Datenschutzerklärung

Zuletzt aktualisiert: 18. Oktober 2026

Diese Information nach Art. 13 und 14 der Verordnung (EU) 2016/679 („DSGVO“) erklärt, wie die Endurian-App für Apple Watch und iPhone („die App“) und die Website endurian.app deine personenbezogenen Daten verarbeiten.

1. Verantwortlicher

Pietro Senoner, Einzelperson, Viale Sabotino 19/2, 20135 Mailand (MI), Italien.
Kontakt für alle Datenschutzfragen: support@endurian.app.

Ein Datenschutzbeauftragter (DSB) wurde nicht benannt, da dies nicht vorgeschrieben ist.

2. Verarbeitete Daten, Zwecke und Rechtsgrundlagen

2.1 Konto und Anmeldung mit Apple

Daten: Apple-Nutzerkennung, E-Mail-Adresse (nur wenn du sie teilen möchtest; es kann eine anonyme Adresse des privaten E-Mail-Weiterleitungsdienstes von Apple sein) und Sitzungs-Token.
Zweck: dein Konto anlegen, dich authentifizieren und die Sitzung aufrechterhalten.
Rechtsgrundlage: Vertragserfüllung, also die Bereitstellung der App (Art. 6 Abs. 1 lit. b DSGVO).

2.2 Trainings, Health (HealthKit), Standort und Sensoren auf deinem Gerät

Die App liest und schreibt Daten in Health (Apple HealthKit) auf deinem iPhone und deiner Apple Watch, erst nachdem du die entsprechenden Berechtigungen erteilt hast, und nutzt GPS und Bluetooth-Sensoren, um deine Aktivität aufzuzeichnen. Diese Daten bleiben auf deinem Gerät und in Health und verlassen das Gerät nur in den unter 2.3 und 2.4 beschriebenen Fällen.

HealthKit-Daten werden nie für Werbung oder Marketing verwendet, nicht verkauft und nicht an Datenhändler weitergegeben. Du kannst die Berechtigungen jederzeit in den iOS-Einstellungen oder in der Health-App ändern oder widerrufen.

Rechtsgrundlage: deine Einwilligung über die iOS-Berechtigungen (Art. 6 Abs. 1 lit. a und, für Gesundheitsdaten, Art. 9 Abs. 2 lit. a DSGVO).

2.3 Zustellung von Trainingsdateien an Partnerdienste

Daten: Trainingsdateien im FIT-Format, die GPS-Strecke, Herzfrequenz, Geschwindigkeit, Zeiten und weitere Aktivitätsdaten enthalten können; ein Zustellprotokoll (Aktivitätskennungen, Datum und Uhrzeit, Zieldienst, Status).
Wann: Dateien werden nur dann auf die Server von Endurian hochgeladen, wenn du einen Partnerdienst verbunden hast, der über unseren Server läuft (derzeit Strava), und nur, um sie an diesen Dienst zuzustellen. Sie werden zu keinem anderen Zweck verwendet.
Speicherdauer: Die Dateien werden 30 Tage nach der Zustellung automatisch gelöscht, bei nie erfolgter Zustellung 30 Tage nach dem Hochladen. Das Zustellprotokoll (es enthält nicht den Inhalt deiner Trainings) wird so lange gespeichert, wie dein Konto besteht, damit wir wissen, was wohin zugestellt wurde, und Zustellfehler analysieren können.
Rechtsgrundlage: deine Einwilligung, die du mit dem Verbinden des Dienstes erteilst und durch Trennen widerrufen kannst (Art. 6 Abs. 1 lit. a und, für etwaige in den Dateien enthaltene Gesundheitsdaten, Art. 9 Abs. 2 lit. a DSGVO); für das Zustellprotokoll die Erbringung des von dir angeforderten Dienstes (Art. 6 Abs. 1 lit. b).

2.4 Verbindung mit Partnerdiensten

Auf deinen Wunsch verbindet sich Endurian über unsere Server mit Strava. Dropbox und Xert verbinden sich derzeit direkt von deinem iPhone aus: Ihre Token werden nur im Schlüsselbund (Keychain) deines iPhones gespeichert. TrainingPeaks, Komoot und Trailforks folgen in Kürze (noch nicht verfügbar).

