Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf callmylife.com im Sinne von Art. 4 Nr. 7 DSGVO ist der private Betreiber des Dienstes, erreichbar unter [email protected].

Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nicht vorliegen. Für alle Fragen zum Datenschutz genügt eine E-Mail an die oben genannte Adresse.

2. Grundsätzliches

Wir verarbeiten personenbezogene Daten nur, soweit das für einen funktionsfähigen Dienst und für die Bereitstellung unserer Inhalte erforderlich ist. Personenbezogene Daten sind alle Angaben, die sich auf eine identifizierte oder identifizierbare Person beziehen — etwa eine E-Mail-Adresse oder eine IP-Adresse.

Eine Verarbeitung erfolgt nur auf einer der folgenden Grundlagen: Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), Erfüllung rechtlicher Pflichten (lit. c), berechtigtes Interesse an einem sicheren und störungsfreien Betrieb (lit. f) oder eine Einwilligung (lit. a), die jederzeit für die Zukunft widerrufen werden kann.

3. Deine Rechte

Dir stehen gegenüber uns die folgenden Rechte hinsichtlich der dich betreffenden personenbezogenen Daten zu:

• Auskunft über die gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit, also Herausgabe in einem gängigen Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Für all das genügt eine formlose Nachricht an [email protected].

Beschwerderecht

Unabhängig davon steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO). Zuständig ist die Behörde deines gewöhnlichen Aufenthaltsorts oder die für uns zuständige Stelle: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

4. Aufruf der Website und Server-Logfiles

Beim Aufruf dieser Website werden durch unseren Hosting-Dienstleister automatisch Daten erfasst, die dein Browser übermittelt. Das sind: IP-Adresse, Datum und Uhrzeit der Anfrage, die aufgerufene Adresse, der HTTP-Statuscode, die übertragene Datenmenge, die zuvor besuchte Seite sowie Browser- und Betriebssystemangaben.

Diese Daten sind technisch erforderlich, um die Seite auszuliefern, ihre Stabilität sicherzustellen und Angriffe abzuwehren. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb nach Art. 6 Abs. 1 lit. f DSGVO. Die Logs werden nur kurzzeitig gespeichert und nicht mit anderen Datenquellen zusammengeführt.

5. Nutzerkonto und eigene Inhalte

Ohne Konto lassen sich die Funktionen von callmylife.com nicht nutzen. Bei der Registrierung verarbeiten wir deine E-Mail-Adresse und dein Passwort, das ausschließlich als kryptografischer Hash gespeichert wird — im Klartext ist es für uns zu keinem Zeitpunkt einsehbar. Hinzu kommen technische Angaben wie der Zeitpunkt der Registrierung, der letzten Anmeldung und der Bestätigung deiner E-Mail-Adresse.

Zur Bestätigung deiner Adresse senden wir dir eine E-Mail mit einem einmaligen Link. Ohne diese Bestätigung wird das Konto nicht freigeschaltet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Ohne diese Daten kann das Nutzungsverhältnis nicht zustande kommen.

Zum Konto gehören außerdem die Inhalte, die du selbst in der App anlegst — im Bereich Fitness etwa Trainingspläne sowie geplante und protokollierte Trainingseinheiten mit Übungen, Gewichten, Wiederholungen und Datum. Konto und Inhalte werden bei den Konten-, Auth- und Datenbankdiensten von Supabase gespeichert (siehe Abschnitt 9).

Gesundheitsbezogene Daten

Trainings- und Aktivitätsdaten können Rückschlüsse auf deine Gesundheit zulassen und fallen dann unter Art. 9 DSGVO. Wir verarbeiten sie ausschließlich, weil und soweit du sie freiwillig selbst einträgst oder über die Strava-Anbindung (Abschnitt 7) freigibst — darin liegt deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Ausgewertet werden diese Daten nur, um sie dir selbst anzuzeigen. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem du die Einträge löschst bzw. die Strava-Verbindung löst.

6. Anmeldung über GitHub

Du kannst dich alternativ über GitHub anmelden. Diese Verarbeitung findet nur statt, wenn du die entsprechende Schaltfläche aktiv anklickst. Dabei wirst du zu GitHub weitergeleitet und meldest dich dort an; GitHub erfährt so, dass du unseren Dienst nutzt.

Nach erfolgreicher Anmeldung erhalten wir von GitHub die Angaben, die dein Profil freigibt — in der Regel deine E-Mail-Adresse, deinen Benutzer- bzw. Anzeigenamen und die Adresse deines Profilbilds. Ein Zugriff auf deine Repositories findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da die Anmeldung Teil des von dir gewünschten Nutzungsverhältnisses ist.

Für die Verarbeitung bei GitHub selbst ist GitHub, Inc. (Microsoft Corporation), 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA, eigenständig verantwortlich. Es gilt die Datenschutzerklärung von GitHub: docs.github.com/site-policy/privacy-policies

7. Strava-Anbindung (optional)

Im Bereich Ausdauer kannst du dein Strava-Konto verknüpfen, um deine dort aufgezeichneten Aktivitäten in der App zu sehen. Auch das passiert nur, wenn du aktiv auf „Mit Strava verbinden“ klickst. Du wirst dann zu Strava weitergeleitet und erteilst dort die Freigabe. Angefragt wird Lesezugriff auf dein Profil und deine Aktivitäten einschließlich privater Aktivitäten (Scope read,activity:read_all); du kannst die Freigabe bei Strava vor dem Bestätigen einschränken.

