VYRO

VYRO, die iPhone-App

Datenschutz­erklärung

Stand: 14. Oktober 2026

1. Verantwortlicher

run4dev
Steinweg 4, 93059 Regensburg, Deutschland
E-Mail: info@run4dev.com

Diese Erklärung gilt für die iPhone-App VYRO und das Konto, das Sie dafür auf unserem Server haben. Für diese Website gilt die Datenschutzerklärung von run4dev.

2. Das Wichtigste in Kürze

  • Ihre Daten liegen auf Ihrem iPhone. Eine Kopie wird in Ihrem Konto auf unserem Server gesichert, damit Ihr Training, Ihr Essen und Ihr Plan nach einer Neuinstallation oder auf einem neuen iPhone wieder da sind. Gesundheitsangaben sichern wir nur mit Ihrer Einwilligung (Abschnitt 5). Ohne sie richten Sie Gewicht und Sicherheits-Check auf einem neuen iPhone neu ein.
  • Um die App zu nutzen, melden Sie sich mit Apple an. Es gibt kein Passwort.
  • Werte aus Apple Health, Ihre Termine sowie Standort und Adresse Ihres Studios bleiben auf Ihrem iPhone. Ab 18 Jahren sieht der Coach, wie sich Ihr Training von heute nach Ihrer Erholung richtet, zum Beispiel „leicht“ (Abschnitt 7). Was eine Problem-Meldung davon enthält, steht im nächsten Punkt.
  • Mit „Problem melden“ im Profil schicken Sie uns Ihre Nachricht, die Protokolle der App, eine Kopie Ihrer App-Daten, Ihre Trainingszeit von heute aus dem Kalender und ob Sie nach Ihren Angaben mindestens 18 Jahre alt sind. Gesundheitsangaben, auch Ihre Erholung von heute, hängt die App nur an, wenn Sie das vor dem Senden ausdrücklich einschalten. Das alles geschieht nur, wenn Sie auf „Senden“ tippen. Die Meldung lesen nur wir, keine KI. Der Server löscht sie nach 30 Tagen (Abschnitt 4).
  • Ab 16 Jahren können Sie zustimmen, dass die App ihre technischen Protokolle (Logs) der letzten 7 Tage etwa einmal am Tag von selbst an unseren Server schickt, ohne Gesundheitsangaben und ohne Ihre Texte. Wir lesen sie nur, wenn Sie uns ein Problem mitteilen, und der Server löscht sie nach 7 Tagen (Abschnitt 10).
  • Zwei Funktionen nutzen eine KI von Anthropic: der Coach-Chat und der Foto-Scan von Mahlzeiten. Beide sind freiwillig, ab 16 Jahren nutzbar, mit 16 und 17 Jahren mit besonderen Schutzregeln, und starten erst nach Ihrer Zustimmung (Abschnitt 7).
  • Gesundheitsangaben aus der App laden wir nur mit Ihrer ausdrücklichen Einwilligung in Ihr Konto hoch, nie für Personen unter 18. Sind Sie unter 18, schickt die App sie auch nicht mit einer Problem-Meldung und nicht an den Coach. Ihre eigenen Nachrichten an den Coach gehen so an Anthropic, wie Sie sie schreiben (Abschnitt 7). Mit 16 und 17 Jahren speichert unser Server für die Schutzregeln des Coach-Chats 48 Stunden lang in Ihrem Konto, wann eine Ihrer Nachrichten nicht an den Coach ging, weil sie auf Selbstverletzung oder eine Essstörung hindeutete oder sexuell war. Im Eintrag zur Nutzung und im Protokoll vermerkt er, ob die Schutzregeln gegriffen haben (Abschnitt 7). Nur den Text, den Sie selbst in eine Problem-Meldung schreiben, prüft die App nicht (Abschnitt 4). Sie können die Einwilligung jederzeit im Profil der App widerrufen.
  • Die App enthält keine Werbung und keine Analyse- oder Tracking-Dienste.
  • Mit „Konto löschen“ in der App löschen Sie Ihr Konto und Ihre Daten auf dem Server selbst.

3. Anmeldung mit Apple und Ihr Konto

Die App lässt sich nur mit einem Konto nutzen. Das Konto entsteht, wenn Sie sich mit Apple anmelden. Dabei sendet die App an unseren Server das Anmelde-Token und den Autorisierungscode, die Apple ausstellt. Unser Server prüft das Token bei Apple und tauscht den Code bei Apple gegen ein Refresh-Token. Apple sitzt in den USA, siehe Abschnitt 12.

In unserer Datenbank speichern wir dazu:

  • die Benutzerkennung, die Apple für Sie und diese App vergibt,
  • die E-Mail-Adresse, die Apple übermittelt,
  • den Zeitpunkt der Kontoerstellung und der letzten Anmeldung,
  • pro Anmeldung eine Sitzung: Den zufälligen Sitzungsschlüssel, den Ihr iPhone bei der Anmeldung von uns erhält, speichern wir nur als Prüfwert (SHA-256), dazu Zeitpunkte. Eine Sitzung endet 180 Tage nach der letzten Nutzung, spätestens 365 Tage nach der Anmeldung,
  • Apples Refresh-Token, verschlüsselt. Wir brauchen es, um beim Löschen Ihres Kontos die Verbindung bei Apple zu widerrufen.

Rechtsgrundlage ist die Bereitstellung der App, die Sie nutzen wollen (Art. 6 Abs. 1 lit. b DSGVO). Ohne Anmeldung können wir die App nicht bereitstellen.

