Datenschutzerklärung

1. Verantwortlicher für Datenverarbeitung

Name: Moritz Losert

Adresse: Eichendorffweg 1, 73760 Ostfildern, Germany

E-Mail: contact@nextrep.de

2. Persönliche Daten, die wir erfassen

Wir erfassen und verarbeiten die folgenden personenbezogenen Daten, wenn du unsere Website und die NextRep-App für iOS oder Android nutzt:

2.1 Kontodaten

E-Mail-Adresse, Benutzername, Name (optional), gehashtes Passwort, Profilbild (optional). Dein Profilbild wird privat gespeichert und nur dir selbst angezeigt; die App lädt es über zeitlich begrenzte Links (höchstens eine Stunde gültig). Profilbilder, die mit älteren App-Versionen hochgeladen wurden, liegen bis zu ihrer Umstellung noch unter einer nicht veröffentlichten, aber für jeden mit dem Link abrufbaren Adresse. Meldest du dich mit Apple oder Google an, erhalten wir zusätzlich die Angaben aus Abschnitt 5.

2.2 Fitness- und Gesundheitsdaten

  • Trainingsdaten (Typ, Dauer, Intensität, Bewegungsrouten)
  • Gewicht und Körpermessungen – selbst eingetragen oder aus Apple Health bzw. Health Connect importiert
  • Ernährungstagebuch und Lebensmittel-Scans
  • Nahrungsergänzungsmittel (Supplements)
  • Schrittanzahl und Aktivitätsdaten
  • Standortdaten (für Lauf-Funktionen und Route-Verfolgung)

2.3 Apple Health (iOS) und Health Connect (Android)

Apple Health (iOS)

Mit deiner Zustimmung liest NextRep auf dem iPhone Schritte, Gewicht, Trainings, Distanz, aktive Kalorien, Herzfrequenz und Trainingsrouten aus Apple Health und schreibt Gewicht, Trainings, Distanz, aktive Kalorien und Trainingsrouten dorthin – Läufe, die du in NextRep aufzeichnest, landen also inklusive Strecke in Apple Health. Aus Apple Health importierte Gewichtswerte und Läufe (inkl. Strecke und Herzfrequenz) werden wie selbst eingetragene Daten in deinem NextRep-Konto gespeichert (Supabase, EU) und zwischen deinen Geräten synchronisiert. Schritte aus Apple Health nutzen wir nur zur Anzeige und für die Schritt-Erinnerung; sie werden nicht in deinem Konto gespeichert. Daten aus Apple Health werden nicht für Werbung genutzt und nicht verkauft. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a i. V. m. Art. 9 Abs. 2 lit. a DSGVO).

Health Connect (Android)

Auf Android kann NextRep mit deiner ausdrücklichen Erlaubnis Daten mit Health Connect austauschen. Welche Datentypen du freigibst, entscheidest du selbst in Health Connect:

  • Schritte (lesen): Anzeige deiner Schritte (Startseite, Schritte-Detailseite, Kalender, Widget, Rückblick) und Prüfung deines Tagesziels für die Schritt-Erinnerung.
  • Gewicht (lesen und schreiben): Import von Messungen anderer Apps (z. B. smarter Waagen) und Speichern der Werte, die du in NextRep einträgst.
  • Trainings (lesen und schreiben): Speichern abgeschlossener Trainings als Trainingseinheit; das Lesen verhindert doppelte Einträge.
  • Läufe inkl. Distanz und GPS-Route (lesen und schreiben): Speichern deiner Läufe und Import von Läufen anderer Apps.
  • Aktive Kalorien (schreiben): Speichern der geschätzten verbrannten Kalorien deiner in NextRep aufgezeichneten oder eingetragenen Läufe; importierte Läufe werden nicht zurückgeschrieben.
  • Herzfrequenz (lesen und schreiben): Durchschnitt und Maximum importierter Läufe (werden mit dem Lauf in deinem Konto gespeichert) sowie Anzeige des Pulsverlaufs im Lauf-Detail, wenn der Lauf selbst keinen hat (der Verlauf wird nur angezeigt, nicht gespeichert); Speichern des Pulsverlaufs deiner in NextRep live aufgezeichneten Läufe, sofern dabei Puls gemessen wurde (z. B. mit einem verbundenen Herzfrequenzsensor). Importierte Läufe werden nicht zurückgeschrieben.
  • Verlauf (lesen, älter als 30 Tage vor der ersten Freigabe): wird nur auf der Schritte-Detailseite (Monat, 6 Monate, Jahr) angefragt, wenn du dort „Verlauf freigeben“ tippst. Danach können auch Kalender, Rückblick (Wrapped) und der manuelle Import ältere Einträge der von dir freigegebenen Datentypen anzeigen.
  • Lesen im Hintergrund: nur für die optionale Smart-Schritt-Erinnerung, wenn du sie aktivierst.

