Zur Startseite

Rechtliches

Datenschutzerklärung

Inhalt

Stand 18.09.2026

1. Verantwortlicher

Hoffmann-Software, Inhaber: Leonhard Hoffmann, Ursulinenstraße 99, 51688 Wipperfürth, Deutschland — E-Mail: info@hoffmann-software.dev

2. Überblick

Tricady ist ein AI-gestützter Trainings-Coach. Damit die App funktioniert, verarbeiten wir personenbezogene Daten — darunter Gesundheitsdaten im Sinne von Art. 9 DSGVO (z. B. Trainings-, Körper- und Ernährungsdaten). Diese verarbeiten wir ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du bei der Registrierung gesondert erteilst und jederzeit widerrufen kannst. Wir verkaufen keine Daten und nutzen sie nicht für Werbung.

3. Auftragsverarbeiter und Empfänger im Überblick

  • Vercel Inc. (USA) — Hosting der App. Auftragsverarbeiter.
  • Supabase (EU, Irland) — Datenbank, Datei-Speicher und Konto-Verwaltung. Auftragsverarbeiter.
  • Anthropic PBC (USA) — AI-Funktionen. Auftragsverarbeiter.
  • Stripe (USA/Irland) — Zahlungsabwicklung. Für die Zahlungsdaten eigener Verantwortlicher.
  • Resend Inc. (USA) — Versand unserer Transaktionsmails (Bestätigungscode, Passwort-Reset). Auftragsverarbeiter.
  • OpenStreetMap Foundation (Vereinigtes Königreich) — Kartenkacheln in der Streckenansicht. Eigener Verantwortlicher; der Aufruf erfolgt erst, wenn du die Karte lädst (siehe Ziffer 9).
  • Open-Meteo / Zippopotam — Wetter und Postleitzahl-Auflösung für Flüssigkeitsziele.
  • Open Food Facts — Lebensmitteldatenbank.
  • USDA FoodData Central (USA) — ergänzende Lebensmitteldatenbank für Textsuchen.
  • Garmin International, Inc. (USA) — Abruf deiner Aktivitäten und Erholungswerte, nur wenn du die Verbindung herstellst (siehe Ziffer 11). Eigener Verantwortlicher.
  • Wahoo Fitness L.L.C. (USA) — Abruf deiner Einheiten, nur wenn du die Verbindung herstellst (siehe Ziffer 11). Eigener Verantwortlicher.
  • LifeStack — Übernahme deiner Einkaufsliste, nur wenn du die Verbindung herstellst (siehe Ziffer 11).
  • Push-Dienste deines Browser-Anbieters (z. B. Apple, Google, Mozilla) — Zustellung von Benachrichtigungen, nur bei aktiviertem Push.

4. Hosting (Vercel)

Die App wird bei Vercel Inc. (USA) gehostet. Beim Aufruf werden technisch notwendige Server-Logs verarbeitet (IP-Adresse, Zeitpunkt, aufgerufene Seite, User-Agent) — Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Mit Vercel besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA ist über das EU-US Data Privacy Framework bzw. Standardvertragsklauseln abgesichert.

5. Konto und Datenbank (Supabase)

Konto-, Profil- und Trainingsdaten werden bei Supabase in der EU-Region (Irland, eu-west-1) gespeichert. Verarbeitet werden:

  • Kontodaten: E-Mail-Adresse, Passwort (verschlüsselt/gehasht)
  • Profildaten: Name, Geburtsdatum, Geschlecht, Gewicht, Größe, Schwellenwerte (FTP, Pace, Herzfrequenz), Trainingsziele, Equipment, Verletzungen, Alltagsaktivität/Beruf, Profilbild
  • Trainingsdaten: Trainingspläne, absolvierte Einheiten, hochgeladene Aktivitätsdateien (FIT/GPX/TCX) inkl. GPS-, Herzfrequenz- und Leistungsdaten
  • Ernährungsdaten: protokollierte Mahlzeiten, Tagesziele, Gewichtsziel, Rezepte
  • Chat-Verlauf mit dem AI-Coach
  • Einwilligungsprotokoll: welche Einwilligung du wann und in welcher Textfassung erteilt oder widerrufen hast (Art. 7 Abs. 1 DSGVO)
  • Nutzungszähler der AI-Funktionen, um die Kontingente deines Tarifs durchzusetzen

