Datenschutzerklärung
Kurz gesagt: Kamerabilder und Videos bleiben auf Ihrem Gerät. Wir speichern nur Zahlen zu Ihren Halteübungen (Zeit, Winkel, Bewertung), Ihr Konto und Ihre Käufe. Nutzungsstatistiken erheben wir nur mit Ihrer Einwilligung.
1. Verantwortlicher
Oliver Homan, [Straße und Hausnummer], [PLZ] [Ort], Deutschland, E-Mail: support.skilltree@proton.me. Ein Datenschutzbeauftragter ist nicht bestellt, da keine gesetzliche Pflicht besteht.
2. Kamera und Videos
Die Körpererkennung läuft vollständig in Ihrem Browser bzw. Ihrer App auf Ihrem Gerät. Live-Kamerabilder und aufgenommene Videos werden nicht an uns oder Dritte übertragen. Exportierte Videos oder Rangkarten erzeugen Sie selbst auf Ihrem Gerät.
3. Welche Daten wir verarbeiten und warum
a) Bereitstellung der App und des Kontos
Zufällige Nutzerkennung, ggf. Ihre E-Mail-Adresse, Einstellungen, Level, Fortschritt und zu jeder bewerteten Halteübung: Übung, Zeit, Formwinkel, Bewertung, Rang, Erfahrungspunkte und Zeitpunkt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Wir speichern die Daten, bis Sie Ihr Konto löschen. Gastkonten ohne Aktivität löschen wir nach 24 Monaten.
a2) Trainingsprofil (Fragebogen)
Beim Start fragen wir nach Anzeigename, Ziel, Erfahrung, groben Leistungsangaben (z. B. wie lange Sie einen Plank halten), vorhandenen Geräten, Trainingstagen und Trainingsdauer. Diese Angaben speichern wir in Ihrem Konto, um Ihren Weg durch den Skill-Baum und den Tagesplan zu erstellen (Art. 6 Abs. 1 lit. b DSGVO). Altersbereich, Körpergröße, Gewicht und Angaben zu Körperstellen, die Sie schonen möchten, sind freiwillig, werden ausschließlich auf Ihrem Gerät gespeichert und nicht an uns oder Dritte übertragen. Sie dienen nur dazu, Pausenzeiten und Hinweise in der App anzupassen, und lassen sich jederzeit in den Einstellungen löschen.
a3) Geteilte Clips
Clips und Rangkarten mit Rang und Punktzahl erzeugen Sie auf Ihrem Gerät. Erst wenn Sie selbst auf „Teilen“ tippen, übergibt Ihr Gerät die Datei an die von Ihnen gewählte App. Wir erhalten das Video nicht.
b) Anmeldung per E-Mail
Zur Anmeldung senden wir Ihnen einen Code bzw. Link an Ihre E-Mail-Adresse; den Versand übernimmt unser Anmelde-Dienstleister Supabase oder ein von uns eingebundener E-Mail-Dienst (Resend). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
b2) Anmeldung mit Google (optional)
Wenn Sie „Continue with Google“ wählen, werden Sie zu Google weitergeleitet. Google übermittelt uns Ihren Namen, Ihre E-Mail-Adresse und Ihr Profilbild-Link; wir speichern davon nur die E-Mail-Adresse und eine Google-Kennung zur Anmeldung. Google erfährt, dass Sie sich bei FormProof anmelden. Anbieter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Sie können die Verknüpfung jederzeit in Ihrem Google-Konto entfernen.
b3) Schutz vor Bots (Cloudflare Turnstile)
Beim Anlegen eines Kontos und beim Anfordern von Anmeldecodes prüft Cloudflare Turnstile unsichtbar, ob ein Mensch die App nutzt. Dabei verarbeitet Cloudflare technische Daten wie IP-Adresse, Browser- und Geräteinformationen; es werden keine Werbe-Cookies gesetzt. Anbieter: Cloudflare Inc., USA. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz vor Missbrauch und automatisierten Massenanmeldungen.
c) Wöchentliche Rangliste
Wenn Sie bewertete Halteübungen machen, sehen andere Nutzer Ihren selbst gewählten Anzeigenamen (oder „Athlete“), Ihre Wochen-XP, die Anzahl Ihrer Übungen und die gehaltene Zeit. Ihre E-Mail-Adresse wird nie angezeigt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
c2) Freunde und Duelle
Fügen Sie jemanden über seinen Freundescode hinzu, sehen Sie beide gegenseitig Ihren Anzeigenamen und Ihre Wochen-XP. In einem Duell sehen beide Teilnehmer für die gewählte Übung die längste Haltezeit und die Anzahl der bewerteten Versuche während der Duellzeit sowie das Ergebnis. Videos werden nie geteilt. Sie können Freunde jederzeit entfernen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Duelle speichern wir bis zu 30 Tage nach dem Ende.
