Datenschutz­erklärung

Hier steht, welche Daten Kreidebuch verarbeitet, wozu, wo sie liegen und wie du sie löschen oder mitnehmen kannst.

1. Verantwortlich

The Goodie Company GmbH
Siedlerstraße 4b, 97230 Estenfeld
Vertreten durch den Geschäftsführer Thomas Kalina
E-Mail: info@thegoodiecompany.de · Telefon: 0160 / 947 18 976

Für alle Fragen zum Datenschutz und zur Ausübung deiner Rechte genügt eine E-Mail an diese Adresse. Ein Datenschutzbeauftragter ist für unser Unternehmen gesetzlich nicht vorgeschrieben.

2. Server, Verschlüsselung und Protokolle

Kreidebuch läuft auf einem Server der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) im Rechenzentrum Helsinki, Finnland, also innerhalb der EU. Hetzner verarbeitet die Daten nur in unserem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO.

Alle Verbindungen sind per TLS (HTTPS) verschlüsselt. Schriften und alle Programmteile werden von unserem eigenen Server geladen, es gibt keine Verbindungen zu Google Fonts oder anderen Fremdservern, solange du kein Video startest (siehe YouTube).

Bei jedem Aufruf speichert der Server technische Protokolle: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Browser und Betriebssystem (User-Agent) und die vorher besuchte Seite. Anmeldedaten und Passwörter stehen nicht darin. Zweck ist der sichere Betrieb: Angriffe erkennen und Fehler finden. Rechtsgrundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO.

• Protokolle des Webservers werden nach 30 Tagen automatisch gelöscht.
• Protokolle der App-Datenbank werden nach 5 Tagen automatisch gelöscht.

Webseite kreidebuch.de: Die Webseite mit Informationen zu Kreidebuch läuft auf demselben Server. Sie setzt keine Cookies, nutzt keine Analysedienste und lädt nichts von fremden Servern. Für Aufrufe gelten die oben beschriebenen Server-Protokolle. Was du im Formular „Verträge hier kündigen“ eingibst, steht in Abschnitt 11.

Zur Datensicherung legen wir täglich eine Kopie der Datenbank und der Fotos auf demselben Server an. Jede Sicherung wird nach 30 Tagen gelöscht.

3. Konto

Ein Konto entsteht nur über eine persönliche Einladung; eine freie Registrierung gibt es nicht. Gespeichert werden deine E-Mail-Adresse, dein Name und dein Passwort, das nur verschlüsselt (gehasht) abgelegt wird. Zur Einladung speichern wir den Einladungscode, wer eingeladen hat, den Namen, den der Einladende dazu notiert hat, und wann die Einladung eingelöst wurde. Wer dich eingeladen hat, sieht in seiner Einladungsliste deinen Namen und das Datum, an dem du dein Konto angelegt hast, aber nicht deine E-Mail-Adresse und keine deiner Daten. Wir nutzen diese Daten, um dich anzumelden und deine Einträge deinem Konto zuzuordnen. Wir verschicken keine Werbe-E-Mails.

Freunde werben: Hat dich jemand eingeladen und schließt du ein bezahltes Premium-Abo ab, vermerkt der Server den Abo-Beginn an der Einladung. Nach Ablauf der 14-tägigen Widerrufsfrist prüft er, ob dein Abo noch besteht; dann bekommt die Person, die dich eingeladen hat, einen Monat Premium. Sie sieht in ihrer Einladungsliste, dass du ein Abo abgeschlossen hast und ab wann die Prämie gilt („Abo, Prämie ab …“, später „Monat geschenkt“); welches Abo, deine Zahlungsdaten oder deine Einträge sieht sie nicht. Hat sie selbst ein laufendes Abo, schreiben wir ihr den Monatsbeitrag über Stripe als Guthaben gut (Abschnitt 10). Damit eine Prämie nicht mehrfach oder für sich selbst ausgelöst wird, fragt der Server vor der Vergabe bei Stripe die Kennungen der Zahlungsmittel ab, mit denen du und die einladende Person bezahlt habt (bei Karten und Lastschrift ein von Stripe vergebener Code, keine Karten- oder Kontonummer). Diese Kennungen speichern wir an der Einladung; die einladende Person sieht sie nicht. Ist es dasselbe Zahlungsmittel wie bei der einladenden Person, gibt es keine Prämie. Hat dasselbe Zahlungsmittel schon einmal eine Prämie ausgelöst, zum Beispiel in einer Familie mit einer gemeinsamen Karte, gibt es die Prämie trotzdem; wir vermerken das an der Einladung und sehen uns den Fall an. Wurde eine deiner Zahlungen erstattet oder zurückgebucht, gibt es keine Prämie; auch das fragt der Server vor der Vergabe bei Stripe ab. Rechtsgrundlage ist die Durchführung des Nutzungsvertrags mit der einladenden Person (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse, Prämien nur für tatsächlich zahlende Mitglieder zu vergeben (Art. 6 Abs. 1 lit. f DSGVO).

