Hermod

Datenschutzerklärung

Entwurf: Diese Datenschutzerklärung ist ein Vorschlag und muss vor dem Betrieb vom Betreiber geprüft und vervollständigt werden.

Diese Erklärung beschreibt, welche personenbezogenen Daten Hermod verarbeitet, wozu und mit welchen Rechten du sie kontrollierst. Trainings- und Herzfrequenzdaten sind Gesundheitsdaten (Art. 9 DSGVO) und werden besonders geschützt.

1. Verantwortlicher

Erik Herold
E-Mail: info@hermod-training.de
Anschrift: siehe Impressum

Ansprechpartner für Datenschutz: Erik Herold, datenschutz@hermod-training.de

2. Welche Daten wir verarbeiten

Bereich Daten
Konto Name, E-Mail-Adresse, Anmeldedaten (über unseren eigenen Anmeldedienst Keycloak), Rollen in Vereinen
Profil freiwillig: Geburtsdatum, Geschlecht, Größe, Gewicht, Ruhe- und Maximalpuls, Adresse, Telefon, Notfallkontakt, Startpassnummer, Kleidergröße, Profilbild, Zeitzone, Einheiten, Farbschema, Trainingsziele, Trainingsort (auf etwa 1 km gerundet)
Training Einheiten (Sportart, Zeit, Dauer, Distanz, Titel, Notizen), hochgeladene FIT-Dateien, daraus Messreihen (Herzfrequenz, Geschwindigkeit, Leistung, Höhe, Trittfrequenz) und GPS-Strecken, Leistungsschwellen, Ausrüstung, Trainingspläne und Workouts
Gesundheit Herzfrequenz und Messreihen (siehe oben); Körperdaten (z. B. Gewicht, Ruhepuls, HRV, Schlaf, VO₂max); Krankheiten und Verletzungen; eigene Ernährungsziele und Gewichtsziel, daraus berechnete Ziele für Energie und Nährstoffe; Ernährungstagebuch, Favoriten und Schweißtests (nur für dich); medizinische Hinweise (z. B. Allergien) nur nach deiner ausdrücklichen Einwilligung
Verein Mitgliedschaften, Trainingsgruppen, Termine und deine Zu- und Absagen, im Verein geteilte Einheiten, Kommentare und Savors, Fotos zu Terminen und Bilder in Ankündigungen, die du hochlädst
Protokolle Zugriffe von Trainern und Vereinsadmins auf freigegebene Daten; Protokoll gelöschter Konten (pseudonymisiert)
Technik Sitzungs-Cookie für die Anmeldung, Cookie für Sprache und Farbschema; Server-Protokolle: …

3. Zwecke und Rechtsgrundlagen

  • Bereitstellung von Hermod für dich und deinen Verein (Konto, Profil, Kalender, Pläne, Vereinsfunktionen): Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag bzw. Mitgliedschaft).
  • Gesundheitsdaten (Trainingsdaten mit Herzfrequenz, Messreihen, Körperdaten, Ernährungsziele, medizinische Hinweise): deine ausdrückliche Einwilligung, Art. 9 Abs. 2 lit. a DSGVO. Du kannst sie jederzeit widerrufen. Medizinische Hinweise werden beim Widerruf gelöscht.
  • Weitergabe an Trainer und Vereinsadmins: nur mit deiner Freigabe pro Person bzw. Verein und Kategorie (Einwilligung, Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO).
  • Minderjährige: Für Personen unter 18 Jahren holt Hermod die Einwilligung der Erziehungsberechtigten per E-Mail-Link ein (Art. 8 DSGVO).
  • Sicherheit und Missbrauchsschutz (Zugriffsprotokolle, Server-Protokolle, Löschprotokoll als Nachweis): berechtigtes Interesse bzw. rechtliche Verpflichtung, Art. 6 Abs. 1 lit. f und c DSGVO.

Hermod trifft keine automatisierten Entscheidungen über dich (Art. 22 DSGVO) und erstellt kein Werbeprofil.

