Empfänger deiner Daten

Fassung vom 4. September 2026 · Liste 2026-09-04.1 · Bestandteil der Datenschutzerklärung · Diese deutsche Fassung ist die verbindliche; die englische Fassung ist eine Übersetzung zur Information.

Inhaltsübersicht

Wozu diese Liste gehört
Wie du die Tabelle liest
Die Empfänger
Wer hier nicht steht, und warum
Übermittlungen außerhalb des EWR
Version, Änderungen und frühere Fassungen
Namen auf Anfrage

1. Wozu diese Liste gehört

Die Datenschutzerklärung nennt in Abschnitt 7 die Kategorien von Empfängern. Diese Seite nennt die Namen dahinter. Sie gehört zur Datenschutzerklärung und ersetzt sie nicht: die Kategorien und die Rechtsgrundlagen stehen dort, die Namen stehen hier.

Die Aufteilung ist gewollt. Anbieter wechseln, Kategorien nicht. Eine eigenständig versionierte Liste bleibt aktuell, ohne dass die Erklärung jedes Mal neu geschrieben wird. Zulässig ist sie, weil Art. 13 Abs. 1 lit. e DSGVO Kategorien genügen lässt, während Art. 15 Abs. 1 lit. c DSGVO auf Anfrage die konkreten Namen verlangt (EuGH, Urteil vom 12. Januar 2023, C-154/21, Rn. 36; EDSA-Leitlinien 01/2022, Beispiel 20). Beide Hälften bekommst du hier ohne Anfrage.

2. Wie du die Tabelle liest

Die Zeilen sind nach den Empfängerkategorien aus Abschnitt 7 der Datenschutzerklärung gebündelt. Ein Unternehmen, das mehrere Aufgaben für uns übernimmt, steht trotzdem nur einmal in der Tabelle, mit allen Aufgaben in einer Zeile. Diese Rollen kommen vor:

Auftragsverarbeiter: verarbeitet nur nach unserer Weisung (Art. 28 DSGVO). Wir bleiben verantwortlich. Wo wir mit einem Auftragsverarbeiter keinen solchen Vertrag haben, steht das in seiner Zeile.
Eigenständig Verantwortlicher: entscheidet selbst über Zwecke und Mittel und hat eine eigene Datenschutzerklärung. Das gilt für die Dienste, die du selbst verbindest, für Anmeldedienste und für Karten- und Wetterdienste.
Plattform: Apple und Google verkaufen dir ein Abo im eigenen Namen, wenn du es im App Store oder bei Google Play kaufst. Der Vertrag über den Kauf kommt dann mit ihnen zustande, der Vertrag über die Nutzung mit uns.
Eingetragener Händler (merchant of record): rechnet das Web-Abo im eigenen Namen ab und erscheint als Verkäufer auf deiner Abrechnung. Das ist eine Zahlungs- und Steuerrolle: Verkäufer der Leistung bleiben wir.
Empfänger, wo keine der vier Rollen passt und wir nichts behaupten wollen: der DNS-Betreiber, der nur die Namensabfragen deines Resolvers sieht; der Meldedienst, der die Betriebsmeldungen an den Inhaber erhält; der Kalenderdienst, den du selbst wählst; und der Anbieter des Entwicklungsassistenten, dessen Rolle wir nicht abschließend geklärt haben. Diese Zeilen sagen, was sie sind, statt sich ein Etikett zu leihen.

In der letzten Spalte beschreiben wir, was unsere Software tut, nicht, was ein Anbieter verspricht. „Unsere Software weist jeden Endpunkt außerhalb ihrer EU-Liste zurück“ ist eine Aussage über uns und bleibt wahr, auch wenn ein Anbieter seine Seiten ändert. Wo wir einen Verarbeitungsort nicht belegen können, steht genau das dort, und keine Vermutung. Koordinaten runden wir auf vier Nachkommastellen, bevor sie uns verlassen, an den Wetterdienst ebenso wie an den Zeitzonen- und den Ortsnamensdienst.

