Datenschutzerklärung

1. Wer wir sind

CLYMB ist eine adaptive App für kletterspezifisches Konditionstraining. Verantwortlicher für die hier beschriebene Verarbeitung ist:

Flexfit Softwareentwicklung, Inhaber: Américo Andrés Munoz Buschmann
Stresemannstr. 72, 10963 Berlin, Deutschland
E-Mail: [email protected]

Wir sind in Deutschland niedergelassen. Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu nach Art. 37 DSGVO und § 38 BDSG nicht verpflichtet sind: Schick alles, was du an einen Datenschutzbeauftragten richten würdest, an [email protected] – so erreicht es die verantwortliche Person.

2. Wofür diese Erklärung gilt

• Die Website clymb-app.com (diese Website).
• Die CLYMB-App: die Web-App unter clymb-290526-claude.web.app sowie die gleichnamigen iOS- und Android-Apps.

Wo für die Website und die App unterschiedliche Regeln gelten, weisen wir darauf hin.

3. Welche Daten wir erheben

3.1 Wenn du nur diese Website besuchst

Du brauchst kein Konto, um diese Website zu nutzen, und hier trackt dich nichts, solange du im Cookie-Banner nicht in die Analyse einwilligst.

Auf dieser Website setzen wir keine Werbe-Tracker, keine Pixel und kein Fingerprinting ein. Der einzige Analysedienst ist Google Analytics, geladen über den Google Tag Manager, und er läuft nur, wenn du im Cookie-Banner einwilligst: Bevor du dich entscheidest und wenn du ablehnst, setzt er keine Cookies und sendet nichts an Google. Ablehnen ist genauso einfach wie Zustimmen, und du kannst deine Wahl jederzeit über „Cookie-Einstellungen“ in der Fußzeile ändern. Wir nutzen sie ausschließlich, um zu verstehen, wie die Website genutzt wird, damit wir CLYMB verbessern können, niemals für Werbung, Marketing oder Profiling, und wir geben sie nicht an Werbetreibende weiter. Darüber hinaus setzen wir keine Cookies außer den unbedingt erforderlichen, die in unserer Cookie-Richtlinie beschrieben sind.

3.2 Wenn du ein Konto in der CLYMB-App anlegst

Kontodaten – deine E-Mail-Adresse, der Anzeigename, den du angibst, eine eindeutige Konto-ID und, wenn du dich mit Google anmeldest, das Profilbild, das Google übermittelt. Bei Konten mit Passwort entsteht außerdem ein Status zur Bestätigung der E-Mail-Adresse. Dein Passwort sehen und speichern wir nie: Die Authentifizierung übernimmt Firebase Authentication.

Wenn du Sign in with Apple nutzt und deine E-Mail-Adresse verbirgst, gibt Apple uns statt deiner echten Adresse eine private Weiterleitungsadresse. Wir verwenden sie genau wie jede andere Adresse und versuchen nie, sie auf dich zurückzuführen.

Trainingsprofil, das du beim Onboarding angibst – dein Trainingsziel und die Angaben dazu (etwa ein Wettkampf- oder Saisondatum, deine Disziplin oder die Schwachstellen, an denen du arbeiten möchtest), dein Kletterniveau, deine Klettererfahrung, deine selbst eingeschätzte Körperkraft, dein Geschlecht (freiwillig, einschließlich „Keine Angabe“), dein Geburtsdatum (freiwillig; gibst du es nicht an, bestätigst du stattdessen, dass du mindestens 16 Jahre alt bist), deine Verletzungsbereiche, an wie vielen Tagen pro Woche du trainieren möchtest, an welchen Tagen, dein Startdatum und deine Trainingspräferenzen.

Trainingsdaten, die bei der Nutzung der App entstehen – deine Progressionslevel für jede Übungsleiter, dein Skills-Plan und -Zeitplan, deine abgeschlossenen Einheiten und was du in jeder Einheit protokollierst: Sätze, Wiederholungen, bewegtes Gewicht, Haltezeiten in Sekunden und die Dauer der Einheit. Fingertraining ergänzt dein Equipment, deine getestete Fingerkraft und deine Fingersessions.

