Datenschutzerklärung

Stand: 20. September 2026 · Gilt für client2coach.de, die Web-App, die iOS-App und die Android-App

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Niklas Fiedler
Silcherweg 7
64291 Darmstadt
Deutschland
E-Mail: niklas.fiedler@client2coach.de

Client2Coach ist eine Coaching-Plattform, die Coaches und ihre Klientinnen und Klienten bei der Verwaltung von Trainings-, Ernährungs- und Fortschrittsdaten unterstützt. Eigenständige Sportlerinnen und Sportler können den Dienst auch ohne Coach nutzen.

2. Grundsätze und Überblick

Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung des Dienstes erforderlich ist oder du eingewilligt hast. Wir verkaufen deine Daten nicht und geben sie nicht ohne Rechtsgrundlage oder deine ausdrückliche Einwilligung an Dritte weiter.

3. Welche Daten wir verarbeiten

3.1 Registrierung & Konto

• Vor- und Nachname (Anzeigename)
• E-Mail-Adresse
• Selbst gewähltes Passwort (gespeichert als bcrypt-Hash, niemals im Klartext)
• Geburtsdatum und Geschlecht (für altersbezogene bzw. coaching­spezifische Berechnungen, z. B. Kalorienbedarf)
• Rolle (Coach, Klient, Selbstnutzer) und ggf. Zuordnung Coach ↔ Klient (inkl. Coach-/Coaching-Name)
• Registrierungs- und Login-Zeitpunkte

Für den Login wird der kurzlebige Access-Token im Browser nur im Arbeitsspeicher gehalten; der Refresh-Token liegt in einem technisch notwendigen, HttpOnly-, Secure- und SameSite=Strict-geschützten Cookie. In den nativen Apps werden beide Token im geschützten Gerätespeicher gehalten. Frühere Token-Einträge im localStorage werden entfernt. Beim Abmelden werden Sitzung, Token und Refresh-Cookie ungültig gemacht beziehungsweise entfernt.

3.2 Trainingsdaten

• Trainingspläne (Tage, Übungen, Sätze, Wiederholungen, RIR, Tempo, Pausen)
• Trainings-Logs (ausgeführte Einheiten, Gewichte, Wiederholungen, Notizen sowie bei Ausdauertraining optional Distanz, Dauer, durchschnittlicher Puls und Höhenmeter)
• Trainingsfortschritt über Zeit

3.3 Tracker-Daten

• Körpergewicht (optional)
• Ernährungswerte: Kalorien, Protein, Kohlenhydrate, Fett (optional)
• Schlafdauer, Schritte, Cardio-Einheiten (optional)
• Biofeedback: Stress, Wohlbefinden, Energie (optional, Skala 1–5)
• Menstruations-Daten (nur wenn freiwillig eingetragen)
• Notizen (Coach- und Klient-Notizen)

Alle Tracker-Felder sind optional. Du entscheidest, was du einträgst. Trägst du als Klient mit Coach Daten ein, sind diese für deinen verbundenen Coach sichtbar – das ist Zweck der Coaching-Funktion.

Einige dieser Angaben – insbesondere Gewicht, Ruhepuls, Schlaf, Ernährungswerte und Menstruations-Daten – sind besondere Kategorien personenbezogener Daten (Gesundheitsdaten im Sinne von Art. 9 DSGVO). Wir verarbeiten sie ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) und nur zur Bereitstellung der Coaching-Funktion.

3.4 Technische Daten

• IP-Adresse (temporär, ausschließlich für Sicherheits-Logging)
• Login-Zeitstempel und sicherheitsrelevante Ereignisse (z. B. fehlgeschlagene Logins)
• Gerätetyp (iOS / Android / Web) zur Fehlerbehebung

Wir setzen keine Tracking-Cookies und keine Analyse- oder Werbe-Tools ein (kein Google Analytics, kein Meta-Pixel o. Ä.).

3.5 Fortschritts-Medien (Videos, Sprachnachrichten, Bilder)

Als Klient kannst du – freiwillig und nur nach ausdrücklicher Einwilligung – zu deinen Check-ins Videos (z. B. Übungsausführung, Fortschritts-/Körperaufnahmen), Sprachnachrichten und Bilder hochladen, damit dein Coach sie ansehen und dir Feedback geben kann. Vor dem ersten Upload musst du unsere Medien-Richtlinien bestätigen; diese Bestätigung protokollieren wir als Einwilligungsnachweis.

