1. Verantwortlicher
Verantwortlich für die Verarbeitung deiner Daten in der App GymArc und auf dieser Website ist:
[Name bzw. Firma des Betreibers][Straße, Hausnummer]
[PLZ, Ort]
Deutschland
E-Mail: support@gym-arc.app
2. Kurz gesagt
- GymArc speichert, was du einträgst: Trainings, Ernährung, Körperwerte. Das sind Gesundheitsdaten. Wir verarbeiten sie, um dir die App bereitzustellen, und nur mit deiner ausdrücklichen Einwilligung für alles darüber hinaus.
- Die Datenbank liegt in der EU (Frankfurt).
- KI-Funktionen, Gesundheitsabgleich, Nutzungsanalyse, Neuigkeiten und die Sichtbarkeit für Trainingspartner sind ab Werk aus. Du schaltest sie einzeln ein und jederzeit wieder aus: Ich → Einstellungen → Datenschutz & Einwilligungen.
- Du kannst alles exportieren und dein Konto löschen: Ich → Konto.
- Wir verkaufen keine Daten und schalten keine Werbung.
- Diese Website setzt keine Cookies, nutzt keine Analyse und lädt keine Inhalte von fremden Servern.
3. Diese Website
gym-arc.app wird über das Netzwerk von Cloudflare (Cloudflare, Inc., USA) ausgeliefert. Beim Aufruf einer Seite verarbeitet Cloudflare technisch notwendige Daten: deine IP-Adresse, die aufgerufene Adresse, Zeitpunkt, Browser- und Systemangaben (User-Agent) und die Herkunftsseite. Das ist nötig, um die Seite auszuliefern und vor Angriffen zu schützen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Wir selbst werten diese Daten nicht aus und führen keine eigenen Zugriffsprotokolle.
Die Website setzt keine Cookies, speichert nichts in deinem Browser, nutzt keine Analyse- oder Werbedienste und bindet keine Schriften, Skripte oder Bilder von fremden Servern ein. Schriften und Grafiken liegen auf unserem eigenen Server.
E-Mail. Wenn du uns schreibst, verarbeiten wir deine Adresse und deine Nachricht, um zu antworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO). E-Mails an support@gym-arc.app leitet Cloudflare Email Routing an unser Postfach bei [Anbieter des Postfachs] weiter. Wir löschen die Korrespondenz, wenn sie erledigt ist und keine Aufbewahrungspflicht besteht.
4. Welche Daten die App verarbeitet
| Kategorie | Daten | Herkunft |
|---|---|---|
| Konto | E-Mail-Adresse, Anmeldeart (E-Mail, Apple, Google), Anzeigename, Handle, Sprache, Datum der Registrierung | du; bei Apple/Google der Anbieter |
| Profil | Geburtsjahr, Geschlecht, Körpergröße, Aktivitätsniveau, Trainingsort, vorhandene Geräte, Trainingstage, Ernährungsweise, Unverträglichkeiten | du (Onboarding, Einstellungen) |
| Training | Pläne, Übungen, Sätze (Gewicht, Wiederholungen, Zeit, RPE), Notizen, Zeitpunkte, Rekorde, geplante Einheiten | du |
| Ernährung | Tagebucheinträge, eigene Lebensmittel und Rezepte, Wasser, Einkaufsliste, Kalorien- und Makroziele | du |
| Körperwerte | Gewicht, Umfänge, Körperfett | du; mit Einwilligung Apple Health / Health Connect |
| Fotos und Videos | Fotos von Mahlzeiten und Geräten für den Scan, Video einer Wiederholung für den Formcheck | du (nur wenn du die Funktion nutzt) |
| Fortschrittsfotos | Fotos deines Körpers. Diese Fotos bleiben auf deinem Gerät und werden nicht hochgeladen. | du |
| Coach | deine Nachrichten, die Antworten, was der Coach sich über dich gemerkt hat | du und die KI |
| Trainingspartner | Partnerschaften samt Freigabe je Partner, Anfragen, Einladungscodes, Trainingseinladungen, Mitteilungen, „Respekt“, Blockaden, eigene Meldungen, Einstellungen; Einzelheiten in Abschnitt 12 | du |
| Fortschritt | Level, XP, Serien, Erfolge | aus deinen Einträgen berechnet |
| Abo | Abo-Stand, Kaufbelege, pseudonyme Kunden-ID | Apple / Google über RevenueCat |
| Einwilligungen | Zweck, Zeitpunkt, Version der Erklärung, Widerruf | du |
| Technik | Gerätetyp, Betriebssystem, App-Version; nach Einwilligung Absturzberichte und Nutzungsereignisse | dein Gerät |
Körperwerte, Ernährungs- und Trainingsdaten sind Gesundheitsdaten im Sinne von Art. 9 DSGVO.
