Datenschutzerklärung
Stand: 9. November 2026. Gilt für die App „RackDay“ (Android) und diese Webseiten.
1. Verantwortlicher
Paul Kokott, Klausnerweg 18, 85101 Lenting, Deutschland. E-Mail: support@rackday.app. Ein Datenschutzbeauftragter ist nicht bestellt (nicht erforderlich).
2. Was RackDay verarbeitet
| Daten | Wozu | Rechtsgrundlage |
|---|---|---|
| Konto: zufällige Nutzer-ID; nach dem Sichern E-Mail-Adresse oder Google-Konto (E-Mail, Name und Bild, wie Google sie übermittelt) | Konto, Anmeldung, Wiederherstellung auf neuem Handy | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Profil: Anzeigename, Sprache, Einheit, Erinnerungszeiten, Avatar, Freundescode | App-Funktionen, Freunde | Art. 6 Abs. 1 lit. b DSGVO |
| Trainingsdaten: Ziel, Erfahrung, Trainingstage, Ausstattung, freiwillige Einschränkungen/Verletzungen, Pläne, Trainings, Sätze, Gewichte, Wiederholungen, Technikbewertungen, Notizen, Streaks, Erfolge | Trainingsplanung, Fortschritt, Sicherung und Sync | Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung), da Trainingsdaten Rückschlüsse auf die Gesundheit zulassen können; ergänzend Art. 6 Abs. 1 lit. b |
| AI-Aufträge: die für die Funktion nötigen Trainingsangaben, deine Frage, aus Screenshots auf dem Handy erkannter Text, Inhalt importierter Dateien; Ergebnis, Modell, Tokenverbrauch. Bilder werden nicht gespeichert. | AI-Funktionen (Plan erstellen, Import, Fragen zur Ausführung, Analyse); Abrechnung des monatlichen AI-Guthabens | Art. 9 Abs. 2 lit. a DSGVO (eigene, freiwillige Einwilligung „AI-Funktionen“, getrennt von der Einwilligung für Gesundheitsdaten) |
| Gemeinsames Training und Freunde: Freundschaften, Sitzungen, Bewertungen von Trainingspartnern, geteilte Pläne | Soziale Funktionen, die du selbst nutzt | Art. 6 Abs. 1 lit. b; Art. 9 Abs. 2 lit. a |
| Verknüpfung mit der alten Pump-App (optional, nur wenn du sie in den Einstellungen startest): „Pump“ ist die Vorgänger-App desselben Anbieters, ihre Daten liegen bei Microsoft PlayFab. Deine alte E-Mail und dein altes Passwort gehen vom Handy direkt an PlayFab und werden von RackDay nicht gespeichert. RackDay speichert die PlayFab-ID, die alte E-Mail-Adresse und eine Kopie deiner alten Pläne und Trainings, aus der du Daten in RackDay übernimmst. | Übernahme deiner alten Daten | Art. 6 Abs. 1 lit. b; Art. 9 Abs. 2 lit. a |
| Technische Daten: IP-Adresse und Zeitpunkt in Server-Protokollen, Zähler gegen Missbrauch (z. B. Code-Eingaben) | Betrieb, Sicherheit, Missbrauchsschutz | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Dienst) |
| Kontaktformular und E-Mails an mich: Name (freiwillig), E-Mail-Adresse, Nachricht; für die Begrenzung gegen Spam ein Hashwert deiner IP-Adresse für eine Stunde | Deine Anfrage beantworten | Art. 6 Abs. 1 lit. b bzw. f DSGVO |
| Absturzberichte (nur wenn eingeschaltet): Fehlermeldung, Gerätemodell, Android- und App-Version, besuchte Bildschirme; keine Trainingsinhalte, keine E-Mail, keine Nutzer-ID | Fehler finden und beheben | Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG (Einwilligung) |
Auf dem Handy speichert RackDay deine Daten in einer lokalen Datenbank, damit die App ohne Verbindung funktioniert (§ 25 Abs. 2 Nr. 2 TDDDG, unbedingt erforderlich). RackDay nutzt keine Werbung, kein Tracking und keine Analyse-Dienste.
