Datenschutzerklärung

Fassung vom 28. August 2026 · Geltungsbereich: milewise.de, app.milewise.de, admin.milewise.de, die Milewise-Apps für iOS und Android sowie die elektronische Kommunikation des Verantwortlichen · English version

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden „DSGVO“) ist:

Ein Datenschutzbeauftragter ist derzeit nicht bestellt. Sämtliche Anfragen zum Datenschutz sind an die vorstehenden Kontaktdaten zu richten.

2. Allgemeine Hinweise und Begriffe

Milewise ist ein KI-gestützter Trainingscoach. Nutzerinnen und Nutzer verbinden ihre eigenen Trainingskonten (intervals.icu, Polar, Suunto und/oder Strava) und können in der iOS-App zusätzlich Apple Health freigeben; auf dieser Grundlage erstellt ein KI-System individuelle Trainingspläne, Einschätzungen und Rückmeldungen. Gegenstand der Verarbeitung sind dabei auch Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO.

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich im Einklang mit der DSGVO, dem Bundesdatenschutzgesetz (BDSG) und dem Telekommunikation-Digitale-Dienste- Datenschutz-Gesetz (TDDDG), insbesondere nach den Grundsätzen des Art. 5 DSGVO (Rechtmäßigkeit, Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität und Vertraulichkeit). Es werden keine Analyse-, Tracking- oder Werbedienste eingesetzt. Eine Übermittlung an Dritte zu Werbezwecken, eine werbliche Profilbildung sowie ein Verkauf personenbezogener Daten finden nicht statt. Die in dieser Erklärung verwendeten Begriffe (etwa „personenbezogene Daten“, „Verarbeitung“, „Auftragsverarbeiter“, „betroffene Person“) entsprechen den Begriffsbestimmungen des Art. 4 DSGVO.

Ob und in welchem Umfang die Bereitstellung personenbezogener Daten erforderlich ist und welche Folgen eine Nichtbereitstellung hat, ist in Ziffer 15 gesondert dargestellt (Art. 13 Abs. 2 lit. e DSGVO).

3. Übersicht der Rechtsgrundlagen

Die Verarbeitung stützt sich, je nach Verarbeitungsvorgang, auf die folgenden Rechtsgrundlagen; die maßgebliche Rechtsgrundlage ist bei der jeweiligen Verarbeitung in dieser Erklärung benannt:

• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung (Warteliste, Übermittlung geplanter Trainingseinheiten, Lesezugriff auf einen verbundenen Google Kalender nach Ziffer 8.1, Übertragung des Kalenders eines Mobilgeräts nach Ziffer 8.3);
• Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO: ausdrückliche Einwilligung in die Verarbeitung von Gesundheitsdaten (Trainings-Coaching einschließlich der aus Apple Health übertragenen Werte nach Ziffer 8; ferner Termindaten aus einem verbundenen Google Kalender oder aus dem Kalender eines Mobilgeräts, soweit sie solche Angaben enthalten, Ziffern 8.1 und 8.3);
• Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung bzw. vorvertragliche Maßnahmen (Bereitstellung der Anwendung, Kontoverwaltung, Bearbeitung von Anfragen, Kopplung der Milewise-App an das Konto nach Ziffer 7 sowie die Abwicklung eines Abonnements);
• Art. 6 Abs. 1 lit. c DSGVO: rechtliche Verpflichtungen, insbesondere steuerrechtliche Aufbewahrungspflichten für Zahlungsunterlagen (Ziffer 16);
• Art. 6 Abs. 1 lit. f DSGVO: berechtigte Interessen (technischer Betrieb, Systemsicherheit, Missbrauchsabwehr einschließlich der Kontrolle, dass die kostenlose Testphase nur einmal je verbundener Integration gewährt wird, Ziffer 12).

4. Hosting und Server-Protokolldaten

Die Dienste werden auf einem vom Verantwortlichen betriebenen Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, in einem Rechenzentrum in Deutschland gehostet. Mit der Hetzner Online GmbH besteht ein Vertrag über die Auftragsverarbeitung gemäß Art. 28 DSGVO.

Bei jedem Zugriff verarbeitet der Webserver automatisiert folgende Protokolldaten: die IP-Adresse des zugreifenden Endgeräts, Datum und Uhrzeit des Zugriffs, die abgerufene Ressource, den HTTP-Statuscode, die übertragene Datenmenge, die Referrer-URL sowie die Browser- und Betriebssystemkennung. Diese Verarbeitung dient dem technischen Betrieb, der Gewährleistung der Systemsicherheit und der Abwehr missbräuchlicher Zugriffe; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Protokolldateien des Webservers werden täglich rotiert und nach 14 Tagen gelöscht; die eigenen Protokollausgaben der Anwendung werden ebenfalls 14 Tage vorgehalten. Eine Kopie dieser Ausgaben gelangt zusätzlich in das allgemeine Systemprotokoll des Servers, das wöchentlich rotiert wird und Einträge daher bis zu fünf Wochen vorhält, bevor sie gelöscht werden. Eine Zusammenführung mit anderen Datenbeständen findet nicht statt.

Unabhängig von den vorgenannten Webserver-Protokollen führt die Anwendung ein Sicherheitsprotokoll (Audit-Log). Darin werden ausschließlich sicherheitsrelevante Ereignisse festgehalten: erfolgreiche und fehlgeschlagene Anmeldungen, Ergebnisse der Prüfung eines zweiten Anmeldefaktors, abgewiesene Zugriffe, ausgelöste Sperren sowie administrative Eingriffe. Verarbeitet werden Zeitpunkt, Art des Ereignisses, die IP-Adresse, die aufgerufene Route, die Anfragemethode, ein kurzer, nicht geheimer Ereignisvermerk sowie gegebenenfalls die Kennung des handelnden Kontos. Passwörter, Zugangsdaten, Sitzungs-Cookies und Inhaltsdaten werden dabei nicht gespeichert. Zweck ist ausschließlich die Erkennung und Aufklärung von Angriffen auf die Konten der Nutzer; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (vgl. Erwägungsgrund 49) in Verbindung mit der Pflicht zu geeigneten technischen Maßnahmen nach Art. 32 DSGVO. Die Einträge werden automatisch nach 30 Tagen gelöscht. Wird ein Konto gelöscht, so wird der Bezug zu diesem Konto in den Einträgen entfernt (Art. 17 DSGVO); der dann pseudonyme Sicherheitsvermerk bleibt bis zum Ablauf der 30 Tage bestehen, damit die Löschung eines Kontos nicht zugleich die Spuren eines Angriffs beseitigt. Entfernt wird dabei allein die Konto-Kennung; die IP-Adresse, die Route, die Anfragemethode und der kurze Ereignisvermerk bleiben für den Rest der 30 Tage erhalten, weshalb der Eintrag pseudonym und nicht anonym ist. Eine Profilbildung oder Verhaltensanalyse findet nicht statt.

Neben diesem Protokoll führt die Anwendung eine kurze Betriebsmeldungs-Historie der Benachrichtigungen, die sie dem Verantwortlichen über den Zustand des Dienstes schickt (ein fehlgeschlagener Hintergrundauftrag, eine Häufung abgewiesener Anfragen, eine Anmeldung an der Verwaltungsoberfläche, ein gelöschtes Konto). Gespeichert werden je Benachrichtigung Betreff, Text, Priorität, ein Schlüssel zur Dublettenerkennung und der Zeitpunkt. Dieser Schlüssel kann eine IP-Adresse enthalten (bei der Benachrichtigung zu Häufungen und bei der zur Anmeldung an der Verwaltungsoberfläche) oder eine Konto-Kennung (bei den beiden Benachrichtigungen zu einem gelöschten Konto); er bewirkt, dass je Quelle eine Benachrichtigung entsteht und nicht je Ereignis. Er besteht allein auf dem Server des Verantwortlichen und wird nicht übermittelt. Die Einträge werden automatisch nach 30 Tagen gelöscht. Diese Historie hat keine Kontospalte; sie wird deshalb von der Löschung eines Kontos nicht erfasst und ist nicht Teil der Datenauskunft. Begrenzt wird sie allein durch die automatische Löschung nach 30 Tagen, und genau dazu besteht diese Frist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse an einem zuverlässigen Betrieb und daran, Angriffe zu bemerken). Die tatsächlich versendete Benachrichtigung auf das Telefon des Verantwortlichen enthält kein identifizierendes Element: Sie nennt, was geschehen ist, und verweist auf die Verwaltungsoberfläche, in der der vollständige Eintrag steht. Zugestellt wird sie über einen Push-Dienst (ntfy), der damit keine personenbezogenen Daten der betroffenen Person erhält.

Die Auflösung der Domainnamen erfolgt über den DNS-Dienst von Cloudflare; der inhaltliche Datenverkehr der Website und der Anwendung wird nicht über Cloudflare geleitet.

5. Aufruf der Website milewise.de

Die öffentliche Website ist statisch ausgestaltet. Es werden keine Cookies gesetzt, keine Analyse-, Tracking- oder Werbedienste eingesetzt und keine Inhalte Dritter (Schriften, Skripte, eingebettete Medien Dritter) nachgeladen; dies ist serverseitig durch eine Content-Security-Policy abgesichert, die eine Verbindung zu keinem anderen Host als der im folgenden Absatz beschriebenen eigenen Anwendungsdomain des Verantwortlichen zulässt.

Beim bloßen Aufruf der Seiten fallen ausschließlich die unter Ziffer 4 genannten Server-Protokolldaten an. Darüber hinaus enthält die Startseite ein Eingabefeld, das erst dann etwas verarbeitet, wenn die Besucherin oder der Besucher es aktiv benutzt: das Wartelisten-Formular (Ziffer 6). Es sendet seine Eingaben an den Server des Verantwortlichen, nicht an einen Dritten.

Die Website speichert keine Informationen auf dem Endgerät und liest keine dort gespeicherten Informationen aus: sie setzt keine Cookies und nutzt weder localStorage noch sessionStorage. Nach dem Stand dieser Fassung bedarf es daher keiner Einwilligung nach § 25 Abs. 1 TDDDG, und ein Einwilligungsbanner wird nicht vorgehalten. Diese Aussage betrifft ausschließlich die Website in ihrer derzeitigen Ausgestaltung; sie wird überprüft und angepasst, sobald sich daran etwas ändert. Für die technisch erforderlichen Cookies der Anwendung gilt Ziffer 7.

Besteht bereits eine Sitzung in der Anwendung, ersetzt die Seite die Schaltfläche „Request an invite“ durch „Open app“. Hierzu sendet der Browser eine einzelne Anfrage an app.milewise.de, eine Domain desselben Verantwortlichen, und übermittelt dabei das bestehende Erstanbieter-Sitzungscookie; die Antwort gibt ausschließlich Auskunft darüber, ob eine Sitzung besteht. Dritte sind nicht beteiligt, es werden keine zusätzlichen Daten gespeichert, und bei einem Fehler bleibt schlicht die Einladungsschaltfläche bestehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse daran, angemeldeten Besuchern den richtigen Einstieg zu zeigen).

6. Warteliste

Über ein Formular auf der Website kann sich die betroffene Person in eine Warteliste für den Zugang zur Anwendung eintragen. Verarbeitet werden die E-Mail-Adresse, die Angabe der Hauptsportart und einer Preisvorstellung sowie die Sprache der Anmeldung („de“ oder „en“, aus der aufgerufenen Seite oder der Spracheinstellung des Browsers). Zwecke der Verarbeitung sind die Verwaltung und Vergabe von Zugangseinladungen sowie die Ermittlung einer angemessenen Preisgestaltung des künftigen Angebots; die Sprache wird gespeichert, weil die Bestätigungs- und die spätere Einladungs-E-Mail in ihr versandt werden und es hierfür kein Konto und keine spätere Anfrage der betroffenen Person gibt, aus der sie abgeleitet werden könnte.

Die Eintragung erfolgt im Double-Opt-in-Verfahren: Sie wird erst wirksam, wenn die betroffene Person den per E-Mail übersandten Bestätigungslink betätigt. Der Zeitpunkt der Bestätigung wird als Nachweis der Einwilligung protokolliert. Rechtsgrundlage der Verarbeitung ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Bestätigungs- und Einladungslinks sind auf 14 Tage befristet, nur einmal verwendbar und werden serverseitig ausschließlich als kryptografische Prüfsumme (SHA-256) gespeichert.

Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen und die Löschung des Eintrags verlangt werden (Ziffer 18). Nicht bestätigte Einträge werden nicht erneut kontaktiert; abgelehnte oder archivierte Einträge werden spätestens zwölf Monate nach der Archivierung automatisch gelöscht.

