Stand: 24. September 2026
Diese Erklärung deckt zwei Dinge ab: die Website bedfit.app und die Bedfit App. Beide unterscheiden sich stark darin, wie viele Daten im Spiel sind, deshalb beschreiben wir sie getrennt. Der erste Teil betrifft die Website, der zweite Teil ab "Die Bedfit App" betrifft die App.
Die Website ist bewusst schlank gehalten: Sie informiert über Bedfit, bietet eine Warteliste an, damit wir dir zum Start der App Bescheid geben können, und ermöglicht Anfragen für ein persönliches Coaching. Mehr passiert dort aktuell nicht: keine Werbung, keine Nutzerkonten, keine Werbe-Tracker und keine Cookies zur Analyse; zur Reichweitenmessung nutzen wir das cookielose Pirsch (mehr dazu unten).
Die App ist das eigentliche Produkt, und dort fallen echte Daten an: ein Konto, deine Gespräche mit dem KI-Coach, das, was sich der Coach über dich merkt, und dein Training. Bei Bedfit geht es um sexuelle Gesundheit, vieles davon sind also Gesundheitsdaten im Sinne von Art. 9 DSGVO. Wir behandeln sie entsprechend, und wir schreiben lieber klar auf, was passiert, als dich raten zu lassen.
Verantwortlich für die Datenverarbeitung auf dieser Website und in der Bedfit App ist:
Burkhart Digital LLC, 30 N Gould St #21068, Sheridan, WY 82801, USA
Vertreten durch: Thomas Burkhart
E-Mail: [email protected]
Auf dieser Website finden derzeit nur sechs Verarbeitungen statt:
Es gibt keine Werbe-Tracker, keine Analyse- oder Marketing-Cookies, keine Weitergabe deiner Daten zu Werbezwecken und keinen Newsletter über die Wartelisten-Benachrichtigung hinaus.
Diese Website wird bei der Hetzner Online GmbH auf Servern in der Europäischen Union gehostet. Hetzner verarbeitet dabei als Auftragsverarbeiter in unserem Auftrag die zum Betrieb der Website nötigen Daten.
Beim Aufruf der Website werden automatisch Zugriffsdaten in Server-Logs verarbeitet: IP-Adresse, User-Agent (Browser- und Gerätetyp), Zeitpunkt des Zugriffs und aufgerufene URL. Wir nutzen diese Daten kurzfristig, um den Betrieb sicherzustellen, Fehler zu finden und Angriffe abzuwehren. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO).
Ein Detail, das uns wichtig ist: E-Mail-Adressen erscheinen in unseren Logs nie im Klartext, sondern nur als kryptografisches Kürzel (HMAC). Selbst wer Zugriff auf die Logs hätte, könnte daraus deine Adresse nicht rekonstruieren.
Alle Zugriffe auf diese Website laufen durch das Netzwerk der Cloudflare, Inc. (USA). Cloudflare dient als Content Delivery Network und Schutzschicht: Es liefert die Website schnell aus und wehrt Angriffe (etwa Überlastungs- und Bot-Angriffe) ab. Dabei verarbeitet Cloudflare technisch bedingt deine IP-Adresse und weitere Verbindungsdaten. Rechtsgrundlage ist unser berechtigtes Interesse an einer schnellen und sicheren Auslieferung der Website (Art. 6 Abs. 1 lit. f DSGVO). Die Übermittlung in die USA stützt sich auf die EU-Standardvertragsklauseln sowie die Zertifizierung von Cloudflare unter dem EU-US Data Privacy Framework.
Wenn du dich auf die Warteliste setzt, verarbeiten wir deine E-Mail-Adresse, deine Sprachwahl sowie die Seite bzw. Kampagne, über die du zu uns gekommen bist (Herkunftsseite/UTM-Parameter).
Wir nutzen ein Double-Opt-in-Verfahren: Nach der Anmeldung schicken wir dir eine E-Mail mit einem Bestätigungslink. Erst wenn du diesen Link klickst, ist deine Anmeldung wirksam — vorher versenden wir nichts weiter an dich. So stellen wir sicher, dass niemand deine Adresse ohne dein Wissen einträgt.
