DATENSCHUTZERKLÄRUNG

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Nikhil Dingra
Lassallestr. 51
21073 Hamburg
Deutschland

Telefon: +49 152 03285557
E-Mail: info@fitwithnikhil.de

2. Übersicht der Verarbeitungen

FitWithNikhil ist eine App für individuelles Fitness- und Ernährungscoaching. Um dir einen persönlichen Trainings- und Ernährungsplan zu erstellen und laufend anzupassen, verarbeiten wir zwangsläufig Angaben zu deinem Körper, deinem Training, deiner Ernährung und - falls du sie hochlädst - Fotos zu deinem Fortschritt. Diese Erklärung beschreibt, welche Daten das im Einzelnen sind, wofür wir sie nutzen und an wen sie ggf. weitergegeben werden.

3. Registrierung und Nutzerkonto

Bei der Registrierung erheben wir deinen Namen, deine E-Mail-Adresse und ein von dir gewähltes Passwort (verschlüsselt gespeichert). Alternativ kannst du dich über Google anmelden (OAuth) - dabei erhalten wir von Google Name und E-Mail-Adresse deines Google-Kontos, jedoch keine weiteren Daten und keinen Zugriff auf dein Google-Konto selbst.

Die technische Grundlage für Login und Datenspeicherung ist der Dienst Supabase (Supabase Inc.). Ein Auftragsverarbeitungsvertrag mit Supabase liegt vor. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung - ohne Konto keine Nutzung der App möglich).

4. Betreuung durch selbstständige Coaches

FitWithNikhil kann auch von anderen, selbstständigen Trainerinnen und Trainern genutzt werden, die ihre eigenen Klientinnen und Klienten über diese App betreuen. Ob das auf dich zutrifft, erkennst du daran, dass in der App der Name und ggf. das Logo deines Coaches erscheint und du dich über dessen Einladungslink registriert hast.

Wirst du von einem solchen Coach betreut, gilt Folgendes:

• Dein Coach kann die Daten einsehen, die im Rahmen der Betreuung anfallen: deinen Namen und deine E-Mail-Adresse, deine Angaben aus dem Onboarding, deine Trainings-, Ernährungs- und Supplementpläne, deine geloggten Trainings- und Ernährungsdaten, Gewicht und Körpermaße, von dir hochgeladene Fortschrittsfotos, dein Feedback sowie euren Chatverlauf.
• Andere Coaches haben keinen Zugriff auf deine Daten. Der Zugriff ist technisch auf die jeweils eigenen Klientinnen und Klienten beschränkt.
• Zahlungen laufen in diesem Fall über das Stripe-Konto deines Coaches. Deine E-Mail-Adresse wird dabei an dieses Konto übermittelt.
• Vereinbart dein Coach einen Online-Termin mit dir, wird dieser in seinem Google-Kalender angelegt (siehe Abschnitt 12).

Für die Betreuung selbst - also die Beratung, die Erstellung und Anpassung deiner Pläne und die Entscheidung, welche Angaben dafür erhoben werden - ist dein Coach verantwortlich. Wir stellen ihm dafür die technische Plattform bereit und verarbeiten deine Daten in diesem Rahmen für ihn. Bei Fragen zu deinen Daten kannst du dich sowohl an deinen Coach als auch an uns wenden.

Wirst du nicht über einen solchen Einladungslink betreut, sondern direkt von FitWithNikhil, sind wir dein Ansprechpartner und alleiniger Verantwortlicher - dieser Abschnitt ist dann für dich nicht einschlägig.

5. Gesundheits- und Trainingsdaten (besondere Kategorie personenbezogener Daten)

Im Rahmen des Onboardings und der laufenden Nutzung erhebst du selbst und wir speichern u.a.: Alter, Größe, Gewicht, geschätzten Körperfettanteil, Trainingsziel, Trainingserfahrung, Trainingsort, Verletzungen/Einschränkungen, Ernährungsform, Unverträglichkeiten, Schlaf- und Stresslevel sowie alle geloggten Trainings- und Ernährungsdaten (Sätze, Gewichte, Wiederholungen, Mahlzeiten, Kalorien, Wasserzufuhr). Lädst du freiwillig Fortschrittsfotos hoch, werden auch diese gespeichert.

