Datenschutzerklärung

Diese Erklärung gilt für die Website www.musclytics.com, die Web-App app.musclytics.app, die Android-App Musclytics, die öffentlichen Teilen-Seiten share.musclytics.app, die Umfragen unter surveys.musclytics.com und unsere E-Mails.

1. Verantwortlicher

David Kurtze
Hermann-Brand-Ring 7
35102 Lohra
Deutschland
E-Mail: support@musclytics.com

Für alle Fragen zum Datenschutz erreichst du uns unter dieser Adresse oder in der App unter Profil → Hilfe & Feedback. Einen Datenschutzbeauftragten müssen wir nicht benennen.

2. Bereitstellung, Hosting und Server-Protokolle

Website, Web-App, Schnittstelle der App (API), Datenbank und Analyse-Server betreiben wir auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Rechenzentren in der EU. Hetzner verarbeitet die Daten nur in unserem Auftrag (Auftragsverarbeitungsvertrag nach Art. 28 DSGVO). Alle Verbindungen sind per TLS verschlüsselt.

Bei jedem Aufruf speichert der Webserver automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, zuvor besuchte Seite (Referrer) sowie Browser bzw. App-Version und Betriebssystem (User-Agent). Das ist nötig, um die Inhalte auszuliefern, Fehler zu finden und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb. Die Protokolle löschen wir nach 14 Tagen, außer ein Eintrag wird zur Aufklärung eines konkreten Sicherheitsvorfalls gebraucht.

Zusätzlich führt die Anwendung ein Fehler- und Ereignisprotokoll (z. B. „Upload fehlgeschlagen“), teilweise mit deiner Nutzer-ID. Einträge werden je nach Bedeutung nach 6 Stunden bis höchstens 90 Tagen gelöscht.

3. Website www.musclytics.com

Webanalyse mit Matomo (nur mit Einwilligung)

Auf der Website nutzen wir Matomo, eine Open-Source-Webanalyse, die auf unserem eigenen Server (analytics.musclytics.com, Hetzner) läuft. Es werden keine Daten an Dritte weitergegeben. Matomo wird erst geladen, wenn du im Cookie-Dialog der Kategorie „Analyse“ zustimmst. Dann werden erfasst: aufgerufene Seiten, Zeitpunkt, Verweildauer, Herkunftsseite, Browser, Betriebssystem, Bildschirmauflösung und Sprache. Deine IP-Adresse wird vor der Speicherung gekürzt (die letzten zwei Blöcke werden entfernt), sodass wir dich nicht identifizieren können. Zur Wiedererkennung setzt Matomo die Cookies _pk_id (13 Monate) und _pk_ses (30 Minuten). Die Rohdaten löschen wir nach 180 Tagen.

Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit über das Cookie-Symbol unten rechts widerrufen.

Cookie-Einstellungen

Deine Auswahl im Cookie-Dialog speichern wir im Cookie ml_consent_analytics für 180 Tage, damit wir nicht bei jedem Besuch erneut fragen müssen. Dieses Cookie ist technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. c und f DSGVO). Der Cookie-Dialog selbst und alle Schriften werden von unserem Server geladen; Inhalte anderer Anbieter binden wir nicht ein.

Newsletter (nur mit Einwilligung)

Auf der Website kannst du unseren Newsletter abonnieren, auch ohne Konto. Er enthält Neuigkeiten zu Musclytics, zum Beispiel den Start der App bei Google Play oder im App Store. Dafür brauchen wir nur deine E-Mail-Adresse. Nach dem Absenden schicken wir dir eine E-Mail mit einem Bestätigungslink (Double-Opt-in); erst wenn du dort bestätigst, bist du angemeldet. Ohne Bestätigung schicken wir dir nichts weiter. Der Link ist 72 Stunden gültig, die unbestätigte Anmeldung löschen wir nach spätestens 7 Tagen.

Als Nachweis deiner Einwilligung speichern wir den Zeitpunkt der Anmeldung und der Bestätigung, die Version des Einwilligungstextes sowie IP-Adresse und User-Agent bei der Bestätigung. Rechtsgrundlage für den Versand ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG), für den Nachweis unser berechtigtes Interesse, die Einwilligung belegen zu können (Art. 6 Abs. 1 lit. f, Art. 7 Abs. 1 DSGVO). Um Missbrauch zu verhindern, zählen wir Anmeldungen je E-Mail-Adresse und IP-Adresse; diese Zähler löschen wir nach 7 Tagen. Gespeichert wird auf unseren Servern bei Hetzner, verschickt über IONOS (siehe Abschnitt 2 und 10). Wir messen nicht, ob du den Newsletter öffnest oder Links anklickst.

