Datenschutzerklärung für Gymmon

Stand: 13. Oktober 2026

Diese Erklärung gilt für die Gymmon-App und die verbundenen Konto-, Trainings-, Sozial-, Geschäftsprofil-, KI- und Abonnementfunktionen. Abschnitte zu freiwilligen Funktionen gelten nur, wenn du diese nutzt. Gymmon ist eine Fitness-App und kein medizinischer Dienst.

1. Verantwortlicher und Kontakt

Kasim Mermer, Pirebi Mahallesi, Tascami Uzun Harmanlar Caddesi No: 118B, Daire 3, 42040 Meram/Konya, Türkiye. Datenschutzanfragen kannst du an info@gymmon.de richten.

2. Konto, Anmeldung und Einstellungen

Wir verarbeiten Benutzernamen, E-Mail-Adresse, Passwort-Hash, Kontotyp und Rolle, Verifizierungs- und Anmeldestatus, Sicherheitstoken und Zeitstempel, um dein Konto einzurichten und zu schützen, dich anzumelden, den Zugang wiederherzustellen und den Dienst bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO). Fehlgeschlagene Anmeldeversuche und zugehörige Sicherheitsdaten dienen der Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die Kontosicherheit). Passwörter werden als Hashwerte gespeichert. Bei einer Anmeldung über Google erhalten wir eine Kennung und die verfügbaren Kontodaten vom Anbieter. Dieser verarbeitet die Anmeldung auch nach seinen eigenen Bedingungen. Eine Apple-Anmeldung ist geplant, derzeit aber nicht implementiert; vor ihrer Freischaltung aktualisieren wir diese Angaben. Sprache, Design, Maßeinheiten, Einrichtungsfortschritt und Benachrichtigungseinstellungen speichern wir zur Umsetzung deiner Einstellungen (Art. 6 Abs. 1 lit. b DSGVO).

Für eine Registrierung sind Benutzername, E-Mail-Adresse und ein Anmeldeverfahren erforderlich. Ohne diese Angaben kann kein Konto angelegt werden. Profilangaben, soziale Funktionen, KI-Anfragen, Fotos, Standortsuche und Push-Berechtigung sind für die Registrierung freiwillig.

3. Profil, Training und Wissensinhalte

Wenn du sie einträgst, verarbeiten wir Name, Foto, Biografie, Geburtsdatum, Geschlecht, Größe, Gewicht, Körperfett und Körpermaße für Profil- und Fortschrittsanzeigen. Trainingspläne und Zuweisungen, Übungen, hochgeladene Bilder oder Dokumente, Sätze, Wiederholungen, Gewichte, Zeiten, Kommentare, Trainingseinheiten, Verlauf, Bewertungen und gespeicherte Wissensinhalte verarbeiten wir für die von dir genutzten Funktionen (Art. 6 Abs. 1 lit. b DSGVO). Ein Teil der Trainingsdaten und ein Profil-Zwischenspeicher liegen auf dem Gerät und werden mit dem Server synchronisiert. Lokale Trainingsdaten liegen in einer SQLite-Datenbank; Anmeldedaten im sicheren Speicher der Plattform.

Fotos kannst du mit der Kamera aufnehmen oder aus der Mediathek auswählen; Dateien über die Dateiauswahl. Die App fordert die dafür erforderlichen Geräteberechtigungen an und übermittelt ausgewählte Dateien nur für die jeweilige Funktion. Heruntergeladene Wissensbilder können lokal zwischengespeichert werden. Wenn du Dokumente exportierst oder in einer anderen App öffnest, werden sie am gewählten Speicherort abgelegt bzw. an diese App übergeben. Freiwillig in der Bilge-Planmaske eingetragene Erkrankungen und Allergien werden für die Wiederverwendung im sicheren Speicher des Geräts abgelegt; die aktuelle Plananfrage übermittelt diese beiden Texte nicht an den Server. Auch Körper- und Trainingsdaten können je nach Inhalt und Verwendung Rückschlüsse auf den Gesundheitszustand zulassen; die hierfür erforderliche datenschutzrechtliche Grundlage ist vor dem produktiven Einsatz zu prüfen.

