Datenschutzerklärung

Wer wir sind

Labonde Software Ltd („Labonde Software“), die Betreibergesellschaft des Produkts Coachalyst, ist Verantwortlicher für die Verarbeitung deiner personenbezogenen Daten im Sinne von Art. 4 Nr. 7 DSGVO.

Sitz: Tasou Chatzipapanastasiou 11, LEPTOS FORTUNA COURT, Flat/Office 002, 8035 Geroskipou, Paphos, Zypern Firmennummer (Registrar of Companies and Intellectual Property, Zypern): HE 497672 E-Mail: hello@coachalyst.com Datenschutz-Kontakt: privacy@coachalyst.com

Coachalyst ist eine Marke der Labonde Software Ltd. Da wir in der Europäischen Union niedergelassen sind, ist kein Vertreter gemäß Art. 27 DSGVO erforderlich.

Geltungsbereich

Diese Erklärung gilt für alle Nutzer des Service weltweit. Sie erfüllt, soweit anwendbar, die Informationspflichten gemäß Art. 13 und Art. 14 DSGVO.

Wenn du den Service als Kunde eines professionellen Coaches nutzt, ist dein Coach hinsichtlich der geteilten Daten eigenständiger Verantwortlicher. Wir sind in diesem Fall Auftragsverarbeiter. Die Datenschutzhinweise deines Coaches gelten zusätzlich zu unseren.

Kategorien personenbezogener Daten

Wir verarbeiten nur die Daten, die zum Betrieb des Service erforderlich sind. Kategorien:

• Accountdaten: E-Mail, optionaler Name, Passwort-Hash, Sprachpräferenz, Erstellungsdatum, Verifizierungsstatus.
• Profildaten: Geburtsdatum, Geschlecht (optional, für Gesundheitsberechnungen), Größe, Gewicht, Trainingsziele, Erfahrungsstufe.
• Trainingsdaten: Workouts, Sätze, Wiederholungen, Gewichte, RPE, Personal Records, Notizen.
• Ernährungsdaten: Kalorien, Makronährstoffe, Mahlzeiten, Supplement-Einnahme.
• Gesundheitsbezogene Daten: Schlaf, Readiness, Recovery-Scores, Zyklusdaten (optional), Apple-Health- / Google-Fit-Daten (nur bei Verbindung). Diese Daten sind besondere Kategorien gemäß Art. 9 Abs. 1 DSGVO.
• Fortschrittsmedien: von dir hochgeladene Fotos und Videos.
• Kommunikation: Chat-Nachrichten zwischen dir und deinem Coach, Check-in-Antworten, Support-Tickets.
• Zahlungsdaten: gekaufte Stufe, Abo-Status, Rechnungs-IDs. Kartendaten werden von Paddle (Web) oder Apple / Google (Mobile) verarbeitet; wir sehen und speichern keine Kartennummern.
• Geräte- und Nutzungstelemetrie: Gerätemodell, OS-Version, App-Version, IP-Adresse, Crash-Diagnose, grobe Nutzungsereignisse (geöffnete Screens, genutzte Features).
• Marketingdaten: UTM-Parameter aus Ad- / Social-Links, Referral-Codes, Wartelisten-E-Mail und Rolle.

Zwecke und Rechtsgrundlagen

Wir verarbeiten jede Datenkategorie für definierte Zwecke auf folgenden Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO (Art. 9 Abs. 2 zusätzlich bei Gesundheitsdaten):

