Heft
ENZurück zu Heft

Datenschutzerklärung

Zuletzt aktualisiert: 8. September 2026

Online-Version

1. Verantwortlicher

Für die hier beschriebene Verarbeitung personenbezogener Daten ist die Kubasov, Kumbartzky und Vinnbruch GbR, Trajanstraße 43, 50678 Köln, Deutschland, verantwortlich. Bei Datenschutzfragen oder zur Ausübung Ihrer Rechte erreichen Sie uns unter info@heft-app.com.

Diese Erklärung umfasst die Heft-App, ihre Uhren-App, unsere Online-Dienste und die Heft-Website. Welche Daten verarbeitet werden, hängt von den genutzten Funktionen, Ihrem Kontostatus und Ihren Berechtigungen ab. Auch von einem Dienst als „anonym“ bezeichnete Kennungen können Sie unterscheidbar machen oder mit Ihrem Konto verknüpft werden. Wir behandeln solche Informationen als personenbezogene Daten, nicht als anonyme Statistiken.

2. Lokale Daten, Konto und Cloud-Synchronisierung

Lokale Nutzung. Heft speichert Trainingspläne, Übungen, Sätze, Trainingsverlauf, Notizen und Einstellungen auf Ihrem Gerät. Sie können Workouts ohne Konto aufzeichnen. Das verhindert jedoch keine Netzwerkanfragen durch Online-Funktionen, Kaufdienste, Diagnosefunktionen oder aktivierte Analysen.

Anmeldung. Bei der Kontoerstellung verarbeitet Firebase Authentication Ihre E-Mail-Adresse, Kontokennung, Authentifizierungsinformationen und Sitzungstoken. Bei der Anmeldung mit E-Mail und Passwort werden die Zugangsdaten an Firebase gesendet. Wir speichern Ihr Passwort nicht im Klartext in unserer Anwendungsdatenbank. Bei der Apple- oder Google-Anmeldung, soweit verfügbar, erhalten wir eine Kontokennung und die beim jeweiligen Anbieter freigegebenen Profildaten. Apples private E-Mail-Weiterleitung verbirgt Ihre gewöhnliche E-Mail-Adresse, macht Ihr Konto aber nicht anonym.

Cloud-Daten. Wenn Sie angemeldet sind, werden unterstützte Daten und Einstellungen automatisch mit unserem bei Hetzner in Deutschland gehosteten Backend synchronisiert. Dazu gehören Workouts, Übungen, Kraft- und Cardiosätze, Zeitpunkte und Dauer, Notizen, Trainingsblöcke, Trainingspräferenzen, Körpergewicht und, soweit erfasst, Trainingszusammenfassungen wie Kalorien und durchschnittliche Herzfrequenz. Die Daten sind Ihrem Konto zugeordnet, damit sie wiederhergestellt und geräteübergreifend genutzt werden können. Eine Abmeldung beendet die kontobezogene Synchronisierung, löscht aber weder bereits hochgeladene Daten noch lokale Kopien.

Rechtsgrundlage. Kontoverwaltung, gewünschte Synchronisierung und andere gewöhnliche Dienstfunktionen beruhen auf Art. 6 Abs. 1 Buchst. b DSGVO, soweit sie für die angeforderte Leistung erforderlich sind. Für die optionale Verarbeitung von Gesundheitsdaten ist zusätzlich eine Voraussetzung nach Art. 9 DSGVO nötig; für Hefts optionale Gesundheitsfunktionen ist dies die ausdrückliche Einwilligung nach Art. 9 Abs. 2 Buchst. a zusammen mit Art. 6 Abs. 1 Buchst. a. Die Annahme der AGB, eine Anmeldung oder das Lesen dieser Erklärung erteilt diese Einwilligung nicht automatisch.

3. Apple Health, Health Connect und Uhrendaten

Mit den entsprechenden Geräteberechtigungen kann Heft das Körpergewicht aus Apple Health oder Health Connect lesen. Auf unterstützten Apple-Geräten verwenden Gesundheits- und Uhrenfunktionen außerdem Trainings-, Herzfrequenz- und Aktivitätsenergiedaten. Der Trainingsexport kann Workouts und Kaloriendaten in Apple Health oder Health Connect schreiben. Sie wählen die Berechtigungen im Betriebssystem und können sie dort widerrufen. Die Gesundheitsdienste des Geräts haben eigene Datenschutzeinstellungen.