Rechtsgrundlage ist die Nutzung der App nach Art. 6 Abs. 1 lit. b DSGVO. Kreidebuch ist für Personen ab 16 Jahren gedacht.

4. Trainings- und Körperdaten

Gespeichert wird, was du einträgst: Workouts, Ergebnisse, Gewichte, Sätze, Notizen, deine Bewertung nach dem Training, geplante Workouts, Vorlagen und Einstellungen. Im Profil kannst du freiwillig Geschlecht und Geburtsjahr angeben; daraus berechnet die App Rx-Gewichte und Richtwerte. Außerdem kannst du dein Körpergewicht, Körpermaße (Umfänge in Zentimetern, Körperfett in Prozent), die Geräte deines Home-Gyms und Tagesziele eintragen (zum Beispiel 50 Push-ups am Tag); bei Tageszielen wird jeder Satz mit Datum und Uhrzeit gespeichert.

Aus deinen Einträgen berechnet die App auf deinem Gerät Auswertungen wie Kraftwert, Muskelbereiche, Wochenbericht und Jahresrückblick. Dafür werden keine zusätzlichen Daten erhoben.

Körpergewicht, Körpermaße, Fortschrittsfotos und Trainingsangaben können Rückschlüsse auf deine Gesundheit zulassen und gelten dann als Gesundheitsdaten. Diese verarbeiten wir nur mit deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die du beim ersten Start der App gibst. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, indem du dein Konto löschst oder uns schreibst.

Deine Einträge sind nur für dich sichtbar. Der Server prüft bei jeder Anfrage, dass nur du auf deine Daten zugreifst. Die Einstufungen der App (zum Beispiel „Fortgeschritten“) sind reine Orientierung; es gibt keine automatisierte Entscheidung mit rechtlicher Wirkung.

5. Fotos, Bilder und Profilbild

Du kannst Fotos an Workouts hängen, Fortschrittsfotos zu deinen Körpermaßen speichern, Bilder an geplante Termine (zum Beispiel einen Screenshot aus der App deiner Box) und ein Profilbild hochladen. Alles ist freiwillig. Fortschrittsfotos zeigen deinen Körper und gehören deshalb zu den Gesundheitsdaten aus Abschnitt 4.

• Fotos werden schon auf deinem Gerät verkleinert und neu gespeichert. Dabei gehen eingebettete Zusatzdaten wie Aufnahmeort (GPS) und Kameramodell verloren.
• Die Dateien sind geschützt: Abrufbar sind sie nur mit einer kurzlebigen Zugangsberechtigung deines eigenen Kontos. Andere Konten sehen sie nicht.
• Löschst du ein Foto, einen Eintrag oder dein Konto, wird die Datei vom Server entfernt (aus den Sicherungen spätestens nach 30 Tagen).

Bitte lade keine Bilder anderer Personen ohne deren Einverständnis hoch.

Als Bild teilen: Bilder für Bestwerte, Workouts, Gewichtsverlauf, Wochenbericht oder Jahresrückblick entstehen auf deinem Gerät und werden nicht hochgeladen. Sie enthalten weder deinen Namen noch dein Körpergewicht; teilst du deinen Gewichtsverlauf, steht nur die Veränderung im gewählten Zeitraum drauf (zum Beispiel „−3,5 kg in 90 Tagen“). Wohin du sie weitergibst (zum Beispiel Instagram oder WhatsApp), entscheidest du; dort gelten die Bedingungen des jeweiligen Dienstes.

6. Workout aus Bild (Texterkennung)

Wenn du ein Workout aus einem Screenshot oder Foto einliest, wird der Text direkt auf deinem Gerät erkannt. Das Programm dafür kommt von unserem Server; das Bild wird dafür nicht hochgeladen. Auf den Server gelangt es nur, wenn du es ausdrücklich an einen Termin hängst.

7. Freigegebene Vorlagen und geteilte Pläne

Gibst du eine Workout-Vorlage frei, sehen alle Personen mit Kreidebuch-Konto das Workout und den Namen aus deinem Profil als Ersteller. Sie können die Vorlage nutzen und kopieren, aber nicht ändern. Die Freigabe kannst du jederzeit wieder ausschalten; deine Ergebnisse bleiben immer privat. Rechtsgrundlage ist deine Einwilligung durch das Freigeben (Art. 6 Abs. 1 lit. a DSGVO).

