Datenschutzerklärung

1. Verantwortlicher

2. Allgemeines

Wir nehmen den Schutz Ihrer personenbezogenen Daten sehr ernst. Personenbezogene Daten werden ausschließlich im Rahmen der gesetzlichen Datenschutzvorschriften (insbesondere DSGVO) verarbeitet. Diese Datenschutzerklärung gilt sowohl für die Apps Eisbaden (iOS und Android) als auch für die Website eisbaden.app.

3. Bereitstellung der Website (Webserver-Logfiles)

Beim Aufruf unserer Website werden durch unseren Hosting-Anbieter Hetzner (Server in Deutschland) automatisch Daten in sogenannten Server-Logfiles erfasst, die Ihr Browser an unseren Server übermittelt:

• IP-Adresse des aufrufenden Geräts (gekürzt / anonymisiert)
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL und HTTP-Statuscode
• Übertragene Datenmenge
• Browser-Typ, Browser-Version und Betriebssystem
• Referrer-URL (zuvor besuchte Seite)

Die Verarbeitung erfolgt zur Sicherstellung des stabilen, sicheren Betriebs der Website sowie zur Abwehr und Aufklärung von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Logfiles werden nach maximal 14 Tagen gelöscht, sofern kein konkreter Sicherheitsvorfall eine längere Speicherung erfordert.

4. Kontaktformular auf der Website

Auf der Seite eisbaden.app/kontakt bieten wir ein Kontaktformular an. Bei dessen Nutzung werden folgende Daten verarbeitet:

• Name (Pflichtfeld)
• E-Mail-Adresse (Pflichtfeld)
• Betreff und Nachricht
• Zeitstempel der Übermittlung

Die Nachrichten werden per E-Mail über unseren SMTP-Provider IONOS (Server in Deutschland) an unsere Kontakt-E-Mail-Adresse zugestellt und dort wie jede andere E-Mail an uns bearbeitet (siehe Abschnitt 4.1). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfrage) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Die übermittelten Daten werden gelöscht, sobald der Anlass der Korrespondenz entfallen ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen, spätestens jedoch nach den in Abschnitt 4.1 genannten Fristen.

Zur Abwehr automatisierter Spam-Anfragen setzen wir ein Honeypot-Feld sowie eine Mindestzeitprüfung ein. Personenbezogene Daten werden hierbei nicht verarbeitet.

4.1 E-Mails an uns und KI-gestützte Bearbeitung

E-Mails an unsere Adressen (z. B. info@eisbaden.app) einschließlich der Nachrichten aus dem Kontaktformular werden von unserem Postfach bei IONOS (Server in Deutschland) abgerufen und auf einem von uns betriebenen Server bei Hetzner (Deutschland) gespeichert und bearbeitet. Verarbeitet werden dabei Absender (Name, E-Mail-Adresse), Betreff, Nachrichtentext, Zeitpunkt sowie unsere Antworten.

Damit dringende Anliegen nicht untergehen, ordnet ein KI-System eingehende E-Mails nach Dringlichkeit ein und schlägt Antworten vor. Dazu werden Absender, Betreff und Nachrichtentext an unseren Dienstleister Anthropic (Anthropic PBC, USA) übermittelt; eine Nutzung zum Training von Modellen findet vertragsgemäß nicht statt. Antworten werden immer von uns geprüft und freigegeben, bevor sie versendet werden; eine automatisierte Entscheidung mit rechtlicher Wirkung findet nicht statt. Bei dringenden Nachrichten werden wir telefonisch benachrichtigt; dabei kann der Inhalt über den Sprachdienst ElevenLabs (ElevenLabs Inc., USA) vorgelesen und über unseren Telefonanbieter easybell (easybell GmbH, Deutschland) übertragen werden. Mit Anthropic und ElevenLabs bestehen Auftragsverarbeitungsverträge einschließlich EU-Standardvertragsklauseln (siehe Abschnitt 13).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Nachricht auf einen Vertrag oder eine vorvertragliche Maßnahme gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen und zuverlässigen Beantwortung). Sie können der KI-gestützten Bearbeitung jederzeit widersprechen (siehe Abschnitt 16); wir bearbeiten Ihre Nachrichten dann ausschließlich manuell.

