Datenschutzerklärung

Bei Loosen („wir“, „uns“ oder „unser“) hat Ihre Privatsphäre höchste Priorität. Wir verpflichten uns, Ihre personenbezogenen Daten transparent, sicher und in voller Übereinstimmung mit den geltenden Gesetzen zu verarbeiten. Da unser anfänglicher Launch-Fokus in der Europäischen Union (EU) liegt, priorisieren wir die Datenschutz-Grundverordnung (DSGVO) und die UK-DSGVO für Nutzer im Europäischen Wirtschaftsraum (EWR) und im Vereinigten Königreich. Wir halten uns außerdem an den California Consumer Privacy Act in der durch den California Privacy Rights Act geänderten Fassung (CCPA/CPRA) für US-Nutzer sowie an andere relevante Vorschriften weltweit. Diese Datenschutzerklärung erklärt in klaren, einfachen Worten, welche Daten wir erheben, warum wir sie erheben, wie wir sie nutzen und schützen, mit wem wir sie teilen und welche Rechte Sie haben, um sie zu kontrollieren.

Wir halten uns an die Prinzipien von Privacy by Design und Datenminimierung — wir erheben nur das, was unbedingt erforderlich ist, um einen personalisierten Flexibilitätscoach bereitzustellen, Ihren Fortschritt zu verfolgen und die App zu verbessern. Wir tracken Sie nicht über andere Apps oder Websites hinweg, nutzen Ihre Daten nicht für Werbung und verkaufen oder teilen Ihre personenbezogenen Daten niemals für Cross-Context Behavioral Advertising (wie unter CCPA definiert). Die App nimmt eine automatisierte Personalisierung vor (z. B. Berechnung Ihres täglichen Flexibilitäts-Scores und Empfehlung einer Einheit) — dies ist in Abschnitt 3 beschrieben, hat keine rechtlich bedeutsame Auswirkung auf Sie und Sie können die KI-gestützten Teile jederzeit deaktivieren. Bei Fragen oder wenn Sie Unterstützung bei der Ausübung Ihrer Rechte benötigen, steht Ihnen unser Team unter hi@stretcha.co zur Verfügung.

Durch die Nutzung der Loosen Mobile App (die „App“) stimmen Sie den hier beschriebenen Praktiken zu. Wenn Sie nicht einverstanden sind, nutzen Sie die App bitte nicht. Wir überprüfen und aktualisieren diese Erklärung mindestens jährlich oder bei Bedarf, um Änderungen in unseren Praktiken, Funktionen oder Gesetzen Rechnung zu tragen. Wir werden Sie über wesentliche Änderungen durch eine In-App-Benachrichtigung oder per E-Mail informieren.

1. Wer wir sind und Geltungsbereich

Wir betreiben die Loosen App — ein plattformübergreifendes mobiles Tool (iOS/Android) für geführte Dehnungsroutinen, Fortschrittsverfolgung und den Aufbau individueller Routinen, mit einem initialen Launch in der EU. Diese Erklärung gilt für alle personenbezogenen Daten, die wir über die App verarbeiten. Sie erstreckt sich nicht auf Dienste Dritter, die über die App verlinkt werden (z. B. externe Websites oder die eigenen Datenschutzrichtlinien von Zahlungsabwicklern).

Kontakt:
E-Mail: hi@stretcha.co
Website: loosen.app

Für EWR-/UK-Nutzer sind wir der Verantwortliche gemäß DSGVO. Für kalifornische Einwohner sind wir ein „Business“ gemäß CCPA/CPRA. Wir verarbeiten Daten mit primärem Fokus auf EU-Nutzer und nutzen wo möglich EU-basierte Server, um Übermittlungen zu minimieren.

2. Personenbezogene Daten, die wir erheben

Wir erheben nur die minimal erforderlichen Daten, um die App bereitzustellen, zu personalisieren und zu verbessern. „Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Wir holen Ihre ausdrückliche Einwilligung für die Erhebung sensibler Daten (z. B. gesundheitsbezogene Informationen) während des Onboardings ein, und Sie können diese jederzeit widerrufen. Für EU-Nutzer legen wir besonderen Wert auf Einwilligung und berechtigte Interessen als Rechtsgrundlagen.