Teilst du deinen Trainingsplan als Programm (zum Beispiel als Coach für deine Box), sehen alle Personen mit Kreidebuch-Konto den Namen des Programms, deinen Namen aus dem Profil und deine Plantermine (Datum, Workout, Notiz zum Termin und Bilder am Termin). Wer dem Programm folgt, sieht die Termine in seinem eigenen Plan, kann sie aber nicht ändern. Deine Ergebnisse, dein Verlauf und dein Gewicht bleiben privat. Wem du folgst, speichern wir nur in deinem Profil; der Besitzer des Programms sieht nicht, wer folgt. Das Teilen kannst du jederzeit ausschalten, dann sind die Termine sofort nicht mehr sichtbar. Rechtsgrundlage ist deine Einwilligung durch das Teilen (Art. 6 Abs. 1 lit. a DSGVO).

8. Erinnerungen per Push-Mitteilung

Erinnerungen („Heute noch kein Training?“, „Auf die Waage“) sind ausgeschaltet, bis du sie im Profil einschaltest und dein Gerät um Erlaubnis gefragt hat. Dann speichern wir eine Empfangsadresse deines Geräts mit Schlüsseln sowie die gewählten Uhrzeiten und Wochentage.

Schaltest du den Wochenbericht ein, zählt der Server sonntags zur gewählten Uhrzeit deine Trainingstage der Woche und der Vorwoche und schickt dir eine Mitteilung mit diesen Zahlen. Den ganzen Bericht rechnet die App auf deinem Gerät.

Hast du Tagesziele mit Erinnerungszeiten eingerichtet, prüft der Server zu diesen Zeiten, ob das Ziel des Tages schon erreicht ist, und schickt nur dann eine Mitteilung, wenn noch etwas fehlt. Sie nennt Übung und Stand, zum Beispiel „20 von 50 Push-ups“.

Wer Freunde einladen darf, bekommt außerdem eine Mitteilung, sobald sich jemand über einen eigenen Einladungslink registriert hat, und noch einmal, wenn es dafür einen Monat Premium gibt. Sie enthält den Vornamen der neuen Person und lässt sich im Profil unter „Freunde einladen“ abschalten. Auch diese Mitteilung kommt nur, wenn du Mitteilungen auf deinem Gerät erlaubt hast.

Zugestellt werden Mitteilungen über den Push-Dienst des Herstellers deines Browsers bzw. Betriebssystems: Apple (Apple Push Notification Service), Google (Firebase Cloud Messaging) oder Mozilla. Dieser Dienst erhält die Empfangsadresse und die verschlüsselte Mitteilung und kann dabei technische Daten wie die IP-Adresse deines Geräts verarbeiten; eine Verarbeitung in den USA ist möglich. Apple und Google sind nach dem EU-US Data Privacy Framework zertifiziert.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Ausschalten kannst du die Erinnerungen jederzeit im Profil oder in den Einstellungen deines Geräts.

9. Feedback

Schickst du uns über „Feedback senden“ eine Nachricht, speichern wir deinen Text, die gewählte Art (Fehler, Idee, Frage), deinen Namen aus dem Profil, die Seite der App, auf der du warst, die App-Version und die Kennung deines Browsers (Gerätetyp und Version). Trainingsdaten werden nicht mitgeschickt. Lesen können das Feedback nur die Personen, die Kreidebuch betreuen. Wir nutzen es, um Fehler zu beheben und die App zu verbessern. Rechtsgrundlage ist dein Wunsch, dass wir uns darum kümmern (Art. 6 Abs. 1 lit. b DSGVO), und unser berechtigtes Interesse an einer funktionierenden App (Art. 6 Abs. 1 lit. f DSGVO). Feedback wird mit deinem Konto gelöscht.

10. Premium-Abo und Bezahlung (Stripe)

Schließt du Premium ab, läuft die Bezahlung über Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Du gibst deine Zahlungsdaten (zum Beispiel Kartennummer oder Bankverbindung) direkt auf der Bezahlseite von Stripe ein; wir sehen und speichern sie nicht. Stripe erhält von uns deine E-Mail-Adresse, deinen Namen und eine interne Kennung deines Kontos und verarbeitet außerdem die Zahlungsdaten, deine Rechnungsadresse, Angaben zu deinem Gerät und deine IP-Adresse, auch zur Betrugsvorbeugung. Stripe kann Daten in den USA verarbeiten und ist nach dem EU-US Data Privacy Framework zertifiziert. Mehr dazu in der Datenschutzerklärung von Stripe.

