Deine Trainingsdaten gehören dir — warum das nicht selbstverständlich ist
150 Millionen Accounts kompromittiert. Militärbasen auf einer Heatmap sichtbar. Zyklusdaten an Facebook weitergegeben. Das sind keine hypothetischen Szenarien — das ist in den letzten Jahren tatsächlich passiert, mit Fitness-Apps die Millionen Menschen täglich nutzen.
Wenn du eine App für dein Krafttraining suchst, vergleichst du wahrscheinlich Features: Logging, Timer, Analysen, Pläne. Was die meisten nicht vergleichen: Was passiert eigentlich mit meinen Daten?
Was Fitness-Apps über dich wissen
Eine durchschnittliche Fitness-App sammelt 12 von 35 möglichen Datenkategorien — das ergab eine Surfshark-Analyse von 16 populären Fitness-Apps Anfang 2026. Die datenintensivsten Apps erfassen bis zu 24 Kategorien. 80 % der untersuchten Apps teilen Nutzerdaten mit Dritten.
Das klingt abstrakt. Konkret heißt das: Dein Körpergewicht, dein Trainingsvolumen, wann du trainierst, wie oft, wie lange. Kombiniert mit Standortdaten, E-Mail-Adresse und Geräte-ID. Bei manchen Apps kommen Ernährungsdaten, Schlafmuster oder Fortschrittsfotos dazu.
Drei Fälle die das greifbar machen
MyFitnessPal (2018): Under Armours Ernährungs- und Fitness-App wurde gehackt. 150 Millionen Accounts betroffen — Nutzernamen, E-Mail-Adressen, gehashte Passwörter. Wäre der Vorfall 12 Wochen später passiert, hätte die DSGVO gegriffen und Strafen von bis zu 4 % des Jahresumsatzes ermöglicht.
Strava Heatmap (2018): Die globale Heatmap von Strava machte Jogging-Routen auf Militärbasen in Syrien, Afghanistan und Irak sichtbar. Der australische Sicherheitsforscher Nathan Ruser entdeckte, dass Patrouillenrouten und Stützpunkt-Perimeter klar erkennbar waren. Das US-Verteidigungsministerium schränkte daraufhin die Nutzung von Fitness-Trackern ein.
Flo Health (2021): Die FTC stellte fest, dass die Zyklus-Tracking-App Flo Health sensible Gesundheitsdaten — Zyklusdaten, Schwangerschaftsabsichten, Symptome — an Facebook, Google und weitere Dritte weitergegeben hatte. Trotz gegenteiliger Versprechen in der Datenschutzerklärung.
Das sind keine Einzelfälle. Privacy International untersuchte die Abnehm-App Noom und fand, dass Gesundheitsdaten aus dem Onboarding-Fragebogen (Größe, Gewicht, Vorerkrankungen wie Diabetes oder Depression) in Echtzeit an fünf Drittanbieter weitergeleitet wurden.
Trainingsdaten sind Gesundheitsdaten
Ein Punkt der oft übersehen wird: Der Europäische Gerichtshof hat im Oktober 2024 klargestellt, dass der Begriff “Gesundheitsdaten” unter der DSGVO weit auszulegen ist. Daten, aus denen sich Rückschlüsse auf den Gesundheitszustand ziehen lassen, fallen unter Art. 9 DSGVO — die strengste Schutzkategorie.
Körpergewicht, Herzfrequenz, Trainingsvolumen, Regenerationszeiten — all das kann als besonders schützenswerte Gesundheitsdaten gelten. Die Verarbeitung erfordert eine ausdrückliche Einwilligung, die über das übliche “Ich stimme den AGB zu” hinausgeht.
In der Praxis behandeln viele Fitness-Apps diese Daten nicht entsprechend. Weil es bisher selten Konsequenzen hatte.
Warum Account-Zwang ein Problem ist
Die meisten Fitness-Apps verlangen eine Registrierung bevor du überhaupt einen Satz loggen kannst. Die Interaction Design Foundation klassifiziert “Forced Registration” als Dark Pattern: Zugang zu Grundfunktionen wird eingeschränkt, obwohl die Registrierung für die Funktionalität nicht nötig ist.
Warum machen Apps das? Nicht weil dein Workout einen Server braucht. Sondern weil ein Account mit E-Mail-Adresse und Nutzungsprofil monetarisierbar ist — durch Werbung, Datenpartnerschaften oder Upselling-Kampagnen.
Stell dir die Frage: Braucht eine App die Sätze, Reps und Gewichte speichert wirklich deine E-Mail-Adresse, dein Geburtsdatum und deinen Standort?
Was passiert wenn der Anbieter aufhört?
Cloud-basierte Apps haben ein Verfallsdatum. Nicht theoretisch — praktisch.
Jawbone war ein milliardenschwerer Fitness-Tracker-Hersteller. Als die Firma eingestellt wurde, verloren Nutzer den Zugang zu ihrer gesamten Trainingshistorie. Die Geräte wurden noch auf Amazon verkauft, als die App bereits tot war.
Google Fit wird 2026 zugunsten von Google Health eingestellt. Ein Migrations-Tool wurde für “später in diesem Jahr” angekündigt. Wer die Mitteilung verpasst, riskiert Datenverlust.
Das Muster ist immer gleich: Deine Daten liegen auf Servern, die du nicht kontrollierst. Wenn der Dienst eingestellt wird, sind die Daten weg. Jahre an Trainingshistorie, PRs, Fortschrittsdaten — alles.
Offline-First ist mehr als ein Feature
Die Informatiker Martin Kleppmann, Adam Wiggins, Peter van Hardenberg und Mark McGranaghan haben 2019 auf der ACM Onward! Konferenz ein Prinzip beschrieben, das sie “Local-First Software” nennen: Software, bei der die Daten primär auf deinem Gerät leben — nicht in der Cloud.
Ihr Kernargument: Cloud-Apps machen Nutzer zu Leihnehmern ihrer eigenen Daten. Local-First dreht das um. Du besitzt deine Daten, weil sie auf deinem Gerät sind. Cloud wird optional, nicht Voraussetzung.
Für eine Trainings-App bedeutet Offline-First konkret:
- Kein Internet nötig. Kein Laden, kein Spinner, kein “Verbindung fehlgeschlagen” im Keller des Gyms.
- Kein Account nötig. Du installierst die App und trainierst. Fertig.
- Kein Anbieter-Risiko. Wenn der Entwickler morgen aufhört, sind deine Daten trotzdem auf deinem Gerät.
- Kein Tracking möglich. Was nicht auf einem Server liegt, kann nicht analysiert, verkauft oder gehackt werden.
Fortschrittsfotos: der sensibelste Datenpunkt
Body-Tracking mit Fortschrittsfotos wird in vielen Apps angeboten. Selten wird darüber gesprochen, was das für die Privacy bedeutet: Du speicherst Bilder von dir in minimaler Bekleidung in einer App. Wo landen die?
Bei Cloud-basierten Apps: auf Servern des Anbieters. Bei einem Datenleck — wie dem von MyFitnessPal — könnten diese Bilder in falsche Hände geraten. Das Privacy Rights Clearinghouse stellte fest, dass viele Fitness-App-Entwickler keine Datenschutzerklärung haben, Daten an nicht offengelegte Dritte senden, und nur wenige alle Verbindungen verschlüsseln.
Das ist kein Feature-Vergleich. Das ist ein fundamentales Architektur-Problem: Fotos die auf fremden Servern liegen, sind ein Risiko das du nicht kontrollieren kannst.
Wie hitPR das löst
Ich entwickle hitPR. Ich habe diese App gebaut, weil ich selbst keine gefunden habe, die Offline-First, Privacy und vollständiges Krafttraining-Tracking verbindet, ohne die Grundfunktionen hinter eine Paywall zu sperren.
Hier ist, was das konkret bedeutet — verifizierbar in unserer Datenschutzerklärung:
Offline-First. Die App funktioniert vollständig ohne Internet. Kein Account nötig. Alle Trainingsdaten — Übungen, Sätze, Gewichte, PRs — werden ausschließlich lokal auf deinem Gerät gespeichert.
Kein Tracking. Kein Nutzer-Tracking, keine Werbe-SDKs, keine Drittanbieter-Analytik. Kein Firebase Analytics, kein Mixpanel, kein Segment. Ich weiß nicht was du trainierst — und ich will es nicht wissen.
Fortschrittsfotos bleiben auf deinem Gerät. Immer. Sie sind AES-256-verschlüsselt, biometrisch gesperrt, und vom Cloud-Backup ausgeschlossen. Screenshots werden blockiert. Kein Upload, kein Sync, kein Risiko.
Cloud-Backup ist optional. Wer es aktiviert, bekommt AES-256-GCM-Verschlüsselung mit individuellem Schlüssel pro Nutzer. Gespeichert auf Cloudflare R2 über Supabase in der EU (Frankfurt). Aber die App funktioniert genauso gut ohne.
Alle Kernfunktionen kostenlos. Logging, Timer, 8 Progressionssysteme, Muscle Heatmap, PR-Erkennung, Plate Calculator, über 20 Programme, Body Tracking mit Foto-Tresor, 1.300+ Übungen. Pro erweitert die Analysezeiträume und fügt Cloud-Backup und den Watch Companion hinzu. Nichts davon ist nötig um vollständig zu trainieren.
Daten-Export jederzeit. Vollständiger Export und Import. Deine Daten gehören dir — auch wenn du hitPR morgen löschst.
Worauf du achten solltest
Egal welche App du nutzt — stell diese Fragen bevor du deine Daten eingibst:
- Wo liegen meine Daten? Auf meinem Gerät oder auf fremden Servern?
- Brauche ich einen Account? Wenn ja — warum? Was passiert mit meiner E-Mail-Adresse?
- Kann ich meine Daten exportieren? Vollständig, jederzeit, ohne Einschränkung?
- Was passiert bei einem Datenleck? Sind meine Trainingsdaten verschlüsselt? Meine Fotos?
- Was passiert wenn die App eingestellt wird? Habe ich dann noch Zugriff auf meine Daten?
Die Antworten darauf findest du meistens nicht auf der Feature-Seite. Sondern in der Datenschutzerklärung. Es lohnt sich, die zu lesen.
Weiterführend:
