Datenschutzerklärung für Ocean - Gym & Fitness Tracker

Stand: 21. August 2026

Diese Datenschutzerklärung erläutert, wie personenbezogene Daten bei der Nutzung von "Ocean - Gym & Fitness Tracker" auf iOS, Android, watchOS und Wear OS einschließlich Community, KI-Funktionen, privatem Firebase-Backup und zugehörigen Online-Diensten verarbeitet werden.

1. Verantwortlicher

Verantwortlicher im Sinne von Artikel 4 Nummer 7 Datenschutz-Grundverordnung (DSGVO) ist:

Kaspar Rebmann
Ocean - Gym & Fitness Tracker
Nauwieserstraße 23
66111 Saarbrücken
Deutschland
E-Mail: privacy@ocean-fitness.app
Telefon: +49 151 61418804

Es ist kein Datenschutzbeauftragter benannt. Datenschutzanfragen richtest du unmittelbar an die oben genannte Adresse.

2. Das Wichtigste in Kürze

• Private Profil-, Trainings-, Gewichts-, Ernährungs-, Habit-, Gesundheits- und GPS-Daten werden grundsätzlich lokal auf deinem Smartphone beziehungsweise deiner gekoppelten Uhr gespeichert.
• Das optionale, an deine Anmeldung gebundene Firebase-Backup enthält nach ausdrücklicher Aktivierung Streak und Freikarten, XP und Sticker, Trainingspläne sowie deine Workout-Historie mit Übungen, Sätzen, Wiederholungen, Gewichten und Zeiten.
• Firebase speichert außerdem Konten, Community-Inhalte, Rankings, Push-Daten, Feedback, Moderationsdaten und die gerätebezogene Prüfung der Probezeit. Private Fitnessdaten gelangen nur dann zu Firebase oder Google, wenn du das Backup aktivierst, Daten bewusst veröffentlichst, eine KI-Analyse startest oder eine andere Online-Funktion auslöst.
• Ocean enthält keine Werbung, kein Werbetracking, kein Firebase Analytics und kein Firebase Crashlytics. Daten aus Apple Health oder Health Connect werden nicht für Werbung, Marketing oder Datenhandel verwendet.
• KI-Analysen sind freiwillig. Dabei werden nur die für die jeweilige Analyse benötigten Bilder, Texte und zusammengefassten Ernährungsdaten an Google übermittelt.

3. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten je nach Funktion auf folgenden Grundlagen:

• Vertragserfüllung, Artikel 6 Absatz 1 Buchstabe b DSGVO: Bereitstellung der von dir angeforderten App-, Konto-, Community-, Backup-, Premium-, Support- und Synchronisierungsfunktionen.
• Einwilligung, Artikel 6 Absatz 1 Buchstabe a DSGVO: optionale KI-Analysen, Push-Benachrichtigungen und sonstige freiwillige Verarbeitungen, soweit eine Einwilligung erforderlich ist.
• Ausdrückliche Einwilligung, Artikel 9 Absatz 2 Buchstabe a DSGVO: Verarbeitung oder Übermittlung von Gesundheitsdaten für KI-Funktionen oder die von dir gewählte Veröffentlichung von Gesundheits- und Fitnesswerten.
• Berechtigte Interessen, Artikel 6 Absatz 1 Buchstabe f DSGVO: Sicherheit, App- und Kontointegrität, Missbrauchs- und Betrugsprävention, technische Fehleranalyse, Moderation, Verteidigung von Rechtsansprüchen und sichere Community-Kommunikation. Wir verarbeiten dabei nur Daten, soweit deine Interessen oder Grundrechte nicht überwiegen.
• Rechtliche Verpflichtung, Artikel 6 Absatz 1 Buchstabe c DSGVO: Erfüllung gesetzlicher Aufbewahrungs-, Auskunfts-, Verbraucher-, Sicherheits- oder Behördenpflichten.

Soweit Daten ausschließlich lokal unter deiner Kontrolle bleiben und wir keinen Zugriff erhalten, findet keine serverseitige Verarbeitung durch uns statt. Die App stellt jedoch die technischen Mittel bereit; deshalb beschreiben wir auch lokale Verarbeitungen transparent.

4. Lokale private App-Daten

Ocean speichert private Daten auf iOS insbesondere mit SwiftData, UserDefaults, Dateien und Caches, auf Android insbesondere mit Room, DataStore, app-privaten Dateien und Caches. Auf Apple Watch und Wear OS werden die für Training und Synchronisierung benötigten Daten zusätzlich lokal gespeichert. Dazu können gehören:

• Profilname, Bio, Profilbild, Alter, Geburtsdatum, biologisches Geschlecht, Körpergröße, aktuelles und gewünschtes Gewicht;
• Trainingspläne, Ordner, Workouts, Übungen, Sätze, Wiederholungen, Gewichte, Pausen, Zeiten und Trainingsstile;
• Workout-Historie, Dauer, Volumen, persönliche Bestleistungen, Energie-, Schritt-, Herzfrequenz- und Distanzwerte;
• GPS-Routen mit Koordinaten, Höhe, Genauigkeit, Zeit, Segmenten und daraus berechneten Werten;
• Gewichtsverlauf, Ernährungsziel, Kalorien-, Protein-, Kohlenhydrat-, Fett-, Zucker- und Salzwerte;
• Mahlzeiten, Zutaten, Portionsangaben, Fotos, Freitexte, Korrekturhinweise, KI-Schätzungen und Zuverlässigkeitswerte;
• Habits, Habit-Logs, Widgets, Streaks, Freikarten, Rewards und Sticker;
• laufende Workout-Sitzungen, Live-Activity- beziehungsweise laufende Benachrichtigungszustände, Uhr-Synchronisierungszustände und App-Einstellungen.

Zweck ist die von dir gewünschte lokale Planung, Aufzeichnung, Darstellung und Auswertung. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO; soweit Gesundheitsdaten betroffen sind und eine Rechtsgrundlage erforderlich ist, erfolgt die Verarbeitung auf Grundlage deiner ausdrücklichen Einwilligung nach Artikel 9 Absatz 2 Buchstabe a DSGVO.