3. Die Empfänger

Name und Rechtsträger	Was er für uns tut	Welche personenbezogenen Daten ihn erreichen	Rolle	Wo verarbeitet wird
A · KI-Anbieter für den Coach
Mistral AI SAS 15 rue des Halles, 75001 Paris, Frankreich	Beantwortet die Anfragen des Coaches.	Der Coach-Kontext: Profil mit maximaler und Ruheherzfrequenz und Herzfrequenzzonen, Zeitzone, Ziele und Rennnamen, Trainingsplan, Coach-Notizen, dein Chattext. Über Werkzeugaufrufe zusätzlich Schlaf, HRV, Erholung, Trainingsstatus, GPS-Verläufe, aktueller Ort und Titel von Kalendereinträgen. Dein Name und deine E-Mail-Adresse gehen nicht mit.	Auftragsverarbeiter	Das Unternehmen ist französisch, und unsere Software ruft seinen EU-Regionalendpunkt auf, den der Anbieter als Verarbeitung in der EU und den EFTA-Staaten dokumentiert. Bis zum 4. September 2026 rief sie den allgemeinen Endpunkt ohne zugesagten Verarbeitungsort auf. Konto- und Abrechnungsdaten nimmt der Anbieter von der Zusage aus, und im Auftragsverarbeitungsvertrag behält er sich vorübergehende Übermittlungen an Unterauftragsverarbeiter außerhalb der EU auf Standardvertragsklauseln vor.
Microsoft Ireland Operations Limited One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland (Azure OpenAI Service)	Beantwortet die Anfragen des Coaches.	Wie Mistral. Der Anbieter gibt an, dass Anfragen und Antworten in einem Speicher zur Missbrauchserkennung liegen, getrennt nach Kundenressource, und dass befugte Beschäftigte des Anbieters lesen können, was seine Missbrauchserkennung markiert hat; für eine Ressource im Europäischen Wirtschaftsraum gibt er an, dass diese Beschäftigten im EWR sitzen. Der Anbieter gibt außerdem an, dass Anfragen und Antworten nicht zum Trainieren, Nachtrainieren oder Verbessern der Basismodelle genutzt werden und OpenAI oder anderen Anbietern nicht zur Verfügung stehen.	Auftragsverarbeiter	Unsere Software akzeptiert ausschließlich Azure-OpenAI-Hostnamen und weist jeden anderen Endpunkt zurück. Wir betreiben die Bereitstellungsart Data Zone Standard in der EU-Datenzone des Anbieters; diese Einstellung entscheidet, wo gerechnet wird und wo Inhalte liegen. Die Datenzone umfasst die Europäische Union zusammen mit den EFTA-Staaten Liechtenstein, Island, Norwegen und der Schweiz und ist damit weiter als „EU“.
Amazon Web Services EMEA SARL 38 Avenue John F. Kennedy, L-1855 Luxemburg	Beantwortet die Anfragen des Coaches, sowohl für Claude als auch für die offenen Modelle.	Wie Mistral.	Auftragsverarbeiter	Unsere Software weist jede AWS-Region außerhalb ihrer EU-Liste zurück. Voreinstellung: eu-central-1 (Frankfurt). Die offenen Modelle sind je Modell festgelegt, zwei in eu-central-1 (Frankfurt) und zwei in eu-north-1 (Stockholm).
Google Cloud EMEA Limited 70 Sir John Rogerson’s Quay, Dublin 2, D02 R296, Irland	Beantwortet die Anfragen des Coaches (Vertex AI, Gemini).	Wie Mistral.	Auftragsverarbeiter	Unsere Software ruft nur den europäischen Vertex-Endpunkt und acht europäische Regionalhosts auf und weist jeden anderen zurück.
B · Deine eigenen verbundenen Konten
intervals.icu Ltd 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Vereinigtes Königreich	Liefert deine Aktivitäten, Wellness-Werte und Sporteinstellungen, wenn du die Quelle verbindest. Wir schreiben geplante Einheiten in deinen dortigen Kalender, solange der Plan-Push eingeschaltet ist.	Eingehend: nichts von uns außer dem Abruf selbst. Ausgehend: geplante Trainingseinheiten mit Titel, Datum, Dauer und Intensität.	Eigenständig Verantwortlicher	Vereinigtes Königreich als Sitz der Gesellschaft. Der Anbieter gibt an, dass er die Daten nach Deutschland und Finnland übermittelt und dort verarbeitet und dass die Daten zusätzlich in der Cloud bei Google, Backblaze und Wasabi gespeichert werden können. Eine Übermittlung in das Vereinigte Königreich stützt sich auf den Angemessenheitsbeschluss der Kommission (Art. 45 DSGVO).
