Datenschutzerklärung für die App Rungtime

1. Verantwortlicher und Kontakt

E-Mail für Datenschutz und Support: support@darkstone.app · Impressum: https://darkstone.app/imprint

Einen Datenschutzbeauftragten haben wir nicht bestellt, weil dafür derzeit keine Pflicht besteht.

2. Kurz zusammengefasst

• Rungtime funktioniert ohne Konto. Deine Trainingsdaten werden dann nur auf deinem Gerät gespeichert.
• Rungtime enthält keine Werbung, keine Werbe- oder Analysedienste und betreibt kein Tracking.
• Für Käufe spricht die App mit dem App Store bzw. Google Play und dem Kaufdienst RevenueCat. Im Web kaufst du bei Paddle (Abschnitt 4a). Trainingsdaten werden dabei nicht übertragen.
• Absturzberichte sendet Rungtime nur, wenn du sie ausdrücklich einschaltest.
• Apple Health, Health Connect, die Uhr-Verbindung und der Standort in „Parks entdecken“ laufen nur nach deiner Freigabe. Die Onlinekarte von OpenFreeMap lädt erst nach deinem Tipp.
• Ein Rungtime-Konto ist freiwillig. Es sichert nur, was du ausdrücklich auswählst, auf unseren Servern in Deutschland. Abgleich, Webansicht, Freunde, Gruppen und geteilte Vorlagen sind eigene Schritte (Abschnitt 12).
• Rungtime nutzt weder Kamera noch Mikrofon, Kontakte oder Fotos.

In der App findest du alle externen Dienste unter Einstellungen → Datenschutz & Diagnose.

3. Daten auf deinem Gerät

Rungtime speichert deinen Plan, deine Einheiten und bestätigten Ergebnisse, Notizen, Trainingsorte (frei gewählte Namen, keine Positionen), Angaben zu Einschränkungen, Pulswerte von der Uhr, Erfolge und Einstellungen in einer Datenbank auf deinem Gerät. Ohne Konto haben wir keinen Zugriff darauf, und nichts davon wird an uns übertragen.

• Der App-Ordner ist von der Gerätesicherung des Betriebssystems ausgeschlossen (iOS: vom Backup ausgeschlossen; Android: allowBackup aus).
• Du kannst deine Daten jederzeit als CSV-Datei exportieren oder als verschlüsselte Sicherungsdatei mit getrenntem Schlüssel speichern (Ich → Daten & Sicherung). Wohin die Datei geht, wählst du im Systemdialog; ein dort gewählter Cloud-Speicher verarbeitet sie nach seinen eigenen Bedingungen.
• Einen Workout-Import (CSV) liest Rungtime nur auf dem Gerät.
• Löschen: Ich → Daten & Sicherung → „Trainingsdaten auf diesem Gerät löschen“. Bereits exportierte Dateien und nach Health übertragene Trainings bleiben, wo sie sind. Deine Kaufrechte bleiben erhalten.

Diese Verarbeitung findet ausschließlich auf deinem Gerät und unter deiner Kontrolle statt; wir erhalten diese Daten nicht. Was du davon in die Cloud gibst, regelt Abschnitt 12.

4. Käufe (App Store, Google Play und RevenueCat)

Rungtime Pro kaufst du über den App Store oder Google Play (im Web bei Paddle, Abschnitt 4a). Den Kauf und die Zahlung wickelt der jeweilige Store mit deinem Store-Konto ab; Zahlungsdaten sieht Rungtime nicht. Apple bzw. Google verarbeiten Store-Konto, Zahlung und Kaufdaten als eigenständige Verantwortliche nach ihren eigenen Datenschutzbestimmungen.

Um Angebote anzuzeigen und den Kaufstand zu prüfen, spricht die App beim Start, beim Zurückkehren in den Vordergrund, auf der Seite „Rungtime Pro“, beim Kauf, beim Wiederherstellen und beim Öffnen der Aboverwaltung mit RevenueCat (RevenueCat, Inc., 1032 E Brandon Blvd #3003, Brandon, FL 33511, USA). Dabei werden verarbeitet:

• eine zufällig erzeugte, pseudonyme Kennung dieser Installation (keine Werbe- oder Gerätekennung),
• Produktkennung, Kaufhistorie, Berechtigungsstatus, Store-Beleg bzw. Kauftoken, Preis, Währung und Zeitpunkte,
• technisch nötige Verbindungs- und App-Daten: IP-Adresse, Plattform-, SDK-, App- und Systemversion, Gerätesprache und Store-Land.

Die App überträgt keine Trainingsdaten, kein Profil, keine Pläne, Notizen, Orte und Gesundheitswerte, keine E-Mail-Adresse, keine Namen und keine Werbe- oder Attributionskennungen. Bei einem Web-Kauf erhält RevenueCat deine Kauf-E-Mail-Adresse von Paddle (Abschnitt 4a). Automatische Gerätekennungen und die Diagnose von RevenueCat sind ausgeschaltet. Mit Konto und Abgleich oder nach einem Web-Kauf kommt eine zufällige Kaufkennung deines Kontos hinzu (Abschnitte 4a und 12.3).

Den zuletzt bestätigten Kaufstand speichert die App versiegelt auf deinem Gerät, damit Pro auch offline nach den Regeln der Nutzungsbedingungen funktioniert. Er ist nie Teil von Export oder Sicherung.

Zweck: Angebot, Kauf, Freischaltung, Wiederherstellung und Prüfung des Kaufstands. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem verlässlichen Kaufstand und an Schutz vor Missbrauch). Der Zugriff auf Kaufdaten deines Geräts ist für den von dir gewünschten Kauf technisch erforderlich (§ 165 Abs. 3 TKG 2021 bzw. § 25 Abs. 2 TDDDG). RevenueCat verarbeitet die Daten als unser Auftragsverarbeiter, auch in den USA (Abschnitt 14). Speicherdauer: solange es für Freischaltung, Wiederherstellung, Erstattungen, Missbrauchsschutz und gesetzliche Pflichten nötig ist; eine Löschung deines Datensatzes bei RevenueCat kannst du per E-Mail verlangen.