Aus Health Connect importierte Werte werden wie selbst eingetragene Daten in deinem NextRep-Konto gespeichert (Supabase, EU) und zwischen deinen Geräten synchronisiert. Daten aus Health Connect werden nicht verkauft, nicht für Werbung genutzt und nicht an Dritte weitergegeben. Die Nutzung entspricht den Health-Connect-Richtlinien von Google, einschließlich der Anforderungen an die eingeschränkte Nutzung (Limited Use). Du kannst die Erlaubnis jederzeit in Health Connect oder in NextRep unter Profil → Health Connect widerrufen; bereits importierte Einträge kannst du in der App löschen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a i. V. m. Art. 9 Abs. 2 lit. a DSGVO).

Herzfrequenzsensor (Android)

Wenn du in der Lauf-Vorbereitung einen Bluetooth-Herzfrequenzsensor (z. B. Brustgurt oder Uhr) verbindest, liest NextRep dessen Pulswerte nur während eines von dir gestarteten Laufs. Dafür fragt Android nach der Berechtigung „Geräte in der Nähe“ (bis Android 11 nach dem Standort, den NextRep für Läufe ohnehin nutzt); NextRep leitet aus der Bluetooth-Suche keinen Standort ab. Durchschnitt, Maximum und der Verlauf (ein Wert je 5 Sekunden) werden mit dem Lauf in deinem NextRep-Konto gespeichert (Supabase, EU) und zwischen deinen Geräten synchronisiert; wenn du es in Health Connect erlaubst, wird der Verlauf zusätzlich dort gespeichert. Die Bluetooth-Adresse des Sensors bleibt auf deinem Gerät. Du kannst den Sensor jederzeit entfernen und Läufe in der App löschen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a i. V. m. Art. 9 Abs. 2 lit. a DSGVO).

Hinweis für beide Plattformen: Für den KI-Trainingsplan übermitteln wir dein aktuelles Körpergewicht aus deinem Profil (siehe 2.4). Stammt dieser Wert aus Apple Health oder Health Connect, wird er in diesem Rahmen ebenfalls übermittelt.

2.4 KI-gestützte Funktionen

Wenn du KI-Funktionen nutzt (Lebensmittel-Scan per Foto, Erfassung von Mahlzeiten per Freitext, Import eines Trainingsplans aus einem Bild, personalisierter KI-Trainingsplan), werden die dafür nötigen Daten über unseren Server an OpenAI (USA) übertragen: beim Essensfoto das Foto und ggf. dein Hinweis dazu, bei der Texteingabe dein Text, beim Bildimport das Foto bzw. der Screenshot deines Plans, beim KI-Trainingsplan Geschlecht, Größe, Gewicht, Zielgewicht und deine Antworten aus dem Fragebogen (Ziel, Erfahrung, Trainingstage, Dauer, Ausrüstung, Aufteilung, Notizen). Für Bildimport und Trainingsplan senden wir zusätzlich Namen und Muskelgruppen der Übungen aus deiner Bibliothek mit, auch deiner eigenen. Name, E-Mail-Adresse und Konto-Kennung werden nicht an OpenAI übermittelt. Fotos werden nur zur Analyse übertragen und von uns nicht gespeichert. Laut den API-Bedingungen von OpenAI werden die Daten nicht zum Training von KI-Modellen genutzt und höchstens 30 Tage zur Missbrauchserkennung gespeichert. Barcodes erkennt die Android-App mit Google ML Kit direkt auf dem Gerät; das Kamerabild verlässt dabei nicht das Gerät, Google erhält laut eigener Angabe nur technische Nutzungs- und Leistungsdaten.

