Trainingszettel

Datenschutzerklärung

Stand: 23. September 2026

1. Das Wichtigste zuerst

Trainingszettel ist bewusst so gebaut, dass deine Trainingsdaten dein Gerät nicht verlassen. Alle Angaben, die du eingibst — dein Profilname, deine Trainingspläne, deine protokollierten Sätze mit Gewicht und Wiederholungen — werden ausschließlich lokal in deinem Browser gespeichert (localStorage bzw. IndexedDB). Diese Daten werden zu keinem Zeitpunkt an einen Server übertragen, nicht bei mir und nicht bei Dritten. Es gibt keine Benutzerkonten, keine Anmeldung, keine E-Mail-Pflicht. Es werden keine Cookies gesetzt. Für eine einfache Reichweitenmessung nutze ich lediglich das selbst gehostete, cookiefreie Analyse-Werkzeug Matomo, das nur anonyme Seitenaufrufe erfasst (siehe Abschnitt 5) — deine Trainingsdaten sieht es nie.

Weil deine Trainingsdaten mein Gerät bzw. meine Server nie erreichen, verarbeite ich über dich auch keine Gesundheitsdaten im Sinne des Art. 9 DSGVO. Die Datenhoheit bleibt vollständig bei dir: Du kannst deine Daten jederzeit als Datei exportieren (Sicherung) und mit einem Klick vollständig aus deinem Browser löschen.

2. Verantwortlicher

Christian Götze
Rathenaustr. 3, 16761 Hennigsdorf, Deutschland
E-Mail: gym@trainingszettel.de
Telefon: +49 33022015238

3. Lokale Speicherung deiner Trainingsdaten

Deine Profile, Pläne und Trainingsprotokolle speichert die Anwendung technisch notwendig in der lokalen Speicherung deines Browsers (localStorage/IndexedDB), damit die App überhaupt funktioniert und du deine Daten beim nächsten Besuch wiederfindest. Diese Speicherung erfolgt lokal auf deinem Gerät; die Daten sind für mich nicht einsehbar und werden nicht übertragen.

Offline-Funktion (Service Worker): Damit die App auch ohne Internetverbindung lädt — etwa im Keller eines Fitnessstudios ohne Empfang — richtet dein Browser beim Nutzen der App einen sogenannten Service Worker ein und legt die App-Oberfläche in einem lokalen Cache ab (Cache Storage). Dieser Cache enthält ausschließlich die technischen Dateien der App selbst, niemals deine Trainingsdaten, und sendet nichts an mich oder Dritte. Er wird erst eingerichtet, wenn du die eigentliche App öffnest — beim bloßen Lesen dieser Informationsseiten wird nichts auf deinem Gerät gespeichert. Du entfernst Service Worker und Cache jederzeit, indem du die Websitedaten dieser Seite in deinem Browser löschst.

Rechtsgrundlage für diese ausschließlich lokale, technisch notwendige Speicherung (localStorage/IndexedDB und Service-Worker-Cache) ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den von dir ausdrücklich gewünschten Dienst) sowie Art. 6 Abs. 1 lit. f DSGVO.

4. Hosting und Server-Logfiles

Die Website wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, auf Servern in Deutschland gehostet. Auch die DNS-Zonen der Domain werden dort betrieben; die autoritativen Nameserver stehen in Deutschland. Mit dem Hosting-Anbieter besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

Jeder Aufruf läuft über einen vorgeschalteten Webserver (Traefik), der auf diesem Server ein Zugriffsprotokoll schreibt. Darin stehen: die IP-Adresse deines Anschlusses in voller Länge — sie wird an dieser Stelle weder gekürzt noch anonymisiert —, Datum und Uhrzeit, die aufgerufene Adresse einschließlich ihrer Parameter, die HTTP-Methode, der Statuscode, die übertragene Datenmenge, die Bearbeitungsdauer sowie die vom Browser gesendeten Kopfzeilen, insbesondere Browser- und Gerätekennung (User-Agent) und die verweisende Seite (Referrer). Zugangsdaten und Cookie-Kopfzeilen werden nicht mitgeschrieben.

Zweck der Verarbeitung ist die Auslieferung der Website sowie ein sicherer und störungsfreier Betrieb einschließlich der Fehlersuche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb). Das Protokoll bleibt auf demselben Server in Deutschland und wird an keinen externen Dienstleister übermittelt; die einzige Ausnahme ist die unten beschriebene Meldung von Angreifer-Adressen.

Speicherdauer: Das Protokoll wird täglich gewechselt, es werden höchstens 30 ältere Stände aufbewahrt. Spätestens nach 31 Tagen ist ein Eintrag gelöscht. Weitere Protokollausgaben der Anwendung werden nach 30 Tagen gelöscht. Wird ein konkreter Sicherheitsvorfall aufgeklärt, kann die Aufbewahrung der betroffenen Einträge bis zur Klärung verlängert werden.

Abwehr von Angriffen (CrowdSec): Dasselbe Zugriffsprotokoll wertet die quelloffene Sicherheitssoftware CrowdSec auf demselben Server automatisch aus. Sie erkennt Muster wie massenhafte Anmeldeversuche oder das Abklopfen bekannter Sicherheitslücken und entscheidet dabei anhand der IP-Adresse: Eine auffällige Adresse wird für 96 Stunden gesperrt, ein auffälliger Adressbereich für 24 Stunden. IP-Adressen, von denen Angriffe ausgehen, werden zusammen mit Art und Zeitpunkt des Angriffs zusätzlich an die CrowdSec SAS (Paris, Frankreich) gemeldet und fließen dort in eine gemeinsam genutzte Sperrliste ein. Gemeldet werden ausschließlich Adressen, die als Angreifer aufgefallen sind; die normale Nutzung dieser Seite wird nicht gemeldet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der IT-Sicherheit). Eine Sperre läuft von selbst wieder aus; hältst du sie für unberechtigt, schreib mir an die oben genannte Adresse.

