Wellboy-Datenschutzerklärung

Gültigkeitsdatum: noch nicht in Kraft (Entwurf).

1. Wer wir sind

Wellboy wird von Pankka Group Oy, einer in Finnland eingetragenen Gesellschaft mit beschränkter Haftung (Unternehmens-ID 3397011-8), Sukkulatie 10, 87700 Kajaani, Finnland, betrieben. Pankka Group Oy ist der Verantwortliche für die in dieser Richtlinie beschriebenen personenbezogenen Daten.

Datenschutzkontakt: [email protected]

In dieser Richtlinie bedeuten „Wellboy“, „wir“ und „uns“ Pankka Group Oy, und „die App“ bezeichnet die Wellboy-Anwendung (iOS, Android und Desktop-Builds).

2. Zusammenfassung in einfacher Sprache

• Die App ist auf Offline-Nutzung ausgelegt: Deine Daten liegen in einer lokalen Datenbank auf deinem Gerät, und die grundlegende Erfassung funktioniert ohne Verbindung. Synchronisierung, KI-Funktionen, Käufe, Freigaben und Online-Produktsuchen benötigen eine Verbindung.
• Wenn du online bist, werden deine Inhalte mit unserer Cloud-Datenbank (Google Cloud Firestore) in der EU-Region europe-north1 (Finnland) synchronisiert und unter einer privaten Konto-ID gespeichert, auf die nur dein angemeldetes Konto Lese- oder Schreibzugriff hat.
• Du startest automatisch mit einem anonymen Konto und registrierst am Ende der Einrichtung eine Anmeldemethode (Apple, Google oder E-Mail), damit deine Daten auf mehreren Geräten erhalten bleiben.
• KI-Funktionen (Essensfoto-Scan, Coach-Chat, Workout-Generierung) senden die erforderlichen Eingaben über die eigenen Server von Wellboy zur Verarbeitung an OpenAI. Die App ruft unseren Server auf, und der KI-API-Schlüssel wird als Servergeheimnis gespeichert. Anfragen werden mit deaktivierter Speicherung des Anwendungsstatus durch OpenAI gesendet; OpenAI kann nach den eigenen Bedingungen API-Protokolle zur Missbrauchsüberwachung aufbewahren (typischerweise bis zu 30 Tage), und weder Wellboy noch OpenAI verwenden deine Eingaben zum Trainieren von KI-Modellen.
• Du kannst Apple Health (HealthKit) oder Health Connect (Android) optional verbinden. Der Import in die Wellboy-App ist schreibgeschützt. Wenn du die optionale Begleit-App für Apple Watch verwendest, speichert die Watch dieses Workout (mit Herzfrequenz und aktiver Energie) auf deinen eigenen Geräten in Apple Health; sie sendet diese Daten nicht an die Wellboy-Server (Abschnitt 3.5).
• Käufe von Wellboy Pro werden von Apple oder Google verarbeitet; deine Kartendaten sehen wir nie. RevenueCat verarbeitet die Kaufbelege für uns.
• Wir schalten in dieser Version keine Werbung und verwenden keine Produktanalyse durch Dritte. Von der App verwendete Google-SDK-Komponenten (ML Kit, Firebase) übermitteln begrenzte technische Telemetrie an Google (Abschnitte 3.4 und 9).
• Die Absturzberichterstattung ist optional und standardmäßig deaktiviert. Wenn du sie einschaltest, werden Absturz- und Fehlerberichte (nur technische Daten, niemals deine Inhalte) an Google Firebase Crashlytics gesendet und in den Vereinigten Staaten verarbeitet. Du kannst sie jederzeit in den Einstellungen ausschalten (Abschnitt 3.7).
• Erinnerungsbenachrichtigungen werden auf deinem Gerät geplant und verlassen es nie. Die einzigen Nachrichten, die unsere Server senden, sind optionale Preiswarnungen zum Lifetime-Kauf und ein unsichtbares Signal, das die App anweist, ihre eigenen Daten zu aktualisieren (Abschnitt 3.8).
• Der Verlauf des Coach-Chats, Einkaufslisten, täglichen Schrittzahlen und die meisten App-Einstellungen werden nie in dein Cloud-Konto hochgeladen. Auch Fotos für den Essens-Scan bleiben auf deinem Gerät. Die Antwort des Coaches auf jede kostenpflichtige Nachricht wird in einem serverseitigen KI-Anfrageprotokoll aufbewahrt (Abschnitt 5.5).
• Teilen-Codes veröffentlichen eine unveränderliche, öffentliche Momentaufnahme der geteilten Inhalte, die jede Person mit dem Code ansehen kann.
• Du kannst deine Daten als ZIP-Datei (JSON + deine Bilddateien) direkt in der App exportieren und dein Konto löschen.

3. Welche Daten wir erfassen

3.1 Kontodaten

• Ein anonymes Konto (zufällige Konto-ID) wird automatisch erstellt, wenn die App sich zum ersten Mal verbindet, und die Einrichtung fordert dich auf, eine Anmeldemethode zu registrieren.
• Wenn du eine Anmeldemethode registrierst oder verknüpfst, speichern wir die Kennungen, die uns dieser Anbieter gibt: deine E-Mail-Adresse und die Konto-IDs des Anbieters (Sign in with Apple, Google Sign-In oder E-Mail + Passwort) sowie den Status der E-Mail-Bestätigung. Falls der Anbieter sie übermittelt, erhalten wir möglicherweise auch den Namen, der diesem Anbieter-Konto zugeordnet ist (zum Beispiel von Sign in with Apple).
• Wir bieten keine Telefon-/SMS-Authentifizierung an.