Speicherort: Deine Medien liegen in einem privaten, zugriffsgeschützten Objektspeicher in der EU (Supabase Storage, Region EU; alternativ Scaleway Object Storage, Frankreich) – oder, wenn du das wählst, in deinem eigenen Google Drive (dann speichern wir nur einen Verweis, nicht die Datei). Die Buckets sind nicht öffentlich. In unserer Datenbank wird niemals die Datei selbst oder eine offene URL gespeichert, sondern nur ein interner Speicher-Schlüssel. Der Abruf erfolgt ausschließlich über kurzlebige, signierte Links (gültig wenige Minuten) und erst nach Rechteprüfung – Zugriff haben nur du und dein zugewiesener Coach.

Aufbewahrung & Löschung: Check-in-Videos werden nach dem Feedback deines Coaches automatisch mit kurzer Frist gelöscht. Alle Medien werden spätestens mit der Löschung deines Kontos endgültig aus dem Objektspeicher bzw. – bei Drive-Ablage – aus deinem Drive-Ordner entfernt (Art. 17 DSGVO). Es findet keine biometrische Identifizierung (keine Gesichts- oder Stimmerkennung) und kein KI-Training mit deinen Medien statt. Deine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Durchschnittlicher Puls und Höhenmeter in Ausdauer-Trainings-Logs werden von dir manuell eingegeben und nicht aus Apple HealthKit oder Google Health Connect ausgelesen.

App-Link per E-Mail

Für den automatischen Versand über die Microsoft-Mailverbindung werden Empfängeradresse, Betreff und Nachrichteninhalt über Composio an Microsoft 365 übermittelt. Dies betrifft bei aktivierter Verbindung auch Konto-Bestätigungen, Passwort-Reset-Codes und angeforderte Vertragsnachrichten. Composio vermittelt die technische Mailverbindung; die Nachrichten werden durch das Microsoft-Postfach versendet.

Wenn du einen App-Link per E-Mail anforderst, verarbeiten wir deine E-Mail-Adresse und die ausgewählte Plattform für diese einmalige Nachricht. Dadurch wird kein Nutzerkonto erstellt und kein Newsletter abonniert. Die Adresse wird für den Versand an den eingesetzten E-Mail-Dienst übermittelt. Zum Schutz vor Missbrauch werden zeitlich begrenzte, gehashte Zähler für IP-Adresse und E-Mail-Adresse verwendet. Ein Installationslink ersetzt keine Teilnahmefreigabe für einen geschlossenen Store-Test.

4. Gesundheitsdaten (Gerätesensoren)

In den mobilen Apps kann Client2Coach optional Gesundheitsdaten von deinem Gerät lesen. Die Nutzung ist freiwillig und erfordert deine ausdrückliche, systemseitige Einwilligung. Auf der Weboberfläche werden keine Sensordaten ausgelesen.

4.1 Apple HealthKit iOS

Die iOS-App liest mit deiner Erlaubnis ausschließlich lesend folgende Daten aus Apple Health:

Datenkategorie	Zweck	Pflicht?
Schrittanzahl	Automatisches Befüllen des Schritt-Feldes im Tracker	Nein
Schlafdaten	Automatisches Befüllen der Schlafdauer im Tracker	Nein
Protein, Kohlenhydrate, Fett, Natrium	Automatisches Befüllen der Ernährungsfelder im Tracker	Nein
Ruhepuls	Befüllen des Ruhepuls-Feldes (nur wenn dein Tracker eine solche Spalte hat)	Nein
Wasseraufnahme	Befüllen des Wasser-Feldes im Tracker	Nein
Körpergewicht	Befüllen des Gewichts-Feldes im Tracker	Nein

Widerruf jederzeit unter iOS-Einstellungen → Datenschutz & Sicherheit → Gesundheit → Client2Coach. Ausführliche Hinweise: iOS-Datenschutz.

