Datenschutzerklärung für LaufBuddy

1. Wer für deine Daten verantwortlich ist

Verantwortlich für LaufBuddy ist Daniel Fligg.
Jobststr. 85
44629 Herne, Deutschland
E-Mail für Datenschutzfragen: kontakt [at] laufbuddy [punkt] de
Allgemeiner Kontakt: kontakt [at] laufbuddy [punkt] de

Bei ausgeschriebenen E-Mail-Adressen steht [at] für @ und [punkt] für einen Punkt.

Datenschutzanfragen werden direkt vom Betreiber Daniel Fligg bearbeitet.

2. Für welche Angebote diese Erklärung gilt

Diese Erklärung gilt für unsere Website unter laufbuddy.de, die App unter app.laufbuddy.de, persönliche Einladungen sowie Kontakt- und Beta-Anfragen.

Die App ist eine kostenlose, geschlossene Beta für persönlich eingeladene Erwachsene in Deutschland. Eine Beta-Anfrage erstellt kein Konto. Erst nach persönlicher Auswahl laden wir dich ein. Es gibt keine öffentliche Selbstregistrierung.

Wir verwenden deine Daten nicht für Werbung, Newsletter, Datenhandel, Forschung oder allgemeines KI-Modelltraining. Verhaltensanalyse und Sitzungsaufzeichnungen sind nicht Bestandteil der Beta. Google Analytics bleibt deaktiviert. Es gibt keine Karten-, Standort-, Wetter-, Wearable- oder Zahlungsfunktion und keine öffentlichen Profile. Gemessene Herzfrequenzverläufe, GPS-Daten, Krankheiten und Diagnosen werden nicht als Trainingsdaten erhoben.

3. Website, App und technische Sicherheit

Website und App werden ausschließlich über HTTPS bereitgestellt. Beim Aufruf werden technisch notwendige Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, angefragte Ressource, Browser-/Clientinformationen und Antwortstatus. Begrenzte technische Protokolle können außerdem Vorgangskennungen, interne Nutzerkennungen und Fehlerklassen enthalten.

Das dient der Auslieferung, Fehlerbehebung und Abwehr von Missbrauch. Grundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist der sichere, zuverlässige Betrieb des Angebots.

Zur Begrenzung missbräuchlicher Anfragen wird aus der IP-Adresse oder einer angemeldeten Nutzerkennung ein mit einem geheimen Schlüssel gebildeter Hashwert verwendet. Das ist Pseudonymisierung, keine Anonymisierung. Die Rate-Limit-Tabelle enthält nicht die rohe Kennung. Nur begrenzte lokale Sicherheitsereignisse bei Überschreitung oder Missbrauchsverdacht dürfen die Zuordnung zur IP-Adresse beziehungsweise Nutzerkennung enthalten. Formularinhalte, Passwörter und Zugangstokens gehören nicht in diese Logs.

Der Zugriff auf Betriebslogs ist auf das getrennte Administrationskonto des Betreibers beschränkt. Normale Logs einschließlich Sicherheitsereignissen werden spätestens nach 30 Tagen gelöscht. Für konkrete Vorfälle dürfen nur erforderliche Auszüge bis zur Klärung und, soweit nötig, zur Bearbeitung konkreter Rechtsansprüche getrennt aufbewahrt werden.

4. Einladung, Konto und Anmeldung mit Clerk

Für Einladung, Anmeldung und Sitzungsverwaltung nutzen wir Clerk, Inc., USA. Dabei werden insbesondere E-Mail-Adresse, gegebenenfalls Anzeigename, Benutzerkennung, Anmelde- und Sitzungsdaten sowie technische Sicherheitsdaten verarbeitet. In der LaufBuddy-Datenbank wird dein Profil über eine interne Kennung mit deinem Clerk-Konto verbunden. Das Konto ermöglicht die Zuordnung deiner eigenen Daten und schützt sie vor Zugriffen anderer Nutzer.

Die von uns veranlasste, notwendige Kontoverarbeitung beruht auf Art. 6 Abs. 1 Buchst. b DSGVO für die Vorbereitung und Durchführung des Nutzungsvertrags. Technische Missbrauchsabwehr beruht auf dem in Abschnitt 3 genannten Interesse.

Clerk unterscheidet vertraglich zwischen Daten, die in unserem Auftrag verarbeitet werden, und bestimmten Konto-/Verwaltungsinformationen, für die Clerk selbst verantwortlich ist. Eine solche eigene Verarbeitung beschreibt Clerk in seiner Datenschutzerklärung.