4a. Kauf im Web (Paddle)

Kaufst du Rungtime Pro im Web, ist Paddle (Paddle.com Market Limited, 30 Old Bailey, London EC4M 7AU, Vereinigtes Königreich, mit den in Paddles Datenschutzhinweis genannten Gesellschaften, u. a. Paddle Payments Ltd, Dublin) Verkäufer und für die Verarbeitung beim Kauf eigenständig verantwortlich. Das betrifft Bestellung, Zahlung, Rechnung, Umsatzsteuer, Betrugsprüfung, Widerruf und Erstattung. Paddle verarbeitet dabei Name, E-Mail-Adresse, Rechnungsland und -anschrift, Zahlungsdaten, IP-Adresse und Gerätedaten, Kauf- und Rabattdaten, nach Paddles Datenschutzhinweis. Für die Übermittlung in das Vereinigte Königreich gilt der Angemessenheitsbeschluss der EU-Kommission; für weitere Übermittlungen nennt Paddle Standardvertragsklauseln.

Die Kaufseite liegt in der Webansicht unter app.rungtime.darkstone.app (Abschnitt 12.4); dort meldest du dich mit deinem Rungtime-Konto an. Beim Öffnen der Kaufseite fragt sie unseren Server nach der Kaufkennung deines Kontos (Abschnitt 12.3). Hast du die App noch nicht mit dem Konto verknüpft, reserviert der Server für deine Anmeldung eine neue zufällige Kaufkennung (rt. + Zufallszahl). Erst wenn du „Weiter zur Zahlung“ wählst, lädt die Kaufseite das Zahlformular von Paddle (Paddle.js von cdn.paddle.com). Dabei erhält Paddle deine IP-Adresse und technische Browserdaten. Die Kaufseite übergibt Paddle das Produkt, die E-Mail-Adresse deines Kontos zum Vorausfüllen, einen Partnercode aus dem Link und die Kaufkennung. Über die Anmeldung hinweg merkt sich der Browser-Tab die Kaufseite samt Partnercode (Sitzungsspeicher, höchstens 30 Minuten). Nach dem Bezahlen speichert der Browser die Kaufkennung mit dem Zeitpunkt im lokalen Speicher, damit ein Neuladen keinen zweiten Kauf anbietet; Abmelden entfernt sie. Das Zahlformular kann für Zahlung und Betrugsabwehr technisch nötige Cookies oder Speicher setzen (§ 165 Abs. 3 TKG 2021 bzw. § 25 Abs. 2 Nr. 2 TDDDG).

Damit wir Rungtime Pro freischalten können, meldet Paddle den Kauf an RevenueCat, unseren Auftragsverarbeiter (USA, Abschnitt 14): Paddle-Kundenkennung, E-Mail-Adresse, Kaufkennung, Produkt, Preis, Währung, angewendeter Rabatt, Kauf-, Abo-, Erstattungs- und Rückbuchungsstatus und Land. RevenueCat bucht den Kauf auf die Kaufkennung. Meldest du dich in der App mit demselben Konto an, übernimmt dein Konto die reservierte Kaufkennung, und die App fragt mit ihr den Pro-Status bei RevenueCat ab. Wir selbst sehen im Paddle- und RevenueCat-Dashboard Kauf- und Rabattdaten, auch deine E-Mail-Adresse, und nutzen sie nur für Support, Freischaltung, Abrechnung mit Partnern (dort nur zusammengefasste Zahlen, keine Käuferdaten) und zur Abwehr von Missbrauch.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Kaufseite, Reservierung der Kaufkennung und Bereitstellung des von dir gekauften Pro); Art. 6 Abs. 1 lit. f DSGVO (Support, Partnerabrechnung, Missbrauchsabwehr); Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrung unserer Abrechnungen mit Paddle).

Speicherdauer bei RevenueCat: solange es für Freischaltung, Wiederherstellung, Erstattungen und gesetzliche Pflichten nötig ist. Die Reservierung speichert unser Server in Deutschland mit Aussteller und Kennung deiner Anmeldung, der Kaufkennung, der Anlagezeit und, sobald wir die Bezahlung bei RevenueCat bestätigt haben, deren Zeitpunkt; Inhalte enthält sie nicht. Kaufst du nicht, löschen wir sie mit der unbenutzten Anmeldung (Abschnitt 12.9, „Ungenutzte Konten“). Hast du gekauft, bleiben Anmeldung und Reservierung, bis du dich in der App anmeldest und dein Konto die Kaufkennung übernimmt, bis du die Löschung verlangst oder bis der Kauf erstattet ist; danach gilt wieder die Regel für unbenutzte Anmeldungen. Hast du nur im Web gekauft und die App nie mit dem Konto verknüpft, verlangst du die Löschung per E-Mail an support@darkstone.app.

5. Absturzberichte (Sentry, nur mit Einwilligung)

Unter Einstellungen → Datenschutz & Diagnose → „Absturzberichte senden“ kannst du erlauben, dass Rungtime nach einem Absturz oder Fehler einen bereinigten Bericht an Sentry (Functional Software, Inc., USA; Datenregion EU, Frankfurt) sendet. Der Schalter ist standardmäßig aus; ohne Einwilligung läuft kein Sentry-Code.

Enthalten sind App-Version, Build, Betriebssystem und Version, Gerätemodell, Fehlertyp, eine bereinigte Fehlermeldung und Aufrufstellen. Nicht enthalten sind Trainingswerte, Pläne, Notizen, Ortsnamen, Puls, Einschränkungen, Konto- und Kaufkennungen, Tokens, E-Mail-Adressen, Dateipfade und Bildschirmfotos. Vor dem Versand prüft die App jeden Bericht und entfernt Texte, die du selbst eingegeben hast. Deine IP-Adresse wird für die Übertragung technisch verwendet, von Sentry aber nicht gespeichert.