Technische Daten – Gerätetyp, App-Version, deine Zeitzone, IP-Adresse und Serverprotokolle der API-Anfragen, die deine App stellt.

Nutzungsanalyse, nur mit deiner Einwilligung – wenn du in der App in die Analyse einwilligst, messen wir mit Google Analytics for Firebase, wie die App genutzt wird: welche Bildschirme du öffnest und welche Funktionen du nutzt (etwa Onboarding-Schritte sowie begonnene oder abgeschlossene Trainingseinheiten), zusammen mit einer pseudonymen App-Instanz-Kennung, Gerätetyp, Betriebssystem, App-Version und ungefährem Standort (Land/Region). Sie ist ausgeschaltet, bis du Ja sagst. Die App fragt bei der Kontoerstellung mit einem eigenen, optionalen Kästchen, das anfangs nicht angehakt ist und getrennt von den AGB steht (ältere App-Versionen fragen einmal in einem Pop-up); das Konto wird in beiden Fällen gleich erstellt. Du kannst sie jederzeit im Profil ein- oder ausschalten. Deine Entscheidung und ihren Zeitpunkt speichern wir mit deinem Konto, damit sie auf jedem Gerät gilt, auf dem du dich anmeldest, und wir deine Einwilligung nachweisen können. Sie verwendet keine Werbe-IDs. Wir nutzen sie nur, um Probleme zu finden und CLYMB zu verbessern, niemals für Werbung, Marketing oder Profiling, und wir geben sie nicht an Werbetreibende weiter.

Fehlerdiagnose, nur mit deiner Einwilligung – dieselbe optionale Analyse-Einwilligung schaltet auch Firebase Crashlytics ein, das uns meldet, wenn die App abstürzt. Ein Absturzbericht enthält den Stack Trace, eine Crashlytics-Installationskennung und eine Firebase-Installations-ID, dein Gerätemodell, die Version des Betriebssystems, verfügbaren Arbeitsspeicher und Speicherplatz, ob das Gerät jailbroken oder gerootet ist, Bundle-ID und Version der App, den Zeitstempel, die Sitzungskennung und ob die App im Hintergrund lief. Außerdem hängen wir deine Konto-ID an, damit wir den Bericht finden, der zu dir gehört, wenn du uns zu einem Absturz schreibst. Die Funktion ist ausgeschaltet, bis du Ja sagst, du kannst sie jederzeit im Profil ausschalten, und Google löscht Absturzberichte nach 90 Tagen. Sie verwendet keine Werbe-IDs, und wir nutzen sie nur, um zu reparieren, was kaputt ist.

Was wir nie erheben: Folgendes fragen wir weder ab, noch erhalten wir es: deinen Standort, deine Kontakte, Fotos, Kamera- oder Mikrofondaten, Daten aus Gesundheits-Apps (Apple Health / Google Fit), Werbe-IDs sowie deine Zahlungskarten- oder Bankdaten (falls du jemals ein Abo kaufst, wickelt Apple oder Google die Zahlung ab, und diese Daten sehen wir nie). CLYMB zeigt keine Werbung.

Abodaten – CLYMB ist derzeit kostenlos. Die App ist darauf ausgelegt, ein optionales kostenpflichtiges Abo zu unterstützen, und nutzt dafür RevenueCat. In den iOS- und Android-Apps registriert die App bei jeder Anmeldung deine Konto-ID bei RevenueCat, damit geprüft werden kann, ob dein Konto ein Abo hat – unabhängig davon, ob du jemals eines kaufst. Dabei erhält RevenueCat technische Informationen wie deinen Gerätetyp, dein Betriebssystem, die App-Version, deine IP-Adresse und den Zeitpunkt, zu dem du die App zuletzt geöffnet hast. Die Web-App nutzt RevenueCat nicht. Wenn du ein Abo kaufst, erhält RevenueCat außerdem den Abostatus und die Kaufhistorie, die der App Store oder Google Play für dich meldet (welches Produkt, wann es begonnen hat, sich verlängert oder abläuft, ob es erstattet wurde), sowie die Store-Kennungen der Transaktion. Wir speichern eine Kopie deiner aktuellen Berechtigung (zum Beispiel „free“ oder „Pro“) in deinem Konto, damit die App weiß, was sie freischalten soll.