3.2 Von dir hinzugefügte Inhalte (Gesundheits- und Fitnessdaten)

Je nachdem, welche Funktionen du nutzt, kann dies Folgendes umfassen:

• Mahlzeiten- und Ernährungseinträge (Lebensmittel, Portionen, Energie, Makronährstoffe), Wasserzufuhr, tägliche Check-in-Zusammenfassungen und Ernährungsziele,
• deine Ziele (wichtigste Trainingsziele, Zielgewicht, wöchentliches Workout-Ziel, tägliches Aktivitätsniveau),
• Einträge zur Schlafqualität,
• Workouts: deine eigenen Trainingsvorlagen, abgeschlossene Workouts (Sätze, Gewichte, Wiederholungen, Zeiten, Distanzen), geplante Workouts und Trainingsprogramme,
• Rezepte und Kochbuchinhalte, einschließlich Rezeptfotos,
• Einkaufslisten (nur auf dem Gerät),
• Körpermaße und Fortschrittsfotos (Fortschrittsfotos sind nur für Nutzer ab 18 Jahren verfügbar, siehe Abschnitt 14),
• aus Apple Health oder Health Connect importierte Daten (Abschnitt 3.5),
• Challenge-Ergebnisse (zum Beispiel Punktzahlen aus der Liegestütz-Challenge),
• Streaks, Erfahrungspunkte (XP), Verlauf virtueller Credits und Belege für mit virtuellen Credits getätigte Einlösungen,
• Datensätze zum Teilen (Metadaten zu von dir erstellten Teilen-Codes) und Datensätze zu Freundesempfehlungen (Abschnitt 8.3),
• ein optionales Avatar-Foto,
• Coach-Chatnachrichten (nur auf deinem Gerät gespeichert),
• dein Profil: Name, Geschlecht und Geburtsdatum (verwendet für Kalorienschätzungen, die Personalisierung des Coaches und die Prüfung des Mindestalters; dein Alter selbst wird laufend berechnet und nie gespeichert).

Vieles davon sind gesundheitsbezogene Daten. Wir behandeln all diese Daten standardmäßig als privat und speichern sie ausschließlich, um dir den Dienst bereitzustellen.

3.3 Einstellungen

Einheiten, Sprache, Design, Benachrichtigungseinstellungen, Trainingsvoreinstellungen, ein optionaler grober Standort auf Länder-/Stadtebene und ein optionaler Pfad zu einem Profilfoto werden nur auf deinem Gerät gespeichert (siehe 4.3). Ausnahmen sind dein Name, Geschlecht und Geburtsdatum, die als dein Profil mit deinem Cloud-Konto synchronisiert werden (zusammen mit einem Kennzeichen dafür, dass du die Einrichtung abgeschlossen hast, und, falls du die Frage beantwortet hast, deiner optionalen Auswahl „wo hast du von uns gehört?“, Abschnitt 3.6), damit sie dir auf einem neuen Gerät zur Verfügung stehen.

Details zum Standort: Du kannst dein Land und deine Stadt selbst eingeben oder die Berechtigung des Betriebssystems für einen groben Standort erteilen. Die App fordert niemals einen präzisen GPS-Standort an. Der Standort wird nur für regionale Inhalte verwendet.

3.4 Automatisch erfasste Daten

• Wir verwenden keine Werbe-SDKs und keine Produktanalyse-SDKs von Drittanbietern. Von der App verwendete Google-SDK-Komponenten (ML Kit zur Posen-Erkennung, Firebase) übermitteln begrenzte technische Telemetrie an Google (Geräte-, App-, Konfigurations-, Leistungs- und Fehlerdaten; siehe Abschnitt 9).
• Bei der Nutzung von Google-Diensten erhält Google als unser Dienstleister notwendigerweise übliche technische Daten (IP-Adresse, Geräteinformationen, Zeitstempel), wenn die App mit Authentifizierungs-, Datenbank- oder Serverendpunkten kommuniziert.
• Die App verwendet Firebase App Check zur Geräte-/App-Attestierung, um zu prüfen, ob Anfragen von einer echten, unveränderten Wellboy-App stammen. Bei der Attestierung wird ein von Apple oder Google ausgestelltes Integritätstoken ausgetauscht; es identifiziert dich nicht persönlich.
• Um Tageslimits über Zeitzonen hinweg fair durchzusetzen, speichert unser Server den zuletzt verwendeten IANA-Zeitzonennamen deines Geräts (zum Beispiel “Europe/Helsinki”) in deinem Konto und verwendet ihn (oder Europe/Helsinki, falls keine Zeitzone gespeichert ist) für die Tagesgrenzen. Eine Zeitzone ist ein grobes regionales Signal, kein Standortverlauf.
• Beim Scannen von Barcodes werden nur die Barcode-Ziffern an unseren eigenen Produktspiegel-Dienst (food.wellboy.net, gehostet auf Cloudflare) gesendet. Wenn der Spiegel kein nutzbares Produkt liefert (unbekannter Barcode, fehlende Nährwerte oder Spiegel-Fehler), werden die Ziffern anschließend ersatzweise an Open Food Facts und für Nutzer auf dem US-Markt an USDA FoodData Central gesendet. Jeder Dienst sieht deine IP-Adresse notwendigerweise als Teil der Anfrage; eine Konto-ID wird nicht gesendet. Ergebnisse mit Nährwerten werden 30 Tage auf dem Gerät zwischengespeichert, sodass wiederholte Scans desselben Produkts keine Netzwerkanfrage auslösen.
• Videos mit Übungsdemonstrationen werden von unserem CDN (cdn.wellboy.net) gestreamt, das standardmäßige Protokolle von Webanfragen erfasst.
• Die optionale Absturz- und Fehlerberichterstattung ist standardmäßig deaktiviert und in Abschnitt 3.7 beschrieben; solange sie deaktiviert ist, wird dafür nichts erfasst.
• Unter iOS und Android registriert die App bei Google Firebase Cloud Messaging ein Push-Routing-Token, damit unser Server die in Abschnitt 3.8 beschriebenen Nachrichten zustellen kann. Das Token wird in deinem Konto gespeichert und auch dann erstellt, wenn du sichtbare Benachrichtigungen ablehnst (es überträgt auch das unsichtbare Aktualisierungssignal).

