6 als auch eine Voraussetzung nach Art. 9 Abs. 2 DSGVO.

Die vorgesehenen Plattformzwecke umfassen Darstellung und persönliche Auswertungen der jeweils gewählten Funktionen. Die dafür verwendeten Kategorien und konkreten Zwecke müssen vor der Entscheidung verständlich bezeichnet sein. AGB-Annahme und Betriebssystemberechtigung ersetzen keine erforderliche ausdrückliche Einwilligung. Allgemeines KI-Modelltraining, Werbung und unabhängige Forschungszwecke werden durch eine Funktionsfreigabe nicht pauschal mit erlaubt.

Gesundheitsdaten werden nicht verkauft oder zu Werbezwecken an Datenhändler, Arbeitgeber oder Versicherer weitergegeben. Persönliche Auswertungen sind von Werbeprofilen zu unterscheiden. Eine gesetzlich erforderliche Behördenübermittlung wird im Einzelfall auf ihre Rechtsgrundlage und ihren zulässigen Umfang geprüft; eine Information erfolgt, soweit rechtlich geboten und zulässig.

Bei Verbindung mit Apple HealthKit oder Google Health Connect werden die technisch freigegebenen Kategorien für die erlaubten Funktionen übernommen. Die HealthKit-Verbindung ist lesend. Ein Entzug der Betriebssystemberechtigung stoppt den betreffenden Zugriff, löscht jedoch nicht automatisch bereits importierte Daten.

Plattform-Einwilligungen und ihre Widerrufe lassen sich im Bereich „Verträge und Datenschutz“ verwalten. Freigaben an ein Coaching-Unternehmen sind davon getrennt. Ein Widerruf beendet die darauf gestützte Verarbeitung; eine weitere Speicherung benötigt eine gesonderte tragfähige Grundlage. Anderenfalls sind die betroffenen Daten einschließlich relevanter Kopien und Ableitungen zu löschen. Dabei ist eine Accountlöschung keine allgemeine Voraussetzung.

OFFEN VOR VERÖFFENTLICHUNG: Die zweckbezogene Löschung nach Widerruf, die vollständige Zuordnung der tatsächlich verarbeiteten Daten und die Zugriffsrollen einschließlich administrativer Ausnahmen sind noch nicht abschließend umgesetzt bzw. bestätigt. Die derzeitige Stopplogik allein belegt diese zusätzlichen Anforderungen nicht. Die Fristen für Sicherungen und sonstige Kopien sind nach Abschnitt 8 zu konkretisieren.

Wofür wir welchen Datentyp nutzen

Die folgende Übersicht beschreibt die vorgesehenen Verwendungszwecke. Welche Rechtsgrundlage im Einzelfall gilt, richtet sich zusätzlich nach Abschnitt 4 und bei Gesundheitsdaten nach Abschnitt 5. Für die Aufbewahrung gilt Abschnitt 8.

