Version 2 – Gültig ab: 1. Juli 2026
1 | Verantwortlicher
Athlete Analytics UG (haftungsbeschränkt) Höllentalstraße 11 82467 Garmisch-Partenkirchen Deutschland E-Mail: support@evalu-app.com
Gesetzlich vertreten durch die Geschäftsführer Michael Arend und Marian Wilken.
Eine gesetzliche Verpflichtung zur Bestellung eines Datenschutzbeauftragten besteht derzeit nicht. Die Voraussetzungen des Art. 37 DSGVO und § 38 BDSG werden regelmäßig überprüft.
Zuständige Aufsichtsbehörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Deutschland, poststelle@lda.bayern.de
2 | Grundsätze der Verarbeitung
Wir verarbeiten personenbezogene Daten ausschließlich
- rechtmäßig, nach Treu und Glauben und transparent (Art. 5 DSGVO),
- zweckgebunden, datenminimiert und speicherbegrenzt sowie
- unter Anwendung geeigneter technischer und organisatorischer Maßnahmen (TOMs).
Eine Weitergabe oder ein Verkauf personenbezogener Daten an Dritte zu deren eigenen Marketingzwecken findet nicht statt.
3 | Kategorien personenbezogener Daten & Zwecke
| Nr. | Kategorie | Einzelne Daten | Zweck | Rechtsgrundlage |
|---|---|---|---|---|
| 3.1 | Konto- & Anmeldedaten | E-Mail-Adresse, Passwort-Hash, interne Nutzer-ID, optionaler Anzeigename; bei Anmeldung über „Sign in with Apple“ oder „Google Sign-In“ die vom Anbieter übermittelte Kennung/E-Mail (ggf. anonymisierte Apple-Relay-Adresse) | Vertragserfüllung, Registrierung & Login | Art. 6 Abs. 1 lit. b DSGVO |
| 3.2 | Profil- & physiologische Stammdaten | Geschlecht, Gewicht, Körpergröße, Geburtsdatum/Alter, Leistungswerte (z. B. FTP/Schwellenwerte), Trainingsziele, optionales Profilbild | Personalisierung von Training, Analysen & Berechnungen | Art. 6 Abs. 1 lit. b DSGVO |
| 3.3 | Trainings-, Leistungs- & Gesundheitsdaten (Partner-Import, z. B. Garmin, Strava, Wahoo, Rouvy, Whoop, Oura, Apple Health; eigener Datei-Upload) | Distanz-, Zeit- und Leistungswerte, Trainingspläne, Workout-Events, hochgeladene Aktivitätsdateien (z. B. FIT/TCX), GPS-/Routen-/Standortdaten sowie Herzfrequenz, HRV, VO2max, Schlaf-, Erholungs- und Belastungswerte (Recovery/Strain), Atemfrequenz, Sauerstoffsättigung (SpO2), Hauttemperatur, Stress- und Körperwerte¹ | Analyse- & Visualisierungsfunktionen, Kartendarstellung | Trainings-/Leistungsdaten: Art. 6 Abs. 1 lit. b DSGVO; Gesundheitsdaten: ausschließlich Art. 9 Abs. 2 lit. a (i. V. m. Art. 6 Abs. 1 lit. a) DSGVO – siehe Ziffer 3.10 |
| 3.4 | Coach-Chat & KI-gestütztes Coaching | Inhalte Ihrer Chat-Nachrichten mit dem KI-Coach, KI-generierte Langzeit-Notizen („Athlete Memory“: z. B. Vorlieben, Ziele, von Ihnen genannte Verletzungen oder Erkrankungen), generierte Coaching- und Analysetexte | Bereitstellung der Chat-, Coaching- und Empfehlungsfunktionen | Art. 6 Abs. 1 lit. b DSGVO; soweit gesundheitsbezogene Angaben verarbeitet werden: ausschließlich Art. 9 Abs. 2 lit. a (i. V. m. Art. 6 Abs. 1 lit. a) DSGVO – siehe Ziffer 3.12 |
| 3.5 | Sprachausgabe (Text-to-Speech) | Aus Analyse-/Coaching-Texten erzeugte Audiodateien | Vorlesefunktion für Analysen | Art. 6 Abs. 1 lit. b DSGVO |
| 3.6 | Abonnement- & Vertragsdaten | Receipt-Token, Produkt-ID, Laufzeit, Abo-Status | Abonnementverwaltung, Steuer- & Nachweispflichten | Art. 6 Abs. 1 lit. b & c DSGVO |
| 3.7 | Technische Protokoll-, Diagnose- & Telemetriedaten | IP-Adresse (gekürzt), Zeitstempel, Geräte- & OS-Infos, Crash-Stacktraces (Sentry), Nutzungs-/Performance-Telemetrie (Azure Application Insights), Feature-Flag-Kontext (LaunchDarkly) | IT-Sicherheit, Fehlerdiagnose, Stabilität, Missbrauchsprävention, Funktionssteuerung | Art. 6 Abs. 1 lit. f DSGVO |
| 3.8 | Push-Benachrichtigungen (Firebase Cloud Messaging / Azure Notification Hub) | Geräte-Token | Service-Mitteilungen | Art. 6 Abs. 1 lit. b DSGVO; § 25 Abs. 2 Nr. 2 TDDDG |
| Marketing-Mitteilungen (opt-in) | Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG | |||
| 3.9 | Marketing- & Installationsmessung (Meta SDK) | IDFA/GAID, Installations- & Conversion-Events | Kampagnen-Performance | Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG |
¹ Werte wie Herzfrequenz, HRV, VO2max, Schlaf-, Erholungs-/Belastungs-, Atemfrequenz-, Sauerstoffsättigungs- und Temperaturwerte gelten nach Aufsichtsbehördenauffassung als Gesundheitsdaten (besondere Kategorien gemäß Art. 9 DSGVO).