Bevor du eine KI-Funktion zum ersten Mal nutzt, fragt die App nach deiner ausdrücklichen Einwilligung und zeigt, welche Daten an wen übermittelt werden. Ohne Einwilligung wird nichts an OpenAI gesendet. Den Zeitpunkt deiner Einwilligung speichern wir auf dem Gerät und in deinem Konto, damit du auf deinen anderen Geräten nicht erneut gefragt wirst. Du kannst die Einwilligung jederzeit in der App unter Profil → Datenschutz → „KI-Funktionen (OpenAI)“ widerrufen; danach fragt die App vor der nächsten Nutzung erneut. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, für Gesundheitsangaben wie Gewicht i. V. m. Art. 9 Abs. 2 lit. a DSGVO).

Für die Nutzungsgrenzen der KI-Funktionen zählen wir je Konto, wie oft du welche Funktion verwendet hast (Tageszähler werden nach 14 Tagen gelöscht, der Gesamtzähler für das Gratis-Kontingent bleibt bis zur Löschung deines Kontos). Meldest du ein falsch erkanntes Ergebnis, speichern wir die erkannten Speisen mit Nährwerten und deinen Grund – ohne Foto. Zähler und Meldungen werden beim Löschen deines Kontos mitgelöscht.

2.5 Geräteinformationen

Betriebssystem und Version, App-Version, Gerätemodell und eine zufällige Installations-ID. Wir verwenden keine Werbe-ID.

2.6 Nutzungsstatistik und Absturzberichte

Um NextRep zu verbessern, erfassen wir, welche Funktionen genutzt werden (z. B. „Training abgeschlossen“, „Mahlzeit per Scan hinzugefügt“, „Kauf abgeschlossen“), sowie App-Version, Plattform (iOS/Android), eine zufällige Installations-ID und eine Sitzungs-ID. Einzelne Ereignisse enthalten zusätzliche Angaben, etwa Distanz und Dauer eines abgeschlossenen Laufs, Dauer und Satzanzahl eines Trainings oder das im Onboarding gewählte Ziel (Abnehmen, Gewicht halten oder Muskelaufbau), damit wir sehen, welcher Vorschlag nach der Einrichtung hilft; Freitexte, Körperwerte und Nährwerte erfassen wir dabei nicht. Nach der Anmeldung wird das Ereignis deinem Konto zugeordnet. Stürzt die App ab oder reagiert sie nicht, wird ein technischer Absturzbericht übermittelt (Gerätemodell, Betriebssystemversion, App-Version, Fehlerursache und technischer Ablauf); auf dem iPhone stellt iOS diesen Bericht bereit (MetricKit). Gesendet wird nur aus Versionen, die über den App Store bzw. TestFlight oder über Google Play installiert wurden. Diese Daten speichern wir ausschließlich in unserer eigenen Datenbank (Supabase, EU); sie werden nicht an Analyse- oder Werbedienste weitergegeben und nicht zum app-übergreifenden Tracking verwendet. Wir verwenden keine Werbe-ID und fragen deshalb auch nicht nach einer Tracking-Erlaubnis. Rechtsgrundlage ist unser berechtigtes Interesse an einer stabilen und verbesserten App (Art. 6 Abs. 1 lit. f DSGVO).

Du kannst der Erfassung jederzeit widersprechen: In der App (iOS und Android) unter Profil → Datenschutz schaltest du „Nutzungsdaten & Absturzberichte teilen“ aus. Die Einstellung gilt für das jeweilige Gerät, Standard ist an. Beim Ausschalten löscht die App die Installations-ID; beim Abmelden wird sie neu erzeugt.

2.7 Android-Warteliste (Website)

Zweck: Wenn du dich auf nextrep.de/android in die Warteliste einträgst, nutzen wir deine E-Mail-Adresse ausschließlich, um dich zu benachrichtigen, sobald NextRep für Android verfügbar ist – einschließlich einer Einladung zur Testphase (Beta) über Google Play.

Daten: E-Mail-Adresse und Zeitpunkt der Eintragung.

Rechtsgrundlage: Art. 6 Abs. 1 a) DSGVO (Einwilligung), die du mit dem Absenden des Formulars erteilst.

Speicherung: Die Daten werden bei Supabase (EU-Datencenter) gespeichert, unserem Auftragsverarbeiter nach DSGVO Art. 28 (siehe Abschnitt 4).

Löschung: Wir löschen deine Eintragung, sobald NextRep im Google Play Store verfügbar ist und wir dich benachrichtigt haben, oder jederzeit früher auf deinen Wunsch.

