DRAFT
Datenschutzerklärung
Stand: 9. November 2026 (Entwurf). Gilt für die App „RackDay“ (Android) und diese Webseiten.
1. Verantwortlicher
Paul Kokott, Klausnerweg 18, 85101 Lenting, Deutschland. E-Mail: paulkokott.ux@gmail.com. Ein Datenschutzbeauftragter ist nicht bestellt (nicht erforderlich).
2. Was RackDay verarbeitet
| Daten | Wozu | Rechtsgrundlage |
|---|---|---|
| Konto: zufällige Nutzer-ID; nach dem Sichern E-Mail-Adresse oder Google-Konto (E-Mail, Name und Bild, wie Google sie übermittelt) | Konto, Anmeldung, Wiederherstellung auf neuem Handy | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Profil: Anzeigename, Sprache, Einheit, Erinnerungszeiten, Avatar, Freundescode | App-Funktionen, Freunde | Art. 6 Abs. 1 lit. b DSGVO |
| Trainingsdaten: Ziel, Erfahrung, Trainingstage, Ausstattung, freiwillige Einschränkungen/Verletzungen, Pläne, Trainings, Sätze, Gewichte, Wiederholungen, Technikbewertungen, Notizen, Streaks, Erfolge | Trainingsplanung, Fortschritt, Sicherung und Sync | Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung), da Trainingsdaten Rückschlüsse auf die Gesundheit zulassen können; ergänzend Art. 6 Abs. 1 lit. b |
| AI-Aufträge: die für die Funktion nötigen Trainingsangaben, deine Frage, aus Screenshots auf dem Handy erkannter Text, Inhalt importierter Dateien; Ergebnis, Modell, Tokenverbrauch. Bilder werden nicht gespeichert. | AI-Funktionen (Plan erstellen, Import, Fragen zur Ausführung, Analyse); Abrechnung des monatlichen AI-Guthabens | Art. 9 Abs. 2 lit. a DSGVO; Übermittlung in ein Drittland: Art. 49 Abs. 1 lit. a DSGVO [Anwalt prüfen] |
| Gemeinsames Training und Freunde: Freundschaften, Sitzungen, Bewertungen von Trainingspartnern, geteilte Pläne | Soziale Funktionen, die du selbst nutzt | Art. 6 Abs. 1 lit. b; Art. 9 Abs. 2 lit. a |
| Verknüpfung mit der alten Pump-App (optional): Zugangsdaten werden nur zum Abruf genutzt, die alten Trainingsdaten werden importiert | Übernahme deiner alten Daten | Art. 6 Abs. 1 lit. b; Art. 9 Abs. 2 lit. a |
| Technische Daten: IP-Adresse und Zeitpunkt in Server-Protokollen, Zähler gegen Missbrauch (z. B. Code-Eingaben) | Betrieb, Sicherheit, Missbrauchsschutz | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Dienst) |
| Absturzberichte (nur wenn eingeschaltet): Fehlermeldung, Gerätemodell, Android- und App-Version, besuchte Bildschirme; keine Trainingsinhalte, keine E-Mail, keine Nutzer-ID | Fehler finden und beheben | Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG (Einwilligung) |
Auf dem Handy speichert RackDay deine Daten in einer lokalen Datenbank, damit die App ohne Verbindung funktioniert (§ 25 Abs. 2 Nr. 2 TDDDG, unbedingt erforderlich). RackDay nutzt keine Werbung, kein Tracking und keine Analyse-Dienste.
3. Ohne Einwilligung
Ohne Einwilligung in die Verarbeitung von Gesundheitsdaten läuft RackDay nur auf deinem Handy: kein Konto, kein Sync, keine AI-Funktionen, keine Freunde. Du kannst die Einwilligung jederzeit unter Einstellungen → Datenschutz widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
4. Empfänger und Auftragsverarbeiter
- Supabase Inc. (Datenbank, Anmeldung, Server-Funktionen), Server in Frankfurt am Main (EU). Auftragsverarbeitungsvertrag; für Zugriffe aus den USA Standardvertragsklauseln [Anwalt prüfen].
- Hangzhou DeepSeek Artificial Intelligence Co., Ltd., China (AI-Funktionen). Es gehen nur die für den Auftrag nötigen Trainingsangaben hin, nie E-Mail, Name oder Nutzer-ID. Für China gibt es keinen Angemessenheitsbeschluss; Datenschutz und Rechtsschutz können dort schwächer sein, Behörden können Zugriff erhalten. Die Übermittlung erfolgt nur mit deiner ausdrücklichen Einwilligung (Art. 49 Abs. 1 lit. a DSGVO) [Anwalt prüfen; ggf. Anbieterwechsel].
- Google (Anmeldung mit Google, wenn du sie wählst; Vertrieb über Google Play).
- Functional Software Inc. (Sentry), Datenspeicherung in der EU, nur bei eingeschalteten Absturzberichten.
- Hostinger International Ltd. (Larnaka, Zypern) für diese Webseiten.
- Freunde und Trainingspartner sehen nur, was die App ihnen zeigt: Anzeigename, Avatar, Streak; beim gemeinsamen Training die Übung und Sätze der laufenden Einheit; von dir geteilte Pläne.
5. Speicherdauer
- Kontodaten und Trainingsdaten: bis du dein Konto löschst.
- Nie gesicherte Konten, die 90 Tage nicht benutzt wurden: werden automatisch mit allen Daten gelöscht.
- Geteilte Pläne: höchstens 30 Tage. Zähler gegen Missbrauch: höchstens 1 Tag.