3.5 Import aus Gesundheits-Apps (Apple Health / Health Connect)

Wenn du Wellboy mit Apple Health (iOS) oder Health Connect (Android) verbindest, liest die App mit deiner Erlaubnis nur diese Typen:

• Gewicht, Körperfettanteil, fettfreie Körpermasse, Ruhepuls und (unter iOS) Taillenumfang: Importierte Einträge werden wie manuell eingegebene Körpermaße gespeichert, mit ihrer Quelle gekennzeichnet und wie andere Körpermaße mit deinem Cloud-Konto synchronisiert,
• tägliche Schrittzahlen und, wenn du Workout-Kalorien in den Wellboy-Einstellungen aktiviert hast, tägliche aktive Energie: in der Aktivitätsansicht und in Challenges gespiegelt, nur auf deinem Gerät gespeichert und niemals synchronisiert,
• Herzfrequenzmesswerte während eines Workouts (nur wenn du die Workout-Herzfrequenz aktivierst): live gelesen, um deine Herzfrequenz und geschätzten Kalorien während und nach der Einheit anzuzeigen; die Messwerte selbst werden nie gespeichert; nur die von dir gespeicherte Workout-Zusammenfassung bleibt erhalten.

Der Import aus dem Gesundheitsdatenspeicher deines Telefons ist schreibgeschützt: Die Wellboy-Telefon-App liest nur die oben aufgeführten Typen und schreibt nicht in deinen Gesundheitsdatenspeicher.

Begleit-App für Apple Watch: Wenn du die optionale Wellboy-Watch-App installierst und damit ein Workout aufzeichnest, misst die Watch die Einheit über HealthKit und speichert mit den HealthKit-Berechtigungen, die du auf der Watch erteilst, das Workout mit seiner Herzfrequenz und aktiven Energie in Apple Health, sodass das Workout für deine Aktivitätsringe zählt. Dieser Schreibvorgang findet in deinem eigenen Gesundheitsdatenspeicher auf deinen eigenen Geräten statt; die Watch lädt das Workout, die Herzfrequenz oder die Energiedaten nicht auf die Wellboy-Server hoch.

Du kannst die Verbindung jederzeit in den Betriebssystemeinstellungen trennen (iOS: Einstellungen > Health > Datenzugriff; Android: Health Connect-App), und eine optionale automatische Synchronisierung zum Auffüllen kann in den Wellboy-Einstellungen ausgeschaltet werden. Gesundheitsdaten werden nie für Werbung oder Marketing verwendet und nie zu eigenen Zwecken an Dritte weitergegeben.

3.6 Wo du von uns gehört hast (optionale Marketingfrage)

Am Ende der Einrichtung fragen wir dich, wo du von Wellboy gehört hast. Die Beantwortung ist optional, und du kannst ohne Auswahl fortfahren. Wenn du antwortest, wird die von dir ausgewählte Option (ein Freund, Instagram, TikTok, YouTube, Facebook, der App-Store, ein Podcast oder „andere“) zusammen mit deinem Profil gespeichert (Abschnitt 4.2) und verwendet, um zu verstehen, welche Kanäle Nutzer zu Wellboy bringen. Dies sind Marketingdaten, keine Diagnosedaten: Sie sind nicht Teil der in Abschnitt 3.7 beschriebenen Absturzberichte, nichts wird an die von dir ausgewählte Plattform gesendet, sie werden nicht für Werbung oder Tracking verwendet und mit deinem Konto gelöscht.

3.7 Absturz- und Fehlerberichterstattung (optional, standardmäßig deaktiviert)

Um Abstürze und verborgene Fehler zu finden und zu beheben, enthält die App Firebase Crashlytics (Google). Die Absturzberichterstattung ist standardmäßig deaktiviert und wird nur aktiviert, wenn du sie einschaltest, entweder auf der Einrichtungsseite mit der entsprechenden Frage oder später in den Einstellungen. Sie ist nie vorausgewählt und wird niemals als Nebenwirkung einer anderen Aktion aktiviert. Solange sie deaktiviert ist, wird für diesen Zweck nichts erfasst oder gesendet.

Wenn du sie aktivierst, sendet Wellboy an Google Crashlytics:

• Absturzberichte und Berichte über nicht fatale Fehler (Fehler, die die App abgefangen hat, ohne abzustürzen, zum Beispiel ein fehlgeschlagener Synchronisierungsversuch oder ein fehlgeschlagener Serveraufruf), zusammen mit der technischen Spur des Fehlers,
• Gerätemodell, Betriebssystemversion, App-Version und technischen Gerätezustand zum Zeitpunkt des Berichts (zum Beispiel verfügbarer Speicher),
• eine Crashlytics-Installationskennung: eine zufällige ID für die App-Installation, die dazu dient zu zählen, wie viele Geräte von einem Problem betroffen sind. Wir setzen keine Kennung, die einen Bericht mit deinem Wellboy-Konto verknüpfen würde,
• Zeitstempel,
• bei nicht fatalen Fehlern eine kleine Anzahl technischer Kontextwerte: welches App-Subsystem den Fehler gemeldet hat, technische Ursachencodes, Fehler- und HTTP-Statuscodes sowie kleine Zählwerte. Die zulässigen Kontextschlüssel bilden eine feste technische Positivliste, die im App-Code durchgesetzt wird.

Absturz- und Fehlerberichte enthalten niemals deine Inhalte oder Gesundheitsdaten: keine Workouts, keine Mahlzeiten, kein Gewicht oder Körpermaße, keine Fotos, keine Namen, keine E-Mail-Adressen und keine Coach-Nachrichten.

Absturzdaten werden von Google in den Vereinigten Staaten verarbeitet (Crashlytics bietet keine Auswahl des Datenstandorts). Dies ist eine bewusste, dokumentierte Ausnahme von der in Abschnitt 4.2 beschriebenen Speicherung in der EU und ein Grund dafür, dass die Funktion optional ist. Die Übermittlung stützt sich auf die Zertifizierung von Google LLC nach dem EU-US Data Privacy Framework, mit den EU-Standardvertragsklauseln als ersatzweiser Schutzmaßnahme (Abschnitt 9).

Absturzberichte und ihre Kennungen werden 90 Tage aufbewahrt und danach automatisch gelöscht. Crashlytics bietet keine nutzerbezogene Löschung: Bereits gesendete Berichte können nachträglich nicht selektiv gelöscht werden. Wenn du die Berichterstattung ausschaltest oder dein Wellboy-Konto löschst, werden bereits gesendete Berichte daher nicht rückwirkend entfernt; sie laufen innerhalb von 90 Tagen ab. Da keine kontoverknüpfte Kennung gesetzt wird, können Berichte auch nicht nutzerbezogen abgerufen werden.

