Datenschutzerklärung

LeanTogether App für iOS und Android sowie leantogether.app · Stand: 9. Oktober 2026

1. Verantwortlicher

Niklas Albrecht
Rießnerstraße 51
99427 Weimar
E-Mail: kontakt@niklasxskyz.de

2. Überblick

LeanTogether ist eine Fitness-App für iOS und Android, mit der du Kalorien trackst, Workouts planst und dich mit Freunden, deinem GymBuddy, Teams und der Community vernetzt. Diese Datenschutzerklärung gilt für beide Apps und für unsere Website leantogether.app. Sie informiert dich darüber, welche Daten wir erheben, wofür wir sie verwenden, wer sie sehen kann und welche Rechte du hast.

3. Welche Daten wir erheben

3.1 Account- und Profildaten

  • E-Mail-Adresse und Passwort (verschlüsselt gespeichert) bzw. bei „Mit Apple anmelden“ die von Apple übermittelte Kennung und ggf. E-Mail-Adresse (auf Wunsch eine anonyme Weiterleitungs­adresse von Apple)
  • Anzeigename und Benutzername
  • Profilbild (optional)
  • Geschlecht, Geburtsdatum, Körpergröße
  • Aktivitätslevel, Fitnessziel, Erfahrungsstufe, Ernährungsform

3.2 Gesundheits- und Fitnessdaten

  • Körpergewichts-Einträge und Körpermaße (z. B. Taille, Brust, Hüfte, Bizeps, Oberschenkel)
  • Fortschrittsfotos (optional, in einem nicht öffentlichen Speicher; auf Wunsch mit dem Gewicht vom Aufnahmetag)
  • Kalorien- und Makronährstoff-Einträge (Mahlzeiten)
  • Workout-Sitzungen (Übungen, Sätze, Wiederholungen, Gewichte), Trainingspläne und Lieblings­übungen
  • Wasser­einträge (getrunkene Menge pro Tag)
  • Supplement-Tracker: angelegte Supplements, Einnahme-Logs und lokal geplante Erinnerungen (die Erinnerungen plant dein Gerät selbst; wir senden dafür keine Push-Nachrichten)
  • Eigene Rezepte (Zutaten, Mengen, Anleitung; ggf. selbst hochgeladene Rezeptfotos)
  • Apple Health (iOS) bzw. Health Connect (Android): Welche Werte wir lesen, schreiben und an unseren Server übertragen, steht in Abschnitt 6 unter „Apple Health und Health Connect“

3.3 Zyklus- und Periodendaten (optional, nur bei Aktivierung)

Wenn du den Zyklus­tracker nutzt, verarbeiten wir besonders sensible Gesundheits­daten im Sinne von Art. 9 DSGVO:

  • Start- und Enddatum deiner Perioden
  • Optionale Symptome pro Tag (z. B. Flow-Stärke, Krämpfe, Stimmung)
  • Durchschnittliche Zyklus- und Perioden­länge, individueller Kalorien-Aufschlag in der PMS-Phase
  • Schalter, ob das Tracking überhaupt aktiv ist

Diese Daten werden in deinem Profil bei Supabase gespeichert. Du kannst den Zyklus­tracker jederzeit in den Einstellungen deaktivieren; deine bestehenden Einträge bleiben dabei zunächst erhalten und können einzeln oder zusammen mit deinem Konto gelöscht werden. An Google Gemini geht nur dein aktueller Zyklus­tag und deine Zyklus­phase, und nur wenn du der KI-Analyse zugestimmt hast: beim Wochen­review (als Kontext für deine Gewichts­verläufe) und im Leani-Coach-Chat (als Kontext für die Antwort). Siehe Abschnitt 6.

