Datenschutzerklärung

1. Name und Anschrift des Verantwortlichen

Maximilian Weber
Plattenhardter Str. 21
70794 Filderstadt
E-Mail: contact@maximum-workouts.com

2. Allgemeines zur Datenverarbeitung

Wir nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir verarbeiten personenbezogene Daten ausschließlich auf Grundlage der gesetzlichen Bestimmungen der Datenschutz-Grundverordnung (DSGVO) sowie des Bundesdatenschutzgesetzes (BDSG).

Grundprinzip Datensparsamkeit. Ihre Fitness-, Ernährungs- und Gesundheitsdaten – insbesondere Ihr Profil (Alter, Geschlecht, Größe, Gewicht, Gesundheitsangaben), Ihr Ernährungstagebuch, Ihre Körpermessungen, Ihre Trainingspläne sowie Ihre abgeschlossenen Trainingseinheiten – werden lokal auf Ihrem Mobilgerät gespeichert (Gerätespeicher der App). Diese Daten werden nur dann an unsere Server übermittelt, wenn Sie eine Funktion nutzen, die dies technisch erfordert. Die betreffenden Funktionen und die dabei verarbeiteten Daten sind nachfolgend im Einzelnen beschrieben.

Daten, die wir dauerhaft auf unseren Servern speichern. Unabhängig von den genannten Funktionen speichern wir zur Bereitstellung des Nutzerkontos folgende Daten in unserer Backend-Infrastruktur (Firebase / Google Ireland Limited):

• Ihre E-Mail-Adresse und eine interne Nutzer-Kennung (User-ID)
• Ihren Kontostatus (kostenlos / Premium / Testphase) und zugehörige Abo-Metadaten
• eine pseudonyme Geräte-Kennung (siehe Ziffer 6)
• Zähler zu Ihrer Nutzung der KI-Funktionen (reine Verbrauchswerte ohne Inhalte, siehe Ziffer 3)

Ihre Trainingseinheiten gehören ausdrücklich nicht dazu: Sie verlassen Ihr Gerät nur, wenn Sie freiwillig am Streak-Programm teilnehmen (siehe Ziffer 4).

Rechtsgrundlage für die kontobezogene Speicherung ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags), für die Geräte-Kennung und die Missbrauchsvermeidung Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

3. Verarbeitung bei KI-gestützten Funktionen

Für die folgenden KI-Funktionen übermitteln wir die jeweils genannten Daten über unsere Backend-Infrastruktur (Firebase, Google Ireland Limited) an die Google-Gemini-Schnittstelle (Google LLC, USA). Die Daten werden dort zur Erzeugung des jeweiligen Ergebnisses verarbeitet. Wir speichern die übermittelten Eingabedaten nicht dauerhaft auf unseren Servern – sie werden für die Dauer der jeweiligen Anfrage verarbeitet und danach verworfen; gespeichert wird nur das Ergebnis, soweit Sie es in der App übernehmen. Auf eine mögliche vorübergehende Verarbeitung durch den Betreiber der KI-Schnittstelle (Google) haben wir keinen Einfluss; hierfür gelten die Bedingungen und Datenschutzhinweise von Google.

Rechtsgrundlage für alle KI-Funktionen ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie durch die aktive Nutzung der jeweiligen Funktion erteilen. Zur Drittlandübermittlung siehe Ziffer 11.

a) Mahlzeitenerfassung mittels Bilderkennung

Das von Ihnen aufgenommene bzw. ausgewählte Foto Ihrer Mahlzeit wird zur Analyse (Erkennung von Gericht, Zutaten und Nährwerten) übermittelt. Optional übermitteln Sie dabei einen von Ihnen eingegebenen Gerichtsnamen.

b) Analyse von Nährwerttabellen (Etiketten)

Das von Ihnen aufgenommene Foto einer Nährwerttabelle / eines Produktetiketts wird zur Auslese der Nährwertangaben übermittelt.

