Datenschutzerklärung

Verantwortlicher im Sinne von Art. 4 Nr. 7 der Datenschutz-Grundverordnung (DSGVO) für alle hier beschriebenen Verarbeitungen ist:

Ein Datenschutzbeauftragter ist nicht bestellt; die gesetzlichen Schwellen für eine Pflicht zur Benennung sind nicht erreicht. Fragen zu dieser Erklärung richten Sie bitte an die oben genannte Adresse.

Diese Erklärung gilt für alle Angebote von Kosoku:

• kosoku.app — diese Website einschließlich Warteliste und Kontaktformular;
• coach.kosoku.app — die Web-App für Coaches sowie die Dokumentationsseite, die deren Anmeldung teilt;
• die Kosoku-Athleten-Apps für iOS und Android;
• E-Mails und WhatsApp-Nachrichten, die wir Ihnen im Rahmen des Dienstes senden.

Cookies und Analyse sind in Abschnitt 06 und ausführlich in der Cookie-Richtlinie (englisch) beschrieben.

Kosoku ist eine Plattform, auf der eine Organisation — ein Verein, ein Team oder ein einzelner Coach — das Training ihrer Athletinnen und Athleten steuert. Daraus folgt, wer wofür verantwortlich ist:

• Kosoku ist Verantwortlicher für Ihr Konto, Ihre Besuche auf unseren Seiten und in unseren Apps, für Analyse, Support und Feedback, für Warteliste und Kontaktformular sowie für die Sicherheitsprotokollierung.
• Die Organisation ist Verantwortliche für die Trainings-, Gesundheits-, Anwesenheits- und Nachrichtendaten, die sie über ihre Athletinnen und Athleten verwaltet. Sie entscheidet, wen sie einlädt, was erfasst wird und wie lange. Kosoku verarbeitet diese Daten im Auftrag der Organisation als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage unserer Nutzungsbedingungen und eines Auftragsverarbeitungsvertrags, den wir Organisationen auf Anfrage bereitstellen.

Wenn Sie als Athletin oder Athlet Rechte an Daten geltend machen möchten, die Ihr Verein über Sie erfasst hat, leiten wir Ihre Anfrage gegebenenfalls an den Verein weiter oder bitten Sie, sich direkt an ihn zu wenden — er kann darüber entscheiden. Wir helfen Ihnen immer, den richtigen Ansprechpartner zu finden.

Konto

Name, E-Mail-Adresse, Passwort (nur als Hash gespeichert) oder die Kennung Ihres Google- bzw. Apple-Kontos bei Anmeldung darüber, Profilbild, Rolle, Einheitensystem (metrisch/imperial) sowie — falls eingerichtet — Passkeys (öffentlicher Schlüssel und Credential-ID, nie der private Schlüssel) und API-Schlüssel für Coaches.

Mitgliedschaft in Organisationen

Zu welchen Organisationen Sie gehören, Ihre Rolle dort (Owner, Admin, Coach oder Athlet), Team- und Gruppenzugehörigkeiten und — bei Athleten — eine Spielposition, falls der Coach sie erfasst. Einladungen speichern die eingeladene E-Mail-Adresse, bis sie angenommen werden oder ablaufen.

Trainingsdaten

Ihnen zugewiesene Programme und Workouts, die von Ihnen protokollierten Sätze (Wiederholungen, Gewicht, Dauer, Distanz, empfundene Anstrengung), Notizen zu Einheiten, Feedback Ihres Coaches sowie Ergebnisse von Leistungstests wie Sprunghöhe oder Sprintzeiten.

Gesundheitsdaten (besondere Kategorie)

Die Athleten-App kann Körpergewicht, Körperfett, Magermasse, Größe, Ruhepuls, Schritte, aktiven Energieumsatz und Schlaf aus Apple Health oder Health Connect lesen — erst nachdem Sie diese Berechtigung auf Ihrem Gerät erteilt haben, und nur für die Typen, die Sie freigeben. Dieselben Werte können Sie oder Ihr Coach manuell eintragen. Es handelt sich um Gesundheitsdaten im Sinne von Art. 9 DSGVO. Sie werden mit der ID Ihrer Organisation gespeichert und sind für die Coaches dieser Organisation sichtbar.

Anwesenheit und Termine

Von Ihrer Organisation angelegte Termine, Ihre Zu- oder Absage, vom Coach erfasste Anwesenheiten und Fehlzeiten sowie Notizen dazu.

Nachrichten

Chats in der App zwischen Ihnen und Ihren Coaches (Absender, Text, Zeitpunkt). Wenn Sie WhatsApp verbinden: Ihre Telefonnummer, der von uns gesendete Bestätigungscode, Ihre Einwilligung und jede Nachricht, die mit der Kosoku-WhatsApp-Nummer ausgetauscht wird, einschließlich Zustellkennungen unseres Nachrichtendienstleisters.

KI-Funktionen (Coach-Web-App)

Unterhaltungen mit den KI-Assistenten (als Chatverlauf in Ihrer Organisation gespeichert), Dokumente, die ein Coach für die Suche des Assistenten hochlädt (der extrahierte Text und seine numerische Repräsentation), sowie Audio der Sprachdiktierung, das an den Transkriptionsanbieter gestreamt und von uns nicht gespeichert wird. Abschnitt 07 erklärt, welcher Anbieter was sieht.

Dateien

Übungsvideos und -bilder, Logos der Organisation und von Coaches hochgeladene Materialien.

Feedback

Wenn Sie den Feedback-Button in der App nutzen: Kategorie, Bewertung, Ihre Nachricht, der Bildschirm, auf dem Sie waren, App-Version, Browser, Fenstergröße, Sprache und Zeitzone — und, nur wenn Sie in die Analyse eingewilligt haben, die PostHog-Sitzungs-ID und ein Link zur Sitzungsaufzeichnung.

Technische Daten

IP-Adresse und Browserkennung, die zu jeder Anmeldesitzung gespeichert werden, Serverprotokolle und Fehlerberichte (der Fehler, die betroffene Seite oder Anfrage und der Zeitpunkt). Ein Aktivitätsprotokoll hält Kontoereignisse wie An- und Abmeldung oder eine Einladung fest.

Formulare auf der Website

Warteliste: E-Mail, Name, Rolle und Organisation. Kontaktformular: Name, E-Mail, Betreff und Nachricht.

Analyse (nur mit Einwilligung)

Siehe Abschnitt 06.

Jede Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO) — die Analyse unter „Cookie settings“, den Gesundheitsimport durch Trennen der Verbindung auf Ihrem Gerät, WhatsApp durch die Antwort STOP, die Warteliste über den Abmeldelink.

kosoku.app setzt keine Cookies und führt keine Analyse durch. Die Coach-Web-App nutzt wenige unbedingt erforderliche Cookies, um Sie angemeldet zu halten und Ihre Einstellungen zu merken; sie sind in der Cookie-Richtlinie aufgeführt.

Analyse läuft erst, nachdem Sie ihr im Banner zugestimmt haben. Wir nutzen PostHog (PostHog, Inc., San Francisco, USA) in dessen EU-Cloud in Frankfurt am Main, so dass Analysedaten die EU nicht verlassen. Mit Ihrer Einwilligung erhält PostHog Seitenaufrufe, Klicks, Browser- und Geräteinformationen, den aus Ihrer IP-Adresse abgeleiteten ungefähren Standort, JavaScript-Fehler sowie Sitzungsaufzeichnungen, in denen sämtlicher Text auf dem Bildschirm und alle Eingaben maskiert werden, bevor sie Ihren Browser verlassen. Sobald Sie angemeldet sind, werden Ihre Nutzer-ID, E-Mail-Adresse, Ihr Name, Ihre Rolle und Ihre Organisation angehängt, damit wir Supportanfragen und Feedback nachvollziehen können. Aufzeichnungen werden nach 30 Tagen gelöscht, Ereignisdaten spätestens nach 12 Monaten. Ein Widerruf ist jederzeit unter Cookie settings (Fußzeile) oder Settings → Preferences möglich; dabei wird das PostHog-Cookie gelöscht und jede Erfassung sofort beendet.

Unabhängig von Ihrer Cookie-Entscheidung meldet der Server Fehler, die bei der Bearbeitung Ihrer Anfragen auftreten (der Fehler, der Anfragepfad, der Zeitpunkt), an PostHog und erfasst die Nutzung der KI-Funktionen (Tokens, Modell, Dauer, Kosten — nie den Text einer Anfrage oder Antwort) mit Ihrer Nutzer-ID. Das geschieht ohne Cookie und dient der Stabilität und Kostenkontrolle des Dienstes — Art. 6 Abs. 1 lit. f DSGVO.

In den Athleten-Apps läuft dieselbe PostHog-Analyse (Bildschirmaufrufe, maskierte Sitzungsaufzeichnungen, Absturzberichte, App-Version, Ihre Nutzer-ID und Ihr Name) erst, nachdem Sie ihr in der App zugestimmt haben. Cookies kommen dabei nicht zum Einsatz; die App hält die Analysekennung in ihrem lokalen Speicher, bis Sie widerrufen.

Die Coach-Web-App enthält KI-Assistenten, die beim Erstellen von Workouts helfen und Fragen zu den Daten einer Organisation beantworten. Nutzt ein Coach sie, werden die Unterhaltung und die Daten, die der Assistent nachschlägt (darunter Namen von Athleten, Programme, Protokolle und — wenn der Coach danach fragt — Gesundheitswerte), an einen Anbieter von Sprachmodellen übermittelt:

• Standardmäßig laufen Anfragen über OpenRouter (OpenRouter, Inc., USA) an Google-Gemini-Modelle. Wir senden sie mit der Einstellung „keine Datensammlung“, die Anbieter ausschließt, welche Inhalte speichern oder zum Training verwenden würden.
• Eine Organisation kann einen eigenen Anbieterschlüssel (OpenAI, Anthropic, Google oder Cohere) hinterlegen. Anfragen gehen dann direkt an diesen Anbieter im Rahmen des Vertrags der Organisation mit ihm. Schlüssel werden verschlüsselt gespeichert (AES-256-GCM).
• Die Sprachdiktierung streamt Mikrofonaudio zur Transkription an OpenAI; zurück kommt nur der Text, und wir speichern weder das eine noch das andere.
• Dokumentensuche: Von einem Coach hochgeladene PDFs werden in Abschnitte zerlegt, zusammengefasst und von OpenAI (oder über OpenRouter) in numerische Repräsentationen umgewandelt; mit einem eigenen Cohere-Schlüssel der Organisation werden Suchergebnisse von Cohere neu sortiert.
• Der WhatsApp-Assistent sendet die Nachricht der Athletin oder des Athleten, den Vornamen und die relevanten Termindetails über OpenRouter, um zu antworten.

Unsere eigene Analyse sieht von diesen Aufrufen nur Nutzungsmetadaten (Tokens, Modell, Dauer, Kosten), nie Anfragen oder Antworten. Coaches können außerdem externe KI-Werkzeuge mit ihrem API-Schlüssel an Kosoku anbinden; Daten, die diese Werkzeuge abrufen, fließen dann an den vom Werkzeug genutzten Anbieter, worauf wir keinen Einfluss haben.

Wir betreiben Kosoku mit den folgenden Diensten. Jeder Anbieter verarbeitet Daten nur auf unsere Weisung im Rahmen eines Auftragsverarbeitungsvertrags oder — wo gekennzeichnet — in eigener Verantwortung.

Über die Anbieter hinaus sehen die Coaches und Organisationen, denen Sie angehören, Ihre Trainings-, Gesundheits-, Anwesenheits- und Nachrichtendaten — dafür ist die Plattform da. Wir verkaufen keine personenbezogenen Daten und geben sie nicht an Werbetreibende weiter.

Mehrere der genannten Anbieter sitzen in den USA. Soweit sie unter dem EU-US Data Privacy Framework zertifiziert sind, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023. Andernfalls verwenden wir die Standardvertragsklauseln der Kommission (Art. 46 Abs. 2 lit. c DSGVO) mit ergänzenden Maßnahmen wie Verschlüsselung bei Übertragung und Speicherung. Analysedaten bleiben in der EU. Kopien der Garantien stellen wir auf Anfrage zur Verfügung.

• Konto und alles, was daran hängt — bis Sie Ihr Konto löschen oder Ihre Organisation Sie entfernt. Das Löschen eines Nutzers entfernt in einem Schritt Konto, Sitzungen, Mitgliedschaften, Gesundheitsdaten, Protokolle, Nachrichten, Telefonnummern, KI-Chats und Feedback; von ihm erstellte Inhalte der Organisation (z. B. Programme) bleiben bei der Organisation.
• Anmeldesitzungen — 7 Tage ohne Aktivität; die dazu gespeicherte IP-Adresse und Browserkennung werden mit gelöscht.
• Serverprotokolle und Fehlerberichte — Hosting-Protokolle wenige Tage; Fehlerberichte in PostHog spätestens nach 12 Monaten.
• Analyse — Sitzungsaufzeichnungen 30 Tage, Ereignisse spätestens nach 12 Monaten.
• Warteliste — bis die Kommunikation zum Start abgeschlossen ist oder Sie sich abmelden. Kontaktformular — bis Ihre Anfrage erledigt ist, danach bis zu 12 Monate.
• Backups — der Datenbankanbieter hält Wiederherstellungsdaten für ein kurzes Zeitfenster vor; danach sind gelöschte Daten auch aus Backups verschwunden.
• Wo das Gesetz längere Aufbewahrung verlangt (z. B. Rechnungen), gilt diese Frist.

Nach der DSGVO haben Sie das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15);
• Berichtigung unrichtiger Daten (Art. 16);
• Löschung (Art. 17);
• Einschränkung der Verarbeitung (Art. 18);
• Datenübertragbarkeit der von Ihnen bereitgestellten Daten (Art. 20);
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21);
• Widerruf jeder Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Schreiben Sie an kosoku@damonbasler.de. Wir antworten innerhalb eines Monats. Bei Daten, für die Ihre Organisation verantwortlich ist (Abschnitt 03), beziehen wir die Organisation ein.

Außerdem haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77). Für uns zuständig ist:

• Athleten-App: Einstellungen → Konto löschen. Sie bestätigen mit Ihrem Passwort oder durch erneute Anmeldung mit Apple oder Google; die Löschung erfolgt sofort und kann nicht rückgängig gemacht werden.
• Coach-Web-App: Eine Selbstlöschung gibt es noch nicht — schreiben Sie von Ihrer Kontoadresse an kosoku@damonbasler.de, und wir löschen das Konto innerhalb weniger Tage.

Was nach der Löschung bleibt: Inhalte Ihrer Organisation (Programme, Workouts, Termine), Analysedaten bis zum Ablauf ihrer Speicherfrist, Backups für das Wiederherstellungsfenster sowie alles, was wir gesetzlich aufbewahren müssen.

Kosoku-Konten sind für Personen ab 16 Jahren. Vereine und Coaches, die Kosoku mit jüngeren Athletinnen und Athleten nutzen möchten, müssen vor der Einladung die Einwilligung eines Elternteils oder Erziehungsberechtigten einholen und bleiben als Verantwortliche für die Daten der Athletin oder des Athleten (Abschnitt 03) dafür zuständig. Wenn Sie glauben, dass Daten eines Kindes ohne eine solche Einwilligung erfasst wurden, wenden Sie sich an uns — wir löschen sie.

Alle Verbindungen sind TLS-verschlüsselt. Daten werden von unseren Hosting- und Datenbankanbietern verschlüsselt gespeichert. Passwörter werden als gesalzene Hashes abgelegt, Anbieter-API-Schlüssel mit AES-256-GCM verschlüsselt, Anmelde-Cookies sind HttpOnly und Secure, und Passkeys stehen als phishing-resistente Alternative zum Passwort zur Verfügung. Der Zugriff auf Produktionsdaten ist auf das beschränkt, was der Betrieb des Dienstes erfordert.

Wir aktualisieren diese Erklärung, wenn sich der Dienst oder die Rechtslage ändert; das Datum oben zeigt die aktuelle Fassung. Wesentliche Änderungen kündigen wir in der App oder per E-Mail an, bevor sie wirksam werden.

Maßgeblich ist die englische Fassung unter kosoku.app/privacy; diese deutsche Fassung ist eine Übersetzung desselben Textes.