1. Worum es in diesem Dokument geht
Es geht um die App BodyPace: Konto, Trainingstagebuch, Körpermaße und den Zugriff, den Sie einem Trainer geben. Mehr gibt es in der App heute nicht.
Die Bereiche, die wir als Pläne nennen — Ernährung, Gewohnheiten, Gesundheit —, existieren weder in der Oberfläche noch in der Datenbank. Wir beschreiben sie hier bewusst nicht im Voraus: Eine Richtlinie, die die Verarbeitung von etwas verspricht, das es nicht gibt, schützt niemanden. Kommt ein Bereich, ändert sich dieses Dokument vor ihm, und Sie sehen eine neue Fassung und ein neues Datum.
Die Website bodypace.app ist getrennt beschrieben, in der Datenschutzerklärung der Website. Die Website nimmt nichts von Ihnen entgegen und hat mit Ihren Einträgen in der App nichts zu tun.
2. Was wir speichern
Nur das, ohne das die Akte nicht funktioniert. Unten steht die vollständige Liste; darüber hinaus erhebt die App nichts.
Konto. Ihre E-Mail-Adresse, der Name, den Sie bei der Registrierung angegeben haben, und ein Abdruck Ihres Passworts. Das Passwort selbst speichern wir nicht und können es weder wiederherstellen noch anzeigen — nur mit dem vergleichen, was Sie eingeben. Melden Sie sich über Google oder Apple an, haben wir gar kein Passwort: Stattdessen liegt bei uns die Kennung, die diese Dienste eigens für die Anmeldung bei BodyPace ausstellen. Sie gibt keinen Zugang zu Ihrem Postfach oder Ihrem Konto dort.
Bestätigung und Anmeldung. Ein Vermerk, dass die Adresse bestätigt ist, ein Zähler fehlgeschlagener Anmeldeversuche, eine zeitweilige Sperre nach einer Serie von Fehlversuchen sowie Abdrücke der sechsstelligen Bestätigungs- und Wiederherstellungscodes. Die Codes leben fünfzehn Minuten und liegen nicht im Klartext.
Sitzungen. Abdrücke der Token, mit denen die App bestätigt, dass Sie es noch sind. Die Token selbst liegen nicht auf dem Server. Jede Erneuerung stellt ein neues Token aus und löscht das alte — wird das alte doch noch einmal vorgelegt, wird die ganze Kette geschlossen.
Training. Programme und Vorlagen, Pläne für einzelne Tage, tatsächlich durchgeführte Einheiten und deren Sätze: Gewicht, Wiederholungen, Dauer, Strecke und der Vermerk «leicht» oder «schwer». Dazu Ihre Notizen zur Einheit, zur Übung und zum einzelnen Satz sowie Beginn und Ende der Einheit.
Körpermaße. Größe, Gewicht, Alter, Geschlecht, Aktivitätsniveau und Ziel — die Angaben, die Sie selbst eintragen. Daneben berechnet und speichert die App einen Tagesrichtwert an Kalorien: Formel, Grundumsatz, Aktivitätsfaktor und Endwert. Das ist Rechnen mit Ihren eigenen Zahlen, kein ärztliches Urteil.
Trainerzugriff. Wer Zugriff hat, welche Bereiche offen sind, in welchem Zustand er ist, die Daten von Einladung, Annahme, Ablehnung und Entzug, die Fassung der von Ihnen bestätigten Einwilligung und der Ablehnungsgrund, falls der Trainer einen angegeben hat.
Technisches. Erstellungs- und Änderungsdatum jedes Eintrags, ein Vermerk, dass Sie die Einführung gesehen haben, und gewöhnliche Serverprotokolle — Zeitpunkt und Ergebnis einer Anfrage. Protokolle brauchen wir, um Störungen zu finden und Passwortraten zu bemerken.
3. Wozu das nötig ist
Konto und bestätigte Adresse sorgen dafür, dass die Einträge Ihnen gehören und niemandem sonst, und dass Sie wieder hineinkommen, wenn Sie das Passwort vergessen. Zähler und Sperre schützen Sie davor, dass jemand es errät.
Training und Maße sind der Inhalt der App. Wir speichern sie, damit Sie Ihre Historie sehen und ein Trainer das, was Sie ihm geöffnet haben. Der Kalorienrichtwert wird aus Ihren eigenen Zahlen berechnet und daneben angezeigt.
Die Angaben zum Zugriff gibt es, damit Sie jederzeit sehen, wer was hat, und es schließen können. Die Fassung der Einwilligung wird aufbewahrt, damit Sie in einem Jahr nachlesen können, wozu Sie zugestimmt haben, statt sich zu erinnern.
Serverprotokolle dienen dem Betrieb und der Sicherheit: eine Störung finden, eine Serie von Rateversuchen bemerken. Wir nutzen sie nicht, um ein Bild von Nutzenden zu zeichnen.
4. Was wir nicht tun
Diese Liste ist keine höfliche Formel, sondern eine Aufzählung von Dingen, die es weder im Code noch in den Plänen der nächsten Fassungen gibt.
5. Was ein Trainer sieht
Nichts, solange Sie keinen Zugriff geben. Ein Trainer kann Ihre Akte nicht finden, nicht hineinsehen und nicht erfahren, dass es sie gibt — nicht, bevor Sie seine Einladung annehmen oder er Ihre.
Ist der Zugriff offen, sieht der Trainer nur die Bereiche, die dazugehören: Training und, falls Sie diesen Bereich offen gelassen haben, Körpermaße. Von Ihren Notizen sieht er nur die, die Sie für ihn sichtbar gemacht haben.