Clerk verarbeitet Daten insbesondere in den USA. Für erfasste Übermittlungen an Clerk gilt das EU-US Data Privacy Framework, unter dem Clerk zertifiziert ist. Das Clerk-DPA sieht EU-Standardvertragsklauseln als Rückfallregelung vor. Weitere Empfänger und Verarbeitungsorte beschreibt Clerk in seiner Unterauftragnehmerliste. Informationen über die einschlägigen Garantien beziehungsweise eine Kopie kannst du über unseren Datenschutzkontakt erhalten.

LaufBuddy übermittelt Geburtsdatum, HFmax, Trainingspläne und Trainingshistorie nicht als Profilattribute an Clerk.

Anmeldung mit Apple oder Google

Die Anmeldung erfolgt ausschließlich mit Apple oder Google. Wählst du einen dieser Dienste, wird die Anmeldung über den jeweiligen Anbieter und Clerk abgewickelt. Dabei werden eine Kontokennung, die freigegebene E-Mail-Adresse und gegebenenfalls dein Name übermittelt; bei Google kann auch ein Profilbild zu den freigegebenen Anmeldedaten gehören. Bei Apple kannst du anstelle deiner privaten E-Mail-Adresse eine Weiterleitungsadresse verwenden.

Wir verwenden diese Anmeldedaten zur Kontozuordnung und Anmeldung, nicht für Werbung. Die eigene Datenverarbeitung des gewählten Anbieters erläutern Apple und Google. Auch bei diesen Anmeldewegen ist eine persönliche Einladung für die Beta erforderlich.

5. Profil und personalisiertes Training

Je nach ausgewähltem Planpfad verarbeiten wir:

• Laufbasis und die daraus folgende Auswahl eines Aufbau- oder 10-km-Pfads;
• Trainingsziel, 10-km-Bestzeit und gewählte Zielzeit;
• verfügbare Trainingstage und bevorzugten Tag für den längeren Lauf;
• Trainingsbeginn, Planzeitraum und gegebenenfalls Wettkampfdatum;
• im regulären 10-km-Pfad dein Geburtsdatum und die daraus geschätzte maximale Herzfrequenz (HFmax), einschließlich Herkunft und Formelversion, sowie daraus abgeleitete Herzfrequenzzonen;
• erzeugte Pläne, Wochen und Einheiten sowie erfasste Erledigungsstände und tatsächliche Zeiten beziehungsweise Distanzen;
• technische Zuordnungen, Onboardingstatus und Erstellungs-/Änderungszeitpunkte.

Laufbasis und Leistungsangaben dienen der Planauswahl; Termine und Trainingstage der zeitlichen Verteilung. Der reguläre Plan wird nach Zielzeit und Planungsangaben erzeugt.

Wir speichern dein Geburtsdatum und schätzen daraus einmalig deine maximale Herzfrequenz (HFmax) nach „220 minus Alter in vollendeten Jahren“. HFmax und daraus abgeleitete Herzfrequenzzonen speichern und verwenden wir für deine Trainingspläne und Trainingsvorschläge. Die Werte sind Schätzungen, keine gemessenen persönlichen Belastungsgrenzen.

Das Geburtsdatum dient der beschriebenen HFmax-Schätzung, nicht zur Alterskontrolle.

6. Rechtsgrundlage und ausdrückliche Einwilligung

Die für das vereinbarte personalisierte Training erforderliche Verarbeitung beruht auf Art. 6 Abs. 1 Buchst. b DSGVO. Den zusammenhängenden Leistungs- und Trainingsdatensatz behandeln wir wegen seines möglichen Gesundheitsbezugs zusätzlich nach Art. 9 DSGVO. Für die darin enthaltenen Gesundheitsdaten holen wir deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 Buchst. a DSGVO ein, bevor entsprechende Angaben erhoben oder berechnet werden.

Die Einwilligung umfasst ausschließlich die in Abschnitt 5 beschriebenen Verarbeitungen für dein persönliches Training einschließlich Speicherung, Berechnung, Bereitstellung und geschützter Sicherung. Sie ist von den Beta-Nutzungsbedingungen getrennt und umfasst keine Werbung oder fremden Zwecke.

Ohne diese Einwilligung wird der personalisierte Trainingsbereich nicht freigeschaltet. Die Beta bietet keinen Trainingsmodus ohne diese Verarbeitung. Die erforderlichen Angaben werden am jeweiligen Eingabeschritt bezeichnet; es besteht keine gesetzliche Pflicht, sie anzugeben. Fehlende Angaben werden nicht durch erfundene Leistungswerte ersetzt.