Missbrauchsschutz: Um automatisierte Massen-Eintragungen zu verhindern, begrenzen wir die Zahl der Eintragungen je IP-Adresse. Dazu speichern wir nicht die IP-Adresse selbst, sondern nur einen mit einem geheimen Schlüssel gebildeten Hashwert (pseudonymisiert; bei IPv6 aus den ersten 64 Bit der Adresse), getrennt von deiner Eintragung, und löschen ihn nach spätestens 25 Stunden. Rechtsgrundlage: Art. 6 Abs. 1 f) DSGVO (berechtigtes Interesse an einem funktionsfähigen, missbrauchsfreien Formular).

Widerruf: Du kannst deine Einwilligung jederzeit ohne Angabe von Gründen widerrufen – über den Abmeldelink in unserer E-Mail oder per Nachricht an contact@nextrep.de. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

2.8 Athleten-Bewerbung (Website)

Zweck: Wenn du dich auf nextrep.de als Athlet bewirbst, nutzen wir deine Angaben, um deine Bewerbung zu prüfen und dich zu einer möglichen Zusammenarbeit zu kontaktieren.

Daten: Name, E-Mail-Adresse, Instagram- und/oder TikTok-Name (mindestens eins), Anzahl deiner Follower und deine Nachricht.

Rechtsgrundlage: Art. 6 Abs. 1 b) DSGVO (vorvertragliche Maßnahmen auf deine Anfrage).

Speicherung: Die Daten werden bei Supabase (EU-Datencenter) gespeichert, unserem Auftragsverarbeiter nach DSGVO Art. 28 (siehe Abschnitt 4).

Löschung: Kommt keine Zusammenarbeit zustande, löschen wir deine Bewerbung spätestens sechs Monate nach unserer Entscheidung, auf deinen Wunsch auch früher (Nachricht an contact@nextrep.de).

Missbrauchsschutz: Um automatisierte Massen-Bewerbungen zu verhindern, begrenzen wir die Zahl der Bewerbungen je IP-Adresse. Dazu speichern wir nicht die IP-Adresse selbst, sondern nur einen mit einem geheimen Schlüssel gebildeten Hashwert (pseudonymisiert; bei IPv6 aus den ersten 64 Bit der Adresse), getrennt von deiner Bewerbung, und löschen ihn nach spätestens 25 Stunden. Rechtsgrundlage: Art. 6 Abs. 1 f) DSGVO (berechtigtes Interesse an einem funktionsfähigen, missbrauchsfreien Formular).

2.9 Hosting und Server-Logfiles (Website)

Zweck: Unsere Website nextrep.de wird bei der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, gehostet. Wenn du eine Seite aufrufst, verarbeitet der Hoster technisch notwendige Daten in sogenannten Server-Logfiles, damit die Seite ausgeliefert werden kann und der Betrieb sicher und stabil bleibt (z. B. zur Erkennung und Abwehr von Angriffen).

Daten: IP-Adresse, Datum und Uhrzeit des Aufrufs, aufgerufene Seite bzw. Datei, Referrer (die zuvor besuchte Seite), Browser und Betriebssystem.

Rechtsgrundlage: Art. 6 Abs. 1 f) DSGVO. Unser berechtigtes Interesse ist der sichere und fehlerfreie Betrieb der Website.

Speicherung: STRATO verarbeitet die Daten in unserem Auftrag als Auftragsverarbeiter nach DSGVO Art. 28. Was du in die Formulare für die Android-Warteliste oder die Athleten-Bewerbung einträgst, wird direkt an Supabase übermittelt (siehe 2.7 und 2.8).

Löschung: Die Server-Logfiles löscht bzw. anonymisiert der Hoster nach kurzer Zeit automatisch, sobald sie für den sicheren Betrieb nicht mehr benötigt werden; die genauen Fristen legt der Hoster im Auftragsverarbeitungsvertrag fest. Wir werten die Logfiles nicht aus und führen sie nicht mit anderen Daten zusammen.

2.10 YouTube-Video auf der Startseite (erst nach Klick)

Zweck: Auf der Startseite zeigen wir ein Video, das bei YouTube liegt. Solange du nicht auf „Video abspielen“ tippst, siehst du nur ein Vorschaubild von unserem eigenen Server – es wird keine Verbindung zu YouTube aufgebaut. Erst wenn du das Video startest, lädt dein Browser den YouTube-Player im erweiterten Datenschutzmodus (youtube-nocookie.com). Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Daten: Nach dem Klick: IP-Adresse, Datum und Uhrzeit, das aufgerufene Video, die Seite, auf der es eingebunden ist, sowie Browser- und Geräteinformationen. YouTube setzt dabei Cookies bzw. ähnliche Speichertechniken auf deinem Gerät oder liest sie aus und kann die Wiedergabe z. B. für Statistiken und zur Missbrauchsabwehr auswerten.