Rechtsgrundlage für diese Verarbeitung ist deine Einwilligung (Abschnitt 12). Du kannst sie jederzeit widerrufen, indem du die Absturzberichterstattung in den Einstellungen ausschaltest; die Änderung wird beim nächsten Start der App vollständig wirksam.

3.8 Push-Benachrichtigungen und das Push-Token

Benachrichtigungen in Wellboy kommen aus zwei verschiedenen Quellen, und der Unterschied ist wichtig:

• Erinnerungen werden auf deinem Gerät erstellt. Workout-Erinnerungen, die kombinierte Erinnerung an den abendlichen Check-in und die Credits, die Morgenübersicht und Wassererinnerungen werden von der App lokal anhand von Daten geplant, die bereits auf deinem Telefon vorhanden sind. Sie verlassen das Gerät nie, und kein Server ist an ihrem Versand beteiligt.
• Nur zwei Arten von Nachrichten kommen von den Wellboy-Servern, die über Googles Firebase Cloud Messaging (FCM) zugestellt werden: optionale Preiswarnungen zum Lifetime-Kauf (eine Warnung, wenn die aktuelle Preisstufe fast ausgeschöpft ist, und eine Mitteilung in der letzten Stunde vor ihrer Schließung), die nur angezeigt werden, wenn Benachrichtigungen für die App erlaubt sind; sowie ein unsichtbares Signal zur Hintergrundaktualisierung, das die App anweist, neue Daten aus deinem eigenen Konto abzurufen (zum Beispiel direkt nachdem unser Server dir Erfahrungspunkte gutgeschrieben hat). Das Aktualisierungssignal wird dir nicht angezeigt und enthält keine Inhalte, sondern nur die Anweisung zur Aktualisierung.

Preiswarnungen richten sich an ein anonymes währungsspezifisches Topic (zum Beispiel “price_eur” für alle, deren Store-Preise in Euro angegeben sind), nicht persönlich an dich: Der Server wählt Empfänger nicht anhand des Kontos aus.

Damit diese Nachrichten zugestellt werden können, enthält dein Gerät ein FCM-Registrierungstoken: eine von Google Firebase Cloud Messaging ausgegebene Push-Routing-Adresse. Sie identifiziert deine App-Installation für die Nachrichtenübermittlung, ist nicht deine Konto-ID und enthält keine personenbezogenen Angaben. Die App speichert das aktuelle Token jedes Geräts unter deinen eigenen Kontodaten (users/{uid}/pushTokens), zusammen mit der Plattform (“ios” oder “android”) und Zeitstempeln für Erstellung/Aktualisierung, und verwendet es ausschließlich für die Zustellung der oben beschriebenen Nachrichten: niemals für Werbung, Profiling oder Tracking über Apps hinweg.

Lebenszyklus des Tokens: Das Betriebssystem und das Firebase-SDK aktualisieren das Token von Zeit zu Zeit, und die App ersetzt dann das gespeicherte Token. Beim Abmelden wird das Token des Geräts nach Möglichkeit aus deinem Konto entfernt; wenn Google ein Token als nicht mehr gültig meldet, entfernt unser Server es automatisch; und die Token-Datensätze werden zusammen mit allem anderen unter deinem Konto gelöscht, wenn du es löschst (Abschnitt 10.3). Das Token wird für das Signal zur Hintergrundaktualisierung erstellt, auch wenn du die Benachrichtigungsberechtigung ablehnst (das Aktualisierungssignal zeigt nichts an, daher verlangt das Betriebssystem dafür keine Berechtigung); die Ablehnung der Berechtigung bedeutet, dass dir niemals eine sichtbare Benachrichtigung angezeigt wird. Push-Nachrichten selbst enthalten niemals deine Inhalte oder Gesundheitsdaten.

4. Wo deine Daten gespeichert werden

4.1 Auf deinem Gerät

Die lokale Datenbank ist die Arbeitskopie sämtlicher Daten, daher funktioniert die grundlegende Datenerfassung offline; Online-Funktionen (Synchronisierung, KI, Käufe, Teilen, Online-Produktsuchen) benötigen eine Verbindung. Bilddateien (Avatar, Rezeptfotos, Essens-Scan-Fotos, Fortschrittsfotos) werden im privaten Speicher der App auf dem Gerät gespeichert.

4.2 In unserer Cloud (synchronisierte Sammlungen)

Wenn das Gerät online ist, synchronisiert die App die folgenden Inhalte mit Cloud Firestore (Region europe-north1, Finnland), das von Google als Auftragsverarbeiter betrieben wird. Die Daten jedes Nutzers liegen unter der jeweils eigenen privaten Konto-ID:

Hinweise zu Bildern:

• Avatare, Rezept- und Fortschrittsfotos werden als kleine komprimierte Bilddateien synchronisiert, damit sie auch auf einem neuen Gerät verfügbar sind. Wenn du eines löschst, werden auch die Bilddaten vom Server gelöscht.
• Essens-Scan-Fotos werden nicht synchronisiert: Sie bleiben nur auf deinem Gerät als Miniaturbilder der Mahlzeitenkarte. Der Mahlzeiteneintrag synchronisiert zwar den Dateipfad des Fotos als Textmetadatum, aber die Bilddaten werden nie hochgeladen.

Zusätzlich zu den synchronisierten Inhalten speichert unser Server unter deinem Konto kleine Betriebsdatensätze: KI-Anfragedatensätze (Abschnitt 5.5), Support-Tickets (Abschnitt 8), deinen Pro-Mitgliedschaftsstatus (Abschnitt 6) und die Push-Routing-Tokens deiner Geräte (Abschnitt 3.8).

4.3 Nie synchronisiert (nur auf dem Gerät)

Coach-Chatverlauf, Einkaufslisten, tägliche Schrittzahlen und aktive Energie, der Status der Wasser-Challenge, App-Einstellungen außer deinem Profil (einschließlich der Felder für Land und Stadt sowie des Pfads zum Profilfoto), Essens-Scan-Fotos und Mahlzeitenentwürfe in Bearbeitung bleiben auf deinem Gerät und werden nicht hochgeladen.

