Datenschutzerklärung

1. Verantwortlicher

2. Allgemeines

Wir nehmen den Schutz Ihrer personenbezogenen Daten sehr ernst. Personenbezogene Daten werden ausschließlich im Rahmen der gesetzlichen Datenschutzvorschriften (insbesondere DSGVO) verarbeitet. Diese Datenschutzerklärung gilt sowohl für die Apps Eisbaden (iOS und Android) als auch für die Website eisbaden.app.

3. Bereitstellung der Website (Webserver-Logfiles)

Beim Aufruf unserer Website werden durch unseren Hosting-Anbieter Hetzner (Server in Deutschland) automatisch Daten in sogenannten Server-Logfiles erfasst, die Ihr Browser an unseren Server übermittelt:

• IP-Adresse des aufrufenden Geräts (gekürzt / anonymisiert)
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL und HTTP-Statuscode
• Übertragene Datenmenge
• Browser-Typ, Browser-Version und Betriebssystem
• Referrer-URL (zuvor besuchte Seite)

Die Verarbeitung erfolgt zur Sicherstellung des stabilen, sicheren Betriebs der Website sowie zur Abwehr und Aufklärung von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Logfiles werden nach maximal 14 Tagen gelöscht, sofern kein konkreter Sicherheitsvorfall eine längere Speicherung erfordert.

4. Kontaktformular auf der Website

Auf der Seite eisbaden.app/kontakt bieten wir ein Kontaktformular an. Bei dessen Nutzung werden folgende Daten verarbeitet:

• Name (Pflichtfeld)
• E-Mail-Adresse (Pflichtfeld)
• Betreff und Nachricht
• Zeitstempel der Übermittlung

Die Nachrichten werden per E-Mail über unseren SMTP-Provider IONOS (Server in Deutschland) an unsere Kontakt-E-Mail-Adresse zugestellt. Eine Speicherung in einer Datenbank findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfrage) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Die übermittelten Daten werden gelöscht, sobald der Anlass der Korrespondenz entfallen ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Zur Abwehr automatisierter Spam-Anfragen setzen wir ein Honeypot-Feld sowie eine Mindestzeitprüfung ein. Personenbezogene Daten werden hierbei nicht verarbeitet.

5. Local Storage, Schriftarten und App-Demo auf der Website

Unsere Website verwendet den Browser-internen Local Storage, um Ihre Anzeigeeinstellungen (z. B. heller / dunkler Modus, Schlüssel eb-theme) auf Ihrem Gerät zu speichern. Diese Daten verlassen Ihr Gerät nicht und werden nicht an uns übermittelt. Sie können den Local Storage jederzeit über Ihre Browser-Einstellungen löschen.

Die auf der Website verwendeten Schriftarten (Geist, Geist Mono) werden lokal von unserem eigenen Server ausgeliefert. Beim Aufruf unserer Seiten wird keine Verbindung zu Servern von Google (Google Fonts) oder anderen Schriftarten-Anbietern aufgebaut.

Die interaktive App-Demo auf der Startseite zeigt Live-Wetterdaten für einen fest voreingestellten Beispiel-Standort (Bodensee). Dazu ruft Ihr Browser die Wetterwerte direkt bei Open-Meteo ab; technisch bedingt wird dabei Ihre IP-Adresse an Open-Meteo übermittelt. Weitere Daten werden nicht übertragen; Ihr eigener Standort wird weder abgefragt noch verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionsfähigen Produkt-Demo). Nutzungsbedingungen von Open-Meteo: open-meteo.com/terms.

6. Verarbeitete Datenarten (App)

6.1 Account-Daten und Anmeldung

• E-Mail-Adresse
• Benutzername (optional)
• Anzeigename (optional)
• Profilbild (optional)
• Geschlecht und Geburtsdatum (optional)

Die Registrierung ist mit E-Mail-Adresse und Passwort oder über „Mit Apple anmelden" bzw. „Mit Google anmelden" möglich. Bei der Anmeldung über Apple oder Google erhalten wir vom jeweiligen Anbieter Ihre E-Mail-Adresse (bei Apple auf Wunsch eine anonymisierte Weiterleitungsadresse) sowie ggf. Ihren Namen. Weitere Daten aus Ihrem Apple- bzw. Google-Konto erhalten wir nicht. Für den Anmeldevorgang selbst ist der jeweilige Anbieter datenschutzrechtlich verantwortlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

6.2 Session-Daten (Eisbad-Einträge)

• Datum und Uhrzeit der Session
• Dauer in Sekunden
• Wassertemperatur (optional)
• Lufttemperatur (optional)
• Standortname / Gewässername (optional)
• GPS-Koordinaten (optional, bei Standortfreigabe)
• Herzfrequenz während der Session (optional; Durchschnitts-, Minimal- und Maximalwert, sofern über Apple Watch oder Garmin erfasst, inkl. Angabe des erfassenden Geräts)
• Fotos (optional, vom Nutzer hochgeladen)
• Sichtbarkeitseinstellung (privat, Freunde, öffentlich)

Session-Daten werden auf unseren Servern bei Supabase (EU, Frankfurt) gespeichert, damit sie geräteübergreifend verfügbar sind und je nach Sichtbarkeitseinstellung mit Freunden geteilt werden können. Herzfrequenzwerte sind Gesundheitsdaten im Sinne von Art. 9 DSGVO; ihre Speicherung erfolgt nur, wenn Sie die Erfassung aktiv aktiviert haben (Apple-Health-Freigabe bzw. Garmin-Verbindung), auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Sie können einzelne Sessions jederzeit löschen; damit werden auch die zugehörigen Herzfrequenzwerte gelöscht.

6.3 Apple HealthKit / Gesundheitsdaten

Mit Ihrer ausdrücklichen Einwilligung kann die App Gesundheitsdaten aus Apple Health (HealthKit) lesen und schreiben, insbesondere:

• Herzfrequenz während Eisbad-Sessions
• Eisbad-Sessions als Workout-Daten

Wichtige Hinweise gemäß Apple HealthKit-Richtlinien:

• HealthKit-Daten werden nicht an Dritte weitergegeben, verkauft oder zu Werbe-/Marketingzwecken genutzt.
• Die HealthKit-Datenbank selbst verbleibt auf Ihrem Gerät. Wird während einer Session eine Herzfrequenz erfasst (z. B. über die Apple Watch), speichern wir ausschließlich die zusammengefassten Werte (Durchschnitt, Minimum, Maximum) mit der jeweiligen Session auf unseren Servern in der EU (siehe Abschnitt 6.2), auf Grundlage Ihrer ausdrücklichen Einwilligung.
• HealthKit-Daten werden nicht für Data-Mining, Profiling oder Werbung verwendet.
• Die Einwilligung kann jederzeit in den iOS-Einstellungen unter Datenschutz > Health widerrufen werden.

6.4 Apple Watch (watchOS)

Die Eisbaden-App bietet eine Apple Watch Companion-App. Dabei werden folgende Daten verarbeitet:

• Session-Start und -Stopp direkt von der Apple Watch
• Herzfrequenzdaten während aktiver Sessions (über HealthKit)
• Komplikationen und Live Activities zur Anzeige laufender Sessions

Daten werden zwischen iPhone und Apple Watch über die systemeigene Watch Connectivity synchronisiert; diese Synchronisation erfolgt lokal und nicht über unsere Server. Während einer Session erfasste Herzfrequenzwerte werden anschließend als Teil der Session gespeichert (siehe Abschnitt 6.2).

6.5 Garmin Connect

Die App bietet eine optionale Integration mit Garmin Connect. Bei Aktivierung durch den Nutzer werden folgende Daten verarbeitet:

• Authentifizierung über Garmin Connect OAuth (PKCE-Verfahren)
• Synchronisation von Eisbade-Sessions von der Garmin-Uhr; übernommen werden Zeitpunkt, Dauer sowie Herzfrequenz (Durchschnitt und Maximum, siehe Abschnitt 6.2)
• Garmin-Benutzerkennung zur Zuordnung der Verbindung

Hinweise:

• Die Verbindung kann jederzeit in der App unter Einstellungen getrennt werden.
• Bei Trennung werden die gespeicherten Garmin-Zugangsdaten gelöscht.
• Garmin ist ein eigenständiger Verantwortlicher für Daten innerhalb der Garmin-Plattform. Die Datenschutzerklärung von Garmin finden Sie unter garmin.com/privacy.

6.6 Wetterdaten

Die App zeigt aktuelle Wetterdaten (Lufttemperatur, Wetterbeschreibung) bei Eisbad-Sessions an. Auf iOS wird hierfür Apple WeatherKit genutzt; dabei wird der ungefähre Standort an Apple übermittelt, es gelten die Datenschutzrichtlinien von Apple. Auf Android wird Open-Meteo genutzt; dabei werden die ungefähren Standortkoordinaten an Open-Meteo übermittelt, es gelten die Nutzungsbedingungen von Open-Meteo. Die Wetterdaten dienen ausschließlich der Anzeige und werden nicht für Tracking verwendet.

6.7 Standortdaten

Mit Ihrer Zustimmung kann die App Standortdaten verarbeiten, um:

• Wetterdaten für den aktuellen Standort abzurufen
• Gewässer in der Nähe zu erkennen (via Apple MapKit, Radius 500 m)
• Eisbad-Sessions einem Ort zuzuordnen
• Clubs in der Nähe anzuzeigen

Die Standortfreigabe ist freiwillig und kann jederzeit in den Geräteeinstellungen (iOS bzw. Android) widerrufen werden.

6.8 Nutzungs- und Gerätedaten

• Gerätetyp (z. B. iPhone, Apple Watch, Garmin-Modell)
• Betriebssystem-Version
• App-Version
• Push-Notification-Token (für Benachrichtigungen)

6.9 Crash Reporting (Sentry)

Zur Verbesserung der App-Stabilität nutzen wir Sentry (Functional Software, Inc.) zur Erfassung von Absturzberichten und Fehlermeldungen. Dabei werden verarbeitet:

• Gerätetyp und Betriebssystem
• App-Version und Build-Nummer
• Stack-Traces und Fehlermeldungen
• Zeitstempel des Fehlers

Es werden keine personenbezogenen Inhalte (wie Benutzernamen, E-Mails oder Session-Daten) an Sentry übermittelt; die Übermittlung von IP-Adressen und ähnlichen Kennungen ist in der App deaktiviert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Fehlerbehebung). Weitere Informationen: sentry.io/privacy.

6.10 Push-Benachrichtigungen

Mit Ihrer Zustimmung sendet die App Push-Benachrichtigungen (z. B. bei Reaktionen, Kommentaren, Freundschaftsanfragen oder Club-Aktivitäten). Der Versand erfolgt auf iOS über den Apple Push Notification Service (APNs) und auf Android über Firebase Cloud Messaging (FCM), einen Dienst der Google Ireland Ltd. bzw. Google LLC. Dazu speichern wir das Push-Token Ihres Geräts, verknüpft mit Ihrem Account. Inhalte der Benachrichtigungen werden über die Server von Apple bzw. Google zugestellt. Push-Benachrichtigungen können jederzeit in den Systemeinstellungen oder in den App-Einstellungen deaktiviert werden; das Token wird bei Abmeldung bzw. Account-Löschung entfernt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

6.11 Käufe (Eisbaden Premium)

Premium-Funktionen können über In-App-Käufe im Apple App Store (iOS) bzw. bei Google Play (Android) erworben werden. Die Zahlungsabwicklung erfolgt vollständig durch Apple bzw. Google als eigenständige Verantwortliche; wir erhalten keine Zahlungsdaten (keine Kreditkarten- oder Kontodaten). Zur Prüfung und Zuordnung eines Kaufs verarbeiten und speichern wir die von Apple bzw. Google bereitgestellte Transaktions- bzw. Kaufkennung, den Produktnamen, den Kaufzeitpunkt und den Premium-Status Ihres Accounts. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

6.12 System-E-Mails (Registrierung, Passwort zurücksetzen)

Für den Versand von System-E-Mails aus der App (z. B. Registrierungsbestätigung, Passwort zurücksetzen, E-Mail-Adresse ändern) nutzen wir den Dienst Resend (Resend, Inc., USA). Verarbeitet werden dabei Ihre E-Mail-Adresse sowie der Inhalt der jeweiligen Systemnachricht. Mit Resend besteht ein Auftragsverarbeitungsvertrag einschließlich EU-Standardvertragsklauseln (siehe Abschnitt 13). E-Mails über das Kontaktformular der Website laufen hiervon unabhängig über IONOS (siehe Abschnitt 4). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

7. Social Media Sharing

Nutzer können ihre Eisbad-Sessions als Bild/Story teilen. Dabei stellt die App ein Bild zusammen, das über die systemeigene Teilen-Funktion (iOS Share Sheet) an folgende Dienste geteilt werden kann:

• Instagram (Story oder Feed-Beitrag)
• Facebook (Story oder Feed-Beitrag)
• Weitere Apps, die das iOS Share Sheet unterstützen

Hinweise:

• Das Teilen ist vollständig freiwillig und wird ausschließlich vom Nutzer ausgelöst.
• Die App übermittelt keine Daten direkt an Facebook oder Instagram. Die Übertragung erfolgt ausschließlich über das Betriebssystem (iOS Share Sheet).
• Sobald Inhalte auf einer Social-Media-Plattform veröffentlicht werden, gelten die Datenschutzbestimmungen des jeweiligen Anbieters:
  • Instagram Datenschutzrichtlinie
  • Facebook Datenschutzrichtlinie

8. Community-Funktionen

Die App bietet soziale Funktionen wie:

• Freundschaften und Feed (Sessions mit Freunden teilen)
• Kommentare und Reaktionen auf Sessions
• Clubs mit Posts, Events und Umfragen
• Melden von Kommentaren und Nutzern
• Blockieren von Nutzern

Von Nutzern erstellte Inhalte (Kommentare, Posts, Fotos) sind je nach Sichtbarkeitseinstellung für andere Nutzer sichtbar. Gemeldete Inhalte werden von uns geprüft und ggf. entfernt.

8.1 Automatisierte Reaktionen im offiziellen Eisbaden-Club

Im offiziellen Eisbaden.app-Club kann der offizielle Eisbaden.app-Account auf Kommentare automatisiert reagieren (z. B. mit einem Like oder einer kurzen Begrüßung neuer Mitglieder). Zur technischen Erstellung dieser Antworten werden der Benutzername und der Kommentartext an unseren Dienstleister Anthropic (Anthropic PBC, USA) übermittelt und dort ausschließlich zur Erstellung der jeweiligen Antwort verarbeitet; eine Nutzung zum Training von Modellen findet vertragsgemäß nicht statt. Es besteht ein Auftragsverarbeitungsvertrag einschließlich EU-Standardvertragsklauseln (siehe Abschnitt 13). Diese Funktion betrifft nur Kommentare im offiziellen Club, nicht private Inhalte oder Sessions. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer aktiven, betreuten Community). Sie können dieser Verarbeitung jederzeit widersprechen (siehe Abschnitt 16).

9. Zwecke der Datenverarbeitung

• Bereitstellung der App-Funktionen (Sessions, Feed, Clubs, Events)
• Darstellung und Auswertung von Eisbad-Sessions und Statistiken
• Synchronisation mit Apple Health und Garmin Connect (bei Einwilligung)
• Anzeige von Wetterdaten (Apple WeatherKit / Open-Meteo)
• Versand von Push-Benachrichtigungen (bei Einwilligung)
• Abwicklung und Prüfung von Premium-Käufen (App Store / Google Play)
• Versand von System-E-Mails (Registrierung, Passwort zurücksetzen)
• Automatische Antworten des offiziellen Accounts im offiziellen Club (siehe Abschnitt 8.1)
• Verbesserung der App-Stabilität (Sentry Crash Reporting)

10. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung (HealthKit, Standort, Push, Garmin)
• Art. 9 Abs. 2 lit. a DSGVO: Ausdrückliche Einwilligung bei Gesundheitsdaten
• Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung (Account, Sessions, Community)
• Art. 6 Abs. 1 lit. f DSGVO: Berechtigtes Interesse (Crash Reporting, Sicherheit, automatische Club-Antworten, Lösch-Nachweis)

11. Hosting & Auftragsverarbeitung

Unsere zentrale Infrastruktur wird bei folgenden Dienstleistern betrieben:

• Supabase (Datenbank, Authentifizierung, Dateispeicher). Server in der EU (Frankfurt). Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO liegt vor.
• Hetzner (Webhosting der Website). Server in Deutschland.

Weitere Dienstleister setzen wir nur für einzelne Funktionen ein; sie sind jeweils dort beschrieben: E-Mail-Versand des Kontaktformulars (Abschnitt 4), Crash Reporting (Abschnitt 6.9), Push-Benachrichtigungen (Abschnitt 6.10), System-E-Mails (Abschnitt 6.12) sowie automatische Antworten im offiziellen Club (Abschnitt 8.1). Mit allen Dienstleistern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO.