Ohne Netz wartet ein Bericht auf dem Gerät (höchstens zehn). Ausschalten beendet den Versand und löscht wartende Berichte. Sentry löscht gesendete Berichte nach 30 Tagen. Nicht jeder Absturz wird erfasst.

Unabhängig davon merkt sich die App die letzte Fehlermeldung bereinigt für 30 Tage auf dem Gerät. Sie verlässt das Gerät nur, wenn du sie einer Supportmeldung anhängst.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; für das Auslesen der Gerätedaten § 165 Abs. 3 TKG 2021 bzw. § 25 Abs. 1 TDDDG). Du kannst sie jederzeit mit dem Schalter widerrufen; das berührt nicht die Rechtmäßigkeit der bis dahin gesendeten Berichte. Sentry verarbeitet die Berichte als unser Auftragsverarbeiter. Zur Muttergesellschaft in den USA siehe Abschnitt 14.

6. Hilfe, Problem melden und Website

Hilfe und Häufige Fragen funktionieren ohne Konto und ohne Netz. Problem melden übergibt deine Nachricht an deine Mail-App; Rungtime sendet selbst nichts. Erst wenn du die Mail dort absendest, geht sie über deinen Mailanbieter an unser Support-Postfach support@darkstone.app. Sie enthält deine Beschreibung, einen freiwilligen Rückkontakt, die Anhänge, die du einzeln auswählst („Technischer Bericht“, „Letzte Fehlermeldung“), und die Absenderadresse deiner Mail-App. Bitte schicke uns keine Passwörter, Schlüssel deiner Sicherungsdatei, Zahlungsdaten oder Gesundheitsangaben, die wir für deine Anfrage nicht brauchen.

Zweck: Bearbeitung deiner Anfrage und Fehlerbehebung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit es um die App oder deinen Kauf geht, sonst Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, Anfragen zu beantworten). Unser Postfach läuft über Google Workspace; Auftragsverarbeiter ist Google Cloud EMEA Limited (70 Sir John Rogerson’s Quay, Dublin 2, Irland) mit verbundenen Unternehmen, auch in den USA (Abschnitt 14). Verarbeitet werden deine E-Mail-Adresse, der Inhalt deiner Nachricht samt Anhängen und die Metadaten der Mail (Zeitpunkt, Absender, Empfänger, Betreff, technische Kopfzeilen). Wir löschen Supportnachrichten zwölf Monate nach der letzten Nachricht der Anfrage. Länger bewahren wir eine Nachricht nur auf, solange wir sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen brauchen (Art. 17 Abs. 3 lit. e DSGVO). Fehlerbeschreibungen ohne Personenbezug können länger bleiben.

Wenn du eine Seite auf darkstone.app öffnest (Hilfe, Datenschutz, Bedingungen, Impressum, die Seiten „Rungtime Pro im Web“ und „Erstattung und Widerruf“), ruft dein Browser die feste Adresse ohne Parameter auf. Diese Seiten sind statisch, setzen keine Cookies und enthalten keine Analyse-, Werbe- oder Social-Media-Dienste. Deine IP-Adresse ist technisch nötig, um die Seite über HTTPS auszuliefern; Webserver und vorgeschalteter Proxy führen keine regulären Zugriffsprotokolle. Der Server steht bei Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und zuverlässiger Betrieb der Website). Die Kaufseite für einen Kauf im Web liegt nicht auf darkstone.app, sondern in der Webansicht (Abschnitte 4a und 12.4).

7. Apple Health und Health Connect

Beide Funktionen sind standardmäßig aus und laufen nur mit der Freigabe deines Systems.

• Trainings exportieren (Einstellungen → Health): Rungtime schreibt Beginn, Ende und Art (Krafttraining) jeder beendeten Einheit, die nach dem Einschalten endet, in Apple Health bzw. Health Connect, bei einer fortgesetzten Einheit auch die Zeitpunkte ihrer Pausen. Übungen, Sätze, Notizen, Puls und Skill-Nachweise werden nicht übertragen.
• Lesen (zwei getrennte Schalter): Rungtime zeigt fremde Krafttrainings der letzten 30 Tage im Verlauf und den neuesten vorhandenen Ruhepuls als Kontext in den Analysen. Die Werte werden nur angezeigt, nicht gespeichert, nicht gesichert, nicht exportiert und nicht in die Cloud übertragen. Eigene Rungtime-Trainings werden ausgeschlossen.

Diese Funktionen senden nichts ins Netz; die Daten bleiben im Gesundheitsspeicher deines Geräts, und wir erhalten sie nicht. Was dort mit ihnen geschieht, regeln Apple Health bzw. Health Connect und die Apps, denen du Zugriff gibst. Ausschalten beendet neue Übertragungen; bereits übertragene Trainings löschst du in Health. Daten aus Apple Health und Health Connect werden nicht für Werbung verwendet, nicht verkauft und nicht an Dritte weitergegeben.

8. Apple Watch und Wear OS

Apple Watch (Rungtime Pro): Telefon und Watch tauschen die heutige Einheit, deine Satzergebnisse und – nur mit deiner Health-Freigabe auf der Watch – Pulswerte über die Verbindung der Geräte aus. Rungtime nutzt dafür keinen eigenen Server. Die Workout-Sitzung der Watch wird am Ende verworfen und nicht in Apple Health gespeichert. Pulswerte speichert die App auf dem iPhone zur Einheit; sie sind Teil deiner Sicherungsdatei und deines CSV-Exports und gehen nur in die Cloud, wenn du dort die Kategorie „Puls“ freigibst.

