Client2Coach (Web) — Stand: 20. September 2026
Niklas Fiedler
Silcherweg 7, 64291 Darmstadt
E-Mail: c2c.client2coach@gmail.com
Wir verarbeiten auf der Weboberfläche folgende personenbezogene Daten:
| Datenkategorie | Beispiele | Rechtsgrundlage |
|---|---|---|
| Accountdaten | Vor- und Nachname, E-Mail-Adresse, gehashtes Passwort (bcrypt) | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Körper- und Fitnessdaten | Körpergewicht, Kalorienzufuhr, Makronährstoffe, Trainingsleistungen (Gewicht, Wiederholungen), Trainingseinheiten (Start/Ende, Dauer, abgeleitetes Volumen, primäre Muskelgruppen), hinterlegtes Trainingszeitbudget sowie dokumentierte Annahme oder Ablehnung von Trainingsvorschlägen | Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) |
| Erholungsdaten | Separat freigegebene Tageswerte für Herzfrequenzvariabilität, Ruhepuls und Schlafdauer; daraus abgeleiteter Score und verständliche Treiber | Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche, zweckgebundene Einwilligung) |
| Coaching-Kommunikation | Check-In-Nachrichten zwischen Klient und Coach, Community-Beiträge | Art. 6 Abs. 1 lit. b DSGVO |
| Video-, Sprach- und Bild-Feedback | Vom Klienten oder Coach hochgeladene Videos (z. B. Übungsausführung), Sprachnachrichten und Bilder zur Trainings-/Coaching-Betreuung | Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) |
| Technische Nutzungsdaten | IP-Adresse (für Sicherheit, max. 30 Tage), Server-Logs | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: IT-Sicherheit) |
Auf der Weboberfläche werden keine Gesundheitsdaten von Gerätesensoren (Schritte, Schlaf) ausgelesen. Diese Funktionen sind ausschließlich in den nativen Apps verfügbar.
Die optionale Erholungseinschätzung wird deterministisch aus ausdrücklich freigegebenen Werten für Herzfrequenzvariabilität, Ruhepuls und Schlafdauer ermittelt. Der Coach sieht nur Score und verständliche Treiber, keine Rohwerte.
Wenn du im lokalen Koffein-Rechner „Erholung einbeziehen“ auswählst, werden Gesamt- und Restkoffeinmenge einmalig für einen Erholungshinweis verarbeitet, mit deinem aktuellen Erholungs-Snapshot abgeglichen und nicht gespeichert.
Medien-Uploads (Video, Sprache, Bild): Vorrangig werden Medien in deiner eigenen Cloud (z. B. Google Drive) gespeichert — dann liegt bei uns nur ein Verweis, nicht die Datei selbst. Andernfalls in einem privaten, zugriffsgeschützten Objektspeicher in der EU (Supabase Storage, Region EU; alternativ Scaleway Object Storage, Frankreich) — private Buckets, Abruf nur über kurzlebige signierte Links, in der Datenbank nur ein interner Speicher-Schlüssel (nie die Datei selbst). Zugriff haben nur du und dein zugewiesener Coach. Check-in-Videos werden nach dem Feedback deines Coaches automatisch gelöscht (mit kurzer Sicherheitsfrist). Es findet keine biometrische Identifizierung (kein „Voiceprint"/keine Gesichtserkennung) und kein KI-Training mit deinen Medien statt. Du kannst die Einwilligung jederzeit widerrufen; Details in den Nutzungsrichtlinien für Medien.
Die Google-Sheets-Verbindung wird ausschließlich von deinem Coach aktiviert. Hat dein Coach ein Google-Sheet ausgewählt und ist für dein Coaching die Tracker-Synchronisation im Modus daily_2359 eingerichtet, überträgt Client2Coach deine Tracker-Einträge täglich im Zeitfenster von 23:58 bis 23:59 Uhr automatisch aus der App in dieses Coach-Sheet. Du musst die Google-Verbindung dafür nicht selbst aktivieren und löst die einzelnen Übertragungen nicht selbst aus.
Empfänger ist Google LLC. Übertragen werden die für dein Coaching erfassten Tracker- und Fortschrittswerte, einschließlich Trainings-, Ernährungs- und Gesundheitsdaten, soweit du diese in der App erfasst oder freigegeben hast. Zweck ist die Durchführung des Coachings und die Fortschrittskontrolle. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO sowie für Gesundheitsdaten deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Google LLC verarbeitet die Daten in den USA auf Grundlage von Standardvertragsklauseln (SCCs) und einem Auftragsverarbeitungsvertrag (DPA).