Widerruf und Folgen

Du kannst deine Einwilligung jederzeit über die Widerrufsfunktion in der App oder per Nachricht an kontakt [at] laufbuddy [punkt] de widerrufen. Der Widerruf wirkt für die Zukunft; die Rechtmäßigkeit der Verarbeitung bis dahin wird nicht berührt.

Nach dem Widerruf endet die darauf gestützte Trainingsverarbeitung und der personalisierte Trainingsbereich wird gesperrt. Auf dieser Grundlage gespeicherte Trainings- und Gesundheitsdaten werden ohne unnötige Verzögerung gelöscht, soweit keine konkrete andere gesetzliche Aufbewahrungsgrundlage besteht. Wir wechseln nicht allein wegen des Widerrufs auf eine andere Rechtsgrundlage, um das Training unverändert fortzuführen.

Du musst für den Widerruf nicht zuerst dein Konto löschen. Ein verbleibender Kontozugang dient nur der Kontoverwaltung und der Wahrnehmung deiner Rechte; du kannst den Vertrag jederzeit beenden und das Konto löschen lassen. Kontaktdaten, Rechtstexte und Betroffenenrechte bleiben auch ohne Trainingseinwilligung zugänglich. Es entstehen keine Widerrufsgebühren oder Vertragsstrafen. Begrenzte Backupreste und erforderliche Nachweise werden wie in Abschnitt 11 behandelt.

7. Automatisierte Planerstellung

Die App erzeugt Trainingspläne anhand fester Regeln aus deinen Eingaben. Dazu werden Laufbasis und Bestzeit zur Auswahl des Planpfads beziehungsweise Zielzeitplans verwendet und Einheiten auf die gewählten Termine verteilt. Im regulären 10-km-Pfad fließen die aus der geschätzten HFmax abgeleiteten Herzfrequenzzonen in die Trainingspläne und Trainingsvorschläge ein. Das ist keine medizinische Beurteilung deiner Belastbarkeit. Die Angaben und der erzeugte Plan können Rückschlüsse auf deine Leistungsfähigkeit erlauben.

Wir treffen damit keine automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne von Art. 22 DSGVO. Du entscheidest selbst, ob du einem Trainingsvorschlag folgst.

8. Kontakt, Beta-Anfrage und freiwilliges Feedback

Für eine Kontaktanfrage benötigen wir deine E-Mail-Adresse und Nachricht; ein Name ist freiwillig. Bei einer Beta-Anfrage verarbeiten wir deine E-Mail-Adresse, deine kurze Nachricht zur Anfrage und einen gegebenenfalls freiwillig angegebenen Namen. Bitte übermittle keine Diagnosen, Gesundheits- oder Zugangsdaten und keine personenbezogenen Daten anderer Personen.

Anfragen dienen nur ihrer Bearbeitung, Beantwortung und bei Beta-Anfragen der persönlichen Auswahl und Einladung. Freiwilliges sachliches Feedback nutzen wir, um gemeldete Probleme zu bearbeiten und die angesprochenen Funktionen sowie den Datenschutz zu verbessern. Dabei erstellen wir keine personenbezogenen Nutzungsprofile und zeichnen dein Nutzungsverhalten nicht zusätzlich auf. Allgemeine Erkenntnisse ohne Personenbezug, etwa eine technische Fehlerbeschreibung ohne Nutzerangaben, können in die weitere Entwicklung einfließen. Das verlängert nicht die Speicherfrist deiner Nachricht oder deiner Konto- und Trainingsdaten.

Grundlage ist Art. 6 Abs. 1 Buchst. b DSGVO bei vertragsbezogenen Anfragen und Beta-Anfragen auf deinen Wunsch. Sonstige Nachrichten und freiwilliges Feedback bearbeiten wir auf Art. 6 Abs. 1 Buchst. f DSGVO; unser Interesse liegt in der Beantwortung deiner Anliegen und der Verbesserung der von dir angesprochenen Funktionen und Datenschutzabläufe.

Formularinhalte werden über unseren eigenen Mailserver per SMTP an das nicht öffentliche Supportpostfach gesendet und nicht in der LaufBuddy-Produktdatenbank gespeichert. Postfach, Versanddienst und vorübergehende Versandwarteschlangen sind dennoch Speicherorte. Anbieter und Fristen stehen in Abschnitten 10 und 11. E-Mail ist nicht automatisch Ende-zu-Ende-verschlüsselt; sende dort keine sensiblen Trainingsunterlagen. Dieser Formularversand wird nicht für Werbung oder Newsletter genutzt.