Beenden Sie in Ihren Apple-Einstellungen die Nutzung von „Mit Apple anmelden“ für diese App, meldet Apple das an unseren Server. Wir melden Sie dann überall ab und behalten Ihre Daten, bis Sie das Konto löschen. Löschen Sie Ihr Apple-Konto, meldet Apple auch das, und wir löschen Ihr Konto.

4. Datensicherung und „Problem melden“

Die App speichert Ihre Daten in einer Datei auf dem iPhone. Davon geht eine Kopie an unseren Server: nach der Anmeldung, kurz nach Änderungen und wenn Sie die App verlassen. Die Kopie enthält:

  • Ihr Profil aus dem Einrichten (Ziel, Geschlecht, Alter, Größe, Trainingstage, Erfahrung) und den Namen Ihres Studios,
  • Ihren Trainingsplan und Ihre Trainings mit Gewichten und Wiederholungen,
  • Ihre Mahlzeiten und Ernährungseinträge,
  • Ihren Verlauf und Ihre Einstellungen in der App.

Körpergewicht, Ernährungsweise, Ihr Befinden nach dem Training, Ihre Notizen zu Übungen und die weiteren Gesundheitsangaben aus Abschnitt 5 sind nur mit Ihrer Einwilligung in der Kopie.

Die App komprimiert die Kopie und der Server speichert sie als ein Paket. Er wertet den Inhalt nicht aus. Sie bekommen die Kopie zurück, wenn Sie die App neu installieren, sich auf einem neuen iPhone anmelden oder ein anderes iPhone mit Ihrem Konto etwas geändert hat. Bei einem Konflikt zwischen zwei Ständen gewinnt der neuere, den anderen behält die App als Sicherung auf dem iPhone.

Nicht in die Kopie kommen Werte, die die App aus Apple Health oder Ihrem Kalender liest, die Verknüpfungen zu Apple Health und Kalender, die Einstellungen der Coach-Mitteilungen, Standort und Adresse Ihres Studios (nur sein Name wird gesichert), Fotos und Sprachaufnahmen.

Rechtsgrundlage ist die Bereitstellung der App (Art. 6 Abs. 1 lit. b DSGVO). Angaben zur Gesundheit folgen nach Abschnitt 5.

„Problem melden“. Wenn Sie im Profil der App „Problem melden“ wählen und auf „Senden“ tippen, schickt die App an unseren Server: Ihre Nachricht, die Protokolle der App aus bis zu 7 Tagen, eine Kopie Ihrer App-Daten, wie sie auch die Datensicherung enthält, und vom iPhone nur App-Version, iOS-Version, Gerätemodell, Sprache, Zeitzone und die Uhrzeit des Absendens, ob Kalender und Apple Health verbunden sind, und Ihre Trainingszeit von heute aus dem Kalender (nur Uhrzeiten, keine Termine). Die Meldung ist Ihrem Konto zugeordnet.

Ihre Nachricht schicken wir so, wie Sie sie schreiben, die App prüft sie nicht. Schreiben Sie dort keine Gesundheitsangaben hinein, wenn Sie das nicht wollen. Die Protokolle enthalten technische Ereignisse der App, etwa Fehler, Übungen mit Gewicht und Wiederholungen und Lebensmittel als Kennnummer mit Menge, aber keine Chat-Nachrichten, keine Anmeldedaten, keine Namen von Lebensmitteln und keine Texte, die Sie selbst eintippen.

Gesundheitsangaben, die die App selbst anhängt, auch Ihre Erholung von heute aus Apple Health, sind nur dabei, wenn Sie auf dem Bildschirm „Problem melden“ den Schalter „Gesundheitsangaben mitschicken“ einschalten. Er steht zu Beginn auf aus. Die App zeigt ihn nur, wenn Sie der Sicherung Ihrer Gesundheitsangaben zugestimmt haben (Abschnitt 5) und mindestens 18 Jahre alt sind.

Jede Meldung enthält außerdem ein Ja oder Nein, ob Sie nach Ihrem Alter und Ihrem Sicherheits-Check in der App mindestens 18 Jahre alt sind, auch wenn der Schalter aus ist. Wir brauchen das zur Fehlersuche, weil sich die App für Personen unter 18 anders verhält.

Wir nutzen die Meldung nur, um den Fehler zu finden und zu beheben. Die Meldung lesen nur wir selbst, sie geht an keine KI. Den Inhalt der Meldung speichert der Server verschlüsselt und löscht sie nach 30 Tagen, mit Ihrem Konto sofort; in den Sicherungskopien (Abschnitt 8) kann sie so lange liegen, wie dort beschrieben. Eine Meldung, die wir zur Fehlersuche herunterladen, löschen wir auch dort spätestens nach 30 Tagen.

Rechtsgrundlage ist Ihre Bitte um Hilfe bei der Nutzung der App (Art. 6 Abs. 1 lit. b DSGVO), für Gesundheitsangaben zusätzlich Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO): Sie geben sie, indem Sie den Schalter einschalten und auf „Senden“ tippen.

5. Gesundheitsangaben und Ihre Einwilligung

Manche Angaben, die Sie in der App machen, sind Gesundheitsdaten (Art. 9 DSGVO). Dazu gehören:

  • die Antworten aus dem Sicherheits-Check beim Einrichten (Essstörung, Schwangerschaft, Insulin, unter 18),
  • Ihr Körpergewicht und alle Wiegungen,
  • Ihre Ernährungsweise, zum Beispiel laktosefrei oder ohne Schweinefleisch,
  • Ihre Angaben zum Tag: Schmerzen, Krankheit, ein dringendes Symptom, eine kurze oder schlechte Nacht und der Grund dafür, dazu der gemerkte Hinweis zu Schmerz oder Krankheit,
  • Ihr Befinden nach dem Training,
  • Ihre Notizen zu Übungen,
  • die Markierung, trotz geringer Erholung normal zu trainieren.