3.4 Soziale Daten und was andere von dir sehen

  • Öffentliches Profil: Anzeigename, Benutzername und Profilbild sind für andere angemeldete Nutzer sichtbar (z. B. in der Freundes­suche, im Forum und in Ranglisten). Profilbilder liegen in einem öffentlich abrufbaren Speicher.
  • Freundschafts- und GymBuddy-Verbindungen
  • Insights für Freunde, GymBuddy und Team: Verbundene Freunde mit Insights-Freigabe, dein GymBuddy und die Mitglieder deines Teams können deine Mahlzeiten, deine Workouts und – sofern du es nicht in den Einstellungen ausblendest – dein Gewicht sehen. Das sind Gesundheits­daten; du entscheidest mit der Verbindung bzw. dem Team-Beitritt, wem du sie zeigst.
  • Private Chat-Nachrichten zwischen Freunden bzw. GymBuddys (Text, geteilte Rezepte/Workouts); sie verschwinden standardmäßig nach 24 Stunden
  • Buddy Snaps (Fotos/Videos mit optionalem Text) und Snap-Streaks (Zähler und Zeitstempel)
  • Stories (24 Stunden sichtbar)
  • Teams: Mitgliedschaft, Teamname und -bild, Team-Chat und Team-Snaps (jeweils 24 Stunden sichtbar) sowie eine Team-Übersicht, in der Mitglieder sehen, ob du heute getrackt oder trainiert hast
  • Forum: Themen, Antworten, Upvotes, als hilfreich markierte Antworten und Meldungen. Beiträge sind für alle angemeldeten Nutzer sichtbar. Postest du „anonym“, sehen andere deinen Namen nicht; wir speichern die Zuordnung zu deinem Konto trotzdem, um Meldungen bearbeiten und Missbrauch verhindern zu können.
  • Community-Beiträge (geteilte Pläne/Rezepte), Likes, „Übernehmen“-Aktionen und Meldungen
  • Ranglisten: In Gym- und Schritt-Ranglisten sehen andere Nutzer deinen Namen, dein Profilbild und deine Werte. Du kannst jederzeit aussteigen (siehe Abschnitt 6).
  • Buddy-Wecker: Wenn du es erlaubst, kann dein GymBuddy einen Weckton für dich aufnehmen. Die Audiodatei wird in einem nicht öffentlichen Speicher abgelegt und ist nur für dich und den aufnehmenden Buddy abrufbar. Gespeichert werden außerdem deine Weckzeit, die Wochentage und wann du aufgestanden bist.
  • Buddy-Duelle (z. B. Liegestütz-Duell): Die Bewegungserkennung läuft ausschließlich auf deinem Gerät; gespeichert werden nur Ergebnis, Wiederholungen und Form-Wertung, die dein Buddy sieht. Kamerabilder verlassen dein Gerät dabei nicht.
  • Buddy-Benachrichtigungen: Droht deine Streak zu reißen oder warst du länger inaktiv, kann dein GymBuddy eine Push-Nachricht mit deinem Namen erhalten, damit er dich motivieren kann.
  • Empfehlungs­system (Referrals): Wer hat wen geworben, daraus abgeleitete Belohnungen
  • Gamification: XP, Level, Streaks, Challenge-Abschlüsse, LeanPoints (Guthaben, Einnahmen und Einlösungen, z. B. für Premium-Tage oder Streak-Rettung) und freigeschaltete Profil-Designs. Level, Streak und gewählte Designs sind für andere sichtbar.
  • Community-Events: deine Beiträge zum gemeinsamen Ziel und eingelöste Belohnungen

3.5 Coaching (optional)

Du kannst dich mit einem von uns freigeschalteten Coach verbinden. Solange die Verbindung besteht, sieht dein Coach deine Mahlzeiten, Gewichts­einträge und Workouts sowie – nur soweit du es pro Kategorie freigibst – deine täglichen Check-ins (Schlafdauer, Schlafqualität, Stimmung, Verdauung, Notiz). Die Schlafdauer kann auf Wunsch aus Apple Health übernommen werden; sie wird dann mit dem Check-in gespeichert. Dein Coach kann dir außerdem Trainingspläne zuweisen. Du kannst die Verbindung und jede Freigabe jederzeit beenden.

Wer sich als Coach bewirbt, übermittelt uns Kurzprofil, Qualifikationen und optional Instagram-Namen und Website; diese Angaben nutzen wir zur Prüfung der Bewerbung.