4. Wer deine Daten sieht

  • Du siehst alle deine Daten.
  • Trainer sehen deine Einheiten, Herzfrequenz, Strecken, Ausrüstung, Leistungsschwellen, deinen Notfallkontakt, medizinische Hinweise, deinen Trainingsplan oder deine Körperdaten (mit Ernährungszielen und Gewichtsziel; dafür auch dein Alter und Geschlecht, nicht dein Geburtsdatum) nur, wenn du die jeweilige Kategorie für sie freigibst. Jeder Zugriff wird protokolliert; das Protokoll siehst du unter Freigaben.
  • Vereinsadmins sehen Telefon, Startpass und Kleidergröße nur mit deiner Freigabe für den Verein; auch das wird protokolliert.
  • Vereinsmitglieder sehen Einheiten, die du ausdrücklich im Verein teilst, nur als Zusammenfassung ohne Herzfrequenz und Strecke, sowie deine Zu- und Absagen zu Terminen.
  • Notizen gibt Hermod nie frei.

5. Empfänger außerhalb von Hermod

  • Kartenkacheln: Öffnest du die Analyse einer Einheit mit GPS-Strecke, lädt dein Browser die Hintergrundkarte von der OpenStreetMap Foundation (St John's Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich). Sie erhält deine IP-Adresse, Browserangaben und die Kartenausschnitte, nicht aber deine Strecke oder deinen Namen. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission. Datenschutzerklärung der OSMF: https://osmfoundation.org/wiki/Privacy_Policy

  • Anmeldung mit Google (nur falls angeboten und von dir gewählt): Google erhält die für die Anmeldung nötigen Daten nach seinen eigenen Bedingungen.

  • Hosting: netcup GmbH, Emmy-Noether-Straße 10, D-76131 Karlsruhe, Rechenzentrum in Deutschland

  • E-Mail-Versand: Bestätigungs-, Passwort- und Einwilligungsmails verschickt Hermods eigener Mailserver (Hermod's own mail server). Für die Zustellung gehen Empfängeradresse und Inhalt der Mail an den Mailserver des Empfängers.

  • Claude-Assistent (nur wenn du ihn mit deinem eigenen Anthropic-Schlüssel einrichtest und einwilligst): Deine Fragen und die Trainingsdaten, die der Assistent für die Antwort abruft (Einheiten, Belastung, Schwellen, Körperdaten, Plan, Wettkämpfe; keine Namen, Kontaktdaten, medizinischen Hinweise oder privaten Notizen), gehen an Anthropic PBC (USA) über dein eigenes Anthropic-Konto, nach dessen Bedingungen und Aufbewahrungsfristen. Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a, Art. 49 Abs. 1 lit. a DSGVO); du widerrufst sie, indem du den Schlüssel entfernst. Fragt ein Trainer den Assistenten zu deinen freigegebenen Daten, nutzt er sein eigenes Konto; das siehst du im Zugriffsprotokoll. Titel von Einheiten, Plänen und Wettkämpfen sowie Ziele sind Freitext: Steht dort ein Name oder Ort („Lauf mit Anna“), geht er so mit. Ziehst du deine Freigabe zurück, kann der Trainer in seinen Unterhaltungen über dich keine Fragen mehr stellen; dort gespeicherte Antworten gehen damit nicht mehr an Anthropic.

  • Lokale KI (nur wenn du sie im Assistenten wählst und einwilligst): Deine Fragen und die Trainingsdaten, die die KI abruft, gehen an den KI-Rechner des Betreibers. Er steht unter unserer Kontrolle und ist nur über eine verschlüsselte Verbindung erreichbar; an einen fremden Anbieter geht nichts. Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du widerrufst, indem du die Verbindung entfernst.