• Bereitstellung des Service (Accounts, Sync, Coaching): Vertragserfüllung (Art. 6 Abs. 1 lit. b).
• Zahlungsabwicklung und Betrugsprävention: Vertragserfüllung (Art. 6 Abs. 1 lit. b) und berechtigtes Interesse (Art. 6 Abs. 1 lit. f).
• Verarbeitung gesundheitsbezogener Daten: deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a); jederzeit in den Einstellungen widerrufbar.
• Sicherheit, Missbrauchsverhinderung, Stabilität: berechtigte Interessen (Art. 6 Abs. 1 lit. f).
• Transaktionale E-Mails (Belege, Passwort-Reset, Sicherheitshinweise): Vertragserfüllung (Art. 6 Abs. 1 lit. b).
• Marketing-E-Mails (Warteliste, Launch-Updates): deine Einwilligung (Art. 6 Abs. 1 lit. a); jederzeit per Abmeldelink widerrufbar.
• Erfüllung rechtlicher Pflichten (Steuer, Behördenanfragen): rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c).
• Produkt-Analytics (aggregierte Nutzung): berechtigte Interessen (Art. 6 Abs. 1 lit. f) oder Einwilligung, wo erforderlich; Analyse-Cookies sind standardmäßig aus.

Gesundheits-, Zyklus- und Medizindaten (verstärkter Schutz)

Trainingsleistung, Ernährung, Schlaf, Readiness, Erholung, Zyklusdaten und alle Daten aus Apple HealthKit oder Google Health Connect zählen zu den Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO und sind „besondere Kategorien personenbezogener Daten“. Für diese Daten gelten zusätzlich zu dieser Erklärung verstärkte Schutzmaßnahmen.

Rechtsgrundlage: deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Wir holen eine separate, spezifische Einwilligung ein, wenn du einen Tracker zum ersten Mal aktivierst: ein pauschales „Ich stimme allem zu“ reicht für Gesundheitsdaten nicht.

Was wir mit deinen Gesundheitsdaten tun:

• In der App anzeigen, damit du deine Muster selbst erkennst.
• Für dich personalisierte Berechnungen durchführen (Trainingsbelastung, Makroziele, Recovery-Score).
• Nur mit deinem professionellen Coach teilen, wenn du in einer Coaching-Beziehung stehst und diesen Datentyp explizit freigegeben hast.
• Aggregierte, nicht-identifizierende Statistiken zur Produktverbesserung berechnen (z. B. durchschnittliche Trainingsdauer pro Erfahrungsstufe). Die Aggregation entfernt jede Verknüpfung zu dir, bevor das Ergebnis genutzt wird.

Was wir mit deinen Gesundheitsdaten niemals tun:

• Wir verkaufen sie nicht. Niemals.
• Wir nutzen sie nicht für Werbung oder Verhaltens-Profiling.
• Wir teilen sie nicht mit Versicherungen, Arbeitgebern, Werbetreibenden, Datenhändlern oder Affiliate-Partnern.
• Wir nutzen sie nicht, um ML-Modelle zu trainieren, die unsere Infrastruktur verlassen.
• Wir geben sie nicht freiwillig an Strafverfolgungsbehörden weiter. Wir kooperieren nur mit gültigem EU-Rechtsakt und informieren dich, sofern der Beschluss uns das nicht ausdrücklich verbietet.

Apple HealthKit: Wenn du Apple Health verbindest, lesen wir ausschließlich die HealthKit-Kategorien, die du einzeln freigibst (z. B. Workouts, aktive Energie, Gewicht, Ruhepuls, Menstruationsfluss). Wir schreiben nie nach HealthKit zurück: die Verbindung ist ausschließlich lesend, und es gibt keine Einstellung, die das Schreiben einschaltet. Gemäß Apple App Review Guideline 5.1.3 nutzen wir HealthKit-Daten nicht für Werbung, teilen sie nicht mit Dritten zu Werbe- oder Data-Brokering-Zwecken und verkaufen sie nicht. Einzelne HealthKit-Berechtigungen kannst du jederzeit unter iOS Einstellungen → Datenschutz & Sicherheit → Health → Coachalyst widerrufen.

Google Health Connect: Für Android über Health Connect gelesene Daten gelten dieselben Zusagen, gemäß der Google Play Health Connect Policy. Berechtigungen verwaltest du in der Health-Connect-App auf deinem Gerät.