Rechtsgrundlage: Art. 6 Abs. 1 a) DSGVO in Verbindung mit § 25 Abs. 1 TDDDG (Einwilligung). Du erteilst sie, indem du nach dem Hinweis am Video auf „Video abspielen“ tippst. Ohne diesen Klick werden keine Daten an YouTube übertragen.

Drittland: Google kann die Daten auch an die Google LLC in den USA übermitteln. Die Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (siehe Abschnitt 12). Für die weitere Verarbeitung durch YouTube ist Google verantwortlich; Details: https://policies.google.com/privacy

Widerruf: Die Einwilligung gilt nur für den jeweiligen Seitenaufruf – beim nächsten Besuch siehst du wieder nur das Vorschaubild. Von YouTube gesetzte Cookies kannst du jederzeit in deinem Browser löschen.

3. Rechtliche Grundlage für Datenverarbeitung

Art. 6 Abs. 1 b) DSGVO (Vertraglicher Zweck): Datenverarbeitung zur Erbringung und Verwaltung deines Benutzerkontos, zum Betrieb der App-Funktionen, zur Abwicklung deines Abonnements sowie – als vorvertragliche Maßnahme – zur Bearbeitung von Athleten-Bewerbungen.

Art. 6 Abs. 1 a) DSGVO (Zustimmung): Für Apple Health und Health Connect, den Standortzugriff, die KI-Funktionen (OpenAI), die Strava-Verbindung, die Eintragung in die Android-Warteliste und das Abspielen des YouTube-Videos auf der Startseite (siehe 2.10) benötigen wir deine ausdrückliche Einwilligung. Du kannst sie jederzeit in der App (für die KI-Funktionen unter Profil → Datenschutz) bzw. in den Systemeinstellungen deines Geräts oder – für die Warteliste – per E-Mail an contact@nextrep.de widerrufen; für das YouTube-Video gilt sie nur für den jeweiligen Seitenaufruf.

Art. 6 Abs. 1 f) DSGVO (Berechtigte Interessen): Sicherheitsmaßnahmen und Betrugsprävention, Nutzungsstatistik und Absturzberichte (siehe 2.6, Widerspruch per Schalter in der App), die Kartendarstellung im Lauf-Detail der Android-App (siehe Abschnitt 5) sowie sicherer Betrieb der Website (Server-Logfiles, siehe 2.9).

4. Datenspeicherung und Infrastruktur

Lokale Speicherung: Die meisten deiner Daten werden zunächst lokal auf deinem iPhone bzw. Android-Gerät gespeichert. Beim Abmelden werden die lokalen Daten auf dem Gerät gelöscht.

Supabase: Deine Kontodaten, Fitnessdaten und Synchronisierungsdaten werden auf Supabase-Servern (EU-Datencenter) gespeichert. Supabase ist ein Auftragsverarbeiter nach DSGVO Art. 28.

Sicherung auf Android: Die Android-Sicherung (Google-Backup bzw. Gerätewechsel) enthält nur Darstellungseinstellungen der App (Akzentfarbe, hell/dunkel, Ton- und Sprachansagen). Gesundheits-, Trainings- und Kontodaten sowie deine Anmeldung sind von der Sicherung ausgeschlossen; nach einer Neuinstallation werden sie nach der Anmeldung aus deinem Konto geladen.

Verschlüsselung: Alle Datenübertragungen sind via TLS 1.2+ verschlüsselt.

5. Datenaustausch mit Dritten

OpenAI: Bei Nutzung von KI-Funktionen (siehe 2.4) werden – nach deiner Einwilligung – die dafür nötigen Daten über unseren Server an die OpenAI-API übertragen (OpenAI, L.L.C., USA). OpenAI verarbeitet diese Daten als Auftragsverarbeiter zur Erbringung des Dienstes, nutzt sie nicht zum Training eigener Modelle und speichert sie höchstens 30 Tage zur Missbrauchserkennung (siehe OpenAI-API-Datenschutzrichtlinien).