Rechtsgrundlagen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und — für Gesundheitsdaten — deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

6. AI-Coach (Anthropic)

Für AI-Funktionen (Trainingsplan, Chat, Briefings, Foto-/Text-Analyse von Mahlzeiten) übermitteln wir die dafür erforderlichen Profil-, Trainings- und Ernährungsdaten sowie deine Chat-Nachrichten und die von dir hochgeladenen Bilder an die Claude-API von Anthropic (USA). Anthropic verarbeitet diese Daten ausschließlich zur Beantwortung der Anfrage und verwendet sie nicht zum Training von AI-Modellen. Die Übermittlung ist über Standardvertragsklauseln bzw. das EU-US Data Privacy Framework abgesichert. AI-Funktionen stehen nur Premium-Nutzern zur Verfügung; ohne sie findet keine Übermittlung an Anthropic statt.

7. Zahlungen (Stripe)

Abos werden über Stripe abgewickelt. Zahlungsdaten (z. B. Kartendaten) erhebt Stripe direkt als eigener Verantwortlicher; wir erhalten nur den Abo-Status, keine vollständigen Zahlungsdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

8. E-Mail-Versand (Resend)

Unsere Transaktionsmails — Bestätigungscode bei der Registrierung, Passwort-Reset, Bestätigung einer geänderten E-Mail-Adresse — versenden wir über Resend Inc. (USA) als Versanddienstleister unserer Konto-Verwaltung. Übermittelt werden deine E-Mail-Adresse und der Inhalt der jeweiligen Nachricht; Resend verarbeitet zusätzlich Zustellprotokolle. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Es besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA ist über Standardvertragsklauseln abgesichert. Werbemails versenden wir nicht.

9. Karten (OpenStreetMap)

In der Streckenansicht einer Aktivität, auf der Freundes-Karte und beim Setzen deines Orts (Ziffer 20) zeigen wir eine Karte, deren Kacheln von den Servern der OpenStreetMap Foundation (Vereinigtes Königreich) geladen werden. Dabei erfährt die OpenStreetMap Foundation deine IP-Adresse und den angezeigten Kartenausschnitt — also das Gebiet, in dem du trainiert hast. Die Karte lädt deshalb erst, wenn du sie ausdrücklich anforderst; bis dahin verlässt keine Anfrage deinen Browser. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission.

10. Externe Datenquellen

  • Open-Meteo / Zippopotam (Wetter für Flüssigkeitsziele): übermittelt werden deine Postleitzahl bzw. die daraus abgeleiteten Koordinaten und — wenn du die Ortssuche nutzt — der von dir eingegebene Ortsname. Keine Kennungen, kein Konto-Bezug.
  • Open Food Facts (Lebensmitteldatenbank): übermittelt werden nur Suchbegriffe bzw. gescannte Barcodes.
  • USDA FoodData Central (Lebensmitteldatenbank, USA): bei Textsuchen wird nur der Suchbegriff übermittelt, keine Nutzerkennung.

11. Verbindungen zu anderen Diensten

Du kannst dein Tricady-Konto in den Einstellungen mit anderen Diensten verbinden. Jede Verbindung stellst du selbst her und kannst sie dort jederzeit wieder trennen; beim Trennen entziehen wir den Zugriff beim jeweiligen Anbieter und löschen die gespeicherten Zugangsdaten. Ohne eine von dir hergestellte Verbindung findet keine Übermittlung statt. Für die Verarbeitung beim jeweiligen Anbieter gilt dessen Datenschutzerklärung.