Speicherdauer: Auf unserem Server werden die Nachrichten 12 Monate nach der letzten Nachricht des jeweiligen Vorgangs automatisch gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten (z. B. für Handelsbriefe) bestehen. Sie können die Löschung jederzeit vorher verlangen.

5. Local Storage, Schriftarten und App-Demo auf der Website

Unsere Website verwendet den Browser-internen Local Storage, um Ihre Anzeigeeinstellungen (z. B. heller / dunkler Modus, Schlüssel eb-theme) auf Ihrem Gerät zu speichern. Diese Daten verlassen Ihr Gerät nicht und werden nicht an uns übermittelt. Sie können den Local Storage jederzeit über Ihre Browser-Einstellungen löschen.

Die auf der Website verwendeten Schriftarten (Geist, Geist Mono) werden lokal von unserem eigenen Server ausgeliefert. Beim Aufruf unserer Seiten wird keine Verbindung zu Servern von Google (Google Fonts) oder anderen Schriftarten-Anbietern aufgebaut.

Die interaktive App-Demo auf der Startseite zeigt Live-Wetterdaten für einen fest voreingestellten Beispiel-Standort (Bodensee). Dazu ruft Ihr Browser die Wetterwerte direkt bei Open-Meteo ab; technisch bedingt wird dabei Ihre IP-Adresse an Open-Meteo übermittelt. Weitere Daten werden nicht übertragen; Ihr eigener Standort wird weder abgefragt noch verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionsfähigen Produkt-Demo). Nutzungsbedingungen von Open-Meteo: open-meteo.com/terms.

6. Verarbeitete Datenarten (App)

6.1 Account-Daten und Anmeldung

• E-Mail-Adresse
• Benutzername (optional)
• Anzeigename (optional)
• Profilbild (optional)
• Geschlecht und Geburtsdatum (optional)

Die Registrierung ist mit E-Mail-Adresse und Passwort oder über „Mit Apple anmelden" bzw. „Mit Google anmelden" möglich. Bei der Anmeldung über Apple oder Google erhalten wir vom jeweiligen Anbieter Ihre E-Mail-Adresse (bei Apple auf Wunsch eine anonymisierte Weiterleitungsadresse) sowie ggf. Ihren Namen. Weitere Daten aus Ihrem Apple- bzw. Google-Konto erhalten wir nicht. Für den Anmeldevorgang selbst ist der jeweilige Anbieter datenschutzrechtlich verantwortlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

6.2 Session-Daten (Eisbad-Einträge)

• Datum und Uhrzeit der Session
• Dauer in Sekunden
• Wassertemperatur (optional)
• Lufttemperatur (optional)
• Standortname / Gewässername (optional)
• GPS-Koordinaten (optional, bei Standortfreigabe)
• Herzfrequenz während der Session (optional; Durchschnitts-, Minimal- und Maximalwert, sofern über Apple Watch oder Garmin erfasst, inkl. Angabe des erfassenden Geräts)
• Fotos (optional, vom Nutzer hochgeladen)
• Sichtbarkeitseinstellung (privat, Freunde, öffentlich)

Session-Daten werden auf unseren Servern bei Supabase (EU, Frankfurt) gespeichert, damit sie geräteübergreifend verfügbar sind und je nach Sichtbarkeitseinstellung mit Freunden geteilt werden können. Herzfrequenzwerte sind Gesundheitsdaten im Sinne von Art. 9 DSGVO; ihre Speicherung erfolgt nur, wenn Sie die Erfassung aktiv aktiviert haben (Apple-Health-Freigabe bzw. Garmin-Verbindung), auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Sie können einzelne Sessions jederzeit löschen; damit werden auch die zugehörigen Herzfrequenzwerte gelöscht.