Profil- und Trainingsdaten sind nicht automatisch öffentlich. Wenn du die öffentliche Sichtbarkeit einschaltest, einen Plan veröffentlichst oder Inhalte teilst, können die ausgewählten Profilfelder, Inhalte und dein Anzeigename für die jeweilige Zielgruppe sichtbar sein. Die Konto-E-Mail-Adresse soll nicht in öffentlichen Profilsuchergebnissen erscheinen. Sichtbarkeit und Inhalte kannst du über die vorhandenen Funktionen ändern oder löschen.

4. Suche, Beziehungen und Geschäftsprofile

Suche und Entdecken verarbeiten Suchbegriffe, Filter und einen freiwillig gewählten Ort. Wenn du die Ortssuche nutzt, können eingegebener Text, Ortskennungen und technische Verbindungsdaten an Google Places übermittelt werden, um Vorschläge und Ortsdetails anzuzeigen. Eine dauerhafte Standortverfolgung des Geräts ist hierfür nicht erforderlich (Art. 6 Abs. 1 lit. b DSGVO).

Freundschaftsanfragen, Coach-Kunden-Beziehungen, Studiomitgliedschaften, Planzuweisungen und zugehörige Benachrichtigungen verarbeiten Kontokennungen, Anzeigenamen, Status und Zeitpunkte der Beteiligten. Studios können zusätzlich eine eigene Mitgliedskennung hinterlegen. Berechtigte Coaches und Studios können die ihnen zugeordneten Personen, Trainingspläne und Trainingsverläufe in App und Geschäftsbereich verwalten bzw. einsehen. Die Beteiligten sehen die für ihre Beziehung nötigen Angaben (Art. 6 Abs. 1 lit. b DSGVO). Coaches und Studios können Geschäftsprofile mit Beschreibung, Spezialisierung, Preisen, Kontaktdaten, Bildern, Anschrift oder Kartenort, Öffnungszeiten und Links veröffentlichen. Sichtbare Geschäftsprofilangaben werden anderen Nutzern angezeigt. Bewertungen und Meldungen über Profile oder Inhalte verarbeiten wir für Bewertungen, die Prüfung von Beschwerden und den Schutz der Nutzer (Art. 6 Abs. 1 lit. b sowie für Moderation Art. 6 Abs. 1 lit. f DSGVO).

5. Gesundheitsangaben und KI

Wenn du für KI-Trainingsauswertungen Erkrankungen, Schmerzen oder körperliche Einschränkungen einträgst, speichern wir diese Angaben in einem privaten Gesundheitskontext. Sie können zusammen mit ausgewählten Profil-, Plan- und Trainingsverlaufsdaten in eine KI-Anfrage einfließen. Dabei kann es sich um Gesundheitsdaten nach Art. 9 DSGVO handeln. Ihre Verarbeitung setzt eine gesonderte ausdrückliche Einwilligung voraus (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO). Du kannst die Felder leer lassen. Ein Widerruf beendet die künftige einwilligungsbasierte Verarbeitung; die Löschung eines gespeicherten Gesundheitskontexts kannst du bei uns verlangen. Für vorhandene KI-Ergebnisse kann ein gesonderter Löschwunsch nötig sein. Bitte trage keine Gesundheitsdaten anderer Personen ein.

Die KI-Auswertung speichert das Ergebnis sowie einen Snapshot der verwendeten Eingabedaten und berechneten Trainingswerte. Dieser Snapshot enthält gegebenenfalls auch den zum Auswertungszeitpunkt gespeicherten Gesundheitskontext. Eine spätere Änderung der Gesundheitsfelder entfernt den alten Snapshot nicht automatisch; wende dich für dessen Löschung an uns.

