Projekt in Entwicklung · Informationen zum aktuellen Stand und vorgesehenen Funktionen

Datenschutz bei TRIagnostics

Stand: 5. November 2026

Das Wichtigste vorab

TRIagnostics wird als Trainingsbegleiter für Ausdauersportler entwickelt. Diese Website informiert über das Projekt; die App ist noch nicht öffentlich verfügbar. Ein Websitebesuch verbindet kein Garmin-Konto und löst keine KI-Auswertung von Trainingsdaten aus. Die folgenden Angaben unterscheiden die Website, den technischen Sam-Piloten und die vorgesehenen App-Funktionen. Noch nicht aktivierte Funktionen sind ausdrücklich als solche bezeichnet.

1. Verantwortlicher

Prof. Dr. Alexander Albrecht
Lange-Hop-Str. 45
30559 Hannover
Deutschland
E-Mail: app@triagnostics.com

Zum öffentlichen App-Start ist die Gründung einer Gesellschaft unter der vorgesehenen Firmierung „TRIagnostics UG (haftungsbeschränkt)“ geplant. Die Gesellschaft besteht derzeit noch nicht; die Firmierung steht unter dem Vorbehalt der registerrechtlichen Zulässigkeit. Bis zu einer tatsächlichen Übernahme bleibt Prof. Dr. Alexander Albrecht verantwortlich.

2. Website und Kontakt

Die Website wird auf dem bestehenden WEB.DE-Homepage-&-Mail-Webspace bereitgestellt. Der Hostingpartner ist IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland. Vertraglicher Zugang zu diesem Webspace besteht über WEB.DE; dessen Anbieter ist die 1&1 Mail & Media GmbH, Elgendorfer Straße 57, 56410 Montabaur, Deutschland. Beim Abruf einer Website fallen technische Verbindungsdaten an, insbesondere IP-Adresse, Zeitpunkt, angeforderte Seite sowie Browser- und Geräteinformationen. Die Verarbeitung zur Auslieferung und Absicherung beruht auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer, erreichbarer Internetauftritt. IONOS beschreibt für sein Webhosting die Speicherung von Besucherprotokollen für acht Wochen und die Anonymisierung von IP-Adressen in diesen Protokollen. Hierzu zählen auch die zuvor besuchte Seite, der abgerufene Inhalt, Browser, Betriebssystem und Gerätetyp. Diese veröffentlichte Anbieterfrist betrifft Webhosting-Besucherprotokolle, nicht App-Trainingsdaten. Die Anwendung dieser Anbieterbeschreibung auf unseren über WEB.DE bereitgestellten Webspace ist eine Zuordnung anhand des bestätigten Hostingpartners.

Unsere Website-Dateien verwenden keine Werbe- oder Analyseskripte, keine extern geladenen Schriften und keine Cookies oder lokale Browserspeicherung. IONOS beschreibt zusätzlich eine hosterseitige statistische Auswertung der Besucherprotokolle durch WebAnalytics. Diese unterscheidet sich von eingebetteten Tracking-Skripten; daraus folgt keine Weitergabe von Trainingsdaten an einen Analysedienst. Links zu anderen Websites stellen erst beim Aufruf eine Verbindung zum jeweiligen Anbieter her.

E-Mails an app@triagnostics.com und info@triagnostics.com werden an unser WEB.DE-Postfach weitergeleitet. Für den E-Mail-Dienst wird die 1&1 Mail & Media GmbH eingesetzt. Wir verarbeiten Absender, Nachrichten, Anhänge und Zustellinformationen, um Anfragen zu beantworten: bei Vertragsbezug auf Grundlage von Art. 6 Abs. 1 lit. b, sonst aufgrund unseres berechtigten Interesses an der Beantwortung nach Art. 6 Abs. 1 lit. f DSGVO. Anfragen werden nach Erledigung gelöscht, soweit keine weitere erforderliche Bearbeitung oder gesetzliche Aufbewahrung entgegensteht. Bitte senden Sie keine Gesundheitsakten oder unnötigen Gesundheitsangaben per E-Mail.