5. Wofür und auf welcher Grundlage
| Zweck | Daten | Rechtsgrundlage |
|---|---|---|
| App bereitstellen: Konto, Speichern und Anzeigen deiner Einträge, Synchronisierung zwischen Geräten | Konto, Profil, Training, Ernährung, Körperwerte, Fortschritt | Vertrag (Art. 6 Abs. 1 lit. b DSGVO); für Gesundheitsdaten deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) |
| Abo abwickeln | Abo | Vertrag (Art. 6 Abs. 1 lit. b DSGVO) |
| Gesundheitsdaten abgleichen (Apple Health, Health Connect) | Gewicht, Schritte, aktive Kalorien | Einwilligung „Gesundheitsdaten synchronisieren“ |
| Personalisierte KI-Analyse: Coach, Foto-Scan, Geräte-Scan, Rezeptvorschläge und -import, Zusammenfassungen | deine Nachricht bzw. das Foto; dazu pseudonymisierte Trainings- und Ernährungsdaten | Einwilligung „Personalisierte KI-Analyse“ |
| KI-Formcheck | Video einer Wiederholung | Einwilligung „KI-Formcheck“ (eigener Zweck, weil dabei ein Video deines Körpers das Gerät verlässt) |
| App verbessern: Absturzberichte, Nutzungsanalyse | Technik, pseudonyme Nutzungsereignisse | Einwilligung „App-Nutzungsanalyse“ (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) |
| Neuigkeiten per E-Mail | E-Mail-Adresse | Einwilligung „Neuigkeiten & Angebote“ |
| Trainingspartner: verbinden, Trainingstage und Kurzfassungen beendeter Trainings mit bestätigten Partnern teilen, zum Training einladen, „Respekt“ | Handle, Anzeigename; mit Freigabe die Daten aus Abschnitt 12 | Einwilligung „Sichtbarkeit für Trainingspartner“ für das Teilen |
| Meldungen bearbeiten (Missbrauchsabwehr unter Trainingspartnern) | Meldung mit Grund, Zusammenhang, Notiz und Schnappschuss von Name, Handle und Trainingstitel der gemeldeten Person | berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) |
| Sicherheit und Missbrauchsschutz, Nachweis von Einwilligungen | Protokolle, Einwilligungen | berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) |
Jede Einwilligung ist freiwillig, einzeln erteilbar und jederzeit mit Wirkung für die Zukunft widerrufbar (Abschnitt 10). Ohne Einwilligung funktioniert die App weiter; nur die jeweilige Funktion ist dann aus.
6. Dienstleister und Empfänger
Wir setzen folgende Dienste ein. Mit Auftragsverarbeitern schließen wir Verträge nach Art. 28 DSGVO.