Diese Daten bleiben gespeichert, bis du einzelne Inhalte, über die App alle Nutzerdaten oder die App löschst. Das Betriebssystem entfernt den lokalen App-Container bei Deinstallation nach seinen Regeln. Temporäre Ocean-Caches werden bei vollständiger Datenlöschung entfernt.

5. Apple Watch, Wear OS und Geräte-Synchronisierung

Auf Apple-Geräten übermittelt Ocean Trainingspläne, Premium-Status, laufende Workout-Daten und abgeschlossene Workout-Zusammenfassungen über WatchConnectivity zwischen iPhone und gekoppelter Apple Watch. Auf Android werden entsprechende Daten über die Wearable Data Layer von Google Play-Diensten zwischen Android-Smartphone und gekoppelter Wear-OS-Uhr übertragen.

Die Uhren speichern benötigte Daten lokal. Bei unterstützten Workouts verarbeiten sie je nach Gerät und Berechtigung Herzfrequenz, aktive Energie beziehungsweise Kalorien, Schritte, Aktivitätsereignisse und GPS-Routen. Wear OS verwendet dafür insbesondere Android Health Services, Sensor- und Standortberechtigungen; Apple Watch verwendet die entsprechenden Apple-Systemdienste.

Live Activities auf iOS und laufende Workout-Benachrichtigungen auf Android können den aktuellen Workout-Zustand auf Sperrbildschirm, Dynamic Island beziehungsweise im Benachrichtigungsbereich anzeigen. Personen mit Blick auf dein Gerät können diese Informationen sehen.

Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO und für Gesundheitsdaten deine ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a DSGVO.

6. Apple Health und HealthKit

Nach deiner differenzierten Systemfreigabe kann Ocean insbesondere Workouts und Workout-Routen, Herzfrequenz, Ruheherzfrequenz, durchschnittliche Herzfrequenz beim Gehen, aktive Energie, Schritte, Geh-/Lauf-, Fahrrad- und Schwimmdistanzen, Stehstunden und Schlafanalyse aus HealthKit lesen.

Ocean kann von dir mit Ocean aufgezeichnete Workouts in HealthKit speichern. Bei unterstützten Outdoor-Workouts kann die Apple Watch zusätzlich die zugehörige Workout-Route in HealthKit speichern. Zu Ocean-Workouts können technische Metadaten wie Workout-ID, Titel und Symbol gespeichert werden.

Zwecke sind Workout-Aufzeichnung und -Import, Aktivitäts-, Schlaf-, Herz- und Ernährungsanzeigen sowie lokale Auswertungen. Du kannst Berechtigungen in Apple Health beziehungsweise den iOS-Datenschutzeinstellungen ändern. Das Deaktivieren in Ocean stoppt die weitere Nutzung durch die App; die systemweite Berechtigung verwaltest du bei Apple.

Rechtsgrundlage ist deine ausdrückliche Einwilligung nach Artikel 6 Absatz 1 Buchstabe a und Artikel 9 Absatz 2 Buchstabe a DSGVO. HealthKit-Daten werden nicht für Werbung, Marketing, nutzungsfremdes Profiling, den Verkauf an Datenhändler oder vergleichbare Zwecke verwendet.

Bei vollständiger Datenlöschung versucht Ocean, die von Ocean selbst in HealthKit gespeicherten Workouts und zugehörigen Routen zu löschen, soweit die erforderliche Apple-Berechtigung besteht. Andere HealthKit-Daten und von anderen Apps gespeicherte Inhalte werden nicht gelöscht.

7. Android Health Connect

Nach deiner differenzierten Android-Systemfreigabe kann Ocean aus Health Connect insbesondere Trainings beziehungsweise Übungseinheiten und deren Routen, aktive Kalorien, Distanz, Herzfrequenz, Ruheherzfrequenz, Schlaf und Schritte lesen. Wenn du den Zugriff auf frühere Daten erlaubst, kann Ocean diese Daten auch über den normalen begrenzten Rückblick hinaus für lokale Historien und Auswertungen lesen.

Ocean kann selbst aufgezeichnete Workouts, aktive Kalorien und zugehörige Workout-Routen in Health Connect speichern. Health Connect ist auf neueren Android-Versionen Bestandteil des Android-Systems und auf älteren unterstützten Versionen eine separate System-App. Die Daten liegen im von Health Connect verwalteten Datenspeicher auf deinem Gerät und unterliegen deinen dortigen Berechtigungen.

Zwecke sind Workout-Aufzeichnung und -Import sowie lokale Aktivitäts-, Schlaf- und Herzauswertungen. Du kannst den Zugriff in Ocean beenden und Berechtigungen in den Health-Connect-Einstellungen jederzeit verwalten oder widerrufen. Ocean verwendet Health-Connect-Daten nicht für Werbung, Marketing, Datenhandel oder Werbeprofiling.

Rechtsgrundlage ist deine ausdrückliche Einwilligung nach Artikel 6 Absatz 1 Buchstabe a und Artikel 9 Absatz 2 Buchstabe a DSGVO. Bei vollständiger Datenlöschung löscht Ocean die von Ocean selbst in Health Connect geschriebenen Workouts und die damit verbundenen Daten, soweit die Berechtigung besteht. Daten anderer Apps bleiben unberührt.

8. Standortdaten, GPS-Routen und Karten

Wenn du Routenaufzeichnung für ein Cardio-Workout aktivierst, verarbeitet Ocean während des Workouts deinen genauen Standort auch im Hintergrund. Auf iOS wird dafür Core Location, auf Android der Standortdienst von Google Play-Diensten beziehungsweise das Android-Standortsystem verwendet. Verarbeitet werden insbesondere Breiten- und Längengrad, Höhe, Genauigkeit, Zeitstempel, Segment, Distanz und daraus berechnete Pace-, Geschwindigkeits- und Höhenwerte.

Die Route wird grundsätzlich lokal gespeichert. Sie wird nur dann an Firebase übermittelt, wenn du sie bei einem Community-Post ausdrücklich zur Veröffentlichung auswählst. Eine veröffentlichte Route kann Wohn-, Arbeits- und Aufenthaltsorte oder Bewegungsgewohnheiten erkennen lassen.

Zur Kartendarstellung verwendet Ocean auf iOS Apple MapKit und auf Android Google Maps. Der jeweilige Kartendienst erhält technisch erforderliche Verbindungsdaten und den angeforderten Kartenausschnitt; dazu können IP-Adresse, App- und Geräteinformationen sowie der aus der Route oder deiner Ansicht abgeleitete Kartenbereich gehören. Ocean übermittelt die vollständige Route nicht als eigenes Cloud-Backup an den Kartendienst.

Rechtsgrundlage für Aufzeichnung und Kartenanzeige ist Artikel 6 Absatz 1 Buchstabe b DSGVO in Verbindung mit deiner Systemfreigabe. Soweit Routendaten Rückschlüsse auf deine Gesundheit zulassen, stützen wir uns zusätzlich auf Artikel 9 Absatz 2 Buchstabe a DSGVO. Für die Veröffentlichung gilt deine ausdrückliche Einwilligung nach Artikel 6 Absatz 1 Buchstabe a und Artikel 9 Absatz 2 Buchstabe a DSGVO.

Du kannst die Routenaufzeichnung in Ocean ausschalten und die Standortberechtigung im Betriebssystem widerrufen. Bereits gespeicherte oder veröffentlichte Routen musst du separat löschen.

9. Kamera, Fotos, Mirror+ und externes Teilen

Ocean greift nur nach deiner Systemfreigabe auf Kamera oder von dir ausgewählte Fotos zu. Verwendungszwecke sind Mahlzeitenfotos, Profil- und Community-Bilder sowie Mirror+. Auf Android werden dafür unter anderem CameraX und die systemeigene Fotoauswahl verwendet.

Mirror+ zeigt eine laufende Kameravorschau auf deinem Gerät. Ohne eine zusätzliche, von dir ausgelöste Aufnahme-, Speicher-, Upload- oder Analysefunktion speichert oder übermittelt Mirror+ kein Bild.

Wenn du eine Teilen-Funktion verwendest, erstellt Ocean den zu teilenden Inhalt lokal und übergibt ihn an die Systemfreigabe von iOS beziehungsweise Android. Erst du wählst die empfangende App oder Person aus. Der Plattformanbieter und der ausgewählte Drittanbieter verarbeiten Daten anschließend nach ihren eigenen Bedingungen.

Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO beziehungsweise deine Einwilligung nach Artikel 6 Absatz 1 Buchstabe a DSGVO.

10. KI-Mahlzeitenanalyse und Nutrition Coach

Ocean nutzt Firebase AI Logic mit der Gemini Developer API und dem Modell gemini-3.6-flash von Google. Je nach Funktion werden folgende Daten übermittelt:

• bei Mahlzeitenanalysen ein von dir ausgewähltes oder aufgenommenes Bild, deine Beschreibung, Korrekturhinweise sowie vorherige Analysewerte;
• beim Nutrition Coach die Mahlzeitennamen, Erfassungszeitpunkte und geschätzten Kalorien-, Protein-, Kohlenhydrat-, Fett-, Zucker- und Salzwerte der sieben vollständigen Kalendertage vor der Auswertung sowie die daraus lokal berechneten Score-Werte.

Ziel-, Gewichts-, Trainings-, Aktivitäts-, Habit- und sonstige Gesundheitsdaten werden beim Nutrition Coach nicht an Gemini übermittelt.

Zusätzlich verarbeitet Firebase AI Logic technische Daten wie Firebase-App-ID, App-Version, SDK- und Betriebssystemversion, Modellname, IP-Adresse, App-Check-Nachweise sowie Sicherheits-, Leistungs- und Nutzungsmetadaten.

Zweck ist ausschließlich die von dir ausgelöste Schätzung oder Coach-Auswertung. Rechtsgrundlage ist deine freiwillige Einwilligung nach Artikel 6 Absatz 1 Buchstabe a DSGVO und, soweit Gesundheitsdaten betroffen sind, deine ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a DSGVO.

Die Analyseergebnisse werden an die App zurückgesendet. Mahlzeitenergebnisse und zugehörige Bilder können lokal gespeichert werden. Die privaten Ergebnisse werden nicht in deinem Firebase-Community-Konto oder deinem privaten Firebase-Backup gespeichert. Coach-Anfragen und -Antworten werden von uns nicht für Werbung oder ein eigenes Nutzerprofil verwendet.

Für die Gemini Developer API wird im EWR ausschließlich ein Paid Service mit aktivem Cloud-Billing verwendet. Nach den Google-Bedingungen werden Prompts und Antworten bei Paid Services nicht zur Verbesserung von Google-Produkten verwendet. Google kann sie für einen begrenzten Zeitraum zur Erkennung und Verhinderung von Verstößen gegen Nutzungsregeln protokollieren; technische Nutzungs- und Kontodaten verarbeitet Google nach den anwendbaren Google-Bedingungen. Ocean verwendet für die produktive App kein Firebase AI Monitoring, das Prompts oder Antworten in Cloud Logging speichert. Wird technisches AI Monitoring aktiviert, müssen Modellinhalte durch den von Google vorgesehenen Logging-Ausschluss ausgeschlossen bleiben. Vor einer Änderung dieser Verarbeitung werden Einwilligung und Datenschutzerklärung angepasst.

KI-Ergebnisse sind Schätzungen und keine medizinische, diagnostische oder ernährungstherapeutische Beratung. Ocean verwendet die Gemini API nicht in der klinischen Praxis oder für medizinische Entscheidungen.

Ocean kennzeichnet KI-Funktionen und KI-generierte Ergebnisse als solche. Damit erfüllen wir die seit 2. August 2026 anwendbaren Transparenzanforderungen des Artikels 50 der Verordnung (EU) 2024/1689 (EU AI Act), soweit sie für diese Funktionen gelten.

Du kannst die KI-Einwilligung in den App-Einstellungen mit Wirkung für die Zukunft widerrufen. Danach startet Ocean keine neue KI-Analyse, bis du erneut einwilligst. Bereits lokal gespeicherte Ergebnisse löschst du separat.

11. Anmeldung mit Apple oder Google und Firebase Authentication

Auf iOS meldest du dich mit Apple an. Ocean fordert von Apple nur deine E-Mail-Adresse, nicht deinen Namen, an. Du kannst eine von Apple bereitgestellte private Relay-Adresse verwenden. Auf Android meldest du dich über den Google Credential Manager mit Google an. Dabei wird ein Google-ID-Token an Firebase Authentication übergeben.

Je nach Plattform und Angaben des Anbieters werden insbesondere verarbeitet:

• Apple- beziehungsweise Google-Nutzerkennung, Identitäts- und Autorisierungstoken;
• Firebase-Nutzer-ID;
• E-Mail-Adresse, bei Apple gegebenenfalls eine private Relay-Adresse;
• auf Android gegebenenfalls Google-Anzeigename und Profilbild-URL;
• Anmeldeanbieter, Anmeldestatus und technische Authentifizierungsdaten.

Apple beziehungsweise Google authentifiziert dich; Firebase Authentication verwaltet das Ocean-Konto. Zweck ist die sichere Anmeldung, Kontozuordnung, Community-Nutzung, das optionale Backup und die Löschung. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO. Sicherheits- und Missbrauchsdaten verarbeiten wir auf Grundlage von Artikel 6 Absatz 1 Buchstabe f DSGVO.

Bei vollständiger Kontolöschung fordert Ocean eine erneute Anmeldung beim verknüpften Anbieter an, widerruft auf iOS soweit möglich das Apple-Token beziehungsweise löscht auf Android den lokalen Credential-Zustand und löscht anschließend das Firebase-Authentifizierungskonto.

12. Öffentliche Community-Profile und soziale Funktionen

Wenn du die Community nutzt, verarbeitet Firebase je nach Nutzung:

• Nutzername und normalisierte Suchkennung, Bio, Profilbild, Albumfotos und ausgewählte Sticker;
• Follower- und Following-Beziehungen und Zeitpunkte;
• zusammengefasste Wochen-Workout-Statistiken, Follower- und Following-Zähler;
• Posts, Bildpfade, Bildmoderationsstatus, Bildunterschriften und Veröffentlichungszeitpunkte;
• Kommentare, angezeigter Autorenname, Likes, Zähler und Zeitpunkte;
• Benachrichtigungen, beteiligte Konto-, Post- und Kommentar-IDs, Vorschautext und Lesestatus;
• Meldungen mit Zieltyp, betroffenen IDs, meldendem Konto, Zeitpunkt und Bearbeitungsstatus.

Diese Daten werden in Cloud Firestore und Community-Bilder in Cloud Storage gespeichert. Profil-, Album- und Postbilder sind für die Darstellung technisch öffentlich lesbar und können über ihre Abrufadresse außerhalb der App erreichbar sein. Text-, Profil- und Interaktionsdaten sind entsprechend der Community-Funktion für andere angemeldete Nutzer sichtbar.

Zwecke sind Profilanzeige, Suche, Feed, soziale Interaktionen, Benachrichtigungen, Moderation und Missbrauchsschutz. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO. Moderation, Sicherheit und Missbrauchsschutz beruhen auf Artikel 6 Absatz 1 Buchstabe f DSGVO.

13. Veröffentlichung von Workouts und Gesundheitsdaten

Wenn du ein Workout veröffentlichst, verarbeitet Ocean neben Posttext und optionalem Bild je nach deiner konkreten Auswahl:

• Workout-ID, Titel, Art, Symbol, Stil, Start- und Endzeit, Dauer und Trainingsvolumen;
• Übungen, Übungsart, Sätze, Wiederholungen, Gewichte, Dauer und Reihenfolge;
• Distanz, Schritte, aktive oder geschätzte Kalorien;
• GPS-Koordinaten, Höhe, Genauigkeit, Zeitpunkte und Routensegmente;
• Herzfrequenzwerte mit Zeitpunkten.

Route, Schritte, Kalorien und Herzfrequenz haben getrennte Freigaben. Routendaten werden in Firestore-Abschnitten und Herzfrequenzwerte als JSON-Datei in Cloud Storage gespeichert. Herzfrequenzdateien sind nur für angemeldete Nutzer lesbar; Community-Routendaten und Workout-Details sind für angemeldete Community-Nutzer bestimmt.

Zweck ist ausschließlich die von dir gewünschte Veröffentlichung. Rechtsgrundlage ist deine ausdrückliche Einwilligung nach Artikel 6 Absatz 1 Buchstabe a und, soweit Gesundheitsdaten betroffen sind, Artikel 9 Absatz 2 Buchstabe a DSGVO. Du kannst die Einwilligung für die Zukunft durch Löschen des Posts widerrufen. Bereits erstellte Screenshots, Downloads oder externe Kopien anderer Personen können wir nicht zurückholen.

14. Automatisierte Bildmoderation mit Google Cloud Vision

Neu hochgeladene Community-Bilder werden serverseitig mit Google Cloud Vision SafeSearch geprüft. Dazu lädt eine Cloud Function die Bilddatei und sendet sie als unmittelbare Online-Anfrage an die Vision API. SafeSearch bewertet Hinweise auf Inhalte für Erwachsene, Gewalt, anzügliche, medizinische oder manipulierte Darstellungen. Ocean blockiert Bilder automatisiert bei bestimmten hohen Bewertungen für Inhalte für Erwachsene, Gewalt oder anzügliche Darstellungen.

Google verarbeitet das Bild zur Bereitstellung der Vision API. Nach der offiziellen Google-Dokumentation werden Bilddaten bei unmittelbaren Online-Anfragen im Arbeitsspeicher verarbeitet und nicht dauerhaft auf Datenträgern gespeichert; einige Anfragemetadaten werden vorübergehend zur Dienstbereitstellung und Missbrauchsbekämpfung protokolliert. Ocean speichert Moderationsstatus, Ablehnungsgrund und technische SafeSearch-Bewertungen, soweit dies zur Freigabe, Sperrung und Nachvollziehbarkeit erforderlich ist.

Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und rechtskonformen Community gemäß Artikel 6 Absatz 1 Buchstabe f DSGVO. Eine endgültige Entscheidung über deinen Einspruch erfolgt nicht ausschließlich automatisiert. Du kannst eine Moderationsentscheidung unter legal@ocean-fitness.app überprüfen lassen.

15. Time-Match-Ranking

Wenn du ein Ergebnis in das tägliche Time-Match-Ranking einträgst, speichert Firestore Tageskennung, Firebase-Nutzer-ID, angezeigten Namen, Zielzeit, gestoppte Zeit, Abweichung und Spielzeitpunkt. Die Ergebnisse sind für Community-Nutzer im Ranking sichtbar und mit dem öffentlichen Profil verknüpfbar.

Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO. Die Teilnahme ist freiwillig; ohne Eintrag kannst du das Ranking nicht mit deinem Ergebnis nutzen.

16. Push-Benachrichtigungen

Wenn du Mitteilungen aktivierst, verarbeiten Apple Push Notification Service (APNs) und Firebase Cloud Messaging (FCM) insbesondere APNs-Token, FCM-Registrierungstoken beziehungsweise Firebase-Installations-ID, Nutzer- und Gerätezuordnung, Gerätemodell, Sprache, Zeitzone, Betriebssystem, App-ID, App-Version und technische Zustellinformationen.

In unserem Firestore werden Push-Token mit Nutzer-ID, Plattform, App-Version sowie Erstellungs- und Aktualisierungszeit gespeichert. Cloud Functions erzeugen Community-Mitteilungen, beispielsweise für neue Follower, Likes, Kommentare oder Workouts gefolgter Nutzer, und senden Titel, Nachrichtentext, beteiligte IDs und Deep Link über FCM/APNs.

Rechtsgrundlage ist deine Einwilligung nach Artikel 6 Absatz 1 Buchstabe a DSGVO. Du kannst Mitteilungen in Ocean oder in den Systemeinstellungen von iOS beziehungsweise Android deaktivieren. Ungültige Token werden bei Zustellfehlern gelöscht; bei Abmeldung oder Kontolöschung werden zugeordnete Token entfernt, soweit technisch möglich.

17. Übungsfeedback

Wenn du eine fehlende Übung meldest, übermittelt Ocean an eine Firebase Cloud Function:

• deinen Feedbacktext;
• Feedbacktyp und Quelle in der App;
• App-Version, Build-Nummer, Bundle-ID beziehungsweise Paketname und Plattform;
• Sprache beziehungsweise Regionseinstellung;
• Zeitpunkte und internen Bearbeitungsstatus.

Das Feedback enthält standardmäßig keine Firebase-Nutzer-ID und keinen Screenshot. Firebase Functions verarbeitet zusätzlich die IP-Adresse und Funktionsaufruf-Metadaten; App Check übermittelt Sicherheitsnachweise.

Zweck ist die Bearbeitung und Verbesserung des Übungskatalogs. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO, wenn du eine konkrete Supportleistung anforderst, im Übrigen unser berechtigtes Interesse an Produktverbesserung und Missbrauchsschutz nach Artikel 6 Absatz 1 Buchstabe f DSGVO. Bitte sende keine Gesundheitsdaten oder andere sensible Informationen, wenn sie für die Meldung nicht erforderlich sind.

18. Probezeit, Geräteintegrität und Firebase App Check

Für die einmalige 15-tägige Probezeit erzeugt Ocean lokal eine zufällige Prüfkennung.

Auf iOS fordert Ocean ein Apple-DeviceCheck-Token an. Die Cloud Function übermittelt es an Apple, um einen gerätebezogenen Status abzufragen und zu setzen. In Firestore speichern wir einen SHA-256-Hash der Prüfkennung, Status, Beginn, Ende sowie Erstellungs- und Aktualisierungszeit.

Auf Android fordert Ocean ein Play-Integrity-Token an, das mit einem SHA-256-Hash der lokalen Prüfkennung gebunden ist. Google Play verarbeitet dafür unter anderem Anfrage-Hash beziehungsweise Nonce, Paketname, App-Version, Signaturzertifikat, Play-Lizenzstatus sowie Geräte- und Integritätsinformationen. Die Cloud Function prüft App-, Lizenz- und Geräteintegrität sowie den Device-Recall-Status und setzt bei einer erstmaligen berechtigten Aktivierung ein hierfür reserviertes Device-Recall-Bit. In Firestore speichern wir nur den SHA-256-Hash der Prüfkennung, Plattform, Status, Beginn, Ende sowie Erstellungs- und Aktualisierungszeit; das Integritätstoken wird nicht als eigener Trial-Datensatz gespeichert.

Die gerätebezogenen Zustände sollen Mehrfachnutzung auch nach Neuinstallation verhindern und sind nicht an dein Community-Profil gebunden.

Firebase App Check verwendet in Release-Builds auf iOS Apple App Attest und auf Android Play Integrity. Dabei werden Attestierungsobjekte beziehungsweise Integritätstoken und technische App- und Geräteintegritätsdaten an Apple oder Google und Firebase übermittelt. Zweck ist der Schutz von Firebase-, KI-, Feedback-, Backup- und Community-Ressourcen vor manipulierten Apps, automatisiertem Missbrauch und unberechtigten Zugriffen.

Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse liegt in der Verhinderung mehrfacher Probezeiten und im Schutz der App-Infrastruktur.

19. Premium, App Store und Google Play

Auf iOS lädt Ocean über StoreKit Produktkennung, lokalisierten Preis und Verfügbarkeit der Monats-, Drei-Monats- und Jahresabonnements. Beim Kauf verarbeitet Apple Zahlungsdaten, Rechnung, Steuer, Apple Account, Transaktion und Abonnementstatus in eigener Verantwortung. Ocean erhält über StoreKit insbesondere Produkt-ID, verifizierten Berechtigungsstatus, Ablauf- und gegebenenfalls Widerrufsdatum, jedoch keine vollständigen Zahlungsdaten.

Auf Android lädt Ocean entsprechende Abonnementangebote über Google Play Billing. Google Play verarbeitet insbesondere Google-Konto, Zahlungs- und Rechnungsdaten, Produkt, Base Plan, Transaktion und Abonnementstatus in eigener Verantwortung. Ocean erhält insbesondere Produkt- und Base-Plan-ID, Kaufstatus, Kaufzeit, Bestätigungsstatus und einen eindeutigen Kauf-Token. Der Kauf-Token wird an eine durch App Check geschützte Firebase Cloud Function gesendet. Diese prüft den Kauf über die Google Play Developer API, bestätigt ihn erforderlichenfalls und gibt aktiven Status sowie Ablaufzeit an die App zurück. Ocean erhält keine vollständigen Zahlungs- oder Kreditkartendaten.

Zweck ist Kauf, Wiederherstellung, Code-Einlösung, serverseitige Betrugsprüfung und Freischaltung von Premium. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO und für Missbrauchsschutz Artikel 6 Absatz 1 Buchstabe f DSGVO. Für die Zahlungsabwicklung gelten die Datenschutz- und Nutzungsbedingungen des jeweiligen Stores.

20. Privates Firebase-Backup

Wenn du mit Apple beziehungsweise Google angemeldet bist und das private Backup aktivierst, speichert Ocean eine an deine Firebase-Nutzer-ID gebundene Sicherung in Cloud Firestore und Cloud Storage. Die App arbeitet weiterhin lokal; aus Firebase wird nur nach deiner Auswahl zur Wiederherstellung oder zur Klärung eines Versionskonflikts geladen. Das Backup enthält:

• Streak-Wochen und Streak-Status;
• Streak-Freikarten;
• XP-Gesamtstand und freigeschaltete Sticker;
• Trainingsplan-Ordner, geplante Workouts, Übungen und Sätze;
• abgeschlossene Workouts mit Titel, Art, Stil, Start, Ende, Dauer, Trainingsvolumen, zusammengefasster Distanz, Übungen, Sätzen, Wiederholungen, Gewichten und Übungszeiten.

Nicht enthalten sind insbesondere Profilname, Bio, Profilbild, Körpergewicht, Körpergröße, Alter, Geburtsdatum, Geschlecht, Fitness- und Gewichtsziele, Mahlzeiten, Ernährungseinstellungen, Habits, Herzfrequenzreihen, Schritte, Kalorien, HealthKit- oder Health-Connect-Kennungen, einzelne GPS-Koordinaten, vollständige Routen, laufende Workout-Sitzungen und Community-Inhalte. Die zusammengefasste Distanz eines abgeschlossenen Workouts kann enthalten sein.

Zusätzlich werden Firebase-Nutzer-ID, Backup-Status, Schema- und Generationskennung, Plattform, Aktualisierungszeit, Prüfsumme, Dateigröße und Speicherpfad verarbeitet. Die eigentliche Sicherung ist eine JSON-Datei in Cloud Storage; Firestore enthält den geschützten Verweis auf die aktuelle Generation. Firebase Security Rules beschränken den Zugriff auf die jeweils angemeldete Nutzer-ID.

Zweck ist die von dir gewünschte geräteübergreifende Sicherung und Wiederherstellung innerhalb desselben Firebase-Kontos. Rechtsgrundlage ist deine freiwillige Einwilligung nach Artikel 6 Absatz 1 Buchstabe a DSGVO und, soweit Workout-Daten Gesundheitsdaten darstellen, deine ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a DSGVO. Google verarbeitet die Cloud-Daten im Rahmen der für Firebase geltenden Auftragsverarbeitungsbedingungen.

Das Backup bleibt bestehen, bis du das zugehörige Konto und seine Daten löschst, „Nur lokal weiter“ auswählst oder die Löschung verlangst. Bei „Nur lokal weiter“ werden die Firebase-Backupdateien und auf iOS ein gegebenenfalls vorhandenes altes CloudKit-Backup gelöscht und weitere automatische Sicherungen kontoweit deaktiviert. Dafür bleibt in Firestore ausschließlich der technische Status „disabled“ mit Schema, Plattform und Aktualisierungszeit bestehen; er enthält keine Fitnessdaten. Bei der vollständigen Kontolöschung werden auch dieser Status und alle Storage-Dateien gelöscht. Das bloße Löschen der App löscht das Firebase-Backup nicht.

Ein bisheriges iOS-CloudKit-Backup wird nur noch einmalig zur Migration gelesen und nach erfolgreicher Firebase-Sicherung gelöscht. iOS speichert die CloudKit-Konto-ID für diesen Migrationsfallback nur lokal und als SHA-256-Hash. Android besitzt vor seinem ersten Release keinen alten Systembackup-Fallback; Android Auto Backup ist für Ocean deaktiviert.

21. Lokale Einstellungen und § 25 TDDDG

Ocean speichert technisch erforderliche Informationen in app-eigenen Dateien, Caches und Plattform-Speichern wie UserDefaults und SwiftData auf Apple-Geräten sowie DataStore und Room auf Android-Geräten. Dazu gehören insbesondere Berechtigungs- und Einwilligungsstatus, ausgewählte Ansichten, Trial-Prüfkennung, Premium-Zustand, Uhr-Synchronisierung, aktive Workout-Wiederherstellung, Dashboard-, Gesundheits-, Benachrichtigungs- und Routen-Einstellungen.

Diese Speicherung und der Zugriff sind erforderlich, um die von dir ausdrücklich gewünschten App-Funktionen sicher und konsistent bereitzustellen. Sie erfolgen daher ohne zusätzliche Endeinwilligung auf Grundlage von § 25 Absatz 2 Nummer 2 TDDDG. Ocean verwendet keine Werbe-Cookies, keine Tracking-SDKs und keinen Gerätezugriff für verhaltensbasierte Werbung.

22. Technische Verbindungs-, Sicherheits- und Protokolldaten

Bei Online-Funktionen verarbeiten unsere Dienstleister und Cloud-Systeme technisch notwendige Daten, etwa IP-Adresse, Zeitpunkt, aufgerufenen Dienst oder Funktionsnamen, Firebase-App-ID, Bundle-ID beziehungsweise Paketname, App-, SDK-, Swift-, Kotlin- und Betriebssystemversion, Gerätetyp, Sprache, Zeitzone, Netzwerk- und Fehlerstatus, App-Check-Nachweise und Serverprotokolle.

Zwecke sind Übertragung, Betrieb, Fehlerbehebung, Kapazitätssteuerung, Sicherheit und Missbrauchsabwehr. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO, soweit die Verbindung für die gewünschte Funktion erforderlich ist, und Artikel 6 Absatz 1 Buchstabe f DSGVO für Sicherheit und Fehleranalyse.

Wir verwenden weder Firebase Analytics noch Firebase Crashlytics, Firebase Performance Monitoring, Werbe-SDKs oder geräteübergreifendes Werbetracking.

23. Empfänger und Dienstleister

Je nach genutzter Funktion erhalten folgende Kategorien von Empfängern Daten:

• Apple: iOS, watchOS, App Store, StoreKit, Apple Media Services, Sign in with Apple, iCloud/CloudKit, HealthKit, MapKit, APNs, DeviceCheck, App Attest, WatchConnectivity und Systemberechtigungen. Apple verarbeitet bestimmte Daten als eigenständig Verantwortlicher und bestimmte Cloud-Daten zur technischen Bereitstellung.
• Google Ireland Limited / Google LLC: Android, Wear OS, Google Identity, Google Play-Dienste, Google Play Billing und Developer API, Play Integrity einschließlich Device Recall, Google Maps, Health Connect, Firebase Authentication, Cloud Firestore, Cloud Storage, Cloud Functions, Firebase Installations, Firebase Cloud Messaging, Firebase App Check, Firebase AI Logic, Gemini Developer API und Google Cloud Vision. Je nach Dienst verarbeitet Google Daten als Auftragsverarbeiter oder in eigener Verantwortlichkeit; für Google Maps, Google Play, Google Identity und bestimmte Service- und Nutzungsdaten gelten insbesondere Googles eigene Bedingungen und Datenschutzhinweise.
• Andere Community-Nutzer und Empfänger deiner Freigaben: öffentliche Profile, Posts, Bilder, Kommentare, Rankings und ausdrücklich freigegebene Workout-, Gesundheits- oder Routendaten.
• Behörden, Gerichte, Rechtsberater oder sonstige Stellen: nur wenn dies gesetzlich vorgeschrieben oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Wir verkaufen keine personenbezogenen Daten und geben sie nicht an Datenhändler oder Werbenetzwerke weiter.

24. Verarbeitung in Drittländern

Apple und Google können Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeiten oder von dort auf Daten zugreifen. Cloud Functions sind im Projekt auf die Region europe-west3 eingestellt. Die konkrete Region von Firestore und Cloud Storage ergibt sich aus der Firebase-Projektkonfiguration; Support-, Sicherheits-, Authentifizierungs-, Messaging-, Karten-, Play-, Gemini- und weitere technische Daten können unabhängig davon international verarbeitet werden.

Soweit Daten in die USA oder andere Drittländer übermittelt werden, stützen wir uns auf die gesetzlichen Mechanismen der Artikel 44 ff. DSGVO, insbesondere den Angemessenheitsbeschluss der Europäischen Kommission zum EU-U.S. Data Privacy Framework, soweit der konkrete Empfänger wirksam zertifiziert ist, sowie ergänzend auf die von der Europäischen Kommission genehmigten Standardvertragsklauseln und die anwendbaren Datenverarbeitungsbedingungen. Informationen oder eine Kopie der maßgeblichen Garantien kannst du unter privacy@ocean-fitness.app anfordern.

25. Speicherdauer

Wir speichern Daten nur so lange, wie sie für den jeweiligen Zweck erforderlich sind:

Gesetzliche Aufbewahrungsfristen, insbesondere handels- oder steuerrechtliche Fristen, und die Sicherung oder Verteidigung von Rechtsansprüchen können im Einzelfall eine längere Speicherung erfordern. Dann wird die Verarbeitung auf diesen Zweck beschränkt.

26. Datenlöschung und Folgen

Du kannst einzelne lokale oder öffentliche Inhalte in der App löschen. Über die vollständige Datenlöschung entfernt Ocean, soweit technisch erreichbar:

• das Firebase-Authentifizierungskonto und die diesem Konto zugeordneten Community-Daten einschließlich Storage-Dateien, Beziehungen, Kommentare, Likes, Benachrichtigungen und Ranking-Einträge;
• das aktuelle private Firebase-Backup und ein gegebenenfalls vorhandenes altes Ocean-CloudKit-Backup;
• von Ocean selbst in HealthKit beziehungsweise Health Connect gespeicherte Workouts, Routen und zugehörige Daten, soweit berechtigt;
• lokale SwiftData-, Room- und weitere App-Daten, Mahlzeitenmedien, aktive Sitzungen, Caches, Einwilligungen und Einstellungen;
• synchronisierte Ocean-Daten auf der gekoppelten Apple Watch beziehungsweise Wear-OS-Uhr, soweit die Uhr erreichbar ist.

Meldungen, Feedback, gesetzlich erforderliche Nachweise, gerätebezogene Trial-Schutzdaten, anonymisierte Daten und Inhalte, die nicht mehr zuverlässig deinem Konto zugeordnet werden können, werden nach den besonderen Kriterien in Abschnitt 25 gelöscht. Bereits von anderen Personen gespeicherte oder extern geteilte Kopien können wir nicht löschen.

Eine fehlgeschlagene Cloud-, HealthKit-, Health-Connect- oder Serverlöschung wird nicht stillschweigend als Erfolg behandelt. Du kannst die Löschung erneut versuchen oder uns kontaktieren. Das Löschen der App allein löscht keine Store-Abonnements und nicht zwingend Cloud-Daten.

27. Pflicht zur Bereitstellung

Die Bereitstellung privater Profil-, Trainings-, Ernährungs- oder Gesundheitsdaten ist gesetzlich nicht vorgeschrieben. Ohne bestimmte Daten oder Berechtigungen kann die jeweilige Funktion nicht arbeiten:

• ohne Apple-Anmeldung auf iOS beziehungsweise Google-Anmeldung auf Android kein Firebase-Konto und damit keine Community oder kein privates Backup;
• ohne HealthKit- beziehungsweise Health-Connect-Freigabe keine entsprechende Gesundheitsauswertung oder Speicherung;
• ohne Standortfreigabe keine GPS-Route;
• ohne Kamera- oder Fotoauswahl keine entsprechende Bildfunktion;
• ohne KI-Einwilligung keine KI-Analyse;
• ohne Push-Einwilligung keine Push-Zustellung;
• ohne Internet- und Geräteintegritätsprüfung kann die einmalige Probezeit in einem Release-Build nicht zuverlässig aktiviert werden;
• ohne Store-Verbindung können Angebote, Käufe und Wiederherstellungen nicht zuverlässig verarbeitet werden.

28. Automatisierte Entscheidungen

Coach-, Ernährungs-, Score-, Reward-, Trial-, Kaufprüfungs- und Rankingfunktionen erzeugen automatisierte Auswertungen, haben aber keine rechtliche oder ähnlich erhebliche Wirkung im Sinne von Artikel 22 DSGVO.

SafeSearch kann Bilder zunächst automatisiert ablehnen oder löschen. Du kannst eine menschliche Überprüfung unter legal@ocean-fitness.app verlangen. Eine Entscheidung über einen solchen Einwand wird nicht ausschließlich automatisiert getroffen.

29. Minderjährige

Ocean richtet sich nicht an Minderjährige und darf nur von Personen ab 18 Jahren genutzt werden. Wir fordern Minderjährige nicht wissentlich zur Erstellung eines Kontos oder zur Übermittlung von Gesundheits-, Standort- oder KI-Daten auf. Wenn du glaubst, dass eine minderjährige Person Daten übermittelt hat, kontaktiere uns bitte unter privacy@ocean-fitness.app, damit wir den Sachverhalt prüfen und Daten gegebenenfalls löschen können.

30. Deine Rechte

Du hast nach Maßgabe der DSGVO insbesondere das Recht auf:

• Auskunft nach Artikel 15 DSGVO;
• Berichtigung nach Artikel 16 DSGVO;
• Löschung nach Artikel 17 DSGVO;
• Einschränkung der Verarbeitung nach Artikel 18 DSGVO;
• Datenübertragbarkeit nach Artikel 20 DSGVO;
• Widerspruch gegen Verarbeitungen auf Grundlage von Artikel 6 Absatz 1 Buchstabe e oder f DSGVO nach Artikel 21 DSGVO;
• Widerruf einer Einwilligung mit Wirkung für die Zukunft nach Artikel 7 Absatz 3 DSGVO;
• Beschwerde bei einer Datenschutzaufsichtsbehörde nach Artikel 77 DSGVO.

Ein Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung vor dem Widerruf. Für KI kannst du die Einwilligung in den App-Einstellungen widerrufen; Systemberechtigungen verwaltest du zusätzlich in iOS, Apple Health, Android und Health Connect.

Zur Ausübung deiner Rechte genügt eine Nachricht an privacy@ocean-fitness.app. Wir können die Informationen anfordern, die erforderlich sind, um deine Identität und Kontozuordnung sicher zu prüfen.

31. Zuständige Datenschutzaufsicht

Du kannst dich bei jeder zuständigen Aufsichtsbehörde beschweren. Für unseren Sitz ist insbesondere zuständig:

Unabhängiges Datenschutzzentrum Saarland
Fritz-Dobisch-Straße 12
66111 Saarbrücken
Deutschland
E-Mail: poststelle@datenschutz.saarland.de
Telefon: +49 681 94781-0
Web: https://www.datenschutz.saarland.de

32. Sicherheit

Wir setzen angemessene technische und organisatorische Maßnahmen ein. Dazu gehören insbesondere verschlüsselte Übertragung, Plattform- und Geräteschutz von Apple und Android, private lokale App-Speicher, Firebase Security Rules, plattformspezifische Anmeldung, App Check mit App Attest beziehungsweise Play Integrity, serverseitige Kaufprüfung und Kontolöschung, begrenzte Dateitypen und -größen, Datenminimierung und rollenbasierte Zugriffe.

Kein System ist vollständig risikofrei. Schütze dein Gerät und dein Apple- beziehungsweise Google-Konto, verwende aktuelle System- und App-Versionen und veröffentliche keine Daten, deren Offenlegung dich gefährden könnte.

33. Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung, wenn sich Funktionen, Empfänger, Rechtsgrundlagen, Speicherfristen oder gesetzliche Anforderungen wesentlich ändern. Die aktuelle Fassung ist in der App und unter https://www.ocean-fitness.app/privacy abrufbar. Bei wesentlichen Änderungen informieren wir dich in geeigneter Form, bevor eine neue einwilligungspflichtige Verarbeitung beginnt.