tricady

Datenschutzerklärung

Stand: 09.08.2026

1. Verantwortlicher

Hoffmann-Software, Inhaber: Leonhard Hoffmann, Ursulinenstraße 99, 51688 Wipperfürth, Deutschland — E-Mail: info@hoffmann-software.dev

2. Überblick

Tricady ist ein AI-gestützter Trainings-Coach. Damit die App funktioniert, verarbeiten wir personenbezogene Daten — darunter Gesundheitsdaten im Sinne von Art. 9 DSGVO (z. B. Trainings-, Körper- und Ernährungsdaten). Diese verarbeiten wir ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du bei der Registrierung gesondert erteilst und jederzeit widerrufen kannst. Wir verkaufen keine Daten und nutzen sie nicht für Werbung.

3. Auftragsverarbeiter und Empfänger im Überblick

  • Vercel Inc. (USA) — Hosting der App. Auftragsverarbeiter.
  • Supabase (EU, Irland) — Datenbank, Datei-Speicher und Konto-Verwaltung. Auftragsverarbeiter.
  • Anthropic PBC (USA) — AI-Funktionen. Auftragsverarbeiter.
  • Stripe (USA/Irland) — Zahlungsabwicklung. Für die Zahlungsdaten eigener Verantwortlicher.
  • Resend Inc. (USA) — Versand unserer Transaktionsmails (Bestätigungscode, Passwort-Reset). Auftragsverarbeiter.
  • OpenStreetMap Foundation (Vereinigtes Königreich) — Kartenkacheln in der Streckenansicht. Eigener Verantwortlicher; der Aufruf erfolgt erst, wenn du die Karte lädst (siehe Ziffer 9).
  • Open-Meteo / Zippopotam — Wetter und Postleitzahl-Auflösung für Flüssigkeitsziele.
  • Open Food Facts — Lebensmitteldatenbank.
  • LifeStack — Übernahme deiner Einkaufsliste, nur wenn du die Verbindung herstellst (siehe Ziffer 11).
  • Push-Dienste deines Browser-Anbieters (z. B. Apple, Google, Mozilla) — Zustellung von Benachrichtigungen, nur bei aktiviertem Push.

4. Hosting (Vercel)

Die App wird bei Vercel Inc. (USA) gehostet. Beim Aufruf werden technisch notwendige Server-Logs verarbeitet (IP-Adresse, Zeitpunkt, aufgerufene Seite, User-Agent) — Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Mit Vercel besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA ist über das EU-US Data Privacy Framework bzw. Standardvertragsklauseln abgesichert.

5. Konto und Datenbank (Supabase)

Konto-, Profil- und Trainingsdaten werden bei Supabase in der EU-Region (Irland, eu-west-1) gespeichert. Verarbeitet werden:

  • Kontodaten: E-Mail-Adresse, Passwort (verschlüsselt/gehasht)
  • Profildaten: Name, Geburtsdatum, Geschlecht, Gewicht, Größe, Schwellenwerte (FTP, Pace, Herzfrequenz), Trainingsziele, Equipment, Verletzungen, Alltagsaktivität/Beruf, Profilbild
  • Trainingsdaten: Trainingspläne, absolvierte Einheiten, hochgeladene Aktivitätsdateien (FIT/GPX/TCX) inkl. GPS-, Herzfrequenz- und Leistungsdaten
  • Ernährungsdaten: protokollierte Mahlzeiten, Tagesziele, Gewichtsziel, Rezepte
  • Looks-Modul: hochgeladene Fotos, die daraus erzeugten Analysen und Berichte, deine Routinen
  • Chat-Verlauf mit dem AI-Coach
  • Einwilligungsprotokoll: welche Einwilligung du wann und in welcher Textfassung erteilt oder widerrufen hast (Art. 7 Abs. 1 DSGVO)
  • Nutzungszähler der AI-Funktionen, um die Kontingente deines Tarifs durchzusetzen

Rechtsgrundlagen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und — für Gesundheitsdaten — deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

6. AI-Coach (Anthropic)

Für AI-Funktionen (Trainingsplan, Chat, Briefings, Foto-/Text-Analyse von Mahlzeiten, Analyse der Looks-Fotos) übermitteln wir die dafür erforderlichen Profil-, Trainings- und Ernährungsdaten sowie deine Chat-Nachrichten und die von dir hochgeladenen Bilder an die Claude-API von Anthropic (USA). Anthropic verarbeitet diese Daten ausschließlich zur Beantwortung der Anfrage und verwendet sie nicht zum Training von AI-Modellen. Die Übermittlung ist über Standardvertragsklauseln bzw. das EU-US Data Privacy Framework abgesichert. AI-Funktionen stehen nur Premium-Nutzern zur Verfügung; ohne sie findet keine Übermittlung an Anthropic statt.

