Datenschutzerklärung

Diese Datenschutzerklärung gilt für die App StrongerlabX unter app.strongerlab.com, auch wenn du sie über die iOS-App öffnest. Für die Website strongerlab.com, den Newsletter und das Coaching gilt die Datenschutzerklärung auf strongerlab.com.

StrongerlabX verarbeitet Gesundheitsdaten. Wir erklären dir deshalb genau, welche Daten wir wofür nutzen, an wen sie gehen und wie lange wir sie speichern.

1. Verantwortlicher

INNOBU GmbH
Heidewinkel 1, 24955 Harrislee, Deutschland
Geschäftsführer: Niels A. Schuldt
E-Mail: legal@strongerlab.com

Bei allen Fragen zum Datenschutz und zur Ausübung deiner Rechte erreichst du uns unter dieser Adresse.

2. Das Wichtigste in Kürze

• Wir verarbeiten deine Trainings- und Gesundheitsdaten, um dein Training zu planen und auszuwerten. Für Gesundheitsdaten holen wir deine ausdrückliche Einwilligung ein.
• Die Datenbank liegt in Frankfurt am Main, die Server der App laufen in Frankfurt.
• Für die KI-Funktionen (FluX) gehen Daten an Anthropic und MongoDB (Voyage AI), auch in die USA. Keiner dieser Anbieter nutzt deine Daten zum Training seiner Modelle.
• Wir setzen keine Werbe- oder Analyse-Tracker ein und verkaufen keine Daten.
• Unter Me → Data kannst du deine Daten jederzeit exportieren und dein Konto vollständig löschen.

3. Konto und Anmeldung

StrongerlabX ist nur auf Einladung nutzbar. Für dein Konto verarbeiten wir deine E-Mail-Adresse, deinen Namen, dein Passwort (nur als verschlüsselter Hash gespeichert), optional ein Profilbild sowie Einstellungen wie Zeitzone und Darstellung. E-Mails zur Einladung und zum Zurücksetzen des Passworts verschickt unser Datenbankanbieter Supabase.

Anmeldung mit Google (optional): Wenn du dich mit Google anmeldest, übermittelt uns die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, deinen Namen, deine E-Mail-Adresse und dein Profilbild. Ein Google-Passwort erhalten wir nicht. Für die Anmeldung bei Google gilt die Datenschutzerklärung von Google.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

4. Trainings- und Gesundheitsdaten

Im Kern von StrongerlabX stehen deine Trainings- und Gesundheitsdaten:

• Trainingsaktivitäten: Sportart, Dauer, Distanz, Leistung, Geschwindigkeit, Trittfrequenz, Höhenprofil, GPS-Strecke sowie Herzfrequenz, RR-Intervalle und, falls aufgezeichnet, Körperkerntemperatur.
• Leistungs- und Schwellenwerte: etwa FTP, Schwellenherzfrequenz, maximale Herzfrequenz, Ruhepuls, VO2max, Schwellenpace und Trainingszonen.
• Erholung: Schlafdauer und -phasen, Herzfrequenzvariabilität (HRV), Ruhepuls, Atemfrequenz, Sauerstoffsättigung und Atemstörungen im Schlaf, Abweichung der Körpertemperatur, Stress- und Erholungszeiten am Tag, Resilienz, das von Oura geschätzte kardiovaskuläre Alter und Readiness-Werte.
• Körper: Gewicht und Körperzusammensetzung (z. B. Körperfett, Muskel- und Knochenmasse), Alter und Geschlecht.
• Blutwerte: Werte, die du eingibst oder aus Laborbefunden auslesen lässt, und die hochgeladenen Befunde selbst.
• Befinden und Notizen: Belastungsempfinden, Befinden nach dem Training, Journal, Notizen, Erinnerungen, Supplemente und Ernährung sowie alles, was du FluX schreibst, etwa zu Schlaf, Stress, Beschwerden, Krankheit oder Verletzungen.

Diese Daten stammen von dir, aus hochgeladenen Dateien (z. B. FIT- oder GPX-Dateien, Laborbefunde) oder aus deinen verbundenen Konten (Abschnitt 5). Wir nutzen sie, um deine Trainingspläne zu erstellen und anzupassen, Belastung, Ermüdung und Erholung einzuschätzen, Auswertungen und Diagramme zu zeigen und dich mit FluX zu beraten.

Rechtsgrundlage: Für Gesundheitsdaten im Sinne von Art. 9 DSGVO ist Rechtsgrundlage deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a, Art. 6 Abs. 1 lit. a DSGVO), die wir bei der ersten Anmeldung einholen. Für die übrigen Trainingsdaten ist es die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). StrongerlabX verfolgt keine medizinischen Zwecke und stellt keine Diagnosen.

