Datenschutzerklärung für die BodySight-TestFlight-Beta
Stand: 11. November 2026
1. Wer für deine Daten verantwortlich ist
Jannis Leifeld, Leifeld Solutions (Einzelunternehmen)
Siepenweg 11, 48712 Gescher, Deutschland
E-Mail: info@leifeld-solutions.com
2. Was BodySight mit deinen Körperdaten macht
BodySight berechnet aus einer Drehaufnahme deinen 3D-Avatar und geschätzte Körpermaße. Wir verarbeiten diese Daten mit deiner ausdrücklichen Einwilligung als Gesundheitsdaten (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO):
- Aufnahmen: Video, Fotos, ausgewählte Ansichten und Kameradaten. Die Aufnahmen zeigen deinen Körper in eng anliegender Kleidung und dein Gesicht. Avatar und Fototextur enthalten keinen Kopf.
- Angaben: Größe, Gewicht, Geschlecht, gegebenenfalls deine Wahl der Berechnungsformel, Geburtsdatum beziehungsweise Alter am Aufnahmetag und dein Fokus. Das Geburtsdatum dient auch der Altersprüfung.
- Ergebnisse: 3D-Modell mit Fototextur, Maße, geschätzter Körperfettanteil und Verhältnisse von Taille zu Größe und Hüfte. Die App zeigt dir, wie sich deine Werte über die Zeit verändern.
Der Scan bleibt zunächst auf deinem iPhone. Wenn du eine Berechnung startest, verschlüsselt die App die Aufnahmen vor dem Hochladen. Wir speichern die Aufnahmen verschlüsselt bei Cloudflare in der EU. Die Berechnung bei Modal kann außerhalb der EU stattfinden, voraussichtlich meist in den USA. Dafür gibt die App einen Schlüssel für diesen Scan vorübergehend an unseren Server und den Rechenjob. Modal verarbeitet die Aufnahmen und Körperangaben während des Jobs im Klartext. Danach werden die temporären Dateien und der Schlüssel für den Job gelöscht. Bei Modal bleiben technische Protokolle mit Kennungen und Zeiten. Ergebnisse verschlüsseln wir auf unserem Server. BodySight kann sie für die Bereitstellung und den Abgleich entschlüsseln.
Damit die Werte im Verlauf vergleichbar bleiben, behalten wir Fotos, ausgewählte Ansichten und Kameradaten verschlüsselt. Bei einer neuen Version kann die App alte Scans beim Öffnen automatisch neu berechnen lassen. Dafür braucht sie den passenden Archivschlüssel und gibt den jeweiligen Scan-Schlüssel erneut vorübergehend frei. Die Aufnahmen und Körperangaben werden dann erneut an Modal übermittelt.
Die Bereitstellung deiner Körperdaten ist freiwillig. Ohne deine ausdrückliche Einwilligung und die für die Berechnung nötigen Daten können wir keinen persönlichen Avatar erstellen. BodySight berechnet Schätzwerte für Wohlbefinden und Fitness. Daraus folgen keine automatisierten Entscheidungen über dich mit rechtlicher oder ähnlich erheblicher Wirkung.
Lokale Einordnung
Wenn die Einordnung in deiner Beta-Version verfügbar und eingeschaltet ist, vergleicht die App ausgewählte Schätzwerte auf deinem iPhone mit veröffentlichten Orientierungsbereichen. Diese Einordnung wird nicht an unseren Server oder an die Nutzungsstatistik geschickt. Sie dient der Orientierung und ersetzt keine medizinische Beurteilung. Du kannst sie in der App ausschalten.
Persönliche Fehlersuche (freiwillig)
Wenn du ausdrücklich zustimmst, kann Jannis Leifeld persönlich deine Körperangaben, Maße, Avatare und Texturen einsehen, um Fehler zu finden und die Plausibilität der Werte zu prüfen. Er sieht dafür keine Fotos, Ansichten oder Videos. Du kannst jederzeit unter „Dein Bereich › Datenschutz“ widerrufen. Ohne diese Zustimmung kannst du die Beta ebenso nutzen. Grundlage: Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO.
3. Einladung, Konto, Testabo und Betrieb
| Daten | Zweck und Rechtsgrundlage |
|---|---|
| Name und E-Mail-Adresse auf der Einladungsliste | Wir organisieren die Einladungsbeta, laden ausgewählte Personen ein und verwalten die Teilnahme. Unser berechtigtes Interesse ist die Organisation und Betreuung der geschlossenen Beta (Art. 6 Abs. 1 lit. f DSGVO). Die Adresse stammt von dir oder aus unserem persönlichen Kontakt mit dir. Wir nutzen sie für die Beta. |
| E-Mail-Adresse, Konto- und Sitzungskennung, gewählter Anmeldeweg | Wir richten dein Konto ein und ordnen dir deine Daten zu (Art. 6 Abs. 1 lit. b DSGVO). Die E-Mail-Adresse ist für das Konto erforderlich. Bei einem Anmeldedienst erhalten wir die für den gewählten Anmeldeweg nötigen Kontodaten. |
| Zufällige Abo-Kennung, Produkt, Kauf- und Abostatus, technische Geräteinformationen | Wir prüfen, ob dein Testabo die Berechnung freischaltet, und unterstützen die Wiederherstellung des Kaufs (Art. 6 Abs. 1 lit. b DSGVO). |
| Zweck, Textversion, Erteilung oder Widerruf und Zeitpunkte deiner Einwilligungen | Wir dokumentieren deine Entscheidung und erfüllen unsere Nachweispflicht (Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO). |
| Technische Kennungen, Zeiten, Status und Fehlercodes | Wir halten den Dienst sicher und funktionsfähig und suchen technische Fehler. Dafür verwenden wir in den Protokollen eine pseudonyme Kontokennung sowie Anfrage-, Scan- und Job-Kennungen. Beim Abruf der Beispielverläufe verwendet die Plattform die IP-Adresse zur Begrenzung von Zugriffen. Unser berechtigtes Interesse ist ein sicherer Betrieb und die Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). |
| Kontaktangaben und Angaben aus deiner Anfrage | Wir bearbeiten Supportanfragen zur Teilnahme oder Nutzung (Art. 6 Abs. 1 lit. b DSGVO) und erfüllen datenschutzrechtliche Anfragen (Art. 6 Abs. 1 lit. c in Verbindung mit Art. 12 bis 22 DSGVO). |
Du musst mindestens 18 sein. Die App prüft deine Altersangabe zunächst auf dem iPhone. Wir benötigen diese Prüfung für die Teilnahme an der Erwachsenenbeta (Art. 6 Abs. 1 lit. b DSGVO). Wenn du nach der Anmeldung ein Datum eingibst, das ein Alter unter 18 ergibt, meldet dich die App ab und löscht die Angaben auf diesem iPhone. Dein Konto und bereits übermittelte Daten können zunächst bei uns bestehen bleiben. Für die Löschung erreichst du uns unter info@leifeld-solutions.com.
Optionale Nutzungsstatistik
Wenn du zustimmst, speichert die App eine zufällige Kennung auf deinem iPhone und sendet Nutzungsereignisse an PostHog, etwa verwendete Schritte, grobe Angaben zur Nutzung der Scan-Funktion, Testabo-Ergebnis und Fehlerart. Dazu kommen App- und iOS-Version, iPhone-Modell und App-Umgebung. Wir senden keine Körperwerte, Aufnahmen oder BodySight-Kontokennung. Die Statistik dient der Verbesserung der App. Die Ereignisse werden auf EU-Servern gespeichert. Sie bleiben zwölf Monate gespeichert und können nach Maßgabe von Abschnitt 4 in Drittländer übermittelt werden. Du kannst jederzeit unter „Dein Bereich › Datenschutz“ widerrufen. Dann stoppen wir die Statistik und verwerfen ungesendete Ereignisse. Die Kennung ist nicht mit deinem Konto verknüpft. Wenn wir dich nicht zuordnen können, kannst du uns zusätzliche Informationen zur Zuordnung bereitstellen. Grundlage für Zugriff und Speicherung auf dem Gerät ist § 25 Abs. 1 TDDDG, für die Verarbeitung Art. 6 Abs. 1 lit. a DSGVO.
4. Wer Daten erhält und wo sie verarbeitet werden
| Empfänger | Aufgabe, Daten und Ort |
|---|---|
| Cloudflare, Inc. (USA) | Betreibt unsere API, Datenbank, Dateispeicher und Betriebsprotokolle in unserem Auftrag. Datenbank und Dateispeicher liegen in der EU. Die API und Betriebsprotokolle können auch außerhalb der EU verarbeitet werden. Die Aufnahmen liegen im Dateispeicher verschlüsselt. |
| Modal Labs, Inc. (USA) | Berechnet in unserem Auftrag Avatar und Maße, auch bei Neuberechnungen. Dafür erhält Modal Aufnahmen, Körperangaben und den vorübergehenden Scan-Schlüssel. Verarbeitungsorte: Rechenzentren, die Modal auswählt, meist in den USA, auch in anderen Ländern möglich. Steuerung und Protokolle liegen in den USA. |
| Clerk, Inc. (USA) | Verwaltet in unserem Auftrag Anmeldung und Sitzungen. Clerk erhält Anmeldedaten wie E-Mail-Adresse und gewählten Anmeldeweg. |
| RevenueCat, Inc. (USA) | Verwaltet in unserem Auftrag den Testabostatus. RevenueCat erhält eine zufällige Abo-Kennung, Kauf- und technische Geräteinformationen. |
| PostHog Inc. (USA) | Speichert in unserem Auftrag die Nutzungsstatistik, nur wenn du zugestimmt hast. PostHog erhält die zufällige Kennung und die Nutzungsereignisse aus Abschnitt 3. Die Ereignisse werden auf Servern in Frankfurt gespeichert. |
| Apple | Betreibt App Store, TestFlight und die Kaufabwicklung. Bei einer persönlichen TestFlight-Einladung verwenden wir deine E-Mail-Adresse für die Einladung. Apple verarbeitet Einladungs-, Test- und Kaufdaten sowie von dir über TestFlight freigegebene Rückmeldungen oder Absturzdaten. |
| Wenn du dich mit Google anmeldest, verarbeitet Google die Anmeldung über dein Google-Konto und gibt die für den Anmeldeweg vorgesehenen Daten an Clerk weiter. | |
| Hetzner Online GmbH (Deutschland) | Unterstützt uns beim Bearbeiten von Anfragen an die oben genannte Kontaktadresse. |
Apple und Google verarbeiten Daten für ihre jeweiligen eigenen Dienste in eigener Verantwortung. Weitere Informationen findest du bei Apple und Google.
Für unsere Übermittlungen in Drittländer verwenden wir die folgenden Grundlagen: Cloudflare und Clerk: EU-US-Datenschutzrahmen, ergänzend Standardvertragsklauseln. Modal und RevenueCat: Standardvertragsklauseln der EU-Kommission, für Modal mit einer Transfer-Folgenabschätzung. PostHog: Speicherung in Frankfurt; bei Zugriffen aus den USA der EU-US-Datenschutzrahmen. Soweit Standardvertragsklauseln gelten, kannst du über info@leifeld-solutions.com eine Kopie der maßgeblichen Garantien anfordern. Bei der Berechnung außerhalb der EU können Behörden im jeweiligen Land unter den dort geltenden Voraussetzungen auf Daten zugreifen.
Der Archivschlüssel liegt im iCloud-Schlüsselbund, damit ihn deine Apple-Geräte teilen können. Dort steht beim Schlüssel auch eine pseudonyme Zuordnung zu deinem BodySight-Konto. Sie enthält weder Namen noch E-Mail-Adresse. Aufnahmen, Maße und Modelle in BodySights App-Speicher sind vom iCloud-Gerätebackup ausgenommen. Den Anmeldestatus und die Konto-E-Mail-Adresse hält die App im gerätegebundenen Schlüsselbund. Dieser Eintrag wird nicht über iCloud synchronisiert. Wenn du eine Exportdatei selbst teilst oder anderswo speicherst, richtet sich ihre weitere Speicherung nach deiner Auswahl.
5. Wann Daten gelöscht werden
| Daten | Speicherdauer oder Kriterium |
|---|---|
| Einladungsliste und zugehörige Korrespondenz | Einladungsliste bis drei Monate nach Beta-Ende. Korrespondenz und freiwilliges Feedback: bis dein Anliegen erledigt ist, längstens bis drei Monate nach Ende der Beta. |
| Aufnahmen und Ergebnisse | Serverarchiv und Ergebnisse bleiben für deinen Verlauf und Neuberechnungen bis zur Löschung des jeweiligen Scans, des Kontos oder zum Widerruf der Körperdaten-Einwilligung. Das gilt auch für ersetzte Scans und nach Ende eines Testabos. Ein bereits auf dem Gerät erstellter Export liegt dort bis zu sieben Tage. |
| Video, Scan-Schlüssel und temporäre Dateien auf Servern | Für die Berechnung. Regulär werden sie am Ende des Jobs entfernt. Upload-Links gelten eine Stunde, Links für die Berechnung höchstens bis zum Ende des Versuchs (15 Minuten). Endet ein Job, auch abgebrochen oder gescheitert, löschen wir Scan-Schlüssel und Video sofort und nach Ablauf der letzten Links noch einmal. Bleibt dabei etwas liegen, löscht unser Speicher Scan-Schlüssel nach einem Tag und Videos nach zwei Tagen automatisch. Angemeldete, aber nie abgeschickte Scans löschen wir nach sieben Tagen vollständig. Bei Modal läuft jeder Job in einem eigenen Container ohne dauerhaften Speicher; temporäre Dateien werden am Jobende gelöscht. |