5. Webanalyse mit Matomo

Zur reinen Reichweitenmessung — also um zu verstehen, wie viele Menschen die Seite besuchen und welche Seiten aufgerufen werden — setze ich Matomo ein, eine Open-Source-Analyse-Software, die ich selbst auf Servern in Deutschland hoste (matomo.trainingszettel.de). Dabei werden keine Cookies gesetzt, deine IP-Adresse wird anonymisiert, und es findet kein geräteübergreifendes Tracking und keine Profilbildung statt. Erfasst werden ausschließlich anonyme Aufrufdaten der Seite (z. B. aufgerufene Seite, ungefähre Region, Browsertyp, verweisende Seite). Innerhalb der App selbst (Dashboard, Training, Verlauf usw.) wird kein Seitenaufruf erfasst — Matomo läuft nur auf den öffentlichen Seiten. Deine Trainingsdaten sieht Matomo nie — diese bleiben in deinem Browser. Sendet dein Browser das Signal „Do Not Track", wird Matomo nicht geladen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Reichweitenmessung).

6. Anonyme Nutzungszahlen

Zusätzlich kannst du in den Einstellungen freiwillig aktivieren, dass einige rein anonyme Gesamtereignisse gezählt werden — zum Beispiel wie oft die App geöffnet oder wie viele Trainingseinheiten insgesamt (über alle Nutzenden hinweg) abgeschlossen wurden. Diese Funktion ist standardmäßig deaktiviert und wird nur mit deiner Zustimmung aktiv. Übertragen wird dann ausschließlich die Art des Ereignisses (z. B. „app_open" oder „workout_completed"), ohne Cookies, ohne Speicherung deiner IP-Adresse, ohne Kennung und ohne jeden Bezug zu deiner Person, deinem Profil oder deinen Trainingsinhalten. Aus diesen reinen Summenzählern lässt sich kein Rückschluss auf einzelne Personen ziehen. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die du in den Einstellungen jederzeit widerrufen kannst.

7. Verschlüsselung

Die Übertragung erfolgt ausschließlich verschlüsselt über HTTPS (TLS).

8. Kontaktaufnahme über das Kontaktformular

Über das Kontaktformular auf der Seite „Kontakt“ kannst du mir eine Nachricht senden. Dabei werden folgende personenbezogene Daten erhoben:

Zusätzlich musst du eine Checkbox aktivieren. Damit gibst du ausdrücklich deine Einwilligung, dass deine Daten (Name und E-Mail-Adresse) zum Zweck der Bearbeitung deiner Anfrage verarbeitet und gespeichert werden dürfen.

Zum Schutz vor Spam und automatisierten Anfragen wird das selbst gehostete Altcha-Verfahren verwendet (eine datenschutzfreundliche Proof-of-Work-Alternative zu herkömmlichen CAPTCHAs). Dein Browser löst eine kurze Rechenaufgabe; es werden keine Daten an Drittanbieter wie Google übermittelt.

Die übermittelten Daten werden serverseitig validiert und die Altcha-Lösung geprüft. Eine gültige Nachricht wird per E-Mail an mich weitergeleitet: Sie wird über die rapidmail GmbH (siehe Abschnitt 9) zugestellt und geht in meinem Postfach bei der Proton AG in Genf, Schweiz, ein. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Eine dauerhafte Speicherung der Kontaktnachrichten auf dem Server dieser Website erfolgt nicht. Die Daten werden gelöscht, sobald die Anfrage bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten mehr bestehen.

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO (durch Aktivieren der Checkbox). Du kannst diese Einwilligung jederzeit widerrufen (z. B. per E-Mail).

Du kannst mich selbstverständlich auch direkt per E-Mail kontaktieren; auch diese Nachrichten gehen in das Postfach bei der Proton AG ein. In diesem Fall verarbeite ich deine Angaben ausschließlich zur Bearbeitung deiner Anfrage auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

9. Weitergabe an Dritte

Eine Weitergabe von Daten an Dritte findet nicht statt, mit Ausnahme der folgenden Empfänger:

Hosting und E-Mail-Versand finden in Deutschland statt, die Meldung an CrowdSec in Frankreich — also innerhalb der Europäischen Union. Das Postfach liegt in der Schweiz; für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO. Eine darüber hinausgehende Übermittlung in Drittländer findet nicht statt.

10. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie ein Widerspruchsrecht gegen die Verarbeitung (Art. 21 DSGVO). Da deine Trainingsdaten ausschließlich lokal auf deinem Gerät liegen, kannst du diese Rechte in Bezug auf diese Daten jederzeit selbst unmittelbar ausüben (Ansehen, Exportieren, Löschen).

11. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für den Verantwortlichen zuständig ist die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg.

12. Änderung dieser Erklärung

Ich passe diese Datenschutzerklärung an, sobald Änderungen an der App dies erforderlich machen. Es gilt die jeweils hier veröffentlichte Fassung.