Widerruf: Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, unter Me → Data oder per E-Mail an legal@strongerlab.com. Weil die App ohne Gesundheitsdaten nicht funktioniert, löschen wir dann dein Konto mit allen Daten. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

5. Verbundene Konten: Garmin, Oura und TrainingPeaks

Du kannst StrongerlabX mit deinen eigenen Konten bei diesen Anbietern verbinden. Für die Verarbeitung in deinen dortigen Konten ist der jeweilige Anbieter selbst verantwortlich.

• Garmin Connect: Bei der Verbindung gibst du deine Garmin-Zugangsdaten einmalig ein. Wir leiten sie zur Anmeldung an Garmin weiter und speichern sie nicht; gespeichert werden nur die Zugriffsschlüssel (Tokens), verschlüsselt. Wir laden Aktivitäten, HRV- und Gewichtsdaten sowie dein Befinden nach dem Training herunter und übertragen auf Wunsch geplante Workouts zu Garmin. Die Verbindung nutzt eine nicht offizielle Schnittstelle. Hinweise von Garmin: garmin.com/de-DE/privacy.
• Oura: Die Verbindung läuft über die offizielle Freigabe (OAuth) der Oura Health Oy, Finnland. Wir lesen Tageswerte (darunter Schritte, Stress, Resilienz, Sauerstoffsättigung und kardiovaskuläres Alter), Herzfrequenz, Schlaf, Sitzungen und Workouts sowie Basisangaben deines Profils. Die Tokens speichern wir verschlüsselt. Hinweise von Oura: ouraring.com/privacy-policy.
• TrainingPeaks: Damit wir Workouts in deinen TrainingPeaks-Kalender übertragen können, speichern wir deinen Benutzernamen und dein Passwort verschlüsselt (AES-256-GCM) und melden uns damit für dich an. Anbieter ist die TrainingPeaks, LLC, USA. Hinweise: trainingpeaks.com/privacy.

Unter Me → Connections kannst du jede Verbindung trennen; wir löschen dann die gespeicherten Tokens bzw. Zugangsdaten. Die Freigabe bei Oura kannst du zusätzlich in deinem Oura-Konto widerrufen. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), für Gesundheitsdaten deine Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

6. KI-Funktionen (FluX)

FluX ist ein KI-Assistent. Er beantwortet deine Fragen im Chat, merkt sich wichtige Angaben aus euren Gesprächen, erkennt Muster, schreibt nachts eine Einschätzung deines Trainingsstands, erstellt Trainings- und Ernährungspläne, liest Laborbefunde und Supplement-Etiketten aus und ordnet sie ein.

Dafür schicken wir die jeweils nötigen Daten an die KI-Anbieter: je nach Funktion Profil- und Schwellenwerte, Trainingsaktivitäten, Erholungswerte, Blutwerte, Journal, Notizen, Supplemente, Pläne, frühere Gesprächsinhalte und Bilder oder Dateien, die du hochlädst.

• Anthropic (Claude): Sprachmodell für alle Antworten, Auswertungen und Pläne. Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, Irland; Muttergesellschaft Anthropic, PBC, USA. Weitere Informationen: anthropic.com/legal/privacy.
• MongoDB (Voyage AI): Umwandlung von Texten in Suchvektoren, damit FluX passende Erinnerungen findet. Das betrifft alle Freitexte, die du in der App einträgst: Journal, Notizen, Tagebuch, Feedback zu Trainingseinheiten und Chat, Beschreibungen deiner Aktivitäten, Trainingsziele und Angaben aus der Anmeldung, Allergien, Anmerkungen zu Blutwerten, Untersuchungen und Leistungstests, zu Supplementen, Ernährung, Krafttraining und Übungen, Ausrüstungsnotizen, Termin- und Routennotizen, Erinnerungen, Tagesnotizen im Trainingsplan und Begründungen für Planänderungen, außerdem die Nachrichten und geteilten Notizen deines Coaches. MongoDB Limited, Irland; Muttergesellschaft MongoDB, Inc., USA. Weitere Informationen: mongodb.com/legal/privacy.

Beide Anbieter verarbeiten die Daten als unsere Auftragsverarbeiter (Art. 28 DSGVO) und nutzen sie nicht zum Training ihrer Modelle: Anthropic nach seinem Vertrag, MongoDB, weil wir der Nutzung zum Training widersprochen haben. Die Verarbeitung kann in den USA stattfinden (Abschnitt 13).

Was FluX selbst tut: Auf deine Anweisung legt FluX Einträge an (z. B. Journal, Blutwerte, Termine) und erstellt Trainingspläne. Eine feste Regel stuft eine harte Einheit auf eine lockere um, wenn deine Erholungswerte sehr niedrig sind; du kannst das jederzeit ändern. Diese Auswertung deiner Daten ist ein Profiling im Sinne von Art. 4 Nr. 4 DSGVO. Es dient ausschließlich deinem Training. Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO) treffen wir nicht.