Diese Angaben laden wir nur hoch, wenn Sie in der App ausdrücklich mit „Ja“ einwilligen (Art. 9 Abs. 2 lit. a und Art. 6 Abs. 1 lit. a DSGVO). Die App fragt Sie danach, bevor etwas davon hochgeladen wird: nach dem Einrichten, wenn Sie neu sind, und beim nächsten Start, wenn Sie die App schon nutzen. Die Frage heißt „Deine Gesundheitsangaben“, Sie antworten mit „Ja, Gesundheitsangaben sichern“ oder „Nein, nur auf diesem iPhone“. Ohne Ihr Ja bleiben diese Angaben auf Ihrem iPhone und kommen nicht in die Kopie in Ihrem Konto. Die Einwilligung ist freiwillig. Ohne sie können Sie die App nutzen.

Wir speichern Ihre Antwort (Ja oder Nein, die Fassung der Frage und das Datum) mit der Kopie auf dem Server. So übernehmen Ihre anderen iPhones mit demselben Konto die neueste Antwort. Die Speicherung Ihrer Antwort dient dem Nachweis Ihrer Einwilligung (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO).

Sie können die Einwilligung jederzeit im Profil der App widerrufen, mit dem Schalter „Gesundheitsangaben sichern“. Bei der nächsten Sicherung enthält die Kopie auf dem Server diese Angaben nicht mehr. In den Sicherungskopien (Abschnitt 8) können sie in der Regel noch bis zu etwa 30 Tage liegen. Der Widerruf gilt für die Zukunft, bis dahin war die Verarbeitung rechtmäßig (Art. 7 Abs. 3 DSGVO).

Die App richtet sich an Personen ab 14 Jahren. Wer im Sicherheits-Check „unter 18“ angibt oder ein Alter unter 18 einträgt, den fragt die App nie danach. Dann kommen seine Gesundheitsangaben aus der App nie in die Kopie im Konto, auch nach einem früheren Ja. Mit einer Problem-Meldung schickt die App sie dann ebenfalls nicht (Abschnitt 4), und an den Coach auch nicht. Was er selbst in den Chat schreibt, geht so an Anthropic, wie er es schreibt. Coach-Chat und Foto-Scan gibt es unter 16 Jahren nicht, mit 16 und 17 Jahren nur mit besonderen Schutzregeln. Was unser Server dafür in seinem Konto speichert, steht in Abschnitt 7.

Ihr Ja zur Sicherung schickt keine Gesundheitsangaben mit einer Problem-Meldung. Dafür gibt es auf dem Bildschirm „Problem melden“ einen eigenen Schalter (Abschnitt 4).

6. Was nur auf Ihrem iPhone passiert

Diese Funktionen stammen von Apple und laufen auf Ihrem iPhone. Die App fragt vorher um Erlaubnis, und Sie können sie jederzeit in den iPhone-Einstellungen entziehen.

  • Apple Health: Die App liest Schlaf, Herzfrequenzvariabilität und Ruhepuls, damit das Training zu Ihrer Erholung passt. Sie schreibt nichts in Apple Health. Die Werte selbst werden nicht hochgeladen. Ab 18 Jahren sieht der Coach, wie sich Ihr Training von heute danach richtet, zum Beispiel „leicht“ und mit weniger Sätzen (Abschnitt 7). Nur eine Problem-Meldung kann, wenn Sie das einschalten, Ihren Erholungswert von heute enthalten (Abschnitt 4).
  • Kalender: Die App liest Ihre Termine von heute, damit Training und Essen in Ihre freie Zeit passen. Die Termine selbst werden nicht hochgeladen. Eine Problem-Meldung enthält nur Uhrzeiten Ihres Trainings von heute (Abschnitt 4).
  • Standort und Studiosuche: Die App fragt Ihren Standort ab, solange Sie sie benutzen, und sucht Studios mit Apple Karten (MapKit). Dabei erhält Apple Ihren Suchbegriff und die ungefähre Umgebung Ihres Standorts. Vom Studio, das Sie wählen, sichern wir nur den Namen. Standort und Adresse bleiben auf dem iPhone.
  • Sprache: Wenn Sie der App etwas sagen, erkennt Apples Spracherkennung den Text. Wenn Ihr iPhone das kann, geschieht das auf dem Gerät, sonst verarbeitet Apple die Sprache auf seinen Servern.
  • Sprachmodell: Versteht die App einen Satz aus der Eingabeleiste nicht, getippt oder gesprochen, liest ihn Apples Sprachmodell auf Ihrem iPhone, wenn Ihr iPhone es unterstützt. Dafür gibt es keinen Server.
  • Erinnerungen: Sie sind Mitteilungen, die Ihr iPhone selbst anzeigt. Dafür gibt es keinen Push-Server.

Coach-Chat und Foto-Scan laufen nicht auf Ihrem iPhone, sondern über unseren Server bei Anthropic. Dazu Abschnitt 7.

Die App speichert ihre Daten in einer Datei, die der Dateischutz von iOS schützt, und Ihre Anmeldung im Schlüsselbund (Keychain) Ihres iPhones. Die Datei mit Ihren App-Daten ist Teil der Sicherung Ihres iPhones in iCloud oder auf einem Computer, wenn Sie diese Sicherung eingeschaltet haben. Dafür gelten Apples Bestimmungen. Dazu schreibt die App ein Protokoll technischer Ereignisse der letzten 7 Tage auf das iPhone. Es ist nicht Teil dieser Sicherung und verlässt das iPhone nur mit einer Problem-Meldung (Abschnitt 4) oder, wenn Sie zustimmen, ab 16 Jahren mit dem täglichen Senden der Logs (Abschnitt 10).