  • Garmin (Garmin International, Inc., USA): Wir rufen deine abgeschlossenen Aktivitäten ab — einschließlich GPS-, Herzfrequenz- und Leistungsdaten — sowie deine Tageswerte zur Erholung (Schlaf, Herzfrequenzvariabilität, Stress, Ruhepuls). Sie fließen in die Bewertung deines Trainings und in die tägliche Anpassung deines Plans. Wenn du es für diese Verbindung ausdrücklich aktivierst, übertragen wir zusätzlich geplante Einheiten aus deinem Trainingsplan an Garmin Connect, damit sie auf deiner Uhr erscheinen.
  • Wahoo (Wahoo Fitness L.L.C., USA): Wir rufen deine abgeschlossenen Einheiten samt zugehöriger Aufzeichnungsdatei ab und verwenden sie wie vorstehend beschrieben. Wenn du es aktivierst, übertragen wir geplante Einheiten aus deinem Trainingsplan an Wahoo.
  • LifeStack: Du kannst deine Einkaufsliste dorthin übertragen. Übermittelt werden die Titel der Listeneinträge sowie das Verbindungs-Token, mit dem LifeStack die Anfrage deinem dortigen Konto zuordnet. Die Übertragung findet nur statt, wenn du sie auslöst.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), für Gesundheitsdaten deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO); du widerrufst sie durch Trennen der Verbindung. Die Anbieter sitzen in den USA und sind eigene Verantwortliche; die Übermittlung erfolgt auf Grundlage deiner ausdrücklichen Einwilligung (Art. 49 Abs. 1 lit. a DSGVO).

12. Push-Benachrichtigungen

Wenn du Push aktivierst, speichern wir die Push-Adresse deines Browsers/Geräts. Die Zustellung erfolgt über den Push-Dienst deines Browser-Anbieters (z. B. Apple, Google, Mozilla). Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit in den Einstellungen widerrufbar.

13. Web-Analyse (Vercel Analytics)

Wir nutzen Vercel Web Analytics zur anonymen Reichweitenmessung (Seitenaufrufe, Herkunftsseite, Land, Gerätetyp). Während der Ersteinrichtung erfassen wir zusätzlich, welcher Schritt angezeigt und abgeschlossen wurde und ob die Einrichtung erfolgreich beendet wurde. Inhalte deiner Eingaben werden dabei nicht übermittelt. Es werden keine Cookies gesetzt und keine geräteübergreifenden Profile gebildet; IP-Adressen werden nicht gespeichert. Rechtsgrundlage: berechtigtes Interesse an der Verbesserung des Angebots (Art. 6 Abs. 1 lit. f DSGVO).

14. Cookies und lokale Speicherung

Tricady setzt ausschließlich technisch notwendige Cookies: Login- Session sowie deine Einstellungen (Sprache, Design, Einheiten). Zusätzlich merkt sich dein Browser lokal, ob du dem Laden der Kartenkacheln zugestimmt hast. Beides benötigt keine Einwilligung (§ 25 Abs. 2 TDDDG). Marketing- oder Tracking-Cookies setzen wir nicht — deshalb gibt es auch keinen Cookie-Banner.

15. Mindestalter

Tricady richtet sich an Personen ab 16 Jahren. Näheres regelt § 3 der AGB. Wir erheben wissentlich keine Daten von Kindern unter 16 Jahren.

16. Speicherdauer und Löschung

Wir speichern deine Daten, solange dein Konto besteht. Du kannst dein Konto einschließlich aller Daten und hochgeladenen Dateien jederzeit direkt in den Einstellungen löschen oder die Löschung per E-Mail an info@hoffmann-software.dev verlangen. Bestehende Verbindungen zu anderen Diensten (Ziffer 11) werden dabei getrennt und der Zugriff beim jeweiligen Anbieter entzogen. Gesetzliche Aufbewahrungspflichten (z. B. für Rechnungsdaten) bleiben unberührt.

17. Deine Rechte

  • Auskunft (Art. 15 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO) — in den Einstellungen kannst du deine Daten jederzeit selbst exportieren, einschließlich Download-Links zu deinen hochgeladenen Dateien
  • Berichtigung (Art. 16) und Löschung (Art. 17)
  • Einschränkung der Verarbeitung (Art. 18) und Widerspruch (Art. 21)
  • Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3) — der Widerruf der Einwilligung in die Verarbeitung von Gesundheitsdaten entzieht Tricady die Grundlage und führt zur Löschung des Kontos
  • Beschwerde bei einer Aufsichtsbehörde — zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)

18. Datensicherheit

Alle Verbindungen sind TLS-verschlüsselt; Zugriff auf deine Daten ist technisch strikt auf dein Konto beschränkt (Row Level Security). Die Zugangsdaten verbundener Dienste (Ziffer 11) speichern wir zusätzlich verschlüsselt und für dein Konto nicht lesbar.