4. Gesundheitsbezogene Daten

Deine Verletzungsbereiche, deine Angaben zu einer Verletzung, wenn du das Ziel „Zurück nach einer Verletzung“ wählst (wann sie passiert ist, ob dich ein Arzt oder Physio freigegeben hat, wie stark der Schmerz ist), und deine Trainingsprotokolle können Gesundheitsdaten im Sinne von Art. 9 DSGVO sein. Wir behandeln sie auch so.

• Wir verarbeiten sie ausschließlich, um deinen persönlichen Trainingsplan zu erstellen und anzupassen und dir deinen eigenen Fortschritt anzuzeigen.
• Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Du erteilst sie, indem du im Onboarding-Schritt zu den Verletzungsbereichen das Einwilligungskästchen ankreuzt, bevor du etwas eingibst. Das Ankreuzen ist freiwillig: Lässt du das Kästchen leer, kannst du CLYMB trotzdem nutzen, und wir erheben dann einfach keine Verletzungsbereiche.
• Du kannst diese Einwilligung jederzeit widerrufen, und der Widerruf ist so einfach wie die Erteilung. Öffne in der App Profil → Verletzungsfokus → Zurücksetzen: Damit werden die bei uns gespeicherten Verletzungsbereiche, deine Angaben zur Verletzung und der Nachweis deiner Einwilligung gelöscht. Wenn du dein Konto löschst (Profil → Konto löschen), wird alles gelöscht. Du kannst uns auch an [email protected] schreiben. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.
• Wir verwenden gesundheitsbezogene Daten niemals für Werbung, Marketing, Profiling für Dritte oder Data-Mining, und wir verkaufen sie niemals und geben sie niemals an Datenhändler weiter.

Wenn du Fingertraining nutzt, fragt CLYMB vor und nach jeder Fingersession nach Schmerzen in den Fingern (0 bis 10). Diese Schmerzangaben sind ebenfalls Gesundheitsdaten. Wir speichern sie nur mit einer eigenen Einwilligung, die du unter Finger → Einstellungen gibst, und das Ausschalten löscht alle gespeicherten Werte. Ohne diese Einwilligung funktioniert die Abfrage trotzdem und nichts wird gespeichert.

5. Wofür wir deine Daten verwenden und auf welcher Rechtsgrundlage

Wir senden keine Marketing-E-Mails, sofern du sie nicht gesondert angefordert hast, und wir nutzen deine Trainingsdaten nirgendwo, um dir Werbung zu zeigen.

6. Automatisierte Anpassung deines Plans

CLYMB passt deinen Trainingsplan automatisch an das an, was du protokollierst – zum Beispiel, indem du auf einer Übungsleiter ins nächste Level aufsteigst, nachdem du in zwei aufeinanderfolgenden Einheiten das obere Ende des vorgegebenen Bereichs erreicht hast. Das ist eine automatisierte Verarbeitung, sie entfaltet dir gegenüber aber keine rechtliche Wirkung und beeinträchtigt dich auch nicht in ähnlicher Weise erheblich im Sinne von Art. 22 DSGVO: Sie ändert nur, welche Übung die App als Nächstes vorschlägt, du kannst den vorgeschlagenen Schwierigkeitsgrad in der App jederzeit selbst ändern, und du kannst uns per E-Mail kontaktieren, um mit einem Menschen darüber zu sprechen.