c) Erstellung eines Trainingsplans mit KI

Die von Ihnen eingegebenen Profil- und Zieldaten (z. B. Geschlecht, Alter, Größe, Gewicht, Körperfettanteil, Fitnesslevel, Gesundheitsangaben/-bedenken, Trainingsziele und -präferenzen) werden zur Generierung des Plans übermittelt.

d) KI-Coach / Chatbot

Wenn Sie den in der App integrierten KI-Coach nutzen, werden – abhängig von Ihrer Anfrage und den in der App vorhandenen Daten – folgende Daten zur Beantwortung übermittelt: Ihre Nachricht und der bisherige Gesprächsverlauf, optional von Ihnen gesendete Bilder sowie Kontextdaten aus Ihrem Profil, darunter Name, Alter, Geschlecht, Gewicht, Größe, Ziele, Ihr Ernährungstagebuch der letzten Tage, aktuelle Trainingspläne, Ihre Trainingshistorie und aggregierte Gesundheitsmetriken (z. B. Schlaf-Score, „Body Battery", Trainingslast, Vitalwert-Abweichungen).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Sofern Sie die Zyklus-Funktion nutzen und im Chat verwenden, können dabei Gesundheitsdaten zu Ihrem Menstruationszyklus übermittelt werden. Diese Verarbeitung erfolgt ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Sie können den Chatbot jederzeit ohne diese Daten nutzen.

e) Rezept-Import aus Links

Wenn Sie einen Link (z. B. zu einer Rezeptseite oder einem Social-Media-Beitrag) zum Import teilen, wird die verlinkte URL bzw. deren Inhalt zur Extraktion von Zutaten und Nährwerten verarbeitet.

4. Trainingseinheiten und Streak-Programm

Ohne Teilnahme am Streak-Programm: keine Übermittlung. Beenden Sie ein Training in der App, wird der Trainingsdatensatz ausschließlich lokal auf Ihrem Gerät gespeichert. Er wird in diesem Fall nicht an unsere Server übermittelt. Technisch ist das doppelt abgesichert: Die App übermittelt ohne Teilnahme bereits nichts, und unsere Serverfunktion prüft die eingetragene Teilnahme zusätzlich und speichert ohne sie keine Daten. Ein direkter Schreibzugriff der App auf den serverseitigen Trainingsbereich ist ausgeschlossen.

Mit Teilnahme am Streak-Programm. Das freiwillige „Streak"-Programm (Belohnung für regelmäßiges Training) erfordert eine Verifikation der Trainingseinheiten – andernfalls ließe sich die Belohnung beliebig erschleichen. Nur wenn Sie dem Streak-Programm nach ausdrücklicher Bestätigung der Teilnahmebedingungen aktiv beitreten, werden Ihre ab diesem Zeitpunkt abgeschlossenen Trainingseinheiten an unsere Server übermittelt und Ihrem Konto zugeordnet gespeichert. Übermittelt werden dabei:

• der Trainingsdatensatz (Übungen, Sätze, Dauer, geschätzter Kalorienverbrauch, Datum) sowie
• verifikationsrelevante Sensor- und Bewegungsdaten, insbesondere Herzfrequenz-Zeitreihen, GPS-/Distanzdaten, Schrittzahlen sowie technische Ereignisse zum Trainingsablauf.

Diese Übermittlung findet ausschließlich für Trainingseinheiten statt, die Sie während Ihrer Teilnahme abschließen. Sie können einzelne Trainingseinheiten jederzeit in der App löschen.

Diese Daten sind Gesundheitsdaten im Sinne von Art. 9 DSGVO. Rechtsgrundlage ist Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a i. V. m. Art. 6 Abs. 1 lit. a DSGVO), die Sie beim Beitritt zum Streak-Programm erteilen. Zum Nachweis der Einwilligung (Art. 7 DSGVO) speichern wir den Zeitpunkt, die akzeptierte Version der Teilnahmebedingungen, die Plattform sowie eine gekürzte (anonymisierte) IP-Adresse.

Sie können die Teilnahme jederzeit in den App-Einstellungen widerrufen (Austritt aus dem Streak-Programm). Der Widerruf wirkt für die Zukunft: Ab dem Austritt werden keine weiteren Trainingseinheiten mehr an unsere Server übermittelt. Bereits übermittelte Daten bleiben bis zur Löschung Ihres Kontos gespeichert (siehe Ziffer 13); Sie können sie in der App auch einzeln löschen.

5. Fehler- und Absturzberichte, Fehlermeldungen („Bug melden")

Automatische Fehlerberichte (nur mit Einwilligung). Sofern Sie dem zustimmen, werden bei technischen Fehlern anonymisierte Diagnosedaten übermittelt: Fehlermeldung/-typ, technische Log-Einträge der App sowie Geräteinformationen (Plattform, Betriebssystemversion, Gerätemodell, App-Version). Diese automatischen Berichte enthalten keine Nutzerkennung. Sie können die Zustimmung jederzeit in den Einstellungen erteilen oder widerrufen. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Speicherdauer: automatische Löschung nach 30 Tagen.

Manuelle Fehlermeldungen. Wenn Sie über die Funktion „Bug melden" aktiv einen Fehler melden, übermitteln wir Ihre Beschreibung, optional von Ihnen angehängte Screenshots, technische Log-Einträge, Geräteinformationen sowie Ihre Nutzerkennung. Zur Bearbeitung erhalten wir hierüber zusätzlich eine E-Mail-Benachrichtigung. Rechtsgrundlage: berechtigtes Interesse an der Fehlerbehebung (Art. 6 Abs. 1 lit. f DSGVO). Speicherdauer: automatische Löschung nach 90 Tagen.

6. Konto, Missbrauchsvermeidung und Geräte-Kennung

Zur Bereitstellung Ihres Kontos speichern wir Ihre E-Mail-Adresse und eine interne Nutzerkennung. Für Anmeldung und Kontoverwaltung nutzen wir Firebase Authentication (Google Ireland Limited).

Ein-Geräte-Anmeldung. Aus Sicherheitsgründen kann Ihr Konto jeweils nur auf einem Gerät aktiv angemeldet sein. Hierzu speichern wir die Kennung des zuletzt angemeldeten Geräts.

Schutz vor Mehrfach-Testphasen. Um die kostenlose Testphase pro Person/Gerät nur einmal zu gewähren, speichern wir einen pseudonymen Hash Ihrer (normalisierten) E-Mail-Adresse und einer Geräte-Kennung. Diese Hash-Einträge sind kontenunabhängig und bleiben aus Gründen des Missbrauchsschutzes auch nach einer Kontolöschung erhalten. Rechtsgrundlage: berechtigtes Interesse an der Verhinderung von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

7. Verwaltung von Premium-Abonnements

Premium-Abonnements werden über die App-Stores von Apple (App Store) bzw. Google (Google Play) abgewickelt; die Zahlungsabwicklung erfolgt ausschließlich dort. Zur Verwaltung und Freischaltung von Premium-Funktionen setzen wir den Dienstleister RevenueCat, Inc. (USA) ein. Wir verarbeiten in diesem Zusammenhang Ihre Nutzerkennung, Ihre E-Mail-Adresse und Abo-Metadaten (z. B. Produkt, Store, Laufzeit/Ablaufdatum, Status). Die Kontodaten (Name, Zahlungsdaten) verbleiben bei Apple bzw. Google und werden von uns nicht gespeichert. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Speicherdauer: für die Dauer des Vertragsverhältnisses; anschließend Löschung oder Anonymisierung nach Ablauf gesetzlicher Aufbewahrungsfristen.

8. Verbindung zu externen Diensten

Health Connect (Android) / Apple HealthKit (iOS)

Bei ausdrücklicher Zustimmung können Sie Ihre Trainingsdaten mit dem Gesundheitsdienst Ihres Geräts synchronisieren. Die Übertragung erfolgt direkt auf Ihrem Gerät zwischen der App und dem jeweiligen Dienst; wir haben hierauf keinen Zugriff. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Garmin Connect

Bei ausdrücklicher Zustimmung können Sie Ihr Garmin-Connect-Konto verbinden, um Trainingseinheiten zu übertragen und Gesundheits- und Aktivitätsdaten (z. B. Schlaf, Stress, Body Battery, Herzfrequenzvariabilität, Ruhepuls, Sauerstoffsättigung, Atemfrequenz, VO₂max, Gewicht/Körperkomposition, Aktivitäten) von Garmin zu empfangen. Für die Verbindung führen wir den Autorisierungs-Vorgang (OAuth) serverseitig durch und speichern die von Garmin ausgestellten Zugangs-Token verschlüsselt in Ihrem Nutzerdatensatz, um die Verbindung aufrechtzuerhalten. Sie können die Verbindung jederzeit in der App trennen; die Token werden dann gelöscht.