7. Coach-Chat und Foto-Scan mit KI

Der Coach-Chat und der Foto-Scan von Mahlzeiten nutzen Claude, eine KI von Anthropic. Beide sind freiwillig. Bevor Sie eine der beiden Funktionen zum ersten Mal nutzen, erklärt die App, was dabei an Anthropic geht, und fragt nach Ihrer Zustimmung. Ohne Zustimmung nutzen Sie die App wie bisher, Essen tragen Sie dann über die Suche ein. Ihre Antwort speichert die App nur auf diesem iPhone und nur für Ihr Apple-Konto. Ein anderes iPhone fragt neu. Sie können die Zustimmung jederzeit im Profil der App widerrufen.

Coach-Chat. Im Coach-Chat schreiben Sie mit einer KI, nie mit einem Menschen. Jede Antwort ist in der App als KI gekennzeichnet. Die App bietet den Chat ab 16 Jahren an und nicht, wenn Sie im Sicherheits-Check eine Essstörung angegeben haben. Mit jeder Nachricht schickt die App über unseren Server an Anthropic:

  • Ihre Nachricht und den bisherigen Chat,
  • das heutige Datum und, je nach Ihren Angaben beim Einrichten, einen kurzen Hinweis für den Coach, zum Beispiel „kein Kaloriendefizit“, nie den Grund dafür,
  • je nach Frage die Angaben, die der Coach dafür in der App nachsieht: Ihr Profil (Alter, Größe, Ernährungsweise), Ihr Ziel, Ihren Gewichtsverlauf, Ihren Plan und Ihr Training, auch wie es sich heute nach Ihrer Erholung aus Apple Health richtet, was Sie gegessen haben, Ihre Tagesziele für Kalorien und Eiweiß und Ihre Tagesnotizen, zum Beispiel zu Schmerzen, Krankheit oder Schlaf.

Mit 16 und 17 Jahren schickt die App dem Coach keine Gesundheitsangaben aus der App: kein Gewicht und keinen Gewichtsverlauf, keine Ernährungsweise, keine Tagesnotizen zu Schmerzen, Krankheit oder Schlaf, dazu keine Größe, keine Tagesziele, keine Kalorien und keinen Hinweis aus dem Sicherheits-Check. Ihr Gewicht, solche Tagesnotizen und Ihre Ernährungsweise trägt der Coach dann auch nicht ein, das machen Sie selbst in der App. Ihre eigenen Nachrichten gehen so an Anthropic, wie Sie sie schreiben.

Ihr Name, Ihre E-Mail-Adresse und Ihr Standort gehen nicht an Anthropic, auch keine Kennung Ihres Kontos. Gewicht, Ernährungsweise, Tagesnotizen und was Sie selbst über Ihre Gesundheit schreiben, sind Gesundheitsangaben (Abschnitt 5). Mit Ihrer Zustimmung zum Chat willigen Sie ausdrücklich ein, dass sie dafür an Anthropic gehen. Mit 16 und 17 Jahren gilt sie nur für das, was Sie selbst schreiben, und für die Schutzregeln (siehe unten). Diese Zustimmung ist getrennt von Ihrer Wahl zur Sicherung aus Abschnitt 5.

Der Chatverlauf liegt nur auf Ihrem iPhone und in Apples Sicherung Ihres iPhones, wenn Sie diese eingeschaltet haben (Abschnitt 6). Er ist nicht Teil der Kopie in Ihrem Konto. Die App behält höchstens 200 Nachrichten der letzten 90 Tage. Sie löschen den Verlauf im Profil mit „Chat-Verlauf löschen“, und „Konto löschen“ löscht ihn mit. Unser Server speichert Ihre Nachrichten nicht. Sie liegen nur während der Anfrage im Arbeitsspeicher. Was der Coach auf Ihren Wunsch einträgt oder ändert, zum Beispiel eine Mahlzeit oder Ihr Gewicht, ändert die App auf Ihrem iPhone. Es wird gesichert wie Ihre anderen Daten (Abschnitt 4).

Foto-Scan. Beim Foto-Scan schätzt die KI, was auf Ihrem Teller liegt: Lebensmittel, Mengen und Nährwerte. Der Foto-Scan steht ab 16 Jahren zur Verfügung und wird nicht angeboten, wenn Sie im Sicherheits-Check eine Essstörung angegeben haben. Dafür macht die App von Ihrem Foto eine verkleinerte Kopie ohne Standort und andere Metadaten und schickt nur diese über unseren Server an Anthropic. Unser Server speichert das Foto nicht. Es liegt nur während der Anfrage im Arbeitsspeicher. Auch die App behält das Foto nicht. Zeigt das Foto mehr als Ihr Essen, zum Beispiel eine Person, geht auch das an Anthropic. Das Ergebnis prüfen Sie, bevor Sie es übernehmen. Übernommene Einträge speichert die App wie jede andere Mahlzeit (Abschnitt 4).

Unter 16 Jahren. Coach-Chat und Foto-Scan gibt es erst ab 16 Jahren. Unter 16 bietet die App beide nicht an, ebenso wenn Sie im Sicherheits-Check „unter 18“ angegeben, aber ein Alter ab 18 eingetragen haben. Kommt trotzdem eine solche Anfrage an, lehnt unser Server sie ab und schickt nichts an Anthropic. Er legt dazu keinen Eintrag zur Nutzung an (siehe unten), im Protokoll steht nur die Ablehnung (Abschnitt 9).