CLYMB ist ein Fitnessprodukt, kein Medizinprodukt, und nichts darin ist eine medizinische Beratung. Sie dient nicht der Diagnose, Behandlung oder Vorbeugung von Erkrankungen. Wenn du verletzt oder schwanger bist oder eine Erkrankung hast, sprich vor dem Training mit einer qualifizierten Fachperson.

7. An wen wir deine Daten weitergeben

Wir verkaufen deine personenbezogenen Daten nicht. Wir geben sie nicht an Datenhändler oder Werbenetzwerke weiter. Wir verwenden sie nicht, um dich über Apps oder Websites anderer Unternehmen hinweg zu tracken.

Wir setzen eine kleine Zahl von Auftragsverarbeitern ein, die jeweils durch einen Auftragsverarbeitungsvertrag gebunden sind und ausschließlich nach unserer Weisung handeln:

Weitere Empfänger. Wenn du Sign in with Apple oder Google Sign-In wählst, authentifiziert dich Apple Inc. bzw. Google LLC als eigenständiger Verantwortlicher nach seinen eigenen Datenschutzbestimmungen, nicht als unser Auftragsverarbeiter, und übermittelt uns eine Kennung und eine E-Mail-Adresse.

Der Apple App Store und Google Play vertreiben unsere Apps und wickeln etwaige Zahlungen ab, jeweils nach ihren eigenen Datenschutzbestimmungen. Von ihnen erhalten wir nur aggregierte, nicht identifizierende Statistiken sowie die oben beschriebenen Aboereignisse über RevenueCat.

8. Wo deine Daten gespeichert werden und Übermittlungen in Drittländer

Wir halten die Daten der App bewusst in der EU:

• Deine Konto-, Trainings- und Workout-Daten liegen in Cloud Firestore in Googles europäischer Multi-Region eur3 (Belgien und Niederlande).
• Die API, die sie verarbeitet, läuft als Cloud Function in europe-west1 (Belgien), und ihre Serverprotokolle bleiben in derselben Region.
• Diese Website wird über Firebase App Hosting aus Googles Region europe-west4 (Niederlande) ausgeliefert.

Drei Übermittlungen in Drittländer außerhalb des EWR finden allerdings statt, und das verschweigen wir nicht:

• Kontodatensätze von Firebase Authentication (deine E-Mail-Adresse, Konto-ID und Anmelde-Metadaten) und, nur wenn du in die Analyse einwilligst, Nutzungsanalysedaten aus der App (Google Analytics for Firebase) und von dieser Website (Google Analytics) werden von Google auf einer Infrastruktur verarbeitet, zu der auch die Vereinigten Staaten gehören. Absturzberichte (Firebase Crashlytics), ebenfalls nur mit deiner Einwilligung, gehen noch weiter: Für Crashlytics bietet Google keine europäische Datenregion an und darf die Daten überall dort verarbeiten, wo es Rechenzentren betreibt.
• Abodaten (deine Konto-ID, Kaufhistorie und dein Abostatus) und die zugehörigen technischen Daten werden von RevenueCat, Inc. und dessen Unterauftragsverarbeitern in den Vereinigten Staaten verarbeitet. Grundlage dafür sind die Standardvertragsklauseln (Art. 46 DSGVO) im Auftragsverarbeitungsvertrag (Data Processing Addendum) von RevenueCat.
• Anfragen an diese Website, einschließlich deiner IP-Adresse, und die Turnstile-Prüfung auf ihren Formularen werden von Cloudflare, Inc. in seinem weltweiten Netz verarbeitet, zu dem auch die Vereinigten Staaten gehören. Cloudflare, Inc. ist nach dem EU-US Data Privacy Framework (Art. 45 DSGVO) zertifiziert; hilfsweise gelten die Standardvertragsklauseln (Art. 46 DSGVO) in Cloudflares Auftragsverarbeitungsvertrag.