3. Welche Daten die App verarbeitet

Im Entwicklungsstand werden je nach genutzter Funktion verarbeitet:

Gesundheitsbezogene Angaben werden als besonders schutzbedürftige Daten behandelt. Eine Nutzerkennung anstelle eines Namens macht diese Daten nicht automatisch anonym. Freitext kann auch Informationen über Gesundheit, Beruf oder Familie enthalten. Bitte geben Sie nur an, was für die Trainingsfrage erforderlich ist, und vermeiden Sie identifizierende Angaben über andere Personen.

Vertragsnotwendige Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b DSGVO. Für optionale Verarbeitungen ist eine Einwilligung nach Art. 6 Abs. 1 lit. a vorgesehen; soweit Gesundheitsdaten betroffen sind, eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Die öffentliche App-Nutzung mit diesen Daten ist derzeit nicht eröffnet. Bei Aktivierung der entsprechenden Funktion muss die Einwilligung vor der ersten Erhebung beziehungsweise KI-Verarbeitung eingeholt werden; auch ein Test mit echten personenbezogenen Daten ist davon erfasst. Diese Informationsseite ersetzt die Einwilligung nicht.

4. Geplanter Import von Garmin und anderen Anbietern

Der automatische Trainingsimport über Stridee wird vorbereitet und ist noch nicht als öffentliche Funktion freigegeben. Der vorgesehene Datenweg ist: Herstellerkonto → Stridee → TRIagnostics. Sie entscheiden, ob und welche angebotene Datenquelle Sie verbinden. Herstellerpasswörter sollen ausschließlich beim Hersteller eingegeben werden.

Für die erste Importstufe sind abgeschlossene Aktivitäten mit Sportart, Zeitpunkt, Dauer und Distanz sowie verfügbaren Werten wie Pace, Herzfrequenz, Leistung und Trittfrequenz vorgesehen. Die beim jeweiligen Hersteller angezeigten Berechtigungen bestimmen, welche der angebotenen Daten Sie tatsächlich freigeben. Für den hier beschriebenen ersten Import sind Aktivitätsdaten vorgesehen, keine pauschale Freigabe aller Gesundheits- und Wellnessdaten. GPS-Strecken, tägliche Wellnessdaten und Rohdateien werden nicht allein deshalb angefordert, weil eine Schnittstelle sie anbieten kann. Eigene HRV-Messungen und eine Apple-Health-Anbindung werden gesondert umgesetzt und erläutert.

Stridee wird von Molina Gonzalez Studio, Hürststrasse 23, 8046 Zürich, Schweiz, vertreten durch Alvaro Molina, betrieben. Die Plattformbedingungen ordnen Stridee für die über die API verarbeiteten Nutzerdaten als unseren Auftragsverarbeiter ein. Als Infrastruktur-Unterauftragnehmer führt Stridee OVH SAS (OVHcloud) für Hosting, Rechenleistung, Datenbank und Dateispeicher mit Standorten in der Schweiz und im Europäischen Wirtschaftsraum auf. Stridee verarbeitet Verbindungskennungen, Hersteller-Freigabetokens und autorisierte Aktivitätsdaten. Geschäftskonto-, Abrechnungs- und eigene API-Protokolldaten verarbeitet Stridee in eigener Verantwortung. Die Schweiz verfügt über einen Angemessenheitsbeschluss der Europäischen Kommission. Hersteller wie Garmin sind für ihre eigenen Dienste eigenständig verantwortlich. Die Stridee-Plattformbedingungen und Garmins Datenschutzhinweise erläutern deren jeweilige Verarbeitung.

Die Verbindung und der Import benötigen eine ausdrückliche Freigabe. Für eine zusätzliche KI-Auswertung muss deren Zweck ebenfalls von einer entsprechenden Einwilligung abgedeckt sein. Das Trennen einer Verbindung beendet künftige Importe; die Löschung bereits übernommener Aktivitäten ist ein zusätzlicher Vorgang. Zum derzeitigen Entwicklungsstand können Fragen zu Widerruf und Löschung an app@triagnostics.com gerichtet werden. Ein automatischer Import wird erst zusammen mit dem dafür erforderlichen Freigabe- und Trennablauf aktiviert. TRIagnostics behauptet keine Empfehlung oder bereits erteilte Freigabe durch Garmin.

5. KI-Transparenz: Sam und Garmin-Daten

Sam unterstützt Trainingsrückblicke, beantwortet Trainingsfragen und hilft bei der Vorbereitung individueller Trainingsvorschläge. Der technische Pilot verwendet den Datenweg App → TRIagnostics-Sam-Server → OpenAI Responses API. Eine Anfrage wird beim Absenden einer Nachricht ausgelöst. Die Website selbst sendet keine Trainingsdaten an diesen Dienst.

Im geprüften Gesprächspfad werden die betreffende Woche, Trainingsphase, Leistungsreferenzen und Trainingshistorie, Ziele und Wettkämpfe, verfügbare Zeit und Sportarten, Wochenrückmeldungen sowie der Gesprächsverlauf übermittelt. Dazu können Erholungs- und Beschwerdeangaben sowie Gesundheitsinformationen in Freitexten oder Zusammenfassungen gehören. Nach Aktivierung des Imports können ausdrücklich freigegebene Garmin-Aktivitäten und daraus abgeleitete Trainingszusammenfassungen für persönliche KI-gestützte Trainingsrückblicke, Trainingsfragen und Trainingsvorschläge genutzt werden. Diese Nutzung beginnt erst nach ausdrücklicher Einwilligung und ist für die Zukunft widerrufbar. Garmin-Daten werden nicht zum Training allgemeiner KI-Modelle freigegeben. Name, Alter, Größe und Gewicht sind in diesem geprüften Kontext keine eigenen strukturierten Felder; Freitext ist dadurch nicht anonymisiert. Vollständige FIT-Dateien, GPS-Strecken und Hersteller-Zugangstokens sind keine eigenen Felder dieses Gesprächspfads.

Der Pilotserver läuft bei Render in Frankfurt, Deutschland. Der Auftragsverarbeitungszusatz benennt Render Services, Inc., 525 Brannan St, San Francisco, CA 94131, USA; Datenschutzkontakt: privacy@render.com. Render stellt die Infrastruktur zur Vermittlung der Sam-Anfragen bereit und verarbeitet hierfür auch technische Verbindungs- und Betriebsdaten. Der Render-DPA sieht neben dem Dienststandort auch Verarbeitung in den USA vor und nennt das Data Privacy Framework beziehungsweise bei dessen Nichtanwendbarkeit Standardvertragsklauseln als Übermittlungsgrundlagen. Für eigene Konto- und Nutzungsdaten handelt Render in eigener Verantwortung. Der geprüfte Anwendungscode legt keine dauerhafte Gesprächsdatenbank auf dem Server an; technische Infrastrukturprotokolle sind davon zu unterscheiden. OpenAI wird derzeit über den globalen API-Zugang verwendet. Frankfurt als Standort unseres Servers bedeutet daher keine ausschließlich europäische Verarbeitung der gesamten Anfrage.

Für den EWR nennt der öffentliche OpenAI-Auftragsverarbeitungsvertrag OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland, als Vertragspartei; Datenschutzkontakt: privacy@openai.com. Er sieht für Übermittlungen außerhalb des EWR entsprechende Übermittlungsgrundlagen wie Angemessenheitsbeschlüsse oder Standardvertragsklauseln vor. Die Weiterleitung an OpenAI ist ein eigener Verarbeitungsschritt; der Standort des Sam-Servers begrenzt diesen nicht auf die EU. Anbieterinformationen: OpenAI-Datenschutzvertrag und API-Datenkontrollen.

Für TRIagnostics ist keine Freigabe von Nutzerdaten zum Training allgemeiner KI-Modelle vorgesehen. OpenAI beschreibt die API entsprechend standardmäßig ohne Modelltraining, sofern keine ausdrückliche Freigabe erteilt wird. Im Pilotcode ist zudem store:false gesetzt. Dies beseitigt nicht sämtliche Aufbewahrung: OpenAI nennt für Missbrauchsüberwachungsprotokolle standardmäßig bis zu 30 Tage, mit möglichen Ausnahmen. Eine besondere Zero-Data-Retention-Freigabe ist für dieses Projekt nicht nachgewiesen.

Der öffentliche KI-Betrieb mit personenbezogenen Gesundheitsdaten ist noch nicht aktiviert. Vor dessen Start werden die dafür geeigneten Verträge, Kontoeinstellungen und Einwilligungsfunktionen abgeschlossen und diese Hinweise auf den verbindlichen Betriebsstand aktualisiert. Ein bloßer Websitebesuch oder die Lektüre dieser Hinweise löst keine solche Übermittlung aus.

Sam kann Fehler machen. Trainingsvorschläge werden zur Prüfung und Übernahme durch den Athleten angezeigt. Sam ist für sportliche Trainingsbegleitung vorgesehen und soll keine Diagnosen stellen, Erkrankungen behandeln oder eine medizinische Trainingsfreigabe erteilen.

6. Speicherung, Aufbewahrung und Löschung

Auf dem Gerät: Im App-Piloten bleiben Profil, Trainings- und Planungsangaben, Verfügbarkeit, Rückblicke und wochenbezogene Sam-Gespräche für die Nutzung und den Vergleich über mehrere Wochen lokal gespeichert. Es gibt derzeit keine automatische Löschung nach einer festen Tageszahl. Ein Gesprächsneustart entfernt den Gesprächseintrag der betreffenden Woche, nicht das gesamte Profil und nicht andere Wochen oder übernommene Pläne. Die vollständige Export- und Löschverwaltung ist noch keine öffentlich angebotene Funktion. Für Unterstützung bei Auskunft, Export oder Löschung ist app@triagnostics.com erreichbar. Eine Löschung auf dem Gerät muss auch dort durchgeführt werden; wir können lokale Daten nicht allein aufgrund einer E-Mail aus der Ferne entfernen. Geräte- und Cloudbackups können gesonderte Kopien enthalten, die nach den Sicherungseinstellungen des Geräts zu entfernen sind.

Sam-Server: Der geprüfte Servercode verarbeitet Gesprächsanfragen während der Bearbeitung im Arbeitsspeicher und führt keine dauerhafte Gesprächsdatenbank oder inhaltlichen Anfrageprotokolle. Das beendet nicht die lokale Speicherung auf dem Gerät und nicht eine zulässige Aufbewahrung bei OpenAI. Render hält Laufzeitprotokolle abhängig vom Workspace-Tarif im Dashboard bereit: Hobby sieben, Pro vierzehn, Scale/Enterprise dreißig Tage. Der Free-Rechentarif allein bestimmt diesen Workspace-Tarif nicht. Diese Angaben beschreiben die Dashboard-Protokolle, nicht eine pauschale Höchstfrist für sämtliche Verwaltungs- und Sicherheitsdaten von Render.

OpenAI: Der Pilot setzt store:false für die Responses API. Für Missbrauchsüberwachungsprotokolle nennt OpenAI grundsätzlich bis zu dreißig Tage; gesetzlich gebotene oder zur Abwehr von Schaden erforderliche längere Aufbewahrung bleibt nach den Anbieterbedingungen möglich. Eine Löschung des lokalen Chats löscht diese Protokolle nicht automatisch. Unser Projekt verwendet keine nachgewiesene Zero-Data-Retention-Sonderfreigabe. Für eine Anfrage an einen Dienstleister verwenden wir nur die zur Zuordnung erforderlichen Informationen.

