Was wir
über dich wissen.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Antonio Lapsker
Zschonergrundstraße 3
01157 Dresden
Deutschland
E-Mail: kontakt@hypertrophycult.com
Telefon: +49 171 3414869

Ein Datenschutzbeauftragter ist nicht bestellt; die gesetzlichen Voraussetzungen dafür liegen nicht vor.

2. Wer ist wofür verantwortlich — Coach oder wir?

Diese Frage ist bei einer Coaching-Software die wichtigste, und sie wird fast nirgends beantwortet. Deshalb hier zuerst:

Für deine eigenen Daten als Coach

Sind wir verantwortlich. Dein Konto, deine Rechnung, deine Anmeldung, dein Schriftwechsel mit uns.

Für die Daten deiner Kunden

Bist du die verantwortliche Stelle, nicht wir. Du entscheidest, welche Daten du erhebst, wie lange du sie behältst und wofür du sie nutzt. Wir verarbeiten sie in deinem Auftrag und nach deinen Weisungen — das ist eine Auftragsverarbeitung nach Art. 28 DSGVO, und dafür brauchst du einen entsprechenden Vertrag mit uns.

Praktisch heißt das: Wenn ein Kunde von dir Auskunft oder Löschung verlangt, ist das dein Vorgang. Wir unterstützen dich dabei mit den Werkzeugen in der Software und helfen, wenn du nicht weiterkommst.

3. Grundsätze der Verarbeitung

Personenbezogene Daten werden nur verarbeitet, soweit dies für den Betrieb der Website, die Bearbeitung von Anfragen, die Durchführung des Coachings, den geschützten Zugang oder zur Erfüllung rechtlicher Pflichten erforderlich ist.

Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche und vertragliche Leistungen, Art. 6 Abs. 1 lit. f DSGVO für berechtigte Interessen an einem sicheren und nutzerfreundlichen Betrieb sowie Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten.

Für besondere Kategorien personenbezogener Daten — dazu gehört alles, was Rückschlüsse auf deine Gesundheit zulässt — ist die Grundlage deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Näheres in Abschnitt 8.

4. Hosting und Server-Logfiles

Beim Aufruf dieser Website werden technisch notwendige Zugriffsdaten verarbeitet: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Datei, übertragene Datenmenge, Referrer-URL, Browsertyp, Betriebssystem und Serverstatus.

Die Verarbeitung erfolgt, um die Website stabil, sicher und fehlerfrei bereitzustellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Empfänger ist der eingesetzte Hosting-Dienstleister; die Server stehen in Deutschland.

5. Kontakt und Anfragen

Wenn du über Formulare oder per E-Mail Kontakt aufnimmst, werden die von dir angegebenen Daten verarbeitet: Name, E-Mail-Adresse, Telefonnummer, gewünschter Termin, Anliegen und Nachricht.

Sie werden genutzt, um deine Anfrage zu bearbeiten, Termine abzustimmen, Rückfragen zu stellen und dir Bestätigungen zu senden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um vorvertragliche oder vertragliche Leistungen geht, ansonsten Art. 6 Abs. 1 lit. f DSGVO.

6. Konto, Anmeldung und Sitzung

Für den geschützten Zugang werden Kontodaten verarbeitet: Name, E-Mail-Adresse, Passwort-Hash, Rolle, Status, Einladungslink, Ablauf des Zugangs, Sitzungsdaten, Sicherheitsereignisse und — wenn du sie einschaltest — Daten der Zwei-Faktor-Anmeldung.

Dein Passwort speichern wir nicht. Gespeichert wird ein Hash, aus dem es sich nicht zurückrechnen lässt. Fehlversuche werden gezählt und nach acht Versuchen gedrosselt; diese Zählung ist eine Sicherheitsmaßnahme nach Art. 6 Abs. 1 lit. f DSGVO.

Nutzungsmessung für den Betrieb. Für Coaches speichern wir Anmeldezeitpunkte (auch den der letzten Anmeldung) und aktive Tage (Datum, Anzahl), für Kunden nur die Anzahl aktiver Kunden je Coach und Tag in pseudonymisierter Form. Zweck: Betrieb, Kapazitätsplanung und Erkennung inaktiver Zugänge (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer 13 Monate, auch für den Zeitpunkt der letzten Anmeldung.

