Datenschutzerklärung

A. Firebase Services (Google Cloud / Google LLC)

Wir nutzen Dienste der Plattform Google Firebase (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; für Nutzer außerhalb des EWR: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA).

• Firebase Authentication: Nutzerkonten-Registrierung, Login, Session-Management und sichere Passwortrücksetzung.
• Cloud Firestore: NoSQL-Cloud-Datenbank zur Synchronisation von Nutzerprofilen, Workouts, Trainingsplänen und Übungsfortschritten.

Server-Standort: Unsere Cloud-Firestore-Datenbank wird in der Google-Cloud-Region europe-west3 (Frankfurt am Main, Deutschland, Europäische Union) betrieben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung zur Bereitstellung der App-Funktionen).

Drittlandtransfer & Garantien: Soweit Daten in die USA übertragen werden, ist die Übermittlung durch die Teilnahme von Google am EU-U.S. Data Privacy Framework (DPF) sowie durch den Abschluss von EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO rechtlich abgesichert.

B. Firebase App Check & Google reCAPTCHA Enterprise

Zur Sicherung unserer Schnittstellen vor unberechtigten automatisierten Zugriffen, Credential-Stuffing, Brute-Force-Angriffen und Botnets setzen wir Firebase App Check in Verbindung mit Google reCAPTCHA Enterprise ein.

Hierbei analysiert das System im Hintergrund Hardware-, Software- und Nutzungsmerkmale des anfragenden Geräts (z. B. IP-Adresse, Browserkonfiguration, Verweildauer, Maus-/Touch-Interaktionen), um festzustellen, ob ein menschlicher Nutzer oder ein automatisiertes Skript interagiert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Integrität und dem Schutz unserer Systeme vor Cyberangriffen und Missbrauch) sowie § 25 Abs. 2 Nr. 2 TDDDG.

Drittlandtransfer: Anbieter ist Google LLC (USA). Die Übermittlung ist über das EU-U.S. Data Privacy Framework und EU-Standardvertragsklauseln abgesichert.

C. Umami Analytics (Cookielos & datensparsam – Landingpage)

Zur bedarfsgerechten Gestaltung und fortlaufenden Optimierung von PureRep nutzen wir auf unserer Marketing-Website (purerep.de) die datenschutzfreundliche Webanalyse-Lösung Umami Analytics (Umami Software, Inc.).

Umami arbeitet vollständig ohne Cookies, speichert keine personenbezogenen Daten und erfasst keine IP-Adressen im Klartext. Bei jedem Seitenaufruf wird aus der IP-Adresse und dem User-Agent ein täglich wechselnder, nicht umkehrbarer kryptografischer Hash-Wert („Daily Salt“) erzeugt, um rein aggregierte Kennzahlen (wie eindeutige Besucher pro Tag, Referrer-Quellen, Gerätearten) zu ermitteln. Ein Rückschluss auf konkrete Personen oder ein geräteübergreifendes Tracking ist technisch ausgeschlossen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der statistischen Analyse und Optimierung der Webanwendung). Da weder Cookies noch sonstige Informationen im Endgerät des Nutzers gespeichert oder ausgelesen werden, ist kein Einwilligungserfordernis nach § 25 Abs. 1 TDDDG gegeben.

D. PostHog Product Analytics & Session-Aufzeichnungen (App-Bereich)

Zur Analyse der Produktnutzung, Conversion-Funnel, Feature-Adoption, Fehlerdiagnose sowie zur visuellen Rekonstruktion von Bedienproblemen mittels Session-Aufzeichnungen (Session Replays) setzen wir innerhalb unserer Web-App (app.purerep.de) die Analyse-Plattform PostHog (PostHog Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA) ein.

Hosting-Standort in der EU: Wir nutzen die dezidierte EU-Cloud-Infrastruktur von PostHog mit Serverstandort Frankfurt am Main (Deutschland). Sämtliche Analysedaten, Nutzungsmetriken und Session-Aufzeichnungen werden primär auf Servern innerhalb der Europäischen Union verarbeitet und gespeichert.