Heft verwendet diese Informationen für Trainingsaufzeichnungen, Anzeigen und Kalorienschätzungen. In Heft-Datensätze übernommene Informationen können Bestandteil der oben beschriebenen Cloud-Daten werden. Beispielsweise kann ein Körpergewichtswert als Heft-Einstellung gespeichert werden; ein Training von der Uhr kann seine durchschnittliche Herzfrequenz im Trainingsdatensatz speichern. Bei angemeldetem Konto können diese Daten anschließend synchronisiert werden. Der Widerruf einer Gesundheitsberechtigung verhindert den davon erfassten künftigen Zugriff, löscht aber nicht automatisch bereits nach Heft kopierte oder hochgeladene Informationen.

Die derzeitige Analyseimplementierung übermittelt bei aktivierten Analysen auch gespeicherte Einstellungen an Mixpanel. Darunter kann sich das gespeicherte Körpergewicht befinden. Dies ist eine vom Zugriff auf den Gesundheitsspeicher und von der Cloud-Synchronisierung getrennte Übermittlung. Eine Gesundheitsberechtigung des Geräts allein erlaubt keine Nutzung von Gesundheitsdaten für Analysen oder Werbung.

Für diese Funktionen fordert Heft keinen genauen Gerätestandort an. Netzwerkanbieter erhalten IP-Adressen, die einen ungefähren Standort erkennen lassen können.

4. KI-Coaching, Importe und Trainingseinblicke

KI-Funktionen senden die für die jeweilige Funktion benötigten Informationen an unser Backend und einen externen KI-Anbieter. Dazu können Ihre Nachrichten und der Gesprächsverlauf, ein vorhandener Trainingsplan, Sprache, Trainingspräferenzen, Trainingssätze, Empfehlungen und der jüngere Trainingsverlauf gehören. Beim Planimport werden die ausgewählte Datei, beispielsweise ein Bild oder PDF, und eine eventuell beigefügte Nachricht übermittelt. Dateien und Freitext können Namen, Gesundheitsinformationen oder andere personenbezogene Daten enthalten. Prüfen Sie diese vor dem Hochladen und lassen Sie Informationen weg, die für die Funktion nicht benötigt werden.

Das Backend ist für OpenAI konfiguriert. Für kompatible KI-Funktionen unterstützt es außerdem Mistral AI, wenn dieser Anbieter eingestellt ist. Die KI-Verarbeitung umfasst angeforderte Planerstellung und Überarbeitung, Dateiimporte sowie Trainingsanalysen oder Rückblicktexte. Trainingseinblicke können nach der Synchronisierung eines Workouts erzeugt werden; KI-Anfragen beschränken sich nicht auf selbst eingegebene Chatnachrichten. Ergebnisse und zugehörige Nutzungs- oder Kontingentdaten können Ihrem Konto oder Ihrer App-Kennung zugeordnet werden.

Die Verarbeitung gewöhnlicher Daten, die für eine angeforderte KI-Funktion erforderlich sind, beruht auf Art. 6 Abs. 1 Buchst. b DSGVO. Für Gesundheitsdaten ist zusätzlich die in Abschnitt 2 beschriebene ausdrückliche Einwilligung nötig. Eine Benachrichtigungseinstellung oder allgemeine Annahme der Bedingungen ersetzt sie nicht. KI-Vorschläge unterstützen Ihre Entscheidungen; sie treffen keine Entscheidungen über Sie mit rechtlicher oder ähnlich erheblicher Wirkung.

5. Käufe, Benachrichtigungen und Support

Käufe. Apple oder Google wickelt Ihre Zahlung ab. RevenueCat verarbeitet App-Nutzerkennungen, Transaktions- und Produktangaben, Kaufzeitpunkte und Abonnementberechtigungen, damit Heft Käufe prüfen und Premium wiederherstellen kann. Eine Kaufkennung kann mit Ihrem angemeldeten Konto verknüpft werden. Wir erhalten keine vollständigen Zahlungskartendaten. Erforderliche Kaufverarbeitung beruht auf Art. 6 Abs. 1 Buchst. b DSGVO, gesetzlich vorgeschriebene Finanzunterlagen auf Art. 6 Abs. 1 Buchst. c. Soweit durch die Analysepräferenz aktiviert, werden über RevenueCat auch Apple-AdServices-Attributionsinformationen zur Messung von Werbekampagnen auf Grundlage einer Einwilligung erhoben.