Um die Anmeldung nachweisen zu können, speichern wir den Zeitpunkt deiner Anmeldung, des Versands der Bestätigungsmail und deiner Bestätigung sowie IP-Adresse und User-Agent des Bestätigungsklicks.
Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); die Nachweisdaten speichern wir zur Erfüllung unserer Nachweispflicht (Art. 7 Abs. 1 DSGVO).
Zweck der Warteliste ist die einmalige Benachrichtigung zum Start der App sowie wenige Updates, die sich direkt darauf beziehen. Keine sonstige Werbung, kein allgemeiner Newsletter. Jede E-Mail enthält einen Abmeldelink; du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Unbestätigte Einträge und abgemeldete Adressen werden nicht weiter verwendet.
Noch ein ehrliches Wort: Bedfit dreht sich um sexuelle Gesundheit. Uns ist bewusst, dass allein die Anmeldung auf dieser Warteliste damit eine sensiblere Angelegenheit ist als bei den meisten anderen Websites — auch wenn wir dabei keine Gesundheitsdaten erheben, sondern nur deine E-Mail-Adresse. Wir behandeln sie entsprechend: diskret, ohne Weitergabe an Dritte zu Werbezwecken und, wie oben beschrieben, ohne Klartext in unseren Logs.
Über das Formular auf der Seite zu Till kannst du eine Anfrage für ein persönliches Coaching stellen. Dabei verarbeiten wir die Angaben aus dem Formular: Vorname, Nachname, E-Mail-Adresse und Telefonnummer. Ein Nachrichtenfeld gibt es bewusst nicht — alles Inhaltliche besprichst du danach direkt mit Till, nicht über das Formular.
Deine Anfrage wird per E-Mail direkt an Till zugestellt — er meldet sich persönlich bei dir — und zusätzlich in unserer Datenbank gespeichert, damit wir sie zuverlässig bearbeiten können. Rechtsgrundlage ist die Durchführung vorvertraglicher Maßnahmen auf deine Anfrage hin (Art. 6 Abs. 1 lit. b DSGVO); mit der Checkbox im Formular bestätigst du, dass wir deine Angaben dafür verwenden dürfen.
Zur Abwehr von Missbrauch und Spam speichern wir außerdem die IP-Adresse und die Browser-Kennung (User-Agent) zum Zeitpunkt deiner Anfrage (Art. 6 Abs. 1 lit. f DSGVO); beides wird zusammen mit der Anfrage gelöscht.
Wir behandeln deine Anfrage diskret und speichern sie, solange es für ihre Bearbeitung und die Anbahnung des Coachings nötig ist; danach löschen wir sie.
Für den Versand der Bestätigungs- und Benachrichtigungsmails sowie die Zustellung von Coaching-Anfragen an uns nutzen wir den Dienst Resend (Resend, Inc., USA) als Auftragsverarbeiter. Resend verarbeitet dazu deine E-Mail-Adresse, die jeweiligen Mail-Inhalte und die technischen Daten des Mailversands in unserem Auftrag und auf Grundlage eines Auftragsverarbeitungsvertrags. Die Übermittlung in die USA stützt sich auf die EU-Standardvertragsklauseln.
Damit wir technische Fehler auf unserem Server schnell erkennen und beheben können, nutzen wir den Dienst Sentry (Functional Software, Inc., USA) als Auftragsverarbeiter. Tritt ein Fehler auf, wird ein Fehlerbericht mit technischen Fehlerdaten (etwa Fehlermeldung, betroffener Programmteil und Zeitpunkt) an Sentry übermittelt; die Verarbeitung erfolgt dabei über Sentrys EU-Region (ingest.de.sentry.io). Wir haben Sentry so konfiguriert, dass Fehlerberichte keine Anfrage-Inhalte und keine E-Mail-Adressen enthalten. Rechtsgrundlage ist unser berechtigtes Interesse an einem stabilen und fehlerfreien Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO).
Um zu verstehen, wie diese Website genutzt wird (etwa welche Seiten wie oft aufgerufen werden), nutzen wir Pirsch Analytics, betrieben von der Emvi Software GmbH (Deutschland), als Auftragsverarbeiter. Die Daten werden ausschließlich auf Servern in Deutschland verarbeitet.