4.4 Zugriffssteuerung

Der Zugriff auf unsere Datenbank wird durch Sicherheitsregeln nach dem Prinzip „standardmäßig verweigern“ kontrolliert: Nur Anfragen, die mit deinem Konto authentifiziert sind, können deine synchronisierten Inhalte lesen oder schreiben, und die in dieser Richtlinie beschriebenen serverseitigen Datensätze (zum Beispiel Kaufereignisse und öffentliche Teilen-Snapshots) sind nur in dem Umfang lesbar, den die jeweiligen Abschnitte beschreiben. Die Regeln sind versionskontrolliert und werden nur durch eine ausdrückliche Bereitstellung geändert.

5. KI-Funktionen (OpenAI)

Alle KI-Anfragen laufen über Wellboys eigenen Server (eine Google Cloud Function in der EU), der den KI-API-Schlüssel als serverseitiges Geheimnis verwahrt, die Nutzungsgrenzen deines Tarifs prüft und nur die erforderlichen Eingaben zur Verarbeitung an OpenAI weiterleitet. Weil die Anfrage an OpenAI von unserem Server gestellt wird, erhält OpenAI die Netzwerkadresse des Servers statt deiner IP-Adresse, und Wellboy fügt der Anfrage deine Konto-ID nicht hinzu (von dir selbst eingegebener Text wird unverändert gesendet, gib also keine Identifikatoren ein, die du nicht senden möchtest). Anfragen werden mit deaktivierter Speicherung des Anwendungsstatus von OpenAI („store: false“) gesendet; unser Server erzwingt dies bei jeder Anfrage. OpenAI kann API-Protokolle gemäß den eigenen Bedingungen zur Missbrauchsüberwachung aufbewahren (typischerweise bis zu 30 Tage). Weder Wellboy noch OpenAI verwenden deine Eingaben zum Trainieren von KI-Modellen.

5.1 Essensfoto-Scan

Wenn du eine Mahlzeit scannst, wird das Foto auf deinem Gerät normalerweise auf ein zentriertes Quadrat zugeschnitten und verkleinert (etwa 768 px); falls diese Verarbeitung fehlschlägt, wird stattdessen das Originalfoto gesendet. Das Bild wird zusammen mit dem optionalen Namen und den von dir eingegebenen Notizen zur Schätzung der Nährwerte gesendet. Die Schätzung wird in deinem Mahlzeitenprotokoll gespeichert. Das Foto selbst wird nur auf deinem Gerät als Miniaturbild der Mahlzeitenkarte aufbewahrt; Wellboy lädt es nicht in einen von Wellboy kontrollierten Speicher hoch.

5.2 Coach-Chat

Von dir an den KI-Coach eingegebene Nachrichten werden zur Verarbeitung zusammen mit einigen der letzten Nachrichten der Unterhaltung gesendet. Der Coach kann nach App-Daten fragen, aber Daten werden nur dann geteilt, wenn du eine bestimmte Anfragekarte im Chat ausdrücklich genehmigst. Nach deiner Genehmigung wird auf deinem Gerät eine kompakte Textzusammenfassung (kürzlich absolvierte Workouts, Ernährung bestätigter Tage, Schlaf, Körpermaße oder Streak) erstellt und gesendet; vom Gerät wird dabei genau der Zusammenfassungstext übertragen, der im Chat angezeigt und gespeichert wird, niemals die Rohdatenbank. Der Chatverlauf wird nur auf deinem Gerät gespeichert und nicht als Unterhaltung hochgeladen; die Antwort des Coaches auf jede abgerechnete Nachricht wird jedoch im serverseitigen KI-Anfragedatensatz aufbewahrt, der in Abschnitt 5.5 beschrieben ist.

5.3 Workout-Generierung

Wenn du die KI-Workout-Generierung nutzt, werden deine Equipment-Liste, dein Erfahrungsniveau und deine Auswahl im Generator (Zeit, Ort, Schwerpunkt, optionale Wünsche als Freitext) gesendet, um einen Workout-Vorschlag zusammenzustellen.

5.4 Nutzungsgrenzen und Abrechnung

KI-Aktionen verbrauchen im kostenlosen Tarif virtuelle In-App-Credits und unterliegen in beiden Tarifen täglichen und monatlichen Limits, um Missbrauch zu verhindern (die Fair-Use-Obergrenzen von Pro sind in den Nutzungsbedingungen veröffentlicht, und die App zeigt dir deine verbleibenden Nutzungen). Belastungen und Rückerstattungen werden im Transaktionsverzeichnis für virtuelle Credits deines Kontos erfasst.

5.5 KI-Anfragedatensätze auf unserem Server

Für die korrekte Abrechnung führt unser Server für jede abgerechnete KI-Aktion einen kleinen KI-Anfragedatensatz in deinem Konto: die verwendete KI-Funktion, Status, Kosten, Zeitstempel und das KI-Ergebnis (zum Beispiel das generierte Workout, die Scan-Schätzung oder die Antwort des Coaches). Dein Prompt-Text und deine Fotos werden in diesen Datensätzen nie gespeichert. Die KI-Anwendungsprotokolle von Wellboy sind so konzipiert, dass sie deine Prompts, Fotos und Ergebnisse nicht enthalten; sie enthalten Identifikatoren (Konto- und Anfrage-IDs), Status, Latenz und Token-Anzahlen. Anfragedatensätze werden mit deinem Konto gelöscht.

6. Käufe (Wellboy Pro)

• Die Zahlung für Wellboy Pro (Abonnements und Lifetime-Käufe) wird über den App Store von Apple oder Google Play gemäß deren eigenen Bedingungen verarbeitet. Wir erhalten niemals deine Karten- oder Bankdaten.

