Datenschutzerklärung

Hier erklären wir, welche personenbezogenen Daten wir verarbeiten, wenn du die Kavi-App, die Website kavi.fit oder unsere Dienste nutzt, wozu, auf welcher Rechtsgrundlage, an wen wir sie weitergeben und welche Rechte du hast.

1. Verantwortlicher

Softure UG (haftungsbeschränkt), vertreten durch den Geschäftsführer Mohamed Hamda
Scharfenberger Str. 28, 13505 Berlin, Deutschland
Telefon: +49 152 05290170
E-Mail: customers@softure-ug.de

Einen Datenschutzbeauftragten müssen wir derzeit nicht benennen (Art. 37 DSGVO, § 38 BDSG). Für alle Datenschutzfragen erreichst du uns unter der genannten Adresse.

2. Das Wichtigste in Kürze

• Kavi verarbeitet Gesundheitsdaten (Mahlzeiten, Training, Gewicht, Schlaf, Vorerkrankungen, Fotos) — nur mit deiner ausdrücklichen Einwilligung und nur, um dich zu coachen.
• Der KI-Coach läuft über Anthropic (USA). Anthropic verarbeitet die Daten nur in unserem Auftrag, nutzt sie nicht zum Training und löscht sie standardmäßig nach 30 Tagen.
• Unsere Server und die Datenbank stehen in Deutschland (Contabo).
• Keine Werbung, kein Verkauf von Daten, kein Tracking auf der Website, keine Analyse-Cookies.
• Du kannst deine Daten jederzeit in der App zurücksetzen oder dein Konto löschen.

3. Website kavi.fit

3.1 Aufruf der Website, Server-Logs

Beim Aufruf verarbeitet unser Server technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browser und Betriebssystem. Das dient der Auslieferung und der Sicherheit (Abwehr von Angriffen). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb). Logs speichern wir nur kurzzeitig in rotierenden Dateien begrenzter Größe, die laufend überschrieben werden, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls benötigt werden. Hosting: Contabo GmbH, München, auf Servern in Deutschland, als Auftragsverarbeiter.

3.2 Keine Cookies, kein Tracking, Schriften lokal

Wir setzen keine Cookies und keine Analyse- oder Werbe-Tools ein. Schriften werden von unserem eigenen Server geladen, nicht von Google. Im Browser speichern wir lediglich deine Sprachauswahl (Local Storage), damit die Seite in deiner Sprache bleibt; das ist für die von dir gewünschte Funktion erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

3.3 Formulare

• Warteliste / Early Access: deine E-Mail-Adresse und Sprache, um dich über den Start und Zugang zu informieren (Art. 6 Abs. 1 lit. b DSGVO — auf deine Anfrage). Abmeldung jederzeit per E-Mail; wir löschen die Adresse dann.
• Coach-Bewerbung: Name, E-Mail, Erfahrung, Schwerpunkte und Text, um deine Bewerbung zu prüfen (Art. 6 Abs. 1 lit. b DSGVO). Wird deine Bewerbung abgelehnt, löschen wir die Daten nach 6 Monaten.
• Kündigung und Widerruf: Name, E-Mail, Vertrag und deine Angaben, um die Erklärung zu bearbeiten und dir den Eingang zu bestätigen (Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 312k, 356a BGB). Wir speichern sie 3 Jahre zum Nachweis (Verjährungsfrist).
• Kontoseite: Anmeldung mit deinem Kavi-Konto, um dein Abo zu sehen (siehe Ziffer 7).

3.4 Kontakt per E-Mail

Wenn du uns schreibst, verarbeiten wir deine Nachricht und Kontaktdaten, um dir zu antworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Wir löschen die Korrespondenz, wenn sie erledigt ist und keine Aufbewahrungspflichten bestehen.