| Dienst | Wofür | Welche Daten | Ort | Wann |
|---|---|---|---|---|
| Supabase (Supabase, Inc.) | Datenbank, Anmeldung, Dateiablage, Serverfunktionen | alle Konto- und Inhaltsdaten; Scan-Fotos und Formcheck-Videos in der Dateiablage | EU (Frankfurt) | immer (Betrieb der App) |
| Google Gemini API (Google) | KI-Analyse: Coach, Foto-Scan von Mahlzeiten, Geräte-Scan, Rezeptvorschläge, Rezeptimport, Zusammenfassungen, Formcheck | deine Nachricht bzw. das Foto oder Video; dazu pseudonymisierte Trainings- und Ernährungsdaten. Keine E-Mail, kein Name. | Google, weltweit (auch USA) | nur mit Einwilligung „Personalisierte KI-Analyse“ bzw. „KI-Formcheck“ |
| Open Food Facts (Verein, Frankreich) | Produktdaten zu Barcodes und Suchbegriffen | der Barcode bzw. Suchbegriff. Die Anfrage stellt unser Server, nicht dein Gerät: Open Food Facts sieht weder deine IP-Adresse noch dein Konto. | Frankreich | wenn du scannst oder suchst |
| Rezeptseiten (jeweiliger Betreiber) | Rezept aus einer Web-Adresse importieren | die Adresse, die du eingibst. Die Seite ruft unser Server ab, nicht dein Gerät. | je nach Seite | nur wenn du ein Rezept importierst (Teil der KI-Analyse) |
| RevenueCat (RevenueCat, Inc.) | Abo-Stand prüfen, Käufe mit dem App Store abgleichen | pseudonyme Nutzer-ID (eine zufällige Kennung, keine E-Mail), Kaufbelege, Abo-Stand | USA | sobald du angemeldet bist |
| Apple | „Mit Apple anmelden“, Abrechnung des Abos über den App Store | Apple-Kennung, E-Mail oder Weiterleitungsadresse, Name bei der ersten Anmeldung; Käufe | Apple, weltweit | wenn du dich mit Apple anmeldest bzw. ein Abo kaufst |
| „Mit Google fortfahren“ | Google-Kennung, E-Mail, Name | Google, weltweit | wenn du dich mit Google anmeldest | |
| Apple Health / Health Connect | Gewicht, Schritte und aktive Kalorien mit der Gesundheits-App deines Geräts abgleichen | Gewicht, Schritte, aktive Kalorien. Der Abgleich läuft auf deinem Gerät; Apple bzw. Google erhalten dadurch von uns keine Daten. | auf deinem Gerät | nur mit Einwilligung „Gesundheitsdaten synchronisieren“ und nach der Systemfreigabe |
| Sentry (Functional Software, Inc.) | Absturzberichte | Absturzbericht, Gerätetyp, Betriebssystem, App-Version. Keine Gesundheitsdaten. | EU (Frankfurt) | nur mit Einwilligung „App-Nutzungsanalyse“ |
| PostHog (PostHog, Inc.) | Nutzungsanalyse | pseudonyme Nutzungsereignisse; Bildschirmaufzeichnungen, in denen Texteingaben und Bilder maskiert sind | EU (Frankfurt) | nur mit Einwilligung „App-Nutzungsanalyse“ |
| Cloudflare (Cloudflare, Inc.) | Auslieferung dieser Website, Weiterleitung von E-Mails an unsere Adresse | technische Zugriffsdaten (Abschnitt 3); bei E-Mails Absender, Empfänger und Inhalt | weltweit (auch USA) | beim Besuch der Website bzw. wenn du uns schreibst |
Benachrichtigungen (Erinnerungen, Pausenende) erzeugt die App lokal auf deinem Gerät. Wir betreiben keinen Push-Dienst und speichern keine Push-Kennung.
Der Übungskatalog stammt aus freien Sammlungen (wger, Everkinetic); beim Anzeigen einer Übung werden keine Daten an diese Projekte übertragen.
7. Übermittlung in Länder außerhalb der EU
Google (Gemini API, Anmeldung), RevenueCat, Apple und Cloudflare können Daten in den USA und anderen Ländern außerhalb der EU verarbeiten. Grundlage der Übermittlung: [je Anbieter Angemessenheitsbeschluss (EU-US Data Privacy Framework) bzw. Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO].
8. Wie lange wir Daten speichern
- Solange dein Konto besteht. Deine Einträge bleiben, bis du sie löschst oder das Konto löschst.
- Konto löschen (Ich → Konto → Konto löschen) entfernt sofort und endgültig: das Konto, alle Tabellen mit deinen Daten und alle hochgeladenen Dateien. Bei „Mit Apple anmelden“ widerrufen wir dabei den Zugang von GymArc zu deiner Apple-ID.
- Was nicht mitgelöscht wird: Fortschrittsfotos auf deinem Gerät (sie liegen nur dort; lösche die App, um sie zu entfernen). Meldungen, die du über andere abgegeben hast, bleiben für die Moderation, ohne Bezug zu dir (Abschnitt 12). Mitteilungen, die dein Konto bei anderen ausgelöst hat, verschwinden mit ihm.
- Scan-Fotos und Formcheck-Videos bleiben bis zur Kontolöschung in der Dateiablage.
