Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist: VeloWatt UG (haftungsbeschränkt) Hoher Weg 3, 26605 Aurich Deutschland Vertreten durch: Niels Meereboer, Geschäftsführer E-Mail: support@ridevelowatt.com

Zu allem, was Ihre Daten betrifft, schreiben Sie an support@ridevelowatt.com.

2. Geltungsbereich, und was wir nie tun

Diese Website (ridevelowatt.com), der Kontodienst, mit dem die App und die Kontoseiten sprechen (api.ridevelowatt.com), die App VeloWatt Pro, das gemeinsame Fahren mit anderen und die Trainingsdienste, die Sie verbinden können. VeloWatt Pro richtet sich an Personen ab 18 Jahren und nicht an Kinder.

Was diese Erklärung sonst auch sagt, wir werden nie:

• Ihre Daten verkaufen oder sie jemandem für dessen eigene Zwecke geben;
• Werbung zeigen oder zulassen, dass Sie auf dieser Website oder in der App verfolgt werden;
• Ihre Fahrten, Ihre Herzfrequenz oder etwas, das uns ein verbundener Dienst gibt, zum Training von Modellen des maschinellen Lernens oder der KI verwenden;
• ein Profil von Ihnen bilden oder Ihre Daten mit Daten aus anderen Quellen zusammenführen;
• etwas darüber lesen, aufzeichnen oder senden, was Sie ansehen, während Sie über einem Video fahren.

3. Diese Website

Die Website setzt keine Cookies, verwendet keine Analysewerkzeuge und lädt nichts von anderen Unternehmen: Schriften und Bilder kommen von diesem Server. Ihr Browser merkt sich, ob Sie das helle oder dunkle Design gewählt haben, nur auf Ihrem Gerät; diese Speicherung haben Sie selbst veranlasst, und die Seite braucht sie, um zu tun, worum Sie gebeten haben (§ 25 Abs. 2 Nr. 2 TDDDG).

Der Server erhält die technischen Daten, die jede Webanfrage mitbringt (IP-Adresse, Zeit, Seite, Browser), um sie zu beantworten, und führt darüber kein Zugriffsprotokoll. Rechtsgrundlage: unser berechtigtes Interesse, die von Ihnen aufgerufene Website auszuliefern (Art. 6 Abs. 1 lit. f DSGVO).

4. Ihr Konto

Um VeloWatt Pro zu nutzen, melden Sie sich mit Ihrer E-Mail-Adresse und einem Einmalcode an, den wir Ihnen dorthin senden; die erste Anmeldung legt das Konto an. Wir speichern Ihre Adresse, den Namen, unter dem Sie fahren, die Rechner, auf denen Sie angemeldet sind (nach Art -- „Mac", „Windows-PC" --, nie mit dem eigenen Namen des Rechners), und wann jeder zuletzt gesehen wurde, welche Fassung der AGB Sie wann akzeptiert haben, dass Sie bestätigt haben, mindestens 18 Jahre alt zu sein, und, wenn Sie abonniert haben, dass Sie den sofortigen Beginn verlangt haben. Rechtsgrundlage: der Vertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO). Kein Gesetz verpflichtet Sie, uns diese Angaben zu machen; ohne E-Mail-Adresse können wir Ihnen aber kein Konto einrichten.

Damit Sie angemeldet bleiben, legt die App ein Anmeldetoken im Schlüsselbund Ihres Systems ab und die Kontoseite ein Cookie in Ihrem Browser. Beides ist für den von Ihnen gewünschten Dienst unbedingt erforderlich und dient nichts anderem (§ 25 Abs. 2 Nr. 2 TDDDG). Die App bewahrt außerdem Ihre Einstellungen und Fahrten auf Ihrem Rechner auf; sie gehören Ihnen und werden nirgendwohin gesendet, außer diese Erklärung sagt es.

Wenn Sie sich im Browser auf der Kontoseite anmelden, lässt die Seite zuerst von Cloudflare Turnstile prüfen, dass ein Mensch fragt, bevor ein Code per E-Mail verschickt wird. Das Skript läuft in Ihrem Browser, liest technische Merkmale aus (etwa Ihre IP-Adresse und den Browser selbst) und setzt kein Cookie; wir erfahren nur, ob die Prüfung bestanden wurde. Wir tun das, damit niemand Anmeldecodes an fremde Adressen schicken lassen kann, und verwenden die Angaben für nichts anderes. Rechtsgrundlage: unser berechtigtes Interesse, den Dienst und die Postfächer anderer vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO); der Zugriff auf Ihren Browser ist für die von Ihnen gewünschte Anmeldung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die Anmeldung in der App nutzt es nicht.

5. Testphase, Abonnement und Zahlung

Die Testphase dauert 14 Tage und braucht keine Karte. Damit sie einmal pro Person genutzt wird, speichern wir einen verschlüsselten Fingerabdruck der Adresse (nicht die Adresse selbst) für bis zu zwei Jahre. Rechtsgrundlage: unser berechtigtes Interesse daran, dass die Testphase nicht wiederholt wird (Art. 6 Abs. 1 lit. f DSGVO).

Abonnements verkauft und berechnet Stripe als Wiederverkäufer (Merchant of Record). Stripe erhält Ihre Zahlungsdaten und Rechnungsadresse direkt und verarbeitet sie als eigener Verantwortlicher nach seiner eigenen Datenschutzerklärung (https://stripe.com/de/privacy); Ihre Karte sehen wir nie. Wir geben Stripe Ihre E-Mail-Adresse und die Kennung Ihres Kontos, damit das Abonnement Ihrem Konto zugeordnet ist, und erhalten von Stripe den Stand Ihres Abonnements und welche Zeiträume bezahlt sind. Rechtsgrundlage: der Vertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO).

Unterlagen, die wir nach Steuer- und Handelsrecht aufbewahren müssen, bewahren wir so lange auf, wie dieses Recht es verlangt (Art. 6 Abs. 1 lit. c DSGVO), unabhängig von Ihrem Konto: Das Löschen des Kontos löscht sie nicht.

6. Fahrten, Workouts, Herzfrequenz und Ihr Profil

**Sicherungen sind aus, bis Sie sie einschalten.** Eine beendete Fahrt bleibt auf Ihrem Rechner. Ohne Ihr Zutun wird nichts über Ihr Fahren auf unseren Servern gespeichert -- Sie schalten es in der App oder auf der Kontoseite ein. Dann werden beendete Fahrten gesichert, damit sie mit einem Rechner nicht verloren gehen -- Zeit, Position in der virtuellen Welt, Geschwindigkeit, Leistung, Trittfrequenz --, und Ihre Workouts ebenso. Rechtsgrundlage: der Vertrag mit Ihnen, zu dem die von Ihnen eingeschalteten Sicherungen gehören (Art. 6 Abs. 1 lit. b DSGVO). Das Ausschalten beendet neue Sicherungen; das Löschen des bereits Gespeicherten ist eine eigene Schaltfläche daneben, damit ein umgelegter Schalter nicht versehentlich eine ganze Saison vernichtet.

**Die Herzfrequenz ist ein Gesundheitsdatum** (Art. 9 DSGVO) und erreicht uns nur mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Ist ein Herzfrequenzgurt verbunden, speichert die App seine Werte in der Fahrt auf Ihrem eigenen Rechner; sie gehört Ihnen, und wir sehen sie nie. Ob die Herzfrequenz Ihren Rechner verlässt -- mit einer hier gespeicherten Sicherung und von hier an einen verbundenen Trainingsdienst --, ist ein eigener Schalter, „Herzfrequenz senden“, getrennt von den Sicherungen und aus, bis Sie ihn einschalten; die App fragt, wenn sich ein Gurt verbindet, während Ihre Fahrten irgendwohin gehen. Ohne sie werden aus einer Fahrt, die Ihren Rechner verlässt, vorher alle Herzfrequenzwerte entfernt, und eine Fahrt mit Herzfrequenz nehmen wir nicht an. Mit ihr geht die Herzfrequenz mit Ihren Fahrten dorthin, wohin Sie sie schicken lassen. Wir halten fest, wann Sie sie erteilt und widerrufen haben, und unter welcher Fassung dieser Erklärung.

Sie können Ihre Einwilligung jederzeit mit demselben Schalter in der App oder auf der Kontoseite widerrufen. Ab dann verlassen Fahrten Ihren Rechner ohne Herzfrequenz, und hier wird keine gespeichert oder weitergegeben; die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO). Bereits hier gespeicherte Herzfrequenz bleibt, bis Sie Ihre Sicherungen löschen oder Ihr Konto löschen; beides können Sie jederzeit. Eine ohne Herzfrequenz gesicherte Fahrt wird nach einer späteren Einwilligung nicht erneut mit ihr gesendet.

Ihr Fahrerprofil -- der Name, unter dem Sie fahren, Ihre Schwellenleistung (FTP), Ihr Gewicht, Ihr Rad und Ihre Ausstattung und die Sprache, in der Sie lesen -- wird unabhängig von den Sicherungen synchronisiert: Ein zweiter Rechner braucht es, und die Physik, die aus Ihrer Leistung eine Geschwindigkeit macht, ebenso. Rechtsgrundlage: der Vertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO). Es bleibt beim Löschen der Sicherungen erhalten und geht mit Ihrem Konto.

Wenn Sie über einem Video fahren, zeigt die App ihr Feld über Ihren anderen Fenstern und meldet beim System ihre wenigen eigenen Tastenkürzel an; das System teilt ihr nur mit, wenn eines davon gedrückt wird. Ihre übrigen Tasten liest sie nicht, und sie erfasst oder zeichnet weder Ihren Bildschirm noch das, was darauf läuft, auf. Nichts davon verlässt Ihren Rechner.

7. Gemeinsam fahren

In einer gemeinsamen Welt sehen die Mitfahrenden in Ihrem Raum den Namen, unter dem Sie fahren, wie Ihre Figur aussieht, wo Sie sind, sowie Ihre Geschwindigkeit, Leistung und Ihr Gewicht, während Sie fahren -- denn gemeinsam fahren heißt im Windschatten und am Berg nebeneinander fahren. Ihre Herzfrequenz und Trittfrequenz sehen sie nie, und sonst nichts über Ihr Konto. Rechtsgrundlage: der Vertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO). Wählen Sie einen Namen, den Fremde sehen dürfen.

Das Relay, das dies überträgt, ist unseres, läuft in Frankfurt, und die Verbindung dorthin ist verschlüsselt. Es behält nach der Fahrt nichts; seine Protokolle behalten 14 Tage lang eine gekürzte Netzadresse, um den Dienst vor Missbrauch zu schützen. Rechtsgrundlage: unser berechtigtes Interesse an einem Dienst, der funktioniert und nicht missbraucht werden kann (Art. 6 Abs. 1 lit. f DSGVO).

8. Trainingsdienste, die Sie verbinden

Sie können VeloWatt Pro mit einem Trainingsdienst verbinden, damit Ihre Fahrten von selbst dort ankommen und Sie, wo der Dienst einen Kalender hat, geplante Workouts hineinlegen können. Verbinden lassen sich Strava und intervals.icu, jeweils sobald es in der App verfügbar ist. Verbunden wird nichts, was Sie nicht selbst verbinden, und an einen Dienst geht nichts, bevor Sie es getan haben.

**Worum wir einen Dienst bitten.** Beim Verbinden werden Sie zum Dienst selbst geleitet, um VeloWatt Pro Zugriff zu gewähren, und wir bitten nur um das, was die Verbindung braucht: bei Strava um die Berechtigung, Aktivitäten hochzuladen und umzubenennen (activity:write) und Aktivitäten zu lesen (activity:read_all), die wir nur nutzen, um die von uns hochgeladenen Aktivitäten zu finden; bei intervals.icu um die Berechtigung, Aktivitäten hochzuladen und in Ihren Kalender zu schreiben (ACTIVITY:WRITE, CALENDAR:WRITE).

**Was wir senden.** Fahrten, die Sie nach dem Verbinden beenden, als FIT-Dateien: Zeit, Leistung, Geschwindigkeit, Trittfrequenz, Strecke und Route, die Herzfrequenz nur, solange Sie darin eingewilligt haben (Abschnitt 6). Den Namen, den Sie einer Fahrt geben, damit eine hier umbenannte Fahrt auch dort umbenannt wird. Und an intervals.icu die Workouts, die Sie in dessen Kalender legen. Fahrten, die Sie vor dem Verbinden beendet haben, werden nie gesendet, und ein erneutes Verbinden nach dem Trennen gilt ab dann. Eine aus einer Datei importierte Fahrt wird nur gesendet, wenn Sie es verlangen.

**Was wir von einem Dienst lesen und behalten.** Nur, was die Verbindung braucht: Ihre Athletennummer dort und für jede gesendete Fahrt die Nummer, die der Dienst ihr gibt, und ob sie angekommen ist. Ihr Profil, Ihren Namen, Ihre anderen Aktivitäten, Ihre Follower und alles andere in Ihrem Konto dort lesen wir nicht.

**Was wir damit nie tun.** Daten, die wir von einem Dienst erhalten oder für ihn bereithalten, dienen einem einzigen Zweck: der Verbindung, die Sie verlangt haben. Sie werden nicht verkauft, an niemanden weitergegeben, nicht für Werbung, Statistik oder Profiling genutzt, nicht mit anderen Daten zusammengeführt und nicht zum Training von Modellen des maschinellen Lernens oder der KI verwendet.

**Wie sie geschützt sind.** Der Zugriff, den ein Dienst gewährt, wird verschlüsselt gespeichert, mit einem Schlüssel, der getrennt von der Datenbank aufbewahrt wird, und nie an die App auf Ihrem Rechner gesendet: Nur unser Server verwendet ihn, über verschlüsselte Verbindungen, um mit dem Dienst zu sprechen.

**Wie eine Verbindung endet.** Trennen Sie sie in der App oder auf der Kontoseite, entziehen Sie VeloWatt Pro den Zugriff in den Einstellungen des Dienstes, oder löschen Sie Ihr Konto. Jedes davon beendet die Verbindung. Wir entziehen dann den Zugriff beim Dienst, wo er es uns erlaubt, und löschen den Zugriff und alles, was wir von dem Dienst oder für ihn behalten haben, sofort aus unseren Systemen: unmittelbar, wenn der Dienst uns mitteilt, dass Sie den Zugriff entzogen haben (Strava tut das), sonst beim nächsten Versuch, ihn zu erreichen. Datenbanksicherungen, die es noch enthalten, werden nicht länger aufbewahrt, als Abschnitt 15 sagt, dienen nur der Wiederherstellung des Dienstes, und eine Löschung wird auf jede Sicherung, die wir wiederherstellen, erneut angewendet.

Bei ausgeschalteten Sicherungen wird eine beendete Fahrt nur zur Weitergabe an uns gesendet: Sie wird nicht als Sicherung aufbewahrt, und ihre Aufzeichnung wird gelöscht, sobald jeder verbundene Dienst sie hat, spätestens nach sieben Tagen. Ein kurzer Vermerk, dass sie gesendet wurde, bleibt bei Ihrem Konto, damit die App es anzeigen kann und dieselbe Fahrt nicht zweimal gesendet wird.

Rechtsgrundlage: Ihre Einwilligung, die Sie mit dem Verbinden erteilen (Art. 6 Abs. 1 lit. a DSGVO, für die Herzfrequenz Art. 9 Abs. 2 lit. a); das Trennen widerruft sie. Ist eine Fahrt bei einem Dienst angekommen, verarbeitet er sie als eigener Verantwortlicher nach seiner eigenen Datenschutzerklärung; hier gelöscht, ist sie dort nicht gelöscht. Wo ein Dienst außerhalb der EU sitzt, sagt Abschnitt 14, auf welcher Grundlage sie dorthin gesendet wird. Die Positionen einer Fahrt sind Punkte des realen Ortes, auf dem eine virtuelle Welt aufgebaut ist, nicht Ihr Aufenthaltsort.

9. E-Mails

Wir schreiben Ihnen nur, wenn mit Ihrem Konto etwas geschehen ist: ein Anmeldecode, eine fehlgeschlagene Zahlung, eine Kündigung oder ein Widerruf und deren Bestätigung, eine bald endende Testphase, eine Änderung der AGB, ein gelöschtes Konto. Rechtsgrundlage: der Vertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO). Es gibt keinen Newsletter und keine Werbe-E-Mails.

10. Updates und Welten

Die App sucht nach Updates und lädt Welten von unseren Servern, über Cloudflare. Eine Update-Abfrage trägt kein Konto, keine Kennung und nichts über Sie außer dem, was jede Anfrage mitbringt (Ihre IP-Adresse); die Zahl, mit der die App ihre Abfragen taktet, bleibt auf Ihrem Rechner. Rechtsgrundlage: unser berechtigtes Interesse und unsere Pflicht, die von Ihnen genutzte App aktuell und sicher zu halten (Art. 6 Abs. 1 lit. f DSGVO, § 327f BGB). Die App sendet keine Nutzungsstatistik und keine Absturzberichte.

11. Wer Daten für uns verarbeitet

Jeder arbeitet ausschließlich nach unseren Weisungen auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Die folgende Liste ist die aktuell genutzte; ändert sie sich, ändert sich diese Erklärung mit.

• Akamai Technologies (Linode), Server in Frankfurt: die Website, der Kontodienst und das Relay.
• Supabase, Datenbank und Anmeldung in der EU (Frankfurt), versendet die Anmeldecodes.
• Mailgun (Sinch), Versand von E-Mails aus der EU-Region.
• Cloudflare, Speicher für Fahrtensicherungen, Downloads und Datenbanksicherungen (R2), Auslieferung der App und ihrer Welten sowie die Prüfung, dass eine Anmeldung auf der Kontoseite von einem Menschen kommt (Turnstile).

12. Wie Ihre Daten geschützt sind

Wir schützen, was wir speichern, mit technischen und organisatorischen Maßnahmen, die ihm angemessen sind (Art. 32 DSGVO). Insbesondere:

• jede Verbindung zu dieser Website, dem Kontodienst und dem Relay ist verschlüsselt;
• gespeicherte Daten werden von den Anbietern, die sie halten, im Ruhezustand verschlüsselt, und der Zugriff, den ein verbundener Trainingsdienst gewährt, wird zusätzlich mit einem eigenen Schlüssel verschlüsselt, der getrennt von der Datenbank aufbewahrt wird;
• die Anmeldung erfolgt mit einem Einmalcode, es gibt also kein Passwort von Ihnen, das man uns stehlen könnte;
• der Kontodienst speichert in seinen Protokollen keine IP-Adressen, das Relay nur eine gekürzte, und Protokolle werden nach 14 Tagen gelöscht;
• Zugang zu den Servern und zur Datenbank haben nur die Personen, die den Dienst betreiben, mit Zwei-Faktor-Authentifizierung für jedes Verwaltungskonto;
• die Speicherfristen in Abschnitt 15 setzt die Software selbst durch, und eine Löschung wird auf jede Sicherung, die wir wiederherstellen, erneut angewendet.

13. Wenn etwas schiefgeht

Betrifft eine Verletzung der Sicherheit personenbezogene Daten, melden wir sie, wo das Gesetz es verlangt, innerhalb von 72 Stunden, nachdem wir davon erfahren haben, der Aufsichtsbehörde (Art. 33 DSGVO), benachrichtigen Sie unverzüglich, wenn sie ein hohes Risiko für Ihre Rechte mit sich bringt (Art. 34 DSGVO), und informieren jeden Trainingsdienst, dessen Daten betroffen sind, wie es unsere Vereinbarung mit ihm verlangt. Eine Sicherheitslücke melden Sie wie unter https://ridevelowatt.com/security/ beschrieben.

14. Übermittlungen außerhalb der EU

Unsere Auftragsverarbeiter speichern Ihre Daten in der EU, wo sie es anbieten. Einige von ihnen oder Unternehmen ihrer Gruppe haben ihren Sitz in den Vereinigten Staaten und können von dort auf Daten zugreifen -- etwa für Support oder den Betrieb ihres Dienstes. Soweit das geschieht, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US-Datenschutzrahmen für ein danach zertifiziertes Unternehmen (Art. 45 DSGVO), andernfalls auf die Standardvertragsklauseln der Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Teil unseres Vertrags mit dem jeweiligen Anbieter sind. Eine Kopie erhalten Sie auf Anfrage.

Die Trainingsdienste, die Sie verbinden können, haben ihren Sitz außerhalb der EU: Strava in den Vereinigten Staaten, intervals.icu außerhalb der EU. Ist ein Dienst nach dem EU-US-Datenschutzrahmen zertifiziert, stützt sich das Senden Ihrer Fahrten auf diesen Angemessenheitsbeschluss (Art. 45 DSGVO). Andernfalls gibt es für sein Land womöglich keinen Angemessenheitsbeschluss, und sein Schutz Ihrer Daten entspricht vielleicht nicht dem der EU; die App sagt das, bevor Sie verbinden, und das Senden stützt sich auf Ihre ausdrückliche Einwilligung, die Sie nach diesem Hinweis mit dem Verbinden erteilen (Art. 49 Abs. 1 lit. a DSGVO), und darauf, dass es nötig ist, um zu tun, worum Sie uns gebeten haben (Art. 49 Abs. 1 lit. b DSGVO). Es geschieht nur, weil Sie den Dienst verbunden haben (Abschnitt 8).

15. Speicherdauer

• Ihr Konto und alles darin: bis Sie das Konto löschen.
• Hier gesicherte Fahrten und Workouts: solange die Sicherungen eingeschaltet sind, und bis Sie sie löschen oder das Konto löschen. Das Ausschalten beendet neue Sicherungen.
• Herzfrequenz in diesen Fahrten: ebenso, und keine neue, sobald Sie Ihre Einwilligung widerrufen.
• Was uns ein verbundener Trainingsdienst mitgeteilt hat (Ihre Kontonummer dort und seine Nummer für jede gesendete Fahrt): bis Sie ihn trennen, hier oder in den Einstellungen des Dienstes.
• Eine bei ausgeschalteten Sicherungen nur an einen Trainingsdienst weitergegebene Fahrt: bis jeder verbundene Dienst sie hat, höchstens sieben Tage; der Vermerk, dass sie gesendet wurde, bis Sie die Fahrt oder das Konto löschen.
• Datenbanksicherungen: bis zu 30 Tage, monatliche Kopien bis zu 12 Monate. Eine Löschung wird auf jede Kopie, die aus der Zeit davor wiederhergestellt wird, erneut angewendet.
• Der Fingerabdruck der Testphase: bis zu zwei Jahre.
• Eine Kündigung oder ein Widerruf, den Sie uns senden: bis zu drei Jahre, zum Nachweis des Eingangs.
• Serverprotokolle des Kontodienstes und des Relays: bis zu 14 Tage. Die des Relays enthalten nur eine gekürzte Netzadresse.
• Aufzeichnungen darüber, was mit Ihrem Konto geschehen ist (akzeptierte AGB, erteilte und widerrufene Einwilligungen, vom Support gewährter Zugriff, eine geprüfte Kündigung): solange das Konto besteht und bis zu drei Jahre nach seiner Löschung, zum Nachweis dessen, was Sie erklärt haben.
• Arbeit, die der Dienst noch zu erledigen hat, etwa eine E-Mail: bis zu 30 Tage nach Erledigung, 90 Tage, wenn sie fehlschlug.
• Unterlagen, die wir nach Steuer- und Handelsrecht aufbewahren müssen: so lange wie dieses Recht es verlangt, bis zu zehn Jahre. Stripe bewahrt als Verkäufer seine eigenen Rechnungen auf; wenn Sie Ihr Konto löschen, kündigen wir das Abonnement und entfernen die Verknüpfung seines Kundendatensatzes mit Ihrem Konto.

16. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), auf Erhalt Ihrer Daten in einem maschinenlesbaren Format und deren Übermittlung an einen anderen (Art. 20) sowie auf Widerspruch (Art. 21, Abschnitt 17). Soweit wir uns auf Ihre Einwilligung stützen, können Sie sie jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird (Art. 7 Abs. 3): Herzfrequenz und Trainingsdienste sind Schalter, die Sie selbst umlegen können.

Eine Kopie Ihrer Daten und das Löschen Ihres Kontos sind Schaltflächen im Bereich „Konto" der App und auf der Kontoseite (https://api.ridevelowatt.com/account); alles andere schreiben Sie uns. Die Kopie ist eine ZIP-Datei: Ihr Konto, Ihr Abonnement, die verbundenen Dienste, die Aufzeichnungen zu Ihrem Konto, alle hier gesicherten Fahrten und Workouts sowie jedes Workout, das Sie in einen Trainingskalender gelegt haben, als Dateien, die jedes Programm lesen kann.

Sie haben unbeschadet anderer Rechtsbehelfe das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem EU- oder EWR-Staat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes; Sie müssen sich vorher nicht an uns wenden (Art. 77). Für uns zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, https://www.lfd.niedersachsen.de.

18. Keine automatisierten Entscheidungen

Wir treffen keine ausschließlich auf automatisierter Verarbeitung -- einschließlich Profiling -- beruhenden Entscheidungen über Sie, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO).

19. Änderungen dieser Erklärung

Ändert sich, was wir mit Ihren Daten tun, ändert sich zuerst diese Erklärung, unter einem neuen Fassungsdatum. Die App sagt Ihnen, wenn das geschehen ist; zu akzeptieren gibt es nichts. Braucht eine Änderung Ihre Einwilligung, fragen wir danach und tun nichts, bevor Sie sie erteilt haben.