Du kannst dich jederzeit über den Abmeldelink in jeder Newsletter-Mail abmelden; damit widerrufst du deine Einwilligung mit Wirkung für die Zukunft. Danach löschen wir deine E-Mail-Adresse und die Nachweise innerhalb von 30 Tagen. Hast du ein Musclytics-Konto mit derselben Adresse oder legst du später eines an, gehört der Newsletter zu deinem Konto: Du steuerst ihn dann auch in der App unter Profil → Einstellungen, und es gelten die Fristen für Konten (Abschnitt 14). Tipps oder Umfragen bekommst du durch den Newsletter nicht; dafür gibst du in der App eine eigene Einwilligung.

4. Dein Konto

Registrierung

Für ein Konto brauchen wir deine E-Mail-Adresse, einen Namen (ein Vorname oder Spitzname genügt) und ein Passwort. Das Passwort speichern wir nur als sicheren Hash (bcrypt), nie im Klartext. Deine E-Mail-Adresse bestätigst du mit einem Code, den wir dir schicken. Du bestätigst außerdem, dass du mindestens 16 Jahre alt bist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung von Musclytics).

Wenn du den Nutzungsbedingungen zustimmst oder eine Einwilligung erteilst, speichern wir als Nachweis: Dokument und Version, Zeitpunkt, Quelle (App oder Web), IP-Adresse und User-Agent (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, nachweisen zu können, wozu du zugestimmt hast – vgl. Art. 7 Abs. 1 DSGVO).

Anmelden mit Google

Du kannst dich statt mit Passwort auch mit deinem Google-Konto anmelden. Dann übermittelt uns Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) nach deiner Bestätigung eine eindeutige Google-Kennung, deine E-Mail-Adresse und deinen Namen. Wir speichern die Kennung und die E-Mail-Adresse, um dich wiederzuerkennen, und – wenn du keinen anderen angibst – deinen Vornamen als Namen im Konto. Für die Anmeldung selbst ist Google verantwortlich; es gilt die Datenschutzerklärung von Google (policies.google.com/privacy). Google kann Daten auch in die USA übermitteln; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Rechtsgrundlage für unsere Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

Anmeldung und Sicherheit

• Anmeldungen in der App: Geräte-ID der Installation, Gerätename, Plattform, App-Version, Anmeldeweg, Zeitpunkte, zuletzt genutzte IP-Adresse sowie Anmelde-Schlüssel (nur als Hash). Mit „Überall abmelden“ im Profil beendest du alle Anmeldungen. Eine Anmeldung läuft nach 90 Tagen ohne Nutzung ab; wir löschen sie 30 Tage nach Abmeldung oder Ablauf.
• Web-App: das Sitzungs-Cookie PHPSESSID (24 Stunden) und, wenn du „Angemeldet bleiben“ wählst, das Cookie remember_me (30 Tage). Beide sind technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG). Außerdem speichert unser Server einmal pro Sitzung Browser, Plattform, User-Agent und ob du die Web-App installiert hast, um Darstellungsfehler einzugrenzen (Art. 6 Abs. 1 lit. f DSGVO; Löschung 12 Monate nach der letzten Nutzung).
• Schutz vor Missbrauch: Anmeldeversuche speichern wir mit eingegebener E-Mail-Adresse, IP-Adresse, Zeitpunkt und Ergebnis für 30 Tage; Zähler zur Begrenzung von Anfragen (mit IP-Adresse) für 7 Tage. Bei auffälligen Mustern erhalten wir eine Sicherheitsmeldung per E-Mail an unser Postfach bei IONOS (mit IP- und E-Mail-Adresse, Löschung nach 30 Tagen) sowie per Telegram nur die Anzahl der Meldungen – ohne IP- oder E-Mail-Adressen.
• Codes und Links für E-Mail-Bestätigung und neues Passwort sind kurz gültig und werden nach Ablauf gelöscht (spätestens nach 30 Tagen).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO (sicherer Betrieb, Schutz deines Kontos).