Partnerdienste (z. B. Garmin, Strava, Wahoo, Rouvy, Whoop, Oura) agieren als eigenständige Verantwortliche. Zur Anzeige von Streckenkarten werden Routen-/Standortdaten an unseren Karten-Dienstleister, zur Anzeige von Wetterinformationen der Aktivitätsort an unseren Wetter-Dienstleister übermittelt (siehe Ziffer 4).
3.10 | Gesundheitsdaten besonderer Kategorien (Art. 9 DSGVO)
Mit dem v2-Release können Sie Ihre Konten bei Health- und Wearable-Plattformen mit eval:u verbinden. Soweit hierbei Daten verarbeitet werden, die Rückschlüsse auf Ihren Gesundheitszustand zulassen (z. B. Herzfrequenz, Herzfrequenzvariabilität, VO2max, Schlaf-, Erholungs- und Belastungswerte, Atemfrequenz, Sauerstoffsättigung, Hauttemperatur), handelt es sich um besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO.
Die Verarbeitung dieser Daten erfolgt ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung gemäß Art. 9 Abs. 2 lit. a i. V. m. Art. 6 Abs. 1 lit. a DSGVO. Diese Einwilligung holen wir gesondert ein, bevor Sie eine Plattform erstmals verbinden; sie ist freiwillig und weder für die Erfüllung des Nutzungsvertrags noch für die übrige Nutzung der App erforderlich. Die Einwilligung umfasst auch die Nutzung dieser Gesundheitsdaten für die Analyse-, Visualisierungs- und Coaching-Funktionen (einschließlich des KI-gestützten Coachings, Ziffer 3.12).
Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), indem Sie die jeweilige Verbindung in der App trennen, den Zugriff beim Partnerdienst entziehen oder – im Fall von Apple Health – die Berechtigungen in den iOS-Systemeinstellungen anpassen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Nach dem Widerruf werden die importierten Gesundheitsdaten gemäß Ziffer 6 gelöscht.
3.11 | Angebundene Health-Plattformen im Einzelnen
- Garmin Connect (Garmin International, Inc.): Import von Aktivitäts- und Wellnessdaten (u. a. Herzfrequenz, HRV, Schlaf, Stress, Body Battery, SpO2) über die Garmin-Connect-/Health-API nach OAuth-Autorisierung. Garmin ist eigenständig Verantwortlicher; es gelten zusätzlich die Datenschutzhinweise von Garmin.
- Strava (Strava, Inc.): Import von Aktivitätsdaten über die Strava-API nach OAuth-Autorisierung. Strava ist eigenständig Verantwortlicher.
- Wahoo (Wahoo Fitness L.L.C.): Import von Aktivitäts- und Workout-Daten über die Wahoo-API nach OAuth-Autorisierung. Wahoo ist eigenständig Verantwortlicher.
- Rouvy (VirtualTraining s.r.o.): Import von Aktivitätsdaten über die Rouvy-API nach OAuth-Autorisierung. Rouvy ist eigenständig Verantwortlicher.
- Whoop (WHOOP, Inc., USA): Import von Erholungs-, Belastungs-, Schlaf- sowie Herzfrequenz-/HRV-Daten über die WHOOP-API nach OAuth-Autorisierung. Whoop ist eigenständig Verantwortlicher; die Übermittlung erfolgt aus den USA, es gelten zusätzlich die Datenschutzhinweise von Whoop (siehe Ziffer 5).