Ist kein Coach-Sheet für dich konfiguriert oder die Tracker-Synchronisation deaktiviert, erfolgt keine automatische Übertragung. Deinen Widerruf oder Wunsch, den automatischen Transfer zu beenden, richtest du an deinen Coach oder an den Verantwortlichen unter c2c.client2coach@gmail.com; die Verbindung beziehungsweise Sheet-Konfiguration wird dann für dich beendet. Coaches können ihre Google-Verbindung jederzeit in den App-Einstellungen unter Integrationen → Google trennen. Zugriff, Nutzung, Speicherung und Weitergabe sind in Abschnitt 4 beschrieben.
| Anbieter | Zweck | Serverstandort |
|---|---|---|
| Sliplane | App-Hosting (Backend + Automatisierungs-Komponente n8n) | EU (Deutschland) |
| Supabase | Datenbank sowie privater Objektspeicher für hochgeladene Fortschritts-Medien (Video/Sprache/Bild) | EU (Region eu-west-1) |
| Scaleway | KI-Modell für redigierte Struktur-Erkennung und den ausdrücklich ausgelösten Import von Zielwerten; zusätzlich privater Objektspeicher (S3-kompatibel) für Fortschritts-Medien | EU (Frankreich) |
| Google LLC | Google-Sheets-Verbindung des Coaches und automatischer Tracker-Transfer betreuter Klienten bei konfiguriertem Sheet | USA (SCCs/DPA) |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung, Abonnementverwaltung, Rechnungs- und Betrugspräventionsdaten; nur bei kostenpflichtiger Nutzung | EU und weitere Länder nach Stripe-DPA/Transfermechanismen |
| RevenueCat, Inc. | Prüfung und Verwaltung nativer App-Store-/Google-Play-Abos mit pseudonymer User-ID und Kaufhistorie | USA; erforderliche Vertrags- und Transfermechanismen vor Produktivaktivierung |
| Apple Inc. | Storekonto, Zahlung und Verwaltung von in der iOS-App abgeschlossenen Abos | Nach Apple-Vertrags- und Datenschutzbedingungen |
| Google LLC (Google Play) | Storekonto, Zahlung und Verwaltung von in der Android-App abgeschlossenen Abos | Nach Google-Play-Vertrags- und Datenschutzbedingungen |
| Functional Software, Inc. (Sentry) | Technische Fehler- und Absturzdiagnose; ohne Request-Inhalte, Authentifizierungsdaten, Screenshots oder standardmäßige Personenidentifikation | USA/EU nach Sentry-DPA und Standardvertragsklauseln |
Wenn du im Web ein kostenpflichtiges Abonnement abschließt oder verwaltest, werden die hierfür erforderlichen Konto-, Kontakt-, Rechnungs-, Steuer- und Zahlungsdaten an Stripe übermittelt. Vollständige Karten- oder Bankdaten werden im von Stripe bereitgestellten Checkout erhoben und nicht auf Client2Coach-Servern gespeichert. Client2Coach erhält insbesondere Kunden-, Abo-, Zahlungsstatus- und Rechnungskennungen, um den Vertrag zu erfüllen, Zugänge zu steuern, Zahlungen zuzuordnen und gesetzliche Nachweise zu führen (Art. 6 Abs. 1 lit. b und c DSGVO). Stripe verarbeitet Daten teilweise in eigener Verantwortlichkeit, etwa zur Betrugsprävention und Erfüllung regulatorischer Pflichten. Es gelten das Stripe Data Processing Agreement und die dort beschriebenen Transfermechanismen.
Bei einem nativen Abo in iOS oder Android verarbeitet der jeweilige Store die Zahlung. Client2Coach erhält keine vollständigen Karten- oder Bankdaten. Über RevenueCat werden die interne User-ID sowie Produkt-ID, Kauf- und Transaktionshistorie, Store-Beleg beziehungsweise Store-Token, Abozustand, Laufzeit, Währung und technische Store-Metadaten verarbeitet. Zweck sind Kauf, Wiederherstellung, Betrugsprävention, Zugangssteuerung, Support und Abo-Analyse (Art. 6 Abs. 1 lit. b und c DSGVO). Gesundheits-, Fitness-, Ernährungs-, Foto-, Chat- und Coachinginhalte werden nicht an RevenueCat übermittelt. Ein Store-Abo muss in der Aboverwaltung von Apple beziehungsweise Google gekündigt werden; eine Client2Coach-Kontolöschung beendet es nicht automatisch.
Zur Erkennung technischer Fehler kann Client2Coach Sentry einsetzen (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an Sicherheit und Stabilität). Die Integration ist datensparsam konfiguriert: keine Request-Bodies oder Gesundheitsinhalte, keine Authentifizierungs- oder Cookie-Header, keine Screenshots oder View-Hierarchien und keine standardmäßige Übermittlung von Name, E-Mail oder Nutzerkennung. Erfasst werden insbesondere technische Absturzinformationen, Stacktraces, App-Version, Betriebssystem und Geräteklasse. Die Aufbewahrung im Sentry-Projekt wird vor Aktivierung möglichst kurz eingestellt.
