Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Fabian Weiß
Kolonnenstr. 8
10827 Berlin
Deutschland
E-Mail: contact@cardioclash.com

2. Das Wichtigste in Kürze

• Für Duelle brauchst du ein Konto. Dein Profil (Benutzername, Profilbild, Kurzbeschreibung, Ergebnisse) ist für andere Nutzer sichtbar, damit sie dich herausfordern können.
• Dein Beweisfoto vom Gerätedisplay wird von einer KI (Claude von Anthropic) ausgelesen. Sehen können es dein Gegner im jeweiligen Duell und, bei einem Einspruch, wir; alle anderen Nutzer nur, wenn du es selbst im Feed zeigst.
• Standortdaten aus den Bildmetadaten lesen wir nicht aus; bei JPEG-Fotos entfernen wir die Metadaten vor dem Speichern.
• Kein Werbe-Tracking, kein Verkauf von Daten. Nutzungsstatistik und Fehlerberichte nur mit Einwilligung.

3. Verarbeitungen im Einzelnen

3.1 Besuch der Website (cardioclash.com)

Beim Aufruf dieser Website verarbeitet unser Hosting-Anbieter Vercel technisch notwendige Verbindungsdaten (insbesondere IP-Adresse, Zeitpunkt des Zugriffs, aufgerufene Seite, User-Agent) in Server-Logs, um die Website auszuliefern und die Sicherheit des Betriebs zu gewährleisten. Die Website setzt keine Cookies zu Analyse- oder Werbezwecken.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb der Website).

3.2 Beta-Anmeldung und Benachrichtigungen (Brevo)

Über das Formular auf der Startseite kannst du dich für den Beta-Zugang eintragen. Dafür reicht deine E-Mail-Adresse. Wir nutzen sie ausschließlich, um dich über den Start der Beta und die Verfügbarkeit der App zu benachrichtigen.

Übergangsphase: Solange die Anmeldung über Brevo noch nicht freigeschaltet ist, öffnet das Formular eine vorbereitete E-Mail in deinem Mailprogramm. Schickst du sie ab, erreicht uns deine Adresse als E-Mail an hello@cardioclash.com. Wir übernehmen sie dann in die Warteliste bei Brevo und schicken dir die Bestätigungsmail; die E-Mail im Postfach löschen wir danach.

Double-Opt-in: Nach dem Absenden schicken wir dir eine Mail mit einem Bestätigungslink. Erst mit deinem Klick nehmen wir dich in die Warteliste auf, damit sich niemand mit einer fremden Adresse anmelden kann. Als Nachweis der Einwilligung dienen der gespeicherte Zeitpunkt der Bestätigung und das Versandprotokoll der Bestätigungsmail.

Versanddienstleister: Den Versand der Mails und die Speicherung der Warteliste übernimmt Brevo (Sendinblue SAS, 7 rue de Madrid, 75008 Paris, Frankreich) als unser Auftragsverarbeiter. Brevo speichert die Daten auf Servern in der EU. Gespeichert werden deine E-Mail-Adresse, die Sprache der Anmeldung und der Zeitpunkt der Bestätigung; dazu kommen technisch bedingt Versand- und Zustelldaten der Mails (z. B. Zustellstatus).
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für Anmeldung und Benachrichtigungen; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Nachweis der Einwilligung und an einem sicheren Versand) für die Protokollierung.

Widerruf: Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Abmeldelink in jeder Mail oder per formloser E-Mail an contact@cardioclash.com. Danach entfernen wir deine Adresse von der Warteliste. Ausgetragene Adressen dürfen wir bis zu drei Jahre ausschließlich zum Nachweis der früheren Einwilligung aufbewahren; auf Anfrage löschen wir sie früher.

3.3 Konto und Profil

Für die App legst du ein Konto an, entweder mit E-Mail-Adresse und Passwort oder über „Mit Apple anmelden“ bzw. „Mit Google anmelden“. Bei der Anmeldung über Apple oder Google erhalten wir von dort eine Kennung und, je nach deiner Freigabe, deine E-Mail-Adresse, deinen Namen und dein Profilbild. Für die Verarbeitung bei Apple und Google gelten deren Datenschutzbestimmungen.

Gespeichert werden deine Zugangsdaten (Passwörter nur als Hash), dein Benutzername und Anzeigename, optional Profilbild, Kurzbeschreibung, Region sowie Instagram- und Strava-Name, außerdem deine Duelle, Ergebnisse, Bestzeiten, Punkte, Ranglistenplätze, Abzeichen und Monatsziele. Hast du dich über einen Einladungslink registriert, speichern wir, wer dich eingeladen hat.