Von Garmin empfangene Gesundheits- und Aktivitätsdaten werden auf unseren Servern (Firebase/Firestore, siehe Ziffer 3) für die Dauer Ihrer Garmin-Verbindung gespeichert. Diese Speicherung ist eine Vorgabe des Garmin-Connect-Partnerprogramms und ermöglicht es zugleich, Ihre Daten wiederherzustellen — etwa nach einem Gerätewechsel oder einer Neuinstallation. Zusätzlich hält die App eine Arbeitskopie lokal auf Ihrem Gerät.

Sobald Sie die Verbindung in der App trennen, die Freigabe in Ihrem Garmin-Konto widerrufen oder Ihr Nutzerkonto löschen, werden alle auf unseren Servern gespeicherten Garmin-Daten vollständig gelöscht. Ihre Garmin-Daten werden nicht verkauft, nicht für Werbezwecke weitergegeben und nicht an Dritte zu deren eigenen Zwecken übermittelt.

Ausnahme — optionale KI-Analyse: Wenn Sie die KI-Trainingsanalyse aktiv starten und der gesonderten Datenschutz-Einwilligung für die KI-Analyse zugestimmt haben, werden die für diese Analyse ausgewählten Daten an die in Ziffer 3 genannte Google-Gemini-Schnittstelle übermittelt. Bei bestehender Garmin-Verbindung können dazu auch Garmin-Daten gehören (z. B. Herzfrequenz-Zeitreihen, Tempo, Kadenz, GPS-Streckendaten der analysierten Einheit sowie Vitalwerte wie Body Battery, Schlaf und Ruhepuls). Diese Übermittlung erfolgt nur auf Ihre ausdrückliche Anforderung hin — nicht im Hintergrund und nicht automatisch. Die Daten werden bei Google nicht dauerhaft gespeichert und nicht zum Training von KI-Modellen verwendet; das Analyseergebnis wird lokal auf Ihrem Gerät abgelegt. Sie können die Einwilligung jederzeit in den Einstellungen widerrufen; danach findet keine weitere Übermittlung statt. Ohne diese Einwilligung werden Ihre Garmin-Daten nicht an die KI-Schnittstelle übermittelt; sie verbleiben in dem oben beschriebenen Rahmen (Speicherung bei uns für die Dauer der Verbindung sowie lokal auf Ihrem Gerät).

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); für besondere Kategorien personenbezogener Gesundheitsdaten (Art. 9 DSGVO) Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die Sie vor Herstellung der Verbindung gesondert erteilen. Zur Drittlandübermittlung siehe Ziffer 11.

Persönliches Google Drive / iCloud (Backup)

Mit Ihrer ausdrücklichen Zustimmung kann die App Ihre Profildaten, Trainingsverläufe, Pläne und Ernährungsdaten in Ihrem persönlichen Google-Drive- bzw. iCloud-Konto sichern und wiederherstellen. Die Daten werden dabei in Ihrem eigenen Cloud-Speicher abgelegt und nicht auf unseren Servern gespeichert. Verantwortlich für diesen Speicher ist der jeweilige Anbieter (Google bzw. Apple). Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Zur Drittlandübermittlung siehe Ziffer 11.

9. Zweck der Datenerhebung

Ihre Daten werden ausschließlich zur Bereitstellung, Absicherung und Verbesserung der App-Funktionen genutzt. Eine Weitergabe zu Werbezwecken findet nicht statt.