Strava Ireland Limited Magennis Court, Pearse Street, Dublin 2, D02 FK76, Irland (Strava erbringt den Dienst im EWR über diese Gesellschaft)	Liefert Aktivitäten, Profil und Zonen, wenn du die Quelle verbindest, und kann als Anmeldeverfahren dienen. Nur auf deine ausdrückliche Anweisung laden wir eine Aktivität dorthin hoch oder ändern Name, Beschreibung und Sportart.	Ausgehend nur, was du hochlädst oder änderst. Aktivitäten, die bei Strava aufgezeichnet wurden, legen wir dem Coach nicht vor, exportieren wir nicht zu einer anderen Plattform und nehmen wir aus dem Kalender-Feed heraus.	Eigenständig Verantwortlicher	Vereinigte Staaten. Strava gibt an, dass Informationen von Nutzerinnen und Nutzern außerhalb der Vereinigten Staaten dorthin übermittelt und dort verarbeitet und gespeichert werden, und dass es für internationale Übermittlungen Instrumente wie die Standardvertragsklauseln einsetzt. Die Strava Ireland Limited ist die Gesellschaft, die den Dienst im EWR erbringt.
Polar Electro Oy Professorintie 5, 90440 Kempele, Finnland	Liefert Trainings, Schlaf, Nightly Recharge und Tagesaktivität, wenn du die Quelle verbindest. Beim Verbinden meldet unser Server dein Konto bei Polar an, beim Trennen wieder ab.	Deine Polar-Kontokennung im Rahmen der Anmeldung. Sonst nur Abrufe.	Eigenständig Verantwortlicher	Polar gibt selbst an, dass die Daten seines Dienstes auf Servern in Irland und Schweden liegen und dass Verarbeitungen auch außerhalb des EWR stattfinden können. Für Übermittlungen aus dem EWR nennt Polar den EU-US-Datenschutzrahmen, dessen britisches und schweizerisches Gegenstück und die Standardvertragsklauseln der Europäischen Kommission.
Suunto Oy Tammiston Kauppatie 7 A, 01510 Vantaa, Finnland	Liefert Trainingszusammenfassungen, wenn du die Quelle verbindest. Auf Wunsch legen wir dort eine SuuntoPlus-Anleitung ab, die du selbst auf die Uhr überträgst.	Ausgehend nur die Anleitung, die du erzeugst.	Eigenständig Verantwortlicher	Finnland. Suunto gibt selbst an, dass einzelne Unterauftragnehmer, Lieferanten und Konzerngesellschaften außerhalb des EWR verarbeiten, gestützt auf Standardvertragsklauseln, und nennt einen China-Weg mit zusätzlichen Maßnahmen. Suunto veröffentlicht außerdem gemeinsam Verantwortliche in China und Hongkong: Dongguan Liesheng Electronic Co., Ltd, Liesheng HK Limited und Gesellschaften von Suunto Sports Technology.
C · Anmeldung, Kauf über die App-Stores und Zustellung von Mitteilungen
Apple Distribution International Limited Hollyhill Industrial Estate, Hollyhill, Cork, Irland	Drei Dinge: „Bei Apple anmelden“, der Verkauf des Abos im App Store, und die Zustellung von Push-Nachrichten an iPhones.	Anmeldung: Apple-Nutzerkennung, E-Mail-Adresse, beim ersten Mal der Name. Kauf: deine Zahlungsidentität, die wir selbst nie sehen. Push: die Geräteadresse deines iPhones, unsere App-Kennung und entweder ein fester Satz aus unserem Textkatalog in deiner Sprache oder, bei einer vom Betreiber von Hand versendeten Mitteilung, deren Text.	Eigenständig Verantwortlicher für Anmeldung und Kauf; Auftragsverarbeiter für die Push-Zustellung	Apple erklärt selbst, dass Übermittlungen personenbezogener Daten aus dem EWR durch Standardvertragsklauseln geregelt sind. Einen Verarbeitungsort für seinen Push-Dienst veröffentlicht Apple nicht.
Google Ireland Limited Gordon House, Barrow Street, Dublin 4, Irland („Mit Google anmelden“, Google Kalender, Firebase Cloud Messaging)	Anmeldung, das Lesen deines Google-Kalenders, wenn du das gesondert erlaubst, und die Zustellung von Push-Nachrichten an Android-Geräte.	Anmeldung: Google-Nutzerkennung, E-Mail-Adresse, Anzeigename. Kalender: nur Abrufe, wir schreiben dort nichts. Push: die Registrierungskennung deines Geräts, unsere Projektkennung und entweder ein fester Satz aus unserem Textkatalog oder, bei einer vom Betreiber von Hand versendeten Mitteilung, deren Text. Der Anbieter gibt an, die Installationskennung aufzubewahren, bis wir seine Löschschnittstelle aufrufen, und sie danach binnen 180 Tagen aus laufenden Systemen und Sicherungen zu entfernen.	Eigenständig Verantwortlicher für Anmeldung und Kalender; Auftragsverarbeiter für die Push-Zustellung	Google nennt für Nutzerinnen und Nutzer im EWR die Google Ireland Limited als Verantwortliche; damit sind Anmeldung und Kalender geklärt. Für Cloud Messaging nicht: dieser Dienst richtet sich nach eigenen Firebase-Bedingungen, und Google veröffentlicht dafür keine Vertragsgesellschaft, also behaupten wir keine. Für Übermittlungen gibt Google an, dass die Google LLC und ihre US-Tochtergesellschaften vom Angemessenheitsbeschluss zum EU-US-Datenschutzrahmen erfasst sind (Art. 45 DSGVO), und zu Cloud Messaging, der Dienst sei global und könne Daten an jedem Standort der Google Cloud Platform oder an jedem Google-Rechenzentrumsstandort verarbeiten.
Google Commerce Limited 70 Sir John Rogerson’s Quay, Dublin 2, D02 R296, Irland	Verkauft dir das Abo, wenn du es bei Google Play kaufst.	Deine Zahlungsidentität und deine Kaufhistorie im Store. Wir sehen davon nur, welches Produkt aktiv ist und bis wann.	Plattform, eigenständig Verantwortlicher für den Kauf	Siehe die Zeile Google darüber.
RevenueCat, Inc. 1032 E Brandon Blvd #3003, Brandon, FL 33511, Vereinigte Staaten	Prüft und verwaltet Store-Käufe, damit die App weiß, welche Stufe dir zusteht.	Deine interne Kontonummer als Kennung, der Store, das gekaufte Produkt und der Abo-Status. Das Modul läuft im App-Prozess auf deinem Telefon und überträgt zusätzlich Geräte- und App-Merkmale, die es selbst bestimmt; es ist nicht quelloffen, deshalb zählen wir sie hier nicht abschließend auf. Werbe- und Attributionskennungen ruft unsere App nicht ab.	Auftragsverarbeiter	Vereinigte Staaten. Der Anbieter gibt an, personenbezogene Daten bei Amazon Web Services in den USA zu speichern; sein Auftragsverarbeitungsvertrag wendet die EU-Standardvertragsklauseln an, die irischem Recht unterliegen.
D · Zahlungsabwicklung im Web
Stripe Für Managed Payments, den Weg unserer Website, kommen zwei irische Stripe-Gesellschaften in Betracht, und Stripes eigene Unterlagen sind sich nicht einig: der Auftragsverarbeitungsvertrag nennt für ein Konto ausserhalb Amerikas die Stripe Payments Europe, Limited, unsere Kontounterlagen und die Nutzungsbedingungen dagegen die Stripe Technology Europe, Limited. Welche der beiden unser Konto führt, bestätigen wir gegen die unterzeichneten Vertragsunterlagen, bevor wir sie hier als feststehend nennen.	Führt die Bezahlseite, das Abo und das Kundenportal.	Von uns: deine interne Kontonummer, die gewählte Stufe, der Preis und die Version der Nutzungsbedingungen. Von dir direkt: E-Mail-Adresse und Zahlungsmittel, die du auf Stripes eigener Seite eingibst. Gesundheits- oder Trainingsdaten gehen nicht mit.	Auftragsverarbeiter für die Zahlungsabwicklung	Noch nicht geklärt: es folgt daraus, welche der beiden abrechnenden Gesellschaften unser Konto führt. Stripe betreibt Konzerngesellschaften in Irland und in den Vereinigten Staaten.
Link, LLC „Sold through Link, LLC“, die Gesellschaft, über die Stripe seinen Händler-des-Verkaufs-Dienst erbringt	Erscheint auf deiner Abrechnung, auf dem Beleg und auf der Rechnung als Verkäufer; die Rechnung trägt Namen und Steuerdaten dieser Gesellschaft statt unserer. Das ist die Rolle des eingetragenen Händlers (merchant of record), eine Zahlungs- und Steuerrolle: Verkäufer der Leistung bleiben wir, und unsere Pflichten dir gegenüber gehen nicht mit über (Nutzungsbedingungen, Abschnitt 1).	Die Kaufdaten der Bestellung.	Eingetragener Händler, eigenständig Verantwortlicher für die Zahlung	Stripe veröffentlicht für diese Gesellschaft keine Anschrift und keinen Verarbeitungsort.
E · E-Mail-Zustellung
Mailjet Mailjets eigener Datenschutzhinweis bezeichnet die verantwortliche Partei als Sinch AB (publ) oder eine ihrer Tochtergesellschaften und nennt dpo@sinch.com als Kontakt. Welche Gesellschaft unser Vertragspartner ist, bestätigen wir gegen die Vertragsunterlagen, bevor wir sie hier als feststehend nennen.	Nimmt die ausgehende Post unseres eigenen Mailservers entgegen und stellt jede Transaktionsmail zu.	Empfängeradresse, Betreff und den vollständigen Text jeder Mail, die wir dir schicken, einschließlich eines Datenexports, wenn du ihn als Anhang anforderst. Öffnungs- und Klickmessung schalten wir in jeder einzelnen Nachricht ab, es gibt also kein Zählpixel und keine umgeleiteten Links.	Auftragsverarbeiter	Der Anbieter gibt an, dass die Daten in seinen gesicherten Rechenzentren bei der Google Cloud Platform in Frankfurt (Deutschland) und Saint-Ghislain (Belgien) liegen, dass seine Rechenzentren ausschließlich innerhalb der Europäischen Union stehen und dass tägliche verschlüsselte Sicherungen in geografisch getrennten Umgebungen innerhalb der EU liegen. Der Konzernhinweis sagt, eine Plattform werde je nach gewählter Bereitstellung aus Rechenzentren in den Vereinigten Staaten oder in Europa betrieben, und der Auftragsverarbeitungsvertrag des Konzerns behält sich Übermittlungen innerhalb des Konzerns vor. Für Übermittlungen aus dem EWR nennt der Konzern die EU-Standardvertragsklauseln, sofern nicht ein anderes Instrument greift, darunter der EU-US-Datenschutzrahmen.
F · Server-Hosting, Sicherung, Namensauflösung und Auslieferung der App
Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen, Deutschland	Vermietet den Server, auf dem Milewise läuft: Anwendung, Datenbank und unser Mailserver.	Alles, was gespeichert wird, liegt auf dieser Maschine.	Auftragsverarbeiter	Falkenstein, Deutschland. Die Gesellschaft sitzt in Deutschland, und der Server, den wir mieten, steht in deren Rechenzentrum Falkenstein.
Hetzner Online GmbH Storage Box, das Ziel der Auslagerungssicherung	Nimmt die nächtliche, verschlüsselte Sicherung entgegen.	Die vollständige Datenbank, unser Mailspeicher und die Serverkonfiguration, verschlüsselt mit einem Schlüssel, der nicht auf dem Zielsystem liegt. Aufbewahrt werden 7 tägliche, 4 wöchentliche und 6 monatliche Stände, weshalb gelöschte Daten dort noch bis zu etwa sieben Monate weiterleben.	Auftragsverarbeiter	Falkenstein, Deutschland, derselbe Standort wie der Server, den es sichert.
Cloudflare, Inc. 101 Townsend St., San Francisco, CA 94107, Vereinigte Staaten Betreiber unserer autoritativen DNS-Zone	Beantwortet Namensanfragen für unsere Domains und bestätigt unsere TLS-Zertifikate.	Nur die Namensanfragen selbst, die der Auflöser deines Netzes stellt. Auf unserem eigenen Weg erreicht ihn kein Inhalt eines Aufrufs: in unserer Serverkonfiguration ist kein vorgeschalteter Proxy eingerichtet. Die Kartenkacheln laufen einen eigenen Weg, und der Kartenanbieter gibt an, dass er Cloudflare als Auslieferungsnetz einsetzen kann; ob unsere Kacheln diesen Weg nehmen, haben wir nicht festgestellt.	Empfänger von Namensauflösungsdaten	Cloudflare gibt an, Informationen vorrangig in den Vereinigten Staaten und im Europäischen Wirtschaftsraum zu speichern, sich unter dem EU-US-Datenschutzrahmen zu zertifizieren und auf die Standardvertragsklauseln zurückzugreifen, falls diese Zertifizierung entfällt.
Expo (EAS Update), betrieben von der 650 Industries, Inc. 624 University Ave FL1, Palo Alto, CA 94301, Vereinigte Staaten Betreiber des Aktualisierungsdienstes unserer App	Baut die App und beantwortet beim Start jeder installierten App die Frage, ob eine neuere Fassung vorliegt.	Bei jedem Start: die IP-Adresse deines Geräts, die Plattform, die Laufzeitversion der App, der Auslieferungskanal und eine zufällige Kennung je Installation, an der der Anbieter erkennt, ob eine Aktualisierung schon geladen wurde.	Auftragsverarbeiter	Vereinigte Staaten. Der Anbieter gibt an, dass die Daten dorthin zur Verarbeitung übermittelt werden und dass er sich unter dem EU-US-Datenschutzrahmen selbst zertifiziert hat (Art. 45 DSGVO).
G · Kartenkacheln, Wetter, Zeitzone und Ortsnamen
OpenFreeMap, betrieben von der Hyperknot Software Kft. Petofi Sandor utca 48., Ujlengyel, 2724, Ungarn	Liefert die Kartenkacheln, die dein Browser und die App direkt abrufen, wenn du eine Karte öffnest.	Deine eigene IP-Adresse und die Koordinaten der Kacheln, die du ansiehst. Das verrät die Gegend deines Wohnorts und deiner Strecken. Es geht keine Kontokennung und kein Cookie mit.	Eigenständig Verantwortlicher	Der Anbieter macht keine Angabe zum Serverstandort und gibt an, dass er Cloudflare als Auslieferungsnetz einsetzen kann. Er gibt an, dass standardmäßig keine IP-Adressen protokolliert werden und dass Protokolle, die für einen Sicherheitsvorfall eingeschaltet werden, spätestens nach 30 Tagen gelöscht werden.
Meteorologisk institutt (MET Norway) Norwegen	Liefert die Wettervorhersage für deinen Trainingsort.	Koordinaten, auf vier Nachkommastellen gerundet, und die IP-Adresse unseres Servers. Keine Kontokennung.	Eigenständig Verantwortlicher	Norwegen. Norwegen ist ein EWR-Staat, in dem die DSGVO über das EWR-Abkommen gilt; eine Übermittlung dorthin ist deshalb keine Drittlandübermittlung.
OpenMeteo GmbH Hintere Schilligmatte 6, 6463 Bürglen (UR), Schweiz	Bestimmt aus Koordinaten die Zeitzone und liefert historisches Wetter zu vergangenen Einheiten.	Koordinaten, auf vier Nachkommastellen gerundet, ein Datumsbereich und die IP-Adresse unseres Servers. Der Anbieter gibt an, Serverprotokolle mit IP-Adressen und Koordinaten 90 Tage aufzubewahren.	Eigenständig Verantwortlicher	Schweiz, erfasst vom Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO).
OpenStreetMap Foundation (Nominatim) eine company limited by guarantee, eingetragen in England und Wales unter Nr. 05912761, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Vereinigtes Königreich	Übersetzt einen Koordinatenpunkt in einen Ortsnamen, damit der Coach von deinem Ort sprechen kann.	Koordinaten, auf vier Nachkommastellen gerundet, und die IP-Adresse unseres Servers. Keine Kontokennung.	Eigenständig Verantwortlicher	Der Anbieter gibt an, dass personenbezogene Daten außerhalb der Daten zu einer Kachelanfrage im Vereinigten Königreich und in den Niederlanden gespeichert werden und dass Sicherungen in der EU liegen. Das Vereinigte Königreich ist vom Angemessenheitsbeschluss der Kommission erfasst (Art. 45 DSGVO).
H · Der KI-Programmierassistent des Betreibers und Betriebswarnungen
Anthropic, Anbieter des KI-Entwicklungswerkzeugs, mit dem Milewise gebaut und unterstützt wird Vertragsgesellschaft, Region und Aufbewahrung sind nicht abschließend geklärt; wir schreiben das hin, statt es zu behaupten. Mit diesem Anbieter haben wir keinen Auftragsverarbeitungsvertrag, und kein anderes Instrument regelt, was er mit dem tun darf, was er liest.	Nur für Konten, die der Inhaber ausdrücklich für den Support freischaltet: Fehlersuche und Störungsbehebung an einem Konto.	Für ein freigeschaltetes Konto eine zweite, eingeschränkte Kopie: Coach-Unterhaltungen, vom Telefon übertragene Gesundheitswerte, Gerätekalender und gespeicherte Aktivitäten. Nicht mitkopiert wird jedes als geheim markierte Zugangsdatum, und Strava-Verbindungsdaten bleiben ebenfalls draußen. Über denselben Weg können Änderungen an deinen Daten angefordert werden, und der Inhaber kann dem Assistenten zusätzlich eine Geräte-Zugangsberechtigung ausstellen, mit der er in deinem Konto genauso handelt wie eines deiner eigenen gekoppelten Geräte, mit deinen Berechtigungen, deinen Einwilligungen und deinen Nutzungsgrenzen. Dieses Gerät erscheint unter eigenem Namen in den Einstellungen unter „Geräte“, und du kannst es dort entziehen. Für die Supportkopie selbst gibt es keinen Schalter in der App: die Freischaltung setzt der Inhaber, und sie steht in deiner Datenauskunft nach Art. 15 DSGVO.	Nicht abschließend geklärt	Nicht abschließend geklärt.
ntfy Benachrichtigungsdienst, an den unser Server Betriebsmeldungen an den Inhaber schickt	Meldet dem Inhaber Betriebsereignisse, etwa eine Kontolöschung oder einen Zahlungsvorgang.	In der Regel nur Ereigniskategorie und Endpunkt, ohne Kontokennung und ohne Nachrichteninhalt. Eine Meldung ist die Ausnahme, und wir nennen sie, statt sie wegzumitteln: erklärt ein Kunde den Widerruf, trägt die Meldung die interne Kontonummer, den Zeitpunkt der Erklärung, das Datum des Vertrags und ob das Abonnement beendet werden konnte, weil die Rückzahlung eine Vierzehn-Tage-Frist hat und den Inhaber sonst nichts darauf hinweist. Ob jede andere Meldung die Regel einhält, haben wir nicht Zeile für Zeile nachgeprüft, deshalb steht der Dienst hier und nicht in Abschnitt 4 dieser Seite.	Auftragsverarbeiter für die Meldungen an den Inhaber. Mit diesem Dienst haben wir keinen Auftragsverarbeitungsvertrag.	Von uns nicht bestätigt.
I · Der Kalenderdienst, den du selbst wählst
Der Kalenderdienst, den du abonnierst Apple, Google, Microsoft oder ein anderer, je nachdem, wo du den Feed einträgst	Ruft in deinem Auftrag den Kalender-Feed ab, wenn du ihn eingerichtet hast.	Deine vergangenen Einheiten und deinen Plan mit Titel, Distanz und genauen Ortszeiten. Bei Strava aufgezeichnete Aktivitäten sind ausgenommen. Der Feed hängt an einer langen, geheimen Adresse: wer sie hat, kann ihn abrufen. Du kannst sie in den Einstellungen neu erzeugen.	Von dir gewählter Empfänger	Bestimmt der Dienst, den du wählst.

4. Wer hier nicht steht, und warum

Apple Health und Health Connect. Beide sind Speicher auf deinem eigenen Telefon. Die App liest sie dort und schickt nur das Ergebnis an unseren Server. Apple und Google bekommen auf diesem Weg nichts.
Garmin. Es gibt keine direkte Verbindung. Garmin-Daten erreichen uns nur über intervals.icu oder Strava, und geplante Einheiten erreichen eine Garmin-Uhr nur, weil intervals.icu sie weiterreicht.
GitHub, Let’s Encrypt, unser Domainanbieter und unsere Bank. GitHub speichert unseren Quelltext, nicht deine Daten; Let’s Encrypt stellt Zertifikate aus und bekommt dabei keine personenbezogenen Daten; Domain und Bankkonto berühren das Produkt nicht.
Die Landestabelle für die UK-Sperre. Sie liegt als Datei auf unserem Server. Es verlässt keine Adresse den Server für diese Prüfung, also gibt es auch keinen Empfänger. Die Tabelle ist IP Geolocation by DB-IP, verwendet unter der Creative-Commons-Namensnennung-4.0-International-Lizenz.
Analyse, Werbung, Zuordnung, fremde Absturzberichte. In keiner unserer drei Anwendungen steckt ein solches Modul. Absturzberichte gehen an unseren eigenen Server, ohne Anmeldung und ohne Kontokennung.

