Heftig Datenschutzerklärung

Stand: 16.10.2026. Diese Datenschutzerklärung erklärt, welche Daten Heftig verarbeitet, wofür wir sie nutzen und welche Rechte du hast.

Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten in Heftig ist:

Walter Hafner
Heuweg 16
5032 Aarau
Schweiz

Bei Datenschutzfragen, Auskunfts-, Berichtigungs- oder Löschanfragen erreichst du uns unter support@heftig.fit .

Weitere Anbieterangaben findest du im Impressum

Kurzfassung

Heftig ist eine Fitness- und Nutrition-App. Wir verarbeiten Daten, damit du dich anmelden, Trainings planen und tracken, Mahlzeiten erfassen, Produkte im Katalog nutzen und freiwillig Workouts teilen kannst. Wir verkaufen keine personenbezogenen Daten, geben sie nicht für Werbung weiter und setzen aktuell keine eigenständigen Werbe- oder Analytics-SDKs ein.

Viele Angaben sind freiwillig. Trainings-, Ernährungs- und Körperdaten können Rückschlüsse auf Gesundheit oder Lebensstil erlauben. Heftig ist keine medizinische App und ersetzt keine ärztliche Beratung.

Welche Daten verarbeitet werden

• Accountdaten wie E-Mail-Adresse, Login-Methode, Authentifizierungsstatus, User-ID und optionaler Anzeigename.
• Profildaten wie Public Handle, Anzeigename, Avatar-URL, Geburtsjahr, Geschlecht, Gewicht, Aktivitätslevel, Trainingsziel, Nutrition-Erfahrung und Trainingstage.
• Trainingsdaten wie Pläne, Routinen, Übungen, Sätze, Gewichte, Wiederholungen, RPE, Dauer, Distanz, Pausenzeiten, Notizen, Streaks, gespeicherte Workouts und Trainingsfotos.
• Ernährungsdaten wie Mahlzeiten, Lebensmittel, Portionsgrößen, Kalorien, Makros, Favoriten, Produktbeiträge, Produktbilder, Barcode-Eingaben und KI-Vorschläge.
• Eingaben für KI-Funktionen wie Meal-Texte, Sprachaufnahmen und Voice-Transkripte, hochgeladene Meal-Fotos und daraus erzeugte Vorschläge.
• Öffentliche Inhalte, wenn du sie aktiv nutzt: öffentliche Profile, öffentliche Workouts, Kommentare, Likes, Follows, Meldungen und geteilte Links.
• Technische Daten wie IP-Adresse, Zeitpunkte, Browser/App-Informationen, Logs, Berechtigungsstatus und Fehlerdaten, soweit sie für Betrieb, Sicherheit und Missbrauchsschutz notwendig sind.

Apple Health und Health Connect

Wenn du die Verbindung aktivierst, liest Heftig ausschließlich freigegebene Messungen von Gewicht und Körperfett aus Apple Health auf iOS beziehungsweise Health Connect auf Android. Messwert, Messzeit, Herkunft und eine technische Messungskennung werden in deinem Heftig-Konto bei Supabase gespeichert, um deinen Körperwerteverlauf zu zeigen und doppelte Importe zu vermeiden. Heftig schreibt keine Daten zurück in diese Dienste.

Du kannst die automatische Übernahme in Heftig deaktivieren und die Lesefreigaben jederzeit in Apple Health beziehungsweise Health Connect widerrufen. Bereits importierte Messwerte bleiben bis zur Löschung deines Kontos gespeichert; das Entfernen einer Messung im ursprünglichen Dienst löscht die importierte Kopie nicht automatisch. Diese Daten werden nicht für Werbung, Marketing oder Datenhandel genutzt und nicht an OpenAI übermittelt.

Zwecke und Rechtsgrundlagen

Wir verarbeiten Daten, um Heftig bereitzustellen, Accounts zu verwalten, Trainings- und Ernährungsfunktionen auszuführen, Produktkatalog und öffentliche Inhalte zu betreiben, Support zu leisten, Missbrauch zu verhindern und die App technisch sicher zu halten.

Rechtsgrundlagen sind insbesondere Vertragserfüllung beziehungsweise vorvertragliche Nutzung der App, deine Einwilligung bei aktiv gestarteten Kamera-, Mikrofon-, Benachrichtigungs- und KI-Funktionen, berechtigte Interessen an Sicherheit, Betrieb und Moderation sowie gesetzliche Pflichten. Soweit Trainings-, Ernährungs- oder Körperdaten als Gesundheitsdaten einzuordnen sind, verarbeiten wir sie auf Grundlage deiner ausdrücklichen Nutzung und Einwilligung.

Dienstleister und Empfänger

Heftig nutzt Supabase für Authentifizierung, Datenbank, Speicher und Edge Functions. OpenAI kann für aktiv genutzte Nutrition-KI-Funktionen eingesetzt werden, zum Beispiel zum Verarbeiten von Meal-Texten, Sprachaufnahmen, Voice-Transkripten oder Meal-Fotos. Google ist beteiligt bei Google Login, Google Play und beim Barcode-Scanning über ML Kit beziehungsweise Geräte- und Plattformfunktionen.

Außerdem können Betriebssystem, Browser, App Store, E-Mail-Provider oder von dir gewählte Share-Ziele beteiligt sein, wenn du entsprechende Funktionen nutzt. Eine Weitergabe an Werbenetzwerke oder Datenhändler findet nicht statt. Dienstleister können Daten auch außerhalb der Schweiz beziehungsweise des Europäischen Wirtschaftsraums verarbeiten; dafür werden geeignete Garantien wie Standardvertragsklauseln oder vergleichbare Schutzmechanismen eingesetzt.

Kamera, Mikrofon und Barcode

Kamera und Mikrofon werden nur verwendet, wenn du eine entsprechende Funktion aktiv startest oder die Berechtigung erteilst. Dazu gehören Barcode-Scanning, Produktbilder, Meal-Fotos und Voice Notes. Barcode-Scanning kann lokal auf dem Gerät oder im Browser erfolgen; erkannte Barcodes können anschließend zur Produktsuche an Heftig/Supabase gesendet werden.

Benachrichtigungen werden für Trainings- und Pausenfunktionen genutzt, wenn du sie erlaubst. Du kannst Kamera-, Mikrofon- und Benachrichtigungsberechtigungen in den Einstellungen deines Geräts oder Browsers wieder entziehen.

KI- und Nutrition-Verarbeitung

Wenn du Nutrition-KI nutzt, können deine Eingaben, erkannte Barcodes, Produktvorschläge, Fotos, Nährwertetiketten, Sprachaufnahmen oder Voice-Transkripte an eine Supabase Edge Function und anschließend an OpenAI gesendet werden. Die Verarbeitung dient dazu, Mahlzeiten vorzuschlagen, Nährwerte zu schätzen oder mehrere Hinweise zu einem Meal zusammenzuführen.

Vor der ersten KI-Verarbeitung fragen wir dich ausdrücklich, ob du die Übermittlung an OpenAI erlaubst. Deine Entscheidung wird mit dem Zeitpunkt und der Version der Freigabe bei Supabase für dein Konto gespeichert. Sie gilt auf deinen Geräten und bleibt auch nach einer Neuinstallation erhalten. Eine frühere Freigabe, die nur auf einem Gerät gespeichert war, musst du einmal für dein Konto neu bestätigen. Du kannst die Freigabe in den Profil-Einstellungen unter „KI-Freigabe widerrufen“ ändern. Ein bestätigter Widerruf verhindert neue KI-Anfragen für dein Konto; bereits übermittelte Daten lassen sich dadurch nicht zurückholen. Lebensmittelsuche und manuelle Erfassung bleiben auch ohne KI-Freigabe verfügbar. Für die Transkription wird die Sprachaufnahme selbst an OpenAI gesendet; Heftig speichert anschließend den erkannten Text.

Heftig speichert daraus in der Regel Text, Evidence-Zusammenfassungen, Kandidaten und den daraus bestätigten Meal-Eintrag. Nutrition-Verarbeitungsjobs werden zeitlich begrenzt vorgehalten und automatisch bereinigt; je nach Status typischerweise nach Stunden bis wenigen Tagen, abgeschlossene Jobs spätestens nach rund 14 Tagen. Bestätigte Mahlzeiten bleiben gespeichert, bis du sie löschst oder deinen Account löschst.

Wenn du personalisierte Essensideen für den restlichen Tag anforderst, kann Heftig eine begrenzte Auswahl von Mahlzeiten- und Lebensmittelbezeichnungen aus deinen gespeicherten Vorlagen, wiederkehrenden beziehungsweise letzten Mahlzeiten und häufig verwendeten Lebensmitteln an OpenAI übermitteln. Nicht dafür übermittelt werden insbesondere Notizen, interne IDs, Barcodes, Bilder, genaue Nutzungszeitpunkte, Profilname oder Körperwerte. Die Auswahl wird serverseitig verdichtet und nicht als vollständiger Personalisierungskontext gespeichert.

Der erzeugte Essensideen-Snapshot enthält den damaligen Makrostand und die Antwort. Er ist nur am zugehörigen lokalen Kalendertag sichtbar und wird höchstens 24 Stunden gespeichert. Zusätzlich können ein nicht rückrechenbarer Kontext-Hash, die Anzahl der verwendeten Signale sowie technische Modell-, Token- und Laufzeitdaten für Idempotenz, Kostenkontrolle und Fehleranalyse gespeichert werden.

Heftig mit ChatGPT und anderen Assistenten verbinden

Wenn du dein Heftig-Konto mit einem unterstützten Assistenten verbindest, wählst du auf der Heftig-Freigabeseite die erlaubten Bereiche. Kontoanzeige umfasst deinen Anzeigenamen und eine eigene Kennung für diese Verbindung. Trainingszugriff kann Trainingsvorlieben, Übungssuche, eigene Pläne mit geplanten Sätzen und Zusammenfassungen abgeschlossener Trainings umfassen. Ernährungszugriff kann Lebensmittelsuche, Mahlzeiten mit Mengen und Nährwerten sowie Tageszusammenfassungen umfassen. Schreibrechte erlauben zusätzlich das beauftragte Anlegen, Bearbeiten von Trainingstagen und Aktivieren von Trainingsplänen beziehungsweise das Speichern von Mahlzeiten.

Dabei sendet der Assistent die konkreten Werkzeug-Eingaben an Heftig und erhält die dazugehörigen Ergebnisse. Bei einer Verbindung mit ChatGPT erhält OpenAI diese Ergebnisse für deine Unterhaltung. Heftig ruft für diese Werkzeuge kein zusätzliches KI-Modell auf und erhält nicht automatisch deine gesamte Unterhaltung. Heftig nutzt Vercel für die Bereitstellung des Zugangs und Supabase für Konto, Freigaben und Anwendungsdaten. Für die Speicherung und weitere Verarbeitung im Assistenten gelten die Datenschutzbedingungen und Einstellungen des jeweiligen Anbieters.

Trainings- und Ernährungsdaten können Rückschlüsse auf Gesundheit oder Lebensstil erlauben. Gib nur Bereiche frei, die du mit dem Assistenten verwenden möchtest. Dieser Zugang übermittelt keine Körpermesswerte, Health-Importe, medizinischen Unterlagen, Fotos oder Social-Inhalte und steuert keine laufenden Trainings. Verwende Plan- und Mahlzeitenbezeichnungen nicht für Diagnosen, Behandlungen oder fremde private Informationen.

Zur Verbindung speichern wir die freigegebenen Bereiche, den gewählten Assistenten, eine Verbindungskennung und Freigabe- beziehungsweise Widerrufszeitpunkte. Zugangsdaten für Assistenten werden nur als nicht rückrechenbare Prüfwerte gespeichert. Anmeldeanfragen sind zehn Minuten, einmalige Bestätigungscodes eine Minute und Zugriffstokens höchstens zehn Minuten gültig. Eine Verbindungssitzung endet nach 30 Tagen ohne erfolgreiche automatische Erneuerung, spätestens aber 180 Tage nach dem Verbinden. Danach musst du den Zugriff erneut freigeben. Bestehende Sitzungen mit einer Sieben-Tage-Frist wechseln erst bei ihrer nächsten erfolgreichen Erneuerung in das neue Zeitfenster. Abgelaufene oder widerrufene Sitzungen werden nicht wieder aktiviert. Abgelaufene technische Anmelde- und Sitzungsdaten werden bei späteren Verbindungsanfragen bereinigt. Der Freigabeeintrag bleibt für die Verwaltung der Verbindung bis zur Kontolöschung erhalten. Technische Kennungen zur Vermeidung doppelter Schreibvorgänge werden zusammen mit dem zugehörigen Konto verwaltet; sie sind keine zusätzlichen Zugriffsrechte.

Du kannst den Zugriff in den Profil-Einstellungen unter „KI-Verbindungen“ widerrufen. Der Widerruf verhindert weitere Zugriffe dieser Verbindung sofort. Bereits gespeicherte Pläne und Mahlzeiten bleiben in Heftig, bis du sie oder deinen Account löschst. Bereits an ChatGPT oder einen anderen Assistenten übermittelte Ergebnisse werden durch den Widerruf nicht aus bestehenden Unterhaltungen entfernt. Diese Verbindung ist unabhängig von der gesonderten KI-Freigabe für Nutrition-Verarbeitung innerhalb der Heftig-App.

Öffentliche Inhalte und Sharing

Standardmäßig bleiben deine Trainingsdaten privat. Wenn du ein Workout veröffentlichst oder dein öffentliches Profil nutzt, werden ausgewählte Daten über öffentliche Links sichtbar. Dazu können Anzeigename, Public Handle, Avatar, Workout-Titel, Beschreibung, Datum, Dauer, Übungen, Sätze, Volumen, Wiederholungen, Foto-Vorschau und Interaktionen wie Kommentare oder Likes gehören.

Öffentliche Workouts kannst du wieder auf privat stellen. Kommentare, Meldungen und Moderationsinformationen können verarbeitet werden, um Inhalte zu prüfen, Missbrauch zu verhindern und die Integrität öffentlicher Bereiche zu schützen.

Social-Benachrichtigungen

Benachrichtigungen über Likes, Kommentare, Antworten und Follow-Anfragen sowie deren Lesestatus und deine Einstellungen werden in deinem Konto bei Supabase gespeichert. Die Liste in der App funktioniert auch ohne Push-Freigabe.

Wenn du Push aktivierst, speichern wir zusätzlich die technische Geräte- beziehungsweise Browser-Registrierung. Die Zustellung erfolgt auf Android über Firebase Cloud Messaging von Google, auf iOS über den Apple Push Notification service und im Browser über dessen Push-Dienst. Übermittelt werden der Name der handelnden Person, die Ereignisart und technische Kennungen zur Zuordnung. Kommentartexte und Workout-Titel sind nicht Teil dieser Push-Nachrichten.

Push kannst du in den Benachrichtigungseinstellungen insgesamt oder je Kategorie ausschalten. Die Systemberechtigung verwaltest du zusätzlich auf deinem Gerät oder im Browser. Beim Abmelden wird die Gerätebindung zu deinem Konto aufgehoben.

Lokale Speicherung

Heftig kann Daten lokal auf deinem Gerät oder im Browser speichern, zum Beispiel Theme-Einstellungen, UI-Zustand, temporäre Meal-Entwürfe, Filterzustände oder Pausentimer. Diese Daten dienen der Bedienbarkeit der App und werden nicht für Werbung genutzt. Du kannst sie über Browser- oder App-Daten löschen.

Speicherung und Löschung

Accountbezogene Daten bleiben gespeichert, solange dein Account besteht oder die Daten für die jeweilige Funktion benötigt werden. Du kannst einzelne Inhalte in der App löschen oder deinen Account unter /account/delete löschen.

Bei der Account-Löschung werden Account, Auth-Identität, Profil, private Workouts, Routinen, Mahlzeiten, nutzerbezogene Social-Daten und eigene Storage-Dateien wie Workout- und Produktbilder dauerhaft entfernt, soweit technisch möglich. Katalog-, Moderations- oder Sicherheitsdaten können ohne direkte Nutzeridentität erhalten bleiben, wenn sie für Produktkatalog, Missbrauchsschutz, Nachvollziehbarkeit oder rechtliche Pflichten notwendig sind.

Sicherheit

Heftig überträgt produktive Daten über HTTPS, nutzt Supabase Auth und Row Level Security und beschränkt Datenzugriffe auf angemeldete Nutzer und erforderliche technische Dienste. Workout-Medien liegen in einem privaten Storage-Bucket; öffentliche Produktbilder und öffentliche Workout-Informationen sind nur sichtbar, soweit die jeweilige Funktion dies vorsieht.

Deine Rechte

Du kannst Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch verlangen. Einwilligungen kannst du jederzeit für die Zukunft widerrufen, zum Beispiel indem du Berechtigungen entziehst oder Funktionen nicht mehr nutzt. Schreibe dafür an support@heftig.fit. Außerdem kannst du dich bei einer zuständigen Datenschutzaufsichtsbehörde beschweren.

Kinder und Änderungen

Heftig ist nicht für Kinder unter 13 Jahren bestimmt. Wenn du nach dem Recht deines Landes nicht selbst wirksam in die Verarbeitung einwilligen kannst, benötigst du die Zustimmung deiner Erziehungsberechtigten. Wir können diese Datenschutzerklärung aktualisieren, wenn sich Heftig, Dienstleister oder rechtliche Anforderungen ändern. Die jeweils aktuelle Version steht unter https://heftig.fit/privacy.