- Abrechnungsdaten bewahren Apple bzw. Google nach ihren eigenen Regeln auf.
- Gerätespeicher: Die App hält einen Zwischenspeicher deiner Daten auf dem Gerät, damit sie schnell startet und offline funktioniert. Beim Abmelden wird er geleert.
9. Deine Rechte
Du hast das Recht auf
- Auskunft (Art. 15 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO): Ich → Konto → Daten exportieren liefert alles als JSON-Datei.
- Berichtigung (Art. 16 DSGVO): Name, Handle, E-Mail und alle Einträge änderst du in der App.
- Löschung (Art. 17 DSGVO): Ich → Konto → Konto löschen.
- Einschränkung der Verarbeitung (Art. 18 DSGVO) und Widerspruch (Art. 21 DSGVO): schreib uns an support@gym-arc.app.
- Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): siehe Abschnitt 10.
- Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), zum Beispiel bei [zuständige Aufsichtsbehörde nach Sitz des Betreibers].
10. Einwilligungen ändern und widerrufen
Unter Ich → Einstellungen → Datenschutz & Einwilligungen stehen alle Zwecke als Schalter:
| Schalter | Was passiert, wenn er an ist |
|---|---|
| Gesundheitsdaten synchronisieren | Gewicht, Schritte und aktive Kalorien werden mit Apple Health bzw. Health Connect abgeglichen. |
| Personalisierte KI-Analyse | Coach, Scans und Rezeptfunktionen senden deine Eingabe und pseudonymisierte Daten an die KI. |
| KI-Formcheck | Ein Video deiner Übung geht zur Technikanalyse an die KI, nur wenn du selbst einen Formcheck startest. |
| App-Nutzungsanalyse | Absturzberichte und Nutzungsereignisse werden erfasst. |
| Neuigkeiten & Angebote | Wir dürfen dir gelegentlich E-Mails zu neuen Funktionen schicken. |
| Sichtbarkeit für Trainingspartner | Partner, für die du das Teilen eingeschaltet hast, sehen deine Trainingstage und Kurzfassungen deiner Trainings (Abschnitt 12). Ausschalten beendet das Teilen sofort für alle. |
Ausschalten ist der Widerruf. Er gilt ab sofort und ist so einfach wie die Erteilung. Was bis dahin verarbeitet wurde, bleibt rechtmäßig. Jede Erteilung und jeder Widerruf wird mit Zeitpunkt und Version dieser Erklärung protokolliert.
11. KI-Funktionen: was du wissen solltest
- Antworten des Coachs, Scan-Ergebnisse und Formcheck-Hinweise erzeugt ein KI-Modell. Sie können falsch sein und ersetzen keine medizinische, ernährungsmedizinische oder physiotherapeutische Beratung.
- Es gibt keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO.
12. Trainingspartner
Zweck. Mit Menschen, die du kennst, trainieren und dranbleiben. Du verbindest dich paarweise mit Trainingspartnern (höchstens 12, beide Seiten bestätigen), siehst, ob und wann sie trainieren, lädst sie zu einem Training ein und reagierst auf ein beendetes Training mit „Respekt“. Es gibt keine Rangliste, keine Platzierung von Personen, keinen offenen Feed und keine Nachrichten zwischen Nutzern.
Was ein Partner von dir sieht, nur wenn du die Einwilligung „Sichtbarkeit für Trainingspartner“ erteilt und das Teilen für genau diesen Partner eingeschaltet hast, und solange keiner von euch den anderen blockiert:
- an welchen Tagen du trainiert hast: die laufende Woche und die sieben Wochen davor; daraus deine Wochenserie (höchstens 52 Wochen zurück) und die Zahl der Wochen, in denen ihr beide trainiert habt;
- dein Wochenziel als Zahl;
- ob du heute trainiert hast und wann zuletzt (nur innerhalb von 30 Tagen);
- deine beendeten Trainings der letzten 30 Tage als Kurzfassung: Titel, Ende, Dauer, Zahl der Arbeitssätze, Zahl der Bestwerte; einzelne Trainings kannst du davon ausnehmen („Für Partner sichtbar“);
- „trainiert gerade“ nur, wenn du das eigens einschaltest.
