Marc Böhm
Am Planetarium 13
07743 Jena
E-Mail: E-Mail-Adresse wird geladen…
Kontodaten: Name/Nickname, E-Mail-Adresse. Ich verwende kein Passwort, die Anmeldung erfolgt über einen zeitlich begrenzten, einmalig gültigen Login-Link, der an deine E-Mail-Adresse gesendet wird.
Profildaten: Gewicht, maximale Herzfrequenz und weitere physikalische Parameter, die du zur Berechnung deiner VO2max-Schätzung angibst.
Trainingsdateien (besondere Kategorien personenbezogener Daten, Art. 9 DSGVO): von dir hochgeladene GPX- oder FIT-Dateien, einschließlich der darin enthaltenen Standortdaten (GPS-Route) und Herzfrequenzdaten (Gesundheitsdaten). Diese Rohdateien werden unverändert gespeichert, zusätzlich zu den daraus berechneten Werten (VO2max, Steigungen, Trend).
Dieser Abschnitt beschreibt die Nutzung mit Konto. Wenn du die kostenlosen Werkzeuge ohne Anmeldung benutzt, wird nichts davon gespeichert; dafür gilt ausschließlich Abschnitt 6.
Während der geschlossenen Testphase kommt ein zweiter Zweck hinzu: die Validierung des Schätzverfahrens anhand pseudonymisierter Auszüge. Was dabei genau passiert, steht in der Datenschutzinformation für die Testgruppe, der du bei der ersten Anmeldung ausdrücklich zustimmst.
Deine Daten bleiben gespeichert, solange dein Konto besteht. Du kannst dein Konto und alle damit verbundenen Daten, einschließlich der Original-Trainingsdateien, jederzeit selbst im Bereich „Konto“ löschen; die Löschung erfasst dein Konto, alle Fahrten, die zugehörigen Rohdateien und deine gespeicherten Gewichtsdaten.
Konten ohne jede Aktivität werden nach 24 Monaten automatisch gelöscht; du erhältst vorher eine Erinnerungs-E-Mail mit der Möglichkeit, dein Konto durch einfaches erneutes Einloggen zu behalten.
Backups: 30 Tage.
Hosting: Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland), Serverstandort Falkenstein, Deutschland (EU). Verarbeitung im Auftrag auf Basis eines Auftragsverarbeitungsvertrags (AVV). Da der Serverstandort innerhalb der EU liegt, entsteht durch das Hosting selbst kein Drittlandbezug.
E-Mail-Versand (Login-Links, Warteliste): Brevo (Sendinblue SA, Frankreich). Verarbeitung im Auftrag auf Basis eines AVV. Wenn du dich für die Warteliste einträgst, verwende ich zusätzlich das Double-Opt-in-Verfahren: Nach der Eintragung erhältst du eine E-Mail mit einem Bestätigungslink, erst danach wird deine Adresse in die Warteliste aufgenommen. Verarbeitet werden dabei deine E-Mail-Adresse und die Trafficquelle deiner Anmeldung (z. B. welcher Link dich hierher geführt hat).
Analyse: Umami Cloud, cookielos, EU-Datenregion. Es werden keine Cookies gesetzt und keine personenbezogenen Profile erstellt. An Umami gehen ausschließlich pseudonyme Nutzungsstatistiken (aufgerufene Seiten, grobe Ereignisse), niemals Gesundheits- oder Standortdaten aus deinen Trainingsdateien.
Auf den Werkzeugseiten kannst du GPX- oder FIT-Dateien zusammenfügen, ohne dich anzumelden. Diese Verarbeitung unterscheidet sich in jedem Punkt von den Abschnitten 2 bis 4, deshalb steht sie gesondert hier.
Welche Daten: die von dir hochgeladenen Dateien einschließlich der darin enthaltenen Standortdaten und Herzfrequenzdaten (besondere Kategorien, Art. 9 DSGVO). Zusätzlich, und nur wenn du sie selbst einträgst, deine maximale Herzfrequenz und dein Körpergewicht für die freiwillige VO2max-Schätzung. Rein technisch außerdem ein Hashwert deiner IP-Adresse, gebildet mit einem serverseitigen Geheimnis. Die IP-Adresse selbst wird nicht gespeichert.
Zwecke und Rechtsgrundlagen: die Durchführung des von dir angeforderten Vorgangs (Art. 6 Abs. 1 lit. b DSGVO). Für die Herzfrequenzdaten stützt sich die Verarbeitung auf deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du unmittelbar am Upload über eine nicht vorangekreuzte Checkbox erteilst und die ausschließlich für diese eine Anfrage gilt. Bereits das Zusammenfügen liest die Herzfrequenz aus deiner Datei und schreibt sie in die Zieldatei; die Einwilligung hängt deshalb am Upload und nicht erst an der Schätzung. Der Hashwert deiner IP-Adresse dient allein der Begrenzung der Aufrufe pro Stunde und damit der Abwehr von Missbrauch und Überlastung (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).
Speicherdauer: Die Dateien werden nur für die Dauer deiner Anfrage verarbeitet und danach sofort gelöscht. Es wird nichts dauerhaft abgelegt: kein Eintrag unter „Fahrten“, keine gespeicherte Originaldatei, kein Eintrag in der Reichweitenmessung mit Dateiinhalt. Das Ergebnis bekommst du direkt als Download zurück. Der Hashwert deiner IP-Adresse verfällt automatisch nach einer Stunde.
Empfänger und Weiterverarbeitung: keine. Die Dateien verlassen meine Infrastruktur nicht, werden nicht an Dritte übermittelt und zu keinem anderen Zweck weiterverwendet, insbesondere nicht zum Training von Modellen. In die Reichweitenmessung (Abschnitt 5) geht ausschließlich die Information, dass ein Vorgang stattgefunden hat, ohne Dateiinhalt und ohne Gesundheits- oder Standortdaten.
Deine Rechte hierzu: Du kannst deine Einwilligung bis zum Absenden zurücknehmen, indem du das Häkchen wieder entfernst. Danach ist der Vorgang abgeschlossen und die Daten sind gelöscht, sodass Auskunft, Berichtigung, Löschung und Übertragbarkeit für diese Verarbeitung gegenstandslos werden: eine Auskunft könnte nur lauten, dass zu dir keine Daten vorliegen. Möchtest du deine Fahrten dauerhaft ausgewertet und im Verlauf gesehen haben, brauchst du ein Konto; dann gelten die Abschnitte 2 bis 4 und 7.
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Auskunft und Datenübertragbarkeit kannst du im Bereich „Konto“ selbst als Export (Original-Trainingsdateien + abgeleitete Werte) anfordern; Löschung ist dort ebenfalls selbst möglich. Deine Einwilligung in die Verarbeitung der Gesundheits- und Standortdaten kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Kontolöschung); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.
Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist in der Regel die Behörde deines Bundeslands oder die Behörde am Sitz des Verantwortlichen.
Es findet keine automatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt. Die VO2max-Schätzung ist eine Trendinformation, keine automatisierte Entscheidung über dich.
Umami wird in der EU-Datenregion betrieben; der Anbieter (Umami Software Inc.) ist jedoch ein US-Unternehmen, sodass ein Rest-Drittlandbezug bestehen bleibt (z. B. bei Support-Zugriffen). Dieser wird über die im Auftragsverarbeitungsvertrag (DPA) enthaltenen Absicherungen (Standardvertragsklauseln/Data Privacy Framework) abgedeckt.