9. Bedingungen und Einwilligungsnachweise

Zur Dokumentation deiner Annahme der Beta-Bedingungen und deiner Trainingseinwilligung speichern wir jeweils die tatsächlich gezeigte Fassung mit Versionskennung/Hash, deine interne Zuordnung, Zeitpunkt, Art der Handlung und zugehörigen App-Release. Ein Widerruf wird getrennt vermerkt. Dafür werden keine zusätzlichen IP-Adressen oder Geräteprofile gesammelt.

Der Vertragsnachweis beruht auf Art. 6 Abs. 1 Buchst. b DSGVO. Der erforderliche Einwilligungsnachweis beruht auf Art. 6 Abs. 1 Buchst. c in Verbindung mit Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO; einen darin enthaltenen Gesundheitsbezug umfasst während der eingewilligten Verarbeitung die ausdrückliche Einwilligung. Nach Widerruf oder Kontolöschung entfernen wir die personenbezogenen Einwilligungsnachweise mit Abschluss der Löschbearbeitung. Die Textfassungen ohne Nutzerzuordnung bleiben erhalten.

Nur soweit ein Nachweis für konkrete Rechtsansprüche erforderlich ist, wird er getrennt bis zur endgültigen Klärung und notwendigen Durchsetzung dieser Ansprüche aufbewahrt. Grundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser Interesse ist die Geltendmachung oder Verteidigung dieser Ansprüche. Für enthaltene Gesundheitsdaten gilt zusätzlich Art. 9 Abs. 2 Buchst. f DSGVO. Eine pauschale Vorratsspeicherung aller Trainingsdaten erfolgt dafür nicht.

Die Datenschutzerklärung ist eine Information und keine pauschal zu akzeptierende Einwilligung. Ihre bloße Anzeige wird nicht als Zustimmung zu einer Datenverarbeitung gewertet.

10. Hosting, Empfänger und Speicherung auf dem Endgerät

Website, App und Datenbank betreiben wir auf einem selbst verwalteten Server in Frankfurt am Main, Deutschland. Die Datenbank ist nicht öffentlich erreichbar. Backups werden verschlüsselt auf einem festplattenverschlüsselten Entwicklungsrechner des Betreibers in Deutschland gespeichert, getrennt vom Entschlüsselungsschlüssel. Gelöschte Daten werden bei einer Wiederherstellung erneut ausgesondert, bevor die Anwendung sie wieder produktiv nutzen kann.

Diese Dienstleister erhalten Daten nur im für die jeweilige Aufgabe erforderlichen Umfang. Die Verarbeitung durch Apple und Google im Rahmen ihrer eigenen Kontodienste ist davon getrennt. Die Verarbeitung durch Hosting und Backup dient den in dieser Erklärung beschriebenen Primärzwecken; soweit Gesundheitsdaten betroffen sind, umfasst die Trainingseinwilligung deren geschützte Speicherung und Sicherung. Eine Sicherheitsmaßnahme ist keine alleinige Art.-9-Ausnahme.

Intern bearbeitet der Betreiber die Daten. Eine Weitergabe an Behörden oder andere berechtigte Stellen erfolgt nur aufgrund einer einschlägigen gesetzlichen Grundlage; bei Gesundheitsdaten ist zusätzlich Art. 9 zu beachten. Eine Weitergabe für Werbung oder Datenhandel findet nicht statt.

Cookies und vergleichbare Speicherungen

Für Anmeldung, Sitzungsschutz und notwendige Funktionszustände werden Cookies beziehungsweise vergleichbare Endgerätespeicherungen eingesetzt. Für unbedingt erforderliche Vorgänge gilt § 25 Abs. 2 Nr. 2 TDDDG. Personenbezogene Folgeverarbeitung richtet sich nach dem jeweiligen Zweck, insbesondere Art. 6 Abs. 1 Buchst. b oder f DSGVO.

Die maximale Anmeldedauer beträgt 7 Tage; ein zusätzliches Inaktivitätslimit ist nicht eingerichtet. Das ist nicht die Speicherfrist sämtlicher Cookies. Wir verwenden die Clerk-Standardeinstellungen. Grundlage der Angaben sind die Clerk-Sitzungsdokumentation und der Clerk-SDK-Standard für das Sitzungscookie.