Angaben zu deiner Arbeit als Coach. Beim ersten Anmelden beantwortest du einen kurzen Bogen: wie lange du schon betreust, worauf dein Schwerpunkt liegt, wie viele Kunden du heute hast und wie viele es werden sollen. Freiwillig kommen Arbeitsweise, Ausbildung, bisher genutzte Werkzeuge und eine Rückmeldung dazu, was dir fehlt.

Diese Angaben betreffen ausschließlich deine berufliche Tätigkeit — nicht deine Person und nicht deine Kunden. Wir verwenden sie, um die Software weiterzuentwickeln und dir den passenden Tarif vorzuschlagen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die vier Pflichtangaben (sie gehören zur Einrichtung deines Kontos) und Art. 6 Abs. 1 lit. f DSGVO für die freiwilligen. Eine Weitergabe an Dritte findet nicht statt. Du kannst alle Angaben jederzeit in den Einstellungen ändern; sie werden mit deinem Konto gelöscht.

7. Coaching-Daten

In der Software entstehen Trainingspläne, Ernährungspläne, Check-ins, Gewichtseinträge, Umfänge, Mahlzeiten und Nährwerte, tägliche Einträge (Gewicht, Schritte, Energie), Termine, Fortschrittsauswertungen sowie Rückmeldungen, Fehlermeldungen und Vorschläge.

Sie dienen dazu, das Coaching durchzuführen und zu dokumentieren. Rechtsgrundlage ist der Vertrag zwischen dir und deinem Coach beziehungsweise zwischen dir und uns; für Gesundheitsbezüge gilt zusätzlich Abschnitt 8.

8. Gesundheitsdaten — der heikelste Teil

Drei Bereiche der Software verarbeiten besondere Kategoriendaten nach Art. 9 DSGVO. Sie sind alle freiwillig, werden getrennt abgelegt und lassen sich einzeln widerrufen.

Der mentale Check-in

Fragen zu Stimmung, Antrieb, Stress und Schlaf. Er erscheint nur nach ausdrücklicher Einwilligung. Ziehst du sie zurück, wird die Historie gelöscht — nicht ausgeblendet.

Blutwerte

Laborwerte, die du selbst einträgst, um sie im Verlauf zu sehen. Die Software deutet keinen einzigen davon. Sie erfindet keine Referenzbereiche, markiert nichts als auffällig und leitet keine Empfehlung ab. Das ist eine bewusste Entscheidung: eine Bewertung wäre eine medizinische Aussage, und die trifft hier niemand.

Zyklusdaten

Für Kundinnen, die möchten, dass ihr Zyklus bei der Auswertung mitgedacht wird — damit ein Gewichtssprung als das gelesen wird, was er ist. Du entscheidest dabei getrennt, ob dein Coach nur erfährt, dass es einen Grund gibt, oder auch welchen.

Der Eingangsbogen

Vorerkrankungen, Verletzungen, Medikamente, Schlaf- und Stressmuster, Ernährungsgewohnheiten und Zielsetzung. Auch hier: freiwillig, einzeln widerrufbar, getrennt abgelegt. Sie steuern konkret drei Dinge — Rezeptvorschläge, den Verletzungshinweis am Plan und den Schlafhinweis im Rückblick.

9. Fotos und Videos

Fortschrittsfotos lädt ein Kunde nur hoch, wenn er will; sie sind an keiner Stelle Voraussetzung. Sie sind für seinen Coach sichtbar und für sonst niemanden.

Erklärvideos zu Übungen und Bilder zu Rezepten stellt der Coach ein. Hochgeladene Dateien liegen außerhalb des öffentlich erreichbaren Bereichs und werden nur über geprüfte Zugriffe ausgeliefert — eine Adresse allein genügt nicht, um sie zu sehen.

10. Nachrichten

Zwischen Coach und Kunde lassen sich Nachrichten austauschen, auch mit Bildern und Videos. Inhalt, Zeitpunkt, Lesestatus und Anhänge werden gespeichert, damit der Verlauf verfügbar bleibt.

Eine Ende-zu-Ende-Verschlüsselung gibt es nicht. Das steht hier, weil das Gegenteil oft stillschweigend angenommen wird: technisch wäre ein Zugriff durch den Betreiber möglich. Er findet nicht statt, außer wenn wir dazu gesetzlich verpflichtet sind oder du uns bei einem Fehler ausdrücklich darum bittest.