Mit 16 und 17 Jahren gelten besondere Schutzregeln:

  • Die App fragt eigens nach Ihrer Zustimmung und erklärt dabei die Schutzregeln und was wir dafür speichern. Eine Zustimmung, die Sie als Erwachsener gegeben haben, gilt dafür nicht.
  • Der Coach bekommt zusätzliche Anweisungen: keine Diät, kein Kaloriendefizit, keine Kalorien-, Makro- oder Gewichtsziele, keine Nahrungsergänzung, nichts Sexuelles, und er fragt nicht nach Wohnort, Schule, Telefonnummer oder Namen in sozialen Netzwerken.
  • Jede Nachricht, die Sie schreiben, und jede Antwort des Coachs prüft unser Server, bevor sie weitergeht: zuerst mit festen Wortlisten, dann mit einem zweiten, kleineren KI-Modell von Anthropic (Claude Haiku). Dieses Modell bekommt nur die eine Nachricht oder die eine Antwort, ohne den bisherigen Chat, ohne Ihr Profil und ohne Kennung Ihres Kontos. Bei einer Antwort sind das ihr Text, die Überlegungen des Coachs, wenn sie mit ihr an die App gehen, und die Texte der Änderungen, die der Coach in der App vornehmen oder vorschlagen will. Das Modell nennt nur die Schutzregel, gegen die der Text verstößt, oder dass er in Ordnung ist. Die App zeigt die Antwort des Coachs erst, wenn sie ganz geprüft ist. Die Angaben, die die App dem Coach auf seine Rückfrage aus Ihren Daten schickt, prüfen die Wortlisten ebenfalls. Schlagen sie an, geht die Anfrage nicht an den Coach, und Sie bekommen einen festen Text.
  • Deutet Ihre Nachricht auf Selbstverletzung oder eine Essstörung hin oder ist sie sexuell, geht sie nicht an den Coach. Sie bekommen stattdessen einen festen Text, bei Selbstverletzung und Essstörung mit Nummern, unter denen Sie Hilfe bekommen: Nummer gegen Kummer 116 111, TelefonSeelsorge 0800 111 0 111, bei Gefahr die 112. Verstößt eine Antwort des Coachs gegen eine Schutzregel, bekommen Sie statt ihr einen festen Text. Kann die Prüfung nicht entscheiden, geht nichts ungeprüft hinaus: Sie bekommen einen festen Text und können es kurz danach noch einmal versuchen. Andere Treffer der Wortlisten, etwa zu Alkohol oder einer Crash-Diät, halten Ihre Nachricht nicht auf.
  • Gingen innerhalb von 24 Stunden drei Ihrer Nachrichten nicht an den Coach, weil sie auf Selbstverletzung oder eine Essstörung hindeuteten oder sexuell waren, pausiert der Coach-Chat für 24 Stunden und zeigt die Nummern für Hilfe. Es zählen nur Nachrichten, die die Tageslimits zulassen. Nicht dazu zählen Antworten des Coachs, die ersetzt wurden, Nachrichten, bei denen die Prüfung nicht entscheiden konnte, und Angaben aus der App, die die Wortlisten gesperrt haben. Für die Pause speichert unser Server in Ihrem Konto zu jeder dieser Nachrichten nur den Zeitpunkt, nie den Text und nie, welche der drei Arten es war. Er löscht den Zeitpunkt nach 48 Stunden, mit „Konto löschen“ sofort. Wie lange das Protokoll seine Zeilen dazu hält, steht in Abschnitt 11. In unsere täglichen Sicherungskopien der Datenbank kommt er nicht. In der wöchentlichen Sicherung des gesamten Servers durch Hostinger kann er bis zu etwa 30 Tage liegen (Abschnitt 8).
  • Damit wir sehen, wie gut die Schutzregeln arbeiten, zählt der Server für jeden Tag, wie oft welche Regel gegriffen hat: Tag, Chat oder Foto, Nachricht oder Antwort, die Regel, ob sie zur Pause zählt, und die Anzahl. Die Zählung enthält kein Konto und keine Uhrzeit. Er löscht sie nach 90 Tagen, aus den Sicherungskopien verschwindet sie wie in Abschnitt 8 beschrieben. Rechtsgrundlage ist Ihre Einwilligung (siehe unten).
  • Beim Foto-Scan bekommt die KI die Anweisung, in ihrem Hinweis zum Foto nichts über Gewicht, Diät oder den Körper zu sagen und nichts über eine Person auf dem Foto. Tut sie es doch, entfernt unser Server den Hinweis. Einen Lebensmittelnamen, den die Wortlisten sperren, schickt er leer, und Sie benennen das Lebensmittel selbst. Die erkannten Lebensmittel und Nährwerte bleiben. Beim Foto-Scan gibt es keine Prüfung durch ein zweites KI-Modell und keine Pause. Ein Treffer kommt nur in die Tageszählung und, ohne die Regel, ins Protokoll (Abschnitt 9).

Ihr Alter. Mit jeder Chat-Nachricht, jedem Foto und jeder Sicherung (Abschnitt 4) schickt die App das Alter aus Ihrem Profil an unseren Server. Der Server merkt sich dazu in Ihrem Konto nur das späteste Geburtsdatum, das Ihre Altersangaben erlauben, und wann er es angelegt und zuletzt geändert hat. Eine spätere Angabe, die mehr als ein Jahr darüber liegt, glaubt er nicht, damit eine Änderung im Profil die Altersgrenze nicht umgeht. Das Datum löscht er mit Ihrem Konto. Aus den Sicherungskopien verschwindet es wie in Abschnitt 8 beschrieben. Rechtsgrundlage ist unser berechtigtes Interesse, die Altersgrenze einzuhalten (Art. 6 Abs. 1 lit. f DSGVO).