Strenge Datenschutz-Voreinstellungen & Maskierung:

• Keine Datenerfassung ohne Opt-in: PostHog ist in unserer App standardmäßig vollständig deaktiviert (opt_out_capturing_by_default: true). Erst nach deiner ausdrücklichen, aktiven Einwilligung im Registrierungs-/Onboarding-Prozess oder in den App-Einstellungen wird die Erfassung gestartet.
• Vollständige Eingabemaskierung: Sämtliche Tastatureingaben, Formularfelder, Passwörter sowie besonders sensible Inhalte (gekennzeichnet via [data-private]) werden bei Session-Aufzeichnungen bereits im Browser des Nutzers unkenntlich gemacht und niemals an PostHog übertragen.
• Kein Tracking auf der Marketing-Startseite: Auf der Marketing-Präsenz (purerep.de) wird PostHog zu keinem Zeitpunkt geladen oder ausgeführt.
• Identified-Only Profile: Es werden keine persistenten Nutzerprofile für anonyme Besucher ohne Benutzerkonto angelegt.

Auftragsverarbeitungsvertrag (AVV / DPA): Wir haben mit PostHog Inc. einen rechtsgültigen Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen. Hierin verpflichtet sich PostHog, die Daten unserer Nutzer ausschließlich nach unseren Weisungen und unter Einhaltung des europäischen Datenschutzniveaus zu verarbeiten. Soweit eine Übermittlung in die USA nicht gänzlich ausgeschlossen werden kann, erfolgt diese auf Grundlage des EU-U.S. Data Privacy Frameworks bzw. der Standardvertragsklauseln der EU-Kommission.

Rechtsgrundlagen:

• § 25 Abs. 1 TDDDG: Speicherung von Informationen auf deinem Endgerät bzw. Zugriff auf Informationen, die bereits in deinem Endgerät gespeichert sind (z. B. Cookies / LocalStorage).
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Verarbeitung deiner pseudonymisierten Nutzungs- und Interaktionsdaten sowie Session-Aufzeichnungen.

Widerruf der Einwilligung (Opt-Out): Die Erteilung deiner Einwilligung ist vollkommen freiwillig. Die Nutzung von PureRep ist selbstverständlich auch ohne Nutzungsanalyse ohne Einschränkungen möglich. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft in deinem Benutzerprofil unter „Profil → Datenschutz & Privatsphäre“ per Schiebeschalter widerrufen oder erneut aktivieren. Mit dem Deaktivieren wird die Erfassung durch PostHog unmittelbar technisch eingestellt.

E. Schriftarten (Google Fonts – lokal gehostet)

Wir verwenden zur einheitlichen und ansprechenden typografischen Gestaltung Schriftarten. Diese Schriftarten sind vollständig lokal auf unseren eigenen Servern eingebunden. Es findet zu keinem Zeitpunkt eine Verbindungsaufnahme zu Servern von Google zur Bereitstellung der Schriftarten statt.

F. Cloudflare Turnstile (Login & Registrierung)

Zusätzlich zu Firebase App Check (siehe B.) setzen wir gezielt auf unseren Anmelde- und Registrierungsseiten Cloudflare Turnstile im unsichtbaren Modus ein (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA), um Spam, Brute-Force-Angriffe und automatisierte Bot-Registrierungen zu erschweren.

Zweck: Schutz der Anmelde- und Registrierungsformulare vor Spam, Brute-Force-Angriffen und automatisierten Bots.

Datenverarbeitung: Das zugehörige Skript wird ausschließlich auf den Seiten „Anmelden“ und „Registrieren“ dynamisch nachgeladen, nirgendwo sonst in der App. Turnstile verarbeitet hierbei browser- und gerätebezogene Telemetriedaten (u. a. IP-Adresse, Geräte- und Browserinformationen, Verhaltensmuster) ausschließlich zur Bot-Erkennung, vollständig unsichtbar und ohne Interaktion deinerseits. Es werden keine Nutzerprofile für Werbezwecke erstellt und keine privaten Daten ausgelesen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Systemsicherheit und Stabilität der Plattform).

Drittlandtransfer & weitere Informationen: Anbieter ist Cloudflare, Inc. (USA). Maßgeblich für den unsichtbaren Modus ist das Cloudflare Turnstile Privacy Addendum sowie die allgemeine Datenschutzerklärung von Cloudflare.