Datenschutz

Verantwortlich für deine Daten ist Lloyd Thomas, handelnd unter Cyclefit Europe - SteadySignalTraining. Die Postanschrift steht im Impressum. Für alles rund um deine Daten schreib an lloyd@steadysignaltraining.com.

Deine Konto-E-Mail, die Fahrtdateien und Aktivitätsdaten, die du hochlädst oder synchronisierst (Strava, Wahoo, Garmin, .FIT), deine täglichen Check-ins (Erholung, Schlaf, Energie, Stimmung) und jeden Trainingskontext, den du hinzufügst — Ziele, Events, Notizen. Wenn du ein Gerät oder eine Plattform verbindest, speichern wir die Tokens, die nötig sind, um diese Verbindung aufrechtzuerhalten. Wenn du Garmin über die offizielle Garmin-Verbindung verbindest, meldest du dich auf Garmins eigener Seite an und gibst dort den Zugriff frei; wir sehen dein Garmin-Passwort nie und behalten nur die Zugriffs-Tokens, die Garmin ausstellt. Die ältere direkte Garmin-Anmeldung, die wir auslaufen lassen, verwendet dein Garmin-Passwort einmal zur Anmeldung und speichert es nie; auch sie behält nur die Anmelde-Tokens, die Garmin zurückgibt. Wenn du dich mit Google anmeldest, bestätigt uns Google deine E-Mail-Adresse. Wenn du Google Kalender verbindest, speichern wir den Token, der nötig ist, um deine Einheiten dort einzutragen.

Wenn du Health Connect auf Android verbindest, importieren wir die Kategorien, die du dort freigibst: Herzfrequenz, Ruhepuls, Herzfrequenzvariabilität, Schlaf, Schritte, Distanz, verbrannte Kalorien, Gewicht, Körperfett, fettfreie Masse, Grundumsatz, VO2max, Atemfrequenz und Sauerstoffsättigung des Blutes.

Wenn du Garmin verbindest, erhalten wir die Aktivitäten, die du aufzeichnest (Zeit, Dauer, Distanz, Strecke, Leistung, Herzfrequenz, Trittfrequenz und ähnliche Fahrtdaten) und, soweit du es in deinen Freigabe-Einstellungen in Garmin Connect erlaubst, tägliche Gesundheitszusammenfassungen wie Schlaf, Ruhepuls und Herzfrequenzvariabilität. Wir nutzen sie nur, um SteadySignal für dich zu betreiben: um deine Fahrten zu analysieren, deine Trainingsbelastung, Fitness und Ermüdung zu verfolgen, deinen Plan an deine Erholung anzupassen und, wenn du es nutzt, geplante Workouts an dein Garmin-Gerät zu senden. Wenn du einem Coach Zugriff gibst, sieht auch dieser Coach diese Daten.

Wir verkaufen, vermieten oder tauschen weder Garmin-Daten noch etwas, das daraus abgeleitet ist, wir nutzen sie nicht für Werbung, und wir verwenden sie nie, um KI-Modelle zu trainieren, zu bewerten oder zu verbessern, weder unsere noch die von anderen. Außer dir und einem Coach, den du berechtigst, werden sie nur von den unten unter Auftragsverarbeiter genannten Dienstleistern in unserem Auftrag verarbeitet.

Du kannst Garmin jederzeit unter Verbundene Apps trennen; wir löschen dann die gespeicherten Garmin-Tokens und beenden den Import. Du kannst den Zugriff von SteadySignal auch in deinem Garmin-Connect-Konto widerrufen. Bereits importierte Fahrten bleiben in deinem Konto, bis du sie oder dein Konto löschst, und unter Deine Daten kannst du alles exportieren oder löschen.

• Betrieb deines Kontos und des Trainingsdienstes, für den du dich angemeldet hast — deine Fahrten, Pläne, Check-ins und verbundenen Apps: Erfüllung unseres Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO).
• Gesundheitsbezogene Daten, die du selbst einträgst (Erholung, Schlaf, Check-in-Antworten), der KI-Coach und der Zugriff eines Coaches auf deine Daten: deine ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO), die du beim Eintragen dieser Daten oder beim Einschalten der Funktion gibst. Du kannst sie jederzeit widerrufen.
• Sicherer und funktionierender Betrieb (Anmeldeprotokolle, Fehlerprotokolle) und das Zählen von Besuchen ohne Cookies: unser berechtigtes Interesse an einem sicheren, funktionierenden Produkt (Art. 6 Abs. 1 lit. f DSGVO).
• Rechnungen und Zahlungsbelege, sobald bezahlte Tarife live sind: unsere gesetzliche Pflicht, sie aufzubewahren (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit deutschem Steuer- und Handelsrecht).

Bevor irgendetwas das KI-Modell erreicht, werden deine Daten auf einen minimierten, rein numerischen Ausschnitt reduziert: Leistungs- und Belastungswerte, Erholungswerte, Session-Zusammenfassungen. Er enthält keinen Namen, keine E-Mail, keine Freitext-Notizen. Gesundheitsnahe Signale werden auf grobe Markierungen reduziert (zum Beispiel „ein kürzlicher Tag mit niedriger Erholung liegt vor: ja/nein“) — nie Symptome oder Körperzusammensetzungswerte.

Das Modell ist angewiesen, ausschließlich auf Basis dieses Ausschnitts zu argumentieren und dies zu sagen, wenn deine Daten eine Frage nicht beantworten können. Werte, die aus deinen Fahrten abgeleitet sind, auch aus Fahrten, die von Garmin synchronisiert wurden, können Teil dieses Ausschnitts sein. KI-Anfragen werden von Anthropic (Claude) als Auftragsverarbeiter bearbeitet. Weder wir noch Anthropic nutzen deine Daten oder etwas, das aus Daten von Garmin abgeleitet ist, um KI-Modelle zu trainieren, zu bewerten oder zu verbessern.

KI-Funktionen laufen erst, nachdem du sie ausdrücklich in deinem Profil aktiviert hast. Du kannst diese Einwilligung jederzeit widerrufen, indem du sie in deinem Profil wieder ausschaltest; ab diesem Moment werden keine weiteren Daten zur KI-Verarbeitung gesendet. Alles andere in SteadySignal funktioniert auch ohne sie weiter.

Wir zählen Seitenaufrufe und einige Schritte im Produkt — Registrierung, Verbinden einer App, Abschluss des Onboardings, Erstellen eines Plans, Start eines Abos — mit Umami, einem Open-Source-Statistikwerkzeug, das wir auf unserem eigenen Server betreiben. Nichts wird an Dritte gesendet.

Umami setzt keine Cookies und speichert nichts auf deinem Gerät. Es erfasst nicht, wer du bist: kein Name, keine E-Mail, keine Konto-ID, und deine IP-Adresse wird nicht gespeichert. Query-String und Fragment jeder Adresse werden entfernt, bevor ein Besuch gezählt wird. Sendet dein Browser Do Not Track, wirst du gar nicht gezählt.

Die Strecke einer Fahrt zeichnen wir ohne fremden Dienst. Erst wenn du bei einer Fahrt auf „Karte anzeigen“ tippst, lädt dein Browser den Kartenhintergrund von der OpenStreetMap Foundation (Vereinigtes Königreich), die dabei deine IP-Adresse erhält. Vorher wird nichts von OpenStreetMap geladen.

Wenn du Browser-Benachrichtigungen einschaltest, werden sie über den Push-Dienst deines Browserherstellers zugestellt: Google (Firebase Cloud Messaging) für Chrome und Android, Apple (Apple Push Notification service) für Safari, Mozilla für Firefox. Der Push-Dienst erhält eine Adresse für dein Gerät und die Nachricht in verschlüsselter Form; den Inhalt kann er nicht lesen. Du kannst Benachrichtigungen jederzeit in deinem Browser ausschalten.

Deine Daten liegen auf Servern, die wir bei der 1blu GmbH in Deutschland mieten, und Backups werden verschlüsselt, bevor sie diese Server verlassen. Wir bewahren deine Kontodaten auf, solange du ein Konto hast.

Wenn du dein Konto löschst, wird alles nach einer Frist von 14 Tagen gelöscht, in der du es dir noch anders überlegen kannst. Verschlüsselte Backups werden laufend überschrieben, und gelöschte Daten fallen dabei aus ihnen heraus. Rechnungen und Zahlungsbelege bewahren wir so lange auf, wie das deutsche Steuerrecht es verlangt (bis zu zehn Jahre).

Fehlerprotokolle löschen wir 30 Tage, nachdem der Fehler behoben ist, spätestens 90 Tage nach seinem letzten Auftreten. Serverprotokolle werden nach Größe rotiert und von neuen Einträgen überschrieben (höchstens 30 MB je Dienst).

Nach der DSGVO hast du das Recht,

• zu erfahren, was wir über dich speichern, und eine Kopie zu erhalten (Art. 15)
• falsche Daten berichtigen zu lassen (Art. 16)
• deine Daten löschen zu lassen (Art. 17)
• die Verarbeitung einschränken zu lassen, solange eine Frage geklärt wird (Art. 18)
• deine Daten in einem maschinenlesbaren Format mitzunehmen (Art. 20)
• jede Einwilligung jederzeit zu widerrufen, ohne dass das Vorherige unrechtmäßig wird (Art. 7 Abs. 3)

Widerspruchsrecht: Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 6 Abs. 1 lit. f DSGVO), kannst du jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben.

Das meiste davon erledigst du selbst unter Deine Daten in deinem Konto: alles als Datei herunterladen oder dein Konto löschen. Für alles andere schreib uns; wir antworten innerhalb eines Monats.

Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Zuständig für uns ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) in Wiesbaden.

1blu GmbH, Deutschland (Hosting — die Server, auf denen deine Daten liegen), Stripe (Zahlungen — wir sehen deine Kartennummer nie), Anthropic (KI-Verarbeitung des minimierten Ausschnitts, mit deiner Einwilligung), Google (Google Workspace, unser E-Mail-Anbieter für Anmeldecodes und Benachrichtigungen; und, nur wenn du sie nutzt, die Google-Anmeldung und Google Kalender). Open-Meteo erhält nur einen Ort und eine Uhrzeit, um das Wetter für eine geplante Einheit vorherzusagen, nie deinen Namen oder dein Konto. Umami läuft auf unserem eigenen Server und ist daher kein Dritter. Wir verkaufen deine personenbezogenen Daten nicht und geben sie an niemanden für dessen eigene Zwecke weiter, und es gibt keine Werbe-Tracker.

Verbundene Dienste (eigenständig Verantwortliche): Strava, Garmin, Wahoo und Hammerhead (SRAM) – nur wenn du sie verbindest. Wir tauschen auf deine Anweisung Aktivitäten und Workouts mit ihnen aus; für ihre eigene Verarbeitung gelten ihre Datenschutzbestimmungen, und sie können Daten in den USA verarbeiten.

Wo jeder von ihnen sitzt und wie Übermittlungen in die USA abgesichert sind, steht unter Wo deine Daten liegen.

Fragen oder Anliegen zum Datenschutz: lloyd@steadysignaltraining.com.