• Wir verwenden RevenueCat, Inc. (USA) als Auftragsverarbeiter für die Kaufverwaltung. RevenueCat erhält deine zufällig erzeugte Wellboy-Konto-ID, den Kaufbeleg oder Kauf-Token des Stores und deine Kaufhistorie für diese App sowie grundlegende technische Daten, die sein SDK erfasst (Gerätemodell und -typ, Betriebssystemversion, App-Version und Zeitstempel des letzten Kontakts), und teilt uns mit, welche Mitgliedschaft aktiv ist. Wenn du einen Creator-Code verwendet hast, wird der Code dem Kauf zugeordnet. Wir senden RevenueCat weder deinen Namen, deine E-Mail-Adresse noch Inhalte.

• Unser Server erhält über RevenueCat Kaufereignisse (Produkt, Preis, Währung, Zeitpunkt, Konto-ID) und speichert deinen Mitgliedschaftsstatus in deinem Konto sowie ein Ereignisprotokoll für Buchhaltung, Betrugsprävention und die Zuordnung von Verkäufen zu Creator-Codes. Creator haben keinen direkten Zugriff auf diese Datensätze; von uns bereitgestellte Verkaufsberichte für Creator schließen Konto-IDs aus und enthalten nur aggregierte Zahlen.

• Auch die Stores selbst bewahren deine Kaufhistorie gemäß ihren eigenen Datenschutzrichtlinien auf (Apple und Google handeln bei der Zahlungstransaktion als unabhängige Verantwortliche).

7. Verarbeitung, die hauptsächlich auf deinem Gerät bleibt

• Push-up-Challenge: Kamerabilder werden auf dem Gerät mit der Pose-Erkennung von ML Kit analysiert. Keine Videos oder Einzelbilder werden irgendwo übertragen; die Bibliothek von ML Kit selbst übermittelt technische Telemetrie an Google (Abschnitt 3.4), aber niemals deine Bilder oder Pose-Ergebnisse. Die optionale Bildschirmaufnahme wird nur in deiner eigenen Fotomediathek gespeichert.
• Barcode-Scan: Die Erkennung läuft auf dem Gerät; nur die Barcode-Ziffern werden übertragen, hauptsächlich an unseren eigenen Produktspiegel (food.wellboy.net), wobei Open Food Facts (und für Nutzer auf dem US-Markt USDA FoodData Central) als Ausweichquellen dienen, wenn der Spiegel kein nutzbares Produkt hat. Zwischengespeicherte Ergebnisse werden ohne Netzwerkanfrage bereitgestellt.
• Textsuche nach Lebensmitteln: Die allgemeine Lebensmitteldatenbank (basierend auf offenen Daten von Fineli und USDA) ist in der App gebündelt, sodass Lebensmittelsuchen vollständig auf dem Gerät ausgeführt werden und nichts übertragen wird.
• Tägliche Schritte: Die aus deinem Gesundheitsspeicher gelesenen Schrittzahlen werden auf dem Gerät angezeigt, dort für Challenges ausgewertet und bleiben dort.

8. Teilen, Empfehlungen und Support

8.1 Teilen-Codes

Wenn du einen Teilen-Code erstellst, veröffentlicht die App einen eingefrorenen Snapshot der ausgewählten Inhalte (ein Rezept, ein Workout, eine Erholungseinheit oder ein Programm, einschließlich komprimierter Bilder) unter einem zufälligen Code in einem öffentlichen Bereich unserer Datenbank. Jede Person mit dem Code kann diesen Snapshot ansehen und importieren. Snapshots werden nicht aktualisiert, wenn du das Original später bearbeitest.

Wenn jemand deinen Code einlöst, erfassen wir die ID des einlösenden Kontos und den Zeitpunkt, damit Einlösungen voneinander unterschieden und gezählt werden können. Du siehst nur die Anzahl, nicht die Identitäten.

Du kannst deine Codes jederzeit unter Einstellungen > Meine Teilen-Codes deaktivieren (und wieder aktivieren). Deaktivierte Codes können nicht mehr angesehen oder eingelöst werden.

8.2 Teilen und Kontolöschung

Wenn du dein Konto löschst, werden auch die von dir veröffentlichten öffentlichen Teilen-Snapshots dauerhaft gelöscht (der Snapshot, seine Bilder und seine Einlösungsaufzeichnungen), als Teil der in Abschnitt 10.3 beschriebenen Löschkaskade. Inhalte, die andere Nutzer bereits aus deinen Codes importiert haben, bleiben in ihren Konten (sie wurden beim Import zu deren Kopien).

8.3 Freundesempfehlungen

Wenn du einen Freundescode erstellst oder eingibst, speichern wir den Code, die Konto-IDs des empfehlenden und des geworbenen Kontos sowie den Belohnungsstatus, damit beide Seiten die Freundesbelohnung jeweils einmal erhalten können. Freundescodes sind freiwillig geteilte Kennungen, keine Geheimnisse. Empfehlungsdatensätze werden in der Kontolöschkaskade gelöscht.

8.4 Support-Anfragen (Kontakt)

Wenn du über Einstellungen > Kontakt eine Nachricht sendest, speichern wir das Ticket in deinem Konto und leiten es per E-Mail an unsere Support-Adresse weiter; die Kopie in unserer Sendewarteschlange wird nach 30 Tagen gelöscht. Ein Ticket enthält deine Nachricht, eine optionale Kontakt-E-Mail-Adresse und bei Übungsanfragen einen optionalen Referenzvideolink, den du angibst, sowie Diagnosedaten, deren Umfang von der Art der Anfrage abhängt: Funktions- und Übungsanfragen enthalten einen kompakten Datensatz (App-Version, Build-Typ, Plattform und Betriebssystemversion, App-Sprache), während Fehlerberichte und Hilfeanfragen außerdem das Gerätemodell, die Zeitzone des Geräts, Regions- und Spracheinstellungen (Locale), Einheiten und Design, Benachrichtigungs- und Gesundheitssynchronisierungseinstellungen, deine Konto-ID, den Typ des Anmeldeanbieters, die E-Mail-Adresse des Kontos, Pro-/Level-/Credit-Status, Synchronisierungsstatus und Zähler (nur Zahlen, niemals Inhalte) deiner wichtigsten Datentypen enthalten. Fehlerberichte fügen zusätzlich bis zu 12 gekürzte einzeilige Fehlermeldungen aus der aktuellen App-Sitzung bei. Das Senden unterliegt zur Missbrauchsvermeidung einer Ratenbegrenzung. Wenn das Ticket nicht gesendet werden kann, bietet die App stattdessen eine vorausgefüllte E-Mail an [email protected] an; die E-Mail wird dann außerhalb der App übermittelt.