- Server-Protokolle: nach den Fristen von Supabase 1 Tag (Free-Plan). Absturzberichte: 90 Tage.
6. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (16), Löschung (17), Einschränkung (18), Datenübertragbarkeit (20) und Widerspruch (21) sowie das Recht, Einwilligungen jederzeit zu widerrufen (Art. 7 Abs. 3). In der App: Einstellungen → Daten exportieren (JSON) und Einstellungen → Konto → Konto löschen; ohne App: Konto löschen. Sonst genügt eine E-Mail an paulkokott.ux@gmail.com. Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Ansbach.
7. Keine automatisierten Entscheidungen
AI-Ergebnisse sind Entwürfe. Sie werden geprüft und erst übernommen, wenn du sie bestätigst. Es gibt keine automatisierte Entscheidung mit rechtlicher Wirkung (Art. 22).
8. Alter
RackDay richtet sich an Personen ab 18 Jahren.
9. Sicherheit
Verbindungen sind verschlüsselt (TLS). Jede Tabelle ist durch Zugriffsregeln geschützt, sodass nur du deine Daten lesen kannst.
10. Änderungen
Ändert sich diese Erklärung wesentlich, fragt die App erneut nach deiner Einwilligung.
Privacy policy
As of: 9 November 2026 (draft). Applies to the RackDay app (Android) and these web pages.
1. Controller
Paul Kokott, Klausnerweg 18, 85101 Lenting, Germany. E-mail: paulkokott.ux@gmail.com. No data protection officer is appointed (not required).
2. What RackDay processes
| Data | Purpose | Legal basis |
|---|---|---|
| Account: random user id; once secured, e-mail address or Google account (e-mail, name and picture as Google sends them) | Account, sign-in, restoring on a new phone | Art. 6(1)(b) GDPR (contract) |
| Profile: display name, language, unit, reminder times, avatar, friend code | App features, friends | Art. 6(1)(b) GDPR |
| Training data: goal, experience, training days, equipment, optional limitations/injuries, plans, workouts, sets, weights, reps, technique ratings, notes, streaks, milestones | Training planning, progress, backup and sync | Art. 9(2)(a) GDPR (explicit consent), because training data can say something about health; also Art. 6(1)(b) |
| AI jobs: the training details a feature needs, your question, text recognized from screenshots on the phone, content of imported files; result, model, token use. Images are not stored. | AI features (create a plan, import, form questions, analysis); counting the monthly AI credit | Art. 9(2)(a) GDPR; transfer to a third country: Art. 49(1)(a) GDPR [lawyer to check] |
| Training together and friends: friendships, sessions, ratings of training partners, shared plans | Social features you use yourself | Art. 6(1)(b); Art. 9(2)(a) |
| Link to the old Pump app (optional): credentials are only used to fetch, the old training data is imported | Taking over your old data | Art. 6(1)(b); Art. 9(2)(a) |
| Technical data: IP address and time in server logs, counters against abuse (e.g. code entries) | Operation, security, abuse protection | Art. 6(1)(f) GDPR (legitimate interest in a secure service) |
| Crash reports (only when switched on): error message, device model, Android and app version, screens visited; no training content, no e-mail, no user id | Finding and fixing errors | Art. 6(1)(a) GDPR, § 25(1) TDDDG (consent) |
On the phone RackDay keeps your data in a local database so the app works without a connection (§ 25(2) no. 2 TDDDG, strictly necessary). RackDay uses no advertising, no tracking and no analytics services.
3. Without consent
Without consent to the processing of health data RackDay runs on your phone only: no account, no sync, no AI features, no friends. You can withdraw consent at any time under Settings → Privacy; processing that happened before stays lawful.
4. Recipients and processors
- Supabase Inc. (database, sign-in, server functions), servers in Frankfurt am Main (EU). Data processing agreement; standard contractual clauses for access from the US [lawyer to check].
- Hangzhou DeepSeek Artificial Intelligence Co., Ltd., China (AI features). Only the training details a job needs are sent, never e-mail, name or user id. There is no adequacy decision for China; data protection and legal remedies may be weaker there and authorities may gain access. The transfer happens only with your explicit consent (Art. 49(1)(a) GDPR) [lawyer to check; provider change possible].
- Google (sign-in with Google if you choose it; distribution via Google Play).
- Functional Software Inc. (Sentry), data stored in the EU, only with crash reports switched on.
- Hostinger International Ltd. (Larnaca, Cyprus) for these web pages.
- Friends and training partners see only what the app shows them: display name, avatar, streak; when training together the exercise and sets of the running session; plans you share.
5. Retention
- Account and training data: until you delete your account.
- Accounts that were never secured and not used for 90 days: deleted automatically with all their data.
- Shared plans: at most 30 days. Abuse counters: at most 1 day.
- Server logs: per Supabase's retention 1 day (free plan). Crash reports: 90 days.
6. Your rights
You have the right of access (Art. 15), rectification (16), erasure (17), restriction (18), data portability (20) and objection (21), and you can withdraw consent at any time (Art. 7(3)). In the app: Settings → Export data (JSON) and Settings → Account → Delete account; without the app: delete account. Otherwise an e-mail to paulkokott.ux@gmail.com is enough. You can complain to a data protection supervisory authority, e.g. the Bavarian Data Protection Authority (BayLDA), Ansbach.
7. No automated decisions
AI results are drafts. They are checked and only applied when you confirm them. There is no automated decision with legal effect (Art. 22).
8. Age
RackDay is meant for people aged 18 and over.
9. Security
Connections are encrypted (TLS). Every table is protected by access rules so that only you can read your data.
10. Changes
If this policy changes in substance, the app asks for your consent again.