3.6 Gym-Daten

  • Dein ausgewähltes „Mein Gym“ sowie Beitritts-/Austritts­zeitpunkte
  • Beiträge und Antworten in Gym-Threads (sichtbar für Mitglieder desselben Gyms) sowie zugehörige Meldungen
  • Bei der Gym-Suche wird nach deiner Erlaubnis einmalig der aktuelle Standort deines Geräts genutzt, um Studios in deiner Nähe zu finden (Details in Abschnitt 6). Wir speichern keine GPS-Koordinaten in deinem Profil.
  • Partner-Gym Premium: siehe Abschnitt 11

3.7 Preischeck, Monster-Finder und Partner-Shops

  • Monster-Finder: Damit wir dir Angebote in deiner Region zeigen können, speichern wir deine Postleitzahl, dein Land und ob du die wöchentliche Angebots-Push möchtest. Auf Android kann die Postleitzahl auf Wunsch aus deinem ungefähren Standort ermittelt werden (Umwandlung über den Geocoder der Google Play-Dienste); die Koordinaten speichern wir nicht.
  • Partner-Shops und Rabattcodes: Tippst du auf „Zum Shop“, öffnet sich die Seite des Shops in deinem Browser; ein Rabattcode wird dabei über den Link übergeben und ggf. in deine Zwischenablage kopiert. Wir übermitteln dem Shop keine Profildaten. Ab dem Aufruf gilt die Datenschutzerklärung des jeweiligen Shops. Gemerkte Produkte und deine Bewertungen speichern wir in deinem Konto.

3.8 Gerätedaten und technische Daten

  • Push-Token (für Benachrichtigungen, ein Token pro Gerät)
  • Authentifizierungs-Token (JWT), die auf iOS nach dem Login zusätzlich in einer App-Group-Ablage gespeichert werden, damit die Rezept-Import-Erweiterung (siehe 3.9) mit deinem Account sprechen kann
  • Beim Aufruf unserer Server verarbeitet Supabase technisch bedingt deine IP-Adresse (Server-Logs, Abuse-Abwehr, Rate-Limits); sie wird nicht mit deinem Profil verknüpft
  • Sicherheitsprotokolle: Zur Erkennung und Abwehr von Angriffen protokollieren wir sicherheitsrelevante Zugriffe auf unsere Schnittstellen mit IP-Adresse, User-Agent, technischen Anfragedaten und ggf. der Nutzer-ID.

3.9 Rezept-Link-Import

Du kannst Links (z. B. TikTok-Captions, YouTube-Videos oder Rezept-Webseiten) über das Teilen-Menü an LeanTogether senden. Die URL wird an unseren Server übermittelt, der je nach Plattform öffentlich verfügbare Inhalte (oEmbed-Daten, Open-Graph-Tags, JSON-LD oder den HTML-Body bis 1 MB) abruft und sie zusammen mit der URL an Google Gemini übergibt, damit ein strukturiertes Rezept extrahiert wird. Wir speichern lediglich den Importzähler pro Tag und das fertige Rezept in deinem Profil; die Original-URL wird nicht dauerhaft gespeichert. Das Feature setzt deine KI-Einwilligung voraus.

3.10 Kamera und Mikrofon

  • Kamera: für Buddy Snaps, Stories, Team-Snaps, Fortschrittsfotos, den Barcode-Scanner, Buddy-Duelle (Auswertung nur auf dem Gerät) und – nur mit KI-Einwilligung – für KI-Lebensmittel­erkennung, KI-Rezeptvorschläge und den Import von Trainingsplänen aus Fotos. Fotos für KI-Analysen werden kurzzeitig an Google Gemini übermittelt (siehe Abschnitt 6) und bei uns nicht dauerhaft gespeichert.
  • Mikrofon und Spracherkennung: Die optionale Spracheingabe (z. B. für die Lebensmittel­suche) wird ausschließlich auf dem Gerät in Text umgewandelt; diese Audiodaten verlassen dein Gerät nicht. Der erkannte Text kann, sofern du der KI-Analyse zugestimmt hast, zusammen mit einem Foto an Google Gemini gehen.
  • Mikrofon für den Buddy-Wecker: Nimmt dein Buddy einen Weckton für dich auf, wird diese Aufnahme gespeichert (siehe 3.4).