Pirsch arbeitet ohne Cookies und greift nicht auf den Speicher deines Geräts zu — deshalb ist dafür keine Einwilligung nach § 25 TDDDG nötig und du siehst auch hierfür kein Banner. Deine IP-Adresse wird nicht gespeichert: Sie fließt zusammen mit User-Agent, Datum und einem täglich wechselnden Zufallswert nur in ein kurzlebiges, anonymes Kennzeichen ein, aus dem sie sich nicht rekonstruieren lässt und das sich spätestens nach 24 Stunden ändert. Ein Wiedererkennen über längere Zeiträume, über Geräte oder über andere Websites hinweg ist damit nicht möglich.
Rechtsgrundlage ist unser berechtigtes Interesse daran, die Nutzung unserer Website zu messen, ohne dich dafür invasiv zu tracken (Art. 6 Abs. 1 lit. f DSGVO).
Diese Website setzt genau ein Cookie: Es speichert deine Sprachwahl, damit die Seite beim nächsten Besuch in deiner Sprache erscheint. Dieses Cookie ist technisch erforderlich, um den von dir gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht nötig, deshalb siehst du hier auch kein Cookie-Banner. Analyse-, Tracking- oder Marketing-Cookies setzen wir nicht ein; auch unsere Reichweitenmessung (Pirsch, siehe oben) kommt ohne Cookies aus.
Alles bisher Beschriebene betrifft die Website. Ab hier geht es um die Bedfit App für iOS und Android.
Die App spricht mit unserem eigenen Server unter api.bedfit.app. Dieser Server läuft auf derselben Maschine wie die Website, bei der Hetzner Online GmbH in der Europäischen Union, und die Anfragen dorthin laufen genauso durch Cloudflare, Inc. (USA) wie die Anfragen an die Website. Damit gilt das, was oben unter "Hosting und Zugriffsdaten" und "Content Delivery Network" steht, auch für die Anfragen der App: IP-Adresse, Browser- bzw. App-Kennung, Zeitpunkt und aufgerufene Adresse landen in den Zugriffsprotokollen von Server und Proxy, dienen dem Betrieb, der Fehlersuche und der Abwehr von Angriffen und werden nur kurzfristig vorgehalten.
Im Folgenden gehen wir Funktion für Funktion durch, was die App mit deinen Daten macht.
Für die App brauchst du ein Konto. Du kannst es auf drei Wegen anlegen:
Egal, auf welchem Weg du dich anmeldest, daneben wird ein Profileintrag angelegt. Darin stehen ein Nutzername, ein vollständiger Name, deine E-Mail-Adresse und, falls der Anmeldedienst eines geliefert hat, ein Profilbild. Er wird zusammen mit deinem Konto gelöscht.
Innerhalb von Bedfit wirst du über eine zufällige interne Kennung identifiziert, nicht über deine E-Mail-Adresse. Diese Kennung hängt an deinen Daten auf unserem Server. Auf deinem Gerät liegt das Anmelde-Token im sicheren Speicher des Betriebssystems (Keychain unter iOS, Keystore unter Android).
Schon beim ersten Start bekommt die App von unserem Server eine zufällige, anonyme Kennung. Darunter speichern wir bis zur Anmeldung nur Nutzungsereignisse, die Installations-Zuordnung und einen Kauf, falls du vorher kaufst. Deine Antworten auf die Fragen zu Beginn bleiben bis dahin auf deinem Gerät. Mit der Anmeldung wird die Kennung Teil deines Kontos. Legst du innerhalb von 30 Tagen kein Konto an, löschen wir sie; Nutzungs-, Zuordnungs- und Kaufdaten bleiben dann nur ohne Bezug zu dir.
Anmeldeversuche, erfolgreiche wie fehlgeschlagene, halten wir in unseren Server-Logs fest, um Missbrauch zu erkennen und Probleme zu finden. Fehlgeschlagene Anmeldungen in der App gehen zusätzlich an unseren Fehlerdienst (siehe unten).
Rechtsgrundlage ist die Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO) und für die Sicherheitsprotokolle unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
Vor dem ersten Gespräch stellt dir die App ein paar Fragen, damit Kurs und Coach zu dir passen. Deine Antworten speichern wir zu deinem Konto: welchen Track du trainierst (vorzeitiger Samenerguss oder Erektion), dein Alter bzw. deine Altersgruppe, was du bisher schon probiert hast, deine eigene Einschätzung deines Ausgangspunkts, wie sicher du dich fühlst, wie lange dich das schon begleitet, ob du schon einmal in Therapie warst, einen Vornamen, den du dir gibst, und deine Sprache.