6.3 Apple HealthKit / Gesundheitsdaten

Mit Ihrer ausdrücklichen Einwilligung kann die App Gesundheitsdaten aus Apple Health (HealthKit) lesen und schreiben, insbesondere:

• Herzfrequenz während Eisbad-Sessions
• Eisbad-Sessions als Workout-Daten

Wichtige Hinweise gemäß Apple HealthKit-Richtlinien:

• HealthKit-Daten werden nicht an Dritte weitergegeben, verkauft oder zu Werbe-/Marketingzwecken genutzt.
• Die HealthKit-Datenbank selbst verbleibt auf Ihrem Gerät. Wird während einer Session eine Herzfrequenz erfasst (z. B. über die Apple Watch), speichern wir ausschließlich die zusammengefassten Werte (Durchschnitt, Minimum, Maximum) mit der jeweiligen Session auf unseren Servern in der EU (siehe Abschnitt 6.2), auf Grundlage Ihrer ausdrücklichen Einwilligung.
• HealthKit-Daten werden nicht für Data-Mining, Profiling oder Werbung verwendet.
• Die Einwilligung kann jederzeit in den iOS-Einstellungen unter Datenschutz > Health widerrufen werden.

6.4 Apple Watch (watchOS)

Die Eisbaden-App bietet eine Apple Watch Companion-App. Dabei werden folgende Daten verarbeitet:

• Session-Start und -Stopp direkt von der Apple Watch
• Herzfrequenzdaten während aktiver Sessions (über HealthKit)
• Komplikationen und Live Activities zur Anzeige laufender Sessions

Daten werden zwischen iPhone und Apple Watch über die systemeigene Watch Connectivity synchronisiert; diese Synchronisation erfolgt lokal und nicht über unsere Server. Während einer Session erfasste Herzfrequenzwerte werden anschließend als Teil der Session gespeichert (siehe Abschnitt 6.2).

6.5 Garmin Connect

Die App bietet eine optionale Integration mit Garmin Connect. Bei Aktivierung durch den Nutzer werden folgende Daten verarbeitet:

• Authentifizierung über Garmin Connect OAuth (PKCE-Verfahren)
• Synchronisation von Eisbade-Sessions von der Garmin-Uhr; übernommen werden Zeitpunkt, Dauer sowie Herzfrequenz (Durchschnitt und Maximum, siehe Abschnitt 6.2)
• Garmin-Benutzerkennung zur Zuordnung der Verbindung

Hinweise:

• Die Verbindung kann jederzeit in der App unter Einstellungen getrennt werden.
• Bei Trennung werden die gespeicherten Garmin-Zugangsdaten gelöscht.
• Kann eine von Garmin übermittelte Aktivität nicht sofort übernommen werden (z. B. bei einer Störung oder ohne aktives Premium-Abo), speichern wir die von Garmin übermittelten Aktivitätsdaten vorübergehend, um die Übernahme automatisch nachzuholen. Diese Daten werden nach erfolgreicher Übernahme spätestens nach 30 Tagen, nach endgültigem Scheitern nach 90 Tagen und, sofern sie auf ein Premium-Abo warten, nach 180 Tagen gelöscht.
• Garmin ist ein eigenständiger Verantwortlicher für Daten innerhalb der Garmin-Plattform. Die Datenschutzerklärung von Garmin finden Sie unter garmin.com/privacy.

6.6 Wetterdaten

Die App zeigt aktuelle Wetterdaten (Lufttemperatur, Wetterbeschreibung) bei Eisbad-Sessions an. Auf iOS wird hierfür Apple WeatherKit genutzt; dabei wird der ungefähre Standort an Apple übermittelt, es gelten die Datenschutzrichtlinien von Apple. Auf Android wird Open-Meteo genutzt; dabei werden die ungefähren Standortkoordinaten an Open-Meteo übermittelt, es gelten die Nutzungsbedingungen von Open-Meteo. Die Wetterdaten dienen ausschließlich der Anzeige und werden nicht für Tracking verwendet.

6.7 Standortdaten

Mit Ihrer Zustimmung kann die App Standortdaten verarbeiten, um:

• Wetterdaten für den aktuellen Standort abzurufen
• Gewässer in der Nähe zu erkennen (via Apple MapKit, Radius 500 m)
• Eisbad-Sessions einem Ort zuzuordnen
• Clubs in der Nähe anzuzeigen

Die Standortfreigabe ist freiwillig und kann jederzeit in den Geräteeinstellungen (iOS bzw. Android) widerrufen werden.

6.8 Nutzungs- und Gerätedaten

• Gerätetyp (z. B. iPhone, Apple Watch, Garmin-Modell)
• Betriebssystem-Version
• App-Version
• Push-Notification-Token (für Benachrichtigungen)

6.9 Crash Reporting (Sentry)

Zur Verbesserung der App-Stabilität nutzen wir Sentry (Functional Software, Inc.) zur Erfassung von Absturzberichten und Fehlermeldungen. Dabei werden verarbeitet:

• Gerätetyp und Betriebssystem
• App-Version und Build-Nummer
• Stack-Traces und Fehlermeldungen
• Zeitstempel des Fehlers

Es werden keine personenbezogenen Inhalte (wie Benutzernamen, E-Mails oder Session-Daten) an Sentry übermittelt; die Übermittlung von IP-Adressen und ähnlichen Kennungen ist in der App deaktiviert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Fehlerbehebung). Weitere Informationen: sentry.io/privacy.

6.10 Push-Benachrichtigungen

Mit Ihrer Zustimmung sendet die App Push-Benachrichtigungen (z. B. bei Reaktionen, Kommentaren, Freundschaftsanfragen oder Club-Aktivitäten). Der Versand erfolgt auf iOS über den Apple Push Notification Service (APNs) und auf Android über Firebase Cloud Messaging (FCM), einen Dienst der Google Ireland Ltd. bzw. Google LLC. Dazu speichern wir das Push-Token Ihres Geräts, verknüpft mit Ihrem Account. Inhalte der Benachrichtigungen werden über die Server von Apple bzw. Google zugestellt. Push-Benachrichtigungen können jederzeit in den Systemeinstellungen oder in den App-Einstellungen deaktiviert werden; das Token wird bei Abmeldung bzw. Account-Löschung entfernt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

6.11 Käufe (Eisbaden Premium)

Premium-Funktionen können über In-App-Käufe im Apple App Store (iOS) bzw. bei Google Play (Android) erworben werden. Die Zahlungsabwicklung erfolgt vollständig durch Apple bzw. Google als eigenständige Verantwortliche; wir erhalten keine Zahlungsdaten (keine Kreditkarten- oder Kontodaten). Zur Prüfung und Zuordnung eines Kaufs verarbeiten und speichern wir die von Apple bzw. Google bereitgestellte Transaktions- bzw. Kaufkennung, den Produktnamen, den Kaufzeitpunkt und den Premium-Status Ihres Accounts. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

6.12 System-E-Mails (Registrierung, Passwort zurücksetzen)

Für den Versand von System-E-Mails aus der App (z. B. Registrierungsbestätigung, Passwort zurücksetzen, E-Mail-Adresse ändern) nutzen wir den Dienst Resend (Resend, Inc., USA). Verarbeitet werden dabei Ihre E-Mail-Adresse sowie der Inhalt der jeweiligen Systemnachricht. Mit Resend besteht ein Auftragsverarbeitungsvertrag einschließlich EU-Standardvertragsklauseln (siehe Abschnitt 13). E-Mails über das Kontaktformular der Website laufen hiervon unabhängig über IONOS (siehe Abschnitt 4). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

6.13 Newsletter

Wenn du dich für unseren Newsletter anmeldest (in der App unter Einstellungen oder auf eisbaden.app/newsletter), schicken wir dir Tipps, Aktionen und Neuigkeiten rund ums Eisbaden per E-Mail, höchstens einmal im Monat. Verarbeitet werden deine E-Mail-Adresse, bei Anmeldung in der App die Zuordnung zu deinem Konto, die gewählte Sprache sowie zum Nachweis deiner Einwilligung der Zeitpunkt der Anmeldung und der Bestätigung, die Version des Einwilligungstextes und die Quelle der Anmeldung (App oder Website).

