Blog
Deine Trainingsdaten gehören dir — warum das nicht selbstverständlich ist
150 Millionen Accounts kompromittiert. Militärbasen auf einer Heatmap sichtbar. Zyklusdaten an Facebook weitergegeben. Das sind keine hypothetischen Szenarien — das ist in den letzten Jahren tatsächlich passiert, mit Fitness-Apps die Millionen Menschen täglich nutzen.
Wenn du eine App für dein Krafttraining suchst, vergleichst du wahrscheinlich Features: Logging, Timer, Analysen, Pläne. Was die meisten nicht vergleichen: Was passiert eigentlich mit meinen Daten?
Was Fitness-Apps über dich wissen
Eine durchschnittliche Fitness-App sammelt 12 von 35 möglichen Datenkategorien — das ergab eine Surfshark-Analyse von 16 populären Fitness-Apps Anfang 2026. Die datenintensivsten Apps erfassen bis zu 24 Kategorien. 80 % der untersuchten Apps teilen Nutzerdaten mit Dritten.
Das klingt abstrakt. Konkret heißt das: Dein Körpergewicht, dein Trainingsvolumen, wann du trainierst, wie oft, wie lange. Kombiniert mit Standortdaten, E-Mail-Adresse und Geräte-ID. Bei manchen Apps kommen Ernährungsdaten, Schlafmuster oder Fortschrittsfotos dazu.
Bei Bildern wiegt das am schwersten. Das Privacy Rights Clearinghouse fand, dass viele Fitness-App-Anbieter gar keine Datenschutzerklärung führen, Daten an nicht offengelegte Dritte senden und nur wenige alle Verbindungen verschlüsseln. Was auf einem fremden Server liegt, ist genau so sicher wie dieser Server.
Drei Fälle die das greifbar machen
MyFitnessPal (2018): Under Armours Ernährungs- und Fitness-App wurde gehackt. 150 Millionen Accounts betroffen — Nutzernamen, E-Mail-Adressen, gehashte Passwörter. Wäre der Vorfall 12 Wochen später passiert, hätte die DSGVO gegriffen und Strafen von bis zu 4 % des Jahresumsatzes ermöglicht.
Strava Heatmap (2018): Die globale Heatmap von Strava machte Jogging-Routen auf Militärbasen in Syrien, Afghanistan und Irak sichtbar. Der australische Sicherheitsforscher Nathan Ruser entdeckte, dass Patrouillenrouten und Stützpunkt-Perimeter klar erkennbar waren. Das US-Verteidigungsministerium schränkte daraufhin die Nutzung von Fitness-Trackern ein.
Flo Health (2021): Die FTC stellte fest, dass die Zyklus-Tracking-App Flo Health sensible Gesundheitsdaten — Zyklusdaten, Schwangerschaftsabsichten, Symptome — an Facebook, Google und weitere Dritte weitergegeben hatte. Trotz gegenteiliger Versprechen in der Datenschutzerklärung.
Das sind keine Einzelfälle. Privacy International untersuchte die Abnehm-App Noom und fand, dass Gesundheitsdaten aus dem Onboarding-Fragebogen (Größe, Gewicht, Vorerkrankungen wie Diabetes oder Depression) in Echtzeit an fünf Drittanbieter weitergeleitet wurden.
Trainingsdaten sind Gesundheitsdaten
Ein Punkt der oft übersehen wird: Der Europäische Gerichtshof hat im Oktober 2024 klargestellt, dass der Begriff “Gesundheitsdaten” unter der DSGVO weit auszulegen ist. Daten, aus denen sich Rückschlüsse auf den Gesundheitszustand ziehen lassen, fallen unter Art. 9 DSGVO — die strengste Schutzkategorie.
Körpergewicht, Herzfrequenz, Trainingsvolumen, Regenerationszeiten — all das kann als besonders schützenswerte Gesundheitsdaten gelten. Die Verarbeitung erfordert eine ausdrückliche Einwilligung, die über das übliche “Ich stimme den AGB zu” hinausgeht.
In der Praxis behandeln viele Fitness-Apps diese Daten nicht entsprechend. Weil es bisher selten Konsequenzen hatte.
Warum Account-Zwang ein Problem ist
Die meisten Fitness-Apps verlangen eine Registrierung bevor du überhaupt einen Satz loggen kannst. Die Interaction Design Foundation klassifiziert “Forced Registration” als Dark Pattern: Zugang zu Grundfunktionen wird eingeschränkt, obwohl die Registrierung für die Funktionalität nicht nötig ist.
Warum machen Apps das? Nicht weil dein Workout einen Server braucht. Sondern weil ein Account mit E-Mail-Adresse und Nutzungsprofil monetarisierbar ist — durch Werbung, Datenpartnerschaften oder Upselling-Kampagnen.
