Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Plattform im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Halfway There Performance GmbH
Uhlenflucht 8, 33689 Bielefeld
Geschäftsführer: David Nash
E-Mail: support@halfwaythere.de

2. Verarbeitung von Gesundheitsdaten (Art. 9 DSGVO)

Der Health Score verarbeitet besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO, namentlich Ihre eingegebenen Blutwerte (Biomarker), Angaben zu Symptomen, Vorerkrankungen, Medikamenten, Nahrungsergänzung sowie weitere gesundheitsbezogene Kontextangaben.

Rechtsgrundlage für die Verarbeitung von Gesundheitsdaten ist Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Sie erteilen diese Einwilligung bei der Registrierung. Ohne sie ist eine Nutzung der Analyse-Funktion nicht möglich. Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung. Zur Ausübung siehe Abschnitt 9 und 12.

3. Welche Daten wir verarbeiten

• Stammdaten: Name, E-Mail-Adresse, ggf. Telefonnummer, Geburtsdatum, Geschlecht, Größe, Gewicht.
• Gesundheitsdaten: Laborwerte (bis zu 100+ Marker), Testdatum, Symptome, Diagnosen, Medikamente, Supplemente, Lebensstil-Angaben, Zyklusphase.
• Auswertungsergebnisse: berechneter Gesundheits-Score, KI-Analyse-Texte.
• Zahlungsdaten: Kauf-/Abo-Status, Credits (die eigentliche Zahlungsabwicklung erfolgt bei Stripe, siehe 4).
• Technische Daten: Authentifizierungs-Tokens, Zeitstempel.

4. Eingesetzte Dienstleister (Auftragsverarbeitung & Drittländer)

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen jeweils ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) besteht bzw. abzuschließen ist:

• Supabase Inc. (USA) — Datenbankhosting & Authentifizierung. Hier werden Ihre Konto- und Gesundheitsdaten gespeichert, Zugriffsbeschränkung über Row-Level-Security. Serverstandort: AWS eu-central-1 (Frankfurt) — Ihre Daten bleiben in der EU. Für etwaige administrative Zugriffe aus den USA gelten die EU-Standardvertragsklauseln (SCC) gem. Art. 46 Abs. 2 lit. c DSGVO.
• Anthropic Inc. (USA) — KI-Analyse der Gesundheitsdaten. Zur Erstellung der Auswertung werden Ihre Gesundheitsdaten an die Claude API übermittelt. Hierbei erfolgt eine Übermittlung in die USA (Drittland); Grundlage sind die EU-Standardvertragsklauseln (SCC) gem. Art. 46 Abs. 2 lit. c DSGVO. Eine Nutzung Ihrer Daten zum Training der KI-Modelle findet nach den Bedingungen der API-Nutzung nicht statt.
• Stripe Inc. (USA) — Zahlungsabwicklung. Bei einem Kauf werden Ihre Zahlungsdaten direkt von Stripe verarbeitet; wir erhalten nur den Kauf-/Abo-Status, keine vollständigen Kartendaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für die Drittlandübermittlung Standardvertragsklauseln (SCC) / Angemessenheitsbeschluss.
• Vercel Inc. (USA) — Hosting der Anwendung. Verarbeitet technisch notwendige Verbindungsdaten zum Ausliefern der Web-App; Drittlandübermittlung auf Grundlage der Standardvertragsklauseln (SCC).
• HighLevel Inc. (GoHighLevel, USA) — CRM/Kommunikation. Zur Onboarding- und Servicekommunikation übermitteln wir Stamm-/Kontaktdaten (Name, E-Mail, ggf. Telefon) sowie Ereignisse (z. B. Registrierung, abgeschlossene Auswertung, Support-Anfrage). Datenhaltung in der EU (Google Cloud, Frankfurt); für etwaige Drittlandübermittlung gelten die Standardvertragsklauseln (SCC). Es werden keine Gesundheitsdaten an HighLevel übermittelt.

5. Zwecke und Rechtsgrundlagen

• Bereitstellung von Konto und Login — Art. 6 Abs. 1 lit. b DSGVO.
• Erstellung von Score und KI-Analyse aus Gesundheitsdaten — Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung).
• Zahlungsabwicklung — Art. 6 Abs. 1 lit. b DSGVO.
• Anonyme Nutzungsstatistik (welche Funktionen wie oft genutzt werden) — als reine Zählwerte ohne Personenbezug, ohne Identifikatoren und ohne Gesundheitsdaten. Da diese Daten anonym und nicht auf eine Person rückführbar sind, fallen sie nicht unter die DSGVO und erfordern keine Einwilligung.

6. Authentifizierung per Magic Link

Die Anmeldung erfolgt passwortlos über einen einmaligen Anmeldelink, der an Ihre E-Mail-Adresse gesendet wird (Versand über Supabase). Hierfür wird Ihre E-Mail-Adresse verarbeitet (Art. 6 Abs. 1 lit. b DSGVO).

7. Speicherdauer

Wir speichern Ihre Daten, solange Ihr Nutzerkonto besteht. Nach Löschung des Kontos werden Ihre personenbezogenen Daten und Auswertungen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. handels-/steuerrechtlich für Rechnungsdaten) entgegenstehen.

8. Empfänger

Eine Weitergabe Ihrer Gesundheitsdaten an Dritte erfolgt ausschließlich an die unter Abschnitt 4 genannten Auftragsverarbeiter und nur im dort beschriebenen Umfang. Eine darüber hinausgehende Weitergabe, insbesondere zu Werbezwecken, findet nicht statt.

9. Ihre Rechte

Ihnen stehen nach der DSGVO folgende Rechte zu:

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17) — im Konto direkt ausführbar
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20) — Datenexport im Konto verfügbar
• Widerspruch gegen die Verarbeitung (Art. 21)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77), z. B. der Landesbeauftragten für Datenschutz Nordrhein-Westfalen

Zur Ausübung genügt eine formlose Nachricht an support@halfwaythere.de.

10. Widerruf der Einwilligung & eigenständige Datenlöschung

Sie können Ihre Einwilligung in die Verarbeitung Ihrer Gesundheitsdaten (Art. 9 Abs. 2 lit. a DSGVO) jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Den Widerruf setzen Sie unmittelbar selbst um. In Ihrem Konto stehen unter „Datenschutz“ zwei gleichwertige Wege zur Verfügung:

• Sperren (Einschränkung der Verarbeitung, Art. 18 DSGVO): Mit dem Widerruf der Einwilligung werden alle Ihre Auswertungen gesperrt und für niemanden mehr angezeigt — auch nicht für unser Team. Ihre Daten werden dabei nur noch gespeichert, aber nicht weiter verarbeitet. Erteilen Sie die Einwilligung erneut, sind Ihre Auswertungen wieder einsehbar. So gehen keine Daten verloren.
• Endgültig löschen (Art. 17 DSGVO): Sie können einzelne Auswertungen oder Ihr gesamtes Konto inklusive aller Gesundheitsdaten eigenständig und unwiderruflich löschen.

Da die Verarbeitung Ihrer Gesundheitsdaten zwingende Voraussetzung für die Erstellung der Auswertung ist, endet mit dem Widerruf der Zugang zur Analyse-Funktion, bis Sie die Einwilligung erneut erteilen. Gesetzliche Aufbewahrungspflichten (z. B. für Rechnungsdaten) bleiben hiervon unberührt. Alternativ genügt eine formlose Nachricht an support@halfwaythere.de.

11. Datenexport im Nutzerkonto

Im Bereich „Datenschutz“ Ihres Kontos können Sie alle zu Ihnen gespeicherten Daten als Datei exportieren (Umsetzung von Art. 20 DSGVO – Datenübertragbarkeit).

12. Cookies und Reichweitenmessung (Meta-Pixel)

Technisch notwendige Cookies (z. B. für Login und Sicherheit) setzen wir ohne Einwilligung ein; sie sind für den Betrieb der Plattform erforderlich.

Zur Messung der Reichweite unserer Werbeanzeigen setzen wir den Meta-Pixel der Meta Platforms Ireland Ltd. (4 Grand Canal Square, Dublin, Irland) ein. Der Pixel wird ausschließlich nach Ihrer aktiven Einwilligung über unseren Cookie-Hinweis geladen. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG. Wählen Sie „Nur notwendige“, wird kein Pixel geladen.

Nach erteilter Einwilligung verarbeitet der Pixel technische Daten (u. a. gekürzte IP-Adresse, Browser-/Geräteinformationen, aufgerufene Seiten) sowie ausgelöste Ereignisse zur Anzeigenoptimierung (Seitenaufruf, Beginn eines Kaufvorgangs, Kauf). Es werden dabei keine Gesundheitsdaten an Meta übermittelt. Dabei kann eine Übermittlung in die USA erfolgen; Grundlage sind die EU-Standardvertragsklauseln (SCC) gem. Art. 46 DSGVO. Weitere Informationen unter facebook.com/privacy/policy.

Ergänzend übermitteln wir nach erteilter Einwilligung ausgewählte Ereignisse (insbesondere einen abgeschlossenen Kauf) zusätzlich server-seitig über die Meta Conversions API, um die Wirkung unserer Anzeigen korrekt zuzuordnen und Doppelzählungen zu vermeiden. Dabei wird Ihre E-Mail-Adresse ausschließlich in gehashter (pseudonymisierter) Form übermittelt; es werden keine Gesundheitsdaten übermittelt. Ohne Einwilligung erfolgt keine solche Übermittlung.

Bewertungen (Trustpilot): Im Footer binden wir ein Widget der Trustpilot A/S (Dänemark, EU) ein, das Sie zur Abgabe einer Bewertung einlädt. Auch dieses Widget wird erst nach Ihrer Einwilligung geladen und kann dabei Cookies setzen. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG. Wählen Sie „Nur notwendige“, wird das Widget nicht geladen.

Eigene Reichweiten-/Nutzungsmessung (first-party): Zur Verbesserung unserer Seite erfassen wir — erst nach Ihrer Einwilligung — in pseudonymer Form, wie unsere Seiten genutzt werden (aufgerufene Seite, Scroll-Tiefe, gesehene Abschnitte, Klicks auf Schaltflächen, Verweildauer). Dazu vergeben wir eine zufällige Sitzungs-Kennung; es werden keine personenbezogenen Daten (kein Name, keine E-Mail) und keine Gesundheitsdaten erfasst. Die Auswertung erfolgt ausschließlich auf unseren eigenen Servern (Supabase, siehe oben); es werden keine Daten an Dritte übermittelt. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG. Wählen Sie „Nur notwendige“, findet diese Messung nicht statt.

Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die im Browser für diese Website gespeicherten Cookies/Website-Daten löschen — der Cookie-Hinweis erscheint dann erneut zur neuen Auswahl.

13. Keine medizinische Beratung

Die bereitgestellten Auswertungen sind edukativ und stellen keine medizinische Diagnose oder Behandlung dar. Bei gesundheitlichen Fragen wenden Sie sich bitte an eine Ärztin oder einen Arzt.