12. Weitergabe von Daten

Eine Weitergabe personenbezogener Daten an Dritte erfolgt nur:

• An technisch notwendige Dienstleister (siehe Abschnitt 11)
• Wenn der Nutzer dies aktiv auslöst (z. B. Social Media Sharing)
• Bei Garmin Connect: im Rahmen der OAuth-Authentifizierung

Ein Verkauf von Daten findet nicht statt. Es werden keine Daten zu Werbe- oder Marketingzwecken an Dritte weitergegeben.

13. Übermittlung in Drittländer

Eine Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union (sogenannte Drittländer) findet nur in eingeschränktem Umfang und unter folgenden Voraussetzungen statt:

• Sentry (Crash Reporting): Die Verarbeitung kann auch auf Servern in den USA stattfinden. Sentry ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Ergänzend wurden mit Sentry die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO abgeschlossen.
• Apple (HealthKit, WeatherKit, Push-Benachrichtigungen über APNS, In-App-Käufe): Apple Inc. hat ihren Sitz in den USA und ist nach dem EU-U.S. Data Privacy Framework zertifiziert.
• Google (Google Sign-In, Firebase Cloud Messaging, Google Play): Google LLC hat ihren Sitz in den USA und ist nach dem EU-U.S. Data Privacy Framework zertifiziert.
• Resend (System-E-Mails): Resend, Inc. hat ihren Sitz in den USA. Es bestehen EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.
• Anthropic (automatische Club-Antworten): Anthropic PBC hat ihren Sitz in den USA. Es bestehen EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO (Data Processing Addendum).
• Garmin (Garmin Connect): Daten können auch in den USA verarbeitet werden. Es gelten die Standardvertragsklauseln sowie die Datenschutzerklärung von Garmin.

Soweit eine Übermittlung in Drittländer stattfindet, stellen wir durch geeignete Garantien (Standardvertragsklauseln, Zertifizierungen) ein angemessenes Datenschutzniveau gemäß Kapitel V DSGVO sicher.

14. Speicherdauer

Personenbezogene Daten werden gespeichert, solange ein Nutzerkonto besteht. Nach Löschung des Accounts werden die Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Die Account-Löschung ist direkt in der App möglich (Einstellungen → Account → Account löschen).

Nach einer Account-Löschung speichern wir für 90 Tage einen minimalen Lösch-Nachweis (E-Mail-Adresse, Benutzername, Zeitpunkt der Löschung). Dieser dient ausschließlich dem Nachweis der Löschung sowie der Missbrauchsvermeidung und wird danach automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

15. Konto und Daten löschen

Sie können Ihr Nutzerkonto und alle zugehörigen Daten jederzeit selbst löschen. Mit der Löschung werden Ihr Profil, Ihre Sessions, Fotos, Kommentare und Reaktionen unwiderruflich entfernt. Dafür gibt es drei Wege:

• In der App: Profil → Einstellungen (Zahnrad) → „Account löschen".
• Im Browser: über eisbaden.app/konto-loeschen.html (für Konten mit E-Mail und Passwort).
• Per E-Mail: falls Sie sich mit Apple oder Google angemeldet haben oder keinen App-Zugriff mehr haben, an info@eisbaden.app.

Nach der Löschung werden verbliebene Kopien aus technischen Backups innerhalb von 30 Tagen entfernt, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Eine ausführliche Anleitung mit allen Schritten finden Sie unter eisbaden.app/konto-loeschen.html.

16. Rechte der betroffenen Personen

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO): Welche Daten über Sie gespeichert sind
• Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger Daten
• Löschung (Art. 17 DSGVO): Löschung Ihrer Daten / Ihres Accounts
• Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO): Export Ihrer Daten
• Widerspruch (Art. 21 DSGVO): Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (z. B. Crash Reporting, Webserver-Logfiles)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO): Eine bereits erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter info@eisbaden.app. Die Ausübung dieser Rechte ist für Sie unentgeltlich.

17. Minderjährige

Die App richtet sich an Personen ab 16 Jahren. Es werden wissentlich keine Daten von Kindern unter 16 Jahren verarbeitet.

18. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, insbesondere bei neuen Funktionen oder geänderten rechtlichen Anforderungen. Über wesentliche Änderungen werden Nutzer in der App informiert.

19. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren: