Datenschutzerklärung
Stand: 21. September 2026 · Geschlossene Beta
Das Wichtigste zuerst. Deine Trainings- und Körperdaten sind besonders geschützte Daten. Cox verarbeitet sie nur, wenn du ausdrücklich zustimmst, und du kannst das jederzeit zurückziehen. Server und Datenbank stehen in der EU. An kein KI-Modell geht irgendetwas — Cox verarbeitet deine Daten nicht mit künstlicher Intelligenz und übermittelt sie an keinen KI-Anbieter. Gerechnet wird nach festen Regeln, und beim Kraft-Training rechnet dein Gerät selbst. Wir verkaufen nichts, wir schalten keine Werbung, und diese öffentliche Seite setzt kein Zählpixel.
1. Verantwortlicher
Thomas Schmidt
Oberer Steinberg 82
63225 Langen
Deutschland
E-Mail: [email protected]
Eine Gesellschaft befindet sich in Gründung; nach der Eintragung wird der Verantwortliche hier aktualisiert. Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen dafür derzeit nicht vorliegen. Anfragen richtest du an die Adresse oben.
2. Was Cox ist
Cox ist ein digitaler Trainingsbegleiter für das Kraft-Training im Studio: Routinen planen, Sätze mitschreiben, den eigenen Fortschritt sehen. Cox ist ein Wellness-Begleiter für dein Training — keine medizinische Beratung und kein Medizinprodukt.
Ohne künstliche Intelligenz. Cox rechnet nach festen, nachvollziehbaren Regeln. Es gibt kein Sprachmodell, kein Bildmodell und keine Spracherkennung, und es werden dafür auch keine Daten an Dritte übermittelt. Beim Kraft-Training rechnet die App auf deinem Gerät — ohne Netz und ohne dass etwas auf eine Antwort von uns warten müsste.
3. Welche Daten wir verarbeiten
Kontodaten
E-Mail-Adresse, Anzeigename, Zeitzone, Spracheinstellung, Anmeldeverfahren und die Historie deiner Einwilligungen. Meldest du dich mit Apple oder Google an, kommt eine dauerhafte Kennung dieses Anbieters dazu — nicht dein dortiges Passwort. Nutzt du „Hide My Email" von Apple, speichern wir nur die Weiterleitungsadresse, die Apple uns nennt. Richtest du einen Passkey ein, speichern wir dessen öffentlichen Schlüssel; der private Schlüssel verlässt dein Gerät nie.
Gesundheits- und Trainingsdaten (Art. 9 DSGVO)
Nur nach deiner ausdrücklichen Einwilligung:
- Kraft-Training — Übungen, Sätze, Gewichte, Wiederholungen, Haltezeiten, Studios und Geräte, optional Fotos von Geräten
- Körpergewicht und Körpergröße — dein Gewicht kann aus Apple Health kommen, wenn du das erlaubst; der Kraftwert rechnet dagegen
Was wir nicht mehr verarbeiten. Frühere Fassungen dieser Erklärung nannten hier auch Ausdauer-Einheiten aus FIT-Dateien und verbundenen Quellen, Erholungswerte (Schlaf, Herzfrequenzvariabilität, Ruhepuls, Stress, Sauerstoffsättigung), Körperzusammensetzung, Umfänge und Blutdruck, Mahlzeiten und Nährwerte sowie Journal-Einträge. Diese Verarbeitungen haben wir eingestellt — die Flächen dafür gibt es nicht mehr, und es fließen keine neuen Daten dieser Art zu uns. Bereits gespeicherte Altdaten löschen wir; bis dahin gelten für sie unverändert deine Rechte aus Abschnitt 8.
Technische Daten
Server-Protokolle mit IP-Adresse, Zeitpunkt und angefragter Ressource zur Betriebssicherheit. Bei Anfragen über das Zugangsformular ein gehashter Wert deiner IP-Adresse, ausschließlich zur Begrenzung von Missbrauch (Abschnitt 9).
Daten aus der App auf deinem Gerät
Trägst du deine Kraft-Einheiten in der Cox-App ein, entstehen sie zunächst nur auf deinem Gerät. Was davon einmal zu uns reisen wird und unter welcher Kennung, steht in Abschnitt 6 — dort steht auch, dass dieser Weg heute nicht in Betrieb ist.
4. Zwecke und Rechtsgrundlagen
| Zweck | Rechtsgrundlage |
|---|---|
| Konto bereitstellen, anmelden, Dienst erbringen | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Kraft-Trainingsdaten und dein Körpergewicht auswerten und daraus Trainingsvorschläge und Einordnungen ableiten | Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung), jederzeit widerrufbar |
| Einheiten, die deine App uns schickt, unter einer pseudonymen Geräte-Kennung speichern und auswerten (Abschnitt 6) | Noch keine — dieser Weg ist nicht in Betrieb. Die Wege dafür stehen auf unserem Server bereit, aber keine ausgelieferte Version der App sendet auf ihnen. Welche Rechtsgrundlage dieser Zweck trägt, steht hier, bevor die erste Einheit übertragen wird — nicht danach. |
| Mitteilungen, die du eingerichtet hast (Push, E-Mail) | Art. 6 Abs. 1 lit. b DSGVO bzw. deine Einstellung |
| Betriebssicherheit, Fehlersuche, Missbrauchsabwehr | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionierenden, nicht missbrauchten Dienst) |
| Anfrage über das Zugangsformular bearbeiten | Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme) |
5. Deine Einwilligungen im Einzelnen
Beim Einrichten holt Cox die nötigen Einwilligungen ein und speichert, wann du welche Fassung erteilt hast:
- Gesundheitsdaten — ohne sie kann Cox nicht aufzeichnen, planen oder einordnen. Diese Einwilligung erteilst du ausdrücklich, mit einem eigenen Haken.
- Verbundene Datenquellen — jede Verbindung stellst du selbst her und kannst sie einzeln wieder trennen.
- Nutzungsbedingungen und diese Erklärung nimmst du mit dem Absenden des ersten Schritts an; wir halten fest, wann und in welcher Fassung.
Eine Einwilligung in eine KI-Verarbeitung holen wir nicht mehr ein — es gibt nichts mehr, wofür sie gälte. Hast du sie früher erteilt, siehst du den Eintrag weiterhin unter Einstellungen → Datenschutz; er hat keine Wirkung mehr.
Jede Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, in den Einstellungen oder per Mail an [email protected]. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
6. Einheiten, die dein Gerät uns schickt
Dieser Weg ist noch nicht in Betrieb. Auf unserem Server stehen die Wege dafür bereit; die sendende Hälfte in der App ist nicht ausgeliefert. Es liegt deshalb nichts unter einer Geräte-Kennung, und in Abschnitt 4 steht für diesen Zweck bewusst keine Rechtsgrundlage: wir benennen sie dort, bevor die erste Einheit übertragen wird, und kündigen die Änderung nach Abschnitt 14 an. Was hier folgt, beschreibt, wie es dann funktioniert — damit du es vorher lesen kannst und nicht erst danach.
Die Cox-App rechnet auf deinem Gerät. Damit wir sehen, wie das Training insgesamt läuft, und die App verbessern können, soll sie abgeschlossene Kraft-Einheiten an unseren Server schicken. Das geht dann auch ohne Konto — und weil es dabei kein Konto gibt, hängen diese Daten an einer pseudonymen Geräte-Kennung statt an deinem Namen.
Wie die Kennung entsteht
Beim ersten Start erzeugt die App auf deinem Gerät ein zufälliges Geheimnis. Sie schickt es einmal an uns; wir speichern davon nur einen Hashwert und vergeben dafür eine zufällige Kennung. Wir fragen dabei weder nach einer E-Mail-Adresse noch nach einem Namen, und wir bekommen keine Geräte-Kennung von Apple. Das Geheimnis auf deinem Gerät ist der einzige Weg, diese Daten wieder anzufassen.
Was übertragen wird — und was nicht
Übertragen wird die Einheit selbst: Datum, Name und Dauer, das Studio, die Übungen, je Satz Gewicht, Wiederholungen, Dauer, Strecke und Anstrengungsgrad, dazu die Steigerungs-Stufe je Gerät.
Deine freien Notizen zu einer Einheit oder einem Satz bleiben auf dem Gerät. „Linkes Knie zwickte" ist genau der Satz, für den das Notizfeld gebaut wurde — und genau der, der aus einer Trainingsaufzeichnung eine Gesundheitsakte machen würde. Unser Server baut die Einheit deshalb aus einer festen Liste erlaubter Felder neu auf, statt die unerwünschten herauszunehmen: was er nicht kennt, kommt gar nicht erst an. Puls, Ortsdaten und Streckenverläufe reisen auf diesem Weg ebenfalls nicht mit.
Abschalten, Auskunft, Löschung
Alle drei gehören an dasselbe Gerät, und zwar zwingend: ein Gerät hat bei uns keine Adresse, an die wir schreiben könnten, und keine Anmeldung, mit der du dich ausweisen könntest. Das Geheimnis auf deinem Gerät ist der einzige Griff auf diese Daten — deshalb liegen die drei Wege in der App und nicht in einer Mail an uns.
- Abschalten: die App überträgt danach nichts Neues mehr. Bereits Übertragenes bleibt liegen, bis du es löschst oder die Frist unten greift. Ohne Übertragung funktioniert die App vollständig weiter — sie rechnet ohnehin auf deinem Gerät.
- Auskunft (Art. 15 DSGVO): seit wann dein Gerät bei uns bekannt ist, wann es sich zuletzt gemeldet hat, wie viele Zeilen darunterliegen und bis wann sie gespeichert bleiben.
- Löschung (Art. 17 DSGVO): sofort und vollständig, ohne Rückfrage bei uns. Danach ist das Geheimnis wertlos; deine App läuft weiter, wir wissen nur nichts mehr.
Ob deine App-Version überträgt, erkennst du an derselben Stelle. Die Übertragung und ihr Schalter kommen zusammen: Findest du in den Einstellungen deiner App keinen Schalter für die Geräte-Übertragung, dann sendet diese Version auch nichts, und es liegen keine Daten unter einer Geräte-Kennung. Heute hat keine ausgelieferte Version diesen Schalter. Wir bauen das nicht andersherum — ein Sendeweg ohne Ausschalter wäre eine Zusage, die man nicht einlösen kann.
Wie lange
Meldet sich ein Gerät 24 Monate lang nicht, löschen wir alles, was darunter liegt — ohne Nachfrage, weil es niemanden gibt, den wir fragen könnten. Jeder Kontakt setzt die Frist neu; das Abrufen der Auskunft zählt als Kontakt.
Hast du ein Konto und meldest dich in der App an, gehören die Einheiten ab dann zu deinem Konto und es gilt Abschnitt 11.
7. Empfänger
Wir setzen Dienstleister ein, die für uns verarbeiten. Mit ihnen bestehen die erforderlichen Vereinbarungen zur Auftragsverarbeitung. Kein KI-Anbieter ist darunter — es gibt keinen, weil es nichts gibt, was er tun würde.
| Empfänger | Wofür | Wo |
|---|---|---|
| Hetzner Online GmbH | Server | Deutschland |
| Scaleway SAS | Datenbank | Frankreich / Niederlande |
| Cloudflare, Inc. | Netzwerk, DNS, Schutz vor Angriffen, Dateiablage | USA, mit EU-Rechenzentren |
| Brevo (Sendinblue SAS) | Versand von System-Mails | Frankreich |
| Infomaniak Network SA | Postfächer für @cox.coach | Schweiz |
| Apple, Google | Anmeldung, wenn du sie wählst | Irland / USA |
| Apple, Google, Mozilla, Microsoft | Zustellung von Push-Mitteilungen an deinen Browser, wenn du sie aktivierst | je nach Browser |
| Withings SA | nur wenn du deine Waage verbindest | Frankreich |
| Betreiber von intervals.icu | nur wenn du diese Quelle verbindest | siehe deren Hinweise |
Kartendarstellungen: Kartenkacheln lädt unser Server beim Anbieter und liefert sie dir aus. Dein Browser spricht dabei ausschließlich mit cox.coach — der Kartenanbieter erfährt deine IP-Adresse nicht und sieht nicht, welche Strecken du dir ansiehst.
Einheiten von deinem Gerät (Abschnitt 6) gehen an keinen der Empfänger weiter, die hier nicht ohnehin unsere Server und unsere Datenbank betreiben.
Sobald es kostenpflichtige Abos gibt, kommt ein Zahlungsdienstleister als Empfänger dazu. Wir aktualisieren diese Erklärung, bevor das passiert.
8. Übermittlung in Drittländer
Ein Teil der genannten Empfänger sitzt außerhalb der EU. Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Für Übermittlungen in die USA — insbesondere an Cloudflare — stützen wir uns auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.
Dir ist bewusst, dass in Drittländern kein den EU-Standards entsprechendes Datenschutzniveau garantiert werden kann und dass Behörden dort unter Umständen Zugriff verlangen können.
9. Anfragen über die öffentliche Seite
Wenn du das Formular „Zugang anfragen" ausfüllst, speichern wir deine E-Mail-Adresse, deine freiwillige Angabe dazu, was du trainierst, den Zeitpunkt und einen mit einem geheimen Schlüssel gebildeten Hashwert deiner IP-Adresse. Der Hashwert dient allein dazu, Massenanfragen zu begrenzen; er wird nur auf Gleichheit geprüft und nie zurückgerechnet.
Du bekommst eine einmalige Bestätigung per Mail. Eine zweite Anfrage mit derselben Adresse löst keine weitere Mail aus. Wir schicken keinen Newsletter und geben die Adresse nicht weiter.
Wir löschen den Eintrag, sobald du eingeladen wurdest und dein Konto besteht, auf deinen Wunsch sofort, spätestens aber zwölf Monate nach der Anfrage. Eine formlose Mail an [email protected] genügt; eine Antwort auf die Bestätigungsmail reicht ebenfalls.
10. Cookies und lokale Speicherung
Diese Seite fragt dich nicht nach Cookies, weil sie keine setzt, die einwilligungspflichtig wären. Es gibt kein Analysewerkzeug, kein Zählpixel, keine Werbe-Netzwerke und keine Inhalte von fremden Servern — Schriften, Bilder und Skripte liefern wir selbst aus.
Verwendet werden ausschließlich technisch erforderliche Dinge im Sinne des § 25 Abs. 2 TDDDG:
- ein Sitzungs-Cookie, damit du angemeldet bleibst
- kurzlebige Cookies während einer Anmeldung mit Apple, Google oder einem Passkey
- lokale Speicherung im Browser für deine Farbwelt- und Sprachwahl, für unfertige Eingaben (etwa Sätze im Studio) und für den Offline-Betrieb der App
11. Speicherdauer
- Kontodaten und Trainingsdaten: solange dein Konto besteht.
- Nach Kontolöschung: vollständige Entfernung einschließlich Fotos und Streckendaten; verbundene Datenquellen werden dabei abgemeldet.
- Journal-Einträge: jederzeit von dir selbst endgültig löschbar.
- Einheiten unter einer Geräte-Kennung: bis du sie löschst, spätestens 24 Monate nach dem letzten Kontakt dieses Geräts — sobald es diesen Weg gibt (Abschnitt 6).
- Server-Protokolle: kurzfristig, nur zur Betriebssicherheit.
- Zugangsanfragen: siehe Abschnitt 9.
Löschen kannst du dein Konto selbst, in den Einstellungen unter „Datenschutz“ — sofort und ohne Rückfrage bei uns. Auskunft und Datenmitnahme laufen in der Beta noch über eine Mail an [email protected]; auch dafür kommt die Selbstbedienung.
12. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, erteilte Einwilligungen jederzeit zu widerrufen.
Außerdem kannst du dich bei einer Aufsichtsbehörde beschweren. Zuständig ist die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts oder die des Verantwortlichen.
13. Keine automatisierte Entscheidung im Rechtssinn
Cox trifft keine Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Was Cox rechnet, rechnet eine feste Regel aus deinen eigenen Zahlen — kein Modell, das dich bewertet. Das Ergebnis ist ein Vorschlag: das nächste Gewicht, die nächste Wiederholungszahl, ein Hinweis auf eine ungewöhnliche Belastung. Ob du ihm folgst, entscheidest du; Änderungen an deinem Plan werden vorgeschlagen und erst nach deiner Bestätigung übernommen.
14. Änderungen
Cox wird laufend weiterentwickelt; diese Erklärung wird entsprechend fortgeschrieben. Wesentliche Änderungen — insbesondere neue Empfänger oder neue Zwecke — kündigen wir vorher in der App oder per E-Mail an.