7. Zahlungen (Stripe)

Abos werden über Stripe abgewickelt. Zahlungsdaten (z. B. Kartendaten) erhebt Stripe direkt als eigener Verantwortlicher; wir erhalten nur den Abo-Status, keine vollständigen Zahlungsdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

8. E-Mail-Versand (Resend)

Unsere Transaktionsmails — Bestätigungscode bei der Registrierung, Passwort-Reset, Bestätigung einer geänderten E-Mail-Adresse — versenden wir über Resend Inc. (USA) als Versanddienstleister unserer Konto-Verwaltung. Übermittelt werden deine E-Mail-Adresse und der Inhalt der jeweiligen Nachricht; Resend verarbeitet zusätzlich Zustellprotokolle. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Es besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA ist über Standardvertragsklauseln abgesichert. Werbemails versenden wir nicht.

9. Karten (OpenStreetMap)

In der Streckenansicht einer Aktivität zeigen wir eine Karte, deren Kacheln von den Servern der OpenStreetMap Foundation (Vereinigtes Königreich) geladen werden. Dabei erfährt die OpenStreetMap Foundation deine IP-Adresse und den angezeigten Kartenausschnitt — also das Gebiet, in dem du trainiert hast. Die Karte lädt deshalb erst, wenn du sie ausdrücklich anforderst; bis dahin verlässt keine Anfrage deinen Browser. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission.

10. Externe Datenquellen

  • Open-Meteo / Zippopotam (Wetter für Flüssigkeitsziele): übermittelt werden deine Postleitzahl bzw. die daraus abgeleiteten Koordinaten und — wenn du die Ortssuche nutzt — der von dir eingegebene Ortsname. Keine Kennungen, kein Konto-Bezug.
  • Open Food Facts (Lebensmitteldatenbank): übermittelt werden nur Suchbegriffe bzw. gescannte Barcodes.

11. Integrationen (LifeStack)

Wenn du dein Tricady-Konto mit LifeStack verbindest, kannst du deine Einkaufsliste dorthin übertragen. Übermittelt werden dabei die Titel der Listeneinträge sowie das Verbindungs-Token, mit dem LifeStack die Anfrage deinem dortigen Konto zuordnet. Die Übertragung findet nur statt, wenn du sie auslöst; für die Verarbeitung bei LifeStack gilt deren Datenschutzerklärung. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), widerrufbar durch Trennen der Verbindung in den Einstellungen.

12. Push-Benachrichtigungen

Wenn du Push aktivierst, speichern wir die Push-Adresse deines Browsers/Geräts. Die Zustellung erfolgt über den Push-Dienst deines Browser-Anbieters (z. B. Apple, Google, Mozilla). Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit in den Einstellungen widerrufbar.

13. Web-Analyse (Vercel Analytics)

Wir nutzen Vercel Web Analytics zur anonymen Reichweitenmessung (Seitenaufrufe, Herkunftsseite, Land, Gerätetyp). Es werden keine Cookies gesetzt und keine geräteübergreifenden Profile gebildet; IP-Adressen werden nicht gespeichert. Rechtsgrundlage: berechtigtes Interesse an der Verbesserung des Angebots (Art. 6 Abs. 1 lit. f DSGVO).

14. Cookies und lokale Speicherung

Tricady setzt ausschließlich technisch notwendige Cookies: Login- Session sowie deine Einstellungen (Sprache, Design, Einheiten). Zusätzlich merkt sich dein Browser lokal, ob du dem Laden der Kartenkacheln zugestimmt hast. Beides benötigt keine Einwilligung (§ 25 Abs. 2 TDDDG). Marketing- oder Tracking-Cookies setzen wir nicht — deshalb gibt es auch keinen Cookie-Banner.

15. Mindestalter

Tricady richtet sich an Personen ab 16 Jahren; das Looks-Modul steht erst ab 18 Jahren zur Verfügung. Näheres regelt § 3 der AGB. Wir erheben wissentlich keine Daten von Kindern unter 16 Jahren.

16. Speicherdauer und Löschung

Wir speichern deine Daten, solange dein Konto besteht. Du kannst dein Konto einschließlich aller Daten und hochgeladenen Dateien jederzeit direkt in den Einstellungen löschen oder die Löschung per E-Mail an info@hoffmann-software.dev verlangen. Gesetzliche Aufbewahrungspflichten (z. B. für Rechnungsdaten) bleiben unberührt.

17. Deine Rechte

  • Auskunft (Art. 15 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO) — in den Einstellungen kannst du deine Daten jederzeit selbst exportieren, einschließlich Download-Links zu deinen hochgeladenen Dateien
  • Berichtigung (Art. 16) und Löschung (Art. 17)
  • Einschränkung der Verarbeitung (Art. 18) und Widerspruch (Art. 21)
  • Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3) — der Widerruf der Einwilligung in die Verarbeitung von Gesundheitsdaten entzieht Tricady die Grundlage und führt zur Löschung des Kontos
  • Beschwerde bei einer Aufsichtsbehörde — zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)

18. Datensicherheit

Alle Verbindungen sind TLS-verschlüsselt; Zugriff auf deine Daten ist technisch strikt auf dein Konto beschränkt (Row Level Security).

19. Änderungen

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.