Wir nutzen das Double-Opt-in-Verfahren: Nach der Anmeldung bekommst du eine E-Mail mit einem Bestätigungslink. Erst nach dem Klick darauf bist du angemeldet. Ohne Bestätigung senden wir dir keinen Newsletter.

Du kannst deine Einwilligung jederzeit widerrufen: über den Abmeldelink in jeder Newsletter-Mail, in der App unter Einstellungen oder per E-Mail an info@eisbaden.app. Wir werten nicht aus, ob oder wann du eine Mail öffnest oder Links anklickst. Der Versand erfolgt über Resend (siehe Abschnitte 6.12 und 13). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); für den Nachweis der Einwilligung Art. 6 Abs. 1 lit. c und f DSGVO.

7. Social Media Sharing

Nutzer können ihre Eisbad-Sessions als Bild/Story teilen. Dabei stellt die App ein Bild zusammen, das über die systemeigene Teilen-Funktion (iOS Share Sheet) an folgende Dienste geteilt werden kann:

• Instagram (Story oder Feed-Beitrag)
• Facebook (Story oder Feed-Beitrag)
• Weitere Apps, die das iOS Share Sheet unterstützen

Hinweise:

• Das Teilen ist vollständig freiwillig und wird ausschließlich vom Nutzer ausgelöst.
• Die App übermittelt keine Daten direkt an Facebook oder Instagram. Die Übertragung erfolgt ausschließlich über das Betriebssystem (iOS Share Sheet).
• Sobald Inhalte auf einer Social-Media-Plattform veröffentlicht werden, gelten die Datenschutzbestimmungen des jeweiligen Anbieters:
  • Instagram Datenschutzrichtlinie
  • Facebook Datenschutzrichtlinie

7.1 Direktnachrichten an unser Instagram-Konto

Wenn Sie uns über Instagram (@eisbaden.app) eine Direktnachricht schreiben, erhalten wir diese über die offizielle Schnittstelle von Meta (Instagram API) auf einem von uns betriebenen Server. Verarbeitet werden dabei:

• Ihre Instagram-interne Nutzerkennung sowie Name und Benutzername laut Ihrem Instagram-Profil
• der Text Ihrer Nachricht und der Zeitpunkt
• Hinweise auf Anhänge (z. B. „Bild“ oder „Sprachnachricht“) – die Anhänge selbst speichern wir nicht
• unsere Antworten an Sie

Zweck: Beantwortung Ihrer Anfrage. Damit dringende Anliegen nicht untergehen, ordnet ein KI-System Ihre Nachricht nach Dringlichkeit ein und schlägt eine Antwort vor. Dazu werden der Nachrichtentext und Ihr Name an unseren Dienstleister Anthropic (Anthropic PBC, USA) übermittelt; eine Nutzung zum Training von Modellen findet vertragsgemäß nicht statt (siehe Abschnitt 13). Antworten werden immer von uns geprüft und freigegeben, bevor sie versendet werden; eine automatisierte Entscheidung mit rechtlicher Wirkung findet nicht statt. Bei dringenden Nachrichten werden wir zusätzlich telefonisch benachrichtigt. Dabei kann der Inhalt über den Sprachdienst ElevenLabs (ElevenLabs Inc., USA) vorgelesen und über unseren Telefonanbieter easybell (easybell GmbH, Deutschland) übertragen werden. Mit Anthropic und ElevenLabs bestehen Auftragsverarbeitungsverträge einschließlich EU-Standardvertragsklauseln (siehe Abschnitt 13).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf einen Vertrag oder eine vorvertragliche Maßnahme gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen und zuverlässigen Beantwortung). Wenn Sie keine Verarbeitung durch einen KI-Dienst wünschen, schreiben Sie uns bitte per E-Mail an info@eisbaden.app oder widersprechen Sie der Verarbeitung (siehe Abschnitt 16).