4.2 Google Health Connect Android

Die Android-App liest mit deiner Erlaubnis folgende Daten aus Health Connect:

Datenkategorie	Zweck	Pflicht?
Schritte	Automatisches Befüllen des Schritt-Feldes im Tracker	Nein
Schlaf	Automatisches Befüllen der Schlafdauer im Tracker	Nein
Ernährung (inkl. Natrium)	Automatisches Befüllen der Ernährungsfelder im Tracker	Nein
Ruhepuls	Befüllen des Ruhepuls-Feldes (nur wenn dein Tracker eine solche Spalte hat)	Nein
Wasseraufnahme (Hydration)	Befüllen des Wasser-Feldes im Tracker	Nein
Körpergewicht	Befüllen des Gewichts-Feldes im Tracker	Nein

Widerruf jederzeit in der Health-Connect-App oder unter Einstellungen → Apps → Client2Coach → Berechtigungen. Ausführliche Hinweise: Android-Datenschutz.

Hinweis: Gesundheitsdaten von Gerätesensoren laufen ausschließlich über Apple HealthKit bzw. Google Health Connect. Weitere externe Drittanbieter werden für Gesundheitsdaten nicht angebunden.

5. Google-Nutzerdaten (Google Sheets API) & Limited Use

Wenn du als Coach dein Google-Konto verbindest, kann Client2Coach Trainings- und Tracker-Pläne mit deinen Google-Tabellen synchronisieren. Diese Verbindung ist optional und ausschließlich für Coaches relevant. Klientinnen und Klienten ohne Google-Verbindung sind nicht betroffen.

6. Rechtsgrundlagen (DSGVO)

Datenverarbeitung	Rechtsgrundlage
Kontoverwaltung, Login	Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
Trainings- und Tracker-Daten	Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); Gesundheitsbezug: Einwilligung (Art. 9 Abs. 2 lit. a DSGVO)
Fortschritts-Medien (Videos, Sprachnachrichten, Körper-/Fortschrittsbilder)	Ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO)
Gesundheitsdaten (HealthKit, Health Connect)	Ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO)
Google-Sheets-Verbindung (Coach)	Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)
Optionale KI-Analysefunktion Lumi	Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); bei Gesundheitsbezug ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO)
Sicherheits-Logging (IP, Login-Zeitstempel)	Berechtigtes Interesse an IT-Sicherheit (Art. 6 Abs. 1 lit. f DSGVO)

7. Empfänger, Auftragsverarbeiter & Drittlandtransfer

Wir setzen sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter gemäß Art. 28 DSGVO ein:

Anbieter	Zweck	Standort / Transfer
Supabase	Datenbank-Hosting sowie privater Objektspeicher (Bucket) für hochgeladene Fortschritts-Medien (Videos, Sprachnachrichten, Bilder)	EU (Region eu-west-1)
Sliplane	Hosting des Backend-Servers und der Automatisierungs-Komponente (n8n) für die Struktur-Erkennung	EU (Deutschland)
Scaleway	(1) KI-Modell für redigierte Struktur-Erkennung und den vom Coach ausdrücklich ausgelösten Import von Zielwerten aus ausgewählten Tabellenbereichen; (2) optionale Lumi-Analysen ausgewählter Fotos und ausdrücklich freigegebener Trainings-, Ernährungs- und Gesundheitsdaten; (3) privater Objektspeicher (S3-kompatibler Bucket) für hochgeladene Fortschritts-Medien – Zugriff nur über kurzlebige signierte Links	EU (Frankreich)
Stripe Payments Europe, Ltd.	Zahlungsabwicklung, Abonnementverwaltung, Rechnungs- und Betrugspräventionsdaten bei kostenpflichtiger Web-Nutzung	EU und weitere Länder nach Stripe-DPA/Transfermechanismen
RevenueCat, Inc.	Prüfung und Verwaltung nativer App-Store-/Google-Play-Abos mit pseudonymer User-ID und Kaufhistorie	USA; erforderliche Vertrags- und Transfermechanismen vor Produktivaktivierung
Apple Inc.	Storekonto, Zahlung und Verwaltung von in der iOS-App abgeschlossenen Abos	Nach Apple-Vertrags- und Datenschutzbedingungen
Google LLC (Google Play)	Storekonto, Zahlung und Verwaltung von in der Android-App abgeschlossenen Abos	Nach Google-Play-Vertrags- und Datenschutzbedingungen
Functional Software, Inc. (Sentry)	Technische Fehler- und Absturzdiagnose; ohne Request-Inhalte, Authentifizierungsdaten, Screenshots oder standardmäßige Personenidentifikation	USA/EU nach Sentry-DPA und Standardvertragsklauseln
Google LLC	Nur bei aktiver Google-Verbindung (Sheets-Synchronisation)	USA – abgesichert über EU-Standardvertragsklauseln (SCCs)
Apple HealthKit	HealthKit-Zugriff erfolgt nur lokal auf dem Gerät; dieser Datenfluss ist vom App-Store-Abo getrennt	Kein Empfang der HealthKit-Inhalte durch Apple über Client2Coach