Die Übermittlung an Google stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), nach dem Google LLC zertifiziert ist, hilfsweise auf die Standardvertragsklauseln der Kommission (Art. 46 DSGVO), jeweils zusammen mit Verschlüsselung bei der Übertragung und im Ruhezustand. Eine Kopie der jeweiligen geeigneten Garantien kannst du unter [email protected] anfordern.

9. Wie lange wir sie aufbewahren

10. Dein Konto löschen

In der App – sofort, endgültig, ohne dass du uns schreiben musst. Öffne Profil → Konto löschen und bestätige. Damit werden sofort und endgültig gelöscht:

• dein Authentifizierungsdatensatz (du kannst dich nicht mehr anmelden),
• dein Nutzerprofil,
• deine Trainingslevel und dein Plan,
• dein Skills-Zeitplan,
• dein Fingertrainingsplan und deine Fingersessions,
• deine Antworten aus dem Onboarding,
• dein gesamter Workout- und Einheitenverlauf,
• dein Abodatensatz, einschließlich deines Abonnentendatensatzes bei RevenueCat.

Das lässt sich nicht rückgängig machen, und wir können ein gelöschtes Konto nicht wiederherstellen.

Wenn du dich nicht anmelden kannst, sende das Formular auf unserer Seite zur Kontolöschung ab oder schreib von der E-Mail-Adresse deines Kontos aus an [email protected]. Möglicherweise müssen wir prüfen, ob das Konto dir gehört, bevor wir handeln, und wir bestätigen den Abschluss innerhalb von 30 Tagen – normalerweise innerhalb weniger Tage.

11. Deine Rechte

Wenn du dich im EWR oder im Vereinigten Königreich befindest, hast du das Recht,

• Auskunft über die personenbezogenen Daten zu erhalten, die wir über dich gespeichert haben, und eine Kopie davon zu bekommen.
• unrichtige oder unvollständige Daten berichtigen zu lassen.
• deine Daten löschen zu lassen („Recht auf Vergessenwerden“) – siehe Abschnitt 10.
• in bestimmten Fällen die Einschränkung der Verarbeitung zu verlangen.
• die Daten, die du uns bereitgestellt hast, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und, soweit technisch machbar, an einen anderen Verantwortlichen übermitteln zu lassen (Datenübertragbarkeit).
• aus Gründen, die sich aus deiner besonderen Situation ergeben, Widerspruch gegen eine Verarbeitung einzulegen, die auf unseren berechtigten Interessen beruht.
• eine Einwilligung jederzeit zu widerrufen, soweit wir uns auf eine Einwilligung stützen (auch bei gesundheitsbezogenen Daten), ohne dass dies die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt.
• nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt – siehe Abschnitt 6.

Um eines dieser Rechte auszuüben, schreib an [email protected]. Wir antworten innerhalb eines Monats; bei komplexen Anfragen kann sich diese Frist um weitere zwei Monate verlängern (darüber informieren wir dich dann). Die Ausübung deiner Rechte ist kostenlos; nur bei offenkundig unbegründeten oder exzessiven Anträgen verlangen wir ein Entgelt, und darauf weisen wir dich vorher hin.

Außerdem hast du das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen. Das kann die für uns zuständige Aufsichtsbehörde sein – die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI), Alt-Moabit 59-61, 10555 Berlin – oder die Datenschutzbehörde des EWR-Staates, in dem du lebst oder arbeitest oder in dem der mutmaßliche Verstoß stattgefunden hat. Wir würden uns freuen, wenn du uns zuerst die Gelegenheit gibst, die Sache zu klären.

Die Bereitstellung deiner Konto- und Trainingsdaten ist nicht gesetzlich vorgeschrieben, aber erforderlich, um CLYMB zu nutzen: Ohne sie können wir kein Konto für dich anlegen und keinen Plan für dich erstellen.