3. Wie wir Ihre personenbezogenen Daten nutzen

Wir verarbeiten Daten nur für bestimmte, legitime Zwecke und mit Ihrer Einwilligung, wo erforderlich (z. B. bei sensiblen Gesundheitsdaten). Wir wenden Datenminimierung und Pseudonymisierung an, wo möglich, mit besonderer Berücksichtigung von EU-Nutzern gemäß DSGVO.

• Personalisierung & Sicherheit: Nutzung von Profil-, Bewertungs-, Feedback- und (falls gewährt) Health/Health Connect-Signaldaten zur Berechnung Ihres täglichen Flexibilitäts-Scores, zur Empfehlung einer heute passenden Einheit, zur Filterung von Posen für die Sicherheit (z. B. Vermeidung von Rückenbelastungen bei entsprechender Angabe) und zur Anpassung Ihres Plans im Laufe der Zeit.
• Abonnementverwaltung: Verfolgung aktiver Abonnements, Verarbeitung von Berechtigungen, Freischaltung von Premium-Funktionen und Wiederherstellung von Käufen über Geräte hinweg via RevenueCat. Rechtsgrundlage: Vertragserfüllung (DSGVO Art. 6 Abs. 1 lit. b).
• Fortschritt & Motivation: Verfolgung von Sitzungen zur Anzeige von Streaks, Summen und Erfolgen in der App.
• Kommunikation: Versand optionaler Push-Benachrichtigungen (z. B. tägliche Erinnerungen zu Ihrer bevorzugten Zeit) oder E-Mails (z. B. Passwort-Zurücksetzungen).
• Betrieb & Verbesserungen: Analyse anonymer Nutzungsmuster über PostHog zur Fehlerbehebung, Funktionserweiterung und Leistungsverbesserung. PostHog generiert automatisch anonyme Geräte-IDs zur Sitzungsverfolgung; es werden keine identifizierbaren Nutzerdaten für Analysen verarbeitet. Wir führen kein Werbeprofiling oder Cross-App-Verhaltensprofile durch. Rechtsgrundlage: Berechtigtes Interesse (DSGVO Art. 6 Abs. 1 lit. f).
• Rechtliche Compliance: Aufbewahrung von Daten entsprechend gesetzlicher Anforderungen (z. B. für Audits); Löschung auf Anfrage.

Automatisierte Personalisierung

Die App berechnet Ergebnisse automatisch — Ihren Flexibilitäts-Score, die tägliche Einheitenempfehlung und (falls Sie dem KI-Consent zugestimmt haben) KI-generierte Routinen und Plan-Narrationen. Diese Ergebnisse personalisieren Ihre In-App-Erfahrung. Sie werden nicht verwendet, um den Zugang zu Diensten zu gewähren oder zu verweigern, Preise festzulegen oder eine rechtliche oder ähnlich bedeutsame Auswirkung auf Sie im Sinne von DSGVO Art. 22 zu haben. Sie können:

• Die Tagesempfehlung überschreiben, indem Sie eine andere Routine aus dem Katalog wählen oder selbst eine erstellen.
• Den KI-Consent unter Profil > KI & Daten widerrufen, was die App still auf Nicht-KI-Vorlagen und statische Texte umschaltet.
• Die Health-Berechtigung in den iOS-Einstellungen oder Health Connect widerrufen, was diese Signale aus der Berechnung entfernt.
• hi@stretcha.co kontaktieren, um zu fragen, wie eine bestimmte Empfehlung zustande kam, oder um eine manuelle Überprüfung zu beantragen.

Rechtsgrundlagen (DSGVO/UK-DSGVO): Einwilligung für sensible Daten; berechtigte Interessen für Kernfunktionen (z. B. Fortschrittsverfolgung); Vertragserfüllung für Kontodienste. Für US-Nutzer richten wir uns nach den CCPA-Anforderungen.