Für KI-Trainingspläne verarbeiten wir gewählte Ziele, Erfahrungsstufe, Trainingstage, Ausrüstung, Dauer, Sprache und gegebenenfalls Alter oder Geschlechtspräferenz. Für KI-Fortschrittsauswertungen verarbeiten wir gewählte Pläne, den relevanten Trainingsverlauf, Profilwerte und gegebenenfalls den beschriebenen Gesundheitskontext. Für KI-Rezepte wird ein hochgeladenes Foto analysiert, um sichtbare Lebensmittel zu erkennen und ein Rezept zu erstellen; Rezept und Bild können im Konto gespeichert werden. Nach Ablehnung eines Bildes kann ein begrenzter Ablehnungsdatensatz zur Durchsetzung von Anfragegrenzen verbleiben. Wir verarbeiten diese Daten, um die von dir angeforderte KI-Funktion bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO; Gesundheitsdaten nur mit der gesondert erforderlichen Einwilligung). KI-Ergebnisse können fehlerhaft sein und sind keine medizinische Beratung.

Unser Server übermittelt die für die Erstellung nötigen Inhalte an einen KI-Anbieter. Dabei werden Kontoname, E-Mail-Adresse und Anschrift nicht als eigene Kontofelder an den Anbieter gesendet. Der Auswertungsprompt enthält jedoch Plan- und Sitzungskennungen, Zeitpunkte, Übungs- und Plannamen sowie gegebenenfalls Gesundheitsangaben. Eigene Texte oder Fotos können ebenfalls persönliche Informationen enthalten. Deshalb behandeln wir die Anfrageinhalte nicht als zuverlässig anonym. Aktuell ist DeepSeek für Pläne, Auswertungen und die Rezept-Bildanalyse aktiv. OpenAI ist als Alternative für Pläne und Auswertungen eingebaut, aber derzeit nicht aktiv. Falls die optionale Erstellung von Rezept-Titelbildern aktiviert wird, erhält OpenAI dafür Rezepttitel und Zutatenbeschreibung. Anbieter erhalten Anfrageinhalte und technische Verbindungsdaten. DeepSeek hat seinen Sitz in China; die konkreten API-Verarbeitungs- und Übermittlungsbedingungen müssen geprüft werden. Bei einer Nutzung von OpenAI setzt unsere API-Anfrage store auf false; ergänzend gelten die Aufbewahrungsbedingungen des Anbieters. Frage uns nach dem Anbieter und den Garantien für deine Anfrage.

6. Abonnements und Zahlungen

Wir verarbeiten Abo-Stufe, Gültigkeit, Nutzungslimits, Bestellnummer, Preis, Währung, Kaufkanal, Zahlungsstatus und Anbieterreferenz, um bezahlte Funktionen freizuschalten, Käufe abzuwickeln und Buchführungspflichten zu erfüllen (Art. 6 Abs. 1 lit. b und c DSGVO). In-App-Käufe laufen über Google Play oder den Apple App Store und RevenueCat zur Verwaltung von Ansprüchen. Die App kann eine Nutzerkennung und Kauf- oder Berechtigungsdaten an RevenueCat senden. Kartendaten verarbeitet der jeweilige Store, nicht der Gymmon-App-Server. Zusätzlich gelten die Datenschutzhinweise der Stores und von RevenueCat. Stripe ist als Zahlungsanbieter für künftige Web-Käufe vorgesehen, aber derzeit nicht angebunden; der aktuelle Web-Checkout ist nur ein Platzhalter und erfasst keine Kartendaten. Vor einer echten Stripe-Zahlung ergänzen wir die konkreten Datenflüsse und Empfängerangaben.