Du kannst diese Speicherungen in den Browser-Einstellungen löschen. Danach kann eine erneute Anmeldung oder Auswahl deiner Darstellung nötig sein.

Nicht erforderliche Analyse- oder Werbespeicherungen sind für die Beta nicht vorgesehen. Die Trainingseinwilligung ist keine Cookie-Einwilligung.

11. Speicherdauer und Löschung

Wir löschen Daten, sobald der beschriebene Zweck entfällt und kein konkreter rechtlicher Grund für eine begrenzte weitere Speicherung besteht.

Notwendige Konto- und App-Daten bleiben für deine tatsächliche Teilnahme an der Beta verfügbar. Die 30-Tage-Frist für Backups ist keine Löschfrist für dein laufendes Konto. Eine frühere Kontolöschung und die Löschung von Trainingsdaten nach einem Widerruf bleiben möglich. Wir bewahren personenbezogene Daten nicht allein für spätere Auswertungen bis zum Ende der Beta oder darüber hinaus auf.

Nach einer Kontolöschung können bis zum Ablauf der Backupfrist noch verschlüsselte Sicherungskopien vorhanden sein. Sie dienen keiner weiteren aktiven Trainingsnutzung. Eine getrennte Löschmarkierung verhindert die Wiederanlage gelöschter Konten aus alten Beständen. Sie enthält einen schlüsselgebundenen Hash der Anmeldekennung und Status/Zeitpunkte, nicht deine E-Mail-Adresse oder Trainingsdaten. Diese Markierung ist pseudonym, nicht anonym. Zweck ist die dauerhafte Wirksamkeit deiner Löschung; Grundlage ist Art. 6 Abs. 1 Buchst. c in Verbindung mit Art. 17 DSGVO. Die zulässige Aufbewahrung richtet sich nach den oben genannten Kriterien.

12. Deine Rechte und Kontaktwege

Unter den gesetzlichen Voraussetzungen hast du Anspruch auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Eine erteilte Einwilligung kannst du jederzeit für die Zukunft widerrufen.

Widerspruch: Soweit wir Daten auf Grundlage berechtigter Interessen nach Art. 6 Abs. 1 Buchst. f DSGVO verarbeiten, kannst du aus Gründen deiner besonderen Situation widersprechen. Wir führen die Verarbeitung dann nur fort, wenn die gesetzlichen Voraussetzungen dafür vorliegen.

Wende dich an kontakt [at] laufbuddy [punkt] de. Die Bearbeitung ist grundsätzlich kostenlos. Wir antworten grundsätzlich innerhalb eines Monats; eine gesetzlich zulässige Verlängerung erklären wir innerhalb dieser Frist. Bei begründeten Identitätszweifeln können angemessene zusätzliche Angaben nötig sein. Eine Ausweiskopie verlangen wir nicht pauschal.

Deinen maschinenlesbaren Export kannst du in der App unter „Präferenzen → Datenverwaltung → Meine Daten exportieren“ herunterladen. Auskunft und Datenexport kannst du außerdem über den Datenschutzkontakt anfordern. Nach Prüfung deiner Berechtigung stellen wir die Daten geschützt bereit, nicht als gewöhnlichen unverschlüsselten E-Mail-Anhang. Eine vollständige Datenauskunft kann zusätzliche Erläuterungen und Datenquellen umfassen; das Exportformat begrenzt deine Rechte nicht.

Die Kontolöschung kannst du jederzeit im internen Bereich unter „Präferenzen → Datenverwaltung → Konto löschen“ oder über den Datenschutzkontakt anstoßen. Der Zugang wird gesperrt und die Löschung in LaufBuddy sowie bei Clerk abgearbeitet. Ein gestarteter Löschauftrag ist noch keine Bestätigung des vollständigen Abschlusses.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an deinem Aufenthaltsort, Arbeitsplatz oder am Ort des vermuteten Verstoßes. Für den Betreiberstandort ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen zuständig: Postfach 20 04 44, 40102 Düsseldorf.

13. Änderungen und Fassung

Version: datenschutz-2026-09-09
Gültig ab: 9. September 2026

Wir aktualisieren die Informationen, wenn sich die Verarbeitung ändert. Neue Zwecke werden nicht durch eine frühere pauschale Zustimmung gedeckt. Soweit eine neue Einwilligung erforderlich ist, holen wir sie vor der entsprechenden Verarbeitung gesondert ein.