4. Zweck der Datenverarbeitung

  • Bereitstellung und Personalisierung der App-Funktionen
  • Berechnung individueller Kalorien- und Makroziele (inkl. optionalem Aufschlag in der PMS-Phase)
  • Soziale Funktionen (Freunde, GymBuddy, Snaps, Chat, Teams, Forum, Community, Stories, Duelle, Buddy-Wecker, Ranglisten, Challenges, Community-Events, Empfehlungs­system)
  • Coaching zwischen dir und einem Coach deiner Wahl
  • Gym-Funktionen (Mein Gym, Gym-Threads, Suche nach Studios in deiner Nähe)
  • Preischeck, Monster-Finder und Vermittlung zu Partner-Shops
  • Anzeige und Auswertung des optionalen Zyklus­trackers
  • Push-Benachrichtigungen (z. B. Nachrichten, Erinnerungen, Streak-Hinweise, Wochenreview) sowie lokale Erinnerungen für Supplements und Wasser
  • Verwaltung von Premium-Abonnements (App Store, Google Play, Partner-Gym, LeanPoints), Prüfung der Echtheit von Käufen und deren Auswertung
  • Sicherheit der App, Missbrauchs- und Angriffs­abwehr, Moderation gemeldeter Inhalte
  • Optionale KI-Funktionen (nur bei ausdrücklicher Einwilligung, Verarbeitung durch Google Gemini, siehe Abschnitt 6):
    • KI-gestützte Lebensmittel­erkennung via Foto
    • Wochen­review: Analyse deiner Wochen­daten inkl. Zyklus­phase als Kontext. Das Review wird montags automatisch vorbereitet, damit es beim Öffnen sofort da ist.
    • Leani-Coach-Chat (Fragen zur App, Ernährung und Training sowie Erstellen von Trainingsplänen)
    • KI-Rezeptvorschläge aus Zutatenfotos
    • Rezept-Import aus geteilten Links (TikTok-Caption, YouTube-Video, Webseiten-Text)
    • Import von Trainingsplänen aus Fotos oder Screenshots (bis zu 10 Bilder)
    • Zusammenführung gemeinsamer Workouts mit deinem GymBuddy
    • Produkt­daten­ergänzung beim Barcode-Scan und Auslesen von Nährwert­tabellen auf Produktfotos

5. Rechtsgrundlagen

  • Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Bereitstellung deines Kontos und der App-Funktionen, die du nutzt (z. B. Tracking, soziale Funktionen, Abos).
  • Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): optionale Funktionen wie Standort­zugriff, Push-Benachrichtigungen, Health-Zugriff und Rangliste.
  • Ausdrückliche Einwilligung für Gesundheitsdaten (Art. 9 Abs. 2 lit. a DSGVO): Körpergewicht, Ernährung, Training, Zyklus, Check-ins, Fortschrittsfotos und Health-Werte. Die Einwilligung holen wir beim ersten App-Start über einen Dialog ein und dokumentieren sie mit Zeitstempel. Die Freigabe an Freunde, Buddys und Coaches erteilst du zusätzlich durch die jeweilige Verbindung bzw. Freigabe.
  • KI-Analyse (Art. 9 Abs. 2 lit. a DSGVO): eigene, getrennte und jederzeit widerrufbare Einwilligung (siehe Abschnitt 12).
  • Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Sicherheit und Angriffs­abwehr, Server-Logs, Moderation, Auswertung von Abo-Ereignissen über RevenueCat sowie Buddy-Benachrichtigungen bei drohendem Streak-Verlust. Unser Interesse liegt im sicheren Betrieb und der Weiter­entwicklung der App.
  • Rechtliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung von Kauf- und Abo-Belegen nach Handels- und Steuerrecht.

6. Drittanbieter und Dienste

Supabase (Backend)

Hosting, Datenbank, Authentifizierung, Dateispeicherung, Server-Funktionen und Echtzeit-Funktionen durch Supabase, Inc. (USA) als Auftragsverarbeiter. Unsere Datenbank und unser Speicher liegen in Rechenzentren in Zürich (Schweiz); für die Schweiz besteht ein Angemessenheits­beschluss der EU-Kommission (Art. 45 DSGVO). Soweit Supabase, Inc. selbst aus den USA auf Daten zugreifen kann (z. B. für Support und Betrieb), erfolgt dies auf Grundlage der EU-Standard­vertrags­klauseln (Art. 46 Abs. 2 lit. c DSGVO). Alle Daten werden verschlüsselt übertragen (HTTPS) und gespeichert.

Google Gemini (KI-Analyse – nur mit Einwilligung)

Für die optionalen KI-Funktionen (siehe Abschnitt 4) nutzen wir die Gemini-API der Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA) bzw. Google Ireland Limited.