  • Push-Mitteilungen (nur wenn du sie auf einem Gerät einschaltest): Hermod schickt kurze Mitteilungen („Neue Nachricht von …“, „… bittet um eine Freigabe“) über den Mitteilungsdienst deines Browsers: Apple (Safari, iPhone, iPad), Google (Chrome, Edge, Android), Mozilla (Firefox) oder Microsoft (Windows). Der Inhalt ist Ende-zu-Ende verschlüsselt; der Dienst sieht Zeitpunkt, Größe und dein Gerät. Mitteilungen enthalten nie Inhalte von Nachrichten, Trainings- oder Gesundheitsdaten. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du widerrufst, indem du die Mitteilungen ausschaltest.

  • Wetter (Open-Meteo): Für das Wetter zu deinen Einheiten fragt der Hermod-Server bei Open-Meteo (Open-Meteo.com) die Vorhersage für deinen Trainingsort und die Orte deiner Wettkämpfe ab. Übermittelt werden nur auf etwa 1 km gerundete Koordinaten bzw. der Suchtext eines Ortes, nicht deine IP-Adresse, dein Name oder deine Trainingsdaten. Den Trainingsort trägst du selbst ein und kannst ihn jederzeit entfernen.

  • Open Food Facts (nur wenn du im Ernährungstagebuch einen Barcode suchst): Der Hermod-Server fragt bei Open Food Facts (gemeinnütziger Verein, Frankreich, https://world.openfoodfacts.org) die Nährwerte zu diesem Barcode ab. Übermittelt werden nur der Barcode und die Adresse des Hermod-Servers, nicht deine IP-Adresse, dein Name oder deine Einträge. Was du isst, bleibt in Hermod. Beim Erfassen mit KI fragt Hermod dort nach einem Markenprodukt, das die KI erkannt hat; übermittelt wird dann nur dessen Name.

  • Mahlzeiten mit KI erfassen (nur wenn du es nutzt): Deine Beschreibung der Mahlzeit und ein Foto gehen an das gewählte Modell, bei Claude an Anthropic PBC (USA) über dein eigenes Anthropic-Konto (wie beim Claude-Assistenten), bei der lokalen KI an den KI-Rechner des Betreibers. Rechtsgrundlage ist deine Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Das Foto speichert Hermod verkleinert und ohne Metadaten (z. B. GPS) nur bis zur Erkennung und löscht es dann; nicht übernommene Vorschläge löscht Hermod nach 7 Tagen.

Anmeldung, Datenbank und Dateiablage betreibt Hermod selbst. Weitere Empfänger gibt es nicht; insbesondere werden keine Daten verkauft oder für Werbung genutzt.

6. Speicherdauer

  • Konto, Profil und Trainingsdaten: bis du sie löschst oder dein Konto löschst.
  • FIT-Originaldateien: bis du den Import oder dein Konto löschst.
  • Zugriffsprotokolle: nach der vom Betreiber eingestellten Frist (Standard 24 Monate).
  • Sicherungen, die du erstellst: werden nach 7 Tagen gelöscht.
  • Protokoll gelöschter Konten: 3 Jahre, nur pseudonymisiert (Nachweis der Löschung).
  • Server-Protokolle: …

7. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft. In Hermod direkt umgesetzt:

  • Auskunft und Datenübertragbarkeit: Profil → Meine Daten exportieren (ZIP mit JSON, CSV und deinen FIT-Dateien).
  • Berichtigung: in Profil, Einheiten und Ausrüstung.
  • Löschung: Profil → Konto löschen.
  • Widerruf von Freigaben und Einwilligungen: unter Freigaben bzw. Medizinische Hinweise.

Für alle weiteren Anliegen wende dich an den Verantwortlichen (Abschnitt 1). Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. bei Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Ansbach.

8. Sicherheit

  • Verbindungen sind verschlüsselt (TLS).
  • Die Datenbank trennt Vereine und Personen zusätzlich auf Zeilenebene (Row-Level-Security).
  • Sicherungen werden mit einem Passwort verschlüsselt, das nur du kennst.
  • Hermod ist vollständig selbst gehostet.

9. Änderungen

Ändert sich die Verarbeitung, passen wir diese Erklärung an. Stand: 7. November 2026.