5. Training, Pläne und Coach

Wir speichern, was du in Musclytics anlegst und aufzeichnest: Übungen, Geräte, Pläne und ihre Einstellungen, Trainings mit Datum und Dauer, Sätze mit Gewicht, Wiederholungen, Reserve (RIR) und Notizen, Gewichtsverläufe, deine Einstellungen (z. B. Timer, Körpergröße, Zeitzone) sowie Mitteilungen in der App. Daraus berechnen wir Statistiken und Rekorde. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Coach: Aus deinen Trainingsergebnissen schlägt der Coach automatisch Gewichte vor (mehr, weniger oder ein Wiedereinstieg nach einer Pause). Das sind Vorschläge – du entscheidest selbst, ob du sie übernimmst. Eine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt. Du kannst den Coach in den Einstellungen ausschalten.

6. Körpergewicht (Gesundheitsdaten)

Dein Körpergewicht und daraus berechnete Werte (z. B. BMI) sind Gesundheitsdaten. Wir verarbeiten sie nur, wenn du die Funktion einschaltest und ausdrücklich einwilligst (Art. 9 Abs. 2 lit. a und Art. 6 Abs. 1 lit. a DSGVO). Die Angabe ist freiwillig; Musclytics funktioniert auch ohne. In den Einstellungen kannst du die Erfassung nur ausschalten (deine Werte und die Einwilligung bleiben) oder die Einwilligung widerrufen – dann löschen wir sofort alle deine Körpergewichts-Werte. Der Widerruf gilt für die Zukunft.

7. Speicherung auf deinem Gerät (App)

Damit du auch ohne Internet trainieren kannst, speichert die App auf deinem Gerät: deine Pläne und die Werte für das nächste Training, das laufende Training und noch nicht hochgeladene Trainings (in einer lokalen Datenbank) sowie deine Anmelde-Schlüssel (im verschlüsselten Schlüsselspeicher von Android). Diese Daten bleiben auf deinem Gerät – sie werden nicht in die Android-Sicherung übernommen –, bis sie hochgeladen sind oder du dich abmeldest bzw. die App deinstallierst. Dein Passwort speichert die App nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für den Zugriff auf den Gerätespeicher § 25 Abs. 2 Nr. 2 TDDDG.

Das laufende Training und den Satz-Timer zeigt die App als lokale Benachrichtigung auf deinem Gerät an (dafür nutzt sie die Berechtigungen für Benachrichtigungen und exakte Wecker). Dabei werden keine Daten an uns oder an einen Push-Dienst gesendet. Die Berechtigungen kannst du in den Android-Einstellungen jederzeit entziehen.

Beim Start fragt die App bei unserem Server die aktuelle Mindestversion ab, damit du über nötige Updates informiert wirst.

8. Trainings und Pläne teilen

Wenn du ein Training oder einen Plan teilst, erzeugen wir eine öffentliche Seite mit einem zufälligen Link (share.musclytics.app) und ein Vorschaubild. Was darauf zu sehen ist, bestimmst du (z. B. Sätze, Gewichte, Rekorde, dein Name, ein eigener Text). Jeder, der den Link kennt, kann die Seite ansehen. Suchmaschinen bitten wir, die Seiten nicht aufzunehmen. Messenger und soziale Netzwerke rufen die Seite beim Teilen eventuell selbst ab, um eine Vorschau anzuzeigen.

Wir zählen die Aufrufe und speichern den Zeitpunkt des letzten Aufrufs – ohne Daten über die Besucher. Teilen-Seiten setzen keine Cookies. Du kannst jeden Link jederzeit deaktivieren; die Seite ist dann nicht mehr erreichbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für Besucher der Seiten gelten die Server-Protokolle nach Abschnitt 2.

9. Support

Wenn du uns in der App oder im Web schreibst, speichern wir dein Anliegen (Art, Titel, Nachricht, Verlauf). In der App kannst du technische Angaben anhängen: App-Version, Android-Version, Gerätemodell, Anzahl nicht hochgeladener Trainings, ob gerade ein Training läuft und ob du online bist. Das ist freiwillig und hilft bei der Fehlersuche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei allgemeinen Anfragen Art. 6 Abs. 1 lit. f DSGVO. Anfragen per E-Mail verarbeiten wir genauso. Erledigte Anfragen löschen wir 24 Monate nach der letzten Nachricht, spätestens mit deinem Konto.