Warnzeichen: FluX prüft deine Chatnachrichten, dein Feedback zu Trainingseinheiten und deine Tagebucheinträge automatisch auf gesundheitliche Warnzeichen (etwa Brustschmerzen, Selbstverletzung oder Essstörungen) und speichert das Ergebnis als Wahrscheinlichkeit bis zu 90 Tage, damit wir diese Prüfung auswerten können. Ein erkanntes Warnzeichen kann zu einem Vorschlag für eine Planänderung oder zu einem Warnhinweis führen, der mit diesem Vorschlag gespeichert bleibt.

Grenzen: KI kann sich irren. Die Hinweise von FluX sind Vorschläge für dein Training, keine medizinische Beratung.

Gedächtnis: Unter FluX memory siehst du, was FluX sich gemerkt hat. Du kannst einzelne Einträge löschen und das Mitschreiben in den Einstellungen dort pausieren.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), für Gesundheitsdaten deine Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

7. Dein Strongerlab-Coach

Wenn du von einem Coach von Strongerlab betreut wirst, sieht dein Coach in StrongerlabX: Name und E-Mail-Adresse, Gewicht, Leistungs- und Schwellenwerte, Zusammenfassungen deiner Trainingsaktivitäten, deine Trainingspläne (je nach Rolle mit Bearbeitungsrecht), deine Saisonplanung, Readiness-Werte sowie eure gemeinsamen Notizen und Nachrichten. Zugangsdaten deiner verbundenen Konten und deinen Heimatort sieht dein Coach nicht. Eure Nachrichten und gemeinsamen Notizen fließen auch in das Gedächtnis von FluX ein (Abschnitt 6).

Coaches sind Beschäftigte oder Beauftragte der INNOBU GmbH und zur Vertraulichkeit verpflichtet. Unter Me → Coach kannst du die Verbindung jederzeit beenden. Rechtsgrundlage ist die Erfüllung des Coaching- bzw. Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), für Gesundheitsdaten deine Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

8. Wetter und Standort

Für die Wettervorhersage kannst du einen Heimatort festlegen. Wir speichern dann die Ortsbezeichnung und die Koordinaten in deinem Profil. Erlaubst du den Zugriff auf den Gerätestandort, runden wir ihn schon in deinem Browser auf etwa einen bis fünf Kilometer und speichern ihn nicht.

Mit den gerundeten Koordinaten fragen unsere Server Wetterdaten ab, ohne Angaben zu deiner Person: bei Bright Sky (brightsky.dev, Daten des Deutschen Wetterdienstes) und beim Norwegischen Meteorologischen Institut (api.met.no); das Regenradar holen sie beim Deutschen Wetterdienst. Für die Ortssuche geben sie deinen Suchbegriff an Nominatim der OpenStreetMap Foundation weiter. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

9. Karten, Höhen und Streckenbelag

Karten (z. B. deine Strecken und das Wetter) lädt dein Browser von Mapbox, Inc., USA. Dabei werden deine IP-Adresse und der angezeigte Kartenausschnitt an Mapbox übertragen. Mapbox legt eine zufällige Kennung im Speicher deines Browsers ab, um Kartenaufrufe zu zählen. Weitere Informationen: mapbox.com/legal/privacy.

Zur Korrektur des Höhenprofils hochgeladener Strecken schicken unsere Server deren Koordinaten an Open-Elevation (api.open-elevation.com). Für die Auswertung des Streckenbelags einer Strecke oder Aktivität fragen sie die Overpass API (overpass-api.de) nach Straßendaten von OpenStreetMap ab und übermitteln dafür Koordinaten der Strecke. Bei aufgezeichneten Aktivitäten lassen wir die ersten und letzten 500 Meter weg, damit Start und Ziel, oft deine Wohnung, nicht übermittelt werden. Angaben zu deiner Person gehen dabei nicht mit.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO); die Speicherung der Kennung durch Mapbox ist für die Bereitstellung der Karten erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

10. Push-Benachrichtigungen (iOS)

Wenn du in der iOS-App Benachrichtigungen erlaubst, speichern wir den Gerätetoken deines iPhones und schicken Benachrichtigungen, etwa Wetterhinweise für dein Training, über den Apple Push Notification Service der Apple Inc., USA. Apple erhält dabei den Gerätetoken und den Text der Benachrichtigung. Du kannst Benachrichtigungen jederzeit in den iOS-Einstellungen abschalten. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du über die Abfrage von iOS erteilst.

11. Hosting, Server-Logs und Sicherheit

Die App wird bei der Vercel Inc., USA, betrieben; die Server der App laufen in Frankfurt am Main. Datenbank, Anmeldung und Dateispeicher stellt die Supabase, Inc., USA, bereit; die Daten liegen in einem Rechenzentrum in Frankfurt am Main. Beide sind unsere Auftragsverarbeiter.

Bei jedem Aufruf fallen technische Daten an (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser und Betriebssystem). Sie dienen dem sicheren Betrieb und der Fehlersuche und werden von Vercel nur kurzzeitig gespeichert. Auch Supabase protokolliert technische Daten (aufgerufene Adressen, IP-Adressen und Anmeldevorgänge) und speichert sie für die Dauer seiner Aufbewahrungsfrist. Für die Kostenkontrolle der KI-Funktionen protokollieren wir je Anfrage Funktion, Modell, Tokenzahl, Dauer, Kosten und technische Angaben zur Verarbeitung, ohne Gesprächsinhalte. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und wirtschaftlichen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Zum selben Protokoll gehören die Ergebnisse der Prüfung auf Warnzeichen (Abschnitt 6); sie löschen wir nach 90 Tagen, Rechtsgrundlage dafür ist deine Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

Wir übertragen alle Daten verschlüsselt (TLS), speichern Zugangsdaten verbundener Konten verschlüsselt, beschränken den Zugriff in der Datenbank auf deine eigenen Daten und geben hochgeladene Laborbefunde, Chat-Bilder und Anhänge nur über zeitlich begrenzte Links heraus.

Produktseiten: Wenn du die Adresse einer Produktseite eingibst (etwa für ein Supplement), ruft unser Server diese Seite ab, um die Produktangaben auszulesen. Der Shop sieht dabei unseren Server, nicht dich.

12. Cookies und Speicher im Browser

StrongerlabX setzt nur technisch notwendige Cookies: die Anmelde-Cookies von Supabase, damit du angemeldet bleibst. Im Speicher deines Browsers (Local und Session Storage) legen wir Einstellungen wie Farbschema und Seitenleiste sowie zwischengespeicherte Daten für schnellere Ladezeiten ab. Zur Kennung von Mapbox siehe Abschnitt 9. Wir verwenden keine Analyse- oder Werbe-Cookies. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist dafür nicht erforderlich.

13. Empfänger im Überblick und Übermittlung in Drittländer

Übermittlungen in die USA stützen wir auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger danach zertifiziert ist, und im Übrigen auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Standardvertragsklauseln erhältst du auf Anfrage.

14. Wie lange wir Daten speichern

• Deine Konto-, Trainings- und Gesundheitsdaten speichern wir, solange du dein Konto hast. Einzelne Einträge kannst du jederzeit selbst löschen; gelöschte Notizen liegen 30 Tage im Papierkorb.
• Löschst du dein Konto, löschen wir sofort alle Daten in der Datenbank und alle hochgeladenen Dateien. In den Sicherungskopien unseres Datenbankanbieters bleiben sie bis zu deren turnusmäßiger Überschreibung erhalten.
• Zugangsdaten und Tokens verbundener Konten löschen wir, sobald du die Verbindung trennst oder dein Konto löschst.
• Nachweise deiner Einwilligungen speichern wir, solange dein Konto besteht.
• Anthropic speichert übermittelte Daten nach seinem Vertrag nur kurzzeitig, in der Regel höchstens 30 Tage. Für MongoDB nennt der Vertrag keine feste Frist; MongoDB löscht die Daten auf unsere Anforderung, spätestens mit dem Ende unseres Vertrags.

15. Deine Rechte

Du hast das Recht auf

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung deiner Daten (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage unseres berechtigten Interesses (Art. 21 DSGVO) und
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Vieles kannst du direkt in der App erledigen: Unter Me → Data lädst du deine Daten als Archiv in einem maschinenlesbaren Format herunter oder löschst dein Konto. Hochgeladene Dateien wie Laborbefunde öffnest und speicherst du einzeln in der App; auf Wunsch schicken wir sie dir gesammelt. Für alles andere schreib an legal@strongerlab.com.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein, Holstenstraße 98, 24103 Kiel, mail@datenschutzzentrum.de, datenschutzzentrum.de.

16. Pflicht zur Bereitstellung

Du bist nicht verpflichtet, uns Daten bereitzustellen. Ohne E-Mail-Adresse können wir jedoch kein Konto anlegen, und ohne deine Einwilligung in die Verarbeitung von Gesundheitsdaten kannst du StrongerlabX nicht nutzen.

17. Änderungen

Wenn wir neue Funktionen einführen oder andere Dienstleister einsetzen, passen wir diese Datenschutzerklärung an. Über wesentliche Änderungen informieren wir dich in der App und bitten dich, falls nötig, erneut um deine Einwilligung.