7. Nachrichten, Push und Feedback

Wir speichern In-App-Nachrichten, Empfänger, Art, Kontext, Zustell- und Lesestatus, um Konto- und Trainingshinweise anzuzeigen (Art. 6 Abs. 1 lit. b DSGVO). Die App fragt die Push-Berechtigung beim Start an. Wenn du Push-Benachrichtigungen erlaubst, bezieht die App über Firebase Cloud Messaging ein Gerätetoken und übermittelt Token, Plattform und Sprache an unseren Server. Wir nutzen es für die in den Einstellungen aktivierten Benachrichtigungen (Art. 6 Abs. 1 lit. b DSGVO). Die Geräteberechtigung kannst du in den Systemeinstellungen entziehen. Lokale Trainingserinnerungen können zudem auf dem Gerät geplant werden.

Bei Feedback oder Support verarbeiten wir Betreff, Nachricht, optionale Anhänge, freiwillig angegebene WhatsApp-Nummer, App- und Geräteangaben sowie die Korrespondenz zur Bearbeitung (Art. 6 Abs. 1 lit. b oder f DSGVO; unser Interesse ist Support und Fehlerbehebung). Gib sensible Angaben nur an, wenn sie für die Anfrage nötig sind. Für E-Mails nutzen wir den konfigurierten Versanddienst.

8. Analyse, Diagnose und externe Medien

Firebase Analytics startet mit deaktivierter Erfassung. Aktivierst du die Funktion in der App, werden begrenzte Nutzungsereignisse, etwa zur Anmeldung, zum Training und zu Funktionen, an Google gesendet, um die App zu verbessern (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie in den Einstellungen wieder ausschalten; der Widerruf gilt für künftige Erfassung. Firebase Performance Monitoring und Firebase Crashlytics starten mit deaktivierter Erfassung. Andere Firebase-Dienste, insbesondere Push, können weiterhin die für ihre Funktion nötigen technischen Daten verarbeiten.

Auf der Web-Anmeldeseite wird Google Analytics nur nach Auswahl im Cookie-Hinweis geladen (Art. 6 Abs. 1 lit. a DSGVO). Die Auswahl wird unter fitbook_cookie_consent im lokalen Browserspeicher abgelegt. Nach einer Zustimmung können Google und der Browser Nutzungs- und Verbindungsdaten sowie Analyse-Cookies verarbeiten. Über „Cookie-Einstellungen“ auf der Anmeldeseite kannst du die Einwilligung für künftige Erfassung widerrufen.

Bereits beim Anzeigen eines YouTube-Vorschaubilds kann dein Gerät eine Verbindung zu Google aufbauen; beim Abspielen auch zu YouTube. Dort können IP-Adresse, Geräte- oder Browserdaten anfallen und eigene Speichertechniken eingesetzt werden. Beim Öffnen externer Webseiten erhalten auch deren Betreiber Verbindungsdaten. Native App-Ansichten verwenden lokale Speicherung und Anmeldetoken statt üblicher Browser-Cookies. Die verbundenen Browserseiten verwenden für Anmeldung und Sicherheit Sitzungs- bzw. Sicherheits-Cookies. Für die Sprachwahl kann dort das Cookie GYMMON_LOCALE für bis zu 365 Tage gespeichert werden.

9. Hosting, Empfänger und Drittlandübermittlungen

Das produktive Backend und die Datenbank werden bei Hetzner in der EU gehostet. Beim Zugriff fallen technische Verbindungsdaten wie IP-Adresse, Zeitpunkt, angeforderter Pfad und Fehlerstatus an; sie werden für Auslieferung und Sicherheit verarbeitet (Art. 6 Abs. 1 lit. b und f DSGVO; unser Interesse ist ein sicherer Betrieb). Je nach Nutzung sind weitere Empfänger der E-Mail-Dienstleister, Google für Anmeldung, Places, Firebase, Play und YouTube, Apple für den App Store, RevenueCat, DeepSeek für aktive KI-Funktionen, OpenAI bei Aktivierung optionaler KI-Funktionen sowie Nutzer, mit denen du Daten teilst. Von diesen Anbietern und bei Beziehungen, Bewertungen und Meldungen von anderen Nutzern erhalten wir auch Angaben. Dienstleister handeln entsprechend ihrer vertraglichen Rolle; Google und Apple können für eigene Dienste auch selbst verantwortlich sein.