Welche Daten übertragen werden: Je nach genutztem Feature deine Mahlzeiten-Einträge, Makro- und Kalorienziele, Workout-Daten (Übungen, Sätze, Gewichte), Gewichts­einträge und -trend, Fitness­ziel und -level, Alter, Größe und Geschlecht, Fotos von Mahlzeiten, Zutaten, Produkten oder Trainingsplänen und dein optionaler Text­kontext. Zusätzlich:

  • beim Wochen­review die aktuelle Zyklus­phase (sofern der Zyklus­tracker aktiv ist),
  • im Leani-Coach-Chat deine Frage und den bisherigen Chatverlauf sowie als Kontext: heutige Mahlzeiten und Makros, 7-Tage-Kalorienschnitt, Gewicht und Trend, heutige Schritte, Schlafdauer der letzten Nacht aus Apple Health (iOS), Zyklus­tag und -phase (sofern der Zyklus­tracker aktiv ist), deine Trainingspläne, Lieblings­übungen, letzten Workouts und der Name deines Gyms,
  • beim Rezept-Link-Import die geteilte URL und die daraus öffentlich abrufbaren Inhalte (Caption, Open-Graph-Daten, JSON-LD, gekürzter HTML-Text oder YouTube-URL zur Video­analyse).

Wir übermitteln keinen Klarnamen, keine E-Mail-Adresse, keine Nutzer-ID und keine Geräte­kennung an Google.

Drittlandtransfer (USA): Google verarbeitet diese Daten auch auf Servern in den USA. Die Übermittlung erfolgt auf Basis des EU-US Data Privacy Framework, für das Google zertifiziert ist, sowie der Standard­vertrags­klauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) in den Bedingungen von Google.

Rechtsgrundlage: Deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die du beim ersten App-Start oder in den Einstellungen gibst. Ohne Einwilligung werden keine Daten an Google übertragen.

Widerruf: Du kannst die Einwilligung jederzeit in den App-Einstellungen unter „Privatsphäre → KI-Analyse erlauben“ widerrufen. Danach finden keine weiteren Übertragungen statt. Bereits erzeugte Ergebnisse (z. B. Wochenreviews oder importierte Rezepte) bleiben in deinem Konto, bis du sie löschst oder dein Konto entfernst.

Open Food Facts

Offene Lebensmitteldatenbank für Barcode- und Produktsuche. Es werden keine persönlichen Daten an Open Food Facts übermittelt, lediglich Produktanfragen (Barcode/Name).

Inhaltsabrufe für den Rezept-Link-Import

Wenn du eine URL teilst, ruft unser Server öffentlich verfügbare Inhalte der jeweiligen Plattform ab – insbesondere TikTok (oEmbed), Instagram (Open-Graph-Tags), YouTube (URL-Weitergabe an Gemini) sowie andere HTTPS-Webseiten. Dabei sieht der jeweilige Anbieter eine IP-Adresse und einen User-Agent unseres Servers, nicht deine eigene.

Standort für die Gym-Suche

Wenn du nach einem Gym in deiner Nähe suchst, fragt dein Gerät einmalig deine Erlaubnis ab. Deine Position wird dann für diese Suche an unsere Gym-Datenbank sowie an den Kartendienst des Systems übergeben: auf iOS Apple Maps (Apple Inc.), auf Android die Standort­dienste der Google Play-Dienste (Google). Die Koordinaten werden nur für die aktuelle Suche verwendet und nicht in deinem Profil gespeichert.

Apple Health und Health Connect

Lesen: Mit deiner Erlaubnis liest die App Fitness- und Gesundheitswerte aus Apple Health (iOS) bzw. Health Connect (Android), z. B. Schritte, aktive Kalorien, Distanz, Trainings, Gewicht, Herzfrequenz, Herzfrequenz­variabilität, Atemfrequenz, Hauttemperatur, VO₂max und Schlaf. Diese Werte werden auf deinem Gerät ausgewertet.