Über neue Anfragen werden wir per Telegram benachrichtigt (Telegram Messenger Inc.). Diese Nachricht enthält nur die Art der Anfrage und die Ticketnummer – keinen Namen, keine E-Mail-Adresse und keinen Text. Das Ticket selbst öffnen wir in unserer eigenen Verwaltung.

10. E-Mails

Mails zu deinem Konto

Wir schicken dir E-Mails, die für dein Konto nötig sind: Bestätigungscodes, Links zum Zurücksetzen des Passworts, Sicherheitshinweise, Bestätigungen zur Kontolöschung und Antworten auf deine Anfragen (Art. 6 Abs. 1 lit. b und f DSGVO). Diese Mails kannst du nicht abbestellen, solange du ein Konto hast.

Tipps, Neuigkeiten und Umfragen (nur mit Einwilligung)

Trainingstipps, Neuigkeiten zu Musclytics und kurze Umfragen schicken wir nur, wenn du das in den Einstellungen der App oder in den E-Mail-Einstellungen (Link in unseren Mails) ausdrücklich einschaltest (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Als Nachweis speichern wir Zeitpunkt, Quelle, IP-Adresse und User-Agent. Welche Mails du bekommst, richtet sich nach deinem Konto (z. B. Anzahl der Trainings). Du kannst die Einwilligung jederzeit in den Einstellungen oder über den Abmeldelink in jeder Mail widerrufen, auch nur für einzelne Themen. Wir messen nicht, ob du unsere Mails öffnest oder Links anklickst. Den Newsletter der Website beschreibt Abschnitt 3.

Versand

Wir versenden E-Mails über Server der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur (Auftragsverarbeitung nach Art. 28 DSGVO). Kopien versendeter Mails löschen wir nach 90 Tagen.

Umfragen

Umfragen laufen auf unserer eigenen Seite surveys.musclytics.com. Folgst du einer Einladung per E-Mail, ordnen wir deine Antworten deinem Konto zu, damit wir sie im Zusammenhang mit deiner Nutzung verstehen. Zum Schutz vor Mehrfachteilnahme speichern wir den User-Agent und einen nicht umkehrbaren Hash deiner IP-Adresse; beides löschen wir nach 30 Tagen. Die Antworten löschen wir nach 24 Monaten, spätestens mit deinem Konto. Die Teilnahme ist freiwillig (Art. 6 Abs. 1 lit. a DSGVO).

11. Fehlerberichte in der App (Sentry)

Stürzt die App ab oder tritt ein Fehler auf, sendet sie einen Fehlerbericht an Sentry (Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA). Die Daten werden in der EU (Frankfurt am Main) gespeichert. Ein Bericht enthält: Fehlermeldung und technische Einzelheiten, App-Version, Geräteangaben (u. a. Android-Version, Gerätemodell, Speicher und Sprache), deine Nutzer-ID (nur als Nummer, ohne Name oder E-Mail) und die letzten technischen Schritte vor dem Fehler (z. B. aufgerufene Bildschirme und Serveradressen ohne Parameter). Trainingsinhalte, Passwörter, Anmelde-Schlüssel und Bildschirmfotos werden nicht übertragen. Deine IP-Adresse erhält Sentry technisch bedingt beim Senden, speichert sie aber nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine stabile App ohne Datenverlust. Sentry ist unser Auftragsverarbeiter. Weil Sentry ein US-Unternehmen ist, sind Zugriffe aus den USA nicht ausgeschlossen; Sentry ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO), zusätzlich gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Berichte werden nach höchstens 90 Tagen gelöscht. Du kannst Fehlerberichte jederzeit in den Einstellungen unter „Datenschutz → Fehlerberichte senden“ ausschalten; das ist auch ein Widerspruch nach Abschnitt 15.

12. Google Play

Die Android-App bekommst du über Google Play. Für Download, Installation und Updates ist Google selbst verantwortlich (Google Ireland Limited). Hast du auf deinem Gerät zugestimmt, übermittelt Android zusätzlich anonyme Absturz- und Leistungsstatistiken an Google, die wir in der Play Console zusammengefasst sehen.