Was andere sehen: Benutzername, Anzeigename, Profilbild, Kurzbeschreibung, Region, das Datum deiner Registrierung, deine Ergebnisse und deinen Ranglistenplatz zeigt die App anderen angemeldeten Nutzern. Ob die App deinen Instagram- und Strava-Namen und deine Bestzeiten anderen zeigt, legst du in den Einstellungen fest. Profilbilder liegen unter einer öffentlichen Adresse und sind über diese auch ohne Anmeldung abrufbar.

Die Daten liegen bei unserem Auftragsverarbeiter Supabase.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der App nach den Nutzungsbedingungen).

3.4 Freunde, Feed und Crews

Deine Ergebnisse erscheinen als Beiträge im Feed, den alle angemeldeten Nutzer sehen; andere können darauf reagieren, und du kannst eine Bildunterschrift ergänzen. Du kannst andere Nutzer als Freunde hinzufügen, Crews gründen oder ihnen beitreten und an Crew-Duellen und der wöchentlichen Challenge teilnehmen. Crew-Name und Crew-Bild sind für alle Nutzer sichtbar; das Crew-Bild liegt unter einer öffentlichen Adresse. Teilst du ein Duell per Link, sieht jeder mit dem Link eine Vorschau mit deinem Benutzernamen. Meldest oder blockierst du einen Nutzer, speichern wir die Meldung samt deiner Angaben bzw. die Blockierung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der sozialen Funktionen); für Meldungen zusätzlich Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz der Nutzer).

3.5 Duelle und Beweisfotos (KI-Auswertung)

Um ein Ergebnis einzureichen, fotografierst du das Display deines Geräts (Ruder-, Ski- oder Bike-Ergometer, Laufband oder Smartwatch) oder wählst ein Foto aus deiner Mediathek. Dafür fragt die App nach Zugriff auf Kamera bzw. Fotos; die Berechtigung kannst du in den Systemeinstellungen jederzeit entziehen.

Mit dem Foto passiert Folgendes:

• Es wird in deinen Bereich unseres Speichers bei Supabase hochgeladen. Sehen können es dein Gegner im jeweiligen Duell und, bei einem Einspruch, wir. Wählst du beim Einreichen, das Foto im Feed zu zeigen, sehen es alle angemeldeten Nutzer.
• Aus den Bildmetadaten (EXIF) lesen wir nur den Aufnahmezeitpunkt und den Namen einer Bildbearbeitungssoftware, um Manipulationen zu erkennen. GPS-Daten werden nicht ausgelesen. Bei JPEG-Fotos entfernen wir danach die Metadaten und speichern das Foto ohne sie.
• Wir bilden einen Bild-Fingerabdruck (Hash), um mehrfach eingereichte Fotos zu erkennen.
• Das Foto geht an Anthropic (Claude), teils schon bei einer Vorprüfung vor dem Einreichen. Das Modell liest Zeit, Distanz, Gerätetyp und weitere angezeigte Werte (z. B. Split, Leistung, Schlagzahl) aus und bewertet, ob das Foto plausibel ist. Zeigt das Foto weitere Inhalte, etwa die Streckenkarte einer Smartwatch, werden diese mitübertragen. Das Ergebnis speichern wir zusammen mit dem Duell.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Duelle); für die Prüfung auf Manipulation zusätzlich Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an fairen Wettkämpfen für alle Nutzer).

3.6 Prüfung von Profilinhalten

Wenn du Benutzernamen, Kurzbeschreibung oder Profilbild änderst, prüfen wir die Inhalte vor der Veröffentlichung automatisch auf beleidigende oder unzulässige Inhalte. Dazu gehen Text bzw. Bild an Anthropic (Claude). Abgelehnte Inhalte werden nicht übernommen. Prüfen wir einen Benutzernamen vor der Registrierung, speichern wir deine IP-Adresse zusammen mit einem Anfragezähler, um Missbrauch zu begrenzen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz der Nutzer vor rechtswidrigen und verletzenden Inhalten).

3.7 Push-Mitteilungen

Wenn du Mitteilungen erlaubst, speichern wir den Push-Token deines Geräts zu deinem Konto. Über Expo (650 Industries) und die Dienste von Apple bzw. Google schicken wir dir damit Hinweise, etwa auf neue Herausforderungen oder Ergebnisse. Welche Mitteilungen du erhältst, stellst du in der App ein; beim Abmelden wird der Token deines Geräts entfernt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Erteilen der Berechtigung).