Diese Angaben sind teilweise Gesundheitsdaten im Sinne von Art. 9 DSGVO und unterliegen einem besonderen Schutz. Wir verarbeiten sie ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du bei der Registrierung erteilst und jederzeit mit Wirkung für die Zukunft widerrufen kannst (z.B. per E-Mail an uns oder durch Löschung deines Kontos).

Zyklus-Modus (freiwillig). Schaltest du ihn ein, speichern wir die Art deines Zyklus (natürlich, hormonelle Verhütung, unregelmäßig, Wechseljahre), deine übliche Zyklus- und Periodenlänge, den Beginn deiner eingetragenen Perioden und die Beschwerden, die du an einem Tag markierst. Daraus berechnet die App deine Zyklusphase, passt in der Lutealphase dein Kalorienziel an, ordnet Gewichtsschwankungen ein und wertet deine Trainingsdaten je Phase aus. Dafür holen wir beim Einschalten eine gesonderte ausdrückliche Einwilligung ein (Art. 9 Abs. 2 lit. a DSGVO). Dein Coach sieht nur deine aktuelle Phase und einen Hinweis, wenn sehr lange keine Periode eingetragen ist - und nur, solange du das in den Zyklus-Einstellungen erlaubst; deine Beschwerden sieht er nie. Du kannst den Modus jederzeit ausschalten und alle Zyklusdaten auf der Zyklus-Seite endgültig löschen.

6. KI-gestützte Funktionen

Für einige Funktionen setzen wir KI-Dienste ein. Wir nutzen dafür zwei Anbieter, die unterschiedliche Aufgaben übernehmen und dabei unterschiedliche Daten erhalten.

Anthropic (Claude) - Anthropic PBC, San Francisco, USA. Verarbeitet werden hier alle Funktionen, bei denen persönliche Angaben von dir eine Rolle spielen:

• Rezeptvorschläge - übermittelt werden deine Zielwerte für Kalorien und Makronährstoffe sowie deine Ernährungsform, Unverträglichkeiten und Kochzeit-Präferenz
• Kalorienschätzung anhand von Essens-Fotos - übermittelt wird das von dir aufgenommene Foto samt deiner Zusatzangaben
• Feedback zu deinen Fortschrittsfotos - übermittelt werden die von dir hochgeladenen Fotos (aktuelle und ggf. die vorherigen zum Vergleich) sowie dein Vorname
• Deine persönliche Willkommensnachricht nach dem Onboarding - übermittelt werden Angaben aus dem Fragebogen, u.a. Ziel, Trainingsumfang und genannte Verletzungen oder Einschränkungen
• KI-Body-Scan - übermittelt werden das Foto von vorne und, falls du es hinzufügst, ein Foto von der Seite. Daraus schätzt die KI Körperfettanteil und Muskelentwicklung. Die Fotos und das Ergebnis speichern wir in deinem Konto (nicht öffentlich), damit du den Verlauf siehst und die Fotos nicht erneut hochladen musst. Die Schätzung ist keine medizinische Diagnose
• Zusammenfassung deines Wochen-Check-ins für deinen Coach - übermittelt werden deine Antworten (Befinden, Freitexte), dein Vorname und Ziel sowie die Zahlen deiner Woche aus der App (Trainings, Kalorien und Protein, Gewichtsverlauf, Schritte) im Vergleich zu deinem Plan; bei eingeschaltetem Zyklus-Modus und Freigabe für deinen Coach zusätzlich deine Zyklusphase

Ein Teil dieser Angaben sind Gesundheitsdaten im Sinne von Art. 9 DSGVO (insbesondere Fortschrittsfotos und Angaben zu Verletzungen). Die Übermittlung erfolgt in die USA. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung der von dir gewünschten Funktion) i.V.m. deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO für die zugrunde liegenden Gesundheitsdaten. Anthropic verwendet über die Programmierschnittstelle übermittelte Daten nach eigenen Angaben nicht zum Training seiner Modelle.

