Datenschutzerklärung

Hier steht in Klartext, welche Daten wir von dir verarbeiten, warum wir das tun, wie lange wir sie behalten und welche Rechte du hast. Besonders wichtig ist uns der Abschnitt zu deinen Gesundheitsdaten – das sind deine Laborwerte.

Stand: 30. Oktober 2026

1. Verantwortlicher

Verantwortlich für die Verarbeitung deiner personenbezogenen Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

2. Grundsätze

Wir erheben nur die Daten, die wir wirklich brauchen. Wir verkaufen keine Daten. Wir bilden keine Werbeprofile. Wir setzen keine Tracking-Cookies und keine Werbe-Pixel von Drittanbietern ein.

Die Nutzung unserer Website ist ohne Angabe personenbezogener Daten möglich. Erst wenn du bestellst, ein Konto anlegst oder uns über ein Formular bzw. per E-Mail schreibst, verarbeiten wir Daten, die dich identifizieren.

3. Hosting

Diese Website und die zugehörigen Anwendungen werden auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, betrieben. Die Server stehen ausschließlich in Rechenzentren in Deutschland und Finnland – also innerhalb der Europäischen Union.

Hetzner verarbeitet die Daten ausschließlich in unserem Auftrag und nach unseren Weisungen. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und effizienten Betrieb unseres Angebots) bzw. Art. 6 Abs. 1 lit. b DSGVO, soweit das Hosting der Vertragserfüllung dient.

4. Server-Logdaten

Beim Aufruf einer Seite verarbeitet der Server automatisch technische Zugriffsdaten, die dein Browser übermittelt:

• gekürzte IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite und übertragene Datenmenge
• Browsertyp, Browserversion und Betriebssystem
• ggf. die zuvor besuchte Seite (Referrer)

Diese Daten brauchen wir, um die Seite auszuliefern, Fehler zu finden und Angriffe abzuwehren. Sie werden nicht mit anderen Datenquellen zusammengeführt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: in der Regel 7 Tage, bei sicherheitsrelevanten Vorfällen länger, bis der Vorfall geklärt ist.

5. Bestell- und Kontodaten

Wenn du bestellst oder ein Konto anlegst, verarbeiten wir die Angaben, die du im Formular machst:

Alter und Geschlecht sind für die medizinische Einordnung deiner Werte notwendig – viele Referenzbereiche unterscheiden sich danach deutlich. Ohne diese Angaben können wir dir kein sinnvoll eingeordnetes Ergebnis liefern.

6. Gesundheitsdaten: deine Laborwerte

Welche Daten

Die Messwerte deiner Probe (z. B. Vitamin D, Ferritin, Vitamin B12, HbA1c, hsCRP, Hormonwerte, Mikrobiom-Auswertung), die daraus abgeleitete Einordnung, dein Verlauf über mehrere Tests hinweg sowie die Angaben, die du im Onboarding freiwillig machst (z. B. Ziel, Aktivitätsniveau, Ernährung, Schlaf, Größe, Gewicht, Geburtsjahr).

Wozu

Ausschließlich dazu, deine Probe zu analysieren, dir dein Ergebnis verständlich aufzubereiten, deinen Verlauf darzustellen und dir passende Produktempfehlungen zu zeigen. Wir nutzen deine Gesundheitsdaten nicht für Werbung gegenüber Dritten, verkaufen sie nicht und geben sie nicht an Versicherungen oder Arbeitgeber weiter.

Rechtsgrundlage: deine Einwilligung

Wir verarbeiten deine Gesundheitsdaten auf Grundlage deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO in Verbindung mit Art. 6 Abs. 1 lit. a und lit. b DSGVO. Diese Einwilligung holen wir gesondert und ausdrücklich ein, bevor deine Probe analysiert wird: mit einem eigenen Pflicht-Häkchen in der Kasse und bei der Registrierung deines Kontos. Die Einwilligung erfolgt ausdrücklich nicht über unsere AGB, sondern als eigener Schritt – eine Einwilligung in die Verarbeitung von Gesundheitsdaten kann in Allgemeinen Geschäftsbedingungen nicht wirksam erteilt werden. Ohne dieses Häkchen kannst du die Bestellung bzw. die Registrierung nicht absenden; eine stillschweigende oder vorangekreuzte Zustimmung gibt es nicht.

Du kannst deine Einwilligung jederzeit für die Zukunft widerrufen – am schnellsten selbst im angemeldeten Konto unter „Konto und Daten“ → „Einwilligung Gesundheitsdaten widerrufen“, alternativ formlos per E-Mail an [email protected]. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt. Nach dem Widerruf löschen wir deine Gesundheitsdaten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Wer analysiert

Die Analyse deiner Probe erfolgt nicht bei uns, sondern in einem akkreditierten Partnerlabor in Deutschland, das einer regelmäßigen externen Qualitätskontrolle unterliegt. Das Labor soll deine Probe nur mit einer pseudonymen Proben-Kennung sowie Alter und Geschlecht erhalten – also nur mit den Angaben, die für die Analyse und die Referenzbereiche notwendig sind, und ohne deinen Namen und deine Adresse. Diesen Ablauf legen wir mit dem Partnerlabor vor dem Verkaufsstart verbindlich fest; bis dahin ist noch keine Probe versandt oder analysiert worden. Mit jedem Partnerlabor besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Hinweis: Das Partnerlabor wird vor Launch namentlich benannt. Das Labor steht derzeit noch nicht fest. Sobald der Laborpartner feststeht, nennen wir ihn hier mit Name, Anschrift und Land der Analyse – und informieren dich, falls du zu diesem Zeitpunkt bereits ein Konto bei uns hast.

Was mit deiner Probe passiert

Deine Probe wird vom Partnerlabor ausschließlich für die von dir beauftragte Analyse verwendet. Nach Abschluss der Analyse und der Freigabe deines Befunds wird sie vernichtet, spätestens vier Wochen nach Abschluss der Analyse. Eine Aufbewahrung des Probenmaterials für Forschung oder für andere Zwecke findet nicht statt, auch nicht in anonymisierter Form. Deine Probe und deine Gesundheitsdaten geben wir an keine Dritten weiter – mit der einen Ausnahme des Partnerlabors, das die Analyse als Auftragsverarbeiter für uns durchführt. Gesundheitsdaten nutzen wir nicht für Werbung, weder für eigene noch für Werbung Dritter. Dieselbe Regel steht in Ziffer 11.5 unserer AGB.

Zugriff und Sicherheit

Innerhalb unseres Unternehmens haben nur die Personen Zugriff auf Gesundheitsdaten, die ihn für die Auswertung oder den Support brauchen. Alle sind zur Vertraulichkeit verpflichtet. Die Übertragung erfolgt verschlüsselt (TLS), die Speicherung auf Servern in der EU mit beschränkten Zugriffsrechten.

7. Konto und Login

Seit dem 29. Oktober 2026 gibt es auf testandthrive.com ein echtes Nutzerkonto. Die Daten dazu liegen nicht mehr nur in deinem Browser, sondern in einer Datenbank.

Welche Daten

• E-Mail-Adresse – sie ist dein Anmeldename.
• Passwort – wir speichern es nicht im Klartext, sondern nur als nicht rückrechenbaren Prüfwert (PBKDF2-SHA256 mit 310.000 Durchläufen und einem eigenen Zufallswert je Konto).
• Sitzung – ein zufälliger Wert, von dem ebenfalls nur ein Prüfwert gespeichert wird, dazu sein Ablaufzeitpunkt.
• Gesundheitsangaben aus der Registrierung und dem Konto (z. B. Vorname, Alter) – nur, wenn du ausdrücklich eingewilligt hast, dazu der Zeitpunkt der Einwilligung.
• Passwort-Zurücksetzung – ein befristeter Prüfwert, wenn du ein neues Passwort anforderst. Die E-Mail mit dem Zurücksetz-Link versenden wir über den Dienst Resend (Resend, Inc., USA) als Auftragsverarbeiter; übermittelt werden dabei deine E-Mail-Adresse und der Link. Grundlage sind die EU-Standardvertragsklauseln, Einzelheiten in Abschnitt 15.

Wo die Daten liegen

Diese Daten speichern wir in einer Datenbank des Dienstes Cloudflare D1 mit dem Speicherort EU: die Datenbank ist ausdrücklich auf die Rechtsordnung der Europäischen Union festgelegt, die Daten werden in der EU gehalten. Anbieter ist Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, in Europa vertreten durch die Cloudflare Germany GmbH, Rosental 7, 80331 München. Cloudflare ist für uns Auftragsverarbeiter nach Art. 28 DSGVO; es besteht ein Auftragsverarbeitungsvertrag (Cloudflare Data Processing Addendum).

Drittlandbezug: Weil Cloudflare ein US-Unternehmen ist, lässt sich ein Zugriff aus den USA nicht vollständig ausschließen, auch wenn die Daten in der EU gespeichert sind. Cloudflare, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023). Ergänzend haben wir die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO vereinbart, die Teil des Data Processing Addendum sind.

Rechtsgrundlage und Speicherdauer

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des von dir gewünschten Kontos). Für die Gesundheitsangaben zusätzlich Art. 9 Abs. 2 lit. a DSGVO – deine ausdrückliche Einwilligung, die du jederzeit im Konto widerrufen kannst.

Kontodaten speichern wir bis zur Löschung deines Kontos, Sitzungen längstens 30 Tage, Wert zur Passwort-Zurücksetzung 30 Minuten (danach bzw. nach einmaliger Verwendung werden sie ungültig und entfernt).

Was du selbst tun kannst

Im angemeldeten Konto unter „Konto und Daten“ kannst du deine Daten als Datei exportieren, die Einwilligung in die Verarbeitung deiner Gesundheitsdaten widerrufen (die Gesundheitsangaben werden dann aus der Datenbank gelöscht, das Konto bleibt), dein Passwort ändern und dein Konto löschen. Beim Löschen entfernen wir Konto, Sitzungen und Gesundheitsangaben aus der Datenbank. Die Löschung ist unwiderruflich – deine Ergebnisse und Gesundheitsangaben lassen sich danach nicht wiederherstellen. Exportiere deine Daten deshalb bitte vorher; im Lösch-Bereich findest du dazu einen eigenen Knopf. Deine Bestell- und Rechnungsdaten bleiben von der Kontolöschung unberührt: Sie unterliegen den handels- und steuerrechtlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO) und enthalten keine Gesundheitsdaten.

8. Anfrageformular auf den Funnel-Seiten, Newsletter

Einen Newsletter versenden wir derzeit nicht. Es gibt auf dieser Website kein Anmeldeformular für einen Newsletter, keinen Verteiler und keinen Newsletter-Dienstleister. Sollten wir das ändern, ergänzen wir diese Erklärung vorher.

Auf unserer Partnerseite /f/partner/ gibt es ein Anfrageformular. Wenn du es absendest, verarbeiten wir die dort eingegebenen Angaben – Name, E-Mail-Adresse sowie, falls du sie einträgst, Firma, Beruf, Telefonnummer, Zahl der Klientinnen und Klienten und deine Nachricht – dazu die Seite, von der die Anfrage stammt, und, falls vorhanden, einen Partner- oder Kampagnen-Kenner aus der aufgerufenen Adresse (utm-Parameter). Wir nutzen diese Angaben ausschließlich, um deine Anfrage zu beantworten.

Die Test-Finder und Quiz-Strecken auf unseren Funnel-Seiten laufen vollständig in deinem Browser. Sie verlangen keine E-Mail-Adresse, und deine Antworten verlassen dein Gerät nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Speicherdauer: Wir löschen die Angaben, sobald die Anfrage erledigt ist und keine gesetzliche Aufbewahrungspflicht entgegensteht. Deine Gesundheitsdaten fließen in keine dieser Verarbeitungen ein.

9. Kündigungs- und Kontaktformulare

Wenn du über das Kündigungsformular kündigst, verarbeiten wir Name, E-Mail-Adresse und – falls du sie angibst – die Bestellnummer, um deine Kündigung dem richtigen Vertrag zuzuordnen und dir den Zugang zu bestätigen.

Wenn du uns per E-Mail schreibst, verarbeiten wir deine Nachricht und deine Kontaktdaten, um dein Anliegen zu bearbeiten.

Seit dem 29. Oktober 2026 kannst du das Kontaktformular direkt absenden. Im Einzelnen passiert dabei Folgendes:

• Welche Daten: dein Name, deine E-Mail-Adresse, dein Nachrichtentext, der Zeitpunkt des Absendens und deine IP-Adresse.
• Wozu die IP-Adresse: Sie dient dem Spam- und Missbrauchsschutz. Der Server zählt pro IP-Adresse die Absendeversuche und sperrt nach fünf Versuchen für 15 Minuten; dieser Zähler liegt nur im Arbeitsspeicher und ist spätestens beim nächsten Neustart weg. Zusätzlich steht die IP-Adresse in der Benachrichtigungs-E-Mail und im Nachrichtenarchiv (siehe unten).
• Wo verarbeitet: Das Formular läuft auf unserem eigenen Server bei der Hetzner Online GmbH in Deutschland (Abschnitt 3). Dort wird jede Nachricht in einer Archivdatei abgelegt, damit nichts verloren geht, wenn der E