Wear OS (Android, Rungtime Pro): Die Verbindung ist standardmäßig aus und wird unter Einstellungen → Uhr eingeschaltet. Dann überträgt Rungtime die Einheit mit Zielen, Ausrüstung und Einschränkungen, deine Satzergebnisse und – nach Pulsfreigabe auf der Uhr – Messwerte zwischen Telefon und Uhr. Den Transport übernehmen die Google Play-Dienste über Bluetooth oder verschlüsselt über Google-Server. Google handelt dabei als Anbieter der Google Play-Dienste nach eigenen Bedingungen; wir erhalten diese Daten nicht. Ein Rungtime-Konto ist nicht nötig. Ausschalten stoppt neue Übertragungen; gespeicherte Werte bleiben auf deinen Geräten.

9. Parks entdecken und Standort

Stationsdaten, Ortsverzeichnis und ausgewählte lizenzierte Fotos sind in der App enthalten. Ortssuche, Gerätefilter, Merkliste und Trainingsabgleich laufen auf deinem Gerät. Die Merkliste wird lokal gespeichert, nicht gesichert oder synchronisiert und beim Löschen oder Wiederherstellen der Trainingsdaten entfernt.

Erst „Standort nutzen“ fragt nach der Systemfreigabe „Beim Verwenden der App“. Rungtime zeigt und aktualisiert deine Position nur, solange diese Ansicht im Vordergrund ist, ohne Bewegungsverlauf und ohne Speicherung oder Versand an unser Backend. Ohne Freigabe funktionieren die manuelle Ortssuche und die Ergebnisliste weiter.

Die Onlinekarte wird erst nach „Onlinekarte laden“ abgerufen. Dabei erhält OpenFreeMap (Hyperknot Software Kft., Ungarn, gegebenenfalls mit Cloudflare als CDN) deine IP-Adresse und die angefragten Kartenausschnitte. Wenn du die Karte auf deinen Standort zentrierst, kann der Kartenausschnitt deine Umgebung und bei hoher Vergrößerung eine genaue räumliche Einordnung offenbaren. Trainingsdaten, Konto und Merkliste werden nicht mitgesendet. Du kannst die Onlinekarte in der Ansicht wieder schließen. Die Kartenbibliothek kann geladene Kartendaten auf deinem Gerät zwischenspeichern; das ist kein Standortverlauf. Nach eigenen Angaben speichert OpenFreeMap Fehlerprotokolle mit IP-Adresse und Anfrage-URL sieben Tage und mögliche Sicherheitsprotokolle höchstens 30 Tage (Datenschutz von OpenFreeMap). OpenFreeMap handelt dabei als eigenständiger Anbieter.

Zweck: Anzeige der Parks und der von dir angeforderten Karte. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir genutzten Funktion). Standortzugriff und Kartenzwischenspeicher sind für diese von dir gewünschte Funktion technisch erforderlich (§ 165 Abs. 3 TKG 2021 bzw. § 25 Abs. 2 Nr. 2 TDDDG).

„Route öffnen“ übergibt nur die öffentlichen Zielkoordinaten an Apple Karten bzw. Google Maps; die Karten-App verarbeitet eigene Standortfreigaben nach ihren Regeln. Links zur OSM-Korrektur sowie zu Fotoquellen und Lizenzen öffnen sich nur nach deinem Tipp beim jeweiligen Anbieter. Daten: © OpenStreetMap-Mitwirkende (ODbL), Ortsverzeichnis: GeoNames (CC BY 4.0); Fotolizenzen stehen am jeweiligen Bild.

10. Mitteilungen, Widgets, Live-Aktivität und Sprachansagen

Erinnerungen und Grease-the-Groove-Hinweise sind lokale Mitteilungen ohne Push-Dienst und ohne Server. Widgets und die Live-Aktivität (iOS) lesen nur Daten auf dem Gerät. Sprachansagen nutzen ausschließlich auf dem Gerät installierte Stimmen.

11. Teilen

Wenn du eine Erfolgskarte, deinen Jahresrückblick, einen Freundescode oder eine Datei teilst, übergibt Rungtime sie an den Teilen-Dialog deines Systems. Wohin sie geht, entscheidest du; die empfangende App verarbeitet sie nach ihren eigenen Regeln.

12. Rungtime-Konto und Cloud (freiwillig)

Für das Training brauchst du kein Konto. Ein Konto sichert nur, was du danach ausdrücklich auswählst; die Anmeldung allein lädt nichts hoch. Alle Cloud-Daten liegen auf Servern der Hetzner Online GmbH in Falkenstein (Deutschland), die wir selbst betreiben. Zusätzlich liegt eine verschlüsselte Sicherungskopie (jeweils die jüngste Wochenkopie) auf einem Rechner des Verantwortlichen in Österreich (Prinzersdorf), siehe Abschnitt 12.8.

12.1 Konto. Die Anmeldung läuft im Browser deines Systems über unseren Anmeldedienst unter auth.rungtime.darkstone.app. Gespeichert werden deine E-Mail-Adresse (als Benutzername) und ein Hash deines Passworts; Namensfelder gibt es nicht. Bei Anmeldung mit Apple oder Google siehe 12.1a. Der Anmeldedienst setzt technisch nötige Cookies, die spätestens nach zehn Stunden verfallen. Wählst du beim Anmelden im Browser „Angemeldet bleiben“, bleibt die Anmeldung bis zu 90 Tage bestehen (nach 30 Tagen ohne Nutzung endet sie früher), und ein weiteres Cookie merkt sich deine E-Mail-Adresse bis zu einem Jahr für die nächste Anmeldung. „Abmelden“ beendet die Anmeldung und löscht diese Cookies. Zum Schutz vor Missbrauch speichert er Anmeldeereignisse mit E-Mail-Adresse und IP-Adresse 30 Tage lang, auch nach einer Kontolöschung. Bei der Registrierung bestätigst du mit einem Pflicht-Häkchen, bei der ersten Anmeldung mit Apple oder Google auf einer Pflichtseite, dass du mindestens 16 Jahre alt bist und die Bedingungen und diese Erklärung akzeptierst. Zu deinem Konto speichern wir den Tag deiner letzten Nutzung (jede angemeldete Anfrage aus App oder Webansicht), damit wir ungenutzte Konten fristgerecht löschen können (12.9). Bestätigungs-, Wiederherstellungs- und Ankündigungsmails senden wir von noreply@darkstone.app über das SMTP-Relay von Google Workspace (Antworten gehen an support@darkstone.app). Dabei verarbeitet Google als unser Auftragsverarbeiter deine E-Mail-Adresse, den Mailinhalt (Bestätigungscode, Code zum Zurücksetzen des Passworts, Hinweis auf die Löschfrist) und Versandmetadaten (Zeitpunkt, Absender, Empfänger, Betreff, technische Kopfzeilen); die Mails werden nicht in einem Postfach von uns abgelegt. Auf dem Gerät liegt ein Anmeldetoken im geschützten Speicher des Systems (iOS-Schlüsselbund, Android Keystore); es wird nicht in Gerätesicherungen übernommen.