• Accountdaten und Passwort-Hash: Anmeldung, Zugangsschutz und Verwaltung des Accounts. Das Passwort darf nicht im Klartext gespeichert werden.
• Profil- und Körperdaten: Darstellung und Personalisierung der von dir verwendeten Funktionen; gesundheitsbezogene Angaben erfordern zusätzlich eine Grundlage nach Art. 9 DSGVO.
• Trainings-, Ernährungs- und Supplementeinträge: persönliches Tracking und Auswertungen sowie Coaching im jeweils zulässigen Freigabeumfang.
• Schlaf, Puls, Erholung und Zyklusdaten: Darstellung und Auswertungen der gewählten Gesundheitsfunktionen. Eine Freigabe an ein Coaching-Unternehmen ist gesondert zu behandeln.
• Apple HealthKit und Google Health Connect: Übernahme der technisch freigegebenen Kategorien für die gewählten Funktionen. Die Betriebssystemberechtigung ersetzt keine gegebenenfalls erforderliche Verarbeitungseinwilligung.
• Private Fortschrittsfotos und Videos: Galerie und von dir erlaubtes Coaching-Feedback. Eine Veröffentlichung im gemeinsamen Lebensmittelkatalog ist hiervon getrennt.
• Community-Beiträge (Lebensmitteldaten, Foodfotos, Rezepte und Korrekturvorschläge): Aufbau und Pflege des gemeinsamen Katalogs. Beim Anlegen eines Lebensmittels kann „öffentlich“ vorausgewählt sein; prüfe die Sichtbarkeit vor dem Speichern. Bild- und Korrektureinreichungen für den gemeinsamen Katalog werden zur Prüfung und möglichen Veröffentlichung verarbeitet. Lade dort keine Gesundheitsunterlagen, identifizierbaren Personen oder unnötigen personenbezogenen Angaben hoch. Für ausdrücklich vereinbarte Katalogbeiträge sieht AGB § 9 dauerhafte, nicht ausschließliche Nutzungsrechte für Labonde Software Ltd vor. Diese enden nicht allein mit der Kontolöschung; du darfst eigene Inhalte weiterhin anderweitig nutzen. Gesetzliche Rechte bleiben unberührt. Die öffentliche Vorauswahl allein ist keine solche Vereinbarung. Eine Inhaltslizenz ersetzt keine Datenschutzrechtsgrundlage. Das Entfernen einer Account-ID garantiert keine Anonymität. Gesetzliche Berichtigungs- und Löschansprüche bleiben bestehen; siehe AGB § 9.
• Nachrichten, Check-ins und Notizen: Kommunikation und Dokumentation im jeweiligen Teilnehmer- und Berechtigungskreis.
• Zahlungs- und Abodaten: Leistungszuordnung, Abrechnung und gesetzliche Pflichten. Die Zahlungsanbieter verarbeiten zusätzliche Daten nach ihren Datenschutzhinweisen; Rollen siehe Abschnitt 6.
• Fehlerdiagnose und technische App-Start-Meldungen: Erkennen von Fehlern und technischen Nutzungsvorgängen. Datenumfang und Abgrenzung zur Produktanalyse stehen in Abschnitt 14.
• Nutzungsereignisse der Apps: Verbesserung des Service und Erkennen abgebrochener oder fehlerhafter Abläufe, ohne Inhalte oder Gesundheitswerte. Einzelheiten und Abschalten in Abschnitt 14.
• Kampagnen- und Empfehlungszuordnung: Zuordnung von Kampagnen oder Empfehlungen, soweit die konkrete Verarbeitung zulässig ist und erforderliche Einwilligungen vorliegen.
• Sicherheitsprotokolle und Supportanfragen: Zugangsschutz, Missbrauchsabwehr und Bearbeitung deiner Anfragen.

Eine Nutzung personenbezogener Gesundheitsdaten für zusätzliche Statistiken oder Produktverbesserung benötigt eine eigene Prüfung von Zweck, Rechtsgrundlage und Schutzmaßnahmen. Auch die Herstellung anonymisierter Daten ist zunächst eine Verarbeitung personenbezogener Daten.

An wen wir Daten weitergeben

Wir verkaufen deine personenbezogenen Daten nicht. Empfänger und ihre datenschutzrechtliche Rolle hängen von der jeweiligen Verarbeitung ab. Ein Zahlungsanbieter ist nicht automatisch unser Auftragsverarbeiter.

• Hetzner Online GmbH (Deutschland): Hosting von Backend und Datenbank sowie E-Mail-Versand und -Betrieb.
• Paddle: Merchant of Record für Web-Käufe. Paddle verarbeitet Daten zur Vertragsabwicklung, Zahlung und Erfüllung eigener gesetzlicher Pflichten. Zusätzlich gelten die Datenschutzhinweise von Paddle.
• Stripe: Zahlungsabwicklung für Coaching-Angebote über Stripe Connect. Verkäufer und Vertragspartner ist der jeweilige Coach. Die Rolle von Stripe richtet sich nach der Verarbeitung und der Vertragsbeziehung; zusätzlich gelten die Datenschutzhinweise von Stripe.
• Apple und Google: Abwicklung von In-App-Käufen über ihre Stores nach den jeweiligen Datenschutzhinweisen.
• Sentry: Software zur Fehlerdiagnose in unserer selbst betriebenen Instanz. Die Verwendung der Software bedeutet nicht automatisch eine Weitergabe an den Sentry-Cloud-Dienst.
• DeepSeek: externer KI-Dienst für die von dir gewählte Analyse von Mahlzeitenfotos. Übermittelt werden das ausgewählte, technisch von Metadaten bereinigte Bild sowie erkannte Lebensmittelbezeichnungen, Mengen und passende Katalogwerte. Sichtbare persönliche Angaben im Bild werden dadurch nicht automatisch entfernt. Eine gesonderte Einwilligung für diese Analyse ist erforderlich; eine allgemeine Kataloglizenz oder Betriebssystem-Fotofreigabe ersetzt sie nicht.
• Cloudflare: Turnstile zur Abwehr automatisierter Formularaufrufe; dabei werden technische Verbindungsdaten verarbeitet.

Bei einer Coaching-Beziehung erhält das Coaching-Unternehmen Zugriff auf die dafür freigegebenen Daten. Einwilligungen zur Weitergabe von Gesundheitsdaten werden getrennt von der bloßen Verbindung mit einem Coach behandelt.