Der Trainer kann Ihre künftigen Programme und Einheiten erstellen und ändern und Notizen schreiben — sie erscheinen in Ihrer Akte mit seinem Namen und dem Datum. Vergangene Einträge kann er nicht ändern: Das Ergebnis schreiben Sie.
Der Zugriff wird in einem Schritt entzogen, ohne Begründung. Danach sieht der Trainer keine neuen Einträge mehr. Die Historie bleibt vollständig bei Ihnen — samt den Notizen des Trainers, mit seiner Urheberschaft.
6. Wer sonst beteiligt ist
Damit die App funktioniert, übernehmen einige Aufgaben externe Dienste. Die vollständige Liste steht unten. Jeder von ihnen bekommt genau das, was seine Aufgabe verlangt, und nichts darüber hinaus.
Weitere Dienste gibt es in der App nicht: keine Analyse, keine Werbenetzwerke, keine Systeme für Absturzberichte.
7. Was auf Ihrem Gerät bleibt
Das Tagebuch wird zuerst auf dem Gerät geschrieben und geht erst danach zum Server. Das ist Absicht: Ein Satz wird im Studio notiert, wo es kein Netz geben kann.
Deshalb liegt auf dem Telefon eine lokale Kopie Ihrer Einträge, und die Sitzungsschlüssel liegen im sicheren Speicher des Systems — Keychain unter iOS, Keystore unter Android. Wir haben keinen Zugang dazu: Ihn verwaltet das Betriebssystem.
Löschen Sie die App, verschwinden lokale Kopie und Sitzungsschlüssel mit ihr. Die Einträge auf dem Server bleiben — um auch die zu löschen, löschen Sie das Konto.
8. Wie lange wir speichern
Einträge bleiben, solange das Konto besteht. Ein Tagebuch nützt, weil es sich erinnert; Historie nach Zeitplan zu löschen wäre gerade das Gegenteil dessen, wofür man eines führt.
Bestätigungs- und Wiederherstellungscodes leben fünfzehn Minuten und erlöschen bei der ersten Verwendung. Eine Sitzung erneuert sich, solange Sie die App nutzen, und endet beim Abmelden.
Wenn Sie das Konto löschen, löschen wir Ihre Einträge. Kopien können eine Zeit lang in Sicherungen der Datenbank bleiben — das ist eine Eigenschaft jeder Sicherung; sie werden im Rhythmus überschrieben und für nichts anderes als die Wiederherstellung nach einem Ausfall genutzt.
Notizen, die ein Trainer in Ihre Akte geschrieben hat, werden mit der Akte gelöscht. Beim Trainer bleiben sie nicht.
9. Ihre Rechte
Die Daten gehören Ihnen. Sie dürfen erfahren, was über Sie gespeichert ist, es in lesbarer Form erhalten, Falsches berichtigen und alles zusammen mit dem Konto löschen.
Schaltflächen für Export und Löschung gibt es in der App noch nicht — wir erledigen das per Brief. Schreiben Sie an privacy@bodypace.app von der Adresse, auf die das Konto läuft, und sagen Sie, was Sie brauchen. Wir antworten binnen dreißig Tagen, meist früher.
Den Zugriff eines Trainers entziehen Sie selbst und sofort — auf dem Bildschirm «Mein Trainer», ohne Brief und ohne Begründung.
10. Wie wir schützen
Passwörter liegen als Abdruck vor, erzeugt mit Argon2id — einem Verfahren, das genau dafür gebaut ist. Das ursprüngliche Passwort lässt sich daraus nicht zurückgewinnen.
Bestätigungscodes und Sitzungstoken liegen ebenfalls als Abdruck und nicht im Klartext: Eine Datenbank in fremden Händen darf keine lebenden Zugänge herausgeben. Der Austausch zwischen App und Server läuft über eine geschützte Verbindung.
Sitzungen sind so gebaut, dass ein Diebstahl auffällt: Jede Erneuerung stellt ein neues Token aus und löscht das vorige, und wird ein gelöschtes vorgelegt, schließt die ganze Kette.
Nichts davon macht das System unverwundbar, und wir behaupten es nicht. Kommt es dennoch zu einem Vorfall, sagen wir es den Betroffenen und beschreiben, was geschehen ist.
11. Alter
Die App richtet sich an Menschen ab sechzehn Jahren. Wir prüfen das Alter bei der Registrierung nicht — verlässlich geht das nicht —, rechnen aber auch nicht mit Kindern: Es gibt weder kindgerechte Inhalte noch einen Mechanismus für die Einwilligung der Eltern.
Stellt sich heraus, dass ein Konto einer Person unter sechzehn gehört, schreiben Sie uns, und wir löschen Konto und Einträge.
12. Änderungen und Kontakt
Dieses Dokument wird sich ändern: Die App wächst, und jeder neue Bereich ändert, was wir speichern. Die Regel ist einfach — das Dokument ändert sich vor der Funktion, nicht danach.
Jede Fassung trägt ihr Datum in der Überschrift. Frühere Fassungen bleiben unter ihren eigenen Adressen erreichbar, damit Sie nachsehen können, was galt, als Sie zustimmten.
Ein Betreiber ist noch nicht eingetragen: Das Projekt hat keine juristische Person. Sobald es eine gibt, stehen Name und Anschrift hier, und das Dokument erhält eine neue Fassung.
Fragen, Auskunfts- und Löschverlangen, Beschwerden — privacy@bodypace.app. Wir antworten schriftlich.