12.1a Anmeldung mit Apple oder Google (freiwillig). Statt mit einem Passwort kannst du dich mit deinem Apple- oder Google-Konto anmelden. Der Anbieter gibt uns dann deine E-Mail-Adresse und eine Kennung, die nur für Rungtime gilt. Hast du bei Apple „E-Mail verbergen“ gewählt, sehen wir nur die Weiterleitungsadresse von Apple; Mails von uns leitet Apple an dich weiter. Der Anbieter ist für seine Anmeldung und seine Daten eigenständig verantwortlich. Bei Apple speichern wir das Zugriffs-Token nur, damit wir beim Löschen deines Kontos die Verbindung zu deinem Apple-Konto widerrufen können; Google-Token speichern wir nicht. Die Anmeldeereignisse aus 12.1 gelten auch hier. Beim Löschen des Kontos entfernen wir die Verknüpfung mit dem Anbieter.

12.2 Cloud-Sicherung. Du wählst Kategorien: „Trainings und Pläne“, „Puls“, „Einschränkungen“, „Notizen“. Weil Trainingsdaten Rückschlüsse auf deine Gesundheit zulassen (etwa Abbrüche wegen Beschwerden), sichert Rungtime nur mit deiner gesonderten, ausdrücklichen Einwilligung für Gesundheitsdaten; Puls, Einschränkungen und Notizen sind voreingestellt aus. Die Daten werden verschlüsselt zum Server übertragen (HTTPS) und liegen dort auch je Konto verschlüsselt gespeichert. Rungtime selbst kann sie dort entschlüsseln, um sie dir zurückzugeben, abzugleichen und in der Webansicht zu zeigen – deshalb ist das keine Ende-zu-Ende-Verschlüsselung, bei der nur deine Geräte den Schlüssel hätten. Kontodaten wie Kennungen, Zeiten und Kategorien sowie die Anmeldedatenbank sind nicht zusätzlich verschlüsselt. Für die Sicherung gilt eine Speichergrenze von 64 MiB je Konto; ist sie erreicht, sichert Rungtime nichts Neues und kürzt nichts Vorhandenes.

12.3 Mehrere Geräte (Rungtime Pro). Wenn du „Auf diesem Gerät synchronisieren“ einschaltest, gleicht Rungtime deine gesicherten Daten zwischen bis zu zehn Geräten ab. Damit der Server Pro prüfen kann, meldet die App deinen Kauf bei RevenueCat unter einer zufälligen Kaufkennung deines Kontos an (rt. + Zufallszahl); unser Server fragt bei RevenueCat nur mit dieser Kennung den Pro-Status ab. Aus der App erfährt RevenueCat weder deine E-Mail-Adresse noch Trainingsdaten; nach einem Web-Kauf kennt RevenueCat die Kauf-E-Mail-Adresse von Paddle, und der Kauf ist auf die Kaufkennung deines Kontos gebucht (Abschnitt 4a). RevenueCat kann außerdem Käufe mehrerer Geräte desselben Kontos verbinden. Eine Erstattung wirkt bis zu 24 Stunden später.

12.3a Pro-Geschenk auf Android (14 Tage). Auf Android startest du das Geschenk „14 Tage Rungtime Pro“ nur mit einem kostenlosen Rungtime-Konto und Verbindung zum Server; einmal je Konto, einmal je E-Mail-Postfach und einmal je Gerät binnen 12 Monaten. Startest du das Geschenk, sendet die App eine Anfrage an unseren Server; beim Start der App, beim Zurückkehren in den Vordergrund und nach der Anmeldung fragt sie, solange auf dem Gerät noch kein Geschenk bekannt ist, den Stand ab. Übertragen werden keine Inhalte; beim Start sendet die App einen Geräteschlüssel (ein SHA-256-Wert der Android-ID mit festem Präfix, nie die Android-ID selbst; das Auslesen der Android-ID und die Anfrage des Integritätstokens auf deinem Gerät sind für den von dir gewünschten Geschenkstart technisch erforderlich, § 165 Abs. 3 TKG 2021 bzw. § 25 Abs. 2 Nr. 2 TDDDG); neben dem Anmeldetoken deines Kontos nur die technisch nötigen Verbindungsdaten (Abschnitt 12.8). Der Server speichert je Konto Konto-Kennung, Startzeit, Endzeit (Start plus 14 Tage), Plattform (Android) und Anlagezeit; keine Trainingsdaten. Zusätzlich speichert der Server zwei Sperreinträge: je einen Prüfwert (HMAC mit einem aus unserem Hauptschlüssel abgeleiteten Schlüssel) der vereinheitlichten, bestätigten E-Mail-Adresse (Kleinschreibung, ohne „+…“, bei Gmail ohne Punkte, googlemail gleich gmail; Apple-Relay-Adressen bleiben unverändert; ohne bestätigte E-Mail-Adresse startet kein Geschenk) und des Geräteschlüssels, jeweils mit Startzeit und Ablaufzeit (Start plus 365 Tage). Diese Einträge enthalten weder Adresse noch Geräteschlüssel im Klartext und haben kein Verknüpfungsfeld zu deinem Konto (keinen Fremdschlüssel); solange das Konto besteht, lassen sie sich über Startzeit und Adresse zuordnen, danach nur, wer die Adresse oder das Gerät kennt. Sie sind pseudonym, nicht anonym, weil wir den Prüfwert für eine bekannte Adresse oder ein bekanntes Gerät nachrechnen können. Auskunft, Löschung und Widerspruch zum Postfach-Eintrag sind möglich, wenn du uns die E-Mail-Adresse nennst; den Geräte-Eintrag können wir nur über eine Anfrage aus der App auf diesem Gerät finden, weil die Gerätekennung nirgends angezeigt wird. Bis zum Ablauf überwiegt der Schutz vor mehrfacher Einlösung. Sie verhindern, dass dieselbe Adresse oder dasselbe Gerät das Geschenk innerhalb von 12 Monaten erneut einlöst; ist es schon genutzt, zeigt die App das an. Auf Android prüft beim Start außerdem Google Play (Play Integrity), ob die Anfrage von der echten, über Google Play installierten Rungtime-App auf einem echten, zertifizierten Gerät kommt: Die App fordert dazu bei Google Play ein Integritätstoken an, gebunden an einen SHA-256-Hashwert aus einem festen Zweckbegriff, dem pseudonymen Prüfwert deiner Anmeldekennung (SHA-256 aus Aussteller und Kennung deines Kontos) und dem Geräteschlüssel; im Klartext geht dabei nichts an Google. Google (Play Store bzw. Google Play-Dienste) verarbeitet dafür App- und Geräte-Signale (Paketname, Signaturzertifikat, Lizenzstatus, Gerätebestätigung) nach eigenen Bedingungen als eigenständiger Anbieter. Das undurchsichtige Token sendet die App an unseren Server; der reicht es über einen Proxy, der nur die zwei dafür nötigen Google-Adressen zulässt, an den Play-Integrity-Dienst von Google (Google LLC) weiter und erhält nur das Urteil (App von Google Play erkannt, lizenziert, Gerät besteht die Integritätsprüfung). Token und Urteil speichern wir nicht; die Server-Protokolle halten bei einer Ablehnung oder Nichterreichbarkeit nur die Ergebnis-Kategorie, einen groben Grund aus einer festen Liste (etwa welche der drei Bedingungen nicht erfüllt war, ein abgelaufenes Token oder ein Fehler bei Google) und die pseudonyme Kennung des aufrufenden Kontos (12.8), kein Token und keine Werte des Urteils. Außerdem vergleicht der Server die Domain deiner bestätigten E-Mail-Adresse, nur im Arbeitsspeicher und nach Vereinheitlichung der Schreibweise (Unicode), mit Listen von Wegwerf-E-Mail-Domains (öffentliche, unter CC0 stehende Liste in einer festen Fassung) und von E-Mail-Alias-Diensten; mit solchen Adressen startet das Geschenk nicht, Konto und Käufe bleiben möglich. Je Konto sind höchstens fünf Integritätsprüfungen in 24 Stunden möglich; den Zähler hält der Server nur im Arbeitsspeicher (nicht gespeichert, nach einem Neustart weg). Besteht die Prüfung nicht oder ist die Adresse nicht zugelassen, startet das Geschenk nicht und es entsteht weder ein Geschenk noch ein Sperreintrag (siehe auch Abschnitt 17). So startet das Geschenk weder nach einer Neuinstallation noch nach dem Verstellen der Uhr neu, und es gibt kein zweites Geschenk für dasselbe Konto. Ein laufendes Geschenk läuft nach dem Abmelden bis zur Endzeit weiter. Es schaltet nur lokale Pro-Funktionen frei, nie Cloud-Sicherung, Abgleich oder Gruppen. Auf iOS läuft das Geschenk über ein kostenloses Apple-Produkt, ohne Konto. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Konto und Nutzungsvertrag) und Art. 6 Abs. 1 lit. f DSGVO (Schutz vor mehrfacher Einlösung; Missbrauchsabwehr durch Integritätsprüfung über Google Play Integrity, Adresslisten und Prüfgrenze). Löschung: „Alle Trainingsdaten endgültig löschen“ lässt den Datensatz bestehen, sonst wäre ein zweites Geschenk möglich; „Konto löschen“ entfernt ihn spätestens, wenn die Kontolöschung abgeschlossen ist. Die beiden Sperreinträge bleiben auch nach „Konto löschen“ und „Alle Trainingsdaten endgültig löschen“ bis zur Ablaufzeit (12 Monate ab Start) bestehen; danach löscht sie der tägliche Löschlauf.

12.4 Webansicht. Unter app.rungtime.darkstone.app kannst du dich im Browser anmelden und deinen gesicherten Verlauf und deine Pläne lesen, mit Pro auch Pläne bearbeiten. Der Browser speichert dafür eine Kopie deiner Daten in seinem lokalen Speicher; Zugangstokens bleiben nur im Arbeitsspeicher. Beim Öffnen fragt die Webansicht beim Anmeldedienst nach, ob du dort angemeldet bist; ist das der Fall, meldet sie dich ohne erneute Eingabe an. Abmelden entfernt die Browserkopie. Die Webansicht nutzt keine Analyse- oder Werbedienste, keine externen Schriften und keine Cookies außer denen des Anmeldedienstes (12.1) und, nur auf der Kaufseite, denen des Zahlformulars von Paddle. Einen Drittanbieterdienst lädt nur die Kaufseite für Rungtime Pro, und erst nach deinem Klick auf „Weiter zur Zahlung“: das Zahlformular von Paddle mit dessen eigenen Cookies (Abschnitt 4a). Einen Planentwurf aus dem Browser gleicht Rungtime erst ab, wenn du das am Haupttelefon bestätigst. Lokaler Speicher und diese Cookies sind für den von dir gewünschten Dienst technisch erforderlich (§ 165 Abs. 3 TKG 2021 bzw. § 25 Abs. 2 TDDDG).

