Datenschutz­erklärung

Datenschutzerklärung

Stand: 2. Oktober 2026 · Fassung v2.1 · nach der Datenschutz-Grundverordnung (DSGVO)

1. Wer ist verantwortlich?

Verantwortlich ist SIGAtech Softwareentwicklung, Inhaber Siegfried Gaier (Einzelunternehmen), Mathildenstraße 11, 44793 Bochum, Deutschland, E-Mail hallo@mypacing.app. Eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter ist nicht bestellt, weil keine Beschäftigten mit der Verarbeitung personenbezogener Daten befasst sind (§ 38 Abs. 1 BDSG) und die Voraussetzungen des Art. 37 DSGVO nicht vorliegen. Weil mypacing Gesundheitsdaten verarbeitet, prüfen wir das regelmäßig. Für alle Datenschutzfragen erreichst du uns unter der genannten Adresse.

2. Besuch der Webseite

Wenn du mypacing.app aufrufst, verarbeitet unser Webserver technisch notwendige Angaben: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge, die zuvor besuchte Seite und Angaben zu Browser und Betriebssystem. Das ist nötig, um die Seite auszuliefern und Angriffe zu erkennen (Art. 6 Abs. 1 lit. f DSGVO). Diese Serverprotokolle werden täglich rotiert und spätestens nach 14 Tagen gelöscht.

Die Webseite verwendet keine Analyse- oder Werbe-Cookies, kein Tracking und keine eingebetteten Inhalte von Dritten; Schriften liefern wir selbst aus. Deine Sprachwahl (DE/EN) merkt sich dein Browser in seinem lokalen Speicher. Das ist für die von dir gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und verlässt dein Gerät nicht. Die Demo auf der Startseite läuft mit erfundenen Werten vollständig in deinem Browser.

3. Konto

Für ein Konto verarbeiten wir deine E-Mail-Adresse, deinen Vornamen, dein Geburtsdatum und dein Passwort. Das Geburtsdatum brauchen wir, weil mypacing ab 18 Jahren nutzbar ist; für die gemeinsame Auswertung (Nr. 5) wird daraus nur eine Altersgruppe gebildet. E-Mail-Adresse, Name und Geburtsdatum speichern wir verschlüsselt, das Passwort nur als nicht umkehrbarer Hash. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Anmeldung mit Apple oder Google: Wählst du diesen Weg, erhalten wir vom jeweiligen Anbieter deine E-Mail-Adresse (bei Apple auf Wunsch eine Weiterleitungsadresse) und gegebenenfalls deinen Namen; das Anmeldetoken prüfen wir beim Anbieter (Apple Inc. bzw. Google Ireland Ltd./Google LLC). Für jedes angemeldete Gerät speichern wir einen Sitzungsschlüssel, die Plattform und eine zufällige Installationskennung, damit du deine Geräte in der App sehen und abmelden kannst. Die IP-Adresse von Anmeldungen und Fehlversuchen speichern wir zur Missbrauchserkennung 90 Tage (Art. 6 Abs. 1 lit. f DSGVO); zur Begrenzung wiederholter Versuche verwenden wir außerdem eine gepfefferte Prüfsumme der IP-Adresse, aus der sich die Adresse nicht zurückrechnen lässt.

4. Deine Tagesdaten und Gesundheitsdaten

Herzfrequenz, Schlaf und dein Befinden sind Gesundheitsdaten (Art. 9 Abs. 1 DSGVO). Wir verarbeiten sie nur mit deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO).

Aus Apple Health oder Health Connect

Nur wenn du es in deinem Betriebssystem erlaubst – für jeden Datentyp einzeln – liest die Android-App ab Version 2.0.3 aus Health Connect Schritte, Ruhepuls, Herzfrequenzvariabilität und Schlaf (Dauer und Phasen). Diese Werte siehst du in deinem Tagesbild und Verlauf, verglichen mit deinen eigenen bisherigen Werten und neben deinen Einträgen. Mit der zusätzlichen, freiwilligen Freigabe für frühere Daten kannst du deinen bestehenden Verlauf bis höchstens zehn Jahre zurück importieren; ohne sie werden nur zugängliche jüngere Werte gelesen. Die iPhone-App kann aus Apple Health außerdem Strecke, aktive Energie, Stockwerke, Herzfrequenz, Atemfrequenz und Sauerstoffsättigung lesen. Erweiterte Android-Fassungen können diese zusätzlichen Datentypen ebenfalls aus Health Connect lesen, wenn du sie einzeln freigibst. Unter „Ich“ → „Datenquellen“ → „Freigaben prüfen“ kannst du sie auswählen. Der Systemdialog zeigt dir, welche Datentypen deine installierte Fassung anfragt. Die zusätzlichen Tageswerte erscheinen unter „Verlauf“ als Diagramm, Tabelle und Zeitraumvergleich, ohne medizinische Bewertung. Ältere App-Fassungen konnten weitere Werte übertragen; vorhandene Einträge bleiben erhalten. Die App liest nur. Die einzige Ausnahme: Nach einem abgeschlossenen Ruhemoment kann sie die Sitzung als Achtsamkeitsminuten in Apple Health bzw. Health Connect eintragen. Auf Android wird die Schreibfreigabe erst angefragt, wenn du ausdrücklich speichern möchtest. Du kannst einzelne Freigaben jederzeit in den Einstellungen deines Geräts ändern; danach liest die App diese Datentypen nicht mehr.

Auf dem Gerät werden die Werte zu Tageswerten zusammengefasst (zum Beispiel Schritte je Tag, Ruhepuls je Tag, Schlaf je Nacht); an uns gehen diese Tageswerte, nicht die einzelnen Messpunkte. Aus welcher App ein Schlaf- oder HRV-Wert stammt, wird auf dem Gerät auf eine grobe Quellenklasse reduziert (zum Beispiel Apple, Garmin, gemischt); Geräte- oder Paketkennungen übertragen wir nicht.

Deine eigenen Einträge

Check-in (Befinden, Schlafgefühl, Kopf-Last, Ruhezeit am Tag), Tagesplan mit Energiepunkten und Pausen, Tagesnotizen, Aktivitäten mit Dauer und Anstrengung sowie Ruhemomente.

Wozu

Damit mypacing dir deine Werte zeigt, sie mit deinem eigenen Verlauf vergleicht, Wochenrückblicke und Muster berechnet und deinen Tagesplan speichert – auf allen deinen Geräten. Die Auswertung ist Statistik auf deinen eigenen Werten; es findet keine automatisierte Entscheidung mit rechtlicher Wirkung statt (Art. 22 DSGVO), und wir setzen dafür keine künstliche Intelligenz ein.

5. Gemeinsame Auswertung (mypacingLAB)

Teil deiner Einwilligung ist, dass deine Tageswerte pseudonymisiert in eine gemeinsame, interne Auswertung einfließen: unter einer zufälligen Forschungskennung statt unter Name, E-Mail oder Konto-Nummer und nur mit einer Altersgruppe statt des Geburtsdatums. Bei HRV speichern wir die grobe Quellenklasse mit, weil verschiedene Geräte HRV unterschiedlich berechnen.

Zweck, eng begrenzt: Die gemeinsame Auswertung dient ausschließlich drei Fragen – Belastung und Erholung (wie Aktivität, Belastung und Pausen mit der Erholung zusammenhängen), Schlaf sowie Ruhepuls und Herzfrequenzvariabilität im Tagesverlauf – und nur dazu, die Darstellungen und Auswertungen in mypacing verständlicher und genauer zu machen. Ergebnisse werden nur gruppenbezogen gebildet. Wir führen keine Studien durch, geben keine Daten an Forschungseinrichtungen oder andere Dritte weiter und nutzen die Daten nicht zum Training von KI-Modellen.

Beiträge, die auf Grundlage einer früheren Fassung der Einwilligung (bis v1.14) eingegangen sind, bleiben im Pool und werden weiterhin nur für den Zweck ausgewertet, der in jener Fassung genannt war.

Warum beides zusammenhängt – und was ein Widerruf bewirkt: Die gemeinsame Auswertung ist mit deiner persönlichen Auswertung in einer Einwilligung verbunden; eine Teilnahme nur an einem der beiden Teile bieten wir derzeit nicht an. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: indem du dein Konto in der App löschst (Ich → Konto löschen) oder uns formlos schreibst – dann löschen wir dein Konto. Ab dann fließen keine neuen Werte mehr in den Pool. Bereits eingeflossene Beiträge bleiben ohne Verbindung zu dir bestehen, weil die Zuordnung mit dem Konto verschwindet. Möchtest du, dass auch sie entfernt werden, sag es uns bitte vor der Löschung (hallo@mypacing.app).

6. Web-App und Apps auf deinem Gerät

Die Web-App speichert in deinem Browser (lokaler Speicher) deinen Sitzungsschlüssel, deine Einstellungen (Sprache, Darstellung, Erinnerung), zwischengespeicherte Anzeigedaten und Einträge, die noch nicht übertragen wurden. Die Apps speichern den Sitzungsschlüssel im geschützten Schlüsselbund bzw. Keystore deines Geräts und die übrigen Angaben in ihrem App-Speicher. Das ist für die Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Beim Abmelden entfernt die App deinen Sitzungsschlüssel und die zwischengespeicherten Daten; nur Einstellungen wie Sprache und Darstellung bleiben.

Erinnerungen und der Pausen-Timer von mypacing 2.0 sind Benachrichtigungen, die dein Gerät selbst auslöst; dafür wird kein Push-Dienst eingeschaltet.

7. E-Mails

Wir schreiben dir, wenn es für dein Konto nötig ist: Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Sicherheitshinweise, geänderte Rechtstexte, die Erinnerung vor der Löschung eines lange ungenutzten Kontos und – wenn du die Android-App direkt von unserer Webseite geladen hast – Hinweise auf eine neue Fassung (Art. 6 Abs. 1 lit. b und f DSGVO). Den Wochenrückblick per E-Mail bekommst du nur, wenn du ihn eingeschaltet hast; abbestellen kannst du ihn mit einem Klick in jeder dieser E-Mails. Versendet werden die E-Mails über ALL-INKL.COM (Nr. 10).

8. Wenn du uns schreibst

Schreibst du uns per E-Mail (oder in älteren App-Fassungen über das Support-Formular), verarbeiten wir deine Nachricht und deine Kontaktdaten, um dein Anliegen zu bearbeiten (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Enthält deine Nachricht Gesundheitsangaben, verarbeiten wir sie nur für die Antwort. Die Antworten schreiben Menschen; ein KI-Dienst ist dabei nicht beteiligt. Nachrichten zu deinem Konto löschen wir spätestens mit dem Konto, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

9. Daten aus früheren Fassungen von mypacing

Bis zum 21. und 22. September 2026 bot mypacing weitere Funktionen an, die mit der Neuausrichtung eingestellt wurden. Was dabei entstanden ist, bleibt in deinem Konto, bis du es löschst; auf Wunsch löschen wir es vorher (hallo@mypacing.app):

• Frühere Angaben wie Gesundheitsprofil, Symptome mit Schweregrad, als „Crash“ markierte Tage, Stehtest und Fragebögen. Neue Angaben dieser Art werden nicht mehr erhoben.
• Weitere Messwerte aus früheren App-Fassungen (zum Beispiel Blutdruck, Körpermaße, VO₂max, Zyklusangaben oder CPAP-Kennwerte), sofern du sie damals freigegeben hattest. mypacing 2.0 liest nur die Werte aus Nr. 4.
• Technische Messdiagnose der früheren Kamera-Messung (nur Kennzahlen zur Aufnahme, kein Bild): wird nach zwölf Monaten automatisch gelöscht.
• Anonyme Datenspenden ohne Konto: werden nicht mehr angenommen; bereits gespendete Dateien löschen wir, sobald sie ausgewertet sind, spätestens jedoch 24 Monate nach Eingang.
• Teilen-Links: funktionieren nicht mehr; gespeichert sind nur Zeichenfolge, Bezeichnung, Frist und Zahl der Aufrufe.
• Wetter: Hast du in einer früheren Fassung einen Ort hinterlegt, ergänzen wir deine Tageswerte weiterhin um Wetterwerte von Open-Meteo (Schweiz). Übermittelt werden nur die auf etwa einen Kilometer gerundeten Koordinaten und der Zeitraum – kein Name, keine Gesundheitsdaten. Den Ort löschen wir auf Wunsch.
• Oura: Hast du früher dein Oura-Konto verbunden, bleibt die Verbindung gespeichert. Ringdaten werden darüber bei Oura Health Oy (Finnland) nur abgerufen, wenn eine ältere App- oder Web-Fassung einen Abgleich anstößt. Auf Wunsch entfernen wir die Verbindung.
• Push-Nachrichten: Ältere App-Fassungen (1.x) können Erinnerungen als Push-Nachricht erhalten, wenn du das dort erlaubt hast. Dafür gehen eine Gerätekennung und der Text der Nachricht an den Push-Dienst von Apple (USA) bzw. Google (Irland/USA). Die Texte enthalten keine Gesundheitswerte.

10. Wer deine Daten erhält

Wir verkaufen keine Daten, zeigen keine Werbung und geben deine Daten nicht an Dritte zu deren eigenen Zwecken weiter. Beteiligt sind nur:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Server und Betrieb, Rechenzentrum in Nürnberg. Hier liegen dein Konto und deine Gesundheitsdaten.
• ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf – Domain und E-Mail-Versand. Dorthin geht deine E-Mail-Adresse, wenn wir dir schreiben; Gesundheitsdaten liegen dort nicht.

Beide arbeiten ausschließlich nach unserer Weisung auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO). Nur für die Funktionen, die du selbst wählst, kommen hinzu: Apple bzw. Google bei der Anmeldung über diese Anbieter (Nr. 3) und für Push-Nachrichten älterer App-Fassungen, Open-Meteo und Oura für die Altfunktionen aus Nr. 9. Beim Laden der App aus dem App Store oder aus Google Play verarbeiten Apple bzw. Google Daten in eigener Verantwortung nach ihren eigenen Datenschutzhinweisen.

11. Übermittlung in Drittländer

Dein Konto, deine Gesundheitsdaten und alle Auswertungen werden ausschließlich auf Servern in Deutschland verarbeitet. Außerhalb der EU landen Angaben nur bei den freiwilligen Funktionen aus Nr. 3 und Nr. 9: bei Apple und Google (USA) für die Anmeldung über diese Anbieter und für Push-Nachrichten älterer App-Fassungen – beide sind nach dem EU-US Data Privacy Framework zertifiziert bzw. nutzen Standardvertragsklauseln – sowie bei Open-Meteo (Schweiz), für die ein Angemessenheitsbeschluss der EU-Kommission besteht. Meldest du dich mit E-Mail und Passwort an und nutzt keine Altfunktionen, verlässt kein personenbezogenes Datum die EU.

12. Wie lange wir speichern

• Konto, Tagesdaten und Einträge: solange dein Konto besteht. Löschst du es, entfernen wir deine personenbezogenen Daten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Nach 24 Monaten Inaktivität löschen wir ein Konto von uns aus; zwei Monate vorher erinnern wir per E-Mail.
• Datensicherungen dienen nur der Wiederherstellung, liegen geschützt außerhalb des öffentlichen Bereichs und werden nach 14 Tagen gelöscht. Nach einer Kontolöschung kann eine Kopie deshalb bis zu 14 Tage in einer Sicherung stehen.
• Serverprotokolle: 14 Tage. IP-Adressen von Anmeldungen: 90 Tage.
• Pseudonymisierte Beiträge zur gemeinsamen Auswertung: siehe Nr. 5.

13. Sicherheit

Alle Verbindungen sind mit TLS verschlüsselt. Gesundheitsdaten, E-Mail-Adresse, Name und Geburtsdatum speichern wir verschlüsselt; Passwörter nur als Hash. Der Zugriff auf die Server ist auf das technisch Notwendige beschränkt.

14. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

So geht es praktisch: In der App unter Ich kannst du deine Daten herunterladen und dein Konto löschen. Für alles andere genügt eine formlose E-Mail an hallo@mypacing.app; eine Begründung brauchst du nicht.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf, Telefon 0211 38424-0, poststelle@ldi.nrw.de.

15. Musst du Daten angeben?

Ohne E-Mail-Adresse, Vorname, Geburtsdatum und Passwort (oder die Anmeldung über Apple bzw. Google) können wir kein Konto anlegen. Ohne Einwilligung in die Verarbeitung deiner Gesundheitsdaten kann mypacing deine Werte nicht speichern und auswerten; die Demo steht dir trotzdem offen. Welche Werte du aus Apple Health oder Health Connect freigibst, entscheidest du selbst.

16. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich mypacing ändert. Bei jeder Änderung zählen wir die Fassung hoch und legen dir den neuen Stand in der App vor.

Privacy policy

As of: 2 October 2026 · version v2.1 · under the General Data Protection Regulation (GDPR)

1. Who is responsible?

The controller is SIGAtech Softwareentwicklung, owner Siegfried Gaier (sole proprietorship), Mathildenstraße 11, 44793 Bochum, Germany, email hallo@mypacing.app. No data protection officer has been appointed, because no employees are involved in processing personal data (Section 38(1) BDSG) and the conditions of Art. 37 GDPR are not met. Because mypacing processes health data, we review this regularly. You can reach us at the address above with any privacy question.

2. Visiting the website

When you open mypacing.app, our web server processes technically necessary information: IP address, time, requested address, status code, amount of data transferred, the previously visited page and details of your browser and operating system. This is necessary to deliver the site and to detect attacks (Art. 6(1)(f) GDPR). These server logs are rotated daily and deleted after 14 days at the latest.

The website uses no analytics or advertising cookies, no tracking and no embedded third-party content; we serve fonts ourselves. Your language choice (DE/EN) is remembered in your browser’s local storage. This is strictly necessary for the function you asked for (Section 25(2) no. 2 TDDDG) and does not leave your device. The demo on the home page runs entirely in your browser with made-up values.

3. Account

For an account we process your email address, first name, date of birth and password. We need your date of birth because mypacing may be used from the age of 18; for the shared analysis (no. 5), only an age band is derived from it. We store email address, name and date of birth encrypted, and the password only as a non-reversible hash. The legal basis is the performance of the contract of use (Art. 6(1)(b) GDPR).

Signing in with Apple or Google: If you choose this option, we receive your email address from the provider (with Apple, a relay address if you wish) and possibly your name; we verify the sign-in token with the provider (Apple Inc. or Google Ireland Ltd./Google LLC). For each signed-in device we store a session key, the platform and a random installation identifier so that you can see and sign out your devices in the app. We keep the IP address of sign-ins and failed attempts for 90 days to detect misuse (Art. 6(1)(f) GDPR); to limit repeated attempts we also use a peppered checksum of the IP address from which the address cannot be recovered.

4. Your daily data and health data

Heart rate, sleep and how you feel are health data (Art. 9(1) GDPR). We only process them with your explicit consent (Art. 9(2)(a) in conjunction with Art. 6(1)(a) GDPR).

From Apple Health or Health Connect

Only if you allow it in your operating system – separately for each data type – the Android app from version 2.0.3 reads steps, resting heart rate, heart rate variability and sleep (duration and stages) from Health Connect. You see these values in your daily picture and trends alongside your entries, compared with your own previous values. Optional access to past data lets you import your existing history up to ten years back; without it, only accessible recent records are read. The iPhone app can additionally read distance, active energy, floors climbed, heart rate, respiratory rate and oxygen saturation from Apple Health. Extended Android versions can also read these additional data types from Health Connect if you grant each one separately. Under Me → Data sources → Review permissions you can choose them. The system dialog shows which data types your installed version requests. Additional daily values appear in Trends as charts, tables and period comparisons, without medical assessment. Earlier app versions could transfer additional values; existing entries remain available. The app only reads. The single exception: after a completed rest moment it can record that session as mindful minutes in Apple Health or Health Connect. On Android, write permission is requested only when you explicitly choose to save. You can change individual permissions at any time in your device settings; the app then stops reading those data types.

On your device, the values are condensed into daily values (for example steps per day, resting heart rate per day, sleep per night); what reaches us are these daily values, not the individual data points. The app that recorded a sleep or HRV value is reduced on your device to a rough source class (for example Apple, Garmin, mixed); we do not transfer device or package identifiers.

Your own entries

Check-in (how you feel, how you slept, mental load, rest during the day), day plan with energy points and breaks, daily notes, activities with duration and effort, and rest moments.

What for

So that mypacing can show you your values, compare them with your own history, calculate weekly reviews and patterns and save your day plan – on all your devices. The analysis is statistics on your own values; there is no automated decision with legal effect (Art. 22 GDPR), and we do not use artificial intelligence for it.

5. Shared analysis (mypacingLAB)

Part of your consent is that your daily values flow, pseudonymised, into a shared internal analysis: under a random research identifier instead of your name, email or account number, and only with an age band instead of your date of birth. For HRV we also store the rough source class, because different devices calculate HRV differently.

Narrowly limited purpose: The shared analysis serves exclusively three questions – exertion and recovery (how activity, exertion and breaks relate to recovery), sleep, and resting heart rate and heart rate variability over the day – and only to make the presentations and analyses in mypacing clearer and more accurate. Results are only formed at group level. We do not run studies, do not pass data on to research institutions or other third parties, and do not use the data to train AI models.

Contributions made under an earlier version of the consent (up to v1.14) remain in the pool and continue to be analysed only for the purpose stated in that version.

Why both are linked – and what withdrawal does: The shared analysis is combined with your personal analysis in one consent; we do not currently offer taking part in only one of the two. You can withdraw your consent at any time with effect for the future: by deleting your account in the app (Me → Delete account) or by writing to us informally – we will then delete your account. From then on, no new values flow into the pool. Contributions already made remain without any link to you, because the assignment disappears with the account. If you want them removed as well, please tell us before the deletion (hallo@mypacing.app).

6. Web app and apps on your device

The web app stores in your browser (local storage) your session key, your settings (language, appearance, reminder), cached display data and entries not yet transferred. The apps store the session key in your device’s protected keychain or keystore and the other information in their app storage. This is strictly necessary for the function (Section 25(2) no. 2 TDDDG). When you sign out, the app removes your session key and the cached data; only settings such as language and appearance remain.

Reminders and the break timer in mypacing 2.0 are notifications triggered by your device itself; no push service is involved.

7. Emails

We write to you when your account requires it: confirming your email address, resetting your password, security notices, changed legal texts, the reminder before an unused account is deleted and – if you downloaded the Android app directly from our website – notices about a new version (Art. 6(1)(b) and (f) GDPR). You only receive the weekly review by email if you switched it on; you can unsubscribe with one click in each of these emails. The emails are sent via ALL-INKL.COM (no. 10).

8. When you write to us

If you write to us by email (or, in older app versions, through the support form), we process your message and contact details to deal with your request (Art. 6(1)(b) or (f) GDPR). If your message contains health information, we only use it for the reply. Replies are written by people; no AI service is involved. We delete messages about your account at the latest together with the account, unless statutory retention obligations apply.

9. Data from earlier versions of mypacing

Until 21 and 22 September 2026, mypacing offered further features that were discontinued with its realignment. What was created with them remains in your account until you delete it; on request we delete it earlier (hallo@mypacing.app):

• Earlier information such as a health profile, symptoms with severity, days marked as “crash”, standing test and questionnaires. No new information of this kind is collected.
• Further measurements from earlier app versions (for example blood pressure, body measurements, VO₂max, cycle data or CPAP metrics), if you shared them at the time. mypacing 2.0 only reads the values listed in no. 4.
• Technical measurement diagnostics of the former camera measurement (metrics about the recording only, no image): deleted automatically after twelve months.
• Anonymous data donations without an account: no longer accepted; we delete files already donated once they have been processed, but no later than 24 months after receipt.
• Share links: no longer work; only the character string, label, expiry and number of views are stored.
• Weather: If you stored a location in an earlier version, we continue to add weather values from Open-Meteo (Switzerland) to your daily values. Only coordinates rounded to about one kilometre and the time period are transmitted – no name, no health data. We delete the location on request.
• Oura: If you connected your Oura account earlier, the connection remains stored. Ring data is only fetched through it from Oura Health Oy (Finland) when an older app or web version triggers a sync. We remove the connection on request.
• Push notifications: Older app versions (1.x) can receive reminders as push notifications if you allowed this there. For this, a device identifier and the text of the message go to the push service of Apple (USA) or Google (Ireland/USA). The texts contain no health values.

10. Who receives your data

We do not sell data, show no ads and do not pass your data on to third parties for their own purposes. Only the following are involved:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germany – servers and operation, data centre in Nuremberg. Your account and your health data are stored here.
• ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Germany – domain and sending of emails. Your email address goes there when we write to you; no health data is stored there.

Both work exclusively on our instructions on the basis of a data processing agreement (Art. 28 GDPR). Only for features you choose yourself are the following added: Apple or Google when you sign in with them (no. 3) and for push notifications of older app versions, and Open-Meteo and Oura for the legacy features in no. 9. When you download the app from the App Store or Google Play, Apple or Google process data under their own responsibility according to their own privacy notices.

11. Transfers to third countries

Your account, your health data and all analyses are processed exclusively on servers in Germany. Information only leaves the EU with the optional features in no. 3 and no. 9: to Apple and Google (USA) for signing in with them and for push notifications of older app versions – both are certified under the EU-US Data Privacy Framework or use standard contractual clauses – and to Open-Meteo (Switzerland), for which an adequacy decision of the European Commission exists. If you sign in with email and password and use no legacy features, no personal data leaves the EU.

12. How long we keep data

• Account, daily data and entries: as long as your account exists. If you delete it, we remove your personal data unless statutory retention obligations prevent this. After 24 months of inactivity we delete an account ourselves; we send a reminder by email two months beforehand.
• Backups are only used for restoring, are kept protected outside the public area and are deleted after 14 days. After an account deletion, a copy may therefore remain in a backup for up to 14 days.
• Server logs: 14 days. IP addresses of sign-ins: 90 days.
• Pseudonymised contributions to the shared analysis: see no. 5.

13. Security

All connections are encrypted with TLS. We store health data, email address, name and date of birth encrypted, and passwords only as a hash. Access to the servers is limited to what is technically necessary.

14. Your rights

You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and to object to processing based on legitimate interests (Art. 21). You can withdraw consent at any time with effect for the future (Art. 7(3)).

How it works in practice: In the app under Me you can download your data and delete your account. For everything else, an informal email to hallo@mypacing.app is enough; you do not need to give a reason.

You can also lodge a complaint with a data protection supervisory authority (Art. 77 GDPR). The authority responsible for us is the State Commissioner for Data Protection and Freedom of Information of North Rhine-Westphalia (LDI NRW), Postfach 20 04 44, 40102 Düsseldorf, Germany, phone +49 211 38424-0, poststelle@ldi.nrw.de.

15. Do you have to provide data?

Without email address, first name, date of birth and password (or signing in with Apple or Google) we cannot create an account. Without consent to the processing of your health data, mypacing cannot store and analyse your values; the demo remains open to you. Which values you share from Apple Health or Health Connect is up to you.

16. Changes

We update this privacy policy when mypacing changes. With every change we increase the version number and show you the new version in the app.