10. Auftragsverarbeiter und Empfänger

Wir setzen für bestimmte Verarbeitungsvorgänge sorgfältig ausgewählte Dienstleister ein, die Daten nur auf unsere Weisung und auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO verarbeiten. Hierzu zählen insbesondere:

• Google Ireland Limited / Google LLC – Backend-Infrastruktur (Firebase: Authentifizierung, Datenbank, Datei-Speicher, Serverfunktionen) sowie die KI-Schnittstelle (Google Gemini)
• RevenueCat, Inc. – Verwaltung von Abonnements
• Universität Heidelberg (HeiGIT gGmbH, Deutschland) – Routing-Dienst „openrouteservice" für die optionale Funktion Wegen folgen sowie für die Routenplanung (Start-, Ziel- und Zwischenpunkte, wahlweise als Rundkurs). Übermittelt werden ausschließlich die von Ihnen gesetzten bzw. über die Ortssuche ausgewählten Wegpunkte, um daraus den Streckenverlauf entlang vorhandener Wege zu berechnen; keine aufgezeichneten Trainings, keine Trainingshistorie und kein Standortverlauf. Lassen Sie sich eine Route vom KI-Coach vorschlagen, werden dessen Vorschläge (Ortsnamen, Sportart, Wunschlänge) lediglich in die Eingabemaske übernommen — die Berechnung startet erst, wenn Sie sie ausdrücklich auslösen. Die Funktion ist standardmäßig deaktiviert und wird erst nach Ihrer ausdrücklichen Einwilligung aktiv (Art. 6 Abs. 1 lit. a DSGVO); das Ergebnis wird ausschließlich lokal auf Ihrem Gerät gespeichert. Sie können die Funktion jederzeit in der Routenplanung wieder ausschalten; danach findet keine weitere Übermittlung statt
• Apple Inc. bzw. Google – Bereitstellung über den App Store / Google Play und Zahlungsabwicklung (als eigenständig Verantwortliche)

11. Drittlandübermittlung

Bei einzelnen Verarbeitungsvorgängen (insbesondere Nutzung der Google-Gemini-Schnittstelle, RevenueCat sowie ggf. Backup in Ihrem persönlichen Cloud-Konto) kann es zu einer Übermittlung personenbezogener Daten in ein Drittland (USA) kommen. Diese Übermittlung erfolgt auf Grundlage der von der EU-Kommission erlassenen Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und – soweit einschlägig – auf Grundlage der Zertifizierung des Empfängers unter dem EU-U.S. Data Privacy Framework, ergänzt um geeignete technische und organisatorische Schutzmaßnahmen.

12. Bereitstellungspflicht

Die Angabe bzw. Bereitstellung bestimmter Daten ist für die Nutzung einzelner Funktionen technisch erforderlich (z. B. ein Foto für die Bildanalyse, Profildaten für den KI-Trainingsplan, Sensordaten für die Streak-Verifikation). Ohne diese Daten stehen die entsprechenden Funktionen nicht zur Verfügung. Die übrige Nutzung der App bleibt hiervon unberührt.

13. Speicherdauer

Soweit oben keine konkrete Frist genannt ist, speichern wir personenbezogene Daten so lange, wie es für den jeweiligen Zweck erforderlich ist bzw. bis Sie Ihr Konto löschen. Bei einer Kontolöschung werden Ihre serverseitig gespeicherten Daten (einschließlich Trainingsdaten und zugehöriger Verifikationsdaten) vollständig gelöscht. Ausgenommen sind die pseudonymen Hash-Einträge zur Missbrauchsvermeidung (Ziffer 6) sowie Daten, für die gesetzliche Aufbewahrungspflichten bestehen.

14. Ihre Rechte als betroffene Person

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht auf Widerspruch gegen die Verarbeitung (Art. 21). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Diese Rechte können Sie über die App-Einstellungen (u. a. Kontolöschung, Widerruf von Einwilligungen, Löschen einzelner Einträge) oder per E-Mail an die in Ziffer 1 genannte Adresse ausüben.

15. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Behörde ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
Telefon: +49 711 615541-0
E-Mail: poststelle@lfdi.bwl.de