| Konto und Testabostatus | Für die Dauer des Kontos. Beim Löschen des Kontos veranlassen wir auch die Löschung bei Clerk und RevenueCat. Wir löschen dein Konto bei Clerk und deinen Kunden bei RevenueCat über deren Schnittstellen, in der Regel wenige Minuten nach deinem Antrag; schlägt ein Aufruf fehl, wiederholen wir ihn automatisch. Wie lange diese Anbieter danach noch Sicherungen oder Protokolle halten, richtet sich nach ihren Auftragsverarbeitungsverträgen. Konten, die 24 Monate nicht genutzt wurden, löschen wir. Mindestens 30 Tage vorher schicken wir einen Hinweis an deine Konto-E-Mail. Konten mit einem Abo, das sich automatisch verlängert, sind ausgenommen. |
| Betriebsprotokolle | Workers Logs sieben Tage. Modal-Protokolle (nur Kennungen, Stufen und Zeiten): ein Tag. IP-Adressen dienen nur als Schlüssel eines Zählers für ein Zeitfenster von 60 Sekunden gegen Missbrauch; wir speichern oder protokollieren sie nicht. |
| Nutzungsstatistik | Zwölf Monate. |
| Datenbanksicherung | Gelöschte Datenbankzeilen können bis zu 30 Tage in einer Wiederherstellungskopie verbleiben. Die Kopie dient der Wiederherstellung nach einem Ausfall. Dabei wenden wir Löschungen vor der Wiederfreigabe an. |
| Nachweise über Löschung und Einwilligung | Nach Kontolöschung behalten wir den Vorgang, Zeitpunkte und die dafür nötigen Einwilligungsnachweise. Nach 30 Tagen ab Abschluss ersetzen wir die Kontokennung durch einen pseudonymen Prüfwert. Nach drei Jahren löschen wir den Nachweis. Wir benötigen ihn für die Nachweispflicht für Einwilligungen und zur Erfüllung und Absicherung von Löschungen, einschließlich der Abwehr einer erneuten Freischaltung alter Kontodaten (Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 sowie lit. f DSGVO). |
| Anfragen zum Datenschutz | Den Antrag und den Nachweis seiner Bearbeitung bewahren wir drei Jahre nach Abschluss auf. Eine bereitgestellte Kopie ist höchstens sieben Tage über einen Link abrufbar; danach löschen wir unsere Kopie. |
Nach einer Löschanforderung sperren wir die betroffenen Serverdaten für die Nutzung und löschen sie ohne unangemessene Verzögerung. Die Löschung aus den laufenden Systemen kann nach der Sperre noch laufen. Bei einem einzelnen Scan kannst du die Löschung unter „Scans verwalten“ anstoßen.
6. Deine Rechte
Du kannst Auskunft und eine Kopie deiner personenbezogenen Daten verlangen (Art. 15 DSGVO). Du hast nach den gesetzlichen Voraussetzungen außerdem Rechte auf Berichtigung, Löschung und Einschränkung der Verarbeitung (Art. 16 bis 18). Für die von dir bereitgestellten Daten, die wir automatisiert aufgrund deiner Einwilligung oder eines Vertrags verarbeiten, kannst du Datenübertragbarkeit verlangen (Art. 20).
Der ZIP-Export in der App enthält die Daten dieses iPhones. Für eine Auskunft über die bei uns verarbeiteten Daten und für Datenübertragbarkeit erreichst du uns unter info@leifeld-solutions.com. Bei begründeten Zweifeln prüfen wir deine Identität, etwa über dein bestehendes Konto. Wir antworten grundsätzlich innerhalb eines Monats und stellen Kopien über einen geschützten Weg bereit.
Du kannst aus Gründen deiner besonderen Situation Verarbeitungen widersprechen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO). Außerdem kannst du dich bei einer Datenschutzaufsichtsbehörde beschweren. Für uns ist das die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Postfach 20 04 44, 40102 Düsseldorf, poststelle@ldi.nrw.de, www.ldi.nrw.de.
Du kannst deine Einwilligung für Körperdaten jederzeit unter „Dein Bereich › Datenschutz“ oder über info@leifeld-solutions.com widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Der Widerruf beendet auch dein BodySight-Konto. Wir löschen Scans, Avatare, Maße und Körperangaben. Lösch- und Einwilligungsnachweise sowie Datenbankkopien können für die in Abschnitt 5 genannten Zeiten verbleiben. Exportiere vorher, was du behalten möchtest. Dein Testabo kannst du bei Apple verwalten.
Die Beta endet unabhängig von deinem Konto. Beim Übergang in die App-Store-Version bleiben dein Konto und deine Daten erhalten. Neue Scans brauchen dann ein reguläres Abo; ohne Abo bleiben deine Avatare und dein Verlauf sichtbar. Über das Ende der Beta informieren wir dich vorher per E-Mail an die Adresse, mit der wir dich eingeladen haben. Ändern sich Zweck oder Umfang einer Einwilligung wesentlich, informieren wir dich vor der neuen Verarbeitung und bitten dich bei Bedarf erneut um Zustimmung.