c3) Erinnerungen (Push-Benachrichtigungen) – nur wenn Sie sie einschalten
Schalten Sie in den Einstellungen Erinnerungen ein, speichern wir die von Ihrem Browser erzeugte Push-Adresse, Ihre Zeitzone und die gewählte Uhrzeit, um Ihnen Streak-Erinnerungen und Duell-Hinweise zu senden. Die Zustellung läuft über den Push-Dienst Ihres Browsers bzw. Geräts (z. B. Google oder Apple). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können Erinnerungen jederzeit in den Einstellungen oder in Ihrem Browser ausschalten; die Push-Adresse wird dann gelöscht.
d) Käufe
Für Pro und das Style Pack speichern wir Ihren Tarif, Status, Test- und Verlängerungsdaten sowie Stripe-Kunden- und Abo-Kennungen. Zahlungsdaten (z. B. Kartennummer) gibt es nur bei Stripe, nie bei uns. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO (steuerliche Aufbewahrungspflichten bis zu 10 Jahre).
e) Kündigungen und Support
Was Sie über das Kündigungsformular oder per E-Mail senden, verwenden wir zur Bearbeitung und zum Nachweis. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO. Speicherdauer: bis zu 3 Jahre nach Vertragsende.
f) Fehlerberichte (Sentry)
Stürzt die App ab, senden wir einen technischen Fehlerbericht (Fehlermeldung, Browser, Gerät, zufällige Nutzerkennung) an Sentry, mit Speicherung in der EU (Frankfurt). Es werden keine Cookies gesetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine fehlerfreie App. Speicherdauer: höchstens 90 Tage.
g) Nutzungsstatistik (PostHog) – nur mit Einwilligung
Nur wenn Sie zustimmen, erfassen wir anonyme Nutzungsereignisse (z. B. „Übung bewertet“, „Tarife geöffnet“) mit PostHog, gespeichert in der EU (Frankfurt). Dafür wird eine Kennung auf Ihrem Gerät gespeichert. Es gibt keine Bildschirmaufzeichnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können die Einwilligung jederzeit in den Einstellungen widerrufen.
h) Speicherung auf Ihrem Gerät
Für Einstellungen, Anmeldung und Offline-Nutzung speichert die App Daten im Speicher Ihres Browsers bzw. Geräts. Das ist für die von Ihnen gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
h2) Sicherheitsprotokoll
Bei verdächtigen Vorgängen (z. B. sehr viele falsche Codes oder Anfragen) speichern wir Zeitpunkt, Art des Vorgangs und ggf. die zufällige Nutzerkennung, um Missbrauch zu erkennen und abzuwehren. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit). Speicherdauer: 90 Tage.
h3) Keine Werbung per E-Mail
Wir versenden keine Newsletter und keine Werbe-E-Mails. E-Mails erhalten Sie nur zur Anmeldung sowie zu Käufen und Kündigungen. Push-Nachrichten gibt es nur, wenn Sie Erinnerungen selbst einschalten. Werbung würden wir nur mit Ihrer ausdrücklichen, jederzeit widerruflichen Einwilligung senden.
i) Hosting und Server-Logs
Beim Aufruf der Website verarbeitet unser Hoster Netlify technisch notwendige Daten wie IP-Adresse, Zeitpunkt und aufgerufene Datei. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb). Schriftarten und Skripte laden wir von unserer eigenen Domain, nicht von Google.
4. Empfänger und Auftragsverarbeiter
- Supabase Inc. (Datenbank, Anmeldung), USA
- Netlify Inc. (Hosting), USA
- Stripe Payments Europe Ltd. (Zahlungen), Irland – eigenständig verantwortlich für Zahlungsdaten
- Functional Software Inc. / Sentry (Fehlerberichte), Speicherort EU
- PostHog Inc. (Statistik, nur mit Einwilligung), Speicherort EU
- Resend Inc. (Versand von Anmelde- und Bestätigungs-E-Mails), USA
- Cloudflare Inc. (Bot-Schutz Turnstile), USA
- Google Ireland Ltd. (nur bei Anmeldung mit Google), Irland – eigenständig verantwortlich für Ihr Google-Konto
Mit diesen Anbietern bestehen Verträge zur Auftragsverarbeitung (Art. 28 DSGVO). Bei Übermittlungen in die USA stützen wir uns auf das EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, und ansonsten auf die EU-Standardvertragsklauseln (Art. 46 DSGVO).
5. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. In der App können Sie Ihren Verlauf als CSV exportieren und Ihr Konto unter Einstellungen → Account löschen. Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, z. B. bei der für Ihren Wohnort zuständigen Behörde. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Ansbach, www.lda.bayern.de.