Benachrichtigungen. Heft nutzt lokale Benachrichtigungen und OneSignal für entfernte Benachrichtigungen. OneSignal verarbeitet Geräte- und Push-Abonnementinformationen, eine konto- oder kaufbezogene Kennung sowie Merkmale wie Premium-Status und Trainingsanzahl. Das SDK wird beim App-Start initialisiert; die Erlaubnis zur Anzeige von Benachrichtigungen ist eine getrennte Geräteeinstellung. Benachrichtigungen können Erinnerungen, Trainingseinblicke und Informationen über Heft enthalten. Sie können verfügbare Kategorien in Heft einstellen und die Zustellung in den Geräteeinstellungen deaktivieren. Angeforderte Erinnerungen beruhen auf Art. 6 Abs. 1 Buchst. b, erforderliche technische Zustellungsverarbeitung auf Art. 6 Abs. 1 Buchst. f und unserem Interesse an zuverlässiger Zustellung. Optionale Werbebenachrichtigungen erfordern eine Einwilligung nach Art. 6 Abs. 1 Buchst. a.

Support. Wenn Sie uns kontaktieren, verarbeiten wir Kontaktdaten, Nachricht und Anhänge zur Beantwortung. Bitte übermitteln Sie nur für Ihr Anliegen relevante Informationen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b bei vertragsbezogenen Anfragen oder Art. 6 Abs. 1 Buchst. f und unser Interesse an der Beantwortung sonstiger Anfragen. Gesetzlich vorgeschriebene Aufbewahrung beruht auf Art. 6 Abs. 1 Buchst. c. Eine Supportanfrage ist keine Einwilligung in Werbung.

6. Nutzungsanalysen, Sitzungsaufzeichnungen und Diagnose

Nutzungsanalysen. Hefts eigener Verhaltensereignisdienst und Mixpanel messen Funktionsnutzung, Bildschirmaufrufe, Onboarding, Workouts und Käufe. Die Daten können Ereigniszeitpunkte, App-Version, Plattform, Sprache, Sitzungskennungen, Interaktionsmerkmale und gespeicherte Präferenzen enthalten. Mixpanel erhält außerdem eine kaufbezogene Kennung und Profilmerkmale, einschließlich der in Abschnitt 3 beschriebenen Einstellungen. Unser Backend kann Gastkennungen mit einem angemeldeten Konto verknüpfen. Es handelt sich um individuelle Nutzungsdaten, nicht nur um zusammengefasste Statistiken. Mixpanel ist für die Datenannahme über seinen EU-Endpunkt konfiguriert.

Sitzungsaufzeichnungen. Microsoft Clarity kann Bildschirminhalte und Interaktionen aufzeichnen, damit wir Probleme bei der Bedienung nachvollziehen können. Die App begrenzt Aufzeichnungen auf geeignete frühe Nutzungsphasen anhand von weniger als zehn aufgezeichneten Workouts und übermittelt eine kaufbezogene Nutzerkennung. Bildschirminhalte können abhängig von Bildschirm und Maskierung personenbezogene Informationen enthalten.

Optionale Analysen, Sitzungsaufzeichnungen und Werbeattribution erfordern eine Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO sowie, soweit einschlägig, nach § 25 Abs. 1 TDDDG für Zugriffe auf Ihr Gerät oder dortige Speicherung. Beim Onboarding neuer Installationen gibt es eine freiwillige Analyseauswahl. Einige ältere Installationen übernehmen einen früheren Tracking-Zustand; dieser technische Zustand ist für sich genommen kein Nachweis einer wirksamen Einwilligung. Sie können uns zum Widerruf oder zur Löschung kontaktieren. Der Widerruf berührt die Rechtmäßigkeit einer bis dahin rechtmäßigen Verarbeitung nicht. Er ist von der Annahme der AGB getrennt.

Diagnose. Sentry erhält Fehlerberichte, Stacktraces, Navigationsereignisse, Leistungsdaten und Geräte-/App-Informationen. Die derzeitige Implementierung ergänzt eine kaufbezogene Kennung, einen vorhandenen gespeicherten Nutzernamen sowie Trainingszusammenfassungen wie Anzahl und Datum des ersten und letzten Workouts. Sentry wird unabhängig von der freiwilligen Analyseauswahl initialisiert; automatische Screenshot-Anhänge sind deaktiviert. Erforderliche Sicherheits- und Fehlerdiagnose beruht auf Art. 6 Abs. 1 Buchst. f und unserem Interesse an einem sicheren, zuverlässigen Dienst. Optionale Nutzungsanalysen benötigen stattdessen eine Einwilligung; für Gesundheitsdaten gelten zusätzlich die oben beschriebenen Anforderungen.

7. Teilen von Inhalten und Website

Beim Erstellen eines Workout-Freigabelinks werden die geteilten Plan- oder Trainingsinhalte hochgeladen und dem erstellenden Nutzer oder der App-Kennung zugeordnet. Jeder mit dem Link kann auf die Inhalte zugreifen; Empfänger können Kopien behalten. Die Verarbeitung beruht auf Art. 6 Abs. 1 Buchst. b DSGVO, um die angeforderte Freigabefunktion bereitzustellen. Teilen Sie keine Informationen, die Empfänger nicht sehen sollen.

Für Auslieferung und Sicherheit der Website verarbeiten Hosting- und Infrastrukturanbieter technische Anfragedaten wie IP-Adresse, angeforderte URL, Zeitpunkt und Browserinformationen. Dies beruht auf Art. 6 Abs. 1 Buchst. f und unserem Interesse an einer zuverlässigen, sicheren Bereitstellung der Website. Bei Ihrer Sprachauswahl speichert die Website die Sprachpräferenz im Browser. Sie können sie durch Löschen der Websitedaten entfernen. Die erforderliche Speicherung dieser gewünschten Präferenz beruht auf § 25 Abs. 2 TDDDG. Schriftarten werden von unserer Website geladen. Wenn Sie einem Link zu einem App Store oder einer anderen Website folgen, gelten für diesen Besuch die Datenschutzpraktiken des Zielanbieters.

8. Empfänger und internationale Verarbeitung

Je nach genutzter Funktion gehören zu den Empfängern:

Hosting-, E-Mail- und Supportanbieter können außerdem die für ihre Dienste benötigten Daten verarbeiten. Für Heft tätige, berechtigte Personen können zugreifen, soweit Betrieb und Support dies erfordern. Behörden oder berufliche Berater können Daten erhalten, soweit gesetzlich vorgeschrieben oder für Rechtsansprüche erforderlich. Geteilte Inhalte werden außerdem den in Abschnitt 7 beschriebenen Empfängern offengelegt.

Deutsches Backend-Hosting und Mixpanels EU-Endpunkt bedeuten nicht, dass jede Verarbeitung in der EU stattfindet. Internationale Anbieter und ihre Unterauftragnehmer können Informationen in den USA oder anderen Ländern außerhalb des Europäischen Wirtschaftsraums verarbeiten. Solche Übermittlungen benötigen einen gültigen DSGVO-Übermittlungsmechanismus, beispielsweise einen einschlägigen Angemessenheitsbeschluss oder Standardvertragsklauseln mit gegebenenfalls erforderlichen zusätzlichen Schutzmaßnahmen. Ein US-Sitz allein belegt nicht, dass ein Anbieter unter einen Angemessenheitsbeschluss fällt. Kontaktieren Sie uns für Informationen zu den für Ihre Daten geltenden Schutzmaßnahmen und eine Kopie, soweit verfügbar.

9. Speicherdauer und Löschung

Wir bewahren Daten für ihren Erhebungszweck auf und löschen oder anonymisieren sie, wenn dieser entfällt, sofern nicht eine gesetzliche Pflicht oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen weitere Aufbewahrung erfordert. Maßgebliche Kriterien sind die Dauer Ihres Kontos, eine weiterhin aktive Funktion oder Supportanfrage, der für die Fehleruntersuchung erforderliche Zeitraum sowie anwendbare Aufbewahrungs- oder Verjährungsfristen.