Soweit ein Dienstleister Daten in unserem Auftrag verarbeitet, ist vor dieser Verarbeitung ein Vertrag nach Art. 28 DSGVO erforderlich. Eigenständig Verantwortliche verarbeiten Daten auf Grundlage ihrer jeweiligen Rechtsgrundlagen. Diese Empfängerübersicht ist kein Nachweis, dass die erforderlichen Verträge bereits abgeschlossen wurden.

Internationale Datentransfers

Bei internationalen Datenflüssen sind neben dem Serverstandort auch Fernzugriffe, Support und weitere Dienstleister zu berücksichtigen. Eine EU-Serverregion allein schließt Drittlandübermittlungen nicht aus.

Eine Übermittlung personenbezogener Daten außerhalb von EU/EWR darf nur erfolgen, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Dafür kann ein einschlägiger Angemessenheitsbeschluss oder eine andere geeignete Garantie erforderlich sein, etwa wirksam vereinbarte Standarddatenschutzklauseln mit den erforderlichen ergänzenden Maßnahmen. Das EU-US Data Privacy Framework erfasst nur Übermittlungen in seinem jeweiligen Anwendungsbereich an tatsächlich teilnehmende Unternehmen.

OFFEN VOR VERÖFFENTLICHUNG: Für jeden tatsächlichen Empfänger sind Länder, Rollen, Datenarten und die konkret anwendbare Übermittlungsgrundlage zu bestätigen und hier zu ergänzen. Es wird nicht behauptet, dass entsprechende Verträge oder Transferprüfungen bereits vorliegen. Kontakt: privacy@coachalyst.com.

Für den externen KI-Dienst DeepSeek sind die konkrete Vertragsgesellschaft, API-Vertragsbedingungen, Verarbeitungs- und Zugriffsländer, Speicherfristen sowie gegebenenfalls erforderliche Transfergarantien vor Aktivierung nachzuweisen. Die allgemeine DeepSeek-Datenschutzerklärung allein beschreibt nach den Open-Platform-Bedingungen nicht die Verarbeitung der Daten unserer Endnutzer. Solange die Anbieterprüfung nicht freigegeben ist, bleibt die Mahlzeitenfoto-Analyse technisch gesperrt.

Speicherfristen

Die Speicherdauer richtet sich nach dem Verarbeitungszweck, bestehenden Vertragsbeziehungen und gesetzlichen Aufbewahrungspflichten.

• Account-, Profil-, Trainings-, Ernährungs-, Gesundheits- und private Mediendaten werden für die Nutzung des Accounts verarbeitet. Das Löschverfahren in der App sieht nach dem Antrag eine Rücknahmefrist von 30 Tagen vor. Anschließend wird die endgültige Löschung durch den automatischen Löschlauf angestoßen. Gesetzliche Löschansprüche bleiben davon unberührt; du kannst dich dafür direkt an privacy@coachalyst.com wenden.
• Für Rechnungs- und Steuerunterlagen gelten die jeweils einschlägigen gesetzlichen Aufbewahrungspflichten. Eine solche Pflicht rechtfertigt nicht die weitere Speicherung sämtlicher Account- oder Gesundheitsdaten.
• Sicherheits- und Missbrauchsdaten werden nur aufbewahrt, soweit sie für den konkreten Sicherheitszweck oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind.
• Bei Community-Beiträgen ist zwischen sachlichen Produktinformationen, Nutzungsrechten und enthaltenen personenbezogenen Daten zu unterscheiden. Einzelheiten stehen in Abschnitt 5b und den AGB § 9.
• Für Sicherungskopien gilt ein gesondertes Lösch- und Wiederherstellungskonzept. Ein Löschvorgang in der Produktivdatenbank entfernt Daten nicht automatisch zeitgleich aus jeder Sicherungskopie.
• Nutzungsereignisse der Apps (Abschnitt 14) werden spätestens mit der Löschung des Kontos entfernt. Eine kürzere feste Löschfrist ist noch nicht festgelegt. OFFEN VOR VERÖFFENTLICHUNG: Speicherdauer festlegen.
• Tatsächlich anonymisierte Statistiken können weiterverwendet werden, soweit eine Identifizierung auch unter Berücksichtigung weiterer verfügbarer Informationen nicht mehr möglich ist.

Die konkreten Aufbewahrungsfristen für Backups, Sicherheitslogs, Support und Steuerunterlagen müssen vor Veröffentlichung dieses Entwurfs anhand der tatsächlichen Betriebsabläufe und Rechtsgrundlagen ergänzt werden.

Vertrags-, Beitrags- und Einwilligungsnachweise bilden einen eigenen Datenbestand. Bei der Kontolöschung können erforderliche AVV-, B2B- und Beitragsnachweise anhand gesondert festgelegter Grundlagen reduziert aufbewahrt werden; auch eine verbleibende Personenkennung bleibt personenbezogen. Fristbeginn und Dauer der Originalnachweise und des reduzierten Archivs müssen vor Veröffentlichung getrennt festgelegt werden. Die technisch konfigurierbare Archivdauer ist keine gesetzliche Frist.

Deine Rechte

Nach der DSGVO und zyprischem Recht hast du folgende Rechte:

• Auskunftsrecht (Art. 15): Kopie der zu dir gespeicherten Daten anfordern.
• Recht auf Berichtigung (Art. 16): falsche Daten korrigieren lassen.
• Recht auf Löschung (Art. 17): „Recht auf Vergessenwerden“.
• Recht auf Einschränkung der Verarbeitung (Art. 18).
• Recht auf Datenübertragbarkeit (Art. 20): Daten in strukturiertem, gängigem, maschinenlesbarem Format erhalten.
• Widerspruchsrecht (Art. 21): bei Verarbeitung auf Grundlage berechtigter Interessen oder Direktmarketing.
• Widerruf der Einwilligung (Art. 7 Abs. 3): jederzeit möglich, beeinträchtigt nicht die Rechtmäßigkeit der bisherigen Verarbeitung.
• Recht, nicht automatisierten Entscheidungen unterworfen zu werden (Art. 22): siehe Abschnitt 11.
• Beschwerderecht bei einer Aufsichtsbehörde (Art. 77).

So übst du deine Rechte aus

In der App stehen Funktionen zum Datenexport, zur Bearbeitung deiner Profildaten und zur Beantragung der Accountlöschung zur Verfügung.

• Der technische Datenexport stellt Daten im JSON-Format und, soweit verfügbar, Download-Verweise auf Medien bereit. Für eine vollständige Auskunft nach Art. 15 DSGVO kannst du dich auch direkt an privacy@coachalyst.com wenden.
• Das Account-Löschverfahren enthält eine Rücknahmefrist von 30 Tagen. Der gesetzliche Anspruch auf unverzügliche Löschung bei Vorliegen der Voraussetzungen bleibt davon unberührt.
• Freigaben von Gesundheitskategorien an dein Coaching-Unternehmen kannst du in den Freigabeeinstellungen widerrufen. Das ist von einer Einwilligung in die Verarbeitung durch Coachalyst selbst zu unterscheiden.
• Plattform-Einwilligungen verwaltest und widerrufst du im Bereich „Verträge und Datenschutz“. Für Einschränkung, Widerspruch oder andere Datenschutzanfragen sowie alternativ für den Widerruf erreichst du uns unter privacy@coachalyst.com. Das Abschalten eines Trackers allein ist nicht gleichbedeutend mit der Löschung bereits gespeicherter Daten.

Wir bearbeiten Anfragen grundsätzlich unverzüglich und informieren dich spätestens innerhalb eines Monats nach Eingang über die ergriffenen Maßnahmen. Soweit Art. 12 Abs. 3 DSGVO eine Verlängerung erlaubt, informieren wir dich innerhalb dieser Frist über die Gründe.

Automatisierte Entscheidungsfindung

Coachalyst trifft keine ausschließlich automatisierten Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO).

Wir berechnen automatisch Trainingsbelastung, Makroziele und Recovery-Scores. Diese sind informative Hilfsmittel und ersetzen keine professionelle medizinische Beratung.

Kinder

Nach den vorgesehenen Nutzungsbedingungen richtet sich Coachalyst an Personen ab 16 Jahren. Diese Produktgrenze ist nicht gleichbedeutend mit einer weltweit einheitlichen gesetzlichen Einwilligungs- oder Vertragsfähigkeitsgrenze. Für Minderjährige müssen die anwendbaren Voraussetzungen und gegebenenfalls die wirksame Erklärung der gesetzlichen Vertretung gesondert erfüllt sein.

OFFEN VOR FREIGABE: Die tatsächliche Altersprüfung, zulässige Zielmärkte und erforderlichen Vertretungsnachweise sind noch zu bestätigen. Bei Hinweisen auf unzulässige Verarbeitung von Daten Minderjähriger erreichst du uns unter privacy@coachalyst.com; wir prüfen die erforderlichen Schutz- und Löschmaßnahmen.