Speicherdauer und Löschung: Die Nachrichten werden 12 Monate nach der letzten Nachricht des jeweiligen Gesprächs automatisch gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Sie können die Löschung jederzeit vorher verlangen – per E-Mail an info@eisbaden.app oder per Direktnachricht mit dem Text „Daten löschen“. Wir löschen die Daten innerhalb von 30 Tagen und bestätigen Ihnen die Löschung. Für die Nachrichten in Ihrem und unserem Instagram-Postfach ist Meta selbst verantwortlich; hierfür gilt die Instagram Datenschutzrichtlinie.

8. Community-Funktionen

Die App bietet soziale Funktionen wie:

• Freundschaften und Feed (Sessions mit Freunden teilen)
• Kommentare und Reaktionen auf Sessions
• Clubs mit Posts, Events und Umfragen
• Teilnahme an Club-Events: Zu- und Absagen, Check-in vor Ort durch das Orga-Team oder Sie selbst sowie die Verknüpfung einer Eisbad-Session mit dem Event, an dem Sie teilgenommen haben (auch automatisch, wenn Sie zugesagt haben und die Session in den Event-Zeitraum fällt). Teilnehmerzahl und Spendenstand eines Events sind für Mitglieder des Clubs sichtbar; Organisatoren können die Teilnehmerliste (Name, Benutzername, Status, Check-in) exportieren.
• Nachrichten des Orga-Teams an alle Zugesagten eines Events (als Benachrichtigung)
• Kalender-Abo: Auf Wunsch erzeugen wir einen persönlichen, geheimen Link, über den Ihre Kalender-App die Termine Ihrer Clubs abruft. Der Link kann in den Einstellungen jederzeit erneuert werden; der alte wird dann ungültig.
• Melden von Kommentaren und Nutzern
• Blockieren von Nutzern

Von Nutzern erstellte Inhalte (Kommentare, Posts, Fotos) sind je nach Sichtbarkeitseinstellung für andere Nutzer sichtbar. Gemeldete Inhalte werden von uns geprüft und ggf. entfernt.

8.1 Automatisierte Reaktionen im offiziellen Eisbaden-Club

Im offiziellen Eisbaden.app-Club kann der offizielle Eisbaden.app-Account auf Kommentare automatisiert reagieren (z. B. mit einem Like oder einer kurzen Begrüßung neuer Mitglieder). Zur technischen Erstellung dieser Antworten werden der Benutzername und der Kommentartext an unseren Dienstleister Anthropic (Anthropic PBC, USA) übermittelt und dort ausschließlich zur Erstellung der jeweiligen Antwort verarbeitet; eine Nutzung zum Training von Modellen findet vertragsgemäß nicht statt. Es besteht ein Auftragsverarbeitungsvertrag einschließlich EU-Standardvertragsklauseln (siehe Abschnitt 13). Diese Funktion betrifft nur Kommentare im offiziellen Club, nicht private Inhalte oder Sessions. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer aktiven, betreuten Community). Sie können dieser Verarbeitung jederzeit widersprechen (siehe Abschnitt 16).

9. Zwecke der Datenverarbeitung

• Bereitstellung der App-Funktionen (Sessions, Feed, Clubs, Events)
• Darstellung und Auswertung von Eisbad-Sessions und Statistiken
• Synchronisation mit Apple Health und Garmin Connect (bei Einwilligung)
• Anzeige von Wetterdaten (Apple WeatherKit / Open-Meteo)
• Versand von Push-Benachrichtigungen (bei Einwilligung)
• Abwicklung und Prüfung von Premium-Käufen (App Store / Google Play)
• Versand von System-E-Mails (Registrierung, Passwort zurücksetzen)
• Automatische Antworten des offiziellen Accounts im offiziellen Club (siehe Abschnitt 8.1)
• Beantwortung von E-Mails und Direktnachrichten an unser Instagram-Konto, einschließlich KI-gestützter Einordnung und Antwortvorschläge (siehe Abschnitte 4.1 und 7.1)
• Verbesserung der App-Stabilität (Sentry Crash Reporting)

10. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung (HealthKit, Standort, Push, Garmin, Newsletter)
• Art. 9 Abs. 2 lit. a DSGVO: Ausdrückliche Einwilligung bei Gesundheitsdaten
• Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung (Account, Sessions, Community, vertragsbezogene Anfragen per E-Mail oder Instagram)
• Art. 6 Abs. 1 lit. f DSGVO: Berechtigtes Interesse (Crash Reporting, Sicherheit, automatische Club-Antworten, Beantwortung sonstiger E-Mails und Instagram-Direktnachrichten, Lösch-Nachweis)

11. Hosting & Auftragsverarbeitung

Unsere zentrale Infrastruktur wird bei folgenden Dienstleistern betrieben:

• Supabase (Datenbank, Authentifizierung, Dateispeicher). Server in der EU (Frankfurt). Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO liegt vor.
• Hetzner (Webhosting der Website sowie unser Server für die Bearbeitung von E-Mails und Instagram-Direktnachrichten, siehe Abschnitte 4.1 und 7.1). Server in Deutschland.

Weitere Dienstleister setzen wir nur für einzelne Funktionen ein; sie sind jeweils dort beschrieben: E-Mail-Versand des Kontaktformulars (Abschnitt 4), Crash Reporting (Abschnitt 6.9), Push-Benachrichtigungen (Abschnitt 6.10), System-E-Mails (Abschnitt 6.12) automatische Antworten im offiziellen Club (Abschnitt 8.1) sowie die Bearbeitung von E-Mails und Instagram-Direktnachrichten (Abschnitte 4.1 und 7.1). Die Verbindung von Meta zu unserem Server für Instagram-Direktnachrichten wird über den Dienst Tailscale (Tailscale Inc., USA) verschlüsselt durchgeleitet; Tailscale hat dabei keinen Zugriff auf die Inhalte. Mit allen Dienstleistern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO.

12. Weitergabe von Daten

Eine Weitergabe personenbezogener Daten an Dritte erfolgt nur:

• An technisch notwendige Dienstleister (siehe Abschnitt 11)
• Wenn der Nutzer dies aktiv auslöst (z. B. Social Media Sharing)
• Bei Garmin Connect: im Rahmen der OAuth-Authentifizierung

Ein Verkauf von Daten findet nicht statt. Es werden keine Daten zu Werbe- oder Marketingzwecken an Dritte weitergegeben.

13. Übermittlung in Drittländer

Eine Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union (sogenannte Drittländer) findet nur in eingeschränktem Umfang und unter folgenden Voraussetzungen statt:

• Sentry (Crash Reporting): Die Verarbeitung kann auch auf Servern in den USA stattfinden. Sentry ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Ergänzend wurden mit Sentry die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO abgeschlossen.
• Apple (HealthKit, WeatherKit, Push-Benachrichtigungen über APNS, In-App-Käufe): Apple Inc. hat ihren Sitz in den USA und ist nach dem EU-U.S. Data Privacy Framework zertifiziert.
• Google (Google Sign-In, Firebase Cloud Messaging, Google Play): Google LLC hat ihren Sitz in den USA und ist nach dem EU-U.S. Data Privacy Framework zertifiziert.
• Resend (System-E-Mails und Newsletter): Resend, Inc. hat ihren Sitz in den USA. Es bestehen EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.
• Anthropic (automatische Club-Antworten, Einordnung von E-Mails und Instagram-Direktnachrichten): Anthropic PBC hat ihren Sitz in den USA. Es bestehen EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO (Data Processing Addendum).
• ElevenLabs (Sprachausgabe bei telefonischen Benachrichtigungen, Abschnitte 4.1 und 7.1): ElevenLabs Inc. hat ihren Sitz in den USA. Es bestehen EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.
• Garmin (Garmin Connect): Daten können auch in den USA verarbeitet werden. Es gelten die Standardvertragsklauseln sowie die Datenschutzerklärung von Garmin.