12.5 Freunde. Eigener Opt-in („Freunde einschalten“). Du gibst einen Anzeigenamen (1–24 Zeichen) an und wählst, welche Werte bestätigte Freunde sehen: Wochenziele der letzten vier Wochen, Level, Skill-Meilensteine (voreingestellt an) und Wochenserie (aus). Deinen Namen sehen auch Personen, denen du eine Anfrage schickst. Einladungscodes gelten 14 Tage, offene Anfragen 30 Tage. Freunde sehen nur, was du eingeschaltet hast; Ausschalten entfernt den Wert sofort. Nie geteilt werden Sätze, Übungen, Pläne, Notizen, Puls, Einschränkungen, Orte und E-Mail. Kein Adressbuch, keine Suche, kein öffentliches Profil.

12.6 Gruppen. Gruppen erstellen ist Pro, beitreten ist gratis. Je Gruppe willigst du gesondert ein. Alle Mitglieder einer Gruppe sehen den Gruppennamen, deinen bestätigten Namen und deine Rolle; Wochenziele der letzten zwölf Wochen und deinen Fortschritt in der Herausforderung nur, wenn du sie einschaltest (voreingestellt aus) – auch Mitglieder, die nicht deine Freunde sind.

12.7 Vorlagenlinks. Wenn du eine eigene Vorlage veröffentlichst, kann jeder mit dem Link ihren Namen, deinen Anzeigenamen, deine Anleitung, die Quelle, den Plan und – wenn du das ausdrücklich wählst – deine eigenen Übungsdefinitionen lesen, ohne Konto. Persönliche Lasten, Logs, Notizen und Gesundheitswerte sind nie enthalten. Die Seite enthält keine Skripte und Cookies und wird nicht für Suchmaschinen freigegeben. Wer den Link öffnet, wird von uns nicht erfasst; ein Zugriffsprotokoll mit IP-Adressen führen wir nicht. Du kannst den Link deaktivieren oder löschen; bereits gelesene Inhalte und übernommene Kopien kann niemand zurückholen. Inhalte, die gegen die Nutzungsbedingungen verstoßen, können wir nach einer Meldung deaktivieren.

12.8 Betrieb und Sicherungen. Server-Protokolle enthalten keine Inhalte, Tokens, E-Mail- oder IP-Adressen, aber eine pseudonyme Kennung des aufrufenden Kontos; sie werden nach 30 Tagen gelöscht. Zur Begrenzung von Anfragen werten wir IP-Adressen nur im Arbeitsspeicher aus; für Grenzen beim Anmelden und beim Versand von Bestätigungscodes hält der Anmeldedienst einen gekürzten Hashwert der Adresse bis zu 24 Stunden. Wir sichern die Datenbanken täglich verschlüsselt auf einem zweiten Server bei Hetzner in Deutschland und behalten sieben Tagesstände; eine weitere verschlüsselte Kopie (nur die jüngste Wochenkopie) liegt auf einem Rechner des Verantwortlichen in Österreich (Prinzersdorf). Gelöschte Daten sind nach höchstens etwa acht Tagen aus allen Sicherungen verschwunden. Ein inhaltsfreies Löschjournal sorgt dafür, dass Löschungen auch nach einer Wiederherstellung gelten; es wird nach 60 Tagen gelöscht. Nach einer Kontolöschung bleiben nur ein Prüfwert deiner Anmeldekennung, damit das gelöschte Konto nicht erneut verknüpft wird, und die Sperreinträge zum Pro-Geschenk (Prüfwerte von Postfach und Gerät, Android) bis zu 12 Monate ab Geschenkstart (12.3a).

12.9 Löschen und Widerruf. Unter Ich → Daten & Sicherung findest du: „Vom Konto trennen“, „Trainingsdaten auf diesem Gerät löschen“, „Alle Trainingsdaten endgültig löschen“ und „Konto löschen“. Der Widerruf einer Cloud-Kategorie löscht die Kopie in der Cloud sofort, aus den Sicherungen nach höchstens etwa acht Tagen. „Konto löschen“ entfernt Daten, Freigaben, Geräte, Freundes- und Gruppendaten, Vorlagenlinks, die Kaufkennung, eine Reservierung der Kaufkennung (4a) und den Geschenk-Datensatz (12.3a); die Anmeldeidentität wird kurz danach gelöscht. Bei RevenueCat bleibt der Kundendatensatz mit deinen Käufen bestehen, weil Käufe zu deinem Store-Konto bzw. zu deinem Web-Kauf bei Paddle gehören. Ein Abo kündigst du im Store. Hast du nur im Web gekauft und die App nie mit dem Konto verknüpft, verlangst du die Löschung per E-Mail an support@darkstone.app.

Ungenutzte Konten. Ein Konto, das 24 Monate nicht genutzt wurde (keine angemeldete Anfrage aus App oder Webansicht), löschen wir mit derselben Wirkung wie „Konto löschen“. Wir kündigen das mindestens 30 Tage vorher per E-Mail an die bestätigte Adresse des Kontos an; meldest du dich bis dahin an, bleibt das Konto bestehen. Fehlt eine bestätigte Adresse oder ist die Mail unzustellbar, löschen wir nach Ablauf derselben Frist. Ausgenommen sind Konten, mit denen ein laufendes Pro-Abo oder Lifetime verbunden ist (Kaufkennung, 12.3), aus dem Store wie aus dem Web. Anmeldungen, die nie mit der App verknüpft wurden, löschen wir nach 90 Tagen ohne Ankündigung, außer es gehört ein bezahlter Web-Kauf dazu (4a); Registrierungen, deren E-Mail-Adresse nie mit dem Code bestätigt wurde, schon nach 7 Tagen.

Rechtsgrundlagen. Konto, Abgleich, Webansicht und Transaktionsmails: Art. 6 Abs. 1 lit. b DSGVO. Cloud-Sicherung und Abgleich der gewählten Kategorien: deine ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO. Freunde, Gruppen und Vorlagenlinks: deine Einwilligung je Freigabe nach Art. 6 Abs. 1 lit. a DSGVO. Anmeldeereignisse, Server-Protokolle, Sicherungen und Löschjournal: Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb, Schutz vor Missbrauch, Nachweis und Wirksamkeit von Löschungen). Tag der letzten Nutzung und Ankündigungsmail: Art. 6 Abs. 1 lit. f DSGVO (Fristen nach Art. 5 Abs. 1 lit. e DSGVO verlässlich einhalten). Pro-Geschenk am Konto: Art. 6 Abs. 1 lit. b und lit. f DSGVO (12.3a). Sperreinträge zum Geschenk (Postfach, Gerät) sowie Integritätsprüfung, Adresslisten und Prüfgrenze beim Geschenkstart: Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention, Schutz vor mehrfacher Einlösung). Jede Einwilligung kannst du in der App jederzeit mit Wirkung für die Zukunft widerrufen.

13. Empfänger und Auftragsverarbeiter

Mit unseren Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Wir verkaufen keine Daten und geben sie nicht für Werbung weiter.

14. Übermittlung in Drittländer

Paddle sitzt im Vereinigten Königreich; für die Übermittlung dorthin gilt der Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich, für weitere Übermittlungen nennt Paddle Standardvertragsklauseln (Abschnitt 4a). Bei RevenueCat (USA), bei der US-Muttergesellschaft von Sentry und bei Google (Google Workspace für Support-Postfach und Kontomails; Google Play Integrity beim Start des Pro-Geschenks auf Android) kann eine Übermittlung in die USA stattfinden. Sie stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der Empfänger danach zertifiziert ist, und im Übrigen auf die EU-Standardvertragsklauseln in den Verträgen zur Auftragsverarbeitung (Art. 45 und Art. 46 Abs. 2 lit. c DSGVO). Bei Google ist das der Vertrag „Cloud Data Processing Addendum (Customers)“; Google LLC ist nach Angaben von Google dem EU-US Data Privacy Framework beigetreten, im Übrigen gelten die dort eingebundenen Standardvertragsklauseln. Eine Kopie der Garantien erhältst du auf Anfrage. Für die Integritätsprüfung (12.3a) ist Google eigenständiger Anbieter; es gelten Googles Bedingungen für die Play-Integrity-API und die Datenschutzerklärung von Google, die Übermittlung an Google LLC in den USA stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit Google LLC danach zertifiziert ist. Zum Proxy: Er leitet nur die verschlüsselte Verbindung des Servers zu Google weiter und sieht den Inhalt nicht. Die Rungtime-Cloud selbst liegt auf Servern in Deutschland; nur die verschlüsselte Wochenkopie der Sicherung liegt beim Verantwortlichen in Österreich (Abschnitt 12.8), also ebenfalls im Europäischen Wirtschaftsraum. Nutzt OpenFreeMap für die Onlinekarte Cloudflare als CDN, kann deine Anfrage auch über Server außerhalb der EU laufen; das richtet sich nach den Bedingungen dieser Anbieter.

15. Speicherdauer

16. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit (Art. 15–20 DSGVO) sowie das Recht, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Viele dieser Rechte übst du direkt in der App aus (Export, Download, Löschen, Schalter). Für alles andere schreibe an support@darkstone.app. Wir antworten innerhalb eines Monats und können einen angemessenen Identitätsnachweis verlangen, etwa eine Mail von der Adresse deines Kontos.

Widerspruchsrecht: Soweit wir Daten auf Grund berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat deines Aufenthalts. Für uns zuständig ist die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at.

17. Keine automatisierten Entscheidungen

Rungtime schlägt Pläne, Ersatzübungen und nächste Schritte nach festen Regeln auf deinem Gerät vor. Du bestätigst jede Änderung selbst. Eine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt; es gibt kein Profiling zu Werbezwecken. Beim Start des Pro-Geschenks auf Android (12.3a) kann das Geschenk allerdings automatisch nicht gewährt werden, wenn die Integritätsprüfung nicht bestanden wird oder die Domain deiner E-Mail-Adresse auf einer Liste für Wegwerf- oder Alias-Adressen steht. Das dient der Missbrauchsabwehr; es hat keine rechtliche oder ähnlich erhebliche Wirkung (Art. 22 DSGVO findet keine Anwendung): Das Geschenk ist eine freiwillige Zugabe, Konto, Kauf und alle Funktionen, die du gekauft hast, bleiben unberührt. Meinst du, die Ablehnung sei ein Irrtum, schreib an support@darkstone.app; wir prüfen den Fall.

18. Mindestalter

Rungtime richtet sich an Personen ab 16 Jahren. Konto, Cloud, Freunde, Gruppen und Vorlagenlinks darfst du erst ab 16 Jahren nutzen; bei der Registrierung bestätigst du das. Wenn wir erfahren, dass ein Konto einer jüngeren Person gehört, löschen wir es.

19. Pflicht zur Bereitstellung

Du bist nicht verpflichtet, uns Daten bereitzustellen. Ohne Konto, Kauf, Supportmail und Absturzberichte erhalten wir keine personenbezogenen Daten von dir; einzelne Funktionen sind dann nicht verfügbar.

20. Änderungen

Wir passen diese Erklärung an, wenn sich die App, unsere Dienstleister oder die Rechtslage ändern. Die geltende Fassung steht unter https://darkstone.app/rungtime/privacy/. Eine geänderte Erklärung erweitert keine Einwilligung, die du für eine frühere Fassung gegeben hast; für neue Zwecke fragen wir dich erneut.