4. Die Kavi-App

4.1 Konto

E-Mail-Adresse, Passwort (nur als sicherer Hash), optional Name, Sprache, Zeitzone, Rolle (Kunde oder Coach) sowie der Nachweis deiner Zustimmung zu AGB und Einwilligungen (Version, Datum, Uhrzeit). Meldest du dich mit Apple oder Google an, erhalten wir von dort deine E-Mail-Adresse (bei Apple ggf. eine anonyme Weiterleitungsadresse), eine Kennung und ggf. deinen Namen. Zur Bestätigung deiner E-Mail-Adresse senden wir eine E-Mail über Resend. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), für den Nachweis der Einwilligung Art. 6 Abs. 1 lit. c DSGVO.

4.2 Gesundheits- und Fitnessdaten

Um dich zu coachen, verarbeiten wir: Ziel, Erfahrung, Ausstattung, Trainingstage, Geschlecht, Geburtsjahr, Größe, Aktivitätslevel, Antworten der Gesundheits-Vorabfragen, Vorerkrankungen, Allergien und Ernährungsweise, Mahlzeiten und Nährwerte, Wasser, Nahrungsergänzungsmittel, Trainings, Pläne, Gewicht und Körpermaße, Fasten-Einstellungen sowie deine Chat-Nachrichten. Daraus berechnen wir Ziele (z. B. Kalorien und Makros) und passen sie an deinen Verlauf an.

Rechtsgrundlage: deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die du vor der ersten Nutzung in der App erteilst und die wir mit Datum und Uhrzeit speichern. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, indem du deine Daten in der App zurücksetzt oder dein Konto löschst (Einstellungen → Gefahrenzone) oder uns schreibst. Ohne diese Daten kann Kavi dich nicht coachen; ein Widerruf beendet daher die Coaching-Funktionen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

4.3 KI-Coach (Anthropic)

Wenn du mit dem KI-Coach chattest, senden wir deine Nachricht, ggf. ein angehängtes Foto und den für die Antwort nötigen Ausschnitt deiner Daten (z. B. Ziele, heutige Einträge, Plan, Gesundheitshinweise) an Anthropic, das die Antwort erzeugt. Anthropic handelt als unser Auftragsverarbeiter, darf die Daten nicht zum Training seiner Modelle nutzen und löscht Ein- und Ausgaben standardmäßig innerhalb von 30 Tagen (länger nur, soweit Anthropic Inhalte wegen Verstößen gegen seine Nutzungsrichtlinien prüfen muss oder gesetzlich verpflichtet ist). Anbieter: Anthropic Ireland Limited (Dublin) bzw. Anthropic PBC (San Francisco, USA). Die Übermittlung in die USA stützen wir auf die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Anthropic.

Der KI-Coach trifft keine Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für dich (Art. 22 DSGVO). Er macht Vorschläge, über die du selbst entscheidest. Sicherheitsregeln (z. B. Mindestkalorien) sind fest im System hinterlegt.

4.4 Fotos

• Fotos im KI-Chat (z. B. einer Mahlzeit): werden mit deinem Gespräch gespeichert und zur Auswertung an Anthropic übermittelt.
• Fotos im Coach-Chat: nur für dich und deinen Coach sichtbar, solange ihr zusammenarbeitet; Standort- und andere Metadaten entfernen wir.
• Fortschrittsfotos (optional): nur für dich sichtbar (nicht für Coaches), ohne Metadaten; einzeln löschbar.

Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (Einwilligung, Ziffer 4.2).

4.5 Apple Health / Health Connect (optional)

Nur wenn du es in den Einstellungen verbindest, liest Kavi — nur lesend — Schritte, aktive Energie, Schlafdauer, Workouts (Art, Start, Dauer, Energie), Körpergewicht und Ruhepuls. Kavi schreibt nichts in Apple Health. Tägliche Zusammenfassungen werden an unsere Server übertragen und für dein Coaching genutzt (auch durch den KI-Coach über Anthropic, Ziffer 4.3). Wir nutzen diese Daten nie für Werbung und verkaufen sie nie. Rechtsgrundlage: deine gesonderte ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) beim Verbinden. Beim Trennen stoppt die Synchronisierung sofort, und die synchronisierten Daten werden von unseren Servern gelöscht. Für Health Connect gilt zusätzlich die Health-Connect-Berechtigungsrichtlinie einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).