Bei uns gespeichert werden nur: welcher Tarif (monatlich oder jährlich), seit wann und bis wann Premium läuft, ob gekündigt ist, die Kennungen von Kunde und Abo bei Stripe und der Zeitpunkt, an dem du beim Abschluss bestätigt hast, mindestens 18 Jahre alt zu sein (Premium gibt es ab 18). Rechnungen und Zahlungen liegen bei Stripe; über „Zahlung und Rechnungen“ im Profil kommst du dorthin.

Rechtsgrundlage ist die Erfüllung des Abo-Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und unsere gesetzliche Pflicht, Rechnungen und Buchungsbelege aufzubewahren (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO, § 257 HGB). Löschst du dein Konto, endet ein laufendes Abo sofort; die Rechnungs- und Zahlungsdaten bei Stripe bleiben wegen dieser Pflicht bis zu zehn Jahre gespeichert.

11. Kündigung ohne Anmeldung

Auf der Webseite unter „Verträge hier kündigen“ kannst du Premium ohne Anmeldung kündigen (§ 312k BGB). Dabei speichern wir, was du eingibst: Name, E-Mail-Adresse, Vertrag, Art der Kündigung, bei einer außerordentlichen Kündigung den Grund und den gewünschten Zeitpunkt, außerdem den Zeitpunkt des Eingangs und einen nicht umkehrbaren Hashwert deiner IP-Adresse, mit dem wir massenhafte Anfragen bremsen. Gibt es zur E-Mail-Adresse ein Konto, verknüpfen wir die Erklärung damit und beenden ein laufendes Abo über Stripe zum Laufzeitende. Die Bestätigung schicken wir an die E-Mail-Adresse des Kontos, sonst an die eingegebene Adresse.

Zweck ist, die Kündigung auszuführen, sie dir zu bestätigen und sie später nachweisen zu können. Rechtsgrundlage ist unsere gesetzliche Pflicht aus § 312k BGB (Art. 6 Abs. 1 lit. c DSGVO) und die Abwicklung deines Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Wir bewahren die Erklärung bis zum Ablauf der regelmäßigen Verjährungsfrist auf, also drei Jahre ab Ende des Jahres, in dem sie eingegangen ist, und löschen sie dann.

12. Videos zu Übungen (YouTube)

Zu Übungen können Videos von YouTube hinterlegt sein, auch solche, die du selbst einträgst. Sie werden erst geladen, wenn du auf „Video abspielen“ tippst; vorher stellt die App keine Verbindung zu YouTube her.

Nach dem Tippen wird das Video über youtube-nocookie.com von der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) geladen. Dabei erhält Google mindestens deine IP-Adresse und Angaben zu deinem Gerät und kann Daten in den USA verarbeiten; Google ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist deine Einwilligung durch das Tippen (Art. 6 Abs. 1 lit. a DSGVO). Mehr dazu in der Datenschutzerklärung von Google.

13. Speicher auf deinem Gerät

Damit die App schnell startet und auch ohne Netz funktioniert, speichert sie auf deinem Gerät:

• deine Anmeldung (ein Zugangsschlüssel, damit du angemeldet bleibst),
• eine Kopie deiner Daten und noch nicht übertragene Einträge (Offline-Modus),
• Einstellungen wie die Timer-Ansicht,
• die Programmdateien der App.

Das ist für die von dir gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Es gibt keine Werbe- oder Analyse-Cookies. Beim Abmelden werden deine Daten von diesem Gerät entfernt.

14. Speicherdauer, Löschen und Export

Deine Daten bleiben gespeichert, solange dein Konto besteht. Einzelne Einträge, Fotos, Termine und Vorlagen kannst du jederzeit selbst löschen.

• Konto löschen: Im Profil unter „Konto löschen“. Dabei werden sofort alle deine Daten entfernt: Workouts, Fotos, Körpergewicht, Körpermaße samt Fortschrittsfotos, Pläne, Vorlagen (auch freigegebene), Feedback und Push-Empfangsadressen. Ein laufendes Abo endet; Rechnungsdaten bei Stripe bleiben wegen der Aufbewahrungspflicht (Abschnitt 10). Aus den Sicherungen verschwinden sie spätestens nach 30 Tagen.
• Daten exportieren: Im Profil unter „Meine Daten exportieren“ bekommst du alle deine Einträge als Datei (JSON) oder als Tabelle (CSV) für Workouts, Lift-Sätze und Körperwerte, zum Beispiel für Excel oder eine andere App (Art. 20 DSGVO).

15. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

16. Änderungen

Wenn sich die App oder die Technik ändert, passen wir diese Erklärung an. Über wesentliche Änderungen informieren wir in der App.

Stand: 21. Oktober 2026