11. Mitteilungen auf dein Gerät

Wenn du Mitteilungen einschaltest, fragt dein Browser nach Erlaubnis und erzeugt dabei eine technische Kennung (Push-Abonnement) mit der Adresse eines Zustelldienstes deines Browserherstellers und zwei Schlüsseln. Diese Kennung speichern wir, um dir Mitteilungen zusenden zu können.

Der Zustelldienst deines Browserherstellers ist dabei technisch beteiligt. Der Inhalt der Mitteilung wird verschlüsselt übertragen. Rechtsgrundlage ist deine Einwilligung; du kannst sie in der App oder in den Einstellungen deines Browsers jederzeit zurücknehmen — das Abonnement wird dann gelöscht.

12. Lebensmitteldaten und Barcode

Nutzt du die Kamera zum Scannen eines Barcodes, fragt der Browser nach deiner Erlaubnis. Das Kamerabild verlässt dein Gerät nicht — erkannt wird der Code im Browser, an den Server geht nur die Zahl.

Für die Suche nach Lebensmitteln können Suchbegriffe oder Barcodes über unser System an die Lebensmitteldatenbank Open Food Facts weitergeleitet werden. Dein Name, deine Kennung und dein Coach werden dabei nicht mitgeschickt: die Anfrage geht über unseren Server, nicht aus deinem Browser heraus, und enthält nur den Suchbegriff oder die Zahl des Barcodes.

Die Antworten speichern wir eine Zeit lang zwischen — Suchtreffer einen Tag, Produkte zu einem Barcode bis zu 90 Tage —, damit dieselbe Frage nicht jedes Mal nach außen geht. Dieser Zwischenspeicher enthält nur Produktdaten, keine Angaben darüber, wer gesucht hat.

Die Produktdaten stammen von Open Food Facts und stehen unter der Open Database License (ODbL).

13. Zahlungen

Für kostenpflichtige Zugänge wird die Zahlungsabwicklung über einen Zahlungsdienstleister abgewickelt. Zahlungsdaten — Kartennummer, Bankverbindung und dergleichen — werden dort eingegeben und nicht von uns gespeichert; wir erhalten die Angaben zur Zahlung selbst nie zu sehen.

Bei uns liegen Vertragsdaten: welcher Tarif, welcher Zeitraum, welcher Status, welche Rechnung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und für die Aufbewahrung von Rechnungen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Fristen.

Während der Beta wird nicht abgerechnet — dann entstehen auch keine Zahlungsdaten.

14. E-Mail

Das System versendet E-Mails zum Vertrag und zur Sicherheit: Bestätigungen, Einladungen, Hinweise auf neue Pläne oder Check-ins, Zurücksetzen des Passworts, Meldungen zu deinem Konto.

Einen Newsletter gibt es nicht, und ohne gesonderte Einwilligung würde es ihn auch nicht geben. E-Mails an deine Kunden gehen unter dem Namen ihres Coaches heraus, nicht unter unserem.

15. Cookies und Speicher im Browser

Diese Website verwendet keine Marketing- oder Tracking-Cookies. Für Anmeldung, Schutz vor gefälschten Formularen (CSRF) und die sichere Sitzung werden technisch notwendige Sitzungs-Cookies gesetzt.

Zusätzlich können LocalStorage und SessionStorage für rein funktionale Zustände der Oberfläche genutzt werden: geschlossene Hinweise, die zuletzt gewählte Ansicht, ein noch nicht abgeschickter Entwurf. Eine werbliche Auswertung findet nicht statt.

Über den Hinweis beim ersten Besuch kannst du die optionale Komfort-Speicherung annehmen oder ablehnen. Deine Auswahl wird gespeichert, damit der Hinweis nicht bei jedem Aufruf erneut erscheint; ändern kannst du sie jederzeit über „Cookie-Einstellungen“ in der Fußzeile.

Von fremden Servern wird praktisch nichts geladen. Keine Schriftart, kein Kartendienst, kein eingebettetes Video, kein Skript eines Werbe- oder Messanbieters. Deshalb erfährt im Normalbetrieb auch niemand Drittes, dass du hier warst.

Die eine Ausnahme, und zwar vollständig: Der Barcode-Scanner im Essens-Tagebuch braucht eine Erkennungsbibliothek. Sie liegt auf unserem Server und wird von dort geladen. Nur wenn diese Datei nicht ausgeliefert werden kann, versucht der Browser als Rückfall dieselbe Bibliothek von cdn.jsdelivr.net zu holen — dabei erfährt dieser Dienst deine IP-Adresse. Das passiert ausschließlich beim Scannen, nicht beim normalen Surfen, und nur im Störungsfall.

16. Speicherdauer

Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist.

• Anfragen: bis zur Erledigung und darüber hinaus, solange eine Rückfrage zu erwarten ist.
• Konto- und Coaching-Daten: für die Dauer des Zugangs. Endet er, ruht das Konto — gelöscht wird erst, wenn du es verlangst.
• Einwilligungspflichtige Gesundheitsdaten: bis zum Widerruf; mit dem Widerruf wird die Historie gelöscht.
• Push-Abonnements: bis du Mitteilungen abschaltest.
• Rechnungen: nach den gesetzlichen Fristen, in der Regel zehn Jahre.
• Sicherheits- und Protokolldaten: zur Missbrauchserkennung und Fehleranalyse, danach bereinigt.
• Nutzungsmessung für den Betrieb: 13 Monate, danach gelöscht — auch der Zeitpunkt der letzten Anmeldung.

17. Empfänger von Daten

Empfänger können technische Dienstleister sein, die für Betrieb, Hosting, E-Mail-Versand, Zahlungsabwicklung, Zustellung von Mitteilungen oder Abfragen in Lebensmitteldatenbanken eingesetzt werden. Eine Weitergabe erfolgt nur, soweit sie für den Zweck erforderlich ist oder eine gesetzliche Pflicht besteht.

Ein Verkauf oder eine Überlassung zu Werbezwecken findet nicht statt — weder an Dritte noch innerhalb der Plattform. Kein Coach sieht die Kunden, Pläne, Videos oder Rezepte eines anderen; diese Trennung greift beim Lesen der Daten und nicht erst beim Anzeigen.

18. Sicherheit

Technische und organisatorische Maßnahmen: verschlüsselte Übertragung, getrennte Ablage je Coach, Rollen- und Rechteprüfung bei jedem Zugriff, Schutz vor gefälschten Formularen, Passwort-Hashes mit erhöhtem Aufwand, Sperrliste für offensichtlich unsichere Passwörter, Drosselung nach wiederholten Fehlversuchen, optionale Zwei-Faktor-Anmeldung, Sitzungskontrollen und Protokollierung sicherheitsrelevanter Ereignisse.

Hochgeladene Dateien liegen außerhalb des öffentlich erreichbaren Bereichs. Welche Quellen der Browser überhaupt laden darf, ist per Richtlinie erzwungen und auf unseren eigenen Server begrenzt — mit der einen Ausnahme aus Abschnitt 15.

Ausführlich auf der Sicherheitsseite

19. Deine Rechte

Du hast nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen bestimmte Verarbeitungen (Art. 21 DSGVO). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Zwei davon brauchen keine Mail an uns: Der Export deiner Daten und das Löschen deines Kontos gehen in der App selbst. Was dabei gelöscht wird und was das für deine Kunden bedeutet, steht dort, bevor du bestätigst.

Für alles andere genügt eine E-Mail an kontakt@hypertrophycult.com. Bist du Kunde eines Coaches, wende dich zuerst an ihn — er ist für deine Daten die verantwortliche Stelle (Abschnitt 2).

20. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist für uns:

Die Sächsische Datenschutz- und Transparenzbeauftragte
Devrientstraße 5
01067 Dresden
www.datenschutz.sachsen.de

Du kannst dich auch an die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts wenden.

21. Änderungen dieser Erklärung

Diese Erklärung wird angepasst, wenn sich technische, rechtliche oder organisatorische Gegebenheiten ändern. Es gilt die jeweils hier veröffentlichte Fassung; oben steht, von wann sie ist.

Solange sich die Software wöchentlich ändert, ändert sich auch diese Seite. Eine Datenschutzerklärung, die einen Stand von vor einem halben Jahr beschreibt, ist keine Auskunft, sondern ein Formfehler.