13. Empfänger im Überblick

• Hetzner Online GmbH (Deutschland) – Server, Datenbank, Analyse-Server – Auftragsverarbeiter
• IONOS SE (Deutschland) – E-Mail-Versand und Postfächer – Auftragsverarbeiter
• Functional Software, Inc. (Sentry) (USA, Speicherung in der EU) – Fehlerberichte der App – Auftragsverarbeiter
• Google Ireland Limited – Anmelden mit Google, Google Play – eigene Verantwortung
• Telegram Messenger Inc. (außerhalb der EU) – Benachrichtigungen an uns; enthalten nur Art und Nummer einer Support-Anfrage bzw. die Anzahl von Sicherheitsmeldungen, keine Namen, E-Mail- oder IP-Adressen

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind (z. B. an Behörden auf richterliche Anordnung). Wir verkaufen keine Daten.

14. Wie lange wir Daten speichern

• Konto, Trainings, Pläne, Einstellungen: bis du dein Konto löschst. Erledigte Support-Anfragen: 24 Monate.
• Körpergewicht: bis du die Werte löschst, die Einwilligung widerrufst und die Löschung wählst, oder bis zur Kontolöschung.
• Nachweise über Zustimmungen und Einwilligungen: bis zur Kontolöschung.
• Newsletter ohne Konto: bis zur Abmeldung, danach höchstens 30 Tage. Unbestätigte Anmeldungen: höchstens 7 Tage.
• Server-Protokolle: 14 Tage. Anwendungsprotokoll: 6 Stunden bis 90 Tage.
• Anmeldeversuche: 30 Tage. Anfrage-Zähler: 7 Tage. Beendete App-Anmeldungen: 30 Tage.
• Versendete E-Mails: 90 Tage. Fehlerberichte (Sentry): höchstens 90 Tage.
• Webanalyse (Matomo): 180 Tage. Umfragen: Antworten 24 Monate, User-Agent und IP-Hash 30 Tage.
• Sicherungskopien der Datenbank: werden nach spätestens 30 Tagen überschrieben; gelöschte Daten verschwinden damit auch aus den Sicherungen.

Konto löschen: Du kannst dein Konto in der App (Profil → Konto löschen) oder ohne App unter app.musclytics.app/konto-loeschen.php löschen. Nach 30 Tagen löschen wir deine persönlichen Daten endgültig: E-Mail-Adresse, Name, Passwort, Körpergewicht, Notizen, Support-Anfragen, Geräte- und Anmeldedaten, Einstellungen, geteilte Links und Nachweise. Meldest du dich in diesen 30 Tagen an, wird die Löschung abgebrochen. Deine Trainingswerte (z. B. Sätze, Gewichte, Namen von Übungen und Plänen) bleiben danach ohne Name, E-Mail-Adresse und Notizen für Statistiken erhalten; wir können sie dir nicht mehr zuordnen. Daten auf deinem Gerät löschst du, indem du dich abmeldest oder die App deinstallierst.

15. Deine Rechte

Du hast gegenüber uns das Recht auf

• Auskunft über deine Daten und eine Kopie davon (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

So geht’s: Schreib uns an support@musclytics.com oder nutze in der App Profil → Hilfe & Feedback → „Datenauskunft anfordern“. Wir antworten innerhalb eines Monats. Deine Daten bekommst du als ZIP-Datei mit allen gespeicherten Daten (JSON) und Tabellen (CSV). Damit niemand fremde Daten anfordert, prüfen wir, ob die Anfrage von der E-Mail-Adresse bzw. aus dem Konto kommt. Vieles kannst du auch selbst: Daten in der App ändern, Körpergewicht löschen, E-Mails abbestellen, Teilen-Links deaktivieren, Konto löschen.

Beschwerde: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden, datenschutz.hessen.de.

16. Pflichtangaben und Mindestalter

E-Mail-Adresse, Name und Passwort (bzw. die Google-Anmeldung) brauchen wir, um dir ein Konto bereitzustellen. Alle anderen Angaben sind freiwillig; ohne sie stehen einzelne Funktionen nicht zur Verfügung. Musclytics richtet sich an Personen ab 16 Jahren.

17. Sicherheit

Wir schützen deine Daten mit Verschlüsselung bei der Übertragung (TLS), gehashten Passwörtern und Anmelde-Schlüsseln, verschlüsselter Speicherung der Schlüssel auf deinem Gerät, begrenzten Anmeldeversuchen und einem Zugriff auf die Server, der auf den Betreiber beschränkt ist.

18. Änderungen

Wenn sich Musclytics oder die Rechtslage ändert, passen wir diese Erklärung an. Über wesentliche Änderungen informieren wir dich in der App und in der Web-App vor dem Inkrafttreten. Frühere Fassungen findest du unter Fassung vom 13.01.2026.