Soweit eine Übermittlung in Drittländer stattfindet, stellen wir durch geeignete Garantien (Standardvertragsklauseln, Zertifizierungen) ein angemessenes Datenschutzniveau gemäß Kapitel V DSGVO sicher.

14. Speicherdauer

Personenbezogene Daten werden gespeichert, solange ein Nutzerkonto besteht. Nach Löschung des Accounts werden die Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Die Account-Löschung ist direkt in der App möglich (Einstellungen → Account → Account löschen).

Garmin: Vorübergehend gespeicherte Garmin-Aktivitätsdaten für das automatische Nachholen werden nach 30 Tagen (übernommen), 90 Tagen (endgültig gescheitert) bzw. 180 Tagen (wartend auf ein Premium-Abo) gelöscht, spätestens mit dem Konto (siehe Abschnitt 6.5).

E-Mails und Instagram-Direktnachrichten: 12 Monate nach der letzten Nachricht des jeweiligen Vorgangs bzw. Gesprächs, früher auf Ihren Wunsch und vorbehaltlich gesetzlicher Aufbewahrungspflichten (siehe Abschnitte 4.1 und 7.1).

Nach einer Account-Löschung speichern wir für 90 Tage einen minimalen Lösch-Nachweis (E-Mail-Adresse, Benutzername, Zeitpunkt der Löschung). Dieser dient ausschließlich dem Nachweis der Löschung sowie der Missbrauchsvermeidung und wird danach automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Newsletter: Deine Daten speichern wir, solange du angemeldet bist. Nach einer Abmeldung bewahren wir den Nachweis deiner früheren Einwilligung (E-Mail-Adresse, Zeitpunkte, Textversion) noch bis zu drei Jahre auf, um belegen zu können, dass der Versand rechtmäßig war; deine Adresse wird in dieser Zeit für keinen Versand mehr genutzt. Nicht bestätigte Anmeldungen löschen wir nach 30 Tagen.

15. Konto und Daten löschen

Sie können Ihr Nutzerkonto und alle zugehörigen Daten jederzeit selbst löschen. Mit der Löschung werden Ihr Profil, Ihre Sessions, Fotos, Kommentare und Reaktionen unwiderruflich entfernt. Von Ihnen angelegte Clubs und Club-Events gehören der jeweiligen Gruppe: Sie bleiben bestehen und werden an den nächsten Admin bzw. das älteste Mitglied übertragen; nur Clubs ohne weitere Mitglieder werden mit gelöscht. Dafür gibt es drei Wege:

• In der App: Profil → Einstellungen (Zahnrad) → „Account löschen".
• Im Browser: über eisbaden.app/konto-loeschen.html (für Konten mit E-Mail und Passwort).
• Per E-Mail: falls Sie sich mit Apple oder Google angemeldet haben oder keinen App-Zugriff mehr haben, an info@eisbaden.app.

Nach der Löschung werden verbliebene Kopien aus technischen Backups innerhalb von 30 Tagen entfernt, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Eine ausführliche Anleitung mit allen Schritten finden Sie unter eisbaden.app/konto-loeschen.html.

16. Rechte der betroffenen Personen

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO): Welche Daten über Sie gespeichert sind
• Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger Daten
• Löschung (Art. 17 DSGVO): Löschung Ihrer Daten / Ihres Accounts
• Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO): Export Ihrer Daten
• Widerspruch (Art. 21 DSGVO): Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (z. B. Crash Reporting, Webserver-Logfiles)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO): Eine bereits erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter info@eisbaden.app. Die Ausübung dieser Rechte ist für Sie unentgeltlich.

17. Minderjährige

Die App richtet sich an Personen ab 16 Jahren. Es werden wissentlich keine Daten von Kindern unter 16 Jahren verarbeitet.

18. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, insbesondere bei neuen Funktionen oder geänderten rechtlichen Anforderungen. Über wesentliche Änderungen werden Nutzer in der App informiert.

19. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren: