Datenschutzerklärung
Stand: 2. August 2026 · Geschlossene Beta
Das Wichtigste zuerst. Deine Trainings- und Körperdaten sind besonders geschützte Daten. Cox verarbeitet sie nur, wenn du ausdrücklich zustimmst, und du kannst das jederzeit zurückziehen. Server und Datenbank stehen in der EU. Für die Antworten deines Coaches gehen deine Daten an einen KI-Anbieter, der seinen Sitz in den USA hat — das ist eine eigene Einwilligung, und du kannst Cox ohne sie nicht sinnvoll nutzen, aber du weißt vorher davon. Wir verkaufen nichts, wir schalten keine Werbung, und diese öffentliche Seite setzt kein Zählpixel.
1. Verantwortlicher
Thomas Schmidt
Oberer Steinberg 82
63225 Langen
Deutschland
E-Mail: [email protected]
Eine Gesellschaft befindet sich in Gründung; nach der Eintragung wird der Verantwortliche hier aktualisiert. Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen dafür derzeit nicht vorliegen. Anfragen richtest du an die Adresse oben.
2. Was Cox ist
Cox ist ein digitaler Trainings-Coach: Trainingsplanung für Kraft und Ausdauer, Erfassung von Mahlzeiten, tägliche Einordnung und ein persönliches Briefing auf Basis deiner Trainings- und Erholungsdaten. Cox ist ein Wellness-Begleiter für dein Training — keine medizinische Beratung und kein Medizinprodukt.
3. Welche Daten wir verarbeiten
Kontodaten
E-Mail-Adresse, Anzeigename, Zeitzone, Spracheinstellung, Anmeldeverfahren und die Historie deiner Einwilligungen. Meldest du dich mit Apple oder Google an, kommt eine dauerhafte Kennung dieses Anbieters dazu — nicht dein dortiges Passwort. Nutzt du „Hide My Email" von Apple, speichern wir nur die Weiterleitungsadresse, die Apple uns nennt. Richtest du einen Passkey ein, speichern wir dessen öffentlichen Schlüssel; der private Schlüssel verlässt dein Gerät nie.
Gesundheits- und Trainingsdaten (Art. 9 DSGVO)
Nur nach deiner ausdrücklichen Einwilligung:
- Trainingseinheiten — hochgeladene FIT-Dateien oder Daten aus Quellen, die du selbst verbindest; Dauer, Strecke, Leistung, Herzfrequenz, Streckenverlauf mit Ortsdaten
- Kraftmodul — Übungen, Sätze, Gewichte, Wiederholungen, Haltezeiten, Studios und Geräte, optional Fotos von Geräten
- Erholungswerte — Schlaf, Herzfrequenzvariabilität, Ruhepuls, Stress- und Energiewerte, Sauerstoffsättigung
- Körperwerte — Gewicht, Körperzusammensetzung, Umfänge, Körpergröße, Blutdruckmessungen (reine Anzeige, keine Einordnung)
- Ernährung — Mahlzeiten, Nährwerte, Fotos von Etiketten und Tellern, Strichcodes, deine eigene Lebensmittelliste
- Deine eigenen Angaben — Chat mit dem Coach, Journal, Notizen, Sprachnachrichten (siehe unten), Antworten auf Rückfragen
Technische Daten
Server-Protokolle mit IP-Adresse, Zeitpunkt und angefragter Ressource zur Betriebssicherheit. Bei Anfragen über das Zugangsformular ein gehashter Wert deiner IP-Adresse, ausschließlich zur Begrenzung von Missbrauch (Abschnitt 9).
Sprachnachrichten
Schickst du dem Coach eine Sprachnachricht, wird sie in Text umgewandelt. Die Aufnahme selbst wird nicht gespeichert — nur das Transkript, und das wird dir sichtbar zurückgespiegelt.
4. Zwecke und Rechtsgrundlagen
| Zweck | Rechtsgrundlage |
|---|---|
| Konto bereitstellen, anmelden, Dienst erbringen | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Trainings-, Erholungs-, Körper- und Ernährungsdaten auswerten und daraus coachen | Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung), jederzeit widerrufbar |
| Verarbeitung dieser Daten durch ein KI-Modell | Art. 9 Abs. 2 lit. a und Art. 49 Abs. 1 lit. a DSGVO (gesonderte Einwilligung) |
| Mitteilungen, die du eingerichtet hast (Push, Telegram, E-Mail) | Art. 6 Abs. 1 lit. b DSGVO bzw. deine Einstellung |
| Betriebssicherheit, Fehlersuche, Missbrauchsabwehr | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionierenden, nicht missbrauchten Dienst) |
| Anfrage über das Zugangsformular bearbeiten | Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme) |
5. Deine Einwilligungen im Einzelnen
Beim Einrichten holt Cox getrennte Einwilligungen ein und speichert, wann du welche Fassung erteilt hast:
- Gesundheitsdaten — ohne sie kann Cox nicht trainieren, planen oder einordnen.
- KI-Verarbeitung — ohne sie schreibt der Coach nicht mit dir; die deterministischen Auswertungen laufen weiter.
- Verbundene Datenquellen — jede Verbindung stellst du selbst her und kannst sie einzeln wieder trennen.
Jede Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, in den Einstellungen oder per Mail an [email protected]. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
6. Verarbeitung durch KI-Modelle
Damit dein Coach antworten kann, wird ein Ausschnitt deiner Daten an ein Sprachmodell übermittelt: dein Profil, dein aktueller Trainings- und Erholungsstand, die letzten Gesprächsbeiträge und die Frage, um die es geht. Fotos von Mahlzeiten werden an ein bildfähiges Modell übermittelt, Sprachnachrichten an ein Modell, das sie in Text umwandelt.
Welches Modell dabei zum Einsatz kommt, ist einstellbar. Als Anbieter kommen in Betracht:
- Anthropic PBC, USA
- OpenAI, L.L.C. / OpenAI Ireland Ltd.
- Google (Gemini) — Google Ireland Ltd. / Google LLC, USA
Gegenüber allen genannten Anbietern gilt: Deine Daten werden zur Beantwortung deiner Anfrage verarbeitet, nicht zur Anzeigenschaltung und nicht zum Weiterverkauf. Bei dem Anbieter, der die Coach-Gespräche trägt, ist die Speicherung der Anfragen auf unserer Seite abgeschaltet, soweit die Schnittstelle das vorsieht.
Ehrlich gesagt: Cox befindet sich in einer geschlossenen Beta und die vertragliche Ausgestaltung mit den KI-Anbietern wird derzeit finalisiert. Solange das nicht abgeschlossen ist, stützen wir diese Übermittlung ausdrücklich auf deine Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO — du sollst wissen, worauf du dich einlässt, statt dich auf eine Zusicherung zu verlassen, die wir noch nicht vollständig belegen können.
KI-Kennzeichnung: Du schreibst mit einem KI-System. Das sagen wir dir beim Einrichten und es ist in der App jederzeit erkennbar (Art. 50 KI-Verordnung).
7. Empfänger
Wir setzen Dienstleister ein, die für uns verarbeiten. Mit ihnen bestehen die erforderlichen Vereinbarungen zur Auftragsverarbeitung, soweit in Abschnitt 6 nichts anderes gesagt ist.
| Empfänger | Wofür | Wo |
|---|---|---|
| Hetzner Online GmbH | Server | Deutschland |
| Scaleway SAS | Datenbank | Frankreich / Niederlande |
| Cloudflare, Inc. | Netzwerk, DNS, Schutz vor Angriffen, Dateiablage | USA, mit EU-Rechenzentren |
| Brevo (Sendinblue SAS) | Versand von System-Mails | Frankreich |
| Infomaniak Network SA | Postfächer für @cox.coach | Schweiz |
| Anthropic, OpenAI, Google | KI-Modelle (Abschnitt 6) | USA / Irland |
| Apple, Google | Anmeldung, wenn du sie wählst | Irland / USA |
| Apple, Google, Mozilla, Microsoft | Zustellung von Push-Mitteilungen an deinen Browser, wenn du sie aktivierst | je nach Browser |
| Withings SA | nur wenn du deine Waage verbindest | Frankreich |
| Betreiber von intervals.icu | nur wenn du diese Quelle verbindest | siehe deren Hinweise |
| Telegram FZ-LLC | nur wenn du deinen Chat selbst verknüpfst | Vereinigte Arabische Emirate |
Kartendarstellungen: Kartenkacheln lädt unser Server beim Anbieter und liefert sie dir aus. Dein Browser spricht dabei ausschließlich mit cox.coach — der Kartenanbieter erfährt deine IP-Adresse nicht und sieht nicht, welche Strecken du dir ansiehst.
Telegram: Die Verknüpfung stellst du selbst her, und du kannst sie jederzeit von beiden Seiten wieder lösen. Telegram hat seinen Sitz außerhalb der EU; Chatinhalte dort sind nicht Ende-zu-Ende-verschlüsselt. Wenn dir das nicht recht ist, nutze Cox einfach in der App — Telegram ist ein Zusatzkanal, kein Bestandteil des Dienstes.
Sobald es kostenpflichtige Abos gibt, kommt ein Zahlungsdienstleister als Empfänger dazu. Wir aktualisieren diese Erklärung, bevor das passiert.
8. Übermittlung in Drittländer
Ein Teil der genannten Empfänger sitzt außerhalb der EU. Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Für Übermittlungen in die USA stützen wir uns auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, für die KI-Verarbeitung zusätzlich auf deine Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO (Abschnitt 6). Bei Telegram beruht die Nutzung ausschließlich auf deiner eigenen Verknüpfung.
Dir ist bewusst, dass in Drittländern kein den EU-Standards entsprechendes Datenschutzniveau garantiert werden kann und dass Behörden dort unter Umständen Zugriff verlangen können.
9. Anfragen über die öffentliche Seite
Wenn du das Formular „Zugang anfragen" ausfüllst, speichern wir deine E-Mail-Adresse, deine freiwillige Angabe dazu, was du trainierst, den Zeitpunkt und einen mit einem geheimen Schlüssel gebildeten Hashwert deiner IP-Adresse. Der Hashwert dient allein dazu, Massenanfragen zu begrenzen; er wird nur auf Gleichheit geprüft und nie zurückgerechnet.
Du bekommst eine einmalige Bestätigung per Mail. Eine zweite Anfrage mit derselben Adresse löst keine weitere Mail aus. Wir schicken keinen Newsletter und geben die Adresse nicht weiter.
Wir löschen den Eintrag, sobald du eingeladen wurdest und dein Konto besteht, auf deinen Wunsch sofort, spätestens aber zwölf Monate nach der Anfrage. Eine formlose Mail an [email protected] genügt; eine Antwort auf die Bestätigungsmail reicht ebenfalls.
10. Cookies und lokale Speicherung
Diese Seite fragt dich nicht nach Cookies, weil sie keine setzt, die einwilligungspflichtig wären. Es gibt kein Analysewerkzeug, kein Zählpixel, keine Werbe-Netzwerke und keine Inhalte von fremden Servern — Schriften, Bilder und Skripte liefern wir selbst aus.
Verwendet werden ausschließlich technisch erforderliche Dinge im Sinne des § 25 Abs. 2 TDDDG:
- ein Sitzungs-Cookie, damit du angemeldet bleibst
- kurzlebige Cookies während einer Anmeldung mit Apple, Google oder einem Passkey
- lokale Speicherung im Browser für deine Farbwelt- und Sprachwahl, für unfertige Eingaben (etwa Sätze im Studio) und für den Offline-Betrieb der App
11. Speicherdauer
- Kontodaten und Trainingsdaten: solange dein Konto besteht.
- Nach Kontolöschung: vollständige Entfernung einschließlich Fotos und Streckendaten; verbundene Datenquellen werden dabei abgemeldet.
- Journal-Einträge: jederzeit von dir selbst endgültig löschbar.
- Sprachaufnahmen: werden gar nicht erst gespeichert.
- Server-Protokolle: kurzfristig, nur zur Betriebssicherheit.
- Zugangsanfragen: siehe Abschnitt 9.
In der Beta laufen Auskunft, Datenmitnahme und Löschung noch über eine Mail an [email protected]; beides wird gerade zur Selbstbedienung ausgebaut.
12. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, erteilte Einwilligungen jederzeit zu widerrufen.
Außerdem kannst du dich bei einer Aufsichtsbehörde beschweren. Zuständig ist die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts oder die des Verantwortlichen.
13. Keine automatisierte Entscheidung im Rechtssinn
Cox trifft keine Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Die Empfehlungen des Coaches sind Vorschläge; ob du ihnen folgst, entscheidest du. Änderungen an deinem Plan schlägt der Coach vor und wendet sie erst nach deiner Bestätigung an.
14. Änderungen
Cox wird laufend weiterentwickelt; diese Erklärung wird entsprechend fortgeschrieben. Wesentliche Änderungen — insbesondere neue Empfänger oder neue Zwecke — kündigen wir vorher in der App oder per E-Mail an.