Was unser Server dazu speichert. Für die Tageslimits und um die Kosten zu überwachen, speichert unser Server zu jeder Chat-Nachricht und jedem Foto einen Eintrag ohne Inhalt: Zeitpunkt, verbrauchte Rechenmenge (Tokens), Kosten, Dauer und Ergebnis. Beim Chat kommen die Namen der App-Funktionen dazu, die der Coach aufgerufen hat, und ein Prüfwert Ihrer Nachricht, aus dem sich der Text nicht zurückgewinnen lässt. Beim Foto kommen seine Größe und die Zahl der erkannten Lebensmittel dazu. Mit 16 und 17 Jahren kann beim Chat als Ergebnis dort stehen, dass die Schutzregeln Ihre Nachricht, Angaben aus der App oder die Antwort ersetzt haben oder die Prüfung nicht entscheiden konnte, und dazu, was die Prüfung gekostet hat. Welche Regel es war, steht dort nie. Ihre Nachricht oder Angaben aus der App ersetzen die Schutzregeln aber nur bei einer der drei Arten von oben (Selbstverletzung, Essstörung, Sexuelles). Statt Ihrer Konto-Nummer steht dort ein Pseudonym. Der Server löscht diese Einträge nach 48 Stunden, aus den Sicherungskopien verschwinden sie wie in Abschnitt 8 beschrieben. Rechtsgrundlage ist unser berechtigtes Interesse, Missbrauch und unkontrollierte Kosten zu verhindern (Art. 6 Abs. 1 lit. f DSGVO), für die Angaben zu den Schutzregeln mit 16 und 17 Jahren Ihre Einwilligung (siehe unten).

Anthropic. Anthropic verarbeitet Nachrichten, Angaben und Fotos in unserem Auftrag, nur um die Antwort zu erzeugen oder, mit 16 und 17 Jahren, sie zu prüfen, und darf damit keine KI-Modelle trainieren. Das gilt für die Anfragen, die unser Server an Anthropic schickt, also Coach-Chat, Foto-Scan und die Prüfung durch die Schutzregeln. Nach eigenen Angaben löscht Anthropic sie innerhalb von 30 Tagen. Stuft Anthropics automatische Prüfung eine Anfrage als Verstoß gegen Anthropics Nutzungsrichtlinie ein, bewahrt Anthropic sie bis zu 2 Jahre auf und die Bewertungen dieser Prüfung bis zu 7 Jahre. Mehr zu Anthropic als Empfänger in Abschnitt 12.

Rechtsgrundlage für Coach-Chat und Foto-Scan ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), ab 16 Jahren Ihre eigene (Art. 8 Abs. 1 DSGVO). Für Gesundheitsangaben im Chat ist es Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Ab 18 Jahren gilt sie für die Angaben aus der App und für das, was Sie selbst schreiben. Mit 16 und 17 Jahren gilt sie nur für das, was Sie selbst schreiben, und für die Schutzregeln: die Prüfung jeder Nachricht und Antwort, die Pause und die Einträge dazu in Ihrem Konto, im Eintrag zur Nutzung, im Protokoll (Abschnitt 9) und in der Tageszählung, weil sie Hinweise auf Ihre Gesundheit oder Ihr Sexualleben geben können. Ein Widerruf gilt für die Zukunft, bis dahin war die Verarbeitung rechtmäßig (Art. 7 Abs. 3 DSGVO).

8. Hosting und Speicherort

Unser Server läuft bei Hostinger (Hostinger International Ltd., Larnaca, Zypern) in einem Rechenzentrum in Vilnius, Litauen (EU). Hostinger verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO). Die Datenbank ist von außen nicht erreichbar, nur unsere App-Schnittstelle spricht mit ihr.

Täglich legen wir eine Sicherungskopie der Datenbank auf demselben Server ab. Kopien, die älter als 14 Tage sind, löscht die nächste Sicherung. Zusätzlich legt Hostinger wöchentlich eine Sicherungskopie des gesamten Servers an und behält die letzten zwei. Darin liegen auch unsere täglichen Datenbank-Kopien. Gelöschte Daten können so in der Regel noch bis zu etwa 30 Tage in Sicherungskopien liegen.