Google (Gemini) - Google Ireland Limited bzw. Google LLC. Wird ausschließlich für die Übersetzung von Übungsanleitungen und (einmalig, bei der Erstellung unserer Rezeptfotos) für Bilder genutzt. Übermittelt werden dabei nur der Name des Rezepts bzw. der Übung - keine personenbezogenen Daten von dir.

7. Zahlungsabwicklung

Die Verwaltung von Abonnements und die Zahlungsabwicklung erfolgt über Stripe (Stripe Payments Europe, Ltd.). Deine Zahlungsdaten (z.B. Kreditkartendaten) werden ausschließlich direkt bei Stripe erfasst und verarbeitet - wir selbst erhalten und speichern zu keinem Zeitpunkt vollständige Zahlungsdaten. Wir erhalten von Stripe lediglich den Abo-Status (z.B. aktiv, in Testphase, gekündigt) und eine interne Kundenreferenz. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

8. Kommunikation (Coach-Chat und E-Mail)

Nachrichten, die du im Chat mit deinem Coach austauschst (inkl. optionaler Bild-, Video-, Audio- oder Dokumentenanhänge), werden gespeichert, damit der Gesprächsverlauf nachvollziehbar bleibt. Transaktionale E-Mails (z.B. Registrierungsbestätigung, Passwort-Reset, Bestätigungscodes für den Zugang zum Coach-Portal) versenden wir über unseren E-Mail-Anbieter IONOS SE (Montabaur, Deutschland). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9. Übungsdatenbank

Zur Anzeige von Bewegungsabläufen (Animationen) einzelner Übungen nutzen wir die externe Datenbank WorkoutX. Dabei werden ausschließlich Übungsnamen abgefragt - es werden keine personenbezogenen Daten von dir an WorkoutX übermittelt.

10. Hosting und Cookies

Diese App wird über Vercel Inc. gehostet. Beim Aufruf der App werden automatisch technisch notwendige Server-Logdaten verarbeitet (u.a. IP-Adresse, Zeitpunkt des Zugriffs), die zur Auslieferung und Absicherung des Dienstes erforderlich sind.

Wir setzen technisch notwendige Cookies ein, die deine Anmeldesitzung aufrechterhalten (z.B. ob du "angemeldet bleiben" möchtest, oder wer dich zu einem Coach eingeladen hat). Dazu gehört für Coaches ein Sicherheits-Cookie, das nach der Bestätigung des Codes aus der E-Mail den Zugang zum Coach-Portal für die laufende Anmeldung freigibt. Diese Cookies erfordern keine Einwilligung, da ohne sie die App nicht funktioniert.

Bei der Registrierung und beim Zurücksetzen des Passworts nutzen wir Cloudflare Turnstile (Cloudflare, Inc.), um automatisierte Zugriffe durch Bots abzuwehren. Dabei werden beim Aufruf des Formulars technische Merkmale deines Browsers und deine IP-Adresse an Cloudflare übermittelt, um zu prüfen, ob die Anfrage von einem Menschen stammt. Es werden keine Cookies zu Werbezwecken gesetzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit und dem Schutz vor Missbrauch). Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag, die Übermittlung in die USA stützt sich auf den EU-US Data Privacy Framework-Angemessenheitsbeschluss bzw. Standardvertragsklauseln.

Beim Vergeben eines Passworts (Registrierung, Zurücksetzen) prüfen wir im Browser, ob es in bekannten Datenlecks vorkommt. Dazu nutzen wir den Dienst Have I Been Pwned (Pwned Passwords). Es wird ausschließlich der Anfang (5 Zeichen) eines Hash-Werts deines Passworts übermittelt, niemals das Passwort selbst oder der vollständige Hash; der Abgleich erfolgt anschließend lokal in deinem Browser. Dabei wird technisch bedingt deine IP-Adresse an den Dienst übertragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz deines Kontos).

Nur mit deiner ausdrücklichen Zustimmung (Cookie-Banner beim ersten Besuch) setzen wir zusätzlich Analyse-Cookies von Google Analytics/Google Ads (Google Ireland Limited), um zu verstehen, wie die Seite genutzt wird, und um die Wirksamkeit unserer Werbung zu messen. Diese Cookies werden erst nach deiner Zustimmung gesetzt und dürfen jederzeit widerrufen werden.

