Datenschutzerklärung

Stand: 29. Oktober 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Julius Enderle Webentwicklung (Einzelunternehmen)
Vincenzstraße 25
65719 Hofheim am Taunus
E-Mail: julius@enderleweb.de

Ein betrieblicher Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen nach § 38 BDSG / Art. 37 DSGVO nicht vorliegen (Einzelunternehmen, keine Mitarbeiter mit regelmäßiger automatisierter Verarbeitung personenbezogener Daten).

2. Überblick der Verarbeitungen

Sculpta ist eine Fitness- und Körperanalyse-Anwendung. Wir verarbeiten personenbezogene Daten, um euch Zugang zur Plattform zu geben, eure Analyseergebnisse, Trainings- und Ernährungsdaten zu speichern und — auf Basis eurer hochgeladenen Fotos — KI-gestützte Körperanalysen und individuelle Trainings-/Ernährungspläne zu erstellen. Die folgenden Abschnitte beschreiben jede Verarbeitung einzeln.

3. Registrierung & Konto

Bei der Registrierung verarbeiten wir:

• E-Mail-Adresse und Passwort (das Passwort speichern wir nicht im Klartext, sondern ausschließlich als Hash bei unserem Auth-Anbieter Supabase)
• optional: euren vollständigen Namen
• optional, in eurem Profil: Geburtsdatum, Geschlecht, Körpergröße und Körpergewicht
• optional: ein Einladungscode, wenn ihr euch über den Einladungslink einer anderen Person registriert (wir speichern, von wem ihr eingeladen wurdet)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags — ihr könnt die App ohne Konto nicht nutzen).

4. Körperfotos & KI-Analyse (besondere Kategorien personenbezogener Daten)

Für die Körperanalyse ladet ihr Fotos eures Körpers hoch. Diese Fotos werden zur Analyse an den KI-Anbieter Google (Gemini API) übermittelt (siehe Abschnitt 7) und liefern Schätzwerte (z. B. Körperfettanteil, Muskelverteilung), auf deren Basis individuelle Trainings- und Ernährungsempfehlungen erstellt werden.

Fotos, die Rückschlüsse auf den Gesundheits- oder Körperzustand einer Person zulassen, können als Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO gelten — eine besondere Kategorie personenbezogener Daten mit erhöhtem Schutzbedarf. Wir verarbeiten diese Fotos deshalb ausschließlich auf Grundlage eurer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die ihr vor dem ersten Upload separat und aktiv erteilt — nicht als Teil allgemeiner Vertragsbedingungen. Ihr könnt diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel per E-Mail an julius@enderleweb.de. Zusätzlich könnt ihr in den Konto-Einstellungen jederzeit alle gespeicherten Fotos oder euer gesamtes Konto löschen.

Aufbewahrung: Euer Zielfoto wird nur für die Analyse verwendet und nicht gespeichert. Euer aktuelles Foto (Ausgangsfoto) und die Fotos aus späteren Fortschrittsanalysen werden in unserem Speicher (Supabase Storage, EU) aufbewahrt, damit Fortschritte verglichen werden können. Temporär beim Upload entstehende Dateien werden nach Abschluss der Analyse automatisch gelöscht. In den Konto-Einstellungen könnt ihr über „Meine Fotos löschen“ jederzeit alle gespeicherten Fotos entfernen; die Analyseergebnisse (z. B. Körperfettwerte) bleiben dann erhalten, es stehen aber keine Vorher/Nachher-Fotos mehr zur Verfügung. Macht ihr eure Erstanalyse neu, wird auch das Foto der ersetzten Analyse gelöscht.

Es findet keine ausschließlich automatisierte Entscheidungsfindung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung (Art. 22 DSGVO) statt. Die KI-Ergebnisse sind Schätzungen zur Orientierung und keine medizinische Diagnose.

5. Trainings-, Ernährungs- und Körperdaten

Während der Nutzung speichern wir euer Trainingsprotokoll, Gewichts- und Körperfettverlauf, Ernährungs-/Wasser-Logs, Trainingsroutinen, Gewohnheiten (Habits) sowie eure Einstellungen (z. B. Maßeinheiten, Trainingsziel, verfügbares Equipment). Diese Daten liegen serverseitig in unserer Datenbank (Supabase/PostgreSQL) und werden pro Nutzerkonto isoliert gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — das ist der Kernfunktionsumfang der App).

Einladungsfunktion: Jedes Konto erhält einen persönlichen Einladungscode. Registriert sich jemand über den Einladungslink, ordnen wir das neue Konto dem einladenden Konto zu. Nach der Bestätigung der E-Mail-Adresse des neuen Kontos erhält die einladende Person eine Belohnung (z. B. einen Monat Pro bzw. eine Gutschrift) und sieht lediglich die Anzahl der erfolgreichen Einladungen — keine Namen oder E-Mail-Adressen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. lit. f DSGVO (berechtigtes Interesse an Weiterempfehlung und Missbrauchsvermeidung).

6. Technisch notwendige Speicherung im Browser

Wir verwenden keine Tracking- oder Marketing-Cookies. Der Browser speichert lediglich technisch notwendige Daten im sogenannten localStorage — insbesondere euren Anmelde-Token, eure Spracheinstellung, einen Einladungscode (falls ihr über einen Einladungslink kommt) und eine lokale Kopie eurer Nutzerdaten, damit die App auch ohne ständige Server-Anfragen schnell reagiert. Diese Speicherung ist gemäß § 25 Abs. 2 Nr. 2 TDDDG von der Einwilligungspflicht ausgenommen, da sie unbedingt erforderlich ist, um den von euch ausdrücklich gewünschten Dienst (die App-Funktionalität) bereitzustellen. Ein Cookie-Consent-Banner ist daher nicht erforderlich, solange keine zusätzlichen, nicht notwendigen Speichertechnologien (z. B. Analyse- oder Marketing-Tools) eingesetzt werden. Der Bezahlvorgang findet auf einer von Stripe gehosteten Seite statt; auf unseren eigenen Seiten werden dafür keine zusätzlichen Skripte oder Cookies von Stripe eingebunden.