7. Registrierung und Anmeldung

Die Anwendung ist gegenwärtig nur auf Einladung nutzbar. Die Registrierung und Anmeldung erfolgen über die Identitätsdienste Google, Apple („Anmelden mit Apple“) oder Strava im OAuth-2.0-Verfahren. Der Verantwortliche erhält und speichert dabei: von Google die verifizierte E-Mail-Adresse, den Anzeigenamen und die Konto-Kennung; von Apple eine gegenüber Milewise gleichbleibende Konto-Kennung, die verifizierte E-Mail-Adresse sowie den Namen, letzteren ausschließlich bei der allerersten Anmeldung mit diesem Apple-Konto; von Strava die Athleten-Kennung und den Namen. Ein eigenes Passwort wird nicht erhoben. Ein Zugriffstoken von Apple wird nicht gespeichert. Der bei der Anmeldung über Google angeforderte Berechtigungsumfang ist unverändert auf die Identitätsfeststellung beschränkt („openid“, E-Mail-Adresse und Profil). Ein Zugriff auf den persönlichen Google Kalender der betroffenen Person wird dabei nicht angefordert; er ist Gegenstand einer gesonderten, freiwilligen Einwilligung, die nur auf ausdrückliche Veranlassung in der Anwendung erteilt wird und den Berechtigungsumfang „https://www.googleapis.com/auth/calendar.readonly“ umfasst. Dieser Berechtigungsumfang erlaubt ausschließlich das Lesen; in den persönlichen Kalender der betroffenen Person wird zu keinem Zeitpunkt geschrieben. Einzelheiten enthält Ziffer 8.1. Bei der Anmeldung über Strava wird darüber hinaus Lesezugriff auf die Aktivitäten des Strava-Kontos (einschließlich privater Aktivitäten) angefordert und das Konto zugleich als Trainingsdatenquelle im Sinne der Ziffer 8 verbunden; das hierfür erforderliche Zugriffstoken wird verschlüsselt gespeichert. Rechtsgrundlage der Anmeldung ist Art. 6 Abs. 1 lit. b DSGVO; für die Trainingsdaten gilt Ziffer 8.

Anmelden mit Apple: zwei Besonderheiten, die offen genannt werden. Wird bei Apple die Option „E-Mail-Adresse verbergen“ gewählt, teilt Apple statt der eigenen Adresse eine anwendungsspezifische Weiterleitungsadresse mit (Endung „@privaterelay.appleid.com“). Diese wird wie jede andere verifizierte Adresse gespeichert und ist, solange keine eigene Kontakt-E-Mail-Adresse hinterlegt ist, auch diejenige Adresse, an die der Verantwortliche schreibt. Zum Zweiten werden ein Google- und ein Apple-Zugang, die dieselbe verifizierte E-Mail-Adresse ausweisen, demselben Milewise-Konto zugeordnet, damit für dieselbe Person nicht zwei Konten entstehen; eine Weiterleitungsadresse stimmt mit keiner anderen Adresse überein, sodass in diesem Fall ein eigenes Konto entsteht. Verknüpft werden dabei ausschließlich die Anmeldeidentitäten; an Apple werden weder Trainings- noch Gesundheitsdaten übermittelt.

Zur Kontoführung wird ferner der Zeitpunkt der letzten Nutzung der Anwendung gespeichert (ein einzelner Zeitstempel je Konto, der höchstens stündlich aktualisiert wird). Er dient ausschließlich einem Zweck: Konten, die längere Zeit nicht genutzt wurden, erhalten die tägliche automatisierte Trainingsanalyse (Ziffer 9) nicht mehr im Voraus, sondern erst beim nächsten Öffnen der Anwendung. Damit wird die Verarbeitung von Gesundheitsdaten auf die Zeiträume beschränkt, in denen sie tatsächlich genutzt wird (Grundsatz der Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO). Es findet keine darüber hinausgehende Auswertung des Nutzungsverhaltens statt, kein Tracking einzelner Seitenaufrufe und keine Profilbildung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; der Zeitstempel wird mit dem Konto gelöscht.

Unabhängig vom Anmeldedienst kann die betroffene Person in der Anwendung eine Kontakt-E-Mail-Adresse in ihrem Profil hinterlegen. Diese Adresse wird zum Zweck der Kontokommunikation gespeichert (insbesondere für den Versand des Datenexports nach Ziffer 18) und kann jederzeit in der Anwendung geändert oder entfernt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Dienstes).

Zur Aufrechterhaltung der Sitzung wird ein technisch erforderliches Anmelde-Cookie gesetzt (HttpOnly; Gültigkeitsdauer 30 Tage; Geltungsbereich .milewise.de). Während des Anmeldevorgangs wird zusätzlich ein kurzlebiges Sicherheits-Cookie (Gültigkeitsdauer höchstens zehn Minuten) zur Abwehr von Anmeldemissbrauch (Login-CSRF) gesetzt. Beide Cookies sind für den Dienst unbedingt erforderlich im Sinne des § 25 Abs. 2 Nr. 2 TDDDG. Einladungskennungen werden clientseitig ausschließlich im sitzungsgebundenen Speicher (sessionStorage) des Browsers gehalten und mit dem Schließen des Tabs verworfen.

Kopplung der Milewise-App. Wird die App für iOS oder Android mit dem Konto verbunden, erhält das Gerät ein eigenes Zugangsmerkmal (Geräte-Token), mit dem die App ihre Anfragen ausweist. Die Kopplung wird entweder in der Web-Anwendung ausgelöst, was eine dortige Anmeldung voraussetzt, oder unmittelbar in der App über „Mit Apple anmelden“; im zweiten Fall ist keine Anmeldung im Browser erforderlich. Das Token selbst wird nicht gespeichert, sondern ausschließlich sein Hashwert (SHA-256). Gespeichert werden daneben eine vom Gerät gemeldete Bezeichnung (etwa „Apple iPhone 15“), der Zeitpunkt der Kopplung und der Zeitpunkt der letzten Nutzung. Eine Abmeldung beendet sämtliche Sitzungen des Kontos und macht damit auch gekoppelte Geräte unwirksam; meldet sich die App selbst ab, wird ihr Datensatz gelöscht. Mit der Löschung des Kontos werden diese Angaben gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

8. Trainings- und Gesundheitsdaten (Art. 9 DSGVO)

Kern des Dienstes ist die Verarbeitung der Trainingsdaten, die die betroffene Person über ihre selbst verbundenen Konten bei intervals.icu, Polar (Polar Flow / AccessLink), Suunto (Suunto Cloud API) und/oder Strava bereitstellt. In der Milewise-App für iOS kann zusätzlich Apple Health als Quelle freigegeben werden; was von dort übertragen wird, ist weiter unten in dieser Ziffer gesondert beschrieben. Die Verbindung wird von der betroffenen Person selbst im OAuth-2.0-Verfahren hergestellt und kann in der Anwendung jederzeit wieder getrennt werden. Abgerufen werden insbesondere die Daten, die das Wearable der betroffenen Person (etwa eine Garmin-, Polar- oder Suunto-Uhr) an diese Dienste überträgt:

• Aktivitätsdaten: Sportart, Distanz, Dauer, Pace bzw. Leistung, Herzfrequenz, Trittfrequenz, Kalorienumsatz, Trainingslast, eigene Beschreibungen und Notizen sowie GPS-Streckendaten;
• Erholungs- und Wellnessdaten: Schlaf einschließlich Schlafphasen, Herzratenvariabilität (HRV), Ruhepuls, Sauerstoffsättigung (SpO2), subjektives Befinden (Stimmung, Ermüdung, Muskelkater), Angaben zu Verletzungen, Körpergewicht und Körperfettanteil sowie Ernährungs- und Fuelling-Aufzeichnungen; bei Polar zusätzlich die dortigen Erholungswerte („Nightly Recharge“), die Tagesaktivität und die fortlaufende Herzfrequenzmessung; bei Suunto ausschließlich Zusammenfassungen der Aktivitäten (Sportart, Startzeit, Dauer, Distanz, Höhen- meter, Herzfrequenz-Mittel- und -Maximalwert, Energieumsatz) sowie, aus der zugehörigen FIT-Datei, GPS-Strecke, Runden, Leistung und Trittfrequenz; seit dem 12. August 2026 zusätzlich Schlaf- und Erholungsdaten (Schlafdauer und -phasen, Schlafscore, Herzfrequenzvariabilität, niedrigste Herzfrequenz, Sauerstoffsättigung, Erholungswerte). Diese übermittelt Suunto teils von sich aus an Milewise, teils ruft Milewise sie ab über die 24/7-Schnittstelle von Suunto, soweit diese für Milewise freigeschaltet ist; auf diesem Weg können auch Daten aus der Zeit vor dem Verbinden verarbeitet werden. Steht der Abruf nicht zur Verfügung, liegt ausschließlich das vor, was nach dem Verbinden übermittelt wurde. Gespeichert werden Schlaf- und Erholungsdaten nur, wenn die ausdrückliche Einwilligung in die Verarbeitung von Gesundheitsdaten vorliegt;
• Leistungsprofil: Herzfrequenzzonen, Maximal- und Ruhepuls sowie sportartspezifische Kennwerte (FTP, Laktatschwellen-Herzfrequenz, kritische Schwimmgeschwindigkeit), Trainingsziele einschließlich freier Textangaben zu Einschränkungen, Aufzeichnungen zum Krafttraining;
• die von der betroffenen Person im Coach-Dialog eingegebenen Nachrichteninhalte.

Welche dieser Angaben tatsächlich vorliegen, hängt von der jeweiligen Quelle und vom Gerät der betroffenen Person ab; nicht jede Quelle liefert jede Kategorie.

Apple Health (nur in der Milewise-App für iOS, optional, standardmäßig aus). Der Gesundheitsspeicher eines iPhones (HealthKit) kann von einem Server nicht ausgelesen werden: Er antwortet allein der App auf dem Gerät. Wird die Funktion in der App eingeschaltet und die Abfrage des Betriebssystems bestätigt, liest deshalb das Gerät selbst die nachstehenden Werte aus Apple Health und überträgt sie an den Server des Verantwortlichen: Schlaf (Gesamtschlafdauer, Zeit im Bett sowie die Aufteilung in Tief-, REM-, Kern- und Wachphasen), die Herzratenvariabilität als SDNN-Wert, die Ruheherzfrequenz und die Atemfrequenz, jeweils als ein Wert je Nacht. Nicht übertragen werden Trainingseinheiten aus Apple Health und keinerlei Standortdaten; die Rohdaten aus HealthKit selbst verlassen das Gerät nicht. Angenommen werden Nächte aus den letzten 120 Tagen; wird dieselbe Nacht erneut übertragen, ersetzt sie den vorhandenen Wert. Gespeichert wird nur, wenn die nachstehend beschriebene ausdrückliche Einwilligung in die Verarbeitung von Gesundheitsdaten vorliegt; fehlt sie, wird die Übertragung verworfen. Diese Werte sind Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO und sie sind in der Datenauskunft nach Art. 15 DSGVO enthalten. Dem KI-Coach werden sie derzeit nicht vorgelegt: sie werden gespeichert, aber noch von keiner Auswertung gelesen. Wird sich das ändern, wird diese Fassung vorher entsprechend geändert. Wird die Funktion in der App wieder ausgeschaltet, werden sämtliche auf diesem Weg übertragenen Nächte gelöscht; dasselbe geschieht beim Zurücksetzen und beim Löschen des Kontos. Die Berechtigung selbst wird in den Einstellungen des Geräts erteilt und kann dort jederzeit entzogen werden.

Beim Verbinden eines intervals.icu-Kontos wird zusätzlich der dort hinterlegte Athletenname gespeichert, damit das verbundene Konto in der Anwendung erkennbar bleibt; die Namen aus den Anmeldediensten sind in Ziffer 7 beschrieben. Unabhängig davon kann die betroffene Person in der Anwendung einen frei wählbaren Anzeigenamen hinterlegen. Gegenüber intervals.icu und Polar verwendet die Anwendung zur Zuordnung eine interne, nicht sprechende Kontonummer (etwa in der Form „milewise-123“); ein Name wird hierfür nicht übermittelt. Rechtsgrundlage für diese Kontoangaben ist Art. 6 Abs. 1 lit. b DSGVO.

Diese Daten stellen überwiegend Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO dar. Ihre Verarbeitung erfolgt ausschließlich auf Grundlage zweier getrennter, ausdrücklicher Einwilligungen der betroffenen Person nach Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO, jeweils über eine gesonderte, nicht vorangekreuzte Einwilligungserklärung in der Anwendung (nicht mit den Nutzungsbedingungen gebündelt); Zeitpunkt und Textversion jeder Erteilung und jedes Widerrufs werden protokolliert. (1) Aktivitäts- und Trainingsdaten (Trainingseinheiten, Strecken, Herzfrequenz während des Trainings, Trainingszonen aus den verbundenen Konten sowie die von der betroffenen Person in ihrem verbundenen Konto selbst hinterlegten Trainings-Eckwerte maximale und Ruheherzfrequenz, aus denen die Trainingszonen berechnet werden): Diese Einwilligung wird bei der ersten Anmeldung eingeholt; Zweck ist allein die Darstellung des eigenen Dashboards, der Aktivitäten und Trends der betroffenen Person. (2) Gemessene Wellness- und Erholungsdaten (Schlaf, HRV, nächtlich gemessene Ruheherzfrequenz, Atemfrequenz, Stress, Körperwerte) einschließlich ihrer Übermittlung an die unten genannten KI-Auftragsverarbeiter zum Betrieb des KI-Coachs: Diese Einwilligung wird eingeholt, bevor die erste Wellness-Quelle verbunden wird, und zwar in jedem Tarif einschließlich des kostenlosen. In der Web-Anwendung wird sie unmittelbar an der Verbinden-Schaltfläche für Polar, Suunto und intervals.icu abgefragt, ebenso in der Einrichtung nach der ersten Anmeldung, und sie kann jederzeit im Bereich „You“ → „Your data & privacy“ erteilt und widerrufen werden. In der mobilen App wird ohne diese Einwilligung kein aus Apple Health übernommener Messwert und kein Kalendereintrag des Telefons gespeichert; der Server weist die Übertragung zurück, bis die Einwilligung im selben Bereich erteilt ist. Beim Abschluss eines Abonnements wird sie auf der Bestellseite nur dann noch abgefragt, wenn sie nicht bereits vorliegt; andernfalls ist das dortige Feld bereits erfüllt. Vor dieser Einwilligung werden gemessene Wellness- und Erholungsdaten nicht erhoben; die entsprechenden Abrufe sind serverseitig gesperrt. Vor dem 11. August 2026 erteilte Einwilligungen umfassten beide Bereiche und gelten unverändert fort. Daten zur Menstruationszyklus-Phase werden nicht verarbeitet; die früher hierfür vorgesehene Zusatzeinwilligung ist am 29. Juli 2026 entfallen und die Verarbeitung wurde vollständig eingestellt. Jede der beiden Einwilligungen kann jederzeit mit Wirkung für die Zukunft in der Anwendung (Bereich „You“ → „Your data & privacy“) widerrufen werden: Mit dem Widerruf der Wellness-Einwilligung enden der KI-Coach, die Erholungsfunktionen und sämtliche automatisierten Analysen. Der Widerruf löscht zugleich die Daten, die allein auf dieser Einwilligung beruhten: die von Uhr oder Telefon übertragenen Werte zu Schlaf, HRV, Ruhepuls und Atemfrequenz (jeder Quelle, nicht nur einer) sowie die vom Telefon übertragenen Kalendereinträge. Das ist endgültig: Apple Health und die Suunto-Übertragung können vergangene Nächte nicht erneut senden. Der Nachweis der Einwilligung selbst (Zeitpunkt, Fassung, Erteilung oder Widerruf) bleibt erhalten, weil er belegt, dass der Widerruf beachtet wurde; mit dem mit dem Widerruf der Trainingsdaten-Einwilligung endet die Nutzung der Anwendung insgesamt, bis erneut eingewilligt wird. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Alleiniger Zweck der Verarbeitung ist das persönliche Trainings-Coaching der betroffenen Person. Die Nutzung setzt ein Mindestalter von 18 Jahren voraus, das bei der ersten Anmeldung abgefragt wird (gespeichert wird nur das Geburtsjahr). Verbraucherinnen und Verbraucher in den Vereinigten Staaten beachten zusätzlich die gesonderte Consumer-Health-Data-Erklärung.

8.1 Persönlicher Google Kalender (optional, gesonderte Einwilligung, ausschließlich lesend)

Die betroffene Person kann zusätzlich ihren eigenen Google Kalender verbinden, damit der KI-Coach die Trainingsplanung um ihre tatsächlichen Verpflichtungen herum legen kann (etwa Prüfungswochen, Reisen oder beruflich dichte Zeiträume). Diese Verbindung ist freiwillig und besteht standardmäßig nicht. Sie kommt nur durch eine gesonderte, in der Anwendung ausdrücklich ausgelöste Einwilligung gegenüber Google zustande und ist von der Anmeldung nach Ziffer 7 getrennt. Als zusätzlicher Berechtigungsumfang wird ausschließlich „https://www.googleapis.com/auth/calendar.readonly“ angefordert; daneben werden die bereits in Ziffer 7 genannten Identitätsangaben („openid“, E-Mail-Adresse und Profil) erneut angefordert, sodass die Einwilligungsseite von Google auch diese benennt. Der Kalender-Berechtigungsumfang ist ein reiner Lesezugriff: In den persönlichen Kalender der betroffenen Person wird zu keinem Zeitpunkt geschrieben; dort werden keine Einträge angelegt, geändert oder gelöscht. Die in Ziffer 11 beschriebene Übermittlung geplanter Trainingseinheiten betrifft ausschließlich den Kalender des intervals.icu-Kontos und ist eine hiervon getrennte Funktion.

Gelesen werden je Termin: der Name des Kalenders, der Titel des Termins, das Datum, Beginn und Ende sowie die Angabe, ob es sich um einen ganztägigen Termin handelt. Termine ohne Titel erscheinen als „(busy)“. Nicht ausgewertet werden abgesagte Termine, als „frei“ gekennzeichnete Termine (etwa Geburtstage und Feiertage), Termine, die die betroffene Person selbst abgesagt hat, sowie die von Google als Geburtstags- oder Arbeitsort-Einträge geführten Termine. Strukturierte Angaben zu anderen Teilnehmenden (Namen, E-Mail-Adressen sowie deren Zu- und Absagen) werden nicht erhoben: Die Teilnehmerliste eines Termins wird ausschließlich daraufhin ausgewertet, ob die betroffene Person selbst zu- oder abgesagt hat, und verlässt Google nicht. Ein Termintitel kann jedoch Namen anderer Personen enthalten; hierzu unten der Abschnitt „Angaben über andere Personen in Termintiteln“. Der Abruf umfasst standardmäßig die kommenden 14 Tage, höchstens 90 Tage und höchstens 120 Termine je Abruf.

Kein Bestand aus dem Google Kalender, aber Teil des Gesprächsverlaufs. Die Termindaten werden anlassbezogen während der jeweiligen Coach-Anfrage live bei Google abgerufen; jeder Abruf erfolgt in dem Augenblick, in dem der Coach die Angaben benötigt. Für den Google Kalender wird kein gesonderter Datenbestand angelegt: Die dort gelesenen Termine werden nicht in eine eigene Tabelle geschrieben, und in den Antwort-Zwischenspeicher werden Termindaten nicht geschrieben. Für den Kalender eines Mobilgeräts gilt das nicht: Dieser wird gespeichert, weil er anders nicht gelesen werden kann; Ziffer 8.3 beschreibt ihn vollständig. Ein automatisierter Abruf findet einmal täglich statt, ohne Zutun der betroffenen Person: Ist die tägliche Morgenübersicht aktiviert, ruft sie den Kalender für diesen einen Tag ab, um die Termine des Tages berücksichtigen zu können. In die Übersicht fließen nur die daraus berechneten freien und belegten Zeiten ein; die Termine selbst werden nicht gespeichert. Ist die Morgenübersicht deaktiviert, findet kein automatisierter Abruf statt. Eine Ausnahme ist zu nennen: Stellt die Anwendung beim Speichern eines Trainingsplans fest, dass eine Einheit auf einen Tag ohne freies Zeitfenster fällt oder zu kurz vor der ersten Verpflichtung des Folgetags beginnt, wird hierzu ein interner Prüfvermerk gespeichert. Er enthält das Datum, die Art der Einheit und die betreffenden Uhrzeiten, jedoch keine Termintitel, ist in der Datenauskunft nach Art. 15 DSGVO enthalten und wird mit der Löschung des Kontos gelöscht; vom Löschen eines einzelnen Gesprächs wird er nicht erfasst, und für ihn gilt nicht die Speicherdauer für Gespräche, sondern eine Begrenzung auf die neuesten Einträge dieses internen Protokolls. Die gelesenen Termine einschließlich der Termintitel werden jedoch, wie jedes andere Abfrageergebnis des Coaches, Bestandteil des Verlaufs desjenigen Gesprächs, in dem sie abgerufen wurden. Sie sind dort gespeichert, solange dieses Gespräch besteht, sind in der Datenauskunft nach Art. 15 DSGVO enthalten und befinden sich damit auch in den Sicherungskopien dieser Datenbank (Ziffer 16). Eine gesonderte Speicherfrist für Kalenderdaten gibt es nicht; es gilt die Speicherdauer für Gespräche nach Ziffer 16. Wird das Gespräch in der Anwendung gelöscht, werden die darin enthaltenen Termine mit ihm gelöscht, ebenso mit der Löschung des Kontos. An den jeweils aktiven KI-Auftragsverarbeiter nach Ziffer 9 werden dabei nicht alle vorstehend genannten Angaben weitergegeben, sondern nur das, was für die Planung erforderlich ist: Aus den abgerufenen Terminen wird zunächst je Tag berechnet, wie viele Stunden belegt sind und in welchen Zeitfenstern tatsächlich trainiert werden kann. Übermittelt werden dann diese Tageswerte (Datum, belegte Stunden, freie Zeitfenster, Beginn des Folgetags) sowie die Termintitel, letztere begrenzt auf höchstens acht Titel je Tag zuzüglich vier ganztägiger Einträge. Der Name des Kalenders wird nicht übermittelt; er wird allein dann genannt, wenn ein ausgewählter Kalender nicht gelesen werden konnte. Die einzelnen Termine werden nicht als solche übermittelt: Ihre Anfangs- und Endzeiten gehen nur in die Berechnung der belegten Stunden und der freien Zeitfenster ein, aus denen sich die zeitliche Lage von Verpflichtungen allerdings mittelbar ergeben kann; ausdrücklich übermittelt wird davon nur der Beginn der ersten Verpflichtung des Folgetags. Zweck ist, dass der Coach den Trainingsplan um die Verpflichtungen herum erstellen kann; im Übrigen gelten die Angaben der Ziffer 9 einschließlich derjenigen zur Speicherung zur Missbrauchserkennung. Die KI-Anbieter dürfen diese Daten vertraglich weder für eigene Zwecke nutzen noch zum Training von Modellen verwenden.

Steuerung durch die betroffene Person. In der Anwendung kann ausgewählt werden, welche Kalender des verbundenen Kontos der Coach lesen darf; ohne eine solche Auswahl sind es alle Kalender dieses Kontos. Die Verbindung kann jederzeit in der Anwendung getrennt werden. Beim Trennen werden die gespeicherte Zugriffsberechtigung, die Kalenderauswahl und die Angabe des verbundenen Google-Kontos gelöscht; zugleich wird die Berechtigung bei Google widerrufen, sodass sie auch im Google-Konto der betroffenen Person nicht mehr besteht. Dasselbe geschieht automatisch vor der Löschung des Milewise-Kontos. Der Widerruf gegenüber Google erfolgt durch den Aufruf einer Schnittstelle von Google und ist eine Bemühensleistung, keine Erfolgszusage: Die Löschung bei Milewise findet in jedem Fall statt; der Widerruf wird ausgelöst, sofern zur Verbindung noch ein widerrufbares Token gespeichert ist, sein Ergebnis wird technisch nicht überprüft und nicht wiederholt, und die betroffene Person wird über ein Fehlschlagen nicht gesondert unterrichtet. Die Freigabe kann deshalb zusätzlich jederzeit selbst im eigenen Google-Konto entzogen werden (Google-Konto → Sicherheit → Ihre Verbindungen zu Apps und Diensten von Drittanbietern). Solange die Verbindung besteht, gehören zu ihr lediglich die verschlüsselt abgelegte Zugriffsberechtigung (Token), die Kalenderauswahl und die E-Mail-Adresse des verbundenen Google-Kontos; ein gesonderter Bestand mit Termindaten aus dem Google Kalender gehört nicht dazu. Das Trennen der Verbindung beendet jeden künftigen Abruf, entfernt aber die Termintitel nicht nachträglich, die bereits in früheren Gesprächsverläufen enthalten sind; diese werden mit dem Löschen des jeweiligen Gesprächs oder des Kontos gelöscht (vorstehender Absatz und Ziffer 16).

Offen gesagt: Termintitel können besondere Kategorien personenbezogener Daten enthalten. Ein Kalendereintrag kann einen Arzttermin, eine Therapiesitzung, eine religiöse Handlung oder einen Anwaltstermin benennen und damit Angaben nach Art. 9 Abs. 1 DSGVO enthalten, die nicht von der betroffenen Person eingegeben, sondern aus einer fremden Quelle übernommen werden. Eine inhaltliche Vorprüfung, eine Schwärzung von Termintiteln und eine Filterung nach Stichworten finden nicht statt; die Auswahl der freigegebenen Kalender ist das Mittel, mit dem die betroffene Person den Umfang bestimmt. Rechtsgrundlage für das Auslesen des Kalenders ist die gesonderte Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die in der Anwendung ausgelöst und auf der Einwilligungsseite von Google erklärt wird; sie kann jederzeit mit Wirkung für die Zukunft durch Trennen der Verbindung widerrufen werden. Das Auslesen setzt zusätzlich die ausdrückliche Einwilligung in die Verarbeitung von Gesundheitsdaten nach Ziffer 8 voraus: Ohne sie findet keinerlei Verarbeitung durch den KI-Coach statt, sodass auch kein Kalender gelesen wird; ihr Widerruf beendet das Auslesen des Kalenders zusammen mit dem übrigen Coaching. Soweit ein Termin Angaben nach Art. 9 Abs. 1 DSGVO enthält, ist das Verbinden des Kalenders in Kenntnis des Vorstehenden die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

Angaben über andere Personen in Termintiteln. Dieser Absatz gilt für beide Kalender, den Google Kalender nach dieser Ziffer und den Kalender eines Mobilgeräts nach Ziffer 8.3. Der Titel eines Termins wird von derjenigen Person verfasst, die den Termin angelegt hat, und benennt häufig weitere Personen (etwa „Termin Dr. Schmidt“ oder „Annas Hochzeit“). Soweit das der Fall ist, verarbeitet Milewise auch personenbezogene Daten von Personen, die diese Daten nicht selbst bereitgestellt haben. Die Teilnehmerliste eines Termins wird, wie vorstehend beschrieben, nicht erhoben, sodass weder E-Mail-Adressen noch Zu- oder Absagen dieser Personen verarbeitet werden; ein im Titel genannter Name kann jedoch mit übermittelt werden. Eine Benachrichtigung dieser Personen nach Art. 14 DSGVO ist Milewise nicht möglich: Es liegen keine Kontaktdaten vor, eine Person ist aus einem freien Textfragment nicht bestimmbar (Art. 11 DSGVO), und ihre Ermittlung würde erheblich mehr Daten erfordern, als überhaupt verarbeitet werden. Milewise beruft sich deshalb auf Art. 14 Abs. 5 lit. b DSGVO und stellt die dort verlangte Information durch diese öffentlich zugängliche Erklärung bereit. Wer den Umfang begrenzen möchte, kann über die Kalenderauswahl bestimmen, welche Kalender gelesen werden, oder die Verbindung trennen.

8.2 Limited Use: Erklärung zur Nutzung von Google-Workspace-Daten

Milewise bestätigt ausdrücklich: „The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.“

Auf Deutsch: Die Verwendung roher oder abgeleiteter Nutzerdaten, die über Google-Workspace-Schnittstellen empfangen werden, hält die Google-Richtlinie zu Nutzerdaten einschließlich der Limited-Use-Anforderungen ein. Das bedeutet für die nach Ziffer 8.1 gelesenen Kalenderdaten konkret:

• Sie werden ausschließlich dazu verwendet, die von der betroffenen Person angeforderte Funktion zu erbringen, nämlich die Trainingsplanung um ihre tatsächlichen Verpflichtungen herum zu legen.
• Sie werden nicht dazu verwendet, übertragen oder verkauft, um Modelle der künstlichen Intelligenz oder des maschinellen Lernens zu erstellen, zu trainieren oder zu verbessern. Das gilt ausdrücklich auch für die in Ziffer 9 genannten Auftragsverarbeiter: Dort werden die Daten im Augenblick der Anfrage als Kontext verarbeitet und nicht für ein Training verwendet.
• Ausgenommen ist die Speicherung zur Missbrauchserkennung, die in Ziffer 9 gesondert und ausführlich beschrieben ist. Beim Azure OpenAI Service können als potenziell missbräuchlich markierte Inhalte in einem gesonderten Speicher abgelegt und von hierzu berechtigten Microsoft-Mitarbeitenden geprüft werden; der Verantwortliche kann diesen Speicher weder einsehen noch löschen. Das geschieht ausschließlich zu Sicherheitszwecken und nicht zum Training der Modelle, und fällt damit unter die von Google ausdrücklich zugelassene Ausnahme für Sicherheitszwecke.
• Sie werden nicht für Werbung verwendet und nicht an Dritte verkauft.
• Ein menschlicher Einblick findet nicht statt, außer in den von Google zugelassenen Fällen: mit vorheriger ausdrücklicher Zustimmung der betroffenen Person, soweit dies aus Sicherheitsgründen erforderlich ist (etwa zur Untersuchung eines Fehlers oder eines Missbrauchs, siehe die Missbrauchserkennung oben), soweit geltendes Recht dies verlangt, oder soweit die Daten aggregiert sind und für den internen Betrieb verwendet werden.

8.3 Kalender des Mobilgeräts (nur Milewise-App, optional, standardmäßig aus)

Warum dieser Kalender gespeichert wird und der Google Kalender nicht. Der Kalender eines iPhones kann von einem Server nicht gelesen werden: Das Betriebssystem antwortet allein der App auf dem Gerät. Damit der Coach auch Stunden nach dem letzten Öffnen der App weiß, wann die betroffene Person Zeit hat, überträgt die App die Termine an den Server, und dort werden sie gespeichert. Beim Google Kalender ist das nicht nötig, weil er im Augenblick der Anfrage abgerufen werden kann (Ziffer 8.1). Die Funktion ist freiwillig, standardmäßig ausgeschaltet und setzt zusätzlich die Kalenderfreigabe des Betriebssystems voraus, die in dessen Einstellungen jederzeit entzogen werden kann.

Was gespeichert wird. Je Termin: das Datum, Beginn und Ende, die Angabe, ob es sich um einen ganztägigen Termin handelt, und der Titel des Termins. Diese Angaben werden in der Coach-Datenbank in einer eigenen Tabelle gehalten. Nicht übertragen werden Orte, Teilnehmende, Beschreibungen, Organisatoren und Konferenzlinks. Übertragen werden die Termine aus allen Kalendern, auf die die App auf dem Gerät zugreifen darf und die nicht nach dem nächsten Absatz abgewählt sind, ab dem laufenden Tag und standardmäßig 14 Tage, höchstens 90 Tage im Voraus sowie höchstens 400 Termine je Übertragung.

Zusätzlich übertragen und gespeichert: das Verzeichnis der Kalender. Damit die Auswahl der freigegebenen Kalender nicht nur auf dem Telefon, sondern auch im Browser angeboten werden kann, überträgt die App getrennt von den Terminen ein Verzeichnis derjenigen Kalender, die sie auf dem Gerät sieht. Gespeichert werden dabei je Kalender der Name des Kalenders (etwa „Privat“, „Arbeit“ oder der Name eines geteilten Familienkalenders) und die vom Betriebssystem vergebene, für uns bedeutungslose Kennung, höchstens 60 Kalender. Termine sind darin nicht enthalten. Diese Angaben liegen in den Einstellungen des Kontos, nicht in der Termintabelle. Auch ein Kalendername ist von Dritten vergebener freier Text und kann seinerseits Angaben nach Art. 9 Abs. 1 DSGVO nahelegen; eine inhaltliche Vorprüfung findet auch hier nicht statt.

Auswahl der freigegebenen Kalender. Aus diesem Verzeichnis kann in der Anwendung ausgewählt werden, welche Kalender des Geräts gelesen werden dürfen. Ohne eine solche Auswahl sind es alle Kalender, auf die die App zugreifen darf; eine leere Auswahl bedeutet: keiner. Die Auswahl wirkt sich erst aus, wenn die App das nächste Mal geöffnet wird und erneut überträgt, weil allein das Gerät seinen Kalender lesen kann; die Termine eines abgewählten Kalenders entfallen mit dieser nächsten Übertragung.

Jede Übertragung ersetzt, sie ergänzt nicht. Für jeden Tag, den die App meldet, wird der gespeicherte Bestand dieses Tages zuvor gelöscht. Ein auf dem Gerät gelöschter Termin verschwindet dadurch mit der nächsten Übertragung auch hier. Künftige Termine bleiben gespeichert, bis die nächste Übertragung sie ersetzt, bis die Funktion in der App abgeschaltet wird oder bis das Konto zurückgesetzt oder gelöscht wird. Vergangene Tage werden automatisch gelöscht: Eine täglich laufende Bereinigung entfernt jeden Tag, der länger als drei Tage zurückliegt. Die drei Tage sind kein Aufbewahrungsinteresse, sondern eine Toleranz für verschobene Uhren, eine verspätete Übertragung und eine seit dem letzten Abgleich überquerte Datumsgrenze; gelesen wird ein vergangener Tag ohnehin nie.

Löschen und Auskunft. Das Abschalten der Funktion, in der App oder in der Web-Anwendung, löscht sofort und vollständig sämtliche gespeicherten Termine und zugleich das Verzeichnis der Kalender und die Auswahl; dasselbe geschieht beim Widerruf der Einwilligung nach Ziffer 8, beim Zurücksetzen und beim Löschen des Kontos. Die gespeicherten Termine sind in der Datenauskunft nach Art. 15 DSGVO enthalten und befinden sich damit auch in den Sicherungskopien der Datenbank (Ziffer 16).

Was der KI-Coach davon erhält. Beide Kalender werden vor der Übermittlung an den KI-Auftragsverarbeiter nach Ziffer 9 in derselben Weise zusammengefasst: übermittelt werden je Tag das Datum, die belegten Stunden, die freien Zeitfenster und der Beginn der ersten Verpflichtung des Folgetags sowie die Termintitel, letztere begrenzt auf höchstens acht Titel je Tag zuzüglich vier ganztägiger Einträge. Ist die tägliche Morgenübersicht aktiviert, werden die gespeicherten Termine des betreffenden Tages auch für diese in derselben zusammengefassten Form verwendet; ein Abruf beim Gerät findet dabei nicht statt, weil die Termine bereits hier gespeichert sind. Wie bei jedem anderen Abfrageergebnis werden die dabei verwendeten Angaben Bestandteil des Verlaufs desjenigen Gesprächs, in dem sie verwendet wurden (Ziffern 8.1 und 16).

Rechtsgrundlage. Ein Termintitel kann Angaben nach Art. 9 Abs. 1 DSGVO enthalten, etwa einen Arzt- oder Therapietermin oder eine religiöse Handlung, und er kann Namen anderer Personen benennen; hierfür gilt der Absatz „Angaben über andere Personen in Termintiteln“ in Ziffer 8.1 unverändert. Eine inhaltliche Vorprüfung, eine Schwärzung oder eine Filterung nach Stichworten findet nicht statt. Termine werden deshalb nur gespeichert, wenn die ausdrückliche Einwilligung in die Verarbeitung von Gesundheitsdaten nach Ziffer 8 vorliegt: Rechtsgrundlage ist Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO. Fehlt diese Einwilligung, wird eine Übertragung von Terminen verworfen und es wird kein Termin gespeichert. Für das Verzeichnis der Kalender gilt dies nicht: Es enthält keine Termine und wird auch ohne diese Einwilligung gespeichert, weil die Auswahl sonst aus einer leeren Liste getroffen werden müsste. Rechtsgrundlage hierfür sind Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags, nämlich die Bedienbarkeit dieser Auswahl) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, dieselbe Auswahl auf beiden Oberflächen anzubieten); gelöscht wird es nach dem Absatz „Löschen und Auskunft“. Der Widerruf erfolgt durch Abschalten der Funktion in der App oder durch Widerruf der Einwilligung in der Anwendung; er wirkt für die Zukunft und lässt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung unberührt.

9. KI-Coach und automatisierte Verarbeitungen

Die Coaching-Ausgaben werden durch ein großes Sprachmodell erzeugt, das von einem oder mehreren der nachfolgend genannten Auftragsverarbeiter betrieben wird. Sämtliche Anbieter sind nach Art. 28 DSGVO durch Auftragsverarbeitungsbedingungen gebunden und werden ausschließlich über Dienstwege mit Garantien zur Datenresidenz in der Europäischen Union angebunden; Endpunkte oder Regionen ohne solche Garantien werden technisch nicht zugelassen. Welche der genannten Anbieter jeweils eingesetzt werden, hängt von der Konfiguration durch den Verantwortlichen ab; derzeit erhalten nur die Mistral AI SAS und die Microsoft Ireland Operations Ltd. (Azure OpenAI Service) Daten. Für die Amazon Web Services EMEA SARL und die Google Cloud EMEA Ltd. liegen Zugangsdaten vor, beiden ist derzeit jedoch kein Modell zugewiesen; an sie fließen keine Daten.

• Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich („la Plateforme“): Verarbeitung standardmäßig auf Servern innerhalb der Europäischen Union. Mistral weist darauf hin, dass Daten je nach genutzter Funktion vorübergehend an außerhalb der Europäischen Union ansässige Unterauftragsverarbeiter übermittelt werden können; solche Übermittlungen erfolgen auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Microsoft Ireland Operations Ltd. (Azure OpenAI Service, Bereitstellung „Data Zone Standard“/EU): Eingaben und Ausgaben werden ausschließlich innerhalb der Microsoft EU Data Boundary verarbeitet (Europäische Union zuzüglich Norwegen und Schweiz; für beide Staaten bestehen Angemessenheitsbeschlüsse nach Art. 45 DSGVO).
• Amazon Web Services EMEA SARL (AWS Bedrock, EU-Inferenzprofil): Verarbeitung und Speicherung ausschließlich in Regionen in EU-Mitgliedstaaten (Frankfurt, Stockholm, Mailand, Spanien, Irland, Paris).
• Google Cloud EMEA Ltd. (Vertex AI, EU-Multi-Region): Die ML-Verarbeitung verbleibt innerhalb der Europäischen Union (ausschließlich EU-Mitgliedstaaten).

Speicherung zur Missbrauchserkennung. Zwei der Auftragsverarbeiter speichern Eingaben und Ausgaben unter bestimmten Voraussetzungen befristet, um Missbrauch ihrer Dienste zu erkennen. Beim Azure OpenAI Service werden alle Anfragen in Echtzeit automatisiert klassifiziert, ohne gespeichert zu werden; nur Inhalte, die dabei als potenziell missbräuchlich markiert werden, können in einem gesonderten, kundenbezogen getrennten Speicher abgelegt und dort von hierzu berechtigten Microsoft-Mitarbeitenden geprüft werden. Dieser Speicher liegt innerhalb der Microsoft EU Data Boundary; für im Europäischen Wirtschaftsraum bereitgestellte Modelle sind die prüfenden Personen im Europäischen Wirtschaftsraum ansässig. Eine Abschaltung dieser Missbrauchserkennung setzt bei Microsoft einen betreuten Großkundenstatus voraus und steht dem Verantwortlichen daher nicht zur Verfügung; ein entsprechender Antrag wurde am 29. Juli 2026 abgelehnt. Bei Mistral AI ist für die genutzten Schnittstellen „Zero Data Retention“ aktiviert (seit 29. Juli 2026): Eingaben und Ausgaben werden nicht länger gespeichert oder protokolliert, als zur Erzeugung der Antwort zwingend erforderlich ist. Ohne diese Aktivierung wären es 30 rollierende Tage. Bei Amazon Web Services (AWS Bedrock) werden Eingaben und Ausgaben standardmäßig nicht gespeichert und sind für Betriebspersonal nicht zugänglich. Der Verantwortliche kann diese anbieterseitigen Vorgänge nicht einsehen und die dort gespeicherten Inhalte nicht selbst löschen; sie erfolgen ausschließlich zur Sicherheit und Missbrauchsabwehr und nicht zum Training der Modelle.

Je nach Anfrage werden an den jeweils aktiven Auftragsverarbeiter übermittelt: der Gesprächsverlauf, das Leistungsprofil, aktive Trainingsziele, der Trainingsplan, Coach-Notizen, die durch die Werkzeuge des Coaches abgerufenen Trainings- und Gesundheitsdaten gemäß Ziffer 8 sowie Kontextinformationen wie Wetterdaten, der ungefähre Standort nach Ziffer 10 (soweit verfügbar) und, sofern ein persönlicher Google Kalender verbunden ist, die nach Ziffer 8.1 gelesenen Termindaten. Zur Zuordnung wird dabei eine interne, nicht sprechende Kontonummer verwendet; Name und E-Mail-Adresse werden nicht übermittelt.

Im Dialog kommuniziert die betroffene Person stets mit einem KI-System und nicht mit einem Menschen; dieser Hinweis erfolgt in Umsetzung des Art. 50 der Verordnung (EU) 2024/1689 (KI-Verordnung).

Folgende Verarbeitungen werden automatisiert und ohne unmittelbares Zutun der betroffenen Person angestoßen:

• eine tägliche Readiness-Einschätzung am Morgen auf Grundlage von Schlaf-, HRV- und Ruhepulswerten; sie kann in den Einstellungen deaktiviert werden;
• eine automatische Rückmeldung zu abgeschlossenen Aktivitäten, die aus den verbundenen Datenquellen abgerufen werden (Push-Mitteilung von Strava bzw. intervals.icu oder regelmäßiger Abruf);
• eine interne tägliche Auswertung von Readiness und Trainingslast sowie die automatische Benennung von Gesprächen.

Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung, die gegenüber der betroffenen Person rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO), findet nicht statt; sämtliche Empfehlungen des Coaches sind unverbindlich und können jederzeit ignoriert oder geändert werden. Milewise erbringt keine medizinische Beratung; bei gesundheitlichen Beschwerden oder Fragen ist ärztlicher Rat einzuholen.

10. Standortermittlung, Wetter und Karten

Zur Bereitstellung standortbezogener Wetterdaten und der zutreffenden Zeitzone ermittelt die Anwendung einen ungefähren Standort der betroffenen Person. Dieser wird aus den Startpunkten der abgerufenen Aktivitäten geschätzt; alternativ kann die betroffene Person eine Position manuell festlegen. Aus den Aktivitätsdaten wird zudem ein ungefährer Heimatbereich abgeleitet. Der ermittelte Standort kann in den Einstellungen der Anwendung eingesehen werden; die automatische Aktualisierung kann deaktiviert und stattdessen eine manuelle Position festgelegt werden. Eine Ortung über Drittdienste oder Browser-Berechtigungen findet nicht statt. Rechtsgrundlage ist die Einwilligung nach Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO (Ziffer 8), da der Standort aus den Aktivitätsdaten abgeleitet wird.

• Für Wetter und Zeitzone werden gerundete Koordinaten ohne Namens- oder Kontobezug an MET Norway (api.met.no, Norwegen/EWR) und Open-Meteo übermittelt; für die Anzeige einer Ortsbezeichnung werden gerundete Koordinaten an OpenStreetMap Nominatim übermittelt.
• Kartendarstellungen in der Web-Anwendung laden Kartenkacheln unmittelbar von Servern der OpenFreeMap (Hyperknot Software Kft., Ungarn); der Kartenserver erhält dabei technisch bedingt die IP-Adresse der betroffenen Person und den dargestellten Kartenausschnitt. Die dargestellten Kartendaten stammen von OpenStreetMap. Bis zum 27. August 2026 wurden diese Kartenkacheln von der CARTO Inc. (USA) bezogen.
• In den Apps ist das anders: Die iOS-App stellt Karten über die Kartenkomponente des Betriebssystems dar, sodass die Kartendaten dort von Apple bezogen werden und nicht von OpenFreeMap. Die Android-App zeichnet die Strecke einer Aktivität auf dem Gerät selbst aus deren Koordinaten und lädt dafür keine Karte. Die Karte zur Auswahl des Wohnorts nutzt dagegen auch dort die Kartenkomponente des Betriebssystems, die Kartendaten von Google bezieht.

11. Übermittlung geplanter Trainingseinheiten (optional, bei verbundenem intervals.icu-Konto standardmäßig aktiv)

Ist die Einstellung „Send workouts to your watch“ aktiv, überträgt die Anwendung geplante Trainingseinheiten in den Kalender des intervals.icu-Kontos der betroffenen Person; von dort synchronisiert intervals.icu die Einheiten auf eine verbundene Garmin-Uhr. Diese Einstellung ist seit dem 5. August 2026 vom Verbinden des intervals.icu-Kontos an standardmäßig aktiv und nicht mehr, wie zuvor, standardmäßig deaktiviert: Das Verbinden selbst ist die bewusste Handlung, und der Einwilligungsdialog von intervals.icu benennt die Schreibberechtigung für den Kalender („CALENDAR:WRITE“) ausdrücklich. Diese Voreinstellung greift in drei Fällen nicht: wenn die betroffene Person die Einstellung bereits selbst betätigt hat, gleich in welche Richtung (eine erneute Verbindung ändert ihre Entscheidung also nicht); wenn die Schreibberechtigung für den Kalender nicht erteilt wurde; und wenn intervals.icu überhaupt keinen Berechtigungsumfang zurückgemeldet hat. Sie kann jederzeit in der Anwendung deaktiviert werden, womit übertragene künftige Einheiten wieder entfernt werden. Rechtsgrundlage ist die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die mit dem Verbinden des intervals.icu-Kontos einschließlich der Schreibberechtigung für den Kalender erteilt wird und durch Deaktivieren der Einstellung jederzeit mit Wirkung für die Zukunft widerrufen werden kann.

11.1 Die weiteren schreibenden Übermittlungen (Trainingseinstellungen, Polar-Registrierung, SuuntoPlus-Guides)

Die vorstehende Übermittlung geplanter Einheiten ist nicht die einzige schreibende Übermittlung an einen externen Dienst. Es gibt mehrere; die drei stets verfügbaren anderen sind:

• Geplante Einheiten, geschrieben an Suunto („SuuntoPlus Guides“). Ist ein Suunto-Konto verbunden und die Einstellung „Workouts an die Uhr senden“ für Suunto aktiviert, übermittelt Milewise eine geplante Einheit als strukturierte Trainingsvorlage an das Suunto-Konto der betroffenen Person. Übermittelt werden dabei ausschließlich der Name der Einheit, ihr Datum, die Sportart sowie die Schrittfolge mit Dauer und Herzfrequenzbereichen; personenbezogene Inhalte darüber hinaus werden nicht übertragen, insbesondere keine Gesundheitsdaten und keine internen Notizen. Die Übertragung auf die Uhr selbst erfolgt nicht automatisch, sondern erst, wenn die betroffene Person die Vorlage in der Suunto-App auswählt und mit ihrer Uhr synchronisiert. Die Einstellung ist jederzeit abschaltbar; wird eine Einheit absolviert, gestrichen oder gelöscht, löscht Milewise die zugehörige Vorlage wieder.
• Trainingseinstellungen, geschrieben an intervals.icu (Herzfrequenzzonen und FTP). Milewise berechnet die Trainingszonen der betroffenen Person selbst aus ihrer maximalen und ihrer Ruheherzfrequenz und schreibt diese fünf Zonengrenzen in die Sport-Einstellungen ihres intervals.icu-Kontos (Berechtigung „SETTINGS:WRITE“, die im selben Einwilligungsdialog wie die Kalender-Schreibberechtigung angefragt wird). Seit dem 12. August 2026 ist die Einstellung „Meine HF-Zonen und FTP abgleichen“ ab dem Verbinden des intervals.icu-Kontos standardmäßig aktiviert; sie wird nicht aktiviert, wenn die betroffene Person sie bereits selbst bedient hat, in welche Richtung auch immer. Dabei wird die dort hinterlegte Zonenkonfiguration überschrieben; der periodische Hintergrundlauf wiederholt dies, sobald sich die berechneten Zonen ändern. Unter derselben Einstellung wird zusätzlich ein Wert für die funktionelle Schwellenleistung (FTP) in diese Sport-Einstellungen geschrieben, jedoch nur, wenn die betroffene Person ihn selbst in der Anwendung eingetragen hat; ein FTP-Wert, der ursprünglich von intervals.icu stammt, wird niemals zurückgeschrieben. Der Abgleich kann in der Anwendung abgeschaltet werden, danach wird nichts mehr geschrieben; bereits geschriebene Werte werden nicht zurückgesetzt. Rechtsgrundlage ist die mit dem Verbinden des intervals.icu-Kontos einschließlich dieser Berechtigung erteilte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
• Registrierung und Abmeldung bei Polar. Das Verbinden eines Polar-Kontos setzt die Registrierung der betroffenen Person beim AccessLink-Dienst von Polar voraus; Milewise übermittelt hierfür ausschließlich eine interne, nicht sprechende Kontonummer (etwa „milewise-123“), niemals einen Namen oder eine E-Mail-Adresse. Das Trennen der Polar-Verbindung sowie das Löschen des Milewise-Kontos melden diese Nummer wieder ab. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Darüber hinaus werden Daten an einen verbundenen Trainingsdienst nur über die beiden in Ziffer 11.4 beschriebenen Einstellungen geschrieben, nämlich das Weitergeben einer Aktivität und das Benennen einer Aktivität nach dem Trainingsplan. Beide sind standardmäßig ausgeschaltet und wirken erst, nachdem sie eingeschaltet wurden. Jede weitere Verbindung zu einem solchen Dienst ist ausschließlich lesend. Die Verarbeitung durch die KI-Anbieter (Ziffer 9) und den Versanddienstleister für E-Mails (Ziffer 13) bleibt hiervon unberührt und ist dort beschrieben.

11.2 Das Kalender-Abo (optional, standardmäßig aus)

Betroffene Personen können ein Kalender-Abo aktivieren: einen persönlichen, ausschließlich lesbaren Link, den die eigene Kalender-Anwendung abonnieren kann und der die absolvierten Einheiten sowie die geplanten Einheiten enthält. Es ist standardmäßig deaktiviert und existiert erst, nachdem es in der Anwendung eingeschaltet wurde.

Daraus folgen zwei Dinge, die hier ausdrücklich genannt werden, weil sie den Kern der Funktion ausmachen. Erstens ruft die verwendete Kalender-Anwendung diesen Link von ihren eigenen Servern ab; wird sie von einem Dritten betrieben (etwa Google oder Apple), erhält dieser Anbieter damit die im Link enthaltenen Titel, Zeiten und Distanzen der Einheiten, als Folge der eigenen Entscheidung der betroffenen Person, den Link zu abonnieren. Milewise übermittelt nichts dorthin und unterhält keine Beziehung zu diesem Anbieter. Zweitens ist der Link selbst das Zugangsmittel: Wer ihn hat, kann diesen Kalender lesen. Er kann jederzeit in der Anwendung durch einen neuen ersetzt oder ganz abgeschaltet werden, wodurch der bisherige Link sofort ungültig wird. Gespeichert wird nur ein kryptografischer Fingerabdruck des Links, er kann nach der Erstellung also nicht erneut angezeigt werden. Aktivitäten, die ausschließlich von Strava stammen, sind vom Link ausgenommen. Rechtsgrundlage ist die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), erteilt durch das Einschalten und widerrufbar durch das Ausschalten des Abos.

11.3 Von der betroffenen Person hochgeladene Trainingsdateien

Die betroffene Person kann in der Anwendung eine Trainingsdatei (FIT, TCX oder GPX, bis 16 MB, auch gzip-komprimiert) hochladen. In diesem Fall speichert Milewise die Datei selbst, unverändert, zusammen mit den daraus ausgelesenen Trainingsdaten (Sportart, Startzeit, Dauer, Distanz, Höhenmeter, Herzfrequenz, Trittfrequenz, Leistung sowie, sofern in der Datei enthalten, die Route). Die Datei und die daraus ausgelesenen Daten werden in der Datenbank der Anwendung gespeichert, sind im Datenexport nach Art. 15/20 DSGVO enthalten und werden mit dem Konto gelöscht. Wird dieselbe Datei ein zweites Mal hochgeladen, wird die vorhandene Aktivität aktualisiert und keine zweite angelegt; die Aktivität wird über einen kryptografischen Fingerabdruck der Datei identifiziert.

Eine solche Aktivität unterscheidet sich von den übrigen in einem rechtlich erheblichen Punkt: Sie gelangt nicht über die Schnittstelle einer Plattform zu Milewise und unterliegt damit nicht deren Bedingungen. Sie darf daher vom KI-Coach genutzt, mit derselben anderswo aufgezeichneten Einheit zusammengeführt und – nur wenn die betroffene Person die entsprechende Einstellung einschaltet – an einen anderen Dienst übermittelt werden. Rechtsgrundlage ist die mit dem Hochladen erteilte Einwilligung (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO, letzteres weil eine Trainingsdatei regelmäßig Herzfrequenzdaten enthält), jederzeit widerruflich durch Löschen der Aktivität oder des Kontos.

11.4 Übermittlung von Aktivitäten an einen anderen Dienst und deren Benennung (beides standardmäßig aus)

Je verbundenem Dienst bestehen zwei weitere Einstellungen, beide standardmäßig deaktiviert.

• Weitergabe von Aktivitäten. Solange aktiviert, wird eine bei Milewise vorhandene Einheit zu diesem Dienst hochgeladen, sofern sie dort nicht bereits vorhanden ist. Ob sie bereits vorhanden ist, wird zuvor geprüft – auch im Hinblick auf Kopien, die durch die eigene Synchronisation der betroffenen Person zwischen zwei Plattformen dorthin gelangt sind –, sodass kein Duplikat entsteht. Empfangen können nur Dienste, deren Schnittstelle eine Einheit annimmt; das sind derzeit intervals.icu und Strava. Strava kann eine Aktivität empfangen, aber nie deren Quelle sein, weil Stravas API-Bedingungen die Weitergabe ihrer Daten an Dritte untersagen; dies ist in der Software durchgesetzt und nicht über eine Einstellung abschaltbar. Praktisch werden daher die Einheiten übermittelt, die die betroffene Person selbst hochgeladen hat (11.3).
• Benennung von Aktivitäten nach dem Trainingsplan. Solange aktiviert, wird eine Aktivität, die eine geplante Einheit erfüllt hat, bei diesem Dienst nach dem Titel dieser Einheit benannt; ihre Beschreibung wird auf die Trainingsschritte dieser Einheit gesetzt, gefolgt von einer Zeile, die Milewise nennt. Benennt oder ändert die betroffene Person die Aktivität anschließend selbst, überschreibt Milewise sie nicht erneut. Liegt keine geplante Einheit vor, werden Name und Beschreibung des aufzeichnenden Dienstes auf die Kopien bei den anderen Diensten übertragen.

Bei Strava setzen beide Einstellungen zusätzlich eine gesonderte Berechtigung zum Bearbeiten von Aktivitäten voraus („activity:write“). Die Verbindung oder Anmeldung mit Strava fragt diese Berechtigung zusammen mit den übrigen ab, auf dem Einwilligungsbildschirm von Strava, wo sie gesondert aufgeführt ist und abgelehnt werden kann. Sie wird zu diesem Zeitpunkt angefragt, damit das spätere Einschalten einer Einstellung keinen zweiten Weg über Strava erfordert. Die Erteilung schaltet nichts ein: beide Einstellungen sind ausgeschaltet, solange die betroffene Person sie nicht einschaltet, und zuvor wird keine Aktivität zu Strava geschrieben. Eine Ablehnung lässt alles unberührt, was Milewise aus Strava liest; lediglich diese beiden Einstellungen bleiben nicht verfügbar. Milewise speichert je Aktivität, bei welchen Diensten eine Kopie besteht, ob diese Kopie von Milewise angelegt wurde oder bereits vorhanden war, und welcher Text zuletzt dorthin geschrieben wurde. Eine Kopie, die Milewise nicht angelegt hat, wird von Milewise nie gelöscht. Rechtsgrundlage für beides ist die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO sowie Art. 9 Abs. 2 lit. a DSGVO, soweit die übermittelte Einheit Herzfrequenzdaten enthält), erteilt durch das Einschalten der Einstellung und jederzeit mit Wirkung für die Zukunft widerruflich durch deren Ausschalten. Bereits übermittelte Daten verbleiben beim empfangenden Dienst und können dort gelöscht werden.

12. Zahlungsabwicklung, Abonnement und kostenlose Testphase

Stand dieser Fassung: Der Bestellvorgang ist in der Anwendung eröffnet. Wird eine Bestellung ausgelöst, werden von diesem Zeitpunkt an Zahlungsdaten durch die nachstehend genannten Stellen verarbeitet. Ohne eine ausgelöste Bestellung entstehen bei diesen Stellen keine Zahlungsdaten zu der betroffenen Person. Die nachfolgenden Angaben beschreiben vollständig, was mit dem Auslösen einer Bestellung geschieht, damit die Entscheidung in Kenntnis dieser Angaben getroffen werden kann.

Die Zahlungsabwicklung erfolgt ausschließlich über Stripe im Verfahren „Managed Payments“. Daran sind zwei Stellen beteiligt, die unterschiedliche Rollen haben:

• Stripe Technology Europe, Limited, 25/28 North Wall Quay, Dublin 1, Irland (irische Registernummer 0599050): Vertragspartner des Verantwortlichen für das Zahlungskonto und Betreiber der Zahlungsabwicklung.
• „Sold through Link, LLC“, Vereinigte Staaten von Amerika: Händler im Rechtssinne („merchant of record“) und damit Verkäufer des Abonnements gegenüber der Kundin oder dem Kunden. Auf Beleg und Kontoauszug erscheinen deshalb „Sold through Link“ sowie die Buchungsbezeichnung „LINK.COM* MILEWISE.DE“.

Zur Rolle, offen gesagt. Die Auftragsverarbeitungsbedingungen von Stripe sind ausdrücklich zweigeteilt: für einen Teil der Zahlungsdienste wird Stripe als Auftragsverarbeiter nach Art. 28 DSGVO tätig, für einen anderen Teil (insbesondere Betrugsprävention, Geldwäsche- und aufsichtsrechtliche Pflichten sowie die eigene Rechnungslegung) als eigenständig Verantwortlicher mit eigenen Zwecken. Soweit „Sold through Link, LLC“ als Verkäufer des Abonnements auftritt, ist diese Stelle nach Auffassung des Verantwortlichen für den Verkaufsvorgang eigenständig Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO und nicht Auftragsverarbeiterin des Verantwortlichen. Das wird hier so benannt, weil es für die Rechte der betroffenen Person einen Unterschied macht: Anliegen, die diesen Verarbeitungsteil betreffen, sind auch unmittelbar dort geltend zu machen. Die datenschutzrechtliche Rollenverteilung im Verfahren „Managed Payments“ ist nicht in jedem Punkt abschließend geklärt; sie wird fortlaufend überprüft und diese Erklärung erforderlichenfalls berichtigt.

Verarbeitete Daten. Bei Stripe fallen die zur Zahlung erforderlichen Daten an: Name, E-Mail-Adresse, Rechnungsanschrift und Land, die Angaben zum Zahlungsmittel, Betrag, Zeitpunkt und Status des Abonnements sowie technische Daten zur Betrugsprävention (unter anderem IP-Adresse und Geräteangaben). Vollständige Zahlungsmitteldaten (etwa Kartennummern) werden unmittelbar bei Stripe eingegeben und sind für den Verantwortlichen nicht einsehbar. Der Verantwortliche erhält nur, was er für Buchhaltung und Freischaltung benötigt: den Status und Zeitraum des Abonnements, eine Kundenkennung und die Rechnungsangaben. Trainings- und Gesundheitsdaten werden weder an Stripe noch an Link, LLC übermittelt.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Abonnementvertrags), Art. 6 Abs. 1 lit. c DSGVO (steuerrechtliche Aufbewahrungspflichten, Ziffer 16) sowie Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention und Sicherstellung des Zahlungseingangs).

Drittlandtransfer (Art. 13 Abs. 1 lit. f DSGVO). Da „Sold through Link, LLC“ in den Vereinigten Staaten ansässig ist, werden die Zahlungsvorgangsdaten in ein Drittland übermittelt. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), an dem Stripe zertifiziert teilnimmt; soweit eine Übermittlung davon nicht erfasst ist, gelten die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO aus der Datenschutzvereinbarung von Stripe. Eine Kopie beziehungsweise ein Nachweis dieser Garantien kann unter contact@milewise.de angefordert werden.

12.1 Kostenlose Testphase: der Vermerk, der eine Mehrfachnutzung verhindert

Die kostenlose Testphase (Einzelheiten dazu in Ziffer 9 der Nutzungsbedingungen) kann je verbundener Integration nur einmal in Anspruch genommen werden. Als Integration zählt dabei jede verbundene Datenquelle und zusätzlich das für die Anmeldung verwendete Konto (Google, Apple oder Strava, Ziffer 7). Die Testphase setzt voraus, dass mindestens eine Datenquelle verbunden ist; ohne eine solche gibt es nichts, woran sich die Einmaligkeit binden ließe. Damit die Beschränkung nicht dadurch umgangen werden kann, dass das Milewise-Konto gelöscht und ein neues angelegt wird, überdauert je verbundener Integration ein Vermerk die Löschung des Kontos. Was dieser Vermerk enthält, was er nicht enthält und was sich mit ihm anfangen lässt, ist nachstehend vollständig aufgeführt.

Was gespeichert wird. Wird eine Bestellung abgeschlossen und ist dabei tatsächlich eine Testphase gewährt worden, wird für jede zu diesem Zeitpunkt verbundene Integration ein Datensatz geschrieben, der aus genau drei Angaben besteht:

• einem Einwegwert (gesalzener Hashwert, HMAC-SHA256) der Kennung dieser Integration, also derjenigen Kennung, unter der das Konto bei intervals.icu, Strava, Polar oder Suunto geführt wird (etwa der dortigen Athleten-Kennung) oder unter der die Anmeldung bei Google, Apple oder Strava erfolgt;
• dem Namen der Integration (intervals.icu, Strava, Polar, Suunto, Google oder Apple);
• dem Datum, an dem die Testphase gewährt wurde, kalendertaggenau und ohne Uhrzeit.

Geschrieben wird der Datensatz erst mit dem Abschluss des Bestellvorgangs, nicht schon mit dessen Beginn: Wer den Bestellvorgang abbricht, hinterlässt keinen solchen Vermerk, und wer ohne Testphase bestellt, ebenfalls nicht.

Was nicht gespeichert wird. Der Vermerk enthält keine Milewise-Kontokennung, keine E-Mail-Adresse, keinen Namen, keine IP-Adresse und keine Trainings- oder Gesundheitsdaten. Er ist mit keiner anderen gespeicherten Angabe verknüpft.

Was sich damit tun lässt, und was nicht. Der Einwegwert lässt sich nicht in die Kennung zurückrechnen, aus der er entstanden ist; der zur Berechnung verwendete geheime Zusatzwert („Salt“) verbleibt auf dem Server und verhindert, dass sich der Bestand mit einer Liste fremder Kennungen nachbilden lässt. Der Vermerk kann genau eine Frage beantworten: „Hat diese Integration bereits eine Testphase erhalten?“ Beantwortet wird sie, indem der Wert aus einer gerade verbundenen Integration neu berechnet und mit dem Bestand verglichen wird; hat eine der verbundenen Integrationen bereits eine Testphase erhalten, wird keine weitere gewährt, ein Abonnement kann aber unverändert abgeschlossen werden. Der Vermerk ist pseudonym, nicht anonym: Ein Einwegwert einer gleichbleibenden Kontokennung ließe sich grundsätzlich gegen eine bekannte Kennung erneut prüfen, weshalb er als personenbezogenes Datum behandelt und auf Art. 6 Abs. 1 lit. f DSGVO gestützt wird. Eine Person lässt sich damit von sich aus weder bestimmen noch kontaktieren: Der Vermerk enthält keine Kontaktangabe, und nach der Löschung des Kontos liegt dem Verantwortlichen die zugehörige Kennung nicht mehr vor, sodass kein Bestand existiert, gegen den der Wert aufgelöst werden könnte. Offen gesagt gilt das mit einer Einschränkung: Meldet sich dieselbe Person später erneut mit demselben Google-, Apple- oder Strava-Konto an oder verbindet sie dieselbe Datenquelle erneut, so lässt sich der Wert aus der dann wieder vorliegenden Kennung neu berechnen und dem Bestand zuordnen. Der Vermerk selbst bleibt auch dann inhaltsleer und ohne Kontaktangabe; berechnet und verglichen wird er ausschließlich für diese eine Prüfung, nicht für Werbung, nicht für eine Profilbildung und nicht für eine Auswertung des Nutzungsverhaltens, und er wird an niemanden übermittelt.

Rechtsgrundlage und Abwägung (Art. 6 Abs. 1 lit. f DSGVO). Rechtsgrundlage ist das berechtigte Interesse daran, die wiederholte Inanspruchnahme einer einmaligen unentgeltlichen Leistung zu verhindern. Die Abwägung wird hier offengelegt und nicht bloß behauptet:

• Das Interesse ist die Abwehr von Missbrauch; Erwägungsgrund 47 nennt die Verhinderung von Betrug ausdrücklich als berechtigtes Interesse. Jede Testphase verursacht tatsächliche Kosten für KI-Verarbeitung. Ohne die Beschränkung könnte dieselbe Person den entgeltlichen Dienst unbegrenzt unentgeltlich nutzen, und eine Testphase ließe sich nicht anbieten.
• Die Erforderlichkeit: Ein milderes, gleich wirksames Mittel besteht nicht. Wird der Vermerk mit dem Konto gelöscht, ist die Beschränkung wirkungslos, weil sich mit derselben Integration beliebig oft ein neues Konto anlegen lässt. Eine Anknüpfung an die E-Mail-Adresse wäre stärker personenbezogen und zugleich leichter zu umgehen. Die Kennung der Integration im Klartext aufzubewahren, wäre für den Zweck nicht erforderlich; deshalb wird nur der Einwegwert gespeichert. Das ist die datensparsamste Ausführung, mit der sich der Zweck überhaupt erreichen lässt.
• Die Beeinträchtigung der betroffenen Person ist gering: Der Vermerk enthält keinen Inhalt, ist aus sich heraus keiner Person zuordenbar (zu der Einschränkung bei einer erneuten Anmeldung siehe vorstehend), wird zu keinem weiteren Zweck ausgewertet und schränkt die Nutzung des Dienstes nicht ein. Wer nach einer Kontolöschung erneut ein Konto anlegt, kann Milewise vollumfänglich nutzen und ein Abonnement abschließen; die einzige Folge ist, dass die kostenlose Testphase für dieselbe Integration kein zweites Mal gewährt wird. Dass eine einmalige Testphase auch tatsächlich einmalig bleibt, entspricht zudem der vernünftigen Erwartung der betroffenen Person (Erwägungsgrund 47).

Widerspruchsrecht. Gegen eine auf Art. 6 Abs. 1 lit. f DSGVO gestützte Verarbeitung besteht das Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO. Solange die betreffende Integration verbunden ist, kann der Verantwortliche den zugehörigen Vermerk auffinden und einen Widerspruch im Einzelfall prüfen; nach der Löschung des Kontos ist das nicht mehr möglich, weil die Kennung, aus welcher der Wert berechnet wird, nicht mehr vorliegt. Ein Widerspruch kann dann nur behandelt werden, wenn dieselbe Integration erneut verbunden oder erneut zur Anmeldung verwendet wird.

Ausnahme vom Löschungsanspruch (Art. 17 DSGVO). Ziffer 16 sagt zu, dass mit der Löschung des Kontos sämtliche zugeordneten Daten entfernt werden. Dieser Vermerk ist davon ausgenommen, und zwar aus zwei Gründen, die hier beide genannt werden. Erstens setzt Art. 17 Abs. 1 lit. a DSGVO voraus, dass die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind; für seinen Zweck, die einmalige Gewährung, bleibt der Vermerk dauerhaft notwendig, weil er sonst nichts mehr belegen könnte. Zweitens greift, soweit man den Vermerk trotz fehlender Zuordenbarkeit als personenbezogenes Datum ansieht, die Ausnahme des Art. 17 Abs. 3 lit. e DSGVO (Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen): Der Vermerk ist der einzige Nachweis dafür, dass für eine bestimmte Integration bereits eine unentgeltliche Testphase erbracht wurde und ein Anspruch auf eine weitere nicht besteht. Sämtliche übrigen Daten des Kontos werden unverändert vollständig gelöscht.

Nicht im Datenexport. Der Vermerk ist im Datenexport nach Ziffer 18 nicht enthalten. Das ist keine Auslassung, sondern die Folge seines Inhalts: Der Export gibt die zum Konto gespeicherten personenbezogenen Daten aus, und der Vermerk enthält gerade keine dem Konto zugeordnete Angabe, sondern nur den Einwegwert, den Namen der Integration und ein Datum. Wer wissen möchte, ob für eine bestimmte, derzeit verbundene Integration bereits eine Testphase vermerkt ist, erhält hierüber auf Anfrage unter contact@milewise.de Auskunft.

Speicherdauer. Für diesen Vermerk wird als einzige Verarbeitung in dieser Erklärung keine feste Frist genannt, und der Grund dafür wird offen benannt: Eine Frist würde die Beschränkung in ihr Gegenteil verkehren, weil nach ihrem Ablauf dieselbe Integration erneut eine kostenlose Testphase erhalten könnte; „einmal je Integration“ lässt sich nur durch eine Speicherung abbilden, die nicht ausläuft. Unbegrenzt im Sinne von „ohne Ende“ ist sie deshalb aber nicht: Sie ist an ihren Zweck gebunden und endet mit ihm. Wird die kostenlose Testphase eingestellt oder ihre Einmaligkeit aufgegeben, wird der gesamte Bestand vollständig gelöscht; der Verantwortliche überprüft jährlich, ob der Zweck noch besteht. Da der Vermerk selbst keine Angabe enthält, die eine Person bezeichnet, wächst mit der Dauer der Speicherung auch kein Risiko für die betroffene Person.

13. E-Mail-Kommunikation

Der Verantwortliche betreibt einen eigenen E-Mail-Server in Deutschland. Ausgehende System-E-Mails (Absenderadresse noreply@send.milewise.de) werden über den Auftragsverarbeiter Mailjet SAS, Paris, Frankreich, zugestellt. Versandt werden: die Bestätigung der Wartelisten-Anmeldung, die Einladung zur Registrierung, die Bestätigung einer hinterlegten Kontaktadresse, die Benachrichtigung der bisherigen Adresse bei deren Änderung, der Bestätigungslink für die Kontolöschung, die Bestätigung der vollzogenen Löschung sowie die Zusendung der Datenauskunft nach Art. 15 und Art. 20 DSGVO. Die Datenauskunft wird als ZIP-Datei an diese E-Mail angehängt und läuft damit vollständig über diesen Zustelldienst; sie wird nur an die bestätigte Kontaktadresse gesandt und enthält das gesamte Archiv des Kontos, unter anderem die Coach-Gespräche, die Werte zu Schlaf und HRV, die Strecken, die Titel übertragener Kalendertermine und die selbst hochgeladenen Trainingsdateien. Richtet die betroffene Person E-Mails an den Verantwortlichen, werden die mitgeteilten Daten zur Bearbeitung des Anliegens verarbeitet; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO.

14. Empfänger und Drittlandtransfers

Personenbezogene Daten werden nur an die nachfolgend genannten Empfänger übermittelt, soweit dies für die Erbringung des Dienstes erforderlich ist:

Strava-Nutzungsdaten. Strava darf erfassen, wie Milewise die Strava-API nutzt (deren „Usage Data“), und darf diese Daten für eigene geschäftliche Zwecke verwenden, unter anderem zur Verbesserung der Plattform, für den Entwickler- und Nutzersupport und zur Überprüfung, ob wir die API-Bedingungen einhalten. Das geschieht auf Seiten von Strava, unabhängig von uns und nach deren eigener Datenschutzerklärung; wir erhalten diese Daten nicht und können sie nicht abschalten. Sobald du die Strava-Verbindung trennst, rufen wir Strava nicht mehr für dich auf.

Soweit Daten in Drittländer übermittelt werden, erfolgt dies nach Maßgabe des Kapitels V DSGVO: Übermittlungen an die Google LLC und an die Apple Inc. stützen sich auf den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO); dasselbe gilt für die Zahlungsabwicklung über „Sold through Link, LLC“ (Ziffer 12), ergänzt um Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, soweit der Angemessenheitsbeschluss eine Übermittlung nicht erfasst. Die Verbindung zu Strava richtet die betroffene Person als eigenen Dienst ein; die Übermittlung ist für die Erbringung des gewünschten Dienstes erforderlich und stützt sich auf die von Strava bereitgestellten Garantien (Standardvertragsklauseln, Art. 46 Abs. 2 lit. c DSGVO). Beim clientseitigen Laden von Kartenkacheln wird die IP-Adresse an den Anbieter der Kartenkacheln übermittelt. Dies ist seit dem 27. August 2026 OpenFreeMap, betrieben von der Hyperknot Software Kft. (Ungarn, EU); der Anbieter gibt den Standort seiner Server nicht an und verweist auf den möglichen Einsatz eines Content Delivery Network, sodass eine Übermittlung in ein Drittland nicht ausgeschlossen werden kann. Soweit eine solche Übermittlung stattfindet, ist sie für die Darstellung der von der betroffenen Person angeforderten Karte erforderlich (Art. 49 Abs. 1 lit. b DSGVO). Bis zum 27. August 2026 galt dies entsprechend für den vorherigen Anbieter CARTO Inc. (USA). Die Speicherung der Trainings- und Gesundheitsdaten durch den Verantwortlichen erfolgt vollständig innerhalb der Europäischen Union. Die KI-Verarbeitung erfolgt ausschließlich über Dienstwege mit Garantien zur EU-Datenresidenz (Ziffer 9); beim Einsatz von Microsoft Azure kann die Verarbeitung innerhalb der EU Data Boundary auch in Norwegen oder der Schweiz erfolgen (Angemessenheitsbeschlüsse, Art. 45 DSGVO), und die Mistral AI SAS kann Daten vorübergehend an Unterauftragsverarbeiter außerhalb der EU übermitteln (Standardvertragsklauseln, Art. 46 Abs. 2 lit. c DSGVO).

15. Erforderlichkeit der Bereitstellung personenbezogener Daten

Diese Ziffer erfüllt die Informationspflicht des Art. 13 Abs. 2 lit. e DSGVO. Eine gesetzliche Pflicht, personenbezogene Daten bereitzustellen, besteht nicht; niemand ist verpflichtet, Milewise zu nutzen. Ob eine Angabe erforderlich ist, hängt vom jeweiligen Dienst ab:

• Warteliste: Die E-Mail-Adresse ist erforderlich, um eine Einladung versenden zu können; Sportart und Preisvorstellung sind freiwillig. Ohne E-Mail-Adresse kann kein Eintrag erfolgen. Es besteht keine Pflicht, sich einzutragen.
• Konto: Die vom Anmeldedienst übermittelten Angaben (Ziffer 7) sind für den Abschluss und die Durchführung des Nutzungsverhältnisses erforderlich; ohne sie kann kein Konto eingerichtet werden. Die Bestätigung des Mindestalters von 18 Jahren ist Voraussetzung der Nutzung; wird sie nicht erteilt, bleibt das Konto gesperrt und kann nur noch gelöscht werden.
• Trainings- und Gesundheitsdaten (Ziffer 8): Ihre Bereitstellung beruht auf einer freiwilligen ausdrücklichen Einwilligung. Sie kann verweigert und jederzeit widerrufen werden. Folge einer Verweigerung oder eines Widerrufs ist allein, dass der KI-Coach und die automatisierten Auswertungen nicht erbracht werden können, weil ihnen dann die Datengrundlage fehlt; nachteilige Folgen darüber hinaus, insbesondere vertragliche Sanktionen, treten nicht ein. Ebenso ist das Verbinden mindestens einer Trainingsdatenquelle erforderlich, damit Auswertungen und Coaching überhaupt möglich sind.
• Optionale Funktionen: Die Übermittlung geplanter Einheiten an die Uhr (Ziffer 11), das Verbinden des persönlichen Google Kalenders (Ziffer 8.1), die Übertragung des Kalenders eines Mobilgeräts (Ziffer 8.3), die Freigabe von Apple Health in der iOS-App (Ziffer 8), die Hinterlegung einer Kontakt-E-Mail-Adresse und die Standortermittlung (Ziffer 10) sind freiwillig; ohne sie stehen lediglich die betreffenden Funktionen nicht zur Verfügung. Ohne verbundenen Kalender plant der Coach lediglich ohne Kenntnis der Termine der betroffenen Person.
• Kostenpflichtiges Abonnement (Ziffer 12): Die Zahlungs- und Rechnungsdaten sind für den Abschluss des Vertrags erforderlich; ohne sie kann kein Abonnement zustande kommen. Zudem besteht für Zahlungsunterlagen eine gesetzliche Aufbewahrungspflicht (Ziffer 16).

16. Speicherdauer und Löschung

• Konto- und Coaching-Daten werden für die Dauer der Kontonutzung gespeichert. Gespräche, Verbindungen zu Datenquellen, Standortangaben und Coach-Notizen können darüber hinaus einzeln in der Anwendung gelöscht bzw. getrennt werden. Wird eine Datenquelle getrennt, entscheidet die betroffene Person beim Trennen, ob die von dort stammenden gespeicherten Aktivitäten und die von dort stammenden Erholungsdaten gelöscht werden sollen; trifft sie keine solche Wahl, bleiben diese Daten erhalten. Bei Strava besteht diese Wahl nicht: Die über die Strava-Schnittstelle bezogenen Aktivitäten werden beim Trennen stets gelöscht, weil die API-Bedingungen von Strava dies verlangen. Unabhängig davon werden diese Aktivitäten ohnehin spätestens sieben Tage nach dem Trainingsdatum automatisch gelöscht, ebenfalls auf Verlangen von Strava.
• Kalender des Mobilgeräts (Ziffer 8.3): Vergangene Tage werden automatisch gelöscht, sobald sie länger als drei Tage zurückliegen. Der gespeicherte Bestand künftiger Tage wird bei jeder Übertragung für die gemeldeten Tage ersetzt und vollständig gelöscht, sobald die Funktion in der App abgeschaltet wird, sowie beim Zurücksetzen und beim Löschen des Kontos.
• Werte aus Apple Health (Ziffer 8): Eine feste Frist besteht nicht. Sie werden vollständig gelöscht, sobald die Funktion in der App abgeschaltet wird, sowie beim Zurücksetzen und beim Löschen des Kontos.
• Mit der Löschung des Kontos werden sämtliche zugeordneten Daten einschließlich zwischengespeicherter Rohdaten vom Server des Verantwortlichen entfernt; zuvor auf die Uhr übertragene geplante Einheiten werden aus dem intervals.icu-Kalender entfernt. Hiervon bestehen vier Ausnahmen, die nachstehend gesondert genannt sind: die pseudonymisierten Sicherheitsvermerke, die Sicherungskopien, die steuerrechtlich aufzubewahrenden Zahlungsunterlagen und der pseudonyme Vermerk über eine bereits gewährte Testphase.
• Zwischengespeicherte Rohdaten der verbundenen Quellen. Antworten von intervals.icu, Strava, Polar und Suunto werden in einem Antwort-Zwischenspeicher gehalten, damit dieselbe Anfrage nicht erneut gestellt werden muss. Ein täglich laufender Durchgang löscht jeden Eintrag, der älter als sechs Tage ist. Sechs statt sieben ist Absicht: Der Durchgang läuft nur einmal am Tag, eine Frist von sieben Tagen ließe einen Eintrag also fast acht Tage bestehen, und die Schnittstellenbedingungen von Strava begrenzen deren Daten auf sieben Tage. Unabhängig davon wird der Zwischenspeicher eines Kontos geleert, wenn eine Quelle verbunden oder getrennt wird, bei einer manuellen Aktualisierung, beim Zurücksetzen und beim Löschen des Kontos.
• Sicherheitsprotokoll: 30 Tage; bei Kontolöschung wird die Konto-Kennung entfernt, der pseudonyme Vermerk läuft mit den 30 Tagen aus (Ziffer 4). Betriebsmeldungs-Historie: 30 Tage, ohne Kontospalte (Ziffer 4). Server-Protokolldaten: 14 Tage, für die Kopie im allgemeinen Systemprotokoll des Servers bis zu fünf Wochen (Ziffer 4). Warteliste: Ziffer 6.
• Sicherungskopien werden verschlüsselt in Deutschland vorgehalten und turnusmäßig, spätestens nach sechs Monaten, überschrieben. Bis dahin kann eine Sicherungskopie noch Daten eines bereits gelöschten Kontos enthalten; sie wird ausschließlich zur Wiederherstellung im Störungsfall verwendet.
• Zahlungs- und Rechnungsunterlagen (gesetzliche Aufbewahrungspflicht). Sobald ein entgeltliches Abonnement besteht, gilt die Zusage der vollständigen Löschung für die dabei entstehenden steuerlich relevanten Unterlagen nicht: sie müssen nach § 147 AO aufbewahrt werden. § 147 Abs. 3 Satz 1 AO sieht vor, dass Buchungsbelege acht Jahre, Bücher, Aufzeichnungen, Inventare und Abschlüsse zehn Jahre und die sonstigen aufbewahrungspflichtigen Unterlagen sechs Jahre aufzubewahren sind; die Frist beginnt jeweils mit dem Schluss des Kalenderjahrs, in dem die Unterlage entstanden ist (§ 147 Abs. 4 AO). Solange diese Pflicht besteht, ist ein Löschungsanspruch insoweit nach Art. 17 Abs. 3 lit. b DSGVO ausgeschlossen; die betreffenden Daten werden für andere Zwecke gesperrt und ausschließlich zur Erfüllung der Aufbewahrungspflicht vorgehalten. Solche Unterlagen entstehen erst mit einer abgeschlossenen Bestellung.
• Vermerk über eine bereits gewährte Testphase. Der in Ziffer 12.1 beschriebene Datensatz (Einwegwert der Kennung, Name der Integration, Datum) bleibt nach der Kontolöschung bestehen, weil die Beschränkung auf eine Testphase je Integration sonst wirkungslos wäre. Er enthält aus sich heraus keine Angabe, die einer Person zugeordnet werden kann, und keine Kontaktangabe. Eine feste Frist ist deshalb nicht vorgesehen; die Speicherung ist an ihren Zweck gebunden und endet mit ihm (Ziffer 12.1).

17. Datensicherheit

Der Verantwortliche trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um die verarbeiteten Daten gegen Verlust, Zerstörung, Zugriff, Veränderung und Verbreitung durch unbefugte Personen zu schützen. Hierzu zählen insbesondere: die durchgängige Transportverschlüsselung sämtlicher Verbindungen (TLS/HTTPS einschließlich HSTS), die verschlüsselte Speicherung von Zugangsdaten und Verbindungs-Tokens der angebundenen Dienste, die Beschränkung sämtlicher Serverzugriffe auf den Verantwortlichen, verschlüsselte Sicherungskopien sowie der ausschließliche Betrieb der Systeme auf Servern innerhalb der Europäischen Union. Die Maßnahmen werden fortlaufend dem Stand der Technik angepasst.

Zur Verwaltung des Dienstes betreibt der Verantwortliche eine geschützte Administrationsoberfläche (admin.milewise.de). Dort sind je Konto einsehbar: die Kontokennung, der Anzeigename, die bestätigte E-Mail-Adresse, welche Trainingsdienste verbunden sind nebst dem dort hinterlegten Namen, der Zeitpunkt der letzten Nutzung, der zugeordnete Tarif sowie die durch die Nutzung des KI-Coaches verursachten Kosten. Eine noch nicht bestätigte E-Mail-Adresse wird dort nicht angezeigt. Chatverläufe mit dem KI-Coach sowie die Trainings- und Gesundheitsdaten der Nutzerkonten sind über diese Oberfläche nicht abrufbar. Der Zugang ist allein dem Verantwortlichen vorbehalten und durch ein gesondertes Kennwort, eine auf zwölf Stunden begrenzte Verwaltungssitzung, Sperren nach fehlgeschlagenen Anmeldeversuchen sowie eine Begrenzung der Anfragefrequenz gesichert; für die Anmeldung steht darüber hinaus eine Zwei-Faktor-Authentifizierung (zeitbasierte Einmalcodes oder Passkey nach dem WebAuthn-Standard) zur Verfügung. Administrative Eingriffe werden im Sicherheitsprotokoll nach Ziffer 4 festgehalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses) sowie Art. 6 Abs. 1 lit. f DSGVO (Missbrauchs- und Kostenkontrolle).

18. Rechte der betroffenen Person

Der betroffenen Person stehen nach Maßgabe der gesetzlichen Voraussetzungen die folgenden Rechte gegenüber dem Verantwortlichen zu:

• das Recht auf Auskunft über die verarbeiteten personenbezogenen Daten (Art. 15 DSGVO);
• das Recht auf Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO);
• das Recht auf Löschung (Art. 17 DSGVO);
• das Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO);
• das Recht auf Datenübertragbarkeit (Art. 20 DSGVO);
• das Recht, der Verarbeitung auf Grundlage des Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus der besonderen Situation der betroffenen Person ergeben, zu widersprechen (Art. 21 DSGVO);
• das Recht, erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO).

Zur Ausübung dieser Rechte genügt eine formlose Mitteilung an contact@milewise.de. Anfragen werden innerhalb der Frist des Art. 12 Abs. 3 DSGVO, spätestens innerhalb eines Monats, beantwortet. Kontolöschung und Datenexport können darüber hinaus unmittelbar in der Anwendung unter „Deine Daten & Privatsphäre“ selbst vorgenommen werden: ein vollständiger Datenexport (Zusendung per E-Mail; Art. 15/20 DSGVO) sowie die dauerhafte Löschung des Kontos samt aller zugehörigen Daten (Art. 17 DSGVO, mit den Einschränkungen aus Ziffer 16). Beides ist unentgeltlich. Der Export enthält den Vermerk über eine bereits gewährte Testphase nicht, weil dieser keine dem Konto zugeordnete Angabe enthält; die Einzelheiten dazu stehen in Ziffer 12.1.

19. Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht der betroffenen Person das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für den Verantwortlichen (Sitz Karlsruhe, Baden-Württemberg) zuständige Aufsichtsbehörde ist:

20. Aktualität und Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung wird angepasst, sobald Änderungen des Dienstes oder der Rechtslage dies erfordern, insbesondere bei Änderungen des entgeltlichen Angebots (Ziffer 12). Bestehende Nutzerinnen und Nutzer werden vor einer solchen Änderung gesondert informiert (Art. 13 Abs. 3 DSGVO). Maßgeblich ist die jeweils an dieser Stelle veröffentlichte Fassung. Die deutsche Fassung ist verbindlich; die englische Fassung ist eine unverbindliche Übersetzung.