- Oura (Ōura Health Oy, Finnland): Import von Schlaf-, Erholungs-/Readiness-, Herzfrequenz-/HRV-, Körpertemperatur- und Atemfrequenzdaten über die Oura-API nach OAuth-Autorisierung. Oura ist eigenständig Verantwortlicher; die Verarbeitung erfolgt innerhalb der EU.
- Apple Health (HealthKit) (Apple Inc.): Auslesen der von Ihnen einzeln freigegebenen Datentypen direkt von Ihrem Gerät über das HealthKit-Framework. Die Daten verbleiben grundsätzlich lokal auf Ihrem Gerät und werden ausschließlich für die von Ihnen freigegebenen Datentypen und nach Ihrer Einwilligung an unsere Server übertragen, um die Analyse- und Visualisierungsfunktionen bereitzustellen. Apple selbst erhält über HealthKit keine Daten von uns. Über HealthKit erhaltene Gesundheitsdaten verwenden wir ausschließlich zur Bereitstellung der App-Funktionen und nicht für Werbe-, Marketing- oder vergleichbare Zwecke; eine Weitergabe an Dritte zu solchen Zwecken findet nicht statt. Sie können einzelne Freigaben jederzeit unter „Einstellungen → Datenschutz & Sicherheit → Health“ auf Ihrem Apple-Gerät widerrufen.
3.12 | KI-gestütztes Coaching, Chat & „Athlete Memory“
eval:u bietet einen KI-gestützten Coach, der auf Basis Ihrer Trainings-, Leistungs- und – soweit von Ihnen eingewilligt – Gesundheitsdaten sowie Ihrer Chat-Eingaben individuelle Analysen, Trainingsanpassungen, Nachrichten und Empfehlungen erstellt. Hierzu nutzen wir den Azure OpenAI Service der Microsoft Corporation als Auftragsverarbeiter; die Verarbeitung erfolgt in einer Rechenzentrumsregion innerhalb der EU.
Ihre Inhalte werden nicht zum Training der zugrunde liegenden KI-Modelle verwendet. Microsoft kann eingegebene und generierte Inhalte im Rahmen der Missbrauchs-/Sicherheitsüberwachung für einen begrenzten Zeitraum (bis zu 30 Tage) speichern, sofern hierfür keine Ausnahme genehmigt ist; dies ist im Rahmen des mit Microsoft bestehenden Auftragsverarbeitungsvertrags (Products & Services DPA) geregelt.
Zur Verbesserung der Kontinuität speichert der Coach ausgewählte Langzeit-Notizen über Sie („Athlete Memory“, z. B. Ziele, Vorlieben sowie von Ihnen mitgeteilte gesundheitsbezogene Umstände wie Verletzungen oder Erkrankungen). Soweit diese Notizen gesundheitsbezogen sind, erfolgt die Verarbeitung auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Die Coaching-Funktion stellt keine medizinische Beratung, Diagnose oder Therapie dar (siehe auch Ziffer 8).
4 | Empfänger & Auftragsverarbeiter
| Dienstleister | Sitz / Verarbeitungsort | Zweck | Rechtsinstrument |
|---|---|---|---|
| Microsoft Azure (EU) | EU (Niederlande/Irland) | Hosting, Datenbank, Speicherung von Workout-Dateien, Telemetrie, Push-Verteilung, Sprachausgabe (Text-to-Speech), E-Mail-Versand | SCC, TIA; *nicht* EU-US DPF-zertifiziert |
| Microsoft Azure OpenAI Service (EU) | EU-Region | KI-gestütztes Coaching, Chat & Analysen | Art. 28 DSGVO; Verarbeitung in der EU, kein Training auf Kundendaten |
| Google LLC (Firebase), USA | USA | Push-Versand & Authentifizierung (Google Sign-In) | SCC + EU-US DPF (sofern zertifiziert) |
| Apple Inc., USA | USA | Anmeldung „Sign in with Apple“ | SCC + EU-US DPF (sofern zertifiziert) |
| Meta Platforms Ireland Ltd. | Irland | Marketing-SDK (gemeinsame Verantwortlichkeit) | Art. 26 DSGVO + SCC (USA-Transfers) |
| Redis Labs (EU) | EU (Deutschland) | Caching | Art. 28 DSGVO / SCC |
| Functional Software Inc. (Sentry) | EU-Region (Frankfurt) | Crash-Reporting, Fehlerdiagnose | Art. 28 DSGVO; SCC für etwaige US-Zugriffe |
| Qonversion Inc., USA | USA | Subscription-/Abo-Verwaltung | SCC |
| Asana Inc., USA | USA | Bearbeitung von Support-Anfragen | SCC + EU-US DPF (sofern zertifiziert) |
| LaunchDarkly Inc., USA | USA | Feature-Management (Funktionssteuerung) | SCC |
| Mapbox Inc., USA | USA | Karten- & Routendarstellung | SCC |
| WeatherAPI.com | USA/EU | Wetterdaten zum Aktivitätsort | Art. 28 DSGVO / SCC |
Mit sämtlichen Auftragsverarbeitern bestehen Verträge gemäß Art. 28 DSGVO. Eine aktuelle Liste der Unterauftragsverarbeiter stellen wir auf Anfrage bereit.