Bei Google, Stripe, RevenueCat und Sentry können Übermittlungen in Drittländer stattfinden. Dafür müssen die jeweiligen Auftragsverarbeitungsvereinbarungen und geeigneten Garantien, insbesondere EU-Standardvertragsklauseln, gelten. Sentry ist datensparsam konfiguriert: keine Request-Bodies oder Gesundheitsinhalte, keine Authentifizierungs- oder Cookie-Header, keine Screenshots oder View-Hierarchien und keine standardmäßige Übermittlung von Name, E-Mail oder Nutzerkennung.

Native Abonnements in iOS und Android

Wenn du in der iOS- oder Android-App ein Abonnement kaufst oder wiederherstellst, verarbeitet Apple beziehungsweise Google die Zahlung und die Daten deines Storekontos in eigener Verantwortung. Client2Coach erhält keine vollständigen Karten- oder Bankdaten. Über RevenueCat werden eine pseudonyme interne User-ID sowie Produkt-ID, Kauf- und Transaktionshistorie, Store-Beleg beziehungsweise Store-Token, Abozustand, Laufzeit, Währung und technische Store-Metadaten verarbeitet. Zweck sind Kauf, Wiederherstellung, Betrugsprävention, Zugangssteuerung, Support und Abo-Analyse (Art. 6 Abs. 1 lit. b und c DSGVO). Gesundheits-, Fitness-, Ernährungs-, Foto-, Chat- und Coachinginhalte werden nicht an RevenueCat übermittelt.

Ein Store-Abo verwaltest und kündigst du in der jeweiligen Aboverwaltung von Apple oder Google. Die Löschung deines Client2Coach-Kontos beendet ein Store-Abo nicht automatisch.

Optionale KI-Analysefunktion Lumi

Wenn du eine mit Lumi gekennzeichnete Analyse auslöst, werden die von dir dafür ausgewählten Fotos oder – nur nach deiner ausdrücklichen, jederzeit widerrufbaren Einwilligung – freigegebene Trainings-, Ernährungs- und Gesundheitsdaten an Scaleway Generative APIs in der EU übermittelt. Zweck ist die Erstellung von Analysen und strukturierten Vorschlägen innerhalb der App. Die Daten werden nicht zum Modelltraining freigegeben. KI-Ergebnisse können Fehler enthalten und ersetzen keine medizinische Beratung.

8. Speicherdauer

• Kontodaten: bis zur Löschung deines Kontos
• Trainings- & Tracker-Daten: bis zur Löschung deines Kontos
• Gesundheitsdaten: bis zur Löschung des jeweiligen Eintrags oder deines Kontos
• Fortschritts-Medien (Videos/Sprache/Bilder): Check-in-Videos nach Coach-Feedback + kurzer Frist automatisch gelöscht; übrige Medien bis zur Löschung des jeweiligen Eintrags oder deines Kontos
• Google-OAuth-Token: bis zum Trennen der Verbindung oder zur Kontolöschung
• Sicherheits-Logs (IP): maximal 30 Tage
• Technische Fingerabdrücke nativer Abo-Webhooks: 90 Tage; ohne User-ID oder rohe Webhook-Payload
• Kauf- und Zahlungsdaten bei Apple, Google, RevenueCat oder Stripe: nach Anbieterprozess und gesetzlichen Nachweisfristen; im Client2Coach-Löschprozess gesondert zu behandeln

Konto und Daten löschen

Du kannst dein Konto und alle damit verbundenen Daten jederzeit selbst löschen: in der App bzw. Web-App unter Einstellungen → Konto → Konto löschen. Alternativ – auch ohne aktiven App-Zugang – schreib uns an niklas.fiedler@client2coach.de (Betreff: „Konto löschen"); wir bearbeiten die Löschung innerhalb von 30 Tagen.