Datenspeicherung: Wir speichern Daten nur so lange wie nötig — Kontodaten bis zur Löschung; Fortschrittsdaten 2 Jahre nach letzter Aktivität (oder früher auf Anfrage). Anonymisierte Aggregate können länger zur Verbesserung aufbewahrt werden.

KI-gestützte Funktionen

Die App nutzt Anthropics KI-Modell Claude (über sichere serverseitige Verarbeitung mittels Supabase Edge Functions), um vier optionale KI-Funktionen zu betreiben. Die gesamte Verarbeitung erfolgt auf unseren Servern — keine KI läuft auf Ihrem Gerät.

Einwilligung (harte Schranke, Verteidigung in der Tiefe): Bevor Daten für eine dieser Funktionen an Anthropic gesendet werden, wird Ihnen eine In-App-Einwilligungsaufforderung angezeigt, die klar identifiziert, welche Daten geteilt werden, mit wem sie geteilt werden, und Ihre ausdrückliche Zustimmung erfordert. Der Einwilligungsstatus wird auf Ihrem Konto gespeichert (plan_ai_consent) und sowohl auf dem Gerät als auch erneut auf unseren Servern als erster Vorgang jedes KI-Aufrufs überprüft — fehlt die Einwilligung, wird der Aufruf abgelehnt, bevor ein Prompt erstellt wird, und die App wechselt zu Nicht-KI-Vorlagen und statischen Texten. Sie können diese Einwilligung jederzeit über Profil > KI & Daten widerrufen; der Widerruf wirkt sofort für alle vier Funktionen.

Die vier KI-Funktionen und die Daten, die jede sendet:

Was niemals gesendet wird: Kontoidentifikatoren (E-Mail, Passwort, Apple/Google-Anmelde-Tokens) werden niemals an Anthropic gesendet; rohe HealthKit/Health Connect-Messungen (einzelne Herzratenmessungen, Schlafaufzeichnungen usw.) werden niemals gesendet — nur die kleinen abgeleiteten Aggregate wie oben aufgeführt. Daten werden in Echtzeit verarbeitet und nach der Antwortgenerierung nicht von Anthropic gespeichert. Ihre Daten werden niemals zum Training von KI-Modellen verwendet. Weitere Informationen finden Sie in Anthropics Datenschutzerklärung.

4. Weitergabe und Offenlegung

Wir geben Daten nur minimal weiter, ausschließlich an geprüfte Dienstleister unter strengen Auftragsverarbeitungsverträgen, die gleichwertigen Schutz gewährleisten. Für EU-Nutzer priorisieren wir EU-basierte Verarbeitung zur Einhaltung der DSGVO-Datenübermittlungsregeln.

• Supabase: EU-Server für EWR/UK-Nutzer (um Übermittlungen zu vermeiden); verarbeitet Speicherung, Authentifizierung und Echtzeit-Synchronisation. US-Server für Nicht-EU-Nutzer.
• RevenueCat: Verwaltet Abonnements und In-App-Käufe. Erhebt und verknüpft Geräte-Identifikatoren mit Ihrem Nutzerkonto zur Betrugsprävention, Kaufwiederherstellung und Abonnementverwaltung. Verarbeitet Nutzer-IDs (anonyme UUIDs) zur Zuordnung von Käufen zu Konten. Keine Zahlungskartendetails werden von uns oder RevenueCat gespeichert.
• Nutzer-IDs: Anonyme UUIDs werden an RevenueCat weitergegeben, um Abonnements mit Ihrem Konto zu verknüpfen und Kaufwiederherstellung sowie geräteübergreifenden Zugriff zu ermöglichen.
• Apple/Google: Für In-App-Käufe und Push-Benachrichtigungen (sie verarbeiten Geräte-Tokens).
• PostHog: Verwaltet anonyme Produktanalysen und Fehlertracking; verarbeitet Nutzungsereignisse, Geräte-Metadaten und Crash-Logs. Gehostet in der EU (https://eu.i.posthog.com) zur DSGVO-Konformität. Es werden keine identifizierbaren Nutzerdaten (Name, E-Mail, User-ID) weitergegeben — nur anonyme, von PostHog automatisch generierte Geräte-IDs zur Sitzungsverfolgung. Standardvertragsklauseln kommen zur Anwendung.
• Anthropic: Verarbeitet die in Abschnitt 3 („KI-gestützte Funktionen“) beschriebenen Daten über das Claude-KI-Modell, um unsere vier KI-Funktionen zu betreiben (Mit KI erstellen, der adaptive Plan-Generator, die Körperzustandserklärung und die Plan-Narration). Daten werden nur gesendet, nachdem Sie eine ausdrückliche In-App-Einwilligung erteilt haben (plan_ai_consent = accepted) und nur so lange diese aktiv ist. Anthropic verwendet Ihre Daten nicht zum Training ihrer Modelle. Anthropic ist durch ihre veröffentlichte Datenschutzerklärung und unsere Datenverarbeitungsbedingungen gebunden, die einen gleichwertigen Schutz der Nutzerdaten erfordern, die unabhängige Nutzung der Daten untersagen und die Nutzung zum Modelltraining untersagen.
• Apple HealthKit / Android Health Connect: Sind keine Dritten im datenweitergabe-technischen Sinne — es handelt sich um Plattform-APIs auf Ihrem eigenen Gerät. Sie erteilen der App eine schreibgeschützte Berechtigung und wir lesen die in Abschnitt 2 beschriebenen Kennzahlen. Apple und Google erhalten über diese APIs keine neuen Daten von uns.

