Hvila – Datenschutzerklärung / Privacy Policy

Stand / Last updated: 19.10.2026

Deutsch

1. Verantwortlicher

Loris Mähr – maehrsteuern Krumme Gasse 71, 99330 Geratal, Deutschland E-Mail: kontakt@maehr-bs.de

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen.

2. Grundsatz

Hvila funktioniert ohne Benutzerkonto. Alle Bewegungsdaten (Sitzungen, Schritte, Minuten, Stufen, Serien, Belohnungen, Einstellungen) werden ausschließlich lokal auf deinem Gerät gespeichert und nicht an uns übertragen. Hvila enthält keine Werbung, keine Analyse- oder Tracking-SDKs und erhebt keinen Standort.

3. Lokale Verarbeitung auf dem Gerät

• Schrittzähler / Bewegungserkennung (Berechtigung „Körperliche Aktivität“): Der Schrittsensor deines Geräts wird gelesen, um Schritte in Bewegungsminuten umzurechnen. Die Werte verlassen das Gerät nicht.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir gewünschten App-Funktion). Da die Daten nur auf deinem Gerät liegen, haben wir keinen Zugriff darauf. Löschen: App-Daten in den Android-Einstellungen löschen oder App deinstallieren.

4. Optionaler Freunde-Abgleich („Kreis“)

Nur wenn du den Kreis aktiv nutzt (Einladungscode erstellen oder eingeben), werden folgende Daten übertragen:

• frei gewählter Anzeigename, zufällig erzeugte Profil-ID und Einladungscode,
• Bewegungsminuten pro Tag/Woche sowie deine Stufe.

Zweck: Anzeige bei den Personen, mit denen du dich verbunden hast. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; die Nutzung ist freiwillig.

Auftragsverarbeiter: Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992, Datenhaltung in der Region EU (Frankfurt, Deutschland), Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Soweit ein Zugriff aus Drittländern nicht auszuschließen ist, erfolgt dieser auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Die Übertragung ist TLS-verschlüsselt.

Speicherdauer: bis du den Kreis verlässt bzw. dein Profil in der App löschst; danach werden die Daten innerhalb von 30 Tagen entfernt.

4a. Verbindungen (Health Connect, Strava, Fitbit)

Alle Verbindungen sind freiwillig und standardmäßig aus. Du schaltest sie unter Du → Verbindungen ein und jederzeit wieder aus.

• Health Connect (Android, auf dem Gerät): Mit deiner Zustimmung im Health-Connect-Berechtigungsdialog liest Hvila Trainings (Art, Beginn, Ende, Distanz, Schritte), Schritte, Distanz und Herzfrequenz innerhalb dieser Trainings – z. B. von Mi Fitness (Xiaomi Mi Band), Samsung Health oder Google Fit – für heute und die letzten 7 Tage. Daraus werden Bewegungsminuten, Serie und Stufe berechnet; je Training werden Durchschnitts- und Maximalpuls sowie der Name der aufzeichnenden App gespeichert. Wenn du es erlaubst, schreibt Hvila deine hier aufgezeichneten Sitzungen als Training (Art, Zeit, Distanz) nach Health Connect. Kalorien werden nur gelesen, weil Health Connect sie für Trainings mitliefert; sie werden weder angezeigt noch gespeichert. Diese Daten verlassen dein Gerät nicht und werden nicht an uns übertragen. Widerruf: Schalter in Hvila oder in der Health-Connect-App unter „App-Berechtigungen“.
• Strava und Fitbit (über unseren Server): Wenn du verbindest, meldest du dich direkt bei Strava bzw. Google (Fitbit) an und erlaubst Hvila den Zugriff. Die dabei ausgestellten Zugriffstoken speichert unser Dienst vela-integrations auf Cloudflare Workers (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA; Datenbank in der EU-Jurisdiktion), verschlüsselt und nur zusammen mit deiner zufälligen Profil-ID – ohne Namen oder E-Mail. Übertragen werden: beim Abgleich deine Aktivitäten der letzten 30 Tage (Art, Beginn, Ende, Distanz, Schritte, Titel) von Strava/Fitbit an die App; beim Hochladen deine Hvila-Sitzungen (Art, Beginn, Ende, Distanz, Schritte, Titel, Notiz) an Strava/Fitbit. Der Server speichert keine Aktivitäten, nur die Token und eine Liste bereits hochgeladener Sitzungs-IDs (gegen Doppelungen). Rechtsgrundlage: Art. 6 Abs. 1 lit. a und b DSGVO. Cloudflare ist Auftragsverarbeiter (Art. 28 DSGVO, EU-Standardvertragsklauseln / EU-US Data Privacy Framework). Beim Trennen widerrufen wir die Token bei Strava/Google und löschen sie sofort. Für Daten bei Strava bzw. Google gelten deren Datenschutzerklärungen: https://www.strava.com/legal/privacy, https://policies.google.com/privacy.
• Garmin: derzeit keine direkte Verbindung.

5. Käufe über Google Play (Hvila Circle)

Abonnements werden vollständig über Google Play Billing abgewickelt (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Zahlungsdaten erhalten wir nicht. Die App erhält von Google lediglich eine Bestätigung über den Abostatus (Kaufbeleg/Token), die lokal gespeichert wird, um die Premium-Funktionen freizuschalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Es gilt zusätzlich die Datenschutzerklärung von Google: https://policies.google.com/privacy.

6. Google Play / Installation

Beim Download und bei Updates verarbeitet Google als eigener Verantwortlicher Daten (z. B. Konto, Gerät). Darauf haben wir keinen Einfluss.

7. Keine Weitergabe, kein Profiling

Es findet keine Weitergabe an Dritte zu Werbe- oder Analysezwecken, kein Verkauf von Daten und keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt.

8. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Wende dich dafür an kontakt@maehr-bs.de.

Du hast außerdem das Recht, dich bei einer Aufsichtsbehörde zu beschweren, z. B. beim Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit (TLfDI), Häßlerstraße 8, 99096 Erfurt, https://www.tlfdi.de.

9. Kinder

Hvila richtet sich an Personen ab 18 Jahren.

10. Änderungen

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Die aktuelle Fassung ist stets unter dieser Adresse abrufbar.

English

1. Controller

Loris Mähr – maehrsteuern Krumme Gasse 71, 99330 Geratal, Germany Email: kontakt@maehr-bs.de

No data protection officer has been appointed, as the legal requirements (Art. 37 GDPR, § 38 BDSG) are not met.

2. Principle

Hvila works without an account. All movement data (sessions, steps, minutes, tiers, streaks, rewards, settings) is stored only locally on your device and is not transmitted to us. Hvila contains no ads, no analytics or tracking SDKs and does not collect location.

3. On-device processing

• Step counter / activity recognition ("Physical activity" permission): your device's step sensor is read to convert steps into minutes of movement. The values never leave the device.
• Legal basis: Art. 6(1)(b) GDPR (providing the app feature you requested). As the data stays on your device, we have no access to it. To delete: clear app data in Android settings or uninstall the app.

4. Optional friend sync ("Circle")

Only if you actively use the Circle (create or enter an invite code) is the following transmitted:

• a display name of your choice, a randomly generated profile ID and invite code,
• minutes of movement per day/week and your tier.

Purpose: showing them to the people you have connected with. Legal basis: Art. 6(1)(b) GDPR; use is voluntary.

Processor: Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992, data hosted in the EU (Frankfurt, Germany) region, under a data processing agreement pursuant to Art. 28 GDPR. Where access from third countries cannot be excluded, it is based on the EU Standard Contractual Clauses (Art. 46(2)(c) GDPR). Transfers are TLS-encrypted.

Retention: until you leave the Circle or delete your profile in the app; the data is then removed within 30 days.

4a. Connections (Health Connect, Strava, Fitbit)

All connections are optional and off by default. You switch them on under You → Connections and can switch them off at any time.

• Health Connect (Android, on device): With your consent in the Health Connect permission dialog, Hvila reads workouts (type, start, end, distance, steps), steps, distance and heart rate within those workouts – e.g. from Mi Fitness (Xiaomi Mi Band), Samsung Health or Google Fit – for today and the last 7 days. These are turned into movement minutes, streak and tier; for each workout the average and maximum heart rate and the name of the recording app are stored. If you allow it, Hvila writes sessions you log here to Health Connect as workouts (type, time, distance). Calories are only read because Health Connect returns them with workouts; they are neither shown nor stored. This data never leaves your device and is not sent to us. Withdraw: the switch in Hvila, or "App permissions" in the Health Connect app.
• Strava and Fitbit (via our server): When you connect, you sign in directly with Strava or Google (Fitbit) and grant Hvila access. The resulting access tokens are stored by our service vela-integrations on Cloudflare Workers (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA; database in the EU jurisdiction), encrypted and linked only to your random profile ID – no name or e-mail. What is sent: when syncing, your activities of the last 30 days (type, start, end, distance, steps, title) from Strava/Fitbit to the app; when uploading, your Hvila sessions (type, start, end, distance, steps, title, note) to Strava/Fitbit. The server stores no activities, only the tokens and a list of already uploaded session IDs (to avoid duplicates). Legal basis: Art. 6(1)(a) and (b) GDPR. Cloudflare acts as processor (Art. 28 GDPR, EU Standard Contractual Clauses / EU-US Data Privacy Framework). On disconnect we revoke the tokens with Strava/Google and delete them immediately. Data held by Strava or Google is governed by their privacy policies: https://www.strava.com/legal/privacy, https://policies.google.com/privacy.
• Garmin: no direct connection at this time.

5. Purchases via Google Play (Hvila Circle)

Subscriptions are handled entirely by Google Play Billing (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland). We do not receive payment details. The app only receives a confirmation of your subscription status (purchase token) from Google, stored locally to unlock premium features. Legal basis: Art. 6(1)(b) GDPR. Google's privacy policy also applies: https://policies.google.com/privacy.

6. Google Play / installation

When you download or update the app, Google processes data (e.g. account, device) as an independent controller. We have no influence on this.

7. No sharing, no profiling

There is no sharing with third parties for advertising or analytics, no sale of data and no automated decision-making within the meaning of Art. 22 GDPR.

8. Your rights

You have the right of access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and to object (Art. 21 GDPR). You may withdraw any consent at any time with effect for the future. Please contact kontakt@maehr-bs.de.

You also have the right to lodge a complaint with a supervisory authority, e.g. the Thuringian State Commissioner for Data Protection and Freedom of Information (TLfDI), Häßlerstraße 8, 99096 Erfurt, Germany, https://www.tlfdi.de.

9. Children

Hvila is intended for people aged 18 and over.

10. Changes

We update this policy when the app or the law changes. The current version is always available at this address.