Was gelöscht wird: Konto- und Profildaten, Trainings- und Tracker-Daten, Gesundheitsdaten, hochgeladene Fortschritts-Medien (Videos, Sprachnachrichten, Bilder – inkl. der Objekte im EU-Objektspeicher bzw. in deinem verbundenen Google Drive), Coaching-Kommunikation sowie eine ggf. bestehende Google-Verbindung samt Zugriffs-Token. Ein zugeordnetes RevenueCat-Kundenprofil wird derzeit nicht automatisch durch die Kontolöschung entfernt; dessen gesonderte Löschung kannst du per E-Mail an niklas.fiedler@client2coach.de verlangen. Kauf-, Zahlungs-, Steuer- und Betrugspräventionsdaten des Storekontos unterliegen den Prozessen von Apple beziehungsweise Google.

Wichtig bei Abonnements: Die Kontolöschung kündigt kein aktives Apple-App-Store-, Google-Play- oder Stripe-Web-Abo. Kündige das Abo vorher in der jeweiligen Aboverwaltung beziehungsweise über den Web-Kündigungsweg.

Aufbewahrungs-Ausnahmen: Sicherheits-Logs mit IP-Adresse werden aus IT-Sicherheitsgründen für maximal 30 Tage vorgehalten und danach automatisch gelöscht. Soweit wir gesetzlich zur Aufbewahrung verpflichtet sind, beschränken wir die Verarbeitung entsprechend, bis die Frist abläuft.

9. Deine Rechte

Nach der DSGVO stehen dir folgende Rechte zu:

• Auskunft (Art. 15) – welche Daten wir über dich verarbeiten
• Berichtigung (Art. 16) – Korrektur falscher Daten
• Löschung (Art. 17) – „Recht auf Vergessenwerden"
• Einschränkung (Art. 18) – Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20) – Daten in maschinenlesbarem Format
• Widerspruch (Art. 21) – gegen Verarbeitung auf Basis berechtigter Interessen
• Widerruf der Einwilligung (Art. 7 Abs. 3) – jederzeit, ohne Angabe von Gründen, mit Wirkung für die Zukunft (insbesondere für Gesundheitsdaten und die Google-Verbindung)

Zur Ausübung deiner Rechte schreib uns an niklas.fiedler@client2coach.de.

Du hast außerdem das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde. Für uns zuständig ist – aufgrund des Sitzes in Darmstadt (Hessen) – Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI). Du kannst dich auch an die Aufsichtsbehörde deines üblichen Aufenthaltsorts wenden.

10. Datensicherheit

• Alle Verbindungen sind TLS-verschlüsselt (HTTPS)
• Passwörter werden mit bcrypt (Faktor 12) gehasht – niemals im Klartext gespeichert
• Zugriff auf Nutzerdaten nur nach Authentifizierung mit kurzlebigen JWT-Access-Token
• Datenbankzugriff nur durch autorisierte Serverkomponenten
• Sicherheitsvorfälle werden, soweit gesetzlich vorgeschrieben, unverzüglich gemeldet (Art. 33/34 DSGVO)

11. Kinder

Client2Coach richtet sich nicht an Personen unter 16 Jahren. Wir erheben wissentlich keine Daten von Kindern. Wenn du vermutest, dass ein Kind unter 16 Jahren ein Konto angelegt hat, kontaktiere uns bitte.

12. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen des Dienstes oder der Rechtslage zu aktualisieren. Das Datum am Seitenanfang zeigt die letzte Aktualisierung. Bei wesentlichen Änderungen informieren wir dich per E-Mail oder über die App.

13. Kontakt

Bei Fragen zum Datenschutz erreichst du uns unter:

E-Mail: niklas.fiedler@client2coach.de
Betreff: Datenschutz – Client2Coach