Was unseren Server erreicht:

  • die Tages­summen deiner Schritte und aktiven Kalorien für die appweite Rangliste und Community-Events – nur Tages­summen, keine Einzel­messungen, und auf iOS nur Werte, die dein iPhone oder deine Apple Watch selbst gemessen haben,
  • dein Gewicht nur, wenn du die Übernahme aus Apple Health bzw. Health Connect einschaltest (dann als normaler Gewichts­eintrag),
  • Trainings nur, wenn du sie selbst in deinen Verlauf übernimmst,
  • deine Schlafdauer nur, wenn du sie in einen Coach-Check-in übernimmst (siehe 3.5),
  • auf iOS heutige Schritte und die Schlafdauer der letzten Nacht als Kontext im Leani-Coach-Chat, wenn du der KI-Analyse zugestimmt hast (siehe oben).

Herzfrequenz, Herzfrequenz­variabilität, Atemfrequenz, Hauttemperatur und VO₂max verlassen dein Gerät nicht.

Schreiben (iOS): Mit deiner Erlaubnis schreibt die App deine in LeanTogether erfassten Workouts (inkl. Dauer, Energie, Distanz, Herzfrequenz und ggf. Route) sowie Ernährungs­werte in Apple Health.

Von der Rangliste kannst du dich jederzeit abmelden (Schritt-Rangliste → Menü → „Nicht mehr teilnehmen“ bzw. unter Android in den Health-Connect-Einstellungen). Dabei löschen wir die bereits übertragenen Tages­summen. Health-Daten werden nie für Werbung genutzt.

Apple App Store (Käufe und Abos)

Abwicklung von In-App-Käufen und Abonnements. Zahlungsdaten werden ausschließlich von Apple verarbeitet und sind für uns nicht einsehbar. Apple meldet uns Abo-Ereignisse (z. B. Abschluss, Verlängerung, Kündigung, Erstattung) mit Produkt, Zeitraum, Preis, Land und Transaktions-ID; diese Meldungen speichern wir für unsere Buchhaltung.

Prüfung deines Abos: Damit wir Abos deinem Konto zuordnen und gefälschte Käufe erkennen können, übermittelt die App beim Start und nach einem Kauf die von Apple signierten Kaufbelege deiner aktiven Abos an unseren Server. Wir prüfen die Signatur und speichern Produkt, Laufzeit, Transaktions-ID, Testzeitraum und Kaufumgebung zusammen mit deiner Nutzer-ID. Beim Kauf geben wir Apple die (zufällig erzeugte) Nutzer-ID deines LeanTogether-Kontos mit, damit Apples Abo-Meldungen deinem Konto zugeordnet werden können. Rechtsgrundlage ist die Vertrags­erfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an der Missbrauchs­abwehr (Art. 6 Abs. 1 lit. f DSGVO).

Google Play (Käufe und Abos, Android)

Auf Android wickelt Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) In-App-Käufe und Abonnements über Google Play ab. Zahlungsdaten werden ausschließlich von Google verarbeitet und sind für uns nicht einsehbar. Beim Kauf übergeben wir Google einen nicht rückrechenbaren Hash­wert deiner Nutzer-ID, damit der Kauf deinem Konto zugeordnet werden kann. Zur Prüfung deines Abos sendet die App den Kauf-Token deiner aktiven Abos an unseren Server; dieser fragt bei Google den Status ab (z. B. aktiv, gekündigt, abgelaufen, Testzeitraum) und speichert Produkt, Laufzeit, Bestell- bzw. Kauf-Kennung und Kaufumgebung zusammen mit deiner Nutzer-ID. Rechtsgrundlage ist die Vertrags­erfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an der Missbrauchs­abwehr (Art. 6 Abs. 1 lit. f DSGVO). Google kann Daten auch in den USA verarbeiten; die Übermittlung erfolgt auf Basis des EU-US Data Privacy Framework und der EU-Standard­vertrags­klauseln.

RevenueCat (Abo-Auswertung, iOS)

Zur Auswertung unserer Abonnements nutzen wir RevenueCat (RevenueCat, Inc., USA). RevenueCat wickelt keine Käufe ab, sondern erhält deine Kauf- und Abo-Ereignisse (Produkt, Zeitpunkt, Preis, Währung, Land), technische Gerätedaten (z. B. App-Version, Betriebssystem) und deine LeanTogether-Nutzer-ID, damit wir Abos einem Konto zuordnen können. Rechtsgrundlage ist unser berechtigtes Interesse an der Auswertung unserer Umsätze (Art. 6 Abs. 1 lit. f DSGVO). Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standard­vertrags­klauseln.

