BodySeasons verarbeitet Daten DSGVO-konform. Hier erklären wir, wo deine Daten liegen, wann ausgewählte Dienstleister Daten erhalten und welche Schutzmaßnahmen BodySeasons tatsächlich umsetzt.
Zuletzt aktualisiert: 24. Juli 2026
Datenschutz
Die Verarbeitung in BodySeasons ist auf klare Zwecke, Datenminimierung, passende Rechtsgrundlagen und nachvollziehbare Datenwege ausgerichtet. Das gilt auch für angeforderte KI-Berichte: Sie werden nur auf Wunsch erstellt, eigene Texte sind standardmäßig deaktiviert und benötigen eine gesonderte Einwilligung, Identifikatoren werden mehrstufig reduziert und fertige Berichte serverseitig im Ruhezustand verschlüsselt gespeichert.
Weitere Details zu Datenverarbeitung, Empfängern und Schutzmaßnahmen findest du in unserer Datenschutzerklärung.
DatenschutzerklärungDu entscheidest, welche vernetzten Funktionen du nutzt. Wir benennen getrennt, was lokal bleibt und was dafür übertragen wird.
Zyklus-, Tracking- und Einstellungsdaten werden zunächst lokal in deinem Browser gespeichert. Daten werden nur übertragen, wenn du eine vernetzte Funktion wie Cloud-Synchronisierung, KI-Bericht, optionale Wetterdaten oder Coach-Freigabe nutzt; die jeweiligen Datenwege sind unten beschrieben.
Bei Konten und anonymen Sicherungsprofilen synchronisiert BodySeasons eine komprimierte Kopie mit dem selbst verwalteten Backend. Die Übertragung ist durch HTTPS/TLS geschützt und der Zugriff wird aus der angemeldeten Sitzung abgeleitet. Die Cloud-Save-Kopie wird serverseitig im Ruhezustand mit AES-256-GCM verschlüsselt; der Datensatz ist kryptografisch an Konto, Projekt und Nutzerkennung gebunden und das Schlüsselverfahren unterstützt Rotation. Es handelt sich nicht um eine Ende-zu-Ende-Verschlüsselung.
Du kannst deine Zyklusdaten als maschinenlesbare Datei exportieren und lokale Daten, Cloud-Daten sowie dein Konto über die vorgesehenen Wege löschen.
Schutzmaßnahmen werden passend zum jeweiligen Datenweg eingesetzt und nicht als pauschales Sicherheitsversprechen dargestellt.
Verbindungen zwischen App, Website und unseren Diensten werden über HTTPS/TLS übertragen.
Nur wenn du einen KI-Bericht anforderst, werden die dafür ausgewählten strukturierten Zyklusdaten an OpenRouter übermittelt. Geburtsdatum, Geburtsjahr, exaktes Alter und strukturierte Konto-Kennungen werden dabei nicht als Profil- oder Kontofelder in den Modell-Prompt übernommen. Eigene Texte sind standardmäßig aus und werden nur als einzeln geprüfte Kopien nach einer gesonderten Einwilligung für diesen Bericht verarbeitet. Die mehrstufige Filterung ist eine Best-effort-Schutzmaßnahme und keine Garantie vollständiger Anonymität. Der fertige Bericht wird in der BodySeasons-Middleware im Ruhezustand mit AES-256-GCM verschlüsselt gespeichert.
Du bestimmst Kategorien, freie Notizen und Zeitraum einzeln. Das Backend speichert nur die daraus erzeugte Coach-Projektion und verschlüsselt sie im Ruhezustand mit AES-256-GCM. Nach einem Widerruf ist die Projektion für den Coach nicht mehr abrufbar und wird aus der aktiven Datenhaltung entfernt.
BodySeasons integriert keine Werbe-SDKs und keine Drittanbieter-Analytics zum app- oder webseitenübergreifenden Tracking. Personenbezogene Daten werden nicht für Werbung verkauft.
Dienstleister erhalten nur die Daten, die für die jeweils angeforderte Funktion erforderlich sind:
Webkäufe öffnen den von Stripe gehosteten Checkout. Kartendaten gibst du direkt bei Stripe ein; sie laufen nicht durch BodySeasons und werden von BodySeasons weder empfangen noch gespeichert. Den aktuellen PCI-DSS-Dienstleister-Nachweis von Stripe haben wir intern geprüft; er gilt für Stripe als Zahlungsdienstleister.
Standortkoordinaten werden nur bei aktivierter optionaler Wetterfunktion an Open-Meteo übertragen.
Öffentlich erreichbare, über Cloudflare geleitete Webanfragen durchlaufen vor unseren selbst verwalteten Ursprungssystemen Cloudflares Edge für TLS-Terminierung, Auslieferung und WAF-Filterung. Bei Web-Registrierung und Kontaktformular wird Turnstile nur dort bei Bedarf geladen und das kurzlebige Prüf-Token anschließend serverseitig validiert. Verfügbare Tutorialvideos lädt die App erst beim Öffnen der jeweiligen Hilfe über videos.bodyseasons.com aus Cloudflare R2; dabei wird zunächst nur die Videometadaten-Anfrage ausgelöst.
OpenRouter erhält ausgewählte strukturierte Zyklusdaten ausschließlich dann, wenn du selbst einen KI-Bericht anforderst. Optional freigegebene Textkopien werden nach einer Vorprüfung in der BodySeasons-Middleware getrennt und ohne separat angehängte Konto-Kennungen oder Sitzungsdaten an einen isolierten Sanitizer übermittelt, anschließend dort lokal nachgeprüft und erst dann mit strukturierten Daten kombiniert. Bei der Anbieterauswahl fordert BodySeasons Zero Data Retention und deaktivierte Datensammlung an. Diese Routing-Vorgabe ersetzt keine Anbieterzusage; die ausgewählten Inhalte werden zur Verarbeitung an OpenRouter und die dort ausgewählten, dokumentierten Modellanbieter übermittelt.
Melde eine vermutete Sicherheitslücke bitte vertraulich an [email protected] und gib uns vor einer Veröffentlichung angemessene Zeit für Prüfung und Behebung.
Am 12. Juli 2026 wurden Code, Konfiguration und Kontrollen intern anhand ausgewählter, anwendbarer Anforderungen des OWASP ASVS 5.0.0, des OWASP MASVS und der BSI TR-03161 Version 3.0, Teile 1 und 3, geprüft. Fünf festgestellte High-Risk-Befunde wurden behoben und nachgeprüft; mittlere und prozessuale Befunde bleiben dokumentiert. Die Prüfung war intern und ersetzt keinen unabhängigen Penetrationstest.
Repräsentative Ansichten von BodySeasons und BodySeasons Coach wurden intern anhand ausgewählter WCAG-2.2-Anforderungen und veröffentlichter BIK-Prüfschritte geprüft. Automatisierte Tests wurden durch Quellcode-, Tastatur- und Reduce-Motion-Prüfungen ergänzt; festgestellte Abweichungen werden behoben oder nachverfolgt. Die Prüfung war intern und ersetzt keinen BIK BITV-Test.
Wir beschreiben den jeweils dokumentierten Prüfstand und aktualisieren ihn bei relevanten Änderungen. Ergänzende Details zu Datenwegen und Schutzmaßnahmen findest du in unserer Datenschutzerklärung.