8.5 Teilen-Menü des Systems

Inhalte, die du über das Teilen-Menü des Betriebssystems sendest (zum Beispiel den Datenexport oder einen Teilen-Code), gehen an die von dir ausgewählte App und liegen außerhalb unserer Kontrolle.

9. Dienste Dritter

Internationale Übermittlungen: Der Verantwortliche ist in der EU niedergelassen, und deine synchronisierten Inhalte werden in der EU (europe-north1) gespeichert. Einige unserer Auftragsverarbeiter haben ihren Sitz in den USA (OpenAI für die KI-Funktionen, RevenueCat für die Kaufverwaltung, Cloudflare für unsere Kopie der Lebensmitteldaten und das Medien-CDN), und Google kann begrenzte technische Daten an anderen Orten gemäß den Datenverarbeitungsbedingungen von Google Cloud verarbeiten. Wenn du die Absturzberichtsfunktion aktivierst (Abschnitt 3.7), werden Absturzdaten von Google in den Vereinigten Staaten verarbeitet; diese Übermittlung stützt sich auf die Zertifizierung von Google LLC nach dem EU-US Data Privacy Framework, mit den EU-Standardvertragsklauseln als Ersatzschutz. Die Zustellung von Push-Nachrichten (Abschnitt 3.8) erfolgt über die globale Infrastruktur von Google Firebase Cloud Messaging. Daher können Push-Token und Daten zur Nachrichtenweiterleitung außerhalb der EU gemäß denselben Datenverarbeitungsbedingungen von Google Cloud verarbeitet werden. Diese Übermittlungen stützen sich auf die Datenverarbeitungsbedingungen der Anbieter, die EU-Standardvertragsklauseln und, sofern anwendbar, das EU-US Data Privacy Framework. Du kannst eine Kopie der für diese Übermittlungen verwendeten Schutzmaßnahmen (zum Beispiel der maßgeblichen Standardvertragsklauseln) anfordern, indem du [email protected] kontaktierst.

10. Aufbewahrung, Löschung, Export

10.1 Löschung von Inhalten

Deine Inhalte werden aufbewahrt, bis du sie löschst oder dein Konto löschst. Wenn du ein einzelnes Element löschst, bleibt eine minimale Löschmarkierung (ohne Inhalt) erhalten, damit deine Geräte den Löschvorgang abgleichen; die Markierungen werden mit deinem Konto gelöscht. Die Bilddaten gelöschter Bilder werden ebenfalls vom Server gelöscht.

10.2 Abmeldung

Durch die Abmeldung wird die App auf diesem Gerät auf den Werkszustand zurückgesetzt. Synchronisierte Daten bleiben in deinem Cloud-Konto erhalten und kehren zurück, wenn du dich erneut anmeldest. Für anonyme Konten ist keine erneute Anmeldung möglich: Wenn du Wellboy ohne Registrierung verwendest und dich abmeldest oder das Gerät verlierst, geht der Zugriff auf diese Daten dauerhaft verloren.

10.3 Kontolöschung

Einstellungen > Konto > Konto löschen löscht dauerhaft deine veröffentlichten Freigabe-Snapshots, deine Freundesempfehlungsdatensätze und alles, was unter deinem Konto gespeichert ist (alle synchronisierten Sammlungen in Abschnitt 4.2, KI-Anfrageprotokolle, Support-Tickets, Mitgliedsstatus, Push-Token). Außerdem wird dein Authentifizierungsdatensatz gelöscht; die lokale Kopie auf dem Gerät wird entfernt. Dies kann nicht rückgängig gemacht werden. Ein technischer Datensatz des Löschauftrags (deine Konto-ID und Zeitstempel des Fortschritts, keine Inhalte) wird nach Abschluss 7 Tage lang aufbewahrt, um sicherzustellen, dass die Löschung abgeschlossen wird, und danach automatisch entfernt. Von Apple, Google und RevenueCat gehaltene Kaufaufzeichnungen sowie unsere Kaufereignis- und Creator-Verkaufsaufzeichnungen (Abschnitt 6) werden nach der Kontolöschung gemäß ihren jeweiligen Richtlinien und gesetzlichen Aufbewahrungspflichten (Buchhaltung und Betrugsprävention) aufbewahrt. Bereits an Crashlytics gesendete Absturz- und Fehlerberichte (Abschnitt 3.7) können nicht selektiv gelöscht werden und sind nicht mit deinem Konto verknüpft; sie werden automatisch gelöscht, sobald ihre Aufbewahrungsfrist von 90 Tagen endet.

10.4 Export

Die Kontoseite enthält die Aktion Daten exportieren, die eine ZIP-Datei mit deinen Daten als JSON (alle synchronisierten Inhalte sowie deine App-Einstellungen) und deinen verfügbaren, von der App verwalteten Bilddateien (Avatar, Rezeptfotos, Fortschrittsfotos und in einem eigenen Speicher der App gespeicherte Essensfotos) erstellt und das Systemmenü zum Teilen öffnet, damit du sie dort speichern kannst, wo du möchtest.

Der Export enthält keine Daten, die nur auf dem Gerät liegen und nie synchronisiert werden: den Chatverlauf mit dem Coach, Einkaufslisten, tägliche Schrittzahlen und aktive Energie, den Status der Wasser-Challenge sowie noch nicht abgeschlossene Entwürfe. Er enthält außerdem nicht die in dieser Datenschutzerklärung beschriebenen betrieblichen Datensätze auf dem Server (KI-Anfrageprotokolle, Support-Tickets, Kaufereignisse, Push-Token); von dir gesendete Support-Tickets sind Cloud-Datensätze, die mit deinem Konto gelöscht werden.