12. Cookies und ähnliche Technologien

Diese Website verwendet unbedingt erforderliche Cookies und lokalen Speicher, für die nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung nötig ist, und – nur wenn du im Cookie-Banner einwilligst – die Google-Analytics-Cookies _ga / _ga_<id>, geladen über den Google Tag Manager. Bevor du dich entscheidest, wird nichts Optionales gesetzt; Ablehnen ist genauso einfach wie Zustimmen, und du kannst deine Wahl jederzeit über „Cookie-Einstellungen“ in der Fußzeile ändern. Das Kontakt- und das Kontolöschungsformular nutzen Cloudflare Turnstile, das nur, solange eines dieser Formulare geöffnet ist, Browser- und Gerätesignale ausliest, um Menschen von Bots zu unterscheiden; das ist unbedingt erforderlich, um das von dir gewünschte Formular sicher bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG), und wird nie für Werbung genutzt. Rechtsgrundlage für die Analyse-Cookies ist deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG; Analysedaten werden 14 Monate gespeichert. Die Analyse dient ausschließlich der Verbesserung von CLYMB, nie der Werbung oder dem Marketing: Wir verwenden keine Werbe-Cookies und keine Werbe-IDs. Die App speichert deine Anmeldesitzung lokal auf deinem Gerät (im Browserspeicher oder, unter iOS und Android, im sicheren App-Speicher des Betriebssystems), damit du dich nicht jedes Mal neu anmelden musst; das ist für den Dienst unerlässlich. Die Nutzungsanalyse der App (Google Analytics for Firebase) läuft nur, wenn du bei der Kontoerstellung das optionale Analyse-Kästchen anhakst oder sie später im Profil einschaltest, und du kannst die Einwilligung jederzeit im Profil widerrufen. Dasselbe Kästchen steuert die Absturzberichte der App (Firebase Crashlytics), die die App mit einer Crashlytics-Installationskennung von deinem Gerät sendet; auf dieser Website setzen sie keine Cookies. Alle Einzelheiten findest du in unserer Cookie-Richtlinie.

13. Wie wir deine Daten schützen

Alle Daten werden über HTTPS/TLS übertragen und auf Google Cloud im Ruhezustand verschlüsselt. Der Zugriff auf die API wird mit kurzlebigen Firebase-ID-Tokens authentifiziert; jede Anfrage, die deine Daten betrifft, wird anhand der Identität im Token geprüft, sodass ein Konto niemals die Daten eines anderen lesen oder ändern kann. Wir setzen eine Content Security Policy und HTTP-Sicherheitsheader ein, begrenzen die Anfragerate der API, verlangen bei Passwort-Konten die Bestätigung der E-Mail-Adresse und beschränken administrative Zugriffe auf einen signierten Admin-Claim, den so wenige Personen wie möglich besitzen. Kein System ist vollkommen sicher, aber sollte eine Verletzung des Schutzes personenbezogener Daten jemals deine Rechte berühren, melden wir sie innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde und benachrichtigen dich direkt, soweit das Gesetz es verlangt.

14. Kinder

CLYMB richtet sich nicht an Kinder. Im EWR und im Vereinigten Königreich musst du mindestens 16 Jahre alt sein, um ein Konto anzulegen – oder 13, wenn das Recht deines Landes diese niedrigere Altersgrenze vorsieht und ein Träger der elterlichen Verantwortung einwilligt. Anderswo liegt das Mindestalter bei 13 Jahren. Wenn du glaubst, dass ein Kind uns personenbezogene Daten übermittelt hat, schreib an [email protected], und wir löschen das Konto.

15. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich ändert, was wir tun. Das Gültigkeitsdatum oben gibt immer die aktuelle Fassung an. Wenn eine Änderung deine Rechte wesentlich berührt, informieren wir dich per E-Mail oder in der App, bevor sie wirksam wird.

16. Kontakt

Flexfit Softwareentwicklung, Inhaber: Américo Andrés Munoz Buschmann
Stresemannstr. 72, 10963 Berlin, Deutschland
[email protected]