5a. Datensicherheit
Die Kamerabilder verlassen Ihr Gerät nicht. Alle Verbindungen sind verschlüsselt (HTTPS/TLS). In der Datenbank kann jedes Konto nur auf die eigenen Daten zugreifen (zeilenbasierte Zugriffsregeln); Zahlungsdaten liegen nur bei Stripe. Die Anmeldung erfolgt ohne Passwort per Code; wiederholte Fehlversuche werden begrenzt. Sollte es trotzdem zu einer Datenpanne kommen, melden wir sie innerhalb von 72 Stunden der Aufsichtsbehörde und informieren Sie, wenn ein hohes Risiko für Sie besteht (Art. 33, 34 DSGVO).
6. Pflicht zur Bereitstellung, automatisierte Entscheidungen
Sie können die App ohne E-Mail-Adresse als Gast nutzen. Für Käufe und geräteübergreifenden Fortschritt ist eine E-Mail-Adresse erforderlich. Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung (Art. 22 DSGVO) findet nicht statt; Bewertungen von Übungen dienen nur dem Training.
7. Mindestalter
Die App richtet sich an Personen ab 16 Jahren. Jüngere benötigen die Zustimmung eines Erziehungsberechtigten.
Privacy Policy
Who is responsible
Oliver Homan, [Straße und Hausnummer], [PLZ] [Ort], Deutschland. Email: support.skilltree@proton.me.
Camera and video
Pose tracking runs entirely on your device. Camera frames and clips are never uploaded.
What we store and why
- Account and training data (random user ID, optional email, settings, levels, and per hold: skill, time, form angle, score, rank, XP, time graded), to run the app (Art. 6(1)(b) GDPR). Kept until you delete your account; inactive guest accounts are deleted after 24 months.
- Training profile (start questionnaire): display name, goal, experience, rough ability (such as how long you can plank), equipment, training days and session length are saved with your account to build your road through the skill tree and your daily plan (Art. 6(1)(b)). Age range, height, weight and the body areas you want to go easy on are optional, are stored only on your device and are never sent to us or anyone else. They only adjust rest times and tips, and you can delete them in Settings.
- Shared clips: clips and rank cards are made on your device. Only when you tap Share does your device hand the file to the app you choose. We never receive the video.
- Weekly league: other users see your chosen display name, weekly XP, number of holds and time held. Never your email.
- Friends and battles: friends see each other's display name and weekly XP. In a battle, both people see each other's longest hold and number of graded holds on that skill during the battle, and the result. Videos are never shared. Remove a friend any time. Battles are kept for up to 30 days after they end.
- Reminders (only if you turn them on): we store your browser's push address, time zone and chosen time to send streak reminders and battle alerts, delivered through your browser's push service (for example Google or Apple). Turn them off any time in Settings; the push address is then deleted.
- Purchases: plan, status, trial and renewal dates, Stripe IDs. Card details stay with Stripe. Tax records are kept for up to 10 years.
- Cancellations and support messages, to process them, kept for up to 3 years after the contract ends.
- Crash reports (Sentry, EU), no cookies, legitimate interest in a working app (Art. 6(1)(f)), kept for up to 90 days.
- Usage statistics (PostHog, EU) only with your consent (Art. 6(1)(a) GDPR, § 25(1) TDDDG). Withdraw any time in Settings.
- Sign-in emails are sent by our sign-in provider Supabase or an email service we connect to it (Resend).
- Sign in with Google (optional): Google sends us your email address and a Google ID, which we store to sign you in. Google learns that you use FormProof (Art. 6(1)(b)).
- Bot protection (Cloudflare Turnstile): when you create an account or request a sign-in code, Cloudflare invisibly checks you're human, processing technical data like your IP address and browser (Art. 6(1)(f), preventing abuse).
- Security log: for suspicious activity (such as many wrong codes) we store the time, the kind of event and, where there is one, the random user ID, to stop abuse (Art. 6(1)(f)), kept for 90 days.
- No marketing emails: we don't send newsletters or promotional emails. You only get emails to sign in and about purchases and cancellations; push messages only if you turn on reminders. We would only send promotions with your explicit consent.
- Hosting logs (Netlify) for secure operation. Fonts and scripts are served from our own domain, not Google.
Processors
Supabase (USA), Netlify (USA), Stripe (Ireland), Sentry (EU storage), PostHog (EU storage), Resend (USA), Cloudflare (USA) and, if you use it, Google (Ireland), under data processing agreements. US transfers rely on the EU-US Data Privacy Framework or Standard Contractual Clauses.
Security
Camera images never leave your device. All connections are encrypted (HTTPS). In the database each account can only reach its own data; card details stay with Stripe. Sign-in uses one-time codes instead of passwords, and repeated wrong attempts are limited. If a data breach happens anyway, we report it to the supervisory authority within 72 hours and tell you if it puts you at high risk (Art. 33, 34 GDPR).
Your rights
Access, rectification, erasure, restriction, portability, objection, and withdrawing consent at any time. Export your data as CSV and delete your account in Settings. You may also complain to a data protection supervisory authority; ours is the Bavarian Data Protection Authority (BayLDA), Ansbach, www.lda.bayern.de.
Age
For people aged 16 and over; younger users need a parent's or guardian's permission.