• Zugangs-Token: Die Verbindung erfolgt per OAuth-Autorisierung. Die Strava-Token speichern wir verschlüsselt (AES-256-GCM) auf unseren Servern; die Token von Dropbox und Xert liegen nur im Schlüsselbund deines iPhones. Bei Xert erfolgt die Anmeldung derzeit mit Benutzername und Passwort: Das Passwort wird nie gespeichert, sondern nur die bei dieser Anmeldung erhaltenen Token.
• Von Partnern importierte Daten (zum Beispiel Strecken und geplante Trainings): werden an dein Gerät weitergegeben und nicht länger als 7 Tage auf unseren Servern gespeichert.
• Von Strava stammende Daten: werden nur dem Nutzer angezeigt, zu dem sie gehören, und niemals zum Training oder Betrieb von Systemen der künstlichen Intelligenz oder des maschinellen Lernens oder für Analysezwecke verwendet.
• Trennen oder Widerruf: Wenn du einen Dienst trennst oder seine Autorisierung beim Dienst selbst widerrufst, werden die Token sofort gelöscht und zugehörige Daten innerhalb von 30 Tagen.
• Rolle der Partner: Nach der Zustellung werden die Daten vom Partnerdienst als eigenständig Verantwortlichem nach dessen eigener Datenschutzerklärung verarbeitet (zum Beispiel Strava, Dropbox; bei den übrigen siehe die Website des Dienstes). Endurian hat keinen Einfluss darauf, was ein Partner nach der Zustellung mit den Daten tut.

Rechtsgrundlage: deine Einwilligung, die du jederzeit durch Trennen des Dienstes widerrufen kannst (Art. 6 Abs. 1 lit. a DSGVO). Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

2.5 Karten

Offline-Karten werden von maps.endurian.app heruntergeladen, das über Cloudflare (R2) ausgeliefert wird. Um die Dateien auszuliefern und den Dienst zu schützen, verarbeitet Cloudflare technische Anfragedaten, insbesondere deine IP-Adresse (Server-Logs). Wir nutzen diese Anfragen nicht, um dich zu profilieren. Die Quellen der Karten- und Höhendaten sind auf der Seite Quellen beschrieben.
Rechtsgrundlage: berechtigtes Interesse an Bereitstellung und Absicherung des Download-Dienstes (Art. 6 Abs. 1 lit. f DSGVO).

2.6 Push-Benachrichtigungen

Wenn du sie aktivierst, werden Push-Benachrichtigungen über den Push-Dienst von Apple zugestellt. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a), die du in den iOS-Einstellungen verwaltest.

2.7 Support per E-Mail

Wenn du uns an support@endurian.app schreibst, verarbeiten wir deine E-Mail-Adresse und den Inhalt deiner Nachricht, um dir zu antworten. Rechtsgrundlage: Maßnahmen auf deine Anfrage vor oder im Rahmen eines Vertrags sowie berechtigtes Interesse an der Bearbeitung von Anfragen (Art. 6 Abs. 1 lit. b und f).

2.8 Website

Die Website endurian.app verwendet keine Cookies, Analysewerkzeuge oder Werbung. Wie bei jeder Website kann der Hosting-Anbieter (Cloudflare) technische Zugriffsdaten wie die IP-Adresse verarbeiten, um den Dienst auszuliefern und zu schützen (Art. 6 Abs. 1 lit. f).

3. Empfänger und Dienstleister

• Cloudflare (Cloudflare, Inc. und Konzerngesellschaften): Hosting, Workers, D1-Datenbank und R2-Dateispeicher; Datenbank und Dateispeicher befinden sich in der Europäischen Union (EU-Jurisdiktion von Cloudflare).
• Apple (Apple Inc. und Konzerngesellschaften): Anmeldung mit Apple und Push-Benachrichtigungen.
• Partnerdienste, die du verbindest (Abschnitt 2.4), als eigenständig Verantwortliche.

Soweit Dienstleister Daten in unserem Auftrag verarbeiten, sind sie als Auftragsverarbeiter nach Art. 28 DSGVO eingebunden. Wir verkaufen keine Daten und geben sie nicht an Dritte für deren eigene Zwecke weiter. Wir können Daten offenlegen, wenn Gesetz oder Behörde dies verlangen.