3. Ohne Einwilligung
Ohne Einwilligung in die Verarbeitung von Gesundheitsdaten läuft RackDay nur auf deinem Handy: kein Konto, kein Sync, keine AI-Funktionen, keine Freunde. Die AI-Funktionen haben zusätzlich eine eigene, freiwillige Einwilligung; ohne sie geht alles andere weiter. Du kannst die Einwilligung jederzeit unter Einstellungen → Datenschutz widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
4. Empfänger und Auftragsverarbeiter
- Supabase Inc. (Datenbank, Anmeldung, Server-Funktionen), Server in Frankfurt am Main (EU). Auftragsverarbeitungsvertrag; für Zugriffe aus den USA Standardvertragsklauseln.
- Mistral AI SAS, Paris, Frankreich (AI-Funktionen, nur wenn du sie eingeschaltet hast). Verarbeitung in Rechenzentren in der EU und im EWR/der EFTA; Auftragsverarbeitungsvertrag. Es gehen nur die für den Auftrag nötigen Trainingsangaben hin, nie E-Mail, Name oder Nutzer-ID. Mistral nutzt sie nicht zum Training seiner Modelle und speichert sie höchstens 30 Tage zur Missbrauchskontrolle. Das verwendete Sprachmodell stammt von DeepSeek, läuft aber bei Mistral in der EU; an DeepSeek oder nach China gehen keine Daten.
- Microsoft Corporation (PlayFab), USA, nur bei der Verknüpfung mit der alten Pump-App: Dort liegen die Daten der alten App; RackDay ruft sie einmalig ab. Microsoft ist nach dem EU-US Data Privacy Framework zertifiziert.
- Google (Anmeldung mit Google, wenn du sie wählst; Vertrieb über Google Play).
- Functional Software Inc. (Sentry), Datenspeicherung in der EU, nur bei eingeschalteten Absturzberichten.
- Hostinger International Ltd. (Larnaka, Zypern) für diese Webseiten.
- Freunde und Trainingspartner sehen nur, was die App ihnen zeigt: Anzeigename, Avatar, Streak; beim gemeinsamen Training die Übung und Sätze der laufenden Einheit; von dir geteilte Pläne.
5. Speicherdauer
- Kontodaten und Trainingsdaten: bis du dein Konto löschst.
- Nie gesicherte Konten, die 90 Tage nicht benutzt wurden: werden automatisch mit allen Daten gelöscht.
- Geteilte Pläne: höchstens 30 Tage. Zähler gegen Missbrauch: höchstens 1 Tag.
- Server-Protokolle: nach den Fristen von Supabase 1 Tag (Free-Plan). Absturzberichte: 90 Tage. AI-Anfragen bei Mistral: höchstens 30 Tage.
- Sicherungskopien der Datenbank: werden nach höchstens 30 Tagen überschrieben.
- Nachrichten über das Kontaktformular oder per E-Mail: bis die Anfrage erledigt ist, höchstens 1 Jahr.
6. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (16), Löschung (17), Einschränkung (18), Datenübertragbarkeit (20) und Widerspruch (21) sowie das Recht, Einwilligungen jederzeit zu widerrufen (Art. 7 Abs. 3). In der App: Einstellungen → Daten exportieren (JSON) und Einstellungen → Konto → Konto löschen; ohne App: Konto löschen. Sonst genügt eine E-Mail an support@rackday.app. Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Ansbach.
7. Keine automatisierten Entscheidungen
AI-Ergebnisse sind Entwürfe. Sie werden geprüft und erst übernommen, wenn du sie bestätigst. Es gibt keine automatisierte Entscheidung mit rechtlicher Wirkung (Art. 22).
8. Alter
RackDay richtet sich an Personen ab 18 Jahren.
9. Sicherheit
Verbindungen sind verschlüsselt (TLS). Jede Tabelle ist durch Zugriffsregeln geschützt, sodass nur du deine Daten lesen kannst.
10. Änderungen
Ändert sich diese Erklärung wesentlich, fragt die App erneut nach deiner Einwilligung.
Privacy policy
As of: 9 November 2026. Applies to the RackDay app (Android) and these web pages.
1. Controller
Paul Kokott, Klausnerweg 18, 85101 Lenting, Germany. E-mail: support@rackday.app. No data protection officer is appointed (not required).