4.6 Lebensmittelsuche

Suchst du ein Produkt oder scannst einen Barcode, wird der Suchbegriff bzw. Barcode in der offenen Datenbank Open Food Facts nachgeschlagen — über unseren Server, ohne personenbezogene Daten.

4.7 Ort, Studio und Coach-Suche

Optional kannst du einen Wohnort und dein Studio angeben, damit wir dir Coaches in der Nähe zeigen. Kavi nutzt dafür nicht das GPS deines Geräts: Deine Sucheingabe (z. B. „Berlin Mitte“ oder der Name des Studios) wird über unseren Server bei OpenStreetMap (Nominatim, OpenStreetMap Foundation, Vereinigtes Königreich — Angemessenheitsbeschluss der EU) nachgeschlagen, ohne Bezug zu deiner Person. Wir speichern die gewählten Koordinaten und die Bezeichnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.8 Push-Benachrichtigungen

Wenn du Benachrichtigungen erlaubst, speichern wir ein Geräte-Token und deine Einstellungen (Zeiten, Ruhezeiten). Zugestellt wird über den Apple Push Notification Service bzw. Google Firebase Cloud Messaging; diese erhalten das Token und den Text, der keine Gesundheitsdetails enthält. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), widerruflich in den Einstellungen der App oder deines Geräts.

4.9 Absturzberichte (falls aktiviert)

Zur Fehlerbehebung können technische Absturzberichte an Sentry (Functional Software, Inc., USA) gesendet werden: Gerätetyp, App-Version, Fehlermeldung. Name, E-Mail, Nachrichten und Gesundheitsdaten filtern wir vorher heraus. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer fehlerfreien App).

4.10 Deine Wünsche (Coaches und Studios)

Solange Coaches und Studios noch nicht verfügbar sind, kannst du uns im Coach-Tab sagen, dass du einen Coach möchtest (wie du trainieren willst, dein Budget, dein Ziel), oder dein Studio und deine Stadt nennen. Wir speichern deine Antworten mit deinem Konto, um zu entscheiden, was wir wo anbieten, und, wenn du das möchtest, um dir Bescheid zu geben, wenn es losgeht. Wenn du zustimmst, dürfen wir einem Studio sagen, wie viele Mitglieder danach gefragt haben, niemals wer. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Planung unseres Angebots) und für die Startnachricht Art. 6 Abs. 1 lit. a DSGVO. Du kannst deine Antworten jederzeit ändern; sie werden mit deinem Konto gelöscht.

5. Coaching mit einem Coach

• Anfragen und Chat: Wenn du einen Coach anfragst, sieht er deinen Namen, deine Nachricht und das gewählte Paket. Nachrichten und Fotos im Coach-Chat sind für dich und den Coach sichtbar.
• Deine Daten beim Coach: Während eines aktiven, bezahlten Coachings kann dein Coach deine Fitness- und Fortschrittsdaten in Kavi sehen und Pläne für dich anlegen (nicht deine privaten Fortschrittsfotos). Endet das Coaching, endet der Zugriff. Diese Weitergabe ist von deiner Einwilligung (Ziffer 4.2) umfasst und Kern des gebuchten Coachings.
• Termine vor Ort: Zeit, Ort und Notiz für euch beide, inklusive Erinnerungen.
• Bewertungen: Bewertest du einen Coach, wird die Bewertung mit gekürztem Namen („Sarah K.“) öffentlich in seinem Profil angezeigt.

Coaches sind eigene Verantwortliche für die Daten, die sie im Rahmen ihres Coachings verarbeiten. Rechtsgrundlage für die Plattform: Art. 6 Abs. 1 lit. b DSGVO und für Gesundheitsdaten Art. 9 Abs. 2 lit. a DSGVO.

6. Kavi über dein Studio (Kavi für Studios)

Trittst du mit dem Code, QR-Code oder einer Einladung deines Studios bei, nutzt du Kavi im Rahmen deiner Mitgliedschaft. Vor dem Beitritt zeigt dir die App genau, was das Studio sieht, und du bestätigst es.