Stridee nach Aktivierung des Imports: Eigene API-Anfrageprotokolle von Stridee enthalten laut Plattformbedingungen keine Endnutzer-Payloads und werden dreißig Tage aufbewahrt. Die Nutzerdatenverarbeitung läuft für die Dauer der beauftragten Verbindung und der für die beschriebenen Funktionen erforderlichen Speicherung. Beim Ende des Plattformvertrags kann binnen dreißig Tagen Rückgabe verlangt werden; Stridee nennt einen Löschabschluss binnen neunzig Tagen unter Vorbehalt des Ablaufs von Sicherungskopien. Bei einer von mehreren berechtigten Entwicklern genutzten Aktivitätsdatei werden unsere Zuordnung und Zugriffsberechtigung entfernt; die Datei selbst kann für andere weiterhin berechtigte Entwickler erhalten bleiben. Diese Regelung zum Vertragsende ist keine zugesagte Bearbeitungsfrist für einen individuellen Löschantrag. Anträge einzelner Nutzer nehmen wir über app@triagnostics.com entgegen und bearbeiten sie nach den gesetzlichen Vorgaben auch gegenüber beteiligten Auftragsverarbeitern.

Kontakt und Nachweise: Eine Korrespondenz wird für die Bearbeitung der Anfrage aufbewahrt und danach gelöscht, soweit sie nicht noch für eine konkrete weitere Bearbeitung, gesetzliche Aufbewahrung oder Geltendmachung beziehungsweise Abwehr von Ansprüchen erforderlich ist. Einwilligungsnachweise sind auf Zweck, Umfang, Textversion und Zeitpunkt zu begrenzen und getrennt von Trainingsinhalten aufzubewahren, solange der Nachweis der Verarbeitung erforderlich ist. Gesetzlich weiter aufzubewahrende Daten dürfen nach Wegfall des ursprünglichen Zwecks nur noch für den jeweiligen Aufbewahrungszweck verwendet werden.

Trainings- und Gesundheitsdaten werden für die beschriebenen Trainingsfunktionen verwendet. Verkauf, Veröffentlichung, Werbung, eigenständige Forschung und das Training allgemeiner KI-Modelle gehören nicht zu diesen Zwecken.

7. Einwilligung und Ihre Rechte

Für Import und KI-Nutzung ist vor der jeweiligen Datenverarbeitung eine ausdrückliche Einwilligung in die erläuterten Datenarten, Empfänger und Zwecke erforderlich. Die Hersteller-Verbindung allein ist keine pauschale KI-Freigabe. Der Widerruf ist jederzeit über app@triagnostics.com möglich; eine angebotene Hersteller-Verbindung lässt sich zusätzlich in den Einstellungen des jeweiligen Herstellerkontos aufheben. Nach einem Widerruf werden keine weiteren darauf gestützten Importe beziehungsweise KI-Auswertungen veranlasst. Das Trennen eines Herstellerkontos löscht bereits importierte Daten nicht automatisch. Dafür kann zusätzlich ein Löschantrag gestellt werden. Die Rechtmäßigkeit früherer Verarbeitung aufgrund einer wirksamen Einwilligung bleibt unberührt. Funktionen, die diese Verarbeitung benötigen, stehen nach Widerruf nicht mehr zur Verfügung.

Sie haben nach den gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Bei einer Verarbeitung aufgrund berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation widersprechen. Kontakt: app@triagnostics.com. Wir beantworten Anfragen grundsätzlich innerhalb eines Monats; gesetzlich zulässige Verlängerungen werden mitgeteilt.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem Aufenthaltsort, Arbeitsplatz oder am Ort eines vermuteten Verstoßes. Für den derzeitigen Projektbetreiber kommt insbesondere die Landesbeauftragte beziehungsweise der Landesbeauftragte für den Datenschutz Niedersachsen in Betracht: lfd.niedersachsen.de.

8. Änderungen und Entwicklungsstand

Diese Hinweise werden bei Änderungen der Funktionen, des Betreibers oder der eingesetzten Anbieter aktualisiert. Die hier als vorgesehen bezeichneten Abläufe sind noch keine Zusage bereits aktiver Funktionen. Vor öffentlicher Aktivierung des Imports und der KI-Verarbeitung wird die Erklärung an den tatsächlich freigegebenen Betrieb angepasst.