Apple Push Notification Service (APNs)

Zustellung von Push-Benachrichtigungen auf iOS über Apples Infrastruktur. Übertragen werden dein Push-Token und der Inhalt der Benachrichtigung.

Firebase Cloud Messaging (FCM, Android)

Zustellung von Push-Benachrichtigungen auf Android über Firebase Cloud Messaging der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) bzw. Google LLC (USA). Dein Gerät erzeugt erst dann ein Push-Token, wenn du angemeldet bist und Benachrichtigungen erlaubt hast; beim Abmelden löschen wir es. Übertragen werden dein Push-Token und der Inhalt der Benachrichtigung (Titel, Text und ein technischer Verweis auf die Stelle in der App, z. B. ein Forum-Thema). Wir nutzen Firebase ausschließlich für die Zustellung; Firebase Analytics ist abgeschaltet. Rechtsgrundlage ist deine Einwilligung in Push-Benachrichtigungen (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit in den Android-Einstellungen widerrufen kannst. Google verarbeitet die Daten auch in den USA; die Übermittlung erfolgt auf Basis des EU-US Data Privacy Framework, für das Google zertifiziert ist, sowie der Standard­vertrags­klauseln der EU-Kommission.

Vercel (Website)

Unsere Website leantogether.app – inklusive geteilter Rezept-, Einladungs-, Team- und Duell-Links – wird von Vercel Inc. (USA) gehostet. Beim Aufruf verarbeitet Vercel technisch bedingt deine IP-Adresse, Zeitpunkt, aufgerufene Seite und User-Agent in Server-Logs. Die Website setzt keine Tracking- oder Werbe-Cookies und bindet keine Analyse-Dienste ein; Schriftarten werden von unserem eigenen Server geladen. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren, funktionierenden Website (Art. 6 Abs. 1 lit. f DSGVO); die Übermittlung in die USA erfolgt auf Grundlage der EU-Standard­vertrags­klauseln.

7. Datenspeicherung und -löschung

  • Account-Daten: Bis zur Kontolöschung
  • Gesundheits-, Ernährungs- und Trainingsdaten, Fortschrittsfotos: Bis zur manuellen Löschung oder Kontolöschung
  • Zyklusdaten: Bleiben auch beim Deaktivieren des Trackers erhalten, bis du sie einzeln oder mit deinem Konto löschst
  • Supplements & Wassereinträge: Bis zur manuellen Löschung oder Kontolöschung; lokale Erinnerungen werden mit dem Eintrag entfernt
  • Chat-Nachrichten (privat und Team): Standardmäßig 24 Stunden; abgelaufene Nachrichten werden automatisch gelöscht
  • Stories und Team-Snaps: 24 Stunden sichtbar, danach automatische Löschung
  • Buddy Snaps: Werden nach dem Ansehen gelöscht, nicht angesehene Snaps spätestens nach 7 Tagen
  • Community-, Forum- und Gym-Thread-Inhalte: Bis zur Löschung durch dich oder mit deinem Konto; gemeldete Inhalte können zur Bearbeitung der Meldung länger aufbewahrt werden
  • Buddy-Wecker-Tonaufnahmen: Bis sie ersetzt oder gelöscht werden, spätestens mit dem Konto
  • Coach-Check-ins: Bis zum Ende der Coach-Verbindung oder zur Kontolöschung
  • Schritt-/Kalorien-Tagessummen: Bis du aus der Rangliste aussteigst oder dein Konto löschst
  • Push-Tokens: Nur der aktuelle Token pro Gerät wird gespeichert, alte Tokens werden automatisch entfernt
  • Sprachdaten der Spracheingabe: Werden nicht gespeichert (Verarbeitung nur auf dem Gerät)
  • Rezept-Link-Import: URL wird nicht gespeichert; nur Tageszähler und das erzeugte Rezept verbleiben in deinem Profil
  • Kauf- und Abo-Belege: Bis zu 10 Jahre (handels- und steuerrechtliche Aufbewahrungs­pflicht, § 147 AO)
  • Sicherheitsprotokolle: Solange es zur Aufklärung und Abwehr des jeweiligen Vorfalls erforderlich ist

Du kannst dein Konto jederzeit in den App-Einstellungen löschen. Dabei entfernen wir dein Profil und die damit verbundenen Inhalte und Dateien. Ausgenommen sind Daten, die wir aus rechtlichen Gründen aufbewahren müssen (Kauf- und Abo-Belege), sowie Sicherheitsprotokolle, die noch zur Aufklärung eines Vorfalls nötig sind. An öffentlichen Inhalten (z. B. Forum- oder Community-Beiträgen) können anonymisierte Reste bestehen bleiben, sofern andere Nutzer darauf reagiert haben.