  • Lokale Daten verbleiben, bis Sie sie entfernen oder die App-Daten löschen. Betriebssystem-Backups und Daten im Gesundheitsspeicher haben eigene Einstellungen.
  • Konto- und synchronisierte Daten werden für die Dauer des Kontos aufbewahrt. Die Löschung in der App entfernt verknüpfte Daten aus unserer Anwendungsdatenbank und löscht das Firebase-Konto. Eine Abmeldung oder Deinstallation ist kein Antrag auf Kontolöschung.
  • Freigabelinks laufen nach 365 Tagen ohne Zugriff ab. Sie können durch Löschung oder aufgrund von Kontolimits früher entfernt werden. Von Empfängern behaltene Kopien liegen außerhalb unserer Kontrolle.
  • Analyse-, Sitzungsaufzeichnungs-, Diagnose- und KI-Anbieterdaten haben eigene Aufbewahrungseinstellungen und Dienstanforderungen. Eine Kontolöschung in Heft löscht nicht automatisch jeden Datensatz bei externen Anbietern. Für die abgestimmte Löschung der von uns verantworteten Daten können Sie uns kontaktieren. Wir versprechen keine einheitliche feste Speicherdauer für alle diese Dienste.
  • Sicherungskopien und für gesetzliche Pflichten oder Rechtsansprüche erforderliche Unterlagen können nach der Löschung aus aktiven Systemen verbleiben. Ihre Aufbewahrung muss auf diese Zwecke begrenzt sein. Die Löschung aktiver Daten bedeutet keine sofortige Löschung sämtlicher Backups.

10. Ihre Wahlmöglichkeiten und Rechte

Sie können Auskunft und eine Datenkopie, Berichtigung, Löschung, Einschränkung und, soweit einschlägig, Datenübertragbarkeit verlangen. Sie können eine Einwilligung jederzeit widerrufen. Einer Verarbeitung auf Grundlage berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation widersprechen; Direktwerbung können Sie jederzeit ohne Begründung widersprechen.

Schreiben Sie an info@heft-app.com. Wir können angemessene Angaben zur Identitätsprüfung anfordern. Wir antworten unverzüglich, normalerweise innerhalb eines Monats. Ist eine gesetzlich zulässige Verlängerung erforderlich, erläutern wir diese innerhalb dieses Monats. Sie können sich außerdem bei einer Aufsichtsbehörde beschweren, insbesondere an Ihrem Wohn- oder Arbeitsort. Unsere örtliche Behörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

Optionale Angaben sind freiwillig. Ohne Kontodaten können wir kein Konto und keine kontobezogene Synchronisierung anbieten; ohne Kaufinformationen können wir Premium nicht prüfen; ohne ausgewählte Datei oder Eingabe können wir die betreffende KI-Anfrage nicht bearbeiten. Die Ablehnung optionaler Analysen beseitigt Ihr Recht zur Nutzung der vereinbarten Kernleistung nicht. Das Deaktivieren einer Gesundheits- oder Benachrichtigungsberechtigung betrifft die jeweilige Funktion. Eine Deinstallation beendet künftige App-Aktivität dieser Installation, löscht aber keine vorhandenen Serverdaten und kündigt kein Abonnement.

11. Alter und Änderungen dieser Erklärung

Heft richtet sich gemäß unseren AGB an Erwachsene ab 18 Jahren. Wenn Sie vermuten, dass ein Kind personenbezogene Daten übermittelt hat, kontaktieren Sie uns, damit wir dies prüfen und gegebenenfalls die Löschung veranlassen können.

Wir aktualisieren diese Erklärung bei Änderungen unserer Verarbeitung oder rechtlicher Anforderungen und geben oben das Überarbeitungsdatum an. Wesentliche Änderungen erläutern wir durch einen geeigneten Hinweis. Die weitere Nutzung oder Veröffentlichung einer neuen Erklärung ist keine Einwilligung in einen neuen Verarbeitungszweck. Erforderliche Einwilligungen müssen gesondert eingeholt werden.