Der Verantwortliche hat seinen Sitz in Türkiye und kann von dort auf die in der EU gehosteten Daten zugreifen. Weitere Empfänger oder Supportvorgänge können außerhalb des Europäischen Wirtschaftsraums liegen. DeepSeek hat seinen Sitz in China; bei Google, Apple, RevenueCat und optional OpenAI kann Verarbeitung in den USA oder anderen Ländern stattfinden. Soweit die DSGVO gilt, braucht die Übermittlung einen Angemessenheitsbeschluss oder eine andere gültige Garantie nach Kapitel V, etwa Standardvertragsklauseln und nötige ergänzende Maßnahmen. Frage uns nach der für einen bestimmten Anbieter geltenden Garantie und wie du eine Kopie davon erhältst. EU-Hosting allein bedeutet nicht, dass jede Verarbeitung in der EU bleibt.

10. Speicherdauer und Löschung

Konto-, Profil-, Trainings-, Beziehungs-, Benachrichtigungs- und KI-Inhalte speichern wir während der Kontonutzung. Nach zwei Kalenderjahren ohne authentifizierte App- oder Webnutzung wird ein Konto im täglichen Löschlauf entfernt. Ein noch gültiger bezahlter Zugang wird bis zu dessen Ende von der automatischen Löschung ausgenommen. Für bereits bestehende Konten beginnt die Zweijahresfrist mit Einführung dieser Regel neu, weil frühere Aktivität nicht zuverlässig erfasst wurde. Du kannst dein Konto jederzeit vorher löschen. Kauf- und Rechnungsdaten können wegen gesetzlicher Aufbewahrungspflichten länger verbleiben. Für Sicherheitsprotokolle, Feedback, Backups und Daten bei Anbietern gelten deren Zweck und jeweilige Aufbewahrungseinstellungen; konkrete Fristen hierfür sind noch festzulegen. Nach Zweckwegfall oder Fristablauf löschen oder anonymisieren wir Daten. Nach der Frist für einen bestimmten Datensatz kannst du uns fragen.

Die Kontolöschung kannst du in der App beantragen. Der Server löscht das Konto, zugehörige Datenbankeinträge und hochgeladene Dateien und anonymisiert bestimmte Meldungen oder Kommentare, die für andere Nutzer konsistent bleiben müssen. Eine erneute Anmeldung kann erforderlich sein. Lokale Gerätedaten, zeitlich begrenzte Backups und Kopien bei eigenständig verantwortlichen Anbietern erfordern gegebenenfalls eine eigene Löschung oder laufen nach deren Fristen ab. Frage uns nach der konkreten Frist oder Löschung einzelner Daten.

11. Deine Rechte

Soweit die DSGVO gilt, kannst du Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit verlangen und einer Verarbeitung auf Grundlage berechtigter Interessen widersprechen (Art. 15–21 DSGVO). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Du kannst dich bei einer zuständigen Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO). Wende dich an info@gymmon.de. Vor der Herausgabe von Kontodaten können wir deine Identität prüfen. Die geprüften Funktionen zeigen keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung; KI-Vorschläge sind keine medizinischen Entscheidungen.

12. Kinder und Änderungen

Gymmon richtet sich nicht an Kinder unter 16 Jahren. Falls ein Kind ohne erforderliche Erlaubnis registriert wurde, kontaktiere uns zur Prüfung und Löschung. Wir aktualisieren diese Erklärung bei Änderungen von Funktionen, Anbietern oder Rechtslage und zeigen die aktuelle Fassung in der App an. Eine Änderung des Textes ersetzt keine gesetzlich erforderliche Einwilligung.