Diese Antworten sagen etwas über deine sexuelle Gesundheit aus. Sie sind Gesundheitsdaten im Sinne von Art. 9 DSGVO, und wir verarbeiten sie auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du mit dem Beantworten und der Nutzung der App erteilst, zusammen mit Art. 6 Abs. 1 lit. b DSGVO für die Erbringung der Leistung. Du kannst diese Einwilligung jederzeit widerrufen, indem du dein Konto löschst.
Zwei dieser Antworten, wie lange dich das begleitet und ob du in Therapie warst, wandern zusätzlich ins Gedächtnis des Coaches (siehe unten), damit er dich nicht erneut fragen muss.
Der Coach ist eine KI. Er ist nicht Till und kein Therapeut, und es gibt vom Coach aus keinen Nachrichtenkanal zu Till oder zu jemand anderem aus unserem Team.
Um eine Antwort zu erzeugen, schickt unser Server eine Anfrage an einen KI-Anbieter. Derzeit ist das Google (Google, USA), Modell Gemini, über die Gemini-API von Google. Lehnt Gemini eine Nachricht ab, beantwortet Anthropic (Anthropic PBC, USA) mit seinem Modell Claude über die API von Anthropic genau diese eine Nachricht. Wir können auch ganz zu Anthropic wechseln.
Was wir mit jeder Anfrage senden:
Was wir nicht senden: deine E-Mail-Adresse und deine Kontokennung sind nicht Teil der Anfrage, und wir hängen auch sonst keine Nutzerkennung daran. Der Anbieter kann von uns aus nicht erkennen, zu welchem Konto ein Gespräch gehört.
Was sehr wohl rausgeht, ist der Vorname, den du dir gegeben hast, denn er gehört zu dem, was der Coach über dich weiß, und ebenso ein Vorname deiner Partnerin oder deines Partners, den sich der Coach notiert hat. Wenn dir das lieber nicht recht ist: Ein Spitzname tut es genauso gut, und du kannst den Namen, den du verwendest, jederzeit in den Einstellungen ändern.
Wie lange der Anbieter das aufbewahrt, Stand 20. September 2026: Anthropic löscht Ein- und Ausgaben der API innerhalb von 30 Tagen nach Eingang. Ausgenommen sind Inhalte, die die automatischen Sicherheitssysteme markieren; die können bis zu zwei Jahre bleiben. Google gibt für die kostenpflichtige Nutzung der Gemini-API an, Anfragen und Antworten für eine begrenzte Zeit zu protokollieren, ohne eine Dauer zu nennen, und sie nur zur Missbrauchserkennung und zur Erfüllung rechtlicher Pflichten zu verwenden. Beide Anbieter nutzen diese Daten nicht, um ihre Modelle zu trainieren oder zu verbessern, und beide handeln als unsere Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags. Wir fragen bei Anthropic eine Vereinbarung ganz ohne Speicherung an; wenn wir sie bekommen, ändert sich dieser Absatz und sagt das.
Wenn du eine Nachricht diktierst statt sie zu tippen, übernimmt die Spracherkennung das Betriebssystem deines Geräts (Apple oder Google). Dafür gelten deren Bedingungen; bei uns kommt nur der fertige Text an.
Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und deine ausdrückliche Einwilligung in die Verarbeitung von Gesundheitsdaten (Art. 9 Abs. 2 lit. a DSGVO), die du auf dem Hinweis vor dem ersten Gespräch erteilst.
Auf unserem Server gibt es keine Tabelle mit Chatnachrichten. Dein Gesprächsverlauf liegt in der App auf deinem Gerät, und der Server hält davon nicht routinemäßig eine Kopie. Was der Server pro Gespräch speichert, sind Metadaten: wann es begonnen hat, wie viele Nachrichten, wie viele Tokens es gekostet hat, welches Modell und welche Prompt-Version verwendet wurden, und eine kurze, von der KI geschriebene Zusammenfassung für den Anschluss an das nächste Gespräch.