3.8 Nutzungsstatistik (PostHog)

Nur wenn du in der App zustimmst, erfassen wir mit PostHog, wie die App genutzt wird: aufgerufene Bildschirme, Interaktionen wie das Tippen auf Schaltflächen und Ereignisse wie abgeschlossene Registrierungen, erstellte oder angenommene Duelle und eingereichte Ergebnisse. Die Daten sind mit deiner Konto-ID verknüpft, nicht mit Namen oder E-Mail-Adresse. Bildschirmaufzeichnungen finden nicht statt. Die Daten werden auf Servern von PostHog in der EU verarbeitet. Ohne deine Zustimmung sendet die App keine Statistikdaten; du kannst sie in den Einstellungen jederzeit widerrufen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

3.9 Fehlerberichte (Sentry)

Nur wenn du beim Einrichten der App zustimmst, sendet sie bei Abstürzen und technischen Fehlern einen Fehlerbericht an Sentry (Fehlermeldung, betroffene Programmstelle, Gerätetyp, Betriebssystem- und App-Version), dazu für einen Teil der Sitzungen Leistungsdaten wie Ladezeiten. IP-Adresse und E-Mail-Adresse übermitteln wir dabei nicht. Deine Einwilligung kannst du jederzeit per E-Mail an contact@cardioclash.com widerrufen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

4. Empfänger und Auftragsverarbeiter

Wir setzen die folgenden Dienstleister ein. Mit allen haben wir, soweit erforderlich, einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

Drittlandtransfer: Mehrere Dienstleister haben ihren Sitz in den USA. Die Übermittlung erfolgt auf Grundlage von Angemessenheitsbeschlüssen nach Art. 45 DSGVO (EU-US Data Privacy Framework, soweit der jeweilige Anbieter zertifiziert ist) bzw. der EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Anthropic speichert API-Anfragen nach eigenen Angaben zeitlich begrenzt (bis zu 30 Tage) zur Missbrauchskontrolle.

Andere Nutzer sehen dein öffentliches Profil und deine Feed-Beiträge (siehe Abschnitte 3.3 und 3.4); dein Gegner im jeweiligen Duell sieht dein Beweisfoto.

5. Speicherdauer

• Konto, Profil, Duelle, Ergebnisse und Beweisfotos: solange dein Konto besteht. Löschst du dein Konto in der App, löschen wir es sofort samt Profilbild und Beweisfotos.
• Push-Token: bis zum Abmelden auf dem Gerät oder bis zur Löschung des Kontos.
• Beta-E-Mail-Adresse (Brevo): bis zum Widerruf deiner Einwilligung; danach bis zu drei Jahre ausschließlich zum Nachweis der früheren Einwilligung (siehe Abschnitt 3.2).
• Nutzungsstatistik und Fehlerberichte: gemäß den Aufbewahrungsfristen von PostHog bzw. Sentry.
• Server-Logs (Vercel, Supabase): gemäß den Aufbewahrungsfristen des jeweiligen Anbieters.

6. Deine Rechte

Du hast gegenüber uns folgende Rechte:

• Art. 15 DSGVO: Auskunft über die verarbeiteten Daten
• Art. 16 DSGVO: Berichtigung unrichtiger Daten
• Art. 17 DSGVO: Löschung („Recht auf Vergessenwerden“), in der App direkt über „Konto löschen“
• Art. 18 DSGVO: Einschränkung der Verarbeitung
• Art. 20 DSGVO: Datenübertragbarkeit
• Art. 21 DSGVO: Widerspruch gegen Verarbeitungen auf Basis von Art. 6 Abs. 1 lit. f DSGVO

Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), zum Beispiel bei der Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts. Zur Ausübung deiner Rechte genügt eine formlose E-Mail an contact@cardioclash.com.

7. Keine Pflicht zur Bereitstellung

Du bist weder gesetzlich noch vertraglich verpflichtet, personenbezogene Daten bereitzustellen. Ohne die in Abschnitt 3 beschriebenen Daten können wir die jeweilige Funktion (Website, Beta-Anmeldung, Konto, Duelle) allerdings nicht anbieten.

8. Automatisierte Auswertung der Ergebnisse

Die KI liest das Ergebnis aus deinem Beweisfoto aus; auf dieser Grundlage wird ein Duell gewertet. Diese Wertung hat keine rechtliche Wirkung dir gegenüber und beeinträchtigt dich nicht in ähnlich erheblicher Weise (Art. 22 DSGVO). Hältst du eine Wertung für falsch, kannst du in der App Einspruch einlegen. Einsprüche prüfen wir selbst; entscheiden wir nicht innerhalb von 14 Tagen, bleibt die ursprüngliche Wertung bestehen.

9. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Datenverarbeitung ändert (z. B. neue Funktionen oder Dienstleister). Die jeweils aktuelle Fassung findest du unter cardioclash.com/de/datenschutz.