Zyklus- und Reproduktionsdaten: Zyklustracking ist standardmäßig aus. Einträge werden wie alle Accountdaten verschlüsselt gespeichert (siehe Abschnitt 13). Du kannst einzelne Einträge jederzeit löschen; mit der Accountlöschung werden alle Zyklusdaten dauerhaft entfernt.

Deine Kontrollen:

• Einzelne Tracker in Einstellungen → Datenschutz deaktivieren.
• Apple Health / Google Health Connect ohne Auswirkung auf den Rest deines Accounts trennen.
• Eine Kopie deiner Gesundheitsdaten exportieren (Einstellungen → Daten exportieren).
• Gesamten Account löschen, wodurch alle Gesundheitsdaten entfernt werden.

Datenschutz-Folgenabschätzung: Da wir besondere Kategorien in größerem Umfang verarbeiten, haben wir eine Datenschutz-Folgenabschätzung (DPIA, Art. 35 DSGVO) durchgeführt. Eine Zusammenfassung erhalten Aufsichtsbehörden auf Anfrage über privacy@coachalyst.com.

Wofür wir welchen Datentyp nutzen

Kurz gesagt: Jeder Datentyp wird nur für die aufgelisteten Zwecke verwendet, nur mit den genannten Parteien geteilt und nur solange aufbewahrt wie angegeben. Was hier nicht steht, tun wir nicht.

• E-Mail: für Login, transaktionale E-Mails (Belege, Passwort-Reset, Sicherheit) und optionales Marketing bei Opt-in. Versand über unsere eigene Mail-Infrastruktur; keine Weitergabe an einen externen E-Mail-Anbieter. Aufbewahrung bis zur Accountlöschung.
• Passwort: als gesalzener Hash (Argon2 / scrypt); wir sehen, loggen oder recovern nie das Klartext-Passwort. Keine Weitergabe. Aufbewahrung bis zur Accountlöschung.
• Profil (Name, Geburtsdatum, Geschlecht, Größe, Gewicht, Ziele, Erfahrung): für Personalisierung und gesundheitsbezogene Berechnungen. Weitergabe an deinen Coach nur bei Coaching-Beziehung. Aufbewahrung bis zur Accountlöschung.
• Trainingslogs (Sätze, Wiederholungen, Gewichte, RPE, Notizen): zur Anzeige, Analyse, PR-Erkennung und für das Dashboard deines Coaches, falls verbunden. Weitergabe nur an den verbundenen Coach. Aufbewahrung bis zur Accountlöschung.
• Ernährungs- und Supplement-Logs: für Tracking und Coaching. Weitergabe an deinen Coach nur, wenn du Ernährung explizit freigegeben hast. Aufbewahrung bis zur Accountlöschung.
• Zyklus- und Menstruationsdaten: ausschließlich für das Zyklus-Feature und – sofern aktiviert – für die dir angezeigte Korrelation mit Training. Weitergabe an deinen Coach nur auf explizite Einzelfreigabe. Aufbewahrung, bis du die Einträge oder deinen Account löschst.
• Schlaf, Readiness, Erholung: für dein Dashboard und Trainingsempfehlungen. Weitergabe an den Coach bei Verbindung. Aufbewahrung bis zur Accountlöschung.
• Apple HealthKit / Google Health Connect: nur in-app zur Anzeige und Korrelation mit deinem eigenen Training. Keine Weitergabe an Dritte. Jederzeit widerrufbar (siehe Abschnitt 5).
• Fortschrittsfotos und -videos: für deine Galerie und, nach expliziter Freigabe, als Feedback für deinen Coach. Verschlüsselt gespeichert. Weitergabe nur nach expliziter Freigabe. Aufbewahrung bis zur Accountlöschung oder bis du die Medien löschst.
• Geteilte Community-Medien (Foodfotos, Rezepte, Beiträge zur öffentlichen Bibliothek): innerhalb des Service genutzt, damit andere Nutzer dieselbe Position erkennen, ansehen und loggen können. Für andere Nutzer nur sichtbar, wenn du einen Beitrag ausdrücklich als geteilt markierst (Standard ist privat). Die Freigabe in einen Community-Bereich ist dauerhaft: Der Beitrag selbst verbleibt im Service, damit die Community-Datenbank für alle stabil bleibt, und bei der Accountlöschung wird er unwiderruflich anonymisiert (das Foto oder Rezept bleibt; dein Name, dein Profil und deine Account-Identifikatoren werden entfernt). Nach der Anonymisierung handelt es sich nicht mehr um deine personenbezogenen Daten im Sinne von Art. 4 Nr. 1 DSGVO. Die Lizenzbedingungen stehen in den AGB § 9.
• Chat-Nachrichten, Check-ins, Notizen: zur Kommunikation zwischen dir und deinem Coach oder Trainingspartner. Nur für Teilnehmer sichtbar. Aufbewahrung bis einer der beiden Accounts gelöscht wird.
• Zahlungs- und Abo-Daten (Stufe, Rechnungs-IDs, Abo-Status): zur Bereitstellung, korrekten Abrechnung und Steuerpflicht. Weitergabe an Paddle / Apple / Google (Zahlungsanbieter) und Steuerbehörden. Kartendaten erreichen uns nie. Rechnungen 10 Jahre (gesetzliche Pflicht), sonstige Daten bis zur Accountlöschung.
• Geräte- und Nutzungstelemetrie (Gerätemodell, OS, App-Version, Crash-Stacks, Feature-Aufrufe): um den Service stabil zu halten und Fehler zu beheben. Gespeichert in unserer self-hosted Sentry-Instanz und in unserem Auftrag von PostHog auf EU-Cloud-Servern verarbeitet. Keine Weitergabe an Dritte. Aufbewahrung 90 Tage.
• UTM-Parameter und Referral-Codes: für Kampagnen-Attribution und die Zuordnung von Empfehlungen. Keine Weitergabe. Erstpartei-Cookie + localStorage, 90 Tage.
• Sicherheitslogs (IP bei Login, fehlgeschlagene Auth-Versuche): zur Verhinderung von Kontoübernahme und Missbrauch. Keine Weitergabe außer bei gültigem Rechtsakt. Aufbewahrung 90 Tage.
• Support-Tickets und deren Inhalte: zur Bearbeitung deines Anliegens. Intern behandelt. Aufbewahrung 2 Jahre zur Qualitätssicherung und Wiedererkennung, danach Löschung.
• Aggregierte, nicht-identifizierende Analytics (z. B. durchschnittliche Trainingsdauer je Kohorte): können unbegrenzt aufbewahrt werden, da sie dich nicht mehr identifizieren.

Was nicht auf dieser Liste steht, erheben wir nicht. Wenn wir einen neuen Datentyp oder Zweck ergänzen, aktualisieren wir diesen Abschnitt, die Version der Datenschutzerklärung, und informieren dich mindestens 30 Tage vorher in-app.

An wen wir Daten weitergeben

Wir verkaufen deine personenbezogenen Daten nicht. Wir teilen sie nur mit den unten genannten Auftragsverarbeitern und Partnern, jeweils durch einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO) gebunden.

• Hetzner Online GmbH (Deutschland): Hosting von Backend und Datenbank. EU-basiert.
• Paddle (Merchant of Record): Web-Zahlungen für Personal- und Pro-Abos sowie EU-VAT-Abwicklung.
• Stripe (Stripe Payments Europe, Ltd.): Zahlungsabwicklung für Coaching-Angebote, die Coaches über Coachalyst an ihre Klienten verkaufen. Verkäufer und Vertragspartner ist der jeweilige Coach (Stripe Connect); Stripe verarbeitet dabei deine E-Mail-Adresse und Zahlungsdaten (gilt zusätzlich Stripes eigene Datenschutzhinweise).
• Apple Inc.: In-App-Käufe auf iOS (gilt zusätzlich Apples eigene Datenschutzhinweise).
• Google LLC: In-App-Käufe auf Android (gilt zusätzlich Googles eigene Datenschutzhinweise).
• Sentry (self-hosted): Fehler-Reporting, IP-Adressen werden gekürzt.
• PostHog (PostHog EU Cloud): Opt-in-Produkt-Analytics, in unserem Auftrag auf Servern in der EU verarbeitet (Auftragsverarbeitung nach Art. 28 DSGVO).
• Cloudflare, Inc. (Turnstile): Bot-Schutz für Formulare (z. B. Warteliste). Verarbeitet technische Verbindungsdaten; wir erhalten nur einen einmaligen Verifikations-Token.

Wenn du Coachalyst als Kunde eines professionellen Coaches nutzt, erhält dein Coach zusätzlich Zugriff auf die Trainings-, Ernährungs-, Check-in- und Chat-Daten, die du im Service mit ihm teilst.

Internationale Datentransfers

Unsere Infrastruktur läuft in der Europäischen Union. Begrenzte Datentransfers in die USA können im Zusammenhang mit In-App-Käufen über Apple und Google, mit der Zahlungsabwicklung über Stripe (Kauf von Coaching-Angeboten) sowie mit dem Bot-Schutz von Cloudflare (Turnstile) stattfinden.

Soweit Transfers in Drittländer erfolgen, stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) und, soweit anwendbar, auf das EU-US Data Privacy Framework (Angemessenheitsbeschluss Juli 2023). Eine Kopie der Garantien erhältst du auf Anfrage unter privacy@coachalyst.com.

Speicherfristen

Wir speichern personenbezogene Daten nur so lange, wie für die Zwecke erforderlich.

• Account- und Profildaten: während dein Account aktiv ist, plus 30 Tage nach Löschung zur Wiederherstellung, danach Löschung.
• Trainings-, Ernährungs-, Gesundheits- und Mediendaten: während dein Account aktiv ist; innerhalb von 30 Tagen nach Accountlöschung unwiderruflich entfernt.
• Chat-Nachrichten: während dein Account aktiv ist; innerhalb von 30 Tagen nach Accountlöschung eines der Teilnehmer entfernt.
• Rechnungen und Steuerunterlagen: 10 Jahre (gesetzliche Aufbewahrungspflicht in Zypern und Deutschland).
• Backups: 30-Tage-Rotation; gelöschte Daten können nicht aus älteren Backups wiederhergestellt werden.
• Sicherheitslogs (IP-Adressen, Auth-Versuche): 90 Tage.
• Wartelisten-E-Mail (bis Launch): 30 Tage nach Abmeldung gelöscht.
• Aggregierte, nicht-identifizierende Analytics: ggf. unbegrenzt.

Deine Rechte

Nach der DSGVO und zyprischem Recht hast du folgende Rechte:

• Auskunftsrecht (Art. 15): Kopie der zu dir gespeicherten Daten anfordern.
• Recht auf Berichtigung (Art. 16): falsche Daten korrigieren lassen.
• Recht auf Löschung (Art. 17): „Recht auf Vergessenwerden“.
• Recht auf Einschränkung der Verarbeitung (Art. 18).
• Recht auf Datenübertragbarkeit (Art. 20): Daten in strukturiertem, gängigem, maschinenlesbarem Format erhalten.
• Widerspruchsrecht (Art. 21): bei Verarbeitung auf Grundlage berechtigter Interessen oder Direktmarketing.
• Widerruf der Einwilligung (Art. 7 Abs. 3): jederzeit möglich, beeinträchtigt nicht die Rechtmäßigkeit der bisherigen Verarbeitung.
• Recht, nicht automatisierten Entscheidungen unterworfen zu werden (Art. 22): siehe Abschnitt 11.
• Beschwerderecht bei einer Aufsichtsbehörde (Art. 77).