2. What RackDay processes
| Data | Purpose | Legal basis |
|---|---|---|
| Account: random user id; once secured, e-mail address or Google account (e-mail, name and picture as Google sends them) | Account, sign-in, restoring on a new phone | Art. 6(1)(b) GDPR (contract) |
| Profile: display name, language, unit, reminder times, avatar, friend code | App features, friends | Art. 6(1)(b) GDPR |
| Training data: goal, experience, training days, equipment, optional limitations/injuries, plans, workouts, sets, weights, reps, technique ratings, notes, streaks, milestones | Training planning, progress, backup and sync | Art. 9(2)(a) GDPR (explicit consent), because training data can say something about health; also Art. 6(1)(b) |
| AI jobs: the training details a feature needs, your question, text recognized from screenshots on the phone, content of imported files; result, model, token use. Images are not stored. | AI features (create a plan, import, form questions, analysis); counting the monthly AI credit | Art. 9(2)(a) GDPR (its own optional consent "AI features", separate from the health-data consent) |
| Training together and friends: friendships, sessions, ratings of training partners, shared plans | Social features you use yourself | Art. 6(1)(b); Art. 9(2)(a) |
| Link to the old Pump app (optional, only if you start it in the settings): "Pump" is the predecessor app of the same provider; its data is held at Microsoft PlayFab. Your old e-mail and password go from the phone straight to PlayFab and are not stored by RackDay. RackDay stores the PlayFab id, the old e-mail address and a copy of your old plans and workouts, from which you take data into RackDay. | Taking over your old data | Art. 6(1)(b); Art. 9(2)(a) |
| Technical data: IP address and time in server logs, counters against abuse (e.g. code entries) | Operation, security, abuse protection | Art. 6(1)(f) GDPR (legitimate interest in a secure service) |
| Contact form and e-mails to me: name (optional), e-mail address, message; for the spam limit a hash of your IP address for one hour | Answering your request | Art. 6(1)(b) or (f) GDPR |
| Crash reports (only when switched on): error message, device model, Android and app version, screens visited; no training content, no e-mail, no user id | Finding and fixing errors | Art. 6(1)(a) GDPR, § 25(1) TDDDG (consent) |
On the phone RackDay keeps your data in a local database so the app works without a connection (§ 25(2) no. 2 TDDDG, strictly necessary). RackDay uses no advertising, no tracking and no analytics services.
3. Without consent
Without consent to the processing of health data RackDay runs on your phone only: no account, no sync, no AI features, no friends. The AI features have their own optional consent on top; without it everything else keeps working. You can withdraw consent at any time under Settings → Privacy; processing that happened before stays lawful.
4. Recipients and processors
- Supabase Inc. (database, sign-in, server functions), servers in Frankfurt am Main (EU). Data processing agreement; standard contractual clauses for access from the US.
- Mistral AI SAS, Paris, France (AI features, only if you switched them on). Processing in data centres in the EU and EEA/EFTA; data processing agreement. Only the training details a job needs are sent, never e-mail, name or user id. Mistral does not use them to train its models and keeps them for at most 30 days for abuse monitoring. The language model comes from DeepSeek but runs at Mistral in the EU; no data goes to DeepSeek or to China.
- Microsoft Corporation (PlayFab), USA, only when linking the old Pump app: the old app's data is held there; RackDay fetches it once. Microsoft is certified under the EU-US Data Privacy Framework.
- Google (sign-in with Google if you choose it; distribution via Google Play).
- Functional Software Inc. (Sentry), data stored in the EU, only with crash reports switched on.
- Hostinger International Ltd. (Larnaca, Cyprus) for these web pages.
- Friends and training partners see only what the app shows them: display name, avatar, streak; when training together the exercise and sets of the running session; plans you share.
5. Retention
- Account and training data: until you delete your account.
- Accounts that were never secured and not used for 90 days: deleted automatically with all their data.
- Shared plans: at most 30 days. Abuse counters: at most 1 day.
- Server logs: per Supabase's retention 1 day (free plan). Crash reports: 90 days. AI requests at Mistral: at most 30 days.
- Database backups: overwritten after at most 30 days.
- Messages via the contact form or e-mail: until the request is settled, at most 1 year.
6. Your rights
You have the right of access (Art. 15), rectification (16), erasure (17), restriction (18), data portability (20) and objection (21), and you can withdraw consent at any time (Art. 7(3)). In the app: Settings → Export data (JSON) and Settings → Account → Delete account; without the app: delete account. Otherwise an e-mail to support@rackday.app is enough. You can complain to a data protection supervisory authority, e.g. the Bavarian Data Protection Authority (BayLDA), Ansbach.
7. No automated decisions
AI results are drafts. They are checked and only applied when you confirm them. There is no automated decision with legal effect (Art. 22).
8. Age
RackDay is meant for people aged 18 and over.
9. Security
Connections are encrypted (TLS). Every table is protected by access rules so that only you can read your data.
10. Changes
If this policy changes in substance, the app asks for your consent again.