← Zurück zur Startseite

Geltungsbereich: Diese Erklärung gilt für die PaceMate-App unter Android (Google Play). Sie ist wortgleich mit der Fassung, die in der App unter „Profil → Rechtliches → Datenschutzerklärung" angezeigt wird. Für die Website pacemate.de gilt die Datenschutzerklärung der Website.

Datenschutzerklärung

Zuletzt aktualisiert: August 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Jan Koester

Neureutherstr. 16

80799 München

Deutschland

E-Mail: info@pacemate.de

2. Überblick und Geltungsbereich

PaceMate ist eine App zur Vermittlung von Trainingspartnern für Laufen, Radfahren, Wandern und Gym-Training. Um diesen Dienst bereitzustellen, erheben und verarbeiten wir personenbezogene Daten. Diese Datenschutzerklärung informiert dich darüber, welche Daten wir erheben, zu welchem Zweck wir sie verwenden und welche Rechte du hast.

Herkunft der Daten: Alle personenbezogenen Daten werden direkt von dir erhoben — entweder durch aktive Eingabe (Profil, Nachrichten), durch technische Übermittlung deines Geräts (Standort, Push-Token, Absturzberichte) oder mit deiner ausdrücklichen Einwilligung aus Health Connect (Workout-Daten). Wir beziehen keine personenbezogenen Daten von Dritten oder aus öffentlichen Quellen.

Diese Datenschutzerklärung gilt weltweit für alle Nutzer der App. Für Nutzer aus dem Europäischen Wirtschaftsraum (EWR) gelten zusätzlich die Bestimmungen der Datenschutz-Grundverordnung (DSGVO).

3. Erhobene Daten und Verarbeitungszwecke

3.1 Registrierung und Profil

Daten: E-Mail-Adresse, Vorname, Profilfoto, Sportart(en), Tempobereich, Verfügbarkeit, Trainingsziele, Wohnort (Stadt/Region), Suchradius sowie optional Geschlecht, Alter, ein „Über mich"-Text und von dir verlinkte Kanäle (etwa Website, Strava oder Instagram). Bei der Sportart Gym zusätzlich die in Abschnitt 3.12 genannten Angaben zu Studio, Training und Trainingszeiten.

Zweck: Erstellung deines Nutzerprofils und Darstellung gegenüber anderen Nutzern. Die E-Mail-Adresse dient zusätzlich als Zugang zu deinem Konto: PaceMate verwendet kein Passwort, sondern sendet dir zur Anmeldung jeweils einen einmaligen Login-Code an diese Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Empfänger: Für den Versand der Anmelde-E-Mail übermitteln wir deine E-Mail-Adresse an unseren E-Mail-Dienstleister (siehe Abschnitt 4.6). Deine E-Mail-Adresse ist für andere Nutzer zu keinem Zeitpunkt sichtbar.

Speicherdauer: Bis zur Löschung deines Kontos. Konten, die länger als sechs Monate nicht genutzt wurden, löschen wir automatisch — siehe Abschnitt 3.22.

3.2 Standortdaten

Daten: Die Koordinaten deines Suchmittelpunkts — entweder mit deiner Erlaubnis per GPS ermittelt, während du die App nutzt, oder von dir selbst auf der Karte gesetzt — sowie der daraus abgeleitete Ortsname (Stadt/Region) und dein Suchradius.

Zweck: Anzeige von Trainingspartnern in deiner Nähe; Berechnung des Matching-Scores auf Basis der Entfernung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Speicherung: Diese Koordinaten werden in deinem Profil gespeichert — ohne sie ließe sich keine Umkreissuche berechnen. Wir zeichnen dabei kein Bewegungsprofil auf: Gespeichert wird ausschließlich der zuletzt gesetzte Suchmittelpunkt, der bei jeder Aktualisierung überschrieben wird, nicht dein Weg und nicht dein Aufenthalt im Zeitverlauf.

Sichtbarkeit: Deine Koordinaten sind für andere Nutzer nicht abrufbar. Die Datenbank verweigert den Zugriff auf diese Felder; der Entdecken-Feed läuft über eine abgesicherte Datenbankfunktion, die anderen nur eine auf etwa einen Kilometer gerundete Position und die Entfernung zurückgibt. Für andere sichtbar sind damit nur deine Ortsangabe (Stadt/Region) und die ungefähre Entfernung.

Speicherdauer: Bis zur nächsten Standortaktualisierung oder bis zur Löschung deines Kontos.

Hinweis: Standortzugriff kann in den Systemeinstellungen deines Geräts jederzeit entzogen werden. Du kannst deinen Suchmittelpunkt in der App auch von Hand setzen, ohne GPS freizugeben.

3.3 Gesundheits- und Fitnessdaten (Health Connect)

Daten: Mit deiner ausdrücklichen Einwilligung liest PaceMate Lauf- und Radworkouts aus Health Connect. Rohdaten aus Health Connect werden nicht an Dritte übertragen und nicht auf unseren Servern gespeichert — die Verarbeitung erfolgt ausschließlich lokal auf deinem Gerät. Der daraus abgeleitete Tempobereich kann als Profilangabe gespeichert werden.

Zweck: Automatischer Vorschlag deines realistischen Tempobereichs für präziseres Matching.

Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung).

Speicherdauer: Health-Connect-Rohdaten werden nicht gespeichert. Der abgeleitete Tempobereich wird bis zur nächsten Profilaktualisierung oder bis zur Löschung deines Kontos gespeichert.

Widerruf: Die Einwilligung kann jederzeit in der Health-Connect-App oder direkt in der App unter Profil → Einstellungen → Verknüpfungen widerrufen werden. Nach Widerruf wird der Tempobereich nicht mehr automatisch aktualisiert; bereits gespeicherte Angaben bleiben bis zur manuellen Änderung oder Kontolöschung erhalten.

3.4 Kamera und Fotos

Daten: Fotos, die du als Profilbild aufnimmst oder aus deiner Fotomediathek auswählst.

Zweck: Profilbild.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Speicherdauer: Bis zur Änderung des Profilbilds oder bis zur Löschung deines Kontos. Beim Ersetzen eines Profilbilds wird das vorherige Bild unverzüglich gelöscht.

3.5 Chat-Nachrichten

Daten: Textnachrichten, die du über die In-App-Chatfunktion mit anderen Nutzern austauschst.

Zweck: Koordination von gemeinsamen Trainingseinheiten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Speicherdauer: Nachrichten werden gespeichert, solange dein Konto besteht. Bei Löschung deines Kontos werden alle deine Nachrichten unverzüglich entfernt.

Ausnahme: Nachrichten, die jemand als Teil einer Meldung übermittelt hat, bleiben nach Abschnitt 3.15 auch dann erhalten, wenn ein beteiligtes Konto gelöscht wird.

3.6 Push-Benachrichtigungen

Daten: Push-Token deines Geräts.

Zweck: Benachrichtigung über neue Matches und Nachrichten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Speicherdauer: Der Push-Token wird gespeichert, solange die Einwilligung besteht und dein Konto aktiv ist. Bei Widerruf der Einwilligung oder bei Kontolöschung wird der Token unverzüglich, spätestens innerhalb von 7 Werktagen, gelöscht.

Widerruf: Die Einwilligung kann jederzeit in den Systemeinstellungen deines Geräts (Einstellungen → Apps → PaceMate → Benachrichtigungen) widerrufen werden.

3.7 Technische Nutzungsdaten

Daten: App-Version, Betriebssystem, Gerätekategorie, Absturzberichte. Diese Daten enthalten keine direkt personenidentifizierenden Informationen.

Zweck: Fehlerbehebung und Verbesserung der App-Stabilität.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Unser berechtigtes Interesse besteht in der technischen Zuverlässigkeit und Sicherheit des Dienstes. Die Verarbeitung ist auf das technisch notwendige Minimum beschränkt; die Interessen der Nutzer überwiegen angesichts der geringen Eingriffstiefe nicht.

Speicherdauer: 30 Tage, danach automatische Löschung.

3.8 Anmeldungen und Gerätedaten

Daten: Bei jeder Anmeldung und bei jedem App-Start protokollieren wir Zeitpunkt, Art des Vorgangs (Anmeldung oder App-Start mit bestehender Sitzung), die verwendete Plattform, Betriebssystem-Version, App- und Build-Version, deine IP-Adresse sowie den daraus abgeleiteten ungefähren Standort (Land, Region, Stadt, Zeitzone) und den Namen deines Netzbetreibers.

Zweck: Erkennen und Aufklären von missbräuchlichen Anmeldungen und Mehrfachkonten, Support bei Konto- und Zugangsproblemen sowie die Planung, für welche Plattformen und App-Versionen wir Aktualisierungen bereitstellen müssen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit, Missbrauchsabwehr und einem funktionsfähigen Dienst).

Empfänger: Zur Ermittlung des ungefähren Standorts übermitteln wir deine IP-Adresse an einen Geo-Dienst (siehe Abschnitt 4.4). Es werden keine weiteren Daten übertragen.

Speicherdauer: 180 Tage, danach automatische Löschung. Bei Löschung deines Kontos werden die Einträge sofort mitgelöscht.

3.9 Matching-Algorithmus

Verarbeitung: PaceMate verwendet einen Algorithmus, der dein Profil mit dem anderer Nutzer vergleicht, um passende Trainingspartner vorzuschlagen. In die Berechnung fließen ein: Sportart, Tempobereich, Wohnort/Standort (Entfernung), Verfügbarkeit und Trainingsziele. Beim Wandern treten an die Stelle des Tempobereichs deine Angaben zu Höhenmetern und Schwierigkeitsgrad. Bei der Sportart Gym treten an die Stelle des Tempobereichs deine Studioangaben (Studio, Studiokette, Verbundanbieter, Studioflexibilität) sowie deine wiederkehrenden Trainingszeiten.

Zweck: Vorschlag geeigneter Trainingspartner.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Hinweis zu automatisierten Entscheidungen: Das Matching erzeugt lediglich Vorschläge — die Entscheidung, ob du Kontakt aufnimmst, triffst ausschließlich du selbst. Es findet keine automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung gemäß Art. 22 DSGVO statt.

3.10 Newsletter (optional)

Daten: Deine E-Mail-Adresse sowie der Status und Zeitpunkt deiner Einwilligung.

Zweck: Information per E-Mail über neue Funktionen der App, den Start in neuen Städten und besondere Events.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Der Newsletter wird nur versendet, wenn du bei der Registrierung (oder später) aktiv zugestimmt hast — die Checkbox ist standardmäßig nicht angekreuzt. Die Registrierung und Nutzung der App ist ohne Newsletter-Einwilligung uneingeschränkt möglich.

Speicherdauer: Bis zum Widerruf deiner Einwilligung oder bis zur Löschung deines Kontos.

Widerruf: Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Abmeldelink in jeder Newsletter-E-Mail oder per E-Mail an info@pacemate.de. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt vom Widerruf unberührt.

3.11 Sichtbarkeit deiner Gruppen-Teilnahme

Daten: Deine Anmeldung zu einer Gruppen-Session zusammen mit deinem Profilnamen und deinem Profilbild.

Verarbeitung: Meldest du dich für eine Gruppen-Session an, ist deine Teilnahme für die veranstaltende Person bzw. den veranstaltenden Club und für die bestätigten Teilnehmenden dieser Session sichtbar. Zusätzlich sehen Personen, mit denen du ein gegenseitiges Match hast (ihr habt euch beide bestätigt), in der Gruppenübersicht der App den Hinweis, dass du für diesen Termin angemeldet bist — angezeigt werden dabei ausschließlich Profilname und Profilbild. Für alle übrigen Nutzer bleibt deine Teilnahme verborgen, solange sie nicht selbst bestätigt an derselben Session teilnehmen.

Zweck: Gemeinsames Training verabreden und erkennen können, ob man bei einem Termin auf bereits bekannte Trainingspartner trifft.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — die Vermittlung von Trainingspartnern ist der Kernzweck der App.

Kontrolle: Du entscheidest über deine Teilnahme: Meldest du dich von einer Gruppe wieder ab, entfällt der Hinweis. Löschst du den Chat mit einem Match („Chat löschen"), wird die Verbindung beendet — die Person sieht deine Gruppen-Teilnahme dann nicht mehr.

Anwesenheit: Die veranstaltende Person kann nach dem Termin vermerken, wer tatsächlich teilgenommen hat. Dieser Vermerk ist für die veranstaltende Person und für dich sichtbar und dient dazu, verlässliche Zusagen von wiederholten Absagen unterscheiden zu können. Schaltest du den Gruppenchat stumm, speichern wir auch das, damit die Einstellung auf allen deinen Geräten gilt.

Speicherdauer: Bis zur Abmeldung von der Gruppe, bis zur Beendigung des Matches oder bis zur Löschung deines Kontos.

3.12 Gym-Angaben (Studio, Trainingszeiten, Verbundanbieter)

Daten: Wenn du die Sportart Gym aktivierst: dein Hauptstudio und optional weitere regelmäßig besuchte Studios aus unserem Studioverzeichnis, deine Trainingsarten, dein primäres und optional ein zweites Trainingsziel, deine Trainingserfahrung, optional deine Wettkampferfahrung, deine allgemeine Trainingshäufigkeit, deine wiederkehrende Verfügbarkeit als Kombination aus Wochentag und Zeitfenster, optional deine typische Trainingsdauer, die gesuchten Arten der Trainingspartnerschaft sowie optional deine Verbundanbieter (etwa Urban Sports Club oder Wellpass) und die Angabe, ob du auch ein anderes Studio ausprobieren würdest.

Verarbeitung: Diese Angaben sind für andere Gym-Nutzer sichtbar, die innerhalb deines Suchradius liegen, und bilden die Grundlage dafür, ob überhaupt eine gemeinsame Trainingsmöglichkeit besteht. Schlägst du eine gemeinsame Gym-Session vor, speichern wir zusätzlich das gewählte Studio, den Trainingsfokus und optional die geplante Dauer sowie den Hinweis, dass du eine Absicherung („Spotter") suchst.

Zweck: Vorschlag von Trainingspartnern, mit denen du realistisch gemeinsam trainieren kannst, und Verabredung konkreter Gym-Sessions.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Keine Gesundheitsdaten: Angaben zu Kraftwerten, Körpergewicht, Körpermaßen, Verletzungen oder Gesundheitszustand erheben wir für das Gym-Matching nicht. Trainingserfahrung ist eine Selbsteinschätzung und keine fachliche Qualifikation; Angaben zu Absicherung und Technik begründen keine Trainerleistung.

Kontrolle: Alle Gym-Angaben kannst du im Profil jederzeit ändern. Deaktivierst du die Sportart Gym, wird dein Gym-Profil für andere ausgeblendet und nicht mehr für das Matching verwendet. Deine Angaben bleiben gespeichert, damit sie bei einer späteren Reaktivierung wieder zur Verfügung stehen. Mit der Kontolöschung werden sie gelöscht.

Speicherdauer: Bis zur Änderung oder bis zur Löschung deines Kontos. Während Gym deaktiviert ist, bleiben die Angaben gespeichert, sind aber für andere nicht sichtbar und werden nicht für das Matching verwendet.

3.13 Bewertungen nach Trainingseinheiten

Daten: Nach einer gemeinsamen Trainingseinheit kannst du deinen Trainingspartner mit ein bis fünf Sternen bewerten und optional einen kurzen Kommentar hinterlassen. Gespeichert werden Sternzahl, Kommentar, die zugehörige Trainingseinheit sowie wer bewertet hat und wer bewertet wurde.

Zweck: Rückmeldung an den Trainingspartner nach einer gemeinsamen Einheit.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Sichtbarkeit: Eine Bewertung ist ausschließlich für die bewertete Person und für dich selbst lesbar — sie erscheint nicht öffentlich, nicht im Entdecken-Feed und nicht gegenüber Dritten. Die bewertete Person sieht dabei, von wem die Bewertung stammt.

Speicherdauer: Bis zur Löschung eines der beiden beteiligten Konten.

3.14 Support-Anfragen in der App

Daten: Schreibst du uns über Profil → „Support kontaktieren", speichern wir das Thema, deine Nachrichten, unsere Antworten und technische Begleitangaben zu deinem Anliegen (etwa App-Version und Plattform), damit wir die Anfrage einordnen können.

Zweck: Bearbeitung deiner Anfrage und Nachvollziehbarkeit des Verlaufs.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an nachvollziehbarem Support).

Empfänger: Anfragen liest und beantwortet ausschließlich der Betreiber über ein internes Dashboard. Eine Weitergabe an Dritte findet nicht statt.

Speicherdauer: 24 Monate nach der letzten Nachricht im Vorgang, danach automatische Löschung. Bei Löschung deines Kontos werden Anfrage und Verlauf sofort mitgelöscht.

3.15 Meldungen von Nutzern und Inhalten

Daten: Meldest du eine Person oder einen Chat, speichern wir den Meldegrund, deinen optionalen Kommentar, die Profilnamen beider Beteiligten, die betroffene Sportart und einen Auszug der gemeldeten Nachrichten.

Zweck: Prüfung des gemeldeten Verhaltens, Durchsetzung der Nutzungsbedingungen und Schutz der anderen Nutzer.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Dienst und an der Aufklärung von Verstößen).

Wichtig: Eine Meldung enthält notwendigerweise auch Angaben und Nachrichten der gemeldeten Person. Sie bleibt außerdem bestehen, wenn eines der beteiligten Konten gelöscht wird — sonst ließe sich eine Sperre durch eine Neuanmeldung folgenlos umgehen und ein laufender Fall nicht mehr aufklären. Dies ist die einzige Ausnahme von der Zusage, dass mit deinem Konto alle zugehörigen Daten verschwinden.

Speicherdauer: 12 Monate nach Eingang der Meldung, danach automatische Löschung.

Widerspruch: Gegen diese Verarbeitung kannst du nach Art. 21 DSGVO widersprechen: info@pacemate.de.

3.16 Einladungen von Freunden

Daten: Für die Einladungsfunktion erzeugen wir zu deinem Konto einen sechsstelligen Einladungscode. Löst jemand deinen Code ein, speichern wir die Verknüpfung zwischen einladendem und eingeladenem Konto samt Zeitpunkt.

Zweck: Nachvollziehen, wie viele Menschen über persönliche Empfehlungen zu PaceMate kommen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Einschätzung des eigenen Wachstums). Es gibt keine Prämie; in der App siehst du ausschließlich die Anzahl, nicht die Namen der eingeladenen Personen.

Speicherdauer: Bis zur Löschung eines der beteiligten Konten.

3.17 Ziel-Events und Veranstaltungsteilnahme

Daten: Trägst du dich bei einer Veranstaltung als Teilnehmer ein, speichern wir die Veranstaltung, optional die gewählte Distanz und die Angabe, ob deine Teilnahme für andere sichtbar sein soll.

Zweck: Andere sollen erkennen können, wer auf dasselbe Ziel hin trainiert, und dich als Trainingspartner dafür finden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Sichtbarkeit: Ist deine Teilnahme sichtbar gestellt, erscheinen Profilname und Profilbild bei der Veranstaltung sowie als Ziel-Event in deinem Profil. Du kannst die Teilnahme jederzeit zurücknehmen oder auf nicht sichtbar stellen.

Speicherdauer: Bis zur Rücknahme der Teilnahme oder bis zur Löschung deines Kontos.

3.18 Klub-Konten und Mitgliedschaften

Daten: Neben Athleten-Konten kennt PaceMate Klub-Konten. Gehörst du zum Team eines Klubs, speichern wir die Verknüpfung deines Kontos mit dem Klubprofil und deine Rolle (Inhaber, Schreib- oder Leserecht). Für eine Einladung ins Klub-Team speichern wir die eingeladene E-Mail-Adresse, wer eingeladen hat und wann die Einladung abläuft.

Zweck: Verwaltung von Klubprofil und Klubterminen durch mehrere Personen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Speicherdauer: Bis zum Entzug der Rolle oder bis zur Löschung des Kontos. Angenommene und abgelaufene Einladungen werden nach 30 Tagen gelöscht, das Änderungsprotokoll des Klubbereichs nach 400 Tagen.

Hinweis: Für das Klub-Portal unter club.pacemate.de gelten ergänzend die dortigen Datenschutzhinweise.

3.19 Routen und GPX-Dateien

Daten: Legst du für eine Gruppen-Session eine Route fest, speichern wir Treffpunkt, Startpunkt und den Streckenverlauf. Lädst du dafür eine GPX-Datei hoch, lesen wir ausschließlich die Streckenpunkte (Längen- und Breitengrad) aus. Zeitstempel, Herzfrequenz-, Leistungs- oder sonstige Messwerte aus der Datei werden nicht übernommen.

Zweck: Darstellung der geplanten Strecke für die Teilnehmenden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Hinweis: Eine aufgezeichnete Route beginnt häufig an der eigenen Wohnadresse. Wähle Start- und Endpunkt deshalb bewusst — die Strecke ist für alle sichtbar, die den Termin sehen.

Speicherdauer: Bis zur Löschung der Gruppen-Session. Ein technischer Zähler, der die Zahl der Uploads begrenzt, wird nach zwei Stunden gelöscht.

3.20 Messung des Einstiegs (Onboarding)

Daten: Während der Einrichtung deines Kontos protokollieren wir zu deinem Konto einige wenige Schritte: abgeschlossene Kontoauswahl, Aufruf und Abschluss der Sportauswahl, den ersten Aufruf jeder Teilseite des Fragebogens, den Abschluss des Profils sowie das Ergebnis der Standortabfrage (erlaubt, abgelehnt oder unbeantwortet). Liegt dein Ort außerhalb des Startgebiets, halten wir zusätzlich fest, ob du dich in die Warteliste eingetragen, stattdessen München gewählt oder den Bildschirm ohne Antwort verlassen hast. Beim ersten Blick in die Partnersuche nach der Einrichtung speichern wir, ob überhaupt Vorschläge vorhanden waren und wie viele.

Zweck: Erkennen, an welcher Stelle der Einrichtung Nutzer abbrechen, um genau diese Stelle zu verbessern. Der erste Blick in die Partnersuche gehört dazu, weil eine leere Liste ein eigener Abbruchgrund ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden Einrichtung). Die Messung ist bewusst eng gehalten: keine Klicks, keine Bildschirmzeiten, kein Verhaltensprotokoll — und keine Übermittlung an einen Analyse-Dienstleister.

Speicherdauer: 180 Tage, danach automatische Löschung. Bei Löschung deines Kontos sofort.

Widerspruch: Art. 21 DSGVO, per E-Mail an info@pacemate.de.

3.21 Schutz vor missbräuchlichen Anmeldungen

Daten: Rund um die Anmeldung protokollieren wir sicherheitsrelevante Ereignisse, etwa gehäufte Anforderungen von Login-Codes sowie die Tatsache, dass ein angeforderter Code tatsächlich zur Anmeldung geführt hat. Deine E-Mail-Adresse wird dabei nicht im Klartext gespeichert, sondern nur als nicht rückrechenbarer Hashwert — er ist zugleich das Einzige, worüber sich zählen lässt, wie viele angeforderte Codes ungenutzt bleiben.

Zweck: Abwehr automatisierter Anmeldeversuche, Schutz davor, dass fremde Adressen mit Login-Codes überflutet werden, und die Frage, ob die Anmeldung per Code für Nutzer eine Hürde ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Dienstes).

Speicherdauer: 90 Tage, danach automatische Löschung. Die Einträge sind keinem Konto zugeordnet und bestehen deshalb auch nach einer Kontolöschung fort.

3.22 Automatische Löschung inaktiver Konten

Verarbeitung: Konten, die länger als sechs Monate nicht mehr genutzt wurden, löschen wir automatisch — mitsamt Profil, Profilbild, Nachrichten, Matches und allen übrigen zugehörigen Daten. Maßgeblich ist der Zeitpunkt deiner letzten Aktivität in der App.

Zweck: Datensparsamkeit — ein aufgegebenes Profil soll weder dauerhaft im Entdecken-Feed stehen noch dauerhaft gespeichert bleiben.

Grundlage: Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO).

Hinweis: Öffne die App gelegentlich, wenn du dein Profil behalten möchtest. Eine gesonderte Vorwarnung per E-Mail versenden wir vor dieser Löschung derzeit nicht.

3.23 Optionale Übersetzung öffentlicher Beschreibungen

Daten und Auslösung: Wenn du die App auf Englisch nutzt und bei einer öffentlichen Klub- oder Veranstaltungsbeschreibung aktiv „Translate to English“ auswählst, übersetzt Google ML Kit den angezeigten Text direkt auf deinem Gerät. Der Ausgangstext und die Übersetzung verlassen dein Gerät nicht und werden weder an PaceMate noch an Google gesendet. Beim ersten Mal fragt PaceMate vor dem Download der benötigten Sprachmodelle (zusammen ungefähr 30 MB) nach deiner Bestätigung.

Zweck und Rechtsgrundlage: Bereitstellung der von dir angeforderten englischen Übersetzung, Art. 6 Abs. 1 lit. b DSGVO. Die Funktion ist optional; der unveränderte Originaltext bleibt jederzeit sichtbar.

Verarbeitung und Speicherung: Die Sprachmodelle werden von Google auf dein Gerät geladen und dort vom Betriebssystem verwaltet. PaceMate speichert weder Ausgangstext noch Übersetzung in einem Übersetzungs-Backend. Laut den technischen Datenschutzhinweisen von Google kann ML Kit die konfigurierten Ausgangs- und Zielsprachcodes für Diagnose- und Nutzungsstatistiken verarbeiten; der zu übersetzende Text und das Ergebnis gehören nicht dazu. Beim Modell-Download fallen technisch notwendige Verbindungsdaten wie die IP-Adresse an.

Hinweis für veröffentlichende Personen und Klubs: Öffentliche Beschreibungen können von anderen Nutzern übersetzt werden. Trage dort deshalb keine Gesundheitsdaten, Kontaktdaten Dritter oder sonstigen besonders schutzbedürftigen Angaben ein.

4. Drittanbieter und Auftragsverarbeiter

4.1 Supabase

PaceMate nutzt Supabase (Supabase Inc., Oakland, CA, USA) als Backend-Infrastruktur. Wir betreiben unsere Supabase-Instanz in der EU-Region West (Dublin, Irland); deine Daten werden ausschließlich dort gespeichert. Mit Supabase besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO.

Da Supabase Inc. seinen Sitz in den USA hat, kann ein Drittlandtransfer gemäß Art. 44 ff. DSGVO nicht vollständig ausgeschlossen werden. Als Rechtsgrundlage dienen die von der EU-Kommission genehmigten Standardvertragsklauseln (SCCs, Durchführungsbeschluss 2021/914) sowie die Zertifizierung von Supabase Inc. unter dem EU-US-Datenschutzrahmen (Data Privacy Framework, DPF), der seit Juli 2023 einen gültigen Angemessenheitsbeschluss der EU-Kommission darstellt.

4.2 Push-Benachrichtigungsdienste (Expo / Google)

Für Push-Benachrichtigungen nutzt PaceMate den Expo Push Notification Service (Expo Inc., San Francisco, CA, USA). Expo leitet Benachrichtigungen über Firebase Cloud Messaging (FCM, Google LLC) weiter. Dabei werden ausschließlich der Push-Token deines Geräts und der Benachrichtigungsinhalt übertragen.

Da Expo Inc. seinen Sitz in den USA hat, stützt sich der Datentransfer auf die Zertifizierung von Expo Inc. unter dem EU-US-Datenschutzrahmen (Data Privacy Framework, DPF), für den die EU-Kommission seit Juli 2023 einen Angemessenheitsbeschluss gemäß Art. 45 DSGVO erlassen hat. Google unterliegt als nachgelagerter Dienstleister eigenen, EU-konformen Datenschutzregelungen und ist ebenfalls DPF-zertifiziert.

4.3 Health Connect

Health-Connect-Daten werden ausschließlich lokal auf deinem Gerät verarbeitet und nicht an Dritte weitergegeben.

4.4 IP-Standortermittlung (ip-api.com)

Um den ungefähren Standort einer Anmeldung zu bestimmen (siehe 3.8), übermitteln wir deine IP-Adresse an ip-api.com (betrieben von Nucleus Software Ltd.). Übertragen wird ausschließlich die IP-Adresse — keine Konto-, Profil- oder Nutzungsdaten. Zurück erhalten wir Land, Region, Stadt, Zeitzone und Netzbetreiber. Der Dienst speichert die Anfragen nach eigenen Angaben nicht dauerhaft und nutzt sie nicht zu Werbezwecken. Ergebnisse werden bei uns für 30 Tage zwischengespeichert, damit dieselbe IP-Adresse nicht wiederholt abgefragt werden muss.

Die Abfrage erfolgt serverseitig; dein Gerät nimmt keine Verbindung zu diesem Anbieter auf. Da der Dienst außerhalb des EWR betrieben werden kann, beschränken wir die Übermittlung auf die IP-Adresse als einzelnes Datum.

4.5 Kartendarstellung und Ortssuche

Beim Planen einer Gruppen-Session zeigt PaceMate eine Karte, auf der du Treffpunkt und Route festlegst. Dabei werden Kartendaten von Dritten geladen und Ortsangaben aufgelöst.

Kartenmaterial. Die Karte stammt von Google Ireland Limited bzw. Google LLC (Google Maps SDK). Beim Laden übermittelt dein Gerät technisch notwendige Daten an den Anbieter, insbesondere deine IP-Adresse und den angezeigten Kartenausschnitt. Konto-, Profil- oder Nutzungsdaten werden dabei nicht übertragen.

Ortssuche und Adressauflösung. Um zu einer Position eine Adresse anzuzeigen und deine Sucheingabe in Koordinaten umzuwandeln, fragt die App zunächst den Geocoder deines Geräts. Liefert dieser kein Ergebnis — etwa weil der Systemdienst auf dem Gerät nicht verfügbar ist —, fragen wir Nominatim ab, den Suchdienst der OpenStreetMap Foundation (OSMF), Cambridge, Vereinigtes Königreich. Übertragen werden ausschließlich die Koordinaten des Kartenausschnitts bzw. dein Suchbegriff sowie technisch bedingt deine IP-Adresse. Es werden keine Konto- oder Profildaten übermittelt und keine Kennungen gesetzt, die dich wiedererkennbar machen. Ergebnisse werden nur lokal auf deinem Gerät zwischengespeichert. Die Kartendaten stehen unter der Open Database License; Rechteinhaber sind die OpenStreetMap-Mitwirkenden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — ohne Karte und Ortsauflösung lässt sich kein Treffpunkt festlegen.

Drittlandbezug: Die OpenStreetMap Foundation hat ihren Sitz im Vereinigten Königreich. Google LLC hat seinen Sitz in den USA und ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

4.6 E-Mail-Versand (Resend)

Für den Versand von Anmelde- und Systemnachrichten nutzen wir Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Das betrifft vor allem die Anmelde-E-Mail mit deinem einmaligen Login-Code (siehe 3.1). Über Resend versenden wir derzeit keine Newsletter.

Daten: Deine E-Mail-Adresse sowie Absender, Betreff und Inhalt der Nachricht. Beim Anbieter fallen zusätzlich technische Versandprotokolle an, insbesondere Versandzeitpunkt, Zustellstatus und Fehlermeldungen des empfangenden Mailservers.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — ohne E-Mail-Zustellung ist eine Anmeldung an deinem Konto nicht möglich.

Speicherdauer: Resend hält E-Mail-Daten nach eigenen Angaben regulär 30 Tage vor. Wir speichern diese Versanddaten nicht zusätzlich. Nach Beendigung des Vertrags werden Kunden- und Nutzerdaten laut Auftragsverarbeitungsvertrag innerhalb von 90 Tagen gelöscht, soweit keine gesetzliche Pflicht entgegensteht.

Kein Öffnungs- oder Klicktracking: Für diese transaktionalen E-Mails setzen wir kein Öffnungs- oder Klicktracking und keinen Zählpixel ein. Erfasst werden ausschließlich die für Versand, Zustellstatus, Missbrauchsschutz und Fehleranalyse notwendigen technischen Ereignisse.

Drittlandbezug: Unsere Absenderdomain ist für den Versand aus der Region EU West (Irland) eingerichtet. Resend speichert Kontodaten, E-Mail-Metadaten, Protokolle und API-Daten unabhängig von der Versandregion in den USA. Mit Resend besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO; für Übermittlungen in die USA sieht dieser das EU-U.S. Data Privacy Framework sowie ergänzend die EU-Standardvertragsklauseln vor. Resend setzt unter anderem Amazon Web Services als Unterauftragsverarbeiter für Hosting und Versand ein.

Datenschutzhinweise: https://resend.com/legal/privacy-policy · Auftragsverarbeitung: https://resend.com/legal/dpa · Unterauftragsverarbeiter: https://resend.com/legal/subprocessors

4.7 Lokale Übersetzung (Google ML Kit)

Für die in Abschnitt 3.23 beschriebene optionale Übersetzung nutzt PaceMate Google ML Kit, bereitgestellt für Nutzer im EWR und in der Schweiz durch Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die eigentliche Übersetzung erfolgt vollständig auf deinem Gerät. Google erhält dabei weder den Beschreibungstext noch die Übersetzung, deine PaceMate-Nutzer-ID oder andere PaceMate-Kontodaten.

Eine Verbindung zu Google ist nur zum Download der Sprachmodelle sowie für die von Google beschriebenen technischen Diagnose- und Nutzungsinformationen erforderlich. Dazu können die ausgewählten Sprachcodes, Geräte- und App-Informationen sowie technisch notwendig die IP-Adresse gehören. Rechtsgrundlage für den von dir ausgelösten Modell-Download ist Art. 6 Abs. 1 lit. b DSGVO; unser berechtigtes Interesse an Stabilität und Fehlerdiagnose stützt sich ergänzend auf Art. 6 Abs. 1 lit. f DSGVO. Bereits geladene Modelle ermöglichen Übersetzungen ohne Internetverbindung.

Datenschutzhinweise: https://policies.google.com/privacy · ML-Kit-Datenschutz: https://developers.google.com/ml-kit/terms

5. Keine Weitergabe an Dritte

Wir verkaufen, vermieten oder teilen deine personenbezogenen Daten nicht mit Dritten zu Werbezwecken.

6. Deine Rechte

6.1 Rechte für alle Nutzer

6.2 Zusätzliche Rechte für EU/EWR-Nutzer (DSGVO)

6.3 Zusätzliche Rechte für Nutzer aus Kalifornien (CCPA/CPRA)

Wenn du in Kalifornien wohnst, stehen dir folgende Rechte zu:

Zur Ausübung deiner Rechte wende dich an: info@pacemate.de (Antwort innerhalb von 2 Werktagen; gesetzliche Bearbeitungsfrist: 45 Tage).

7. Beschwerderecht

8. Datensicherheit

Übertragung: Die gesamte Kommunikation zwischen App und Backend läuft über TLS/HTTPS, Echtzeit-Verbindungen über WSS.

Speicherung: Datenbank, Dateispeicher und Backups liegen bei Supabase in der EU (AWS, Region Irland) auf verschlüsselten Datenträgern (AES-256). Welcher Account welchen Datensatz lesen darf, regeln zusätzlich Zugriffsregeln direkt in der Datenbank (Row Level Security).

Anmeldung: Wir speichern keine Passwörter — die Anmeldung läuft über Einmal-Codes per E-Mail. Auf deinem Gerät wird die Sitzung in der System-Keychain (iOS) bzw. im Android-Keystore abgelegt, nicht im normalen App-Speicher.

Keine Ende-zu-Ende-Verschlüsselung: Chat-Nachrichten werden verschlüsselt übertragen und verschlüsselt gespeichert, sind aber nicht Ende-zu-Ende-verschlüsselt. Das ist die Voraussetzung dafür, dass wir gemeldete Inhalte prüfen und gegen Belästigung vorgehen können.

Profilbilder: Profilbilder liegen unter einer nicht erratbaren Adresse. Wer diese Adresse kennt oder weitergibt, kann das Bild auch außerhalb der App aufrufen.

9. Mindestalter

PaceMate richtet sich an Nutzer ab 16 Jahren. Die Verarbeitung von Daten jüngerer Nutzer ist ohne Einwilligung der Erziehungsberechtigten nicht zulässig.

10. Änderungen dieser Datenschutzerklärung

Über wesentliche Änderungen informieren wir dich per Push-Benachrichtigung oder beim nächsten App-Start.