So übst du deine Rechte aus

Die meisten Rechte kannst du direkt in der App ausüben:

• Auskunft und Portabilität: Einstellungen → Daten exportieren. Lieferung als JSON- + CSV-Archiv innerhalb von 30 Tagen.
• Berichtigung: Profildaten in den Einstellungen bearbeiten.
• Löschung: Einstellungen → Account löschen. Es folgt eine 14-Tage-Gnadenfrist; danach werden alle Daten unwiderruflich entfernt (siehe Accountlöschung).
• Einwilligungswiderruf: in Einstellungen → Datenschutz einzelne Verarbeitungen deaktivieren.

Für andere Anfragen schreibe an privacy@coachalyst.com. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO); komplexe Fälle um bis zu zwei Monate verlängerbar (mit Hinweis).

Automatisierte Entscheidungsfindung

Coachalyst trifft keine ausschließlich automatisierten Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO).

Wir berechnen automatisch Trainingsbelastung, Makroziele und Recovery-Scores. Diese sind informative Hilfsmittel und ersetzen keine professionelle medizinische Beratung.

Kinder

Der Service richtet sich nicht an Kinder unter 16 im Europäischen Wirtschaftsraum und nicht an Kinder unter 13 in anderen Regionen. Wir erheben wissentlich keine Daten von Kindern unter dieser Altersgrenze. Falls du glaubst, dass uns ein Kind Daten übermittelt hat, schreibe an privacy@coachalyst.com: wir löschen die Daten unverzüglich.

Sicherheit

Wir treffen technische und organisatorische Maßnahmen entsprechend dem Risiko (Art. 32 DSGVO):

• TLS 1.3 bei der Übertragung.
• AES-256 bei der Speicherung von Datenbanken und Backups.
• Scrypt / Argon2 für Passwort-Hashes; wir speichern nie Klartext-Passwörter.
• Least-Privilege-Prinzip für internen Zugriff; Zugriffe werden protokolliert.
• Offline-first-Clients reduzieren Daten in der Übertragung; Synchronisation nutzt authentifizierte Tokens.
• Regelmäßige Security-Reviews, Abhängigkeits-Scans und Penetrationstests vor größeren Releases.

Kein System ist absolut sicher. Bei einer Datenschutzverletzung mit Risiko für deine Rechte informieren wir die Aufsichtsbehörde binnen 72 Stunden und dich unverzüglich (Art. 33, 34 DSGVO).

Cookies und Tracking

Unsere Website verwendet minimale Cookies. Essentielle Cookies sind immer aktiv; Analyse-Cookies sind standardmäßig aus und aktivieren sich nur nach Zustimmung über das Cookie-Banner. Vollständige Liste unter /cookies.

Die Mobil- und Desktop-Apps nutzen keine Werbe- oder Tracking-SDKs von Drittanbietern. Crash-Reporting läuft auf unserem selbst gehosteten Sentry; Produkt-Analytics verarbeitet PostHog in unserem Auftrag auf Servern in der EU.

Änderungen, Kontakt und Beschwerden

Wir können diese Erklärung an Änderungen des Service, unserer Partner oder geltendes Recht anpassen. Wesentliche Änderungen teilen wir mindestens 30 Tage vor Inkrafttreten per E-Mail und in-app mit. Die aktuelle Fassung findest du stets unter coachalyst.com/privacy.

Fragen und Anfragen: privacy@coachalyst.com.

Bist du mit unserem Umgang mit deinen Daten nicht einverstanden, kannst du Beschwerde bei einer Aufsichtsbehörde einlegen. In Zypern: Office of the Commissioner for Personal Data Protection (https://www.dataprotection.gov.cy). In Deutschland: die zuständige Landesbehörde (Übersicht: https://www.bfdi.bund.de). Du kannst dich auch an jede andere EU-Aufsichtsbehörde wenden.