11. Deine Rechte

Da der Verantwortliche in Finnland niedergelassen ist, gilt die DSGVO für unsere Verarbeitung, unabhängig davon, wo du lebst, und dir können nach dem Recht deines eigenen Landes weitere Rechte zustehen. Du hast folgende Rechte:

• Auskunft über deine Daten (der In-App-Export umfasst die synchronisierten Inhalte),
• Berichtigung deiner Daten (die meisten von dir eingegebenen Inhalte können in der App bearbeitet werden; bei Datensätzen, die du nicht selbst bearbeiten kannst, wie etwa Buchungszeilen, kontaktiere [email protected]),
• Löschung deiner Daten (lösche einzelne Elemente oder das ganze Konto in der App),
• Datenübertragbarkeit (der ZIP-/JSON-Export),
• Widerspruch aus Gründen, die sich aus deiner besonderen Situation ergeben, gegen eine auf unseren berechtigten Interessen (Abschnitt 12) beruhende Verarbeitung sowie Einschränkung der Verarbeitung in den von der DSGVO vorgesehenen Fällen,
• Widerruf deiner Einwilligung, wenn die Verarbeitung auf einer Einwilligung beruht (zum Beispiel wird die Weitergabe von Coach-Daten pro Anfrage freigegeben; die Absturzberichtsfunktion ist in den Einstellungen ausgeschaltet, Abschnitt 3.7; Zugriffe auf Gesundheits-Apps, Kamera, Fotos, Benachrichtigungen und Standort können in den Betriebssystemeinstellungen geändert werden). Der Widerruf der Einwilligung wirkt sich nicht auf die Rechtmäßigkeit der bereits durchgeführten Verarbeitung aus. Wenn du die Verbindung zu einer Gesundheits-App trennst, werden keine neuen Daten mehr importiert; bereits importierte Daten bleiben in deinem Konto, bis du sie löschst,
• Beschwerde bei einer Aufsichtsbehörde. Unsere federführende Aufsichtsbehörde ist das Amt des Datenschutzbeauftragten in Finnland (tietosuoja.fi), da der Verantwortliche in Finnland niedergelassen ist; du kannst dich auch bei der Behörde deines eigenen Wohnsitzlandes beschweren.

Um ein Recht auszuüben, das von den In-App-Werkzeugen nicht abgedeckt wird, kontaktiere [email protected].

12. Rechtsgrundlagen (DSGVO)

Dein Geburtsdatum wird benötigt, um bei der Einrichtung der App die Prüfung des Mindestalters durchzuführen, und ein Kauf erfordert die Daten, die der Kaufvorgang des Stores erhebt; ohne diese Angaben können die Registrierung oder der Kauf nicht abgeschlossen werden. Alles andere, was du hinzufügst, ist freiwillig: Die Funktionen funktionieren ohne die Daten, die du nicht angibst.

13. Sicherheit

Daten werden bei der Übertragung (TLS) und bei der Speicherung (von Google verwaltete Verschlüsselung) verschlüsselt. Der Zugriff wird durch benutzerspezifische Sicherheitsregeln mit standardmäßiger Verweigerung beschränkt. Die Benutzeroberfläche der App liest deine Daten größtenteils aus der lokalen Kopie (die Preise und der Mitgliedsstatus der Bezahlschranke werden vom Server gelesen); die Cloud ist ansonsten ein Synchronisierungsziel, wodurch die Pfade zur Datenoffenlegung minimiert werden. Guthaben virtueller Credits und EXP werden auf dem Server festgelegt. Unsere KI-Anwendungsprotokolle sind so ausgelegt, dass sie deine Eingaben, Fotos und Ergebnisse nicht enthalten (Abschnitt 5.5); andere Serverprotokolle können Kennungen und technische Anfragedetails enthalten und werden für den Betrieb und die Missbrauchsprävention verwendet. Wir verwenden keinen Werbecode Dritter und keine Produktanalyse-Tools Dritter (Google-SDK-Komponenten melden begrenzte technische Telemetrie, Abschnitt 3.4). Absturz- und Fehlerberichte sind optional und standardmäßig deaktiviert (Abschnitt 3.7).

14. Kinder

Wellboy ist für Nutzer ab 13 Jahren bestimmt und, wenn das nationale digitale Einwilligungsalter höher liegt, ab diesem höheren Alter (13 bis 16 in der EU/im EWR; zum Beispiel 13 in Finnland und 16 in Deutschland, Irland und den Niederlanden). Die App fragt nach deinem Geburtsdatum und akzeptiert bei der Einrichtung, in den Einstellungen und in einer einmaligen Abfrage für Konten, die vor Einführung der Altersschranke erstellt wurden, kein Geburtsdatum, aus dem sich ein Alter unter dem an deinem Wohnort geltenden Mindestalter ergibt. Es gibt keine Möglichkeit zur elterlichen Einwilligung: Wenn du das örtliche Mindestalter noch nicht erreicht hast, kannst du die App nicht verwenden; daher erheben wir wissentlich keine Daten von Kindern unter diesem Alter.

Fortschrittsfotos sind nur für Nutzer ab 18 Jahren verfügbar. Wenn du unter 18 bist, wird dir die Funktion für Fortschrittsfotos nicht angeboten, und kein Fortschrittsfoto wird auf deinem Gerät gespeichert, mit deinem Konto synchronisiert oder irgendwo hochgeladen. Jede andere Funktion funktioniert normal.

15. Änderungen an dieser Datenschutzerklärung

Wir veröffentlichen Aktualisierungen unter https://wellboy.app/privacy und weisen in der App auf wesentliche Änderungen hin, bevor sie in Kraft treten.

16. Sprache

Diese Datenschutzerklärung wird auf Englisch erstellt und gepflegt; Übersetzungen werden der Einfachheit halber aus dem englischen Text erstellt. Wenn eine Übersetzung vom englischen Text abweicht, ist der englische Text die von uns gepflegte und zur Korrektur von Übersetzungen verwendete Fassung, und wir bemühen uns, jede veröffentlichte Sprachfassung inhaltlich korrekt zu halten.

17. Kontakt

Pankka Group Oy Sukkulatie 10, 87700 Kajaani, Finnland Unternehmens-ID 3397011-8 [email protected]