Apple-Dienste (iOS): Wenn du „Mit Apple anmelden“ nutzt, erhalten wir von Apple eine anonymisierte oder deine echte E-Mail-Adresse (je nach deiner Auswahl). Löschst du dein Konto, widerrufen wir die Anmeldung mit Apple. Erinnerungen der App sind lokale Mitteilungen, die dein Gerät selbst plant; wir versenden keine Push-Nachrichten über einen Server. Kartenansichten auf dem iPhone nutzen Apple Karten. In-App-Käufe und Abonnements auf dem iPhone werden über Apple abgewickelt – deine Zahlungsdaten erreichen uns nie. Anbieter: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Rechtsgrundlage: Art. 6 Abs. 1 b) DSGVO (Vertragserfüllung). Datenschutzerklärung: https://www.apple.com/legal/privacy/

Google-Dienste (Android): Wenn du dich mit „Mit Google anmelden“ registrierst oder anmeldest, erhalten wir von Google deinen Namen, deine E-Mail-Adresse und eine Google-Nutzerkennung. Wir verwenden diese Daten ausschließlich zur Anmeldung und Verwaltung deines Kontos. Die Anmeldung läuft über den Android Credential Manager und die Google Play-Dienste auf deinem Gerät. Die Android-App wird über Google Play vertrieben; Abonnements auf Android werden über Google Play Billing abgewickelt – deine Zahlungsdaten erreichen uns nie. Google verarbeitet dabei Daten nach seinen eigenen Datenschutzbestimmungen. Rechtsgrundlage: Art. 6 Abs. 1 b) DSGVO (Vertragserfüllung). Datenschutzerklärung: https://policies.google.com/privacy

RevenueCat: Zur Verwaltung von In-App-Abonnements nutzen wir RevenueCat (RevenueCat, Inc., 1 Letterman Drive, Suite C3-700, San Francisco, CA 94129, USA) als Auftragsverarbeiter. Die Zahlung selbst wickeln Apple (App Store) bzw. Google (Google Play Billing) ab; wir erhalten keine Zahlungsdaten wie Kreditkartennummern. Sobald du angemeldet bist, verknüpft die App deine Käufe mit der Kennung deines NextRep-Kontos (eine zufällige ID, ohne Name oder E-Mail-Adresse); so wird dein Premium-Zugang geräte- und plattformübergreifend freigeschaltet. RevenueCat erhält diese Kennung, Informationen zu Käufen und Abo-Status sowie technische Gerätedaten. Wenn du einen Athleten-Code einlöst, wird dieser Code ebenfalls an RevenueCat übermittelt. Wenn du dein NextRep-Konto löschst, löschen wir auch deine Kundendaten bei RevenueCat (Konto-Kennung und Kaufhistorie). Rechtsgrundlage: Art. 6 Abs. 1 b) DSGVO (Vertragserfüllung). Datenschutzerklärung von RevenueCat: https://www.revenuecat.com/privacy/

Mailgun: Bestätigungs- und Konto-E-Mails (z. B. E-Mail-Adresse bestätigen, Passwort zurücksetzen, E-Mail-Adresse ändern) versenden wir über Mailgun (Mailgun Technologies, Inc., USA) als Auftragsverarbeiter, über deren EU-Server. Dabei werden deine E-Mail-Adresse und der Inhalt der E-Mail (Bestätigungslink bzw. -code) übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 b) DSGVO (Vertragserfüllung).

OpenFoodFacts: Beim Scannen von Lebensmittel-Barcodes in der iOS-App wird der gescannte Barcode an die OpenFoodFacts-API (https://world.openfoodfacts.org) übertragen, um Produktinformationen abzurufen. Es werden keine personenbezogenen Daten übermittelt. OpenFoodFacts ist ein gemeinnütziges Projekt mit Sitz in Frankreich. Die Android-App fragt Produktdaten über unsere eigene Datenbank ab. Rechtsgrundlage: Art. 6 Abs. 1 b) DSGVO (Vertragserfüllung).