5. Übermittlungen außerhalb des EWR

Jeder Weg aus dem EWR heraus, den diese Tabelle trägt, und was der Empfänger selbst dafür nennt:

Norwegen ist EWR-Staat. Die DSGVO gilt dort über das EWR-Abkommen. Eine Übermittlung dorthin ist keine Drittlandübermittlung, und es gibt dazu auch keinen Angemessenheitsbeschluss, den man zitieren könnte. Das trägt die Zeile MET Norway.
Schweiz: Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Das trägt die Zeile OpenMeteo GmbH.
Vereinigtes Königreich: Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Das trägt die Zeile intervals.icu Ltd und die Zeile OpenStreetMap Foundation.
Vereinigte Staaten: Google gibt an, dass die Google LLC und ihre US-Tochtergesellschaften vom EU-US-Datenschutzrahmen erfasst sind (Art. 45 DSGVO); Expo gibt an, sich unter demselben Rahmen selbst zertifiziert zu haben; Cloudflare gibt an, sich darunter zu zertifizieren und auf die Standardvertragsklauseln zurückzugreifen, falls die Zertifizierung entfällt; RevenueCat gibt an, dass sein Auftragsverarbeitungsvertrag die EU-Standardvertragsklauseln anwendet.
Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) nennen Apple, Strava, Suunto, Polar, Mistral und der Konzern des Mail-Relays jeweils selbst für ihre eigenen Übermittlungen aus dem EWR.

Das Sicherungsziel braucht keines davon: es ist dieselbe deutsche Gesellschaft am selben deutschen Standort wie der Server, auf diesem Weg verlässt also nichts den EWR. Für die übrigen Empfänger auf dieser Seite, darunter der Benachrichtigungsdienst ntfy, die Link, LLC und der Support-Zugang, haben wir noch nicht geklärt, welches Instrument eine Übermittlung aus dem EWR trägt. Wir schreiben das hin, statt eines zu behaupten.

Welches Instrument eine einzelne Übermittlung trägt und wie du eine Kopie davon bekommst, sagen wir dir auf Anfrage unter contact@milewise.de (Art. 13 Abs. 1 lit. f DSGVO).

6. Version, Änderungen und frühere Fassungen

Diese Liste trägt eine eigene Versionsnummer aus Datum und laufender Zahl. Die aktuelle steht oben auf der Seite. Frühere Fassungen werden aufbewahrt und auf Anfrage herausgegeben, damit du nachvollziehen kannst, wer deine Daten zu einem bestimmten Zeitpunkt bekommen hat.

Zwei Arten von Änderung, und sie werden unterschiedlich behandelt:

Ein neuer Empfänger innerhalb einer Kategorie, die hier und in Abschnitt 7 der Datenschutzerklärung schon steht, zum Beispiel ein weiterer Wetterdienst: stille Aktualisierung. Version und Datum ändern sich, ein gesonderter Hinweis geht nicht raus.
Ein Empfänger außerhalb jeder genannten Kategorie, oder eine Verarbeitung in einem Land, das hier noch nicht vorkommt: wesentliche Änderung. Wir sagen es dir vorher, rechtzeitig bevor sie wirksam wird, per E-Mail oder in der App, und die Datenschutzerklärung wird im selben Zug geändert.

Wir bitten dich nicht, diese Seite regelmäßig zu prüfen. Eine Information, die du dir selbst holen musst, ist keine faire Information.

7. Namen auf Anfrage

Auf ein Auskunftsersuchen nach Art. 15 DSGVO nennen wir dir die konkreten Empfänger, die deine Daten bekommen haben, nicht nur die Kategorien. Das ist in der Regel eine kürzere Liste als diese Seite: die Quellen, die du nicht verbunden hast, kommen darin nicht vor.

Moritz Niedermann, Milewise
Essenweinstr. 37, 76131 Karlsruhe, Deutschland
contact@milewise.de

Die Rechtsgrundlagen, die Speicherdauern und dein Beschwerderecht bei der Aufsichtsbehörde stehen in der Datenschutzerklärung. Die deutsche Fassung dieser Seite ist die verbindliche.