Nie: Gewichte, Übungen, Körperwerte, Ernährung, Fotos, Level, XP, E-Mail, Geburtsdatum.
Unabhängig von der Freigabe sieht ein bestätigter Partner deinen Anzeigenamen, deinen Handle und ob du mit ihm teilst. Wer deinen Handle kennt, findet dich; deinen Namen sieht er dabei nur, wenn du ihn in der Suche zeigst. Wem du eine Anfrage schickst und wer deinen Einladungscode einlöst, sieht deinen Namen.
Empfänger. Ausschließlich die Partner, die du selbst bestätigt hast. Gespeichert wird bei Supabase (Abschnitt 6) wie alle anderen Daten; deine Partner erhalten keine Kopie, sie lesen bei jedem Abruf neu, was du gerade freigibst.
Rechtsgrundlage. Deine Einwilligung (Art. 6 Abs. 1 lit. a und, weil Trainingsdaten gesundheitsnah sind, Art. 9 Abs. 2 lit. a DSGVO). Du erteilst sie im Moment des Annehmens oder Sendens einer Anfrage, mit zwei gleichrangigen Knöpfen und ohne vorangekreuzten Schalter, oder je Partner in „Sichtbarkeit & Sicherheit“. Den Nachweis (Zeitpunkt, Fassung dieses Abschnitts) schreibt der Server in derselben Transaktion wie die Freigabe; er lässt sich nachträglich nicht ändern, nur widerrufen.
Widerruf. Je Partner unter Trainingspartner → Sichtbarkeit & Sicherheit oder im Profil des Partners; für alle zugleich unter Ich → Einstellungen → Datenschutz & Einwilligungen → „Sichtbarkeit für Trainingspartner“. Der Widerruf wirkt beim nächsten Abruf. Nach einem Widerruf ist das Teilen für alle Partner aus; wer wieder teilen will, entscheidet je Partner neu.
Speicherdauer. Partnerschaften, Anfragen, Einladungen, Mitteilungen und Reaktionen bleiben bis zum Widerruf, bis du den Partner entfernst oder blockierst, oder bis zur Kontolöschung. Offene Anfragen kannst du zurückziehen; Einladungscodes laufen nach sieben Tagen ab. Zur Ratenbegrenzung merkt sich der Server Zeitpunkte von Suchen und Anfragen höchstens 48 Stunden.
Mindestalter. Die Partnerfunktionen gibt es ab 16 Jahren. Der Server sperrt sie nach dem gespeicherten Geburtsjahr; darüber hinaus gilt deine Bestätigung im Regel-Bildschirm.
Blockieren und Melden. Du kannst jede Person blockieren und melden. Blockierte erfahren davon nichts; sie finden dich nicht mehr und sehen nichts mehr von dir. Eine Meldung speichert Grund, Zusammenhang, eine optionale Notiz und einen Schnappschuss von Name, Handle und gegebenenfalls Trainingstitel der gemeldeten Person. Zweck ist die Missbrauchsabwehr; lesen kann sie nur der Betreiber, die gemeldete Person erfährt nicht, wer gemeldet hat. Nach mehreren Meldungen verschiedener Personen werden die Partnerfunktionen der gemeldeten Person bis zur Prüfung gesperrt. Löschst du dein Konto, bleibt die Meldung für die Moderation erhalten, aber ohne Bezug zu dir. Speicherdauer der Meldungen: [Frist].
Auskunft und Export. Ich → Konto → Daten exportieren enthält deine Partnerschaften, gesendete und erhaltene Anfragen, Trainingseinladungen, Mitteilungen, Partner-Einstellungen, Einladungscodes, Blockaden, deine eigenen Meldungen und gegebenen wie erhaltenen „Respekt“.
13. Sicherheit
Die Verbindung zwischen App und Server ist verschlüsselt (TLS), diese Website ebenso. Jede Tabelle ist so abgesichert, dass ein Konto nur seine eigenen Zeilen lesen und schreiben kann. Anmeldedaten liegen auf dem Gerät im geschützten Schlüsselspeicher. Passwörter speichern wir nicht im Klartext.
14. Stand und Änderungen
Stand: 19. Oktober 2026, Version 1.0.0.
Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Bei wesentlichen Änderungen, die eine Einwilligung betreffen, fragen wir dich erneut.