Strava: Du kannst NextRep auf dem iPhone und auf Android freiwillig mit deinem Strava-Konto verbinden (Strava Inc., USA). Die Anmeldung erfolgt auf der Seite von Strava; den Anmelde-Code tauscht unser Server ein. Dabei speichern wir kurzzeitig einen Prüfwert, der die Anmeldung deinem Konto zuordnet; die Strava-Zugangsschlüssel selbst werden nur auf deinem Gerät gespeichert (auf dem iPhone im Schlüsselbund, auf Android verschlüsselt). Mit der Verbindung importiert NextRep deine Lauf-Aktivitäten (Datum, Dauer, Distanz, Route, ggf. Herzfrequenz) in dein Konto. Einen in NextRep aufgezeichneten Lauf lädt die App nur hoch, wenn du ihn ausdrücklich zu Strava hochlädst. Trennst du die Verbindung, meldest du dich ab oder löschst du dein Konto, widerruft die App den Zugriff bei Strava und löscht die Zugangsschlüssel auf dem Gerät. Den Widerruf löst dein Gerät aus; gelingt er nicht (z. B. ohne Internetverbindung), kannst du NextRep jederzeit auch direkt in deinen Strava-Einstellungen entfernen. Rechtsgrundlage: Art. 6 Abs. 1 a) und b) DSGVO. Datenschutzerklärung von Strava: https://www.strava.com/legal/privacy

Kartendarstellung (OpenFreeMap / OpenStreetMap, Android): Wenn du in der Android-App einen Lauf mit aufgezeichneter Strecke öffnest, lädt die App die Kartenausschnitte rund um diese Strecke direkt vom Kartendienst OpenFreeMap (https://openfreemap.org; Server tiles.openfreemap.org), nicht über unseren Server. Dabei werden technisch notwendig deine IP-Adresse, die Kennung der App (App-Name, App-Version, Android-Version) und die angefragten Kartenausschnitte (Kachel-Koordinaten) übermittelt. Aus den Ausschnitten lässt sich das ungefähre Gebiet der Strecke ablesen; die Strecke selbst, Zeitpunkte, dein Konto oder andere Laufdaten werden nicht übermittelt. Es werden keine Cookies gesetzt und keine Kennungen zum Wiedererkennen verwendet. Die geladenen Kartenausschnitte werden auf deinem Gerät zwischengespeichert (höchstens 20 MB) und beim Abmelden bzw. Löschen des Kontos gelöscht. Ohne Internetverbindung zeigt die App die Strecke ohne Karte. Die Kartendaten stammen von OpenStreetMap (© OpenStreetMap-Mitwirkende, Open Database License). Rechtsgrundlage ist unser berechtigtes Interesse an einer verständlichen Darstellung deiner Strecke (Art. 6 Abs. 1 f) DSGVO).

Behörden: Wir geben Daten nur frei, wenn dies gesetzlich erforderlich ist.

6. Gesundheitsdaten- und Standortzugriff

Für den vollen Funktionsumfang brauchen wir deine Zustimmung für:

  • Apple Health (iOS): Lesen von Schritten, Gewicht, Trainings, Distanz, aktiven Kalorien, Herzfrequenz und Trainingsrouten; Schreiben von Gewicht, Trainings, Distanz und aktiven Kalorien (siehe 2.3)
  • Health Connect (Android): die in Abschnitt 2.3 aufgeführten Datentypen, jeweils einzeln freigebbar
  • Standortzugriff: Ungefährer oder genauer Standort für Lauf-Funktionen und Routen-Aufzeichnung
  • Geräte in der Nähe (Android): nur zum Verbinden eines Bluetooth-Herzfrequenzsensors für Läufe, ohne Standortbezug (siehe 2.3)

Auf Android verwendet NextRep den Standort nur während eines Laufs, den du selbst startest. Damit die Aufzeichnung bei ausgeschaltetem Bildschirm weiterläuft, nutzt die App einen Vordergrunddienst; währenddessen ist eine dauerhafte Benachrichtigung sichtbar. Nach dem Beenden oder Abbrechen des Laufs endet der Standortzugriff; einen Standortzugriff im Hintergrund ohne sichtbare Benachrichtigung gibt es nicht. Die Route wird mit dem Lauf in deinem Konto gespeichert.

Du kannst diese Berechtigungen jederzeit ändern oder entziehen – auf dem iPhone in den Systemeinstellungen unter „Datenschutz & Sicherheit“, auf Android in den App-Berechtigungen (Einstellungen → Apps → NextRep → Berechtigungen) und in Health Connect.

7. Datenspeicherdauer

Benutzerkonto: Daten werden gespeichert, solange dein Konto besteht. Du kannst dein Konto in der App oder unter nextrep.de/delete-account löschen. Die Löschung erfolgt sofort über unseren Server; Restbestände in Sicherungen unseres Anbieters werden spätestens nach 30 Tagen gelöscht.

Fitnessdaten: Gespeichert, solange dein Konto besteht. Du kannst Einträge jederzeit einzeln in der App löschen.