Sicherheit

Wir müssen personenbezogene Daten durch technische und organisatorische Maßnahmen schützen, die dem jeweiligen Risiko entsprechen (Art. 32 DSGVO). Dazu gehören insbesondere Zugriffsbeschränkungen, sichere Authentifizierung und Übertragung sowie Verfahren zur Sicherung, Wiederherstellung und Löschung.

Konkrete Aussagen zu Verschlüsselungsalgorithmen, Backup-Fristen, Prüfintervallen oder durchgeführten Penetrationstests setzen einen aktuellen Nachweis aus dem tatsächlichen Betrieb voraus. Sie müssen in den technischen und organisatorischen Maßnahmen dokumentiert werden.

Bei Datenschutzverletzungen richten sich unsere Pflichten nach unserer Rolle: Als Auftragsverarbeiter benachrichtigen wir den Verantwortlichen unverzüglich nach Bekanntwerden. Als Verantwortlicher melden wir eine Verletzung der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, sofern sie voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen birgt. Bei voraussichtlich hohem Risiko benachrichtigen wir die betroffenen Personen unverzüglich, soweit keine gesetzliche Ausnahme greift (Art. 33 und 34 DSGVO).

Cookies und Tracking

Optionale Marketing-Zuordnung der Website ist standardmäßig deaktiviert. Du kannst sie über die Cookie-Einstellungen zulassen und deine Entscheidung dort ändern. Auf der Website verwenden wir keine Produktanalyse. Weitere Informationen stehen unter /cookies.

Fehlerdiagnose läuft über unsere selbst betriebene Sentry-Instanz. Je nach Anwendung können technische Metadaten, Fehlerberichte und maskierte Bildschirm- oder Ansichtsanhänge erfasst werden. Technische App-Start-Meldungen können eine Installationskennung enthalten und werden nicht allein durch die Cookie-Auswahl auf der Website gesteuert.

Nutzungsanalyse in den Apps: In den Coachalyst-Apps (Desktop-App, Client-App und Trainer-App) erfassen wir, wie der Service genutzt wird, um ihn zu verbessern und Probleme in Abläufen zu erkennen. Erfasst wird nur bei angemeldetem Konto: Beginn und Ende einer Sitzung, aktive Nutzungsdauer, aufgerufene Bereiche, genutzte Funktionen und ob ein Ablauf abgeschlossen, abgebrochen oder fehlgeschlagen ist, jeweils mit App, App-Version und Plattform. Die Ereignisse werden deinem Konto und gegebenenfalls deinem Coaching-Unternehmen zugeordnet. Nicht erfasst werden Inhalte wie Nachrichten, Formulareingaben oder Suchbegriffe sowie Gesundheits-, Trainings- und Ernährungswerte, Fotos und Videos. Mengen übermitteln wir nur in groben Stufen. Zusätzlich erfassen wir aktive Nutzungszeit und Ablaufdauern als Zeitangaben. Die Ereignisse werden kurz auf deinem Gerät zwischengespeichert und an unseren eigenen Server übertragen; ein Analyse-Drittanbieter ist nicht beteiligt. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung und Fehlerbehebung des Service (Art. 6 Abs. 1 lit. f DSGVO). Du kannst die Nutzungsanalyse jederzeit in den Einstellungen der jeweiligen App ausschalten; der lokale Zwischenspeicher wird dann gelöscht. Die Ereignisse sind Teil der Datenauskunft und werden mit deinem Konto gelöscht. Zur Speicherdauer siehe Abschnitt 8.

Rechtsgrundlage, Erforderlichkeit, Datenumfang und etwaige Einwilligungspflichten dieser Vorgänge müssen je Anwendung festgelegt sein. Ein Hinweis auf selbst betriebenes Hosting ersetzt diese Prüfung nicht.

Änderungen, Kontakt und Beschwerden

Wir halten diese Informationen bei Änderungen der tatsächlichen Verarbeitung aktuell und informieren dich rechtzeitig, wenn zusätzliche Informationen vor einer Änderung erforderlich sind. Die Veröffentlichung einer neuen Datenschutzerklärung ersetzt weder eine erforderliche Einwilligung noch eine andere notwendige Rechtsgrundlage. Eine feste E-Mail- oder In-App-Vorankündigungsfrist wird ohne bestätigten Ablauf nicht zugesagt.

Fragen und Anfragen: privacy@coachalyst.com.

Du kannst dich bei einer zuständigen Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat deines gewöhnlichen Aufenthalts, deines Arbeitsplatzes oder des Orts des vermuteten Verstoßes. In Zypern: Office of the Commissioner for Personal Data Protection, https://www.dataprotection.gov.cy. Für Deutschland findest du eine Behördenübersicht unter https://www.bfdi.bund.de.