Stell dir die Frage: Braucht eine App die Sätze, Reps und Gewichte speichert wirklich deine E-Mail-Adresse, dein Geburtsdatum und deinen Standort?
Was passiert wenn der Anbieter aufhört?
Cloud-basierte Apps haben ein Verfallsdatum. Nicht theoretisch — praktisch.
Jawbone war ein milliardenschwerer Fitness-Tracker-Hersteller. Als die Firma eingestellt wurde, verloren Nutzer den Zugang zu ihrer gesamten Trainingshistorie. Die Geräte wurden noch auf Amazon verkauft, als die App bereits tot war.
Google Fit wird 2026 zugunsten von Google Health eingestellt. Ein Migrations-Tool wurde für “später in diesem Jahr” angekündigt. Wer die Mitteilung verpasst, riskiert Datenverlust.
Das Muster ist immer gleich: Deine Daten liegen auf Servern, die du nicht kontrollierst. Wenn der Dienst eingestellt wird, sind die Daten weg. Jahre an Trainingshistorie, PRs, Fortschrittsdaten — alles.
Offline-First ist mehr als ein Feature
Die Informatiker Martin Kleppmann, Adam Wiggins, Peter van Hardenberg und Mark McGranaghan haben 2019 auf der ACM Onward! Konferenz ein Prinzip beschrieben, das sie “Local-First Software” nennen: Software, bei der die Daten primär auf deinem Gerät leben — nicht in der Cloud.
Ihr Kernargument: Cloud-Apps machen Nutzer zu Leihnehmern ihrer eigenen Daten. Local-First dreht das um. Du besitzt deine Daten, weil sie auf deinem Gerät sind. Cloud wird optional, nicht Voraussetzung.
Für eine Trainings-App bedeutet Offline-First konkret:
- Kein Internet nötig. Kein Laden, kein Spinner, kein “Verbindung fehlgeschlagen” im Keller des Gyms.
- Kein Account nötig. Du installierst die App und trainierst. Fertig.
- Kein Anbieter-Risiko. Wenn der Entwickler morgen aufhört, sind deine Daten trotzdem auf deinem Gerät.
- Kein Tracking möglich. Was nicht auf einem Server liegt, kann nicht analysiert, verkauft oder gehackt werden.
Wie hitPR das löst
Ich entwickle hitPR. Ich habe diese App gebaut, weil ich selbst keine gefunden habe, die Offline-First, Privacy und vollständiges Krafttraining-Tracking verbindet, ohne die Grundfunktionen hinter eine Paywall zu sperren.
Hier ist, was das konkret bedeutet — verifizierbar in unserer Datenschutzerklärung:
Offline-First. Die App funktioniert vollständig ohne Internet. Kein Account nötig. Alle Trainingsdaten — Übungen, Sätze, Gewichte, PRs — werden ausschließlich lokal auf deinem Gerät gespeichert.
Kein Tracking. Kein Nutzer-Tracking, keine Werbe-SDKs, keine Drittanbieter-Analytik. Kein Firebase Analytics, kein Mixpanel, kein Segment. Ich weiß nicht was du trainierst — und ich will es nicht wissen.
Cloud-Backup ist optional — und geht in deine eigene Cloud. Wer es aktiviert, sichert in den eigenen Speicher (iCloud oder Google Drive), Ende-zu-Ende-verschlüsselt mit AES-256-GCM. Der Schlüssel bleibt bei dir: Weder ich noch dein Cloud-Anbieter können deine Trainingsdaten lesen. hitPR betreibt keine Server für Nutzerdaten. Aber die App funktioniert genauso gut ohne.
Alle Kernfunktionen kostenlos. Logging, Timer, 8 Progressionssysteme, Muscle Heatmap, PR-Erkennung, Plate Calculator, über 20 Programme, 1.300 Übungen. Pro erweitert die Analysezeiträume und fügt Cloud-Backup und den Watch Companion hinzu. Nichts davon ist nötig um vollständig zu trainieren.
Daten-Export jederzeit. Vollständiger Export und Import. Deine Daten gehören dir — auch wenn du hitPR morgen löschst.
Worauf du achten solltest
Egal welche App du nutzt — stell diese Fragen bevor du deine Daten eingibst:
- Wo liegen meine Daten? Auf meinem Gerät oder auf fremden Servern?
- Brauche ich einen Account? Wenn ja — warum? Was passiert mit meiner E-Mail-Adresse?
- Kann ich meine Daten exportieren? Vollständig, jederzeit, ohne Einschränkung?
- Was passiert bei einem Datenleck? Sind meine Trainingsdaten verschlüsselt? Meine Fotos?
- Was passiert wenn die App eingestellt wird? Habe ich dann noch Zugriff auf meine Daten?
Die Antworten darauf findest du meistens nicht auf der Feature-Seite. Sondern in der Datenschutzerklärung. Es lohnt sich, die zu lesen.
Weiterführend:
