Datenschutzerklärung

Stand: 21.10.2026 (Rev. 5).

1. Verantwortlicher

Moritz Fahsig
Steinstraße 44, 81667 München
Deutschland
E-Mail:

2. Welche Daten wir erheben

Welche Daten wir speichern, hängt davon ab, welche Teile von Pumpfoilytics du nutzt. Die Kategorien im Einzelnen:

2.1 Companion-App (Basis-Nutzung)

Bei der Basis-Nutzung der Companion App erheben wir deine E-Mail-Adresse, die du beim ersten Start freiwillig angibst. Sie wird benötigt, um dir einen Magic-Link zur Anmeldung zu senden.

Deine Aktivitätsdaten (GPS-Tracks, Herzfrequenz, FIT-Dateien) werden bei der reinen App-Nutzung lokal auf deinem Gerät gespeichert und verarbeitet. Server-seitig gespeichert werden sie nur dann, wenn du eine der Funktionen in Abschnitt 2.4 aktiv nutzt (Session-Upload, Garmin-Verbindung, FIT-Import oder von uns für dich eingespielte Analyse-Sessions).

2.2 Web-Konto auf pumpfoilytics.com

Wenn du ein Konto auf pumpfoilytics.com anlegst, speichern wir:

• E-Mail-Adresse und Benutzername / Anzeigename (Alias)
• optional: Name und Home-Spot, wenn du sie im Profil angibst
• dein Passwort — ausschließlich als salted Hash (scrypt), niemals im Klartext
• Zeitpunkt und Version deiner Einwilligungen (z. B. zur Token-Speicherung und optionalen Daten-Nutzung, siehe 2.4/2.5)
• technische Konto-Daten: Login-Sessions (Cookie), Konto-Status, freigeschaltete Funktionen

2.3 Tester-Warteliste (Companion-Beta)

Wenn du dich für die Companion-Beta anmeldest, speichern wir deine E-Mail-Adresse sowie die Angaben aus dem Anmelde-Formular (optional: Name, Home-Spot, seit wann du pumpst; Geräte-Marke und Smartphone-System, Sprache) und ob du News erhalten möchtest (Opt-in). Zur Missbrauchs-Vermeidung speichern wir den Zeitpunkt deiner E-Mail-Bestätigung (Double-Opt-in), nicht deine IP-Adresse.

2.4 Session-Daten auf dem Server (Pump Lab & Session-Sync)

Das Pump Lab wertet deine FIT-Dateien in deinem Browser aus; die Original-Datei bleibt dort. Beim Import legt es die Session samt Auswertung zusätzlich in deinem Konto an (Runden, Kennzahlen, Sekundenwerte mit Tempo und GPS), damit Teilen, Einreichen, Abgleich zwischen Geräten und die Companion-App funktionieren. Puls und andere Körperwerte speichern wir dabei, wie bei allen anderen Wegen, nur mit deiner ausdrücklichen Einwilligung. Geräteübergreifend gespeichert werden außerdem ausgeschlossene Sessions, bestätigte Garmin-Hinweise und Foil-Setup-Namen; Tags bleiben in deinem Browser.

2.5 Garmin-Verbindung (Direct Integration)

Wenn du dein Garmin-Konto mit Pumpfoilytics verbindest, speichern wir:

• die E-Mail-Adresse deines Garmin-Kontos (nur zur Anzeige)
• Zugriffs-Tokens für Garmin Connect — verschlüsselt (Fernet-Verschlüsselung, Schlüssel getrennt von der Datenbank). Dein Garmin-Passwort selbst wird nicht gespeichert — weder im Klartext noch als Hash.

Mit der Verbindung kannst du Aktivitäten aus Garmin Connect ins Pump Lab laden (Abruf direkt in deinen Browser) und — je nach Einstellung — Sessions automatisch zu deinem Konto übernehmen lassen. Verantwortlicher für dein Garmin-Konto bleibt Garmin; es gilt zusätzlich die Datenschutzerklärung von Garmin.

2.6 Sessions für die Entwicklung (nur Tester)

Willigst du als Tester ein, bewahren wir die Original-Dateien deiner Sessions mit Bezug zu deinem Konto ohne Frist auf und entwickeln und testen damit die Erkennung von Pumpfoilytics, auch mit KI-Werkzeugen unseres Dienstleisters Anthropic. Dazu gehören Puls und andere Körperwerte aus den Dateien, wenn du ihrem Speichern zugestimmt hast. Du kannst jederzeit in den Einstellungen unter „Daten-Nutzung“ widerrufen. Dann löschen wir die für die Entwicklung aufbewahrten Kopien, deine Sessions im Lab bleiben. Ohne Einwilligung gelten die Fristen in Abschnitt 4.

3. Zwecke und Rechtsgrundlagen

• Konto, Anmeldung, Web-Funktionen, Transaktions-E-Mails, Warteliste, Sessions, Garmin-Verbindung: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).
• Puls und andere Körperwerte: ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a). Verbesserung der Erkennung („Daten-Nutzung“, auch „Sessions für die Entwicklung behalten“), News, KI-Support und Analyse: Einwilligung (lit. a).
• Kartendarstellung und Lösch-Nachweis: berechtigtes Interesse (lit. f).

Wir verwenden deine Daten nicht für Werbezwecke und geben sie nicht an Dritte weiter, ausgenommen die Dienstleister in Abschnitt 4 und 7 und die Kartendienste in Abschnitt 7a.

4. Speicherung und Sicherheit

Die Datenbank liegt bei Supabase in Irland, der Anwendungs-Server samt Sicherungen bei Hetzner in Nürnberg. Übertragung nur per HTTPS, Passwörter nur als Hash, Garmin-Tokens verschlüsselt. In der Companion-App liegen Sessions verschlüsselt (SQLCipher), Anmelde-Token und E-Mail unverschlüsselt im privaten Speicher der App, ohne Backup. Mails versenden wir über Gmail (Google). Wir speichern Konto- und Session-Daten bis zur Löschung deines Kontos, Garmin-Tokens bis zum Trennen. Support-Bilder 90 Tage. Vom Support angeforderte Original-FITs löschen wir nach 90 Tagen, außer du hast eingewilligt, dass wir sie für die Entwicklung behalten (Abschnitt 2.6).

5. Deine Rechte

Du hast das Recht auf:

• Auskunft über die über dich gespeicherten Daten
• Berichtigung unrichtiger Daten
• Löschung deiner Daten (siehe Konto löschen)
• Einschränkung der Verarbeitung
• Datenübertragbarkeit
• Widerspruch gegen die Verarbeitung

Du kannst viele dieser Rechte direkt selbst ausüben:

• Datenexport (Auskunft/Übertragbarkeit): auf Anfrage an .
• Konto- und Datenlöschung: siehe Konto löschen
• Garmin-Verbindung trennen: in den Konto-Einstellungen — löscht die gespeicherten Garmin-Tokens.

Zur Ausübung deiner Rechte kannst du dich außerdem an wenden. Du hast das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO).

6. Löschung deines Kontos

Du kannst jederzeit die Löschung deines Kontos beantragen (Konto löschen). Bis zur Löschung kannst du den Antrag zurückziehen. Spätestens 30 Tage nach deiner Bestätigung löschen wir dein Konto mit allen Daten endgültig. Als Nachweis behalten wir ein Jahr lang den Zeitpunkt und einen Hash deiner E-Mail-Adresse. Daten nur auf deinem Gerät löschst du dort selbst.

7. Übersicht der Dienstleister

Garmin ist kein Auftragsverarbeiter von uns, sondern eigenständiger Verantwortlicher für dein Garmin-Konto; der Datenabruf aus Garmin Connect erfolgt in deinem Auftrag über deine Zugangs-Tokens.

7a. Karten

Kartenkacheln lädt dein Browser bzw. die Android-App direkt beim Kartendienst: Esri, in der App wahlweise OpenFreeMap oder MapLibre. Der Dienst sieht dabei deine IP-Adresse und den Kartenausschnitt, nicht deine Spur.

8. Support und Kommunikation

Wenn du uns eine Support-Anfrage stellst (z. B. im Chat AI Pump-Mate oder über die Hand-in-Funktion im Pump Lab), speichern wir deine Nachrichten, ggf. angehängte Session-Daten und Bilder sowie den Chat-Verlauf, um dein Anliegen zu bearbeiten. Antworten im Chat erstellt zunächst ein KI-Assistent. Dafür werden deine Nachricht, der bisherige Chat-Verlauf, eine Übersicht deiner Sessions der letzten 30 Tage (Datum, Ort, Strecke, Dauer und Kennzahlen wie Tempo, Ø-Puls und Pumps), die Daten der gerade geöffneten Session, dein Uhrmodell mit App-Version, der Stand deiner Garmin-Verbindung, deine eingereichten Ideen und angehängte Bilder an einen KI-Dienstleister übermittelt. Was der Assistent nicht klären kann, bearbeitet unser Team. Leitet der Assistent dein Anliegen weiter, erhält unser Team einen Hinweis über Telegram, nur mit Kurz-Kennungen und Art des Anliegens, ohne Namen, E-Mail-Adresse oder Nachrichtentext.

Hängst du ein Bild an, verkleinern wir es schon in deinem Browser und entfernen dabei Metadaten wie den Aufnahmeort. Bilder werden nach 90 Tagen automatisch gelöscht, oder sofort mit „KI-Support-Daten widerrufen“ in den Einstellungen.

Rechtsgrundlage ist deine Einwilligung zum Support-Chat (Art. 6 Abs. 1 lit. a DSGVO), die du in den Einstellungen jederzeit widerrufen kannst.

8a. KI-Transparenz (AI Transparency Statement)

Wo wir KI einsetzen: im Support, also im Chat AI Pump-Mate und bei Einreichungen im Pump Lab. Ohne deine Einwilligung zum KI-Support verarbeiten wir dafür keine deiner Daten mit KI. Außerdem, nur wenn du als Tester eingewilligt hast: Entwicklung und Test der Erkennung mit den für dich aufbewahrten Original-Dateien (Abschnitt 2.6). Diese Einwilligung widerrufst du unter „Daten-Nutzung“ in den Einstellungen.

Welche Daten: deine Nachrichten und der bisherige Chat, angehängte Bilder, eine Übersicht deiner Sessions der letzten 30 Tage, die gerade geöffnete Session, dein Uhrmodell mit App-Version, der Stand deiner Garmin-Verbindung und deine eingereichten Ideen. Fordert unser Support die Original-FIT-Datei einer Session an, werten wir auch sie aus. Dazu gehören ausdrücklich Daten aus deinem Garmin-Connect-Konto, egal ob sie über die Garmin-Verbindung, den Garmin-Login oder als hochgeladene Datei zu uns kamen.

Wer: Antworten erstellt zuerst ein KI-Assistent unseres Dienstleisters Anthropic PBC (USA). Was er nicht klären kann, bearbeitet unser Team, und auch das Team nutzt dafür KI-Werkzeuge dieses Dienstleisters.

Einwilligung und Widerruf: Bevor zum ersten Mal Daten an die KI gehen, fragen wir dich ausdrücklich. Du kannst jederzeit mit dem Knopf „KI-Support-Daten widerrufen“ in den Einstellungen widerrufen. Danach geht nichts mehr an die KI, und wir löschen Chat, Einreichungen, Bilder und angeforderte Dateien.