9. Server-Logfiles

Bei jedem Aufruf unserer App-Schnittstelle speichert der Webserver automatisch Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den Statuscode, die Datenmenge, die zuvor besuchte Seite und die Angaben Ihres Geräts (User-Agent). Diese Logfiles werden täglich rotiert und nach spätestens 15 Tagen automatisch gelöscht. Die App-Schnittstelle schreibt zusätzlich ein Protokoll mit Ereignissen wie Anmeldung, Fehlern, Löschung und jeder gespeicherten Kopie, mit Ihrer Konto-Nummer (bei einer Kopie dazu ihre Größe), aber ohne Inhalte Ihrer Daten und ohne Sitzungsschlüssel. Bei Coach-Chat und Foto-Scan stehen im Protokoll Dauer, Kosten und Ergebnis jeder Anfrage, beim Foto auch seine Größe, mit einem Kürzel Ihrer Konto-Nummer. Den Text einer Nachricht und das Foto schreiben wir nicht ins Protokoll. Bei jeder Chat-Nachricht, jedem Foto und jeder Sicherung steht dort mit demselben Kürzel auch die Altersgruppe (unter 16, 16 bis 17, ab 18). Lehnt der Server eine Anfrage wegen des Alters ab, steht dort der Grund mit demselben Kürzel: unter 16 oder 16 bis 17 Jahre. Glaubt der Server eine höhere Altersangabe nicht (Abschnitt 7), stehen dort die angegebene und die gemerkte Zahl der Jahre. Mit 16 und 17 Jahren steht bei Chat und Foto-Scan dabei, dass die Anfrage unter den Schutzregeln lief, und mit demselben Kürzel, ob die Schutzregeln eine Nachricht, Angaben aus der App für den Coach, eine Antwort oder beim Foto den Hinweis oder einen Lebensmittelnamen betroffen haben, ob der Treffer zur Pause zählt und ob und bis wann der Chat pausiert, nie genau welche Regel und nie der Text. Hat ein Treffer Ihre Nachricht oder Angaben aus der App gesperrt oder zählt er zur Pause, war es eine der drei Arten aus Abschnitt 7 (Selbstverletzung, Essstörung, Sexuelles). Zu einer Problem-Meldung stehen im Protokoll ihr Code, ihre Größe, die Build-Nummer der App, wie viele Tage Protokolle dabei sind und ob Gesundheitsangaben dabei sind, mit einem Pseudonym Ihrer Konto-Nummer, nie ihr Inhalt. Zu den Logs der App (Abschnitt 10) stehen dort mit dem Kürzel Ihrer Konto-Nummer, wie viele Tage gespeichert, ersetzt oder nicht gespeichert wurden, ihre Größe und die Build-Nummer, bei einer Ablehnung der Grund (wegen des Alters mit der Altersgruppe), beim Ausschalten, wie viele Tage gelöscht wurden, und bei jedem Lesen durch uns der Tag, seine Größe und wie oft er gelesen wurde, nie eine Zeile der Logs. Hat jemand das Limit erreicht (siehe unten), steht auch die IP-Adresse darin. Das Protokoll hält höchstens 3 Dateien zu je 10 MB und überschreibt dann die älteste.

Gegen Missbrauch begrenzen wir die Aufrufe der Anmelde-Schnittstelle (alle Aufrufe unter /auth, außer den Meldungen von Apple) auf 10 pro Minute und IP-Adresse, bei IPv6 pro Netz (/64). Dafür zählt der Server die Aufrufe im Arbeitsspeicher.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO), für die Angaben zu den Schutzregeln mit 16 und 17 Jahren Ihre Einwilligung (Abschnitt 7).

10. Protokolle der App (Logs)

Wenn Sie mindestens 16 Jahre alt sind und in der App ausdrücklich zustimmen, schickt die App ihre technischen Protokolle (Logs) der letzten 7 Tage etwa einmal am Tag von selbst an unseren Server, dazu die Build-Nummer der App und Ihr Alter für die Altersprüfung des Servers (Abschnitt 7). Die App schickt dabei nur Zeilen, die entstanden sind, seit Sie sich auf diesem iPhone angemeldet haben. Wir brauchen die Logs nur, um Fehler zu finden und zu beheben, und wir lesen sie nur, wenn Sie uns ein Problem mitteilen, zum Beispiel mit „Problem melden“ (Abschnitt 4) oder per E-Mail. Die Logs lesen nur wir selbst, sie gehen an keine KI.

In den Logs stehen technische Abläufe der App, auch Trainingsangaben wie Übungen mit Gewicht und Wiederholungen und Lebensmittel als Kennnummer mit Menge. Nicht darin stehen Chat-Nachrichten, Anmeldedaten, Namen von Lebensmitteln, Texte, die Sie selbst eintippen, und Ihre E-Mail-Adresse. Gesundheitsangaben (zum Beispiel Körpergewicht, Schmerzen, Krankheit, Schlaf) entfernt die App vor dem Senden, auch wenn Sie der Sicherung Ihrer Gesundheitsangaben zugestimmt haben (Abschnitt 5).

Die Logs liegen verschlüsselt auf unserem Server bei Hostinger in Vilnius (Litauen, EU, Abschnitt 8). Der Server behält von jedem Konto die Logs der letzten 7 Tage und löscht jeden Tag, der älter als 7 Tage ist, automatisch.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie ab 16 Jahren selbst geben (Art. 8 Abs. 1 DSGVO). Sie ist freiwillig. Sie können sie jederzeit im Profil der App ausschalten: Dann schickt die App nichts mehr, und der Server löscht Ihre Logs, sobald die App ihn erreicht, sonst wie immer nach 7 Tagen. Mit „Konto löschen“ löscht er sie sofort. Aus den Sicherungskopien (Abschnitt 8) verschwinden sie in der Regel nach spätestens etwa 30 Tagen.

Unter 16 Jahren schickt die App keine Logs und fragt auch nicht danach. Geben Sie nach Ihrer Zustimmung ein Alter unter 16 Jahren an, gilt das wie das Ausschalten: Die App schickt nichts mehr, vergisst Ihre Zustimmung, und der Server löscht Ihre Logs. Ohne Ihre Zustimmung bleiben die Logs auf Ihrem iPhone, außer Sie schicken eine Problem-Meldung (Abschnitt 4).

11. Speicherdauer und Löschung

Wir speichern Ihr Konto und Ihre Kopie, solange Ihr Konto besteht.

  • Abmelden in der App beendet nur die Sitzung. Das Konto und die Kopie bleiben.
  • Konto löschen in der App löscht Ihr Konto, alle seine Sitzungen und Ihre Kopie sofort aus der Datenbank. Die Daten auf Ihrem iPhone bleiben, außer dem Chat-Verlauf. Die anderen löschen Sie, indem Sie die App entfernen. Wir müssen Apple mitteilen, dass Sie die Anmeldung mit Apple für die App beenden. Dafür bewahren wir Apples Aktualisierungs-Token (Refresh-Token) verschlüsselt und ohne Verknüpfung mit Ihrem gelöschten Konto auf, bis Apple den Widerruf bestätigt oder endgültig ablehnt. Antwortet Apple nicht, versuchen wir es später wieder, zuletzt täglich. Apple sitzt in den USA, siehe Abschnitt 12.
  • Problem-Meldungen (Abschnitt 4) löscht der Server 30 Tage nach dem Eingang, mit „Konto löschen“ sofort.
  • Die Logs der App (Abschnitt 10) löscht der Server nach 7 Tagen, mit „Konto löschen“ sofort, und wenn Sie das Senden im Profil ausschalten, sobald die App den Server erreicht. In den Sicherungskopien können sie bis zu etwa 30 Tage liegen.
  • Die Einträge zu Chat-Nachrichten und Fotos (Abschnitt 7) löscht der Server nach 48 Stunden. Sie tragen statt Ihrer Konto-Nummer ein Pseudonym und bleiben deshalb auch nach „Konto löschen“ bis dahin stehen, damit ein neues Konto die Tageslimits nicht neu beginnt.
  • Die Zeitpunkte zu den Schutzregeln für 16- und 17-Jährige (Abschnitt 7) löscht der Server nach 48 Stunden, mit „Konto löschen“ sofort. Die Tageszählung ohne Konto löscht er nach 90 Tagen.
  • Das Protokoll der App-Schnittstelle (Abschnitt 9) hat keine feste Frist: Es hält höchstens 3 Dateien zu je 10 MB und überschreibt dann die älteste. Seine Zeilen, auch die zu den Schutzregeln, können deshalb länger als 48 Stunden und über „Konto löschen“ hinaus bleiben, bis sie überschrieben werden.
  • Aus den Sicherungskopien (Abschnitt 8) verschwinden gelöschte Daten in der Regel nach bis zu etwa 30 Tagen.
  • Eine abgelaufene Sitzung bleibt als Eintrag in der Datenbank, bis Sie sich das nächste Mal anmelden oder Ihr Konto löschen.

Sie können Ihr Konto und Ihre Daten auch per E-Mail an info@run4dev.com löschen lassen.

12. Empfänger und Dritte

Wir geben Ihre Daten nur an drei Stellen weiter, und nur so weit es für den Betrieb nötig ist:

  • Apple für die Anmeldung und das Widerrufen der Verbindung beim Löschen. Apple verarbeitet Daten nach den eigenen Datenschutzbestimmungen. Das gilt auch für die Apple-Funktionen auf Ihrem iPhone aus Abschnitt 6. Apple Inc. sitzt in den USA. Die Daten, die unser Server bei der Anmeldung und beim Löschen an Apple sendet (Abschnitte 3 und 11), können dort verarbeitet werden. Für Übermittlungen in die USA gelten die Garantien, die Apple in seinen Datenschutzbestimmungen nennt.
  • Anthropic für den Coach-Chat und den Foto-Scan (Abschnitt 7), mit 16 und 17 Jahren auch für die Prüfung der Chat-Nachrichten, nur wenn Sie zugestimmt haben. Problem-Meldungen gehen nicht an Anthropic. Unser Vertragspartner ist Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland. Für diese Anfragen unseres Servers verarbeitet Anthropic die Daten in unserem Auftrag nach einem Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) und darf sie nicht zum Training von KI-Modellen verwenden. Anthropic kann die Daten auch in den USA und anderen Ländern außerhalb der EU verarbeiten, bei Anthropic, PBC und weiteren Unterauftragsverarbeitern. Für diese Übermittlung gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Teil dieses Vertrags sind. Die Liste der Unterauftragsverarbeiter veröffentlicht Anthropic unter trust.anthropic.com.
  • Hostinger als Hoster, wie in Abschnitt 8. Auch die Logs der App (Abschnitt 10) liegen nur dort und gehen an keine weitere Stelle, auch nicht an Anthropic.

Die App und unser Server enthalten keine Werbung, keine Analyse- oder Tracking-Dienste und keine Software von Dritten, die Daten senden. Außer den Apple-Funktionen aus Abschnitt 6 verbindet sich die App nur mit unserem Server, und unser Server nur mit Apple und, für Coach-Chat und Foto-Scan, mit Anthropic. Links in der App, zum Beispiel zu externen Hilfeseiten, öffnen im Browser. Dort gelten die Bestimmungen der jeweiligen Seite.

13. Sicherheit

  • Die Verbindung zwischen App und Server ist per HTTPS verschlüsselt.
  • Die Kopie Ihrer App-Daten und Apples Refresh-Token werden vor dem Speichern in der Datenbank mit AES-256-GCM verschlüsselt und an Ihr Konto gebunden.
  • Problem-Meldungen und die Logs der App werden vor dem Speichern ebenfalls mit AES-256-GCM verschlüsselt.
  • Sitzungsschlüssel speichern wir nur als Prüfwert.
  • Die App-Schnittstelle läuft mit eingeschränkten Rechten in einem abgeschotteten Container.

14. Ihre Rechte

Sie haben jederzeit das Recht auf

  • Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO),
  • Berichtigung unrichtiger Daten (Art. 16 DSGVO),
  • Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
  • Datenübertragbarkeit (Art. 20 DSGVO),
  • Widerspruch gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO),
  • Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO).

Schreiben Sie dazu einfach an info@run4dev.com. Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), für uns ist das das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

Eine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO) findet nicht statt. Ihren Trainings- und Essensplan berechnet die App auf Ihrem iPhone.

15. Änderungen

Ändert sich die App oder wie wir Daten verarbeiten, passen wir diese Erklärung an. Das Datum oben zeigt den aktuellen Stand.