8. Deine Rechte (DSGVO)

Du hast jederzeit das Recht auf:

  • Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
  • Berichtigung unrichtiger Daten (Art. 16 DSGVO)
  • Löschung deiner Daten (Art. 17 DSGVO)
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
  • Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), z. B. beim für uns zuständigen Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit (TLfDI), Häßlerstraße 8, 99096 Erfurt

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, kannst du dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Wende dich für alle Anfragen an: kontakt@niklasxskyz.de

9. Datensicherheit

  • Verschlüsselte Datenübertragung (HTTPS/TLS)
  • Verschlüsselte Passwortspeicherung (Hashing)
  • Row Level Security (RLS) in der Datenbank: Du kannst nur auf deine eigenen Daten zugreifen und auf die Daten, die andere ausdrücklich mit dir teilen (z. B. als Freund, Buddy, Coach oder Team-Mitglied, siehe Abschnitt 3.4 und 3.5)
  • JWT-basierte Authentifizierung
  • Fortschrittsfotos und Wecktöne liegen in nicht öffentlichen Speichern

10. Daten, die wir NICHT erheben

  • GPS-Koordinaten dauerhaft (eine kurzfristige Nutzung erfolgt nur bei aktiver Gym-Suche bzw. zur Ermittlung der Postleitzahl im Monster-Finder; gespeichert wird höchstens die Postleitzahl, siehe 3.7)
  • Kontaktliste oder Kalender
  • Gerätekennungen für Werbung (IDFA/Werbe-ID)
  • Browsing-Verlauf
  • Biometrische Daten (Face ID / Touch ID werden nicht von der App verarbeitet)
  • Kreditkarten- oder Bankdaten

11. Partner-Gym Premium (B2B)

Ausgewählte Fitness­studios können Mitglieder über einen privaten Beitritts-Code mit Premium ausstatten, ohne dass eine Zahlung über den App Store erfolgt. Dafür verarbeiten wir:

  • die Information, dass dein Profil Mitglied dieses Partner-Gyms ist,
  • die Quelle deines Premium-Status (Partner-Gym statt App-Store-Abo),
  • Zeitpunkte von Beitritt und Austritt.

Dein Klarname, deine E-Mail-Adresse oder weitere persönliche Daten werden dem Studio nicht übermittelt. Der eingegebene Code wird nur zur Validierung verwendet und nicht dauerhaft in deinem Profil gespeichert. Wenn du das Partner-Gym verlässt, endet auch der dadurch vermittelte Premium-Status.

12. KI-Einwilligung und Widerruf

Die KI-Funktionen der App sind eine freiwillige Zusatzleistung. Wir holen deine Einwilligung in die Verarbeitung deiner Gesundheits- und Fitnessdaten durch Google Gemini separat ein – entweder direkt im Onboarding oder beim ersten App-Start nach einem Update.

Deine Zustimmung wird mit einem Zeitstempel in unserer Datenbank dokumentiert. Ohne deine Einwilligung funktionieren alle Basis-Funktionen (Kalorien-Tracking, Workouts, Buddy-Snaps usw.) unverändert weiter – lediglich die KI-Features aus Abschnitt 4 sind dann inaktiv.

Du kannst deine Einwilligung jederzeit und ohne Angabe von Gründen widerrufen, indem du in der App zu Einstellungen → Privatsphäre → KI-Analyse erlauben navigierst und den Schalter deaktivierst. Der Widerruf gilt ab dem Moment der Deaktivierung; bereits erfolgte Verarbeitungen bleiben davon unberührt.

13. Mindestalter

LeanTogether richtet sich an Personen ab 16 Jahren. Wenn du jünger bist, darfst du die App nicht nutzen. Erfahren wir, dass ein Konto einer jüngeren Person gehört, löschen wir es.

14. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die App oder die Rechtslage ändert. Die aktuelle Version ist stets unter dieser URL abrufbar. Bei wesentlichen Änderungen informieren wir dich in der App.