Es gibt zwei Ausnahmen, bei denen tatsächlicher Gesprächstext gespeichert wird:
Ein vollständiges Protokoll kann zusätzlich zu diesen Metadaten geschrieben werden, also deine Wortwechsel mit dem Coach im Klartext, begrenzt auf die jeweils jüngsten. Das ist standardmäßig aus: Normalerweise speichern wir nicht, was du und der Coach einander sagt. Gesteuert wird es über zwei Schalter, und bei beiden wollen wir ehrlich sein:
Solange also keiner der beiden Schalter für dich gesetzt ist, wird von deinen Gesprächen nichts im Klartext gespeichert. Ist einer gesetzt, liegt das Protokoll bei deinem Konto und wird gelöscht, wenn du dein Konto löschst.
Anonymisierte Trainingsbeispiele. Wir bauen eine Sammlung echter Coach-Gespräche auf, damit ein künftiges Modell Tills Art zu sprechen tragen kann. Bevor etwas geschrieben wird, läuft jeder erfasste Wortwechsel durch einen automatischen Anonymisierungsschritt, der Namen, Orte, Arbeitgeber und Einrichtungen durch neutrale Platzhalter ersetzt und Angaben wie ein genaues Alter oder einen Beruf vergröbert. Dieser Schritt ist selbst eine Anfrage an Anthropic (ein kleineres Modell, Claude Haiku), auch wenn Gemini geantwortet hat. Der Wortwechsel geht also ein zweites Mal raus, bevor etwas gespeichert wird. Schlägt dieser Schritt fehl, wird nichts geschrieben. Der gespeicherte Eintrag trägt keine Kontokennung, keine Gesprächskennung und keine Verbindung zu irgendeiner Tabelle, die dich identifiziert, und er ist auf den Tag genau datiert, nicht auf die Sekunde. Diese Erfassung ist standardmäßig aus und wird bewusst eingeschaltet. Ein Fall wird unabhängig von diesem Schalter erfasst: Wenn der Inhaltsfilter des KI-Anbieters einen Wortwechsel ablehnt, wird dieser Wortwechsel erfasst (durch dieselbe Anonymisierung), weil er sonst verloren wäre.
Rechtsgrundlage für das Protokoll ist unser berechtigtes Interesse daran, Probleme mit dem Coach zu finden und zu beheben (Art. 6 Abs. 1 lit. f DSGVO). Rechtsgrundlage für die Trainingsbeispiele ist unser berechtigtes Interesse an einem besseren Coach (Art. 6 Abs. 1 lit. f DSGVO), auf Daten, aus denen die identifizierenden Angaben entfernt wurden.
Damit du nicht jedes Mal von vorn anfangen musst, speichert der Coach einzelne Fakten über dich: was du ihm über deine Gesundheit, deine Ziele, deinen Fortschritt, deine Muster, deine Vorgeschichte und deine aktuelle Stimmung erzählt hast, und er kann den Vornamen einer Partnerin oder eines Partners speichern, wenn du sie oder ihn erwähnst. Jeder Fakt ist ein kurzer Satz, gespeichert zu deinem Konto, mit Kategorie und Datum. Es gibt keine feste Verfallszeit; ältere und weniger wichtige Fakten werden deaktiviert, sobald es zu viele werden.
Du kannst dieses Gedächtnis in der App sehen und löschen: einen einzelnen Fakt oder alles auf einmal. Alles zu löschen löscht die Einträge wirklich und leert zusätzlich die Gesprächszusammenfassungen, damit der Coach daraus nicht ableiten kann, was er gerade vergessen hat. Dein Trainingsfortschritt bleibt davon unberührt. Eine Grenze, die du kennen solltest: Wenn ein Protokoll deiner Gespräche gespeichert wurde (siehe oben), bleiben deine ursprünglichen Nachrichten darin, bis du dein Konto löschst.
Notizen, die du aus einem Gespräch speicherst (die Antwort des Coaches plus deine Frage), liegen zu deinem Konto auf unserem Server, damit sie eine Neuinstallation überstehen. Du kannst sie in den Einstellungen alle löschen.