Nach der Verknüpfung speichern wir: deine Strava-Athleten-ID, den Namen deines Strava-Profils, den Umfang der erteilten Freigabe, den Zeitpunkt der Verknüpfung sowie die von Strava ausgestellten Zugriffsschlüssel (Access- und Refresh-Token). Die Token bleiben auf dem Server und werden zu keinem Zeitpunkt an deinen Browser übertragen.

Deine Aktivitäten selbst speichern wir nicht dauerhaft. Sie werden bei jedem Aufruf der Seite live von Strava abgerufen und nur angezeigt: Name, Sportart, Startzeit, Distanz, Dauer, Höhenmeter, Durchschnittsgeschwindigkeit und — falls vorhanden — die durchschnittliche Herzfrequenz.

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, für die Herzfrequenz als Gesundheitsdatum nach Art. 9 Abs. 2 lit. a DSGVO. Du widerrufst sie, indem du in der App auf „Verbindung lösen“ klickst — dabei löschen wir die gespeicherten Token und Verbindungsdaten und melden die App bei Strava ab. Alternativ kannst du den Zugriff jederzeit selbst unter strava.com/settings/apps entziehen.

Für die Verarbeitung bei Strava selbst ist Strava, Inc., 208 Utah Street, San Francisco, CA 94103, USA, eigenständig verantwortlich. Es gilt die Datenschutzerklärung von Strava: strava.com/legal/privacy

8. Cookies und lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies ein. Sie speichern deine Anmeldesitzung, damit du nicht bei jedem Seitenaufruf erneut Zugangsdaten eingeben musst, und schützen Anmeldevorgänge vor Missbrauch. Diese Cookies werden von der Auth-Komponente von Supabase gesetzt und tragen Namen, die mit sb- beginnen. Beim Verbinden mit Strava kommt ein kurzlebiges Sicherheits-Cookie hinzu, das den Vorgang gegen Missbrauch absichert und nach spätestens zehn Minuten abläuft.

Für unbedingt erforderliche Cookies ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung nötig — deshalb siehst du auf dieser Seite auch kein Einwilligungsbanner. Rechtsgrundlage für die damit verbundene Datenverarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

Analyse-, Tracking- oder Marketing-Cookies setzen wir nicht ein. Es finden keine Reichweitenmessung, kein Profiling und keine Einbindung externer Werbenetzwerke statt. Schriftarten werden von unserem eigenen Server ausgeliefert, es besteht dabei keine Verbindung zu Dritten. Du kannst Cookies jederzeit in den Einstellungen deines Browsers löschen; eine Anmeldung ist dann allerdings nicht mehr möglich.

9. Eingesetzte Dienstleister

Wir arbeiten mit den folgenden Anbietern zusammen, die personenbezogene Daten weisungsgebunden in unserem Auftrag verarbeiten. Mit allen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. GitHub und Strava sind keine Auftragsverarbeiter, sondern eigenständige Verantwortliche — ihre Angaben stehen in den Abschnitten 6 und 7.

10. Datenübermittlung in Drittländer

Die Daten deines Kontos liegen in der Supabase-Projektregion London im Vereinigten Königreich. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO); das Datenschutzniveau ist damit als gleichwertig anerkannt.

Vercel sitzt in den USA; die Übermittlung stützt sich auf das EU-U.S. Data Privacy Framework und die Standardvertragsklauseln der EU-Kommission. Nutzt du die Anmeldung über GitHub oder die Strava-Anbindung, verarbeiten auch diese Anbieter Daten in den USA (siehe Abschnitte 6 und 7). Trotz dieser Garantien lässt sich nicht vollständig ausschließen, dass Behörden im Drittland auf Daten zugreifen.

11. Speicherdauer und Löschung

Kontodaten und selbst angelegte Inhalte speichern wir, solange dein Konto besteht. Löschst du dein Konto oder forderst du die Löschung per E-Mail an, entfernen wir deine personenbezogenen Daten, sobald ihrer Löschung keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Trennst du die Strava-Verbindung, löschen wir die dazu gespeicherten Token und Verbindungsdaten sofort. Server-Logfiles werden kurzfristig automatisch überschrieben.

12. Datensicherheit

Die Übertragung zwischen deinem Gerät und unseren Servern erfolgt durchgehend verschlüsselt über TLS (erkennbar am https:// in der Adresszeile). Passwörter werden ausschließlich als Hash gespeichert. Der Zugriff auf Daten ist auf das Notwendige beschränkt und durch Zugriffsregeln auf Datenbankebene abgesichert.

13. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

14. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, sobald sich Funktionen des Dienstes oder die Rechtslage ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung. Das Datum am Anfang zeigt dir, wie aktuell sie ist.