9. Website-Analyse (Google Analytics)

Diese Website (pumpfoilytics.com) verwendet Google Analytics 4 (GA4) des Anbieters Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. GA4 wird nur aktiviert, wenn du im Cookie-Banner aktiv zustimmst (Consent Mode v2, Standard: deaktiviert).

Bei Zustimmung werden folgende Daten erhoben:

• Aufgerufene Seiten und Verweildauer
• Ungefähre geografische Region (Land/Region — abgeleitet aus gekürzter IP-Adresse)
• Browser- und Gerätetyp
• Herkunft des Besuchs (direkt / Suchmaschine / Verweis)

IP-Anonymisierung: Google Analytics 4 kürzt IP-Adressen automatisch vor der Speicherung. Die vollständige IP-Adresse wird nicht gespeichert.

Aufbewahrungsdauer: Ereignisdaten werden in GA4 für 14 Monate gespeichert, dann automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — klicke dafür auf Cookie-Einstellungen im Footer.

Datenübermittlung in die USA: Google LLC ist ein US-Unternehmen. Die Datenübermittlung erfolgt auf Basis von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Weitere Informationen: Google Datenschutzrichtlinie.

Ohne deine Zustimmung sendet GA4 ausschließlich anonyme Consent-Mode-Pings ohne personenbezogene Daten.

10. App-Analyse (Firebase Analytics, opt-in)

Bei aktivierter Einwilligung verwendet die Companion-App Firebase Analytics (Google LLC) für anonyme Nutzungsstatistiken — welche Features genutzt werden, wo Nutzer stecken bleiben, wie die App performt. Firebase Analytics erhebt:

• Screen Views (welche Bildschirme du in welcher Reihenfolge öffnest)
• Interaktions-Events (Button-Taps, FIT-Import-Versuche, Session-Detail-Zoom) — ohne den Inhalt dieser Interaktionen (keine GPS-Daten, keine Herzfrequenz, keine Session-Inhalte, keine E-Mail-Adresse, keine Magic-Link-Tokens)
• App-Version, Android-Version, Gerätemodell
• Eine zufällig generierte Firebase Installation ID — nicht verknüpft mit deiner E-Mail, deinem Garmin-Konto oder einer anderen Kennung

Was Firebase Analytics NICHT erhebt:

• Deine Google Werbe-ID (im App-Manifest deaktiviert)
• Deine IP-Adresse in identifizierbarer Form (Firebase anonymisiert die IP server-seitig vor der Speicherung)
• Personalisierungs-Signale für Werbung (im App-Manifest deaktiviert)
• Deine Aktivitätsdaten, GPS, Herzfrequenz oder FIT-Datei-Inhalte

Datenübermittlung in die USA: Firebase Analytics wird von Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA betrieben. Daten werden in die USA übermittelt und dort verarbeitet. Diese Übermittlung erfolgt auf Basis der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Es gilt der Datenverarbeitungs-Zusatz (DPA) von Google LLC. Weitere Informationen: Google Datenschutzrichtlinie.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — deine ausdrückliche Einwilligung, wenn du in der Companion-App unter Einstellungen → Datenschutz → Anonyme Nutzungsdaten aktivierst. Du kannst die Einwilligung jederzeit an gleicher Stelle widerrufen; ein Widerruf stoppt alle künftigen Übertragungen und löscht die zugehörige Firebase Installation ID, sodass historische Events nicht mehr mit zukünftiger Aktivität verknüpft werden können.

Aufbewahrungsdauer: Wir haben in der Firebase-Console die Standard-Retention auf 2 Monate reduziert (Google-Default wäre 14 Monate).

11. Keine Werbung

Wir verwenden keine Werbenetzwerke, keine Werbe-SDKs (kein Google Ads, kein Firebase Ads) und kein Remarketing. Der Firebase-Dienst in Abschnitt 10 ist rein analytisch und nutzt keine Werbe-Kennungen.

12. Kontakt

Bei Fragen zum Datenschutz: