Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Plattform im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Halfway There Performance GmbH
Uhlenflucht 8, 33689 Bielefeld
Geschäftsführer: David Nash
E-Mail: support@halfwaythere.de

2. Verarbeitung von Gesundheitsdaten (Art. 9 DSGVO)

Der Health Score verarbeitet besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO, namentlich Ihre eingegebenen Blutwerte (Biomarker), Angaben zu Symptomen, Vorerkrankungen, Medikamenten, Nahrungsergänzung sowie weitere gesundheitsbezogene Kontextangaben.

Rechtsgrundlage für die Verarbeitung von Gesundheitsdaten ist Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Sie erteilen diese Einwilligung bei der Registrierung. Ohne sie ist eine Nutzung der Analyse-Funktion nicht möglich. Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung. Zur Ausübung siehe Abschnitt 9 und 12.

3. Welche Daten wir verarbeiten

• Stammdaten: Name, E-Mail-Adresse, ggf. Telefonnummer, Geburtsdatum, Geschlecht, Größe, Gewicht.
• Gesundheitsdaten: Laborwerte (bis zu 100+ Biomarker), Testdatum, Symptome, Diagnosen, Medikamente, Supplemente, Lebensstil-Angaben, Zyklusphase.
• Auswertungsergebnisse: berechneter Gesundheits-Score, KI-Analyse-Texte.
• Zahlungsdaten: Kauf-/Abo-Status, Credits (die eigentliche Zahlungsabwicklung erfolgt bei Stripe, siehe 4).
• Technische Daten: Authentifizierungs-Tokens, Zeitstempel.

4. Eingesetzte Dienstleister (Auftragsverarbeitung & Drittländer)

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen jeweils ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) besteht bzw. abzuschließen ist:

• Supabase Inc. (USA) — Datenbankhosting & Authentifizierung. Hier werden Ihre Konto- und Gesundheitsdaten gespeichert, Zugriffsbeschränkung über Row-Level-Security. Serverstandort: AWS eu-central-1 (Frankfurt) — Ihre Daten bleiben in der EU. Für etwaige administrative Zugriffe aus den USA gelten die EU-Standardvertragsklauseln (SCC) gem. Art. 46 Abs. 2 lit. c DSGVO.
• Anthropic Inc. (USA) — KI-Analyse der Gesundheitsdaten. Zur Erstellung der Auswertung werden Ihre Gesundheitsdaten an die Claude API übermittelt. Hierbei erfolgt eine Übermittlung in die USA (Drittland); Grundlage sind die EU-Standardvertragsklauseln (SCC) gem. Art. 46 Abs. 2 lit. c DSGVO. Eine Nutzung Ihrer Daten zum Training der KI-Modelle findet nach den Bedingungen der API-Nutzung nicht statt.
• Stripe Inc. (USA) — Zahlungsabwicklung. Bei einem Kauf werden Ihre Zahlungsdaten direkt von Stripe verarbeitet; wir erhalten nur den Kauf-/Abo-Status, keine vollständigen Kartendaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für die Drittlandübermittlung Standardvertragsklauseln (SCC) / Angemessenheitsbeschluss.
• Vercel Inc. (USA) — Hosting der Anwendung. Verarbeitet technisch notwendige Verbindungsdaten zum Ausliefern der Web-App; Drittlandübermittlung auf Grundlage der Standardvertragsklauseln (SCC).
• HighLevel Inc. (GoHighLevel, USA) — CRM/Kommunikation. Zur Onboarding- und Servicekommunikation übermitteln wir Stamm-/Kontaktdaten (Name, E-Mail, ggf. Telefon) sowie Ereignisse (z. B. Registrierung, abgeschlossene Auswertung, Support-Anfrage). Datenhaltung in der EU (Google Cloud, Frankfurt); für etwaige Drittlandübermittlung gelten die Standardvertragsklauseln (SCC). Es werden keine Gesundheitsdaten an HighLevel übermittelt.

5. Zwecke und Rechtsgrundlagen

• Bereitstellung von Konto und Login — Art. 6 Abs. 1 lit. b DSGVO.
• Erstellung von Score und KI-Analyse aus Gesundheitsdaten — Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung).
• Zahlungsabwicklung — Art. 6 Abs. 1 lit. b DSGVO.
• Anonyme Nutzungsstatistik (welche Funktionen wie oft genutzt werden) — als reine Zählwerte ohne Personenbezug, ohne Identifikatoren und ohne Gesundheitsdaten. Da diese Daten anonym und nicht auf eine Person rückführbar sind, fallen sie nicht unter die DSGVO und erfordern keine Einwilligung.

6. Authentifizierung per Magic Link

Die Anmeldung erfolgt passwortlos über einen einmaligen Anmeldelink, der an Ihre E-Mail-Adresse gesendet wird (Versand über Supabase). Hierfür wird Ihre E-Mail-Adresse verarbeitet (Art. 6 Abs. 1 lit. b DSGVO).

7. Speicherdauer

Wir speichern Ihre Daten, solange Ihr Nutzerkonto besteht. Nach Löschung des Kontos werden Ihre personenbezogenen Daten und Auswertungen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. handels-/steuerrechtlich für Rechnungsdaten) entgegenstehen.

8. Empfänger

Eine Weitergabe Ihrer Gesundheitsdaten an Dritte erfolgt ausschließlich an die unter Abschnitt 4 genannten Auftragsverarbeiter und nur im dort beschriebenen Umfang. Eine darüber hinausgehende Weitergabe, insbesondere zu Werbezwecken, findet nicht statt.

9. Ihre Rechte

Ihnen stehen nach der DSGVO folgende Rechte zu:

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17) — im Konto direkt ausführbar
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20) — Datenexport im Konto verfügbar
• Widerspruch gegen die Verarbeitung (Art. 21)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77), z. B. der Landesbeauftragten für Datenschutz Nordrhein-Westfalen

Zur Ausübung genügt eine formlose Nachricht an support@halfwaythere.de.

10. Widerruf der Einwilligung & eigenständige Datenlöschung

Sie können Ihre Einwilligung in die Verarbeitung Ihrer Gesundheitsdaten (Art. 9 Abs. 2 lit. a DSGVO) jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Den Widerruf setzen Sie unmittelbar selbst um. In Ihrem Konto stehen unter „Datenschutz“ zwei gleichwertige Wege zur Verfügung:

• Sperren (Einschränkung der Verarbeitung, Art. 18 DSGVO): Mit dem Widerruf der Einwilligung werden alle Ihre Auswertungen gesperrt und für niemanden mehr angezeigt — auch nicht für unser Team. Ihre Daten werden dabei nur noch gespeichert, aber nicht weiter verarbeitet. Erteilen Sie die Einwilligung erneut, sind Ihre Auswertungen wieder einsehbar. So gehen keine Daten verloren.
• Endgültig löschen (Art. 17 DSGVO): Sie können einzelne Auswertungen oder Ihr gesamtes Konto inklusive aller Gesundheitsdaten eigenständig und unwiderruflich löschen.

Da die Verarbeitung Ihrer Gesundheitsdaten zwingende Voraussetzung für die Erstellung der Auswertung ist, endet mit dem Widerruf der Zugang zur Analyse-Funktion, bis Sie die Einwilligung erneut erteilen. Gesetzliche Aufbewahrungspflichten (z. B. für Rechnungsdaten) bleiben hiervon unberührt. Alternativ genügt eine formlose Nachricht an support@halfwaythere.de.

11. Datenexport im Nutzerkonto

Im Bereich „Datenschutz“ Ihres Kontos können Sie alle zu Ihnen gespeicherten Daten als Datei exportieren (Umsetzung von Art. 20 DSGVO – Datenübertragbarkeit).

12. Keine medizinische Beratung

Die bereitgestellten Auswertungen sind edukativ und stellen keine medizinische Diagnose oder Behandlung dar. Bei gesundheitlichen Fragen wenden Sie sich bitte an eine Ärztin oder einen Arzt.