Nutzungsstatistik und Absturzberichte: Ereignisse und Absturzberichte werden 90 Tage gespeichert, dann automatisch gelöscht. Beim Löschen deines Kontos werden die deinem Konto zugeordneten Einträge sofort mitgelöscht.

Zahlungsdaten: Apple bzw. Google speichern Zahlungsdaten und Kaufbelege nach ihren eigenen Richtlinien. Deine Kundendaten bei RevenueCat (Konto-Kennung und Kaufhistorie) werden beim Löschen deines Kontos mitgelöscht. Provisionen für Athleten-Codes bewahren wir als Buchhaltungsunterlage pseudonym (ohne Bezug zu deinem Konto) auf.

Abonnement und Konto-Löschung: Ein laufendes Abo endet nicht automatisch, wenn du dein NextRep-Konto löschst. Kündige es bitte selbst – auf dem iPhone in der Abo-Verwaltung deiner Apple-ID, auf Android in Google Play unter „Abos“.

8. Deine Rechte

Du hast das Recht auf:

  • Auskunft: Auskunft über die zu dir gespeicherten Daten
  • Berichtigung: Berichtigung unrichtiger Daten
  • Löschung: Löschung deiner Daten („Recht auf Vergessenwerden“) – So löschst du dein Konto
  • Datenportabilität: Herausgabe deiner Daten in einem strukturierten Format
  • Widerspruch: Widerspruch gegen die Verarbeitung unter bestimmten Voraussetzungen – z. B. gegen die Nutzungsstatistik direkt per Schalter in der App
  • Einwilligung widerrufen: Widerruf deiner Einwilligung jederzeit ohne Angabe von Gründen

Um diese Rechte auszuüben, schreib uns an contact@nextrep.de. Wir antworten innerhalb von 30 Tagen.

9. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen zum Schutz deiner Daten ein:

  • TLS-Verschlüsselung für alle Datenübertragungen
  • Sicheres Passwort-Hashing (bcrypt)
  • Regelmäßige Sicherheitsprüfungen
  • Minimale Datenerfassung (Privacy by Design)
  • Zugriffskontrolle und Authentifizierung

10. Externe Dienste und Links

Diese Datenschutzerklärung gilt nur für NextRep. Wenn du Links zu externen Websites folgst (z. B. OpenAI, Apple, Google, Strava, Supabase), gelten deren Datenschutzerklärungen. Für deren Datenschutzpraktiken sind wir nicht verantwortlich.

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung zu aktualisieren. Über wesentliche Änderungen informieren wir dich per E-Mail oder in der App. Wenn du die App nach Änderungen weiter nutzt, gilt die neue Fassung.

12. Datenübermittlung in Drittländer

Einige der von uns eingesetzten Dienste (RevenueCat, OpenAI, Mailgun sowie – wenn du die Verbindung herstellst – Strava und – wenn du das Video auf der Startseite abspielst – Google/YouTube) sind US-Unternehmen bzw. verarbeiten Daten in den USA. Die USA gelten datenschutzrechtlich als Drittland ohne durchgehend angemessenes Datenschutzniveau. Übermittlungen erfolgen auf Grundlage von:

  • EU-Standardvertragsklauseln (Standard Contractual Clauses, SCCs) nach Art. 46 Abs. 2 lit. c) DSGVO, sofern keine Angemessenheitsentscheidung vorliegt, oder
  • der Zertifizierung des jeweiligen Anbieters unter dem EU-US Data Privacy Framework, soweit anwendbar.

Hinweis: US-Behörden können unter bestimmten Voraussetzungen Zugriff auf bei US-Anbietern gespeicherte Daten erhalten.

13. Beschwerderecht

Du hast gemäß Art. 77 DSGVO das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständige Behörde:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg

Königstraße 10a, 70173 Stuttgart

https://www.baden-wuerttemberg.datenschutz.de

14. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung für dich findet nicht statt. Unsere KI-gestützten Funktionen (Lebensmittel-Erkennung, Trainingsvorschläge) dienen ausschließlich als unverbindliche Hilfestellung und ersetzen weder medizinische noch ernährungswissenschaftliche Beratung.

15. Datenschutzbeauftragter

Aufgrund unserer Unternehmensgröße sind wir nach Art. 37 DSGVO nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Bei Fragen zum Datenschutz wende dich bitte direkt an: contact@nextrep.de

Zuletzt aktualisiert: 22. Oktober 2026