Internationale Übermittlungen (DSGVO): Daten für EU-Nutzer bleiben wo möglich in der EU. Für Übermittlungen (z. B. an US-Dienstleister) nutzen wir Standardvertragsklauseln oder gleichwertige Garantien. Wir teilen keine Daten mit Behörden, außer wenn gesetzlich vorgeschrieben (z. B. gültige Vorladung).

Keine Verkäufe oder Marketing-Weitergaben: Wir verkaufen, vermieten oder teilen keine Daten für Werbe-/Marketingzwecke. Nach CCPA findet kein „Sale“ oder „Sharing“ statt.

5. Datensicherheit und -integrität

Wir setzen branchenübliche Maßnahmen ein, die auf die Sensibilität der Daten — insbesondere Gesundheitsinformationen — abgestimmt sind, einschließlich DSGVO-konformer Risikobewertungen:

• Verschlüsselung: Daten in der Übertragung (TLS 1.3+) und in der Speicherung; Passwörter mit starken Algorithmen gehasht.
• Zugangskontrollen: Rollenbasiert; Multi-Faktor-Authentifizierung für Mitarbeiter; kein unnötiger Zugriff.
• Sicherheitspraktiken: Regelmäßige Schwachstellen-Scans, Penetrationstests und Incident-Response-Pläne. Jährliche unabhängige Audits.
• Reaktion auf Datenschutzverletzungen: Benachrichtigung betroffener Nutzer und Behörden unverzüglich, falls erforderlich (z. B. innerhalb von 72 Stunden gemäß DSGVO).

6. Ihre Datenschutzrechte und Wahlmöglichkeiten

Sie haben die volle Kontrolle — Sie können Rechte ohne Gebühren, Diskriminierung oder unnötige Verzögerungen ausüben (wir verifizieren per E-Mail). EU-Nutzer profitieren von erweiterten DSGVO-Rechten.

• Zugriff/Übertragbarkeit: Ansicht/Export der Daten in der App (Einstellungen > Profil > Daten exportieren) oder Anfrage per hi@stretcha.co (Antwort innerhalb von 30 Tagen; 15 Tage gemäß CCPA). Umfasst historische Daten seit Kontoerstellung (gemäß CCPA-Updates 2026).
• Aktualisierung/Berichtigung: Profil-/Gesundheitsinformationen direkt in der App bearbeiten.
• Löschung („Recht auf Vergessenwerden“): Konto über Einstellungen > Konto löschen löschen — alle personenbezogenen Daten werden innerhalb von 30 Tagen gelöscht (gesetzliche Aufbewahrungspflichten bleiben vorbehalten).
• Opt-Out/Widerruf der Einwilligung: Erinnerungen/Benachrichtigungen in den Einstellungen deaktivieren; Einwilligung für Gesundheitsdaten widerrufen (setzt Personalisierung zurück). Kein „Do Not Sell/Share“ erforderlich, da wir nicht verkaufen/teilen. Wir respektieren Global Privacy Control (GPC)-Signale.
• KI-Daten-Einwilligung: Sie können die Einwilligung zur KI-Datenverarbeitung jederzeit über Profil > KI & Daten widerrufen. Der Widerruf wirkt sofort für alle vier KI-Funktionen, sowohl client-seitig (keine weiteren Aufrufe werden ausgelöst) als auch server-seitig (eingehende Aufrufe werden vor der Prompt-Erstellung abgelehnt). Die App wechselt zu Nicht-KI-Vorlagen und statischen Texten, bis Sie erneut einwilligen.
• Health-Berechtigung: Widerrufen Sie den Apple Health (iOS)- oder Android Health Connect-Zugang jederzeit in Ihren Betriebssystemeinstellungen. Die App funktioniert weiterhin, verwendet dann nur selbstauskunftsbasierte Sitzstunden und Sitzungsfeedback.
• Sensible Daten: Ausdrückliches Opt-in für Gesundheitsdaten; Einschränkung der Verarbeitung über Einstellungen möglich.
• Widerspruch: Bei Ablehnung einer Anfrage Widerspruch per hi@stretcha.co — wir prüfen umgehend.
• Opt-Out von Analysen: PostHog verwendet vollständig anonyme Analysen (keine identifizierbaren Daten). Da keine personenbezogenen Informationen getrackt werden, ist kein Opt-Out-Mechanismus gemäß DSGVO/CCPA erforderlich. Bei Bedenken kontaktieren Sie hi@stretcha.co.

Für CCPA: Benannter Ansprechpartner für Anfragen: hi@stretcha.co. Wir veröffentlichen jährlich Metriken (z. B. erhaltene/erfüllte Anfragen).

7. Datenschutz für Kinder

Die App richtet sich an Nutzer ab 13 Jahren (ab 16 Jahren im EWR für Einwilligung ohne elterliche Beteiligung). Wir erheben wissentlich keine Daten von Kindern unter 13 Jahren (bzw. 16 im EWR). Sollten wir solche Daten entdecken, löschen wir sie unverzüglich. Eltern/Erziehungsberechtigte: Kontaktieren Sie hi@stretcha.co für Anfragen oder Löschwünsche.

8. Medizinischer und gesundheitlicher Haftungsausschluss

Loosen ist ein Wellness-Tool, kein Medizinprodukt, Diagnosedienst oder Ersatz für professionelle Beratung. Selbstauskunfts-Gesundheitsdaten werden ausschließlich zur Personalisierung von Routinen und zur Vermeidung potenzieller Risiken verwendet — sie werden nicht verifiziert und sind nicht als medizinische Anleitung gedacht. Konsultieren Sie immer einen Arzt oder Therapeuten, bevor Sie mit einem Trainingsprogramm beginnen, insbesondere bei bestehenden Erkrankungen. Wir übernehmen keine Haftung für Verletzungen oder gesundheitliche Probleme, die aus der Nutzung der App entstehen — die Teilnahme erfolgt auf eigene Verantwortung.

9. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung aktualisieren, um neue Funktionen, rechtliche Änderungen oder veränderte Praktiken widerzuspiegeln. Wesentliche Änderungen (z. B. neue Datenverwendungen) werden mindestens 30 Tage im Voraus per In-App-Banner oder E-Mail angekündigt. Ihre fortgesetzte Nutzung gilt als Zustimmung. Bitte prüfen Sie die Erklärung regelmäßig.

10. Kontakt und Beschwerden

Für Fragen, Rechteanfragen oder Beschwerden: hi@stretcha.co (Antwort innerhalb von 30 Tagen; 15 Tage gemäß CCPA). Sollte keine Einigung erzielt werden, können Sie sich an Ihre lokale Datenschutzbehörde wenden (z. B. Ihre nationale Aufsichtsbehörde in der EU, ICO im UK, CPPA in Kalifornien) oder eine Beschwerde einreichen.