• Was dein Studio sieht: deinen Namen und deine E-Mail-Adresse, wann du beigetreten bist (und ob du austrittst oder entfernt wirst), ob du Kavi in einem Kalendermonat genutzt hast (nicht, was du gemacht hast), mit welchem Studio-Coach du arbeitest sowie die Kurse, die du buchst, und ob du teilgenommen hast. Studio-Programme sieht das Studio nur als Summen.
• Was dein Studio nie sieht: deine Mahlzeiten, dein Gewicht, deine Trainings, Fotos, Apple-Health-Daten und deine Chats mit Kavi. Ein Studio-Coach sieht Training und Ernährung erst, nachdem du ihn angenommen hast (deine ausdrückliche Einwilligung, Art. 9 Abs. 2 lit. a DSGVO) – wie jeder Kavi-Coach (Ziffer 5).
• Rollen: Für dein Kavi-Konto und alles, was du einträgst, bleiben wir Verantwortliche. Die oben genannten Mitgliedsangaben geben wir an dein Studio weiter, weil du Kavi über das Studio nutzen möchtest (Art. 6 Abs. 1 lit. b DSGVO); ob du in einem Monat aktiv warst, nutzen wir außerdem zur Abrechnung mit dem Studio (Art. 6 Abs. 1 lit. f DSGVO). Für diese Angaben ist dein Studio eigenständig verantwortlich. Kurse, Buchungen, Anwesenheit, Mitteilungen und Programme des Studios in Kavi verarbeiten wir im Auftrag des Studios auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO).
• Mitteilungen und Einladungen: Dein Studio kann dir Neuigkeiten schicken (als Push-Benachrichtigung, abschaltbar) und dich per E-Mail einladen; diese E-Mails versenden wir im Auftrag des Studios.
• Austritt: Du kannst jederzeit in der App austreten; das Studio kann dich entfernen, und die Mitgliedschaft endet, wenn der Vertrag des Studios endet. Dein Konto und alles, was du eingetragen hast, bleiben dir; Kavi läuft dann mit deinem eigenen Tarif weiter.
• Speicherdauer: Der monatliche Eintrag „Kavi genutzt“ wird 24 Monate als Abrechnungsnachweis aufbewahrt und dann gelöscht; Rechnungen an das Studio enthalten nur die Anzahl aktiver Mitglieder. Endet der Vertrag eines Studios, werden seine Studiodaten in Kavi (Mitgliederlisten, Kurse, Buchungen, Mitteilungen, Programme) nach 90 Tagen gelöscht.

Für Studio-Personal (Inhaber, Admins, Coaches) verarbeiten wir Konto, Rolle und die Nutzung der Studio-Konsole, um dem Studio den Dienst bereitzustellen (Art. 6 Abs. 1 lit. b und f DSGVO). Der KI-Assistent der Konsole (Anthropic, Ziffer 4.3) sieht nur Summen, Kursplan und Programme des Studios, nie Gesundheitsdaten von Mitgliedern.

7. Zahlungen

• Stripe (Stripe Payments Europe Ltd., Irland, und Stripe, LLC, USA): wickelt Zahlungen für Coachings und die Rechnungen an Studios (Kavi für Studios) ab. Stripe erhält Name, E-Mail, Zahlungsdaten und Betrag; vollständige Kartendaten sehen wir nie. Stripe ist teils eigener Verantwortlicher (z. B. Betrugsprävention). USA-Übermittlungen: EU-US Data Privacy Framework.
• Apple: Bei Käufen im App Store ist Apple Verkäufer und eigener Verantwortlicher. Wir erhalten von Apple keine Zahlungsdaten.
• RevenueCat (RevenueCat, Inc., USA): verwaltet den Status von App-Store-Abos und erhält deine Konto-ID und Kaufbelege, keine Gesundheitsdaten. USA-Übermittlung: EU-Standardvertragsklauseln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Rechnungs- und Buchungsdaten bewahren wir wegen gesetzlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO, § 257 HGB) 8 bzw. 10 Jahre auf.