Gemeinsame Verantwortlichkeit mit Meta (Art. 26 DSGVO): Im Hinblick auf die Erhebung und Übermittlung bestimmter Ereignisdaten über das Meta-SDK sind wir und Meta Platforms Ireland Ltd. gemeinsam Verantwortliche. Wesentlicher Inhalt der Vereinbarung: Wir sind für die Rechtmäßigkeit der Erhebung (insb. Ihre Einwilligung) und die Information der betroffenen Personen verantwortlich; Meta verantwortet die anschließende Verarbeitung sowie die Wahrnehmung der Betroffenenrechte für die in gemeinsamer Verantwortung verarbeiteten Daten. Betroffenenrechte können Sie sowohl uns gegenüber als auch gegenüber Meta geltend machen.
5 | Drittlandübermittlungen (Art. 44 ff. DSGVO)
Datenübermittlungen in die USA (u. a. Firebase/Google, Apple, Qonversion, Asana, LaunchDarkly, Mapbox, Whoop) erfolgen ausschließlich auf Basis
- EU-Standardvertragsklauseln (2021/914/EU) und
- EU-US DPF, sofern der jeweilige Dienst zertifiziert ist.
Ergänzend führen wir bei Bedarf Transfer-Impact-Assessments (TIA) durch.
Das KI-gestützte Coaching (Azure OpenAI Service) sowie die übrige Kernverarbeitung (Hosting, Datenbank, Sprachausgabe, E-Mail-Versand) erfolgen in Rechenzentrumsregionen innerhalb der EU. Verbinden Sie Health-Plattformen mit Sitz außerhalb der EU (z. B. Whoop, USA), übermittelt der jeweilige Anbieter Ihre Daten als eigenständiger Verantwortlicher auf Grundlage seiner eigenen Datenschutzhinweise und Garantien. Apple-Health-Daten werden über HealthKit lokal von Ihrem Gerät ausgelesen und nicht an Apple übermittelt.
6 | Speicherdauern
| Datenkategorie | Frist / Kriterium |
|---|---|
| Konto-, Anmelde- & Profil-/Stammdaten | Bis Kontolöschung; abrechnungsrelevante Daten 6 Jahre (Handelsbriefe) bzw. 10 Jahre (Rechnungs-/Buchungsbelege) gemäß §§ 257 HGB, 147 AO |
| Trainings-, Leistungs- & Gesundheitsdaten, Workout-Dateien | Bis Entkopplung des Partnerdienstes, Widerruf der Einwilligung (Ziffer 3.10) oder Kontolöschung (Regel: < 48 h) |
| Coach-Chat & „Athlete Memory“ | Bis Kontolöschung; einzelne Notizen werden bei Gegenstandslosigkeit (z. B. überholte oder von Ihnen widersprochene Angaben) deaktiviert (keine Nutzung mehr für das Coaching) und spätestens bei Ablauf der internen Aufbewahrungsfrist bzw. mit Kontolöschung endgültig gelöscht; auf Löschverlangen (Art. 17) unverzüglich |
| KI-Verarbeitung (Azure OpenAI, Missbrauchsüberwachung) | Bis zu 30 Tage bei Microsoft, sofern keine Ausnahme genehmigt |
| Sprachausgabe-Audiodateien | Temporär; spätestens mit der zugehörigen Analyse bzw. Kontolöschung |
| Crash-Logs (Sentry) | 90 Tage |
| Telemetrie (Application Insights) | 90 Tage |
| Push-Tokens | 30 Tage nach Inaktivität oder Deinstallation |
| Meta-Events | 180 Tage nach Widerruf |
| Backups | 7 Tage (ausschließlich Systemwiederherstellung) |
Nach Ablauf der Fristen werden Daten gelöscht oder anonymisiert.
7 | Kontolöschung
Ihr Konto kann jederzeit direkt in der App (Einstellungen → Konto → Konto löschen) oder per E-Mail an support@evalu-app.com beendet werden.