Verbindet ein Coach sein Google-Konto, nutzt Client2Coach den Scope https://www.googleapis.com/auth/drive.file. Damit kann die App ausschließlich die Google-Sheets-Dateien lesen und bearbeiten, die der Coach über den Google Picker ausdrücklich auswählt. Andere Drive-Dateien kann Client2Coach nicht sehen oder durchsuchen. Die Daten werden nicht für Werbung genutzt und nicht verkauft.
Das vom Coach ausgewählte Sheet kann auch Tracker-Einträge seiner betreuten Klienten erhalten, wenn deren Synchronisation auf daily_2359 eingestellt und ein Sheet konfiguriert ist. Ohne diese beiden Voraussetzungen erfolgt kein automatischer Klienten→Coach-Sheet-Transfer.
KI-Unterstützung: Bei der automatischen Struktur-Erkennung werden Spaltenüberschriften und redigierte Strukturinformationen über n8n durch ein KI-Modell von Scaleway (EU, Frankreich) analysiert; tatsächliche Zellwerte werden dafür entfernt oder ersetzt. Löst ein Coach die optionale Funktion „Vorgaben aus Sheet übernehmen“ ausdrücklich aus, werden die ausgewählten Tabellenbereiche einschließlich dort eingetragener Zielwerte zur Extraktion verarbeitet. Es findet keine automatisierte Einzelentscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt.
Die Nutzung und Weitergabe von Informationen, die Client2Coach über Google-APIs erhält, erfolgt im Einklang mit der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen.
Optionale Fotoanalyse: Nach einer getrennten, versionierten Einwilligung kannst du ausgewählte Essens- und Trainingsplanfotos zusammen mit einer optionalen Beschreibung durch Scaleway Generative APIs in der EU analysieren lassen. Zweck ist ausschließlich die Erkennung von Mahlzeiten, Mengen und Trainingsplaninhalten. Es erfolgt keine biometrische Identifizierung und keine Freigabe der Bilder zum Modelltraining. Die Einwilligung ist freiwillig und kann jederzeit in den Einstellungen widerrufen werden.
Wenn du den optionalen KI-Assistenten Lumi nutzt, verarbeitet Client2Coach deine Chatnachrichten und – bei erteilter KI- sowie Recovery-Einwilligung – eine abgeleitete Regenerationskategorie, deren Treiber und ein 7-Tage-Muster. Rohwerte für Herzfrequenzvariabilität, Ruhepuls und Schlafdauer werden nicht an Lumi übermittelt. Zweck ist die Erklärung und Analyse deiner Regeneration; die feste Recovery-Regel trifft die Kategorie und Trainingsempfehlung. Die Verarbeitung erfolgt über das KI-Modell von Scaleway/Mistral in der EU. Chatfrage und -antwort werden pseudonym für höchstens 30 Tage gespeichert. Antworten von Lumi sind KI-generiert.
Kontobezogene App-Daten werden grundsätzlich bis zur Löschung deines Kontos gespeichert. Server-Logs werden nach spätestens 30 Tagen automatisch gelöscht; technische Fingerabdrücke nativer Abo-Webhooks ohne User-ID nach 90 Tagen. Bei aktivierter Erholungseinschätzung werden die separat freigegebenen Tageswerte für Herzfrequenzvariabilität, Ruhepuls und Schlafdauer kontogebunden auf dem Client2Coach-Backend gespeichert und für eine 28-Tage-Vergleichsbasis ausgewertet. Beim Widerruf der Recovery-Einwilligung werden diese Erholungs-Snapshots gelöscht. Ein zugeordnetes RevenueCat-Kundenprofil wird derzeit nicht automatisch durch die Kontolöschung entfernt; dessen gesonderte Löschung kannst du per E-Mail an c2c.client2coach@gmail.com verlangen. Kauf- und Zahlungsdaten bei Apple, Google oder Stripe unterliegen zusätzlich den jeweiligen Anbieterprozessen; gesetzlich aufzubewahrende Zahlungs- und Steuerbelege bleiben bis zum Ablauf der jeweiligen Frist gesperrt.
Anfragen richten an: c2c.client2coach@gmail.com — Betreff: „Datenschutzanfrage"
Die Web-App setzt keine Tracking-Cookies und keine Analyse-Tools (kein Google Analytics, kein Meta-Pixel o. Ä.). Der kurzlebige Access-Token wird nur im Arbeitsspeicher des Browsers gehalten; der Refresh-Token liegt in einem technisch notwendigen, HttpOnly-, Secure- und SameSite=Strict-geschützten Cookie. Frühere Token-Einträge im localStorage werden entfernt. Beim Abmelden werden Sitzung und Refresh-Cookie ungültig gemacht.
Die App richtet sich an Personen ab 16 Jahren. Wir erfassen wissentlich keine Daten von Kindern unter 16 Jahren.
Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail oder In-App-Hinweis. Das Datum „Stand" oben zeigt die letzte Aktualisierung.