8. Daten von Coaches

Für Coaches verarbeiten wir zusätzlich Profilangaben (Name, Foto, Texte, Zertifikate, Studios, Preise, Bewertungen), die öffentlich in Kavi angezeigt werden, sowie Auszahlungsdaten über Stripe Connect und Einnahmen. Nach dem Plattformen-Steuertransparenzgesetz (PStTG) sind wir verpflichtet, bestimmte Daten von Coaches (u. a. Name, Anschrift, Geburtsdatum, Steuer-Identifikationsnummer, USt-IdNr., Bankverbindung und Einnahmen) zu erheben und jährlich an das Bundeszentralamt für Steuern zu melden (Art. 6 Abs. 1 lit. c DSGVO). USt-IdNrn. prüfen wir über den VIES-Dienst der Europäischen Kommission; diese Steuerdaten bewahren wir 10 Jahre nach dem Meldejahr auf (§ 23 PStTG). Näheres in den Bedingungen für Coaches.

9. Empfänger und Auftragsverarbeiter im Überblick

• Contabo GmbH, Deutschland — Hosting, Datenbank, Backups (in Deutschland)
• Hetzner Online GmbH, Deutschland — verschlüsselte externe Kopien der Backups (Falkenstein, Deutschland; 14 Tage aufbewahrt, nur mit unserem Schlüssel lesbar)
• Anthropic (Irland/USA) — KI-Coach; Standardvertragsklauseln
• Stripe (Irland/USA) — Zahlungen; Data Privacy Framework
• Apple (Irland/USA) — App Store, Push, Anmeldung mit Apple
• Google (Irland/USA) — Firebase Cloud Messaging, Anmeldung mit Google; Data Privacy Framework
• RevenueCat (USA) — App-Store-Abostatus; Standardvertragsklauseln
• Resend (USA) — Versand von E-Mails; Data Privacy Framework
• Functional Software / Sentry (USA) — Absturzberichte, falls aktiviert; Data Privacy Framework
• Open Food Facts (Frankreich) und OpenStreetMap Foundation (Vereinigtes Königreich) — Nachschlagen ohne Personenbezug

Mit unseren Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind (z. B. an Behörden oder das Finanzamt) oder du eingewilligt hast. Wir verkaufen keine Daten.

10. Speicherdauer

• Konto-, Gesundheits- und Chatdaten: solange dein Konto besteht. Löschst du dein Konto, löschen wir diese Daten sofort aus der Datenbank; aus Backups verschwinden sie spätestens nach 14 Tagen.
• Zurücksetzen in der App löscht alle deine Einträge sofort; das Konto bleibt bestehen.
• Rechnungs- und Buchungsdaten: 8 bzw. 10 Jahre (gesetzliche Pflicht).
• Studio-Mitgliedschaft: monatlicher Eintrag „Kavi genutzt“ 24 Monate; Studiodaten eines beendeten Studios 90 Tage (Ziffer 6).
• Kündigungs- und Widerrufserklärungen: 3 Jahre.
• Server-Logs: kurzzeitig, in laufend überschriebenen Dateien.

11. Sicherheit

Wir verschlüsseln alle Verbindungen (TLS), speichern Passwörter nur als Hash, trennen die Daten der Nutzer technisch auf Datenbankebene (Row-Level Security), beschränken Zugriffe auf das Nötigste und erstellen regelmäßig Backups, die nur für Administratoren zugänglich sind.

12. Deine Rechte

Du hast das Recht auf

• Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18);
• Datenübertragbarkeit (Art. 20);
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3);
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen, aus Gründen, die sich aus deiner besonderen Situation ergeben (Art. 21);
• Beschwerde bei einer Aufsichtsbehörde (Art. 77), z. B. bei der für uns zuständigen Berliner Beauftragten für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, datenschutz-berlin.de.

Schreib uns dazu an customers@softure-ug.de. Wir antworten innerhalb eines Monats.

13. Minderjährige

Kavi ist für Personen ab 16 Jahren bestimmt. Erfahren wir, dass ein Konto einer jüngeren Person gehört, löschen wir es.

14. Änderungen

Wir passen diese Erklärung an, wenn sich Kavi oder die Rechtslage ändert. Bei wesentlichen Änderungen informieren wir dich in der App und holen, wo nötig, deine Einwilligung erneut ein.