Die endgültige Löschung – einschließlich Trainings-/Gesundheitsdaten, Coach-Chat und „Athlete Memory“ – erfolgt grundsätzlich innerhalb von 48 Stunden, vorbehaltlich gesetzlicher Aufbewahrungspflichten und technischer Backup-Zyklen.
Die Kündigung eines Store-Abonnements ersetzt nicht die Kontolöschung.
8 | Automatisierte Entscheidungen & Profiling
Das KI-gestützte Coaching wertet Ihre Trainings-, Leistungs- und (nach Einwilligung) Gesundheitsdaten aus, um Empfehlungen, Trainingsanpassungen und Nachrichten zu personalisieren. Dies stellt ein Profiling im Sinne des Art. 4 Nr. 4 DSGVO dar.
Es finden jedoch keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung (Art. 22 DSGVO) statt. Die bereitgestellten Analysen und Empfehlungen dienen allein der Information und ersetzen keine medizinische Beratung, Diagnose oder Therapie.
9 | Ihre Rechte
Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie Widerruf erteilter Einwilligungen (Art. 7 Abs. 3).
Zur Ausübung Ihrer Rechte sowie zum Widerruf erteilter Einwilligungen genügt eine Nachricht an support@evalu-app.com. Für die unter Ziffer 3.7 genannte Verarbeitung auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) können Sie jederzeit Widerspruch einlegen unter support@evalu-app.com. Im Falle eines Widerspruchs verarbeiten wir Ihre Daten für diesen Zweck nicht mehr, sofern keine zwingenden schutzwürdigen Gründe vorliegen.
Sie können sich zudem bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77). Zuständig ist grundsätzlich das BayLDA, Sie können sich jedoch an jede Behörde in der EU wenden.
10 | Sicherheit (TOMs)
- TLS 1.3 durchgehend
- AES-256 verschlüsselte Speicherung ruhender Daten
- Rollenbasierte Zugriffskontrolle (Least-Privilege)
- MFA für Administrationszugänge
- Logging & Monitoring aller Admin-Aktionen (SIEM)
- Jährliches Penetration-Testing gemäß OWASP ASVS
- Prozesse zur Meldung von Datenschutzverletzungen (Art. 33 DSGVO)
11 | Minderjährige
Die App richtet sich an Personen ab 16 Jahren. Für Nutzer in den USA gilt zusätzlich die Altersgrenze von 13 Jahren gemäß COPPA.
Das Alter wird bei der Registrierung per Selbstauskunft (Geburtsdatum) geprüft; Personen unter 16 Jahren ist die Nutzung nicht gestattet, und die App richtet sich nicht an Kinder. Bei Anhaltspunkten für eine unrichtige Altersangabe können wir das Konto sperren und betroffene Daten löschen.
12 | Ergänzende Hinweise für Nutzer in den USA (Kalifornien – CCPA/CPRA)
Für Einwohnerinnen und Einwohner Kaliforniens gelten ergänzend der California Consumer Privacy Act in der Fassung des California Privacy Rights Act (CCPA/CPRA). Die von uns verarbeiteten Kategorien personenbezogener Daten, deren Quellen und Zwecke ergeben sich aus Ziffer 3; Empfänger aus Ziffer 4.
Sensible personenbezogene Daten: Gesundheitsdaten gelten als „sensitive personal information". Wir verwenden sie ausschließlich zur Bereitstellung der von Ihnen angeforderten Funktionen und nicht für Zwecke, die nach CPRA ein gesondertes Beschränkungsrecht auslösen.
Kein Verkauf; „Sharing": Wir verkaufen keine personenbezogenen Daten. Über das Meta-SDK kann eine „Weitergabe" („sharing") zu kontextübergreifender Werbung im Sinne des CPRA vorliegen; dies erfolgt ausschließlich nach Ihrer Einwilligung (Tracking-Opt-in) und kann jederzeit über die App-Einstellungen bzw. die Tracking-Berechtigung („Do Not Sell or Share My Personal Information") widerrufen werden.
Ihre Rechte: Auskunft (Right to Know), Löschung, Berichtigung, Opt-out von „Sale"/„Sharing", Beschränkung der Nutzung sensibler Daten sowie Schutz vor Diskriminierung wegen der Ausübung dieser Rechte. Zur Ausübung wenden Sie sich an support@evalu-app.com.
13 | Aktualisierungen
Diese Datenschutzerklärung wird angepasst, sobald sich Zwecke, Dienstleister oder Rechtsgrundlagen ändern. Die jeweils aktuelle Fassung ist in der App und auf unserer Website verfügbar.