4. Übermittlungen außerhalb des EWR

Cloudflare und Apple gehören zu Konzernen mit Sitz in den USA; Cloudflare kann außerdem technische Daten (z. B. die IP-Adresse) weltweit verarbeiten, um den Dienst auszuliefern und zu schützen. Übermittlungen in die USA stützen sich bei teilnehmenden Anbietern auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (10. Juli 2023) und in jedem Fall auf die von der Europäischen Kommission genehmigten Standardvertragsklauseln, gegebenenfalls mit zusätzlichen Maßnahmen. Wenn du einen Partnerdienst mit Sitz außerhalb des EWR verbindest, werden Daten auf deinen Wunsch an diesen Dienst übermittelt.

5. Was wir nicht tun

Wir zeigen keine Werbung, setzen keine Analyse- oder Tracking-Werkzeuge ein, erstellen keine Nutzerprofile, verkaufen keine Daten und verwenden sie nicht, um Systeme der künstlichen Intelligenz zu trainieren.

6. Speicherdauer

7. Sicherheit

Die Kommunikation mit unseren Servern erfolgt über eine verschlüsselte Verbindung (HTTPS), und die Token der Partnerdienste werden verschlüsselt gespeichert (AES-256-GCM). Kein System ist vollkommen sicher: Bei einer Datenschutzverletzung mit einem Risiko für dich nehmen wir die nach Art. 33 und 34 DSGVO vorgesehenen Meldungen vor.

8. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung oder Löschung deiner Daten, auf Einschränkung der Verarbeitung, auf Erhalt der Daten in einem strukturierten, gängigen Format (Datenübertragbarkeit) und auf Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen (Art. 15-21 DSGVO). Beruht die Verarbeitung auf einer Einwilligung, kannst du sie jederzeit widerrufen, ohne dass die frühere Verarbeitung dadurch rechtswidrig wird.

Um deine Rechte auszuüben, schreib an support@endurian.app; wir antworten innerhalb eines Monats, in den von der DSGVO vorgesehenen komplexen Fällen verlängerbar um zwei weitere Monate. Außerdem hast du das Recht, Beschwerde bei der italienischen Datenschutzbehörde, dem Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Rom, garanteprivacy.it), oder bei der Aufsichtsbehörde des EU-Landes einzulegen, in dem du lebst oder arbeitest.

9. Konto löschen

Du kannst dein Konto jederzeit direkt in der App löschen. Dabei löschen wir dein Konto und alle deine Daten auf unseren Servern (Kontodaten, Zustellprotokoll und noch vorhandene Dateien), aus deiner Sicht sofort. Wir versuchen sofort, die Autorisierungen bei Apple und den Partnerdiensten zu widerrufen; ist ein Partner vorübergehend nicht erreichbar, wird der Versuch bis zu 7 Tage lang automatisch wiederholt, und zwar nur mit dem verschlüsselten Token (weitere Daten über dich speichern wir nicht). Daten in Health auf deinem Gerät und bereits an Partnerdienste zugestellte Daten liegen außerhalb unserer Kontrolle: Wende dich bei Letzteren an den betreffenden Dienst.

10. Kinder

Endurian richtet sich nicht an Kinder unter 14 Jahren. In Italien kann ein Minderjähriger ab 14 Jahren selbst wirksam in die Verarbeitung seiner Daten im Zusammenhang mit Diensten der Informationsgesellschaft einwilligen (Art. 2-quinquies des Gesetzesdekrets 196/2003); darunter ist die Zustimmung der Inhaber der elterlichen Verantwortung erforderlich. Andere EU-Länder können abweichende Altersgrenzen (zwischen 13 und 16 Jahren) festlegen. Wir erheben wissentlich keine Daten von Kindern unter 14 Jahren: Wenn du glaubst, dass ein Kind ein Konto angelegt hat, schreib uns, und wir löschen es.

11. Bereitstellungspflicht und automatisierte Entscheidungen

Die Angabe deiner Kontodaten ist erforderlich, um Funktionen zu nutzen, die ein Konto voraussetzen; das Verbinden von Partnerdiensten und die Berechtigungen für Health sind freiwillig. Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten.

12. Änderungen

Wir können diese Erklärung aktualisieren, zum Beispiel wenn wir Funktionen oder Partnerdienste hinzufügen. Die neue Fassung veröffentlichen wir auf dieser Seite mit dem Datum der Aktualisierung und informieren dich bei wesentlichen Änderungen in geeigneter Weise.