Datenschutzerklärung für HesaFit
1. Verantwortlicher
HesaTech, Hesam Salehi, Torfbruchstraße 83, 40625 Düsseldorf. Kontakt für alle Datenschutzfragen: info@hesatech.de.
2. Kurz gesagt
- Keine Werbung, kein Tracking, keine Analyse-Werkzeuge, kein Verkauf von Daten.
- Deine Daten bleiben auf deinem Gerät, solange du kein Konto mit Sync nutzt.
- Kamerabilder und Fotos werden nur auf deinem Gerät verarbeitet und nie hochgeladen.
- Konto und alle Daten kannst du jederzeit in der App löschen.
3. Welche Daten, wofür, auf welcher Grundlage
Nutzung ohne Konto. Profil, Training, Ernährung, Körper- und Schlafdaten bleiben ausschließlich auf deinem Gerät. Wir erhalten davon nichts.
Konto. E-Mail-Adresse, Name und ein Hash deines Passworts (nie das Passwort selbst), um dein Konto bereitzustellen und Geräte zu synchronisieren. Sechsstellige Codes zur Bestätigung der E-Mail-Adresse und zum Zurücksetzen des Passworts senden wir per E-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).
Gesundheits- und Fitnessdaten. Körpermaße, Gewicht, geschätzter Körperfettanteil, Schlaftagebuch, Training, Ernährung, Schritte und Ergebnisse des Kamera-Coaches. Sie liegen auf deinem Gerät und nur bei einem Konto mit Sync auf unserem Server in Deutschland. Weil es Gesundheitsdaten sind (Art. 9 DSGVO), verarbeiten wir sie auf dem Server nur mit deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du bei der Registrierung erteilst und jederzeit widerrufen kannst, zum Beispiel durch Löschen des Kontos.
Kamera und Fotos. Der Kamera-Coach erkennt deine Haltung und der Plan-Scan erkennt Text vollständig auf deinem Gerät. Bilder und Videos werden weder gespeichert noch übertragen.
Standort (freiwillig). Wenn du es erlaubst, nutzen wir deinen Standort für das Wetter beim Training und für Trainingsorte in der Nähe. Er geht an die Dienste aus Abschnitt 4 und wird von uns nicht gespeichert.
Bewegungssensoren. Schritte und Aktivität werden auf deinem Gerät gezählt.
Käufe. Im Web läuft das Abo über Stripe; wir erhalten deine E-Mail-Adresse und den Abo-Status, nie Kartendaten. In den Apps für Android und iOS kaufst du über Google Play bzw. den Apple App Store; diese wickeln die Zahlung ab, die App prüft den Abo-Status auf deinem Gerät. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Zahlungsbelege bewahren wir nach Steuerrecht auf (Art. 6 Abs. 1 lit. c DSGVO, bis zu 10 Jahre).
KI-Funktionen (freiwillig). Nur mit deiner Einwilligung senden wir Daten ohne Name und E-Mail (zum Beispiel Alter, Ziel, Trainingstage, Übungsliste, deine Frage) über unseren Server an KI-Anbieter, die außerhalb der EU sitzen können, etwa in den USA. Rechtsgrundlage: Art. 6 Abs. 1 lit. a und Art. 49 Abs. 1 lit. a DSGVO.
Server-Protokolle. Wenn die App unseren Server anspricht, werden IP-Adresse, Zeitpunkt und Anfrage kurzzeitig zur Sicherheit verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Gratis-Zeitraum: Damit der kostenlose Zeitraum nur einmal je Person und Gerät genutzt wird, bilden wir aus einer Gerätekennung (auf Android die Geräte-ID der App, auf dem iPhone die Herstellerkennung, im Browser eine Zufallskennung) einen nicht umkehrbaren Fingerabdruck (SHA-256) und speichern ihn mit der Konto-ID und dem Startdatum auf unserem Server in Deutschland. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO); der Zugriff auf die Gerätekennung ist für den von dir angeforderten Gratis-Zeitraum erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die Einträge werden 24 Monate nach Beginn des Zeitraums gelöscht, auch wenn das Konto vorher gelöscht wurde.
4. Empfänger
- Hetzner Online GmbH, Deutschland: Hosting unseres Servers (Auftragsverarbeiter).
- Stripe Payments Europe, Ltd., Irland: Zahlungen im Web.
- Google Ireland Ltd.: Käufe über Google Play.
- Apple Distribution International Ltd., Irland: Käufe über den App Store.
- Porkbun LLC, USA: Versand unserer System-E-Mails (Bestätigungscodes); die Übermittlung ist zur Erbringung des Dienstes erforderlich (Art. 49 Abs. 1 lit. b DSGVO).
- Open-Meteo, Schweiz: Wetter für den gewählten Ort.
- OpenStreetMap Foundation, Vereinigtes Königreich, und die Overpass API: Kartenkacheln und Trainingsorte.
- Open Food Facts, Frankreich: Barcode- und Lebensmittelsuche.
- radio-browser.info und der Radiosender, den du startest: Radiostreams; diese erhalten deine IP-Adresse.
- KI-Anbieter: nur mit Einwilligung, siehe Abschnitt 3.
5. Speicherdauer
Daten auf deinem Gerät bleiben, bis du sie oder die App löschst. Kontodaten speichern wir bis zur Löschung des Kontos; danach entfernen wir sie vom Server, Sicherungen werden im regulären Sicherungszyklus überschrieben. Zahlungsbelege bewahren wir so lange auf, wie das Steuerrecht es verlangt.
6. Deine Rechte
Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und auf jederzeitigen Widerruf einer Einwilligung. Schreib an info@hesatech.de. Du kannst dich bei einer Aufsichtsbehörde beschweren, zum Beispiel bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.
7. Konto löschen
In der App: Profil → „Konto und alle Daten löschen“. Oder per E-Mail beantragen: siehe konto-loeschen.html.
8. Kinder
HesaFit richtet sich nicht an Kinder unter 16 Jahren. Wir erheben wissentlich keine Daten von Kindern.
9. Sicherheit
Alle Verbindungen sind per TLS verschlüsselt. Passwörter speichern wir nur als Hash. Wir erheben nur die Daten, die die genutzten Funktionen brauchen.
10. Änderungen
Wir passen diese Erklärung an, wenn sich die App ändert. Die aktuelle Fassung steht immer unter dieser Adresse.