7. Eingesetzte Dienstleister (Auftragsverarbeiter)

Wir setzen folgende Dienstleister ein, mit denen — soweit erforderlich — Auftragsverarbeitungsverträge nach Art. 28 DSGVO bestehen:

Server-Logfiles: Beim Aufruf unserer Seiten verarbeitet der Hosting-Anbieter technisch bedingt Zugriffsdaten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser-Informationen), um den sicheren und stabilen Betrieb zu gewährleisten und Angriffe abzuwehren. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Die Logfiles werden nur so lange aufbewahrt, wie es dafür erforderlich ist.

Kamera: Für den Barcode-Scanner fragt euer Browser nach Kamerazugriff. Das Kamerabild wird ausschließlich lokal in eurem Browser ausgewertet und nicht an uns oder Dritte übertragen; die dafür nötige Programmbibliothek wird von unserem eigenen Server ausgeliefert.

8. Datenübermittlung in Drittländer

Eure Konto-, Trainings-, Ernährungs- und Fotodaten werden in Irland (Region „EU West") und damit innerhalb der Europäischen Union gespeichert (Supabase). Eine Übermittlung dieser Daten in ein Drittland findet nicht statt.

Übermittlungen in Drittländer können in zwei Fällen auftreten: bei der KI-Auswertung hochgeladener Fotos über die Gemini API (Google) sowie bei der Zahlungsabwicklung über Stripe. In beiden Fällen stützen wir die Übermittlung in die USA auf das EU-US Data Privacy Framework bzw. auf EU-Standardvertragsklauseln (SCC).

9. Speicherdauer & Löschung

Wir speichern eure Daten, solange euer Konto besteht. Über die Konto-Einstellungen könnt ihr euer Konto jederzeit selbst löschen — dabei werden euer Nutzerkonto, die damit verknüpften Trainings-, Ernährungs- und Einstellungsdaten, die Analyseergebnisse sowie eure gespeicherten Fotos entfernt, und ein laufendes Abonnement wird gekündigt. Gesetzliche Aufbewahrungspflichten (z. B. aus dem Handels- oder Steuerrecht, etwa für Rechnungsdaten bei Stripe) bleiben hiervon unberührt und können eine längere Aufbewahrung einzelner Daten erfordern.

10. Eure Rechte

Euch stehen nach der DSGVO folgende Rechte zu:

• Auskunft (Art. 15 DSGVO) über die von uns verarbeiteten Daten
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) — teilweise direkt über „Konto löschen" in den Einstellungen möglich
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) — nutzbar über die Funktion „Meine Daten exportieren" in den Einstellungen
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigten Interesses (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) — insbesondere relevant für die Einwilligung zur Verarbeitung eurer Körperfotos, siehe Abschnitt 4
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), z. B. beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI), zuständig für unseren Firmensitz in Hofheim am Taunus

Zur Ausübung dieser Rechte genügt eine E-Mail an julius@enderleweb.de.

11. Datensicherheit

Wir treffen folgende technische und organisatorische Maßnahmen nach Art. 32 DSGVO:

• Die gesamte Übertragung zwischen eurem Gerät und unseren Servern erfolgt verschlüsselt über TLS/HTTPS.
• Passwörter werden ausschließlich als kryptografischer Hash gespeichert, niemals im Klartext — auch wir können sie nicht einsehen.
• Die Registrierung erfordert eine Bestätigung der E-Mail-Adresse, um die Anlage von Konten mit fremden Adressen zu erschweren.
• Der Datenbankzugriff ist durch zeilenbasierte Zugriffsregeln (Row Level Security) abgesichert, sodass Nutzer:innen ausschließlich auf ihre eigenen Datensätze zugreifen können.
• Hochgeladene Körperfotos liegen in einem nicht öffentlich erreichbaren Speicherbereich. Der Abruf erfolgt ausschließlich über kurzlebige, signierte Links; es existiert keine öffentlich aufrufbare Foto-URL.
• Zugangsschlüssel zu Datenbank und eingesetzten Diensten werden ausschließlich serverseitig als Umgebungsvariablen vorgehalten und sind nicht im ausgelieferten Anwendungscode enthalten.
• Der administrative Zugriff auf Produktivdaten ist auf den Verantwortlichen beschränkt (Einzelunternehmen ohne weitere Mitarbeitende).
• Vom Hosting-Anbieter werden täglich Sicherungskopien erstellt.
• Eingesetzte Softwarepakete werden regelmäßig auf bekannte Sicherheitslücken geprüft und aktualisiert; der Server sendet Sicherheits-Header (u. a. gegen Clickjacking) und erlaubt Browser-Zugriffe auf die Schnittstelle nur von der eigenen Domain (CORS).

12. Minderjährige

Unser Angebot richtet sich nicht an Kinder. Die Nutzung setzt voraus, dass ihr mindestens 16 Jahre alt seid bzw. die Einwilligung eures gesetzlichen Vertreters vorliegt.

13. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, sobald sich unsere Datenverarbeitung ändert (z. B. neue Dienstleister, neue Funktionen). Die jeweils aktuelle Fassung ist immer auf dieser Seite abrufbar.