19. Freunde und Feed

Du kannst dich in der App mit anderen Nutzern verbinden. Eine Freundschaft entsteht nur, wenn beide Seiten zustimmen; der Kreis der Empfänger ist damit immer selbst gewählt. Gefunden wirst du über einen Benutzernamen, den du selbst vergibst.

Bestätigten Freunden zeigen wir: deinen Benutzernamen, dein Profilbild, deine Trainings-Streak sowie deine Einheiten der vergangenen 14 Tage mit Sportart, Zeitpunkt, Dauer, Distanz, Höhenmetern und einem groben Streckenverlauf. Der Streckenverlauf ist auf rund 60 Punkte ausgedünnt, auf etwa elf Meter gerundet und um die ersten und letzten 250 Meter gekürzt, damit Start- und Zielpunkt — typischerweise deine Wohnung — nicht erkennbar werden.

  • Nicht sichtbar sind Puls, Leistung, TSS, gefühlte Anstrengung, deine Notizen, Körper- und Gesundheitswerte (Gewicht, Schlaf, HRV), Ernährungsdaten, Wettkämpfe, Trainingspläne und alles, was du dem AI-Coach schreibst.
  • Applaus und Kommentare: Wer eine Einheit sehen darf, kann ihr Applaus geben und sie kommentieren. Benutzername und Kommentartext sind für alle sichtbar, die diese Einheit sehen dürfen. Löschen können einen Kommentar sowohl der Verfasser als auch derjenige, zu dessen Einheit er gehört.

Diese Sichtbarkeit ist standardmäßig eingeschaltet. Du kannst sie jederzeit mit dem Schalter „Trainings für Freunde sichtbar“ unter Freunde → Verwalten abschalten; deine Einheiten verschwinden dann sofort aus den Feeds deiner Freunde. Ebenso endet die Sichtbarkeit, sobald einer von euch die Freundschaft entfernt. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO), die du mit dem Schalter für die Zukunft widerrufen kannst. Die Streckenverläufe sind Standortdaten; die vollständigen Aufzeichnungen deiner Einheiten bleiben ausschließlich für dich sichtbar.

20. Karte, Ort und verlinkte Profile

Der Freunde-Bereich hat neben dem Feed eine Kartenansicht. Sie zeigt dieselben Einheiten wie der Feed — je Einheit einen Punkt in der Mitte des gekürzten Streckenverlaufs (Ziffer 19), keinen zusätzlichen Wert.

Dein Ort. Du kannst in deinem Profil einen Ort setzen, indem du ihn auf einer Karte antippst; dazu kannst du freiwillig einen Ortsnamen angeben. Wir messen diesen Ort nicht: wir fragen weder den Standort deines Geräts ab, noch leiten wir ihn aus deinen Trainings ab. Gespeichert wird der Punkt auf zwei Nachkommastellen gerundet — rund einen Kilometer genau. Voreingestellt ist „Niemand“; du wählst zwischen deinen Freunden und allen angemeldeten Konten. Wer dich sieht, sieht deinen Benutzernamen, dein Profilbild bzw. deinen Avatar, den Ortsnamen und die Entfernung. Es gilt Gegenseitigkeit: Du siehst auf der Karte genau den Kreis, dem du dich selbst zeigst — mit „Niemand“ siehst du dort auch keine anderen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit durch Umstellen auf „Niemand“ oder Löschen des Orts für die Zukunft widerrufen kannst.

Verlinkte Profile. Du kannst Benutzernamen bei Instagram, Strava, TikTok, YouTube und X sowie eine eigene Website hinterlegen. Wir speichern nur den Namen, nicht die vollständige Adresse, und setzen sie beim Anzeigen selbst zusammen. Für jeden Eintrag entscheidest du einzeln, ob ihn nur deine Freunde oder alle angemeldeten Konten sehen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Löschen des Eintrags beendet die Sichtbarkeit sofort. Folgst du einem solchen Link, verlässt du Tricady — für die Verarbeitung auf der Zielseite ist deren Betreiber verantwortlich.

Dein Avatar. Statt eines Fotos kannst du dir ein gezeichnetes Profilbild zusammenstellen. Gespeichert wird nur deine Auswahl (etwa „kurze Haare, Sonnenbrille“) als kurze Textwerte; gezeichnet wird das Bild in deinem Browser. Diese Auswahl ist für alle sichtbar, die auch dein Profilbild sehen würden.

21. Änderungen

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.