Deine Entscheidung kannst du jederzeit ändern:

11. Push-Benachrichtigungen

Wenn du Push-Benachrichtigungen erlaubst (z.B. Trainings- und Supplement-Erinnerungen oder neue Chat-Nachrichten), speichern wir die von deinem Browser bzw. Gerät erzeugte Push-Adresse und die zugehörigen Verschlüsselungsschlüssel. Die Zustellung läuft technisch bedingt über den Push-Dienst deines Browser- bzw. Geräteherstellers (z.B. Google, Apple oder Mozilla). Die Erlaubnis erteilst du aktiv und kannst sie jederzeit in den Einstellungen deines Browsers oder Geräts wieder entziehen. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

12. Termine (Video-Check-in, Google Kalender)

Vereinbart dein Coach mit dir einen Online-Check-in, wird ein Videokonferenz-Raum erzeugt. Je nach Einrichtung deines Coaches geschieht das entweder über dessen Google-Kalender (Google Meet) oder über den Videodienst Daily (Daily.co, Inc., USA). Bei Google wird deine E-Mail-Adresse als Teilnehmer an Google Ireland Limited bzw. Google LLC übermittelt, damit du die Einladung erhältst. Bei Daily werden nur ein Raumname und das Zeitfenster übermittelt, keine Angaben zu deinem Konto oder deiner Gesundheit; der Raum läuft nach dem Termin automatisch ab. Termine vor Ort werden nur in der App vermerkt, es gibt dafür keine Weitergabe an Dritte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

13. Lebensmitteldatenbank

Für die Suche nach Lebensmitteln und das Scannen von Barcodes fragen wir die öffentliche Datenbank Open Food Facts ab. Übermittelt werden dabei nur dein Suchbegriff bzw. die gescannte Barcode-Nummer - keine Angaben, die dich als Person identifizieren.

14. Kontaktaufnahme und Anfragen

Über das Kontaktformular auf der Webseite und das Interessenten-Formular für Coaches erheben wir die Angaben, die du eingibst (Name, E-Mail-Adresse, optional Telefonnummer und Nachricht bzw. Angaben zu deinen Klientinnen und Klienten). Wir speichern sie, um deine Anfrage zu beantworten, und benachrichtigen uns darüber per Push und per E-Mail (über IONOS). Die Zustimmung zur Verarbeitung gibst du beim Absenden des Formulars. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a und lit. b DSGVO (Beantwortung deiner Anfrage bzw. vorvertragliche Maßnahmen).

15. Empfehlungsprogramm

Nutzt du das Empfehlungsprogramm, erhält jedes Konto einen persönlichen Empfehlungscode. Meldet sich jemand über deinen Link an, speichern wir die Zuordnung zwischen deinem Konto und dem geworbenen Konto, um nachzuvollziehen, ob die Bedingungen für eine Belohnung erfüllt sind. Die geworbene Person sieht deinen Namen dabei nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

16. Sicherheit und Missbrauchsschutz

Um Missbrauch zu verhindern, begrenzen wir, wie oft öffentliche Formulare von derselben IP-Adresse abgeschickt werden, und speichern dafür die IP-Adresse und den Zeitpunkt des Versuchs. Bei der Registrierung, der Anmeldung und dem Zurücksetzen des Passworts schützt uns Cloudflare Turnstile (siehe Abschnitt 10) vor automatisierten Zugriffen. Für Coaches gibt es bei jeder Anmeldung ein zusätzliches Bestätigungsverfahren per E-Mail-Code. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Dienstes und am Schutz deiner Daten).

17. Speicherdauer

Wir speichern deine Daten, solange dein Konto besteht. Nach Kündigung deines Kontos werden deine Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten (z.B. handels- oder steuerrechtlich bei Rechnungsdaten) entgegenstehen. Dein Konto und alle damit verbundenen Daten kannst du jederzeit selbst in der App löschen (Profil, ganz unten). Alternativ wende dich an info@fitwithnikhil.de.

18. Deine Rechte

Dir stehen folgende Rechte zu:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde, z.B. dem Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit

Zur Ausübung dieser Rechte genügt eine formlose Nachricht an info@fitwithnikhil.de.