Drei Dinge aus einem Gespräch können unser Team erreichen:
Rechtsgrundlage ist unser berechtigtes Interesse an einem Coach, der die Fragen der Leute wirklich beantwortet, und daran, von dir gemeldete Probleme zu beheben (Art. 6 Abs. 1 lit. f DSGVO); ein Gespräch zur Durchsicht zu schicken geschieht auf deine Veranlassung.
Wenn du eine Nachricht des Coaches mit Daumen bewertest oder meldest, speichern wir die Bewertung, den Grund, deinen Kommentar und einen kurzen Ausschnitt des Gesprächs rund um diese Nachricht. Das läuft unter einer zufälligen Kennung, die auf deinem Gerät erzeugt wird, nicht unter deinem Konto: Wir können das Feedback lesen, aber nicht, von wem es kam. Diese Funktion ist aus, bis du sie einschaltest.
Der allgemeine Feedback-Knopf in der App nutzt den Feedback-Dienst Wiredash. Dabei werden deine Kontokennung und deine Sprache übermittelt, zusammen mit den Geräte- und App-Informationen, die der Dienst selbst erhebt, und, falls du einen machst, dem Screenshot, den du mitschickst.
Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für das Nachrichten-Feedback, das du einschaltest, und unser berechtigtes Interesse an einer besseren App für Feedback, das du aktiv schickst (Art. 6 Abs. 1 lit. f DSGVO).
Das Trainingsmodul läuft auf deinem Gerät. Nach einer Einheit wird ein Datensatz auf unseren Server übertragen, damit deine Historie eine Neuinstallation übersteht und der Coach sich darauf beziehen kann: wann die Einheit begonnen hat, Level und Track, ob du sie abgeschlossen hast, in welcher Phase und an welcher Stelle dieser Phase sie geendet hat, warum sie geendet hat, wie viele Pausen es gab, wie viel Anleitungs-Audio du eingestellt hattest (aus, nur an den Übergängen oder voll) und ob Musik an war, wie die Stimulation konfiguriert war (Platzierung und Intensität) und, falls du ihn angetippt hast, der Stimmungs-Chip danach. Außerdem speichern wir, welche Kursvideos du gesehen hast.
Was bewusst nicht gespeichert wird: welche konkrete Aufnahme du gehört hast. Das wären Daten über dein Sexualleben, und die Felder, in denen das früher stand, wurden entfernt.
Wenn du in der App festhältst, dass du Sex hattest, wie es war und wie es sich im Vergleich zu vorher angefühlt hat, speichern wir diesen Eintrag ebenfalls auf unserem Server, mit allem, was du darin einträgst, einschließlich des freien Textfelds. Das geschieht, damit das Log eine Neuinstallation übersteht und nicht verloren geht, und damit der Coach eine Zusammenfassung davon lesen kann, wenn er mit dir spricht. Du kannst einzelne Einträge oder das ganze Log jederzeit in den Einstellungen löschen. Beim Löschen deines Kontos wird der Eintrag von deinem Konto getrennt und der freie Text darin entfernt; die übrigen Angaben (wann, ob allein oder zu zweit, wie es sich angefühlt hat) bleiben ohne Verbindung zu dir erhalten.
Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und deine ausdrückliche Einwilligung für Gesundheitsdaten (Art. 9 Abs. 2 lit. a DSGVO).
Videos und Audio werden von Cloudflare R2 ausgeliefert, einem Speicherdienst der Cloudflare, Inc. (USA). Unser Server prüft deinen Zugang und gibt deiner App dann einen kurzlebigen Link. Dieser Link ist von uns signiert, nicht von dir: Er enthält keine Kontokennung, keine Gerätekennung und nichts anderes, was dich identifiziert, und zwei Leute, die dieselbe Lektion schauen, bekommen denselben Typ Link. Cloudflare sieht die IP-Adresse und die Browser- bzw. App-Kennung des anfragenden Geräts, den Zeitpunkt und den internen Namen der Datei. Diese Dateinamen sind bewusst kurze technische Kürzel, damit der Titel einer Lektion nicht in Adressen oder Protokollen auftaucht.
Wenn du eine eigene Audiodatei für das Training importierst, bleibt diese Datei auf deinem Gerät. Die App kopiert sie in ihren eigenen Ordner und lädt sie nie hoch, und ihr Name wird nie an uns übertragen.
Käufe wickeln der App Store bzw. Google Play vollständig ab. Deine Zahlungsdaten sehen wir nie.
Um zu erfahren, ob du Zugang gekauft hast, nutzen wir RevenueCat (RevenueCat, Inc., USA) als Auftragsverarbeiter. Schon beim ersten Start teilt die App RevenueCat deine interne Bedfit-Kennung mit, vor der Anmeldung also die anonyme Kennung (siehe "Dein Konto"), damit dein Kauf deinem Konto über Geräte hinweg folgt. Namen, E-Mail-Adresse oder andere personenbezogene Merkmale setzen wir dort nicht.
Unser Server speichert pro Konto: den Status deines Zugangs, welches Produkt es ist, wann er abläuft, ob er von Apple oder Google kommt, die Transaktionskennung des Stores und die Kennung des RevenueCat-Datensatzes. Belege und Zahlungsdaten speichern wir nicht.
Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).
Um zu sehen, wo Leute hängenbleiben, schickt die App Nutzungsereignisse an unseren eigenen Server. Es gibt in der App keinen Analyse-Dienstleister und kein Pirsch: Diese Ereignisse landen in unserer eigenen Datenbank. Jedes Ereignis trägt den Namen des Ereignisses, einen Zeitstempel, die App-Version, die Plattform, deine interne Kennung (vor der Anmeldung die anonyme, siehe "Dein Konto") und, auf unserer Seite ergänzt, die IP-Adresse der Anfrage und das daraus abgeleitete Land.
Beim ersten Start versucht die App außerdem herauszufinden, über welche Werbung eine Installation zustande kam. Unter Android liest sie dazu die Referrer-Angabe aus, die der Play Store liefert. Unter iOS, wo es diese Angabe nicht gibt, schickt sie Gerätemodell, Version des Betriebssystems, Spracheinstellung und Zeitzone, damit eine Installation mit einer gewissen Wahrscheinlichkeit einem Klick zugeordnet werden kann.
Rechtsgrundlage ist unser berechtigtes Interesse daran, die Nutzung unserer App zu verstehen und sie zu verbessern (Art. 6 Abs. 1 lit. f DSGVO).
Wenn die App auf einen Fehler läuft, geht ein Fehlerbericht an Sentry (Functional Software, Inc., USA), verarbeitet über Sentrys EU-Region (ingest.de.sentry.io), wie oben für die Website beschrieben. Die Fehlerberichte der App können deine IP-Adresse und Angaben zu deinem Konto enthalten, damit wir erkennen, welches Konto ein Fehler getroffen hat. Fehlerberichte entstehen bei technischen Störungen, nicht aus den Inhalten deiner Gespräche.
Rechtsgrundlage ist unser berechtigtes Interesse an einer funktionierenden App (Art. 6 Abs. 1 lit. f DSGVO).
Neben dem Weg über uns gibt dir die App vier Dinge an die Hand, die du selbst in den Einstellungen tun kannst:
Beim Löschen deines Kontos entfernen wir von unserem Server: deine Gespräche samt gespeichertem Protokoll und Zusammenfassungen, die zur Durchsicht eingeschickten Gespräche, das Gedächtnis des Coaches über dich, deine Notizen, deine Einstellungen und Onboarding-Antworten, deine täglichen Nutzungssummen und deinen aktuellen Limit-Zähler sowie deine Anmeldedaten bei Google, Apple oder per E-Mail-Adresse samt dem Konto selbst und deinem Profileintrag. Auf deinem Gerät werden gleichzeitig alle lokalen Daten gelöscht. Das geschieht automatisch, sobald du die Löschung in der App bestätigst; du musst uns dafür nicht schreiben.
Was danach bleibt: ein mit einem Schlüssel gebildeter, nicht umkehrbarer Hash deiner E-Mail-Adresse samt Datum, damit wir erkennen können, dass eine Adresse zu einem gelöschten Konto gehörte, wenn sie erneut zur Registrierung verwendet wird. Deine E-Mail-Adresse selbst bewahren wir nicht auf. Einige Datensätze bleiben erhalten, aber ohne Verbindung zu dir: dein Kursfortschritt, deine Trainingshistorie, dein Ereignis-Log (dabei wird zusätzlich der freie Text darin entfernt), die Nutzungsereignisse, das Protokoll darüber, wann du an ein Nutzungslimit gestoßen bist, und der Eintrag zur Installations-Zuordnung. Bei ihnen ersetzen wir die Kennung deines Kontos durch ein zufälliges Kürzel, das auf nichts mehr verweist, und kürzen die Zeitstempel auf die Minute. Bei den oben beschriebenen Weitergaben (Wissenslücken und Produkt-Feedback) ersetzen wir zusätzlich deinen Wortlaut, sodass nur das Thema übrig bleibt. Deine Kaufdatensätze behalten wir für die Buchhaltung, weil wir dazu gesetzlich verpflichtet sind, aber ohne jede Verbindung zu deinem Konto. Dazu kommt eine einzelne anonyme Zeile für unsere Statistik: wie viele Lektionen gesehen wurden, wie alt das Konto war, welcher Kurs und welcher Monat, ohne jede Kennung. Nichts davon zeigt noch auf dich. Die anonymisierten Trainingsbeispiele können wir auf Anfrage nicht löschen, weil darin bewusst nichts steht, womit wir deine Einträge finden könnten.
Bei einigen der oben beschriebenen Verarbeitungen werden Daten in die USA übermittelt: an Cloudflare (EU-Standardvertragsklauseln und EU-US Data Privacy Framework), an Resend (EU-Standardvertragsklauseln) und an Sentry (unter dem EU-US Data Privacy Framework zertifiziert, ergänzend EU-Standardvertragsklauseln; die Fehlerberichte selbst laufen über Sentrys EU-Region). Zudem hat die Verantwortliche selbst ihren Sitz in den USA, sodass auch die Wartelisten-Daten dort verarbeitet werden. Das Hosting der Website selbst erfolgt auf Servern in der EU, und die Reichweitenmessung mit Pirsch findet vollständig auf Servern in Deutschland statt — dabei verlassen keine Daten die EU.
Für die App kommen weitere Übermittlungen in die USA hinzu: an die KI-Anbieter, die die Antworten des Coaches erzeugen (Google und Anthropic), an RevenueCat für deinen Kaufstatus und an Cloudflare für die Auslieferung von Videos und Audio. Unser eigener Server und seine Datenbank und damit dein Konto, die Metadaten deiner Gespräche, das Gedächtnis des Coaches und deine Trainingshistorie liegen in der Europäischen Union.
Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck nötig ist: Server-Logs werden nur kurzfristig zu Betriebs- und Sicherheitszwecken vorgehalten. Wartelisten-Daten speichern wir, bis der Zweck erfüllt ist oder du dich abmeldest; unbestätigte Einträge und abgemeldete Adressen werden nicht weiter verwendet. Coaching-Anfragen speichern wir, bis sie erledigt sind bzw. solange es für die Anbahnung des Coachings nötig ist, und löschen sie danach. Nachweisdaten zur Einwilligung bewahren wir auf, solange wir den Nachweis führen müssen.
Die Daten in der App speichern wir, solange dein Konto besteht, und löschen sie, wenn du dein Konto löschst, mit den Ausnahmen, die unter "Deine Daten in der App löschen" stehen. Eine anonyme Kennung, zu der nie ein Konto angelegt wurde, löschen wir nach 30 Tagen (siehe "Dein Konto"). Deinen Gesprächsverlauf selbst bewahren wir gar nicht auf, er liegt in der App auf deinem Gerät. Das Gedächtnis des Coaches kannst du jederzeit löschen, ohne das Konto zu löschen.
Dir stehen als betroffene Person nach der DSGVO folgende Rechte zu:
Melde dich dafür einfach unter [email protected]. Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO) — in Deutschland bei der Aufsichtsbehörde deines Bundeslandes.
Für die App kannst du einen Teil dieser Rechte sofort selbst ausüben: In den Einstellungen kannst du das Gedächtnis des Coaches, deine Notizen, dein Ereignis-Log und dein gesamtes Konto löschen (siehe "Deine Daten in der App löschen").
Wenn sich die Website und die App weiterentwickeln, passen wir diese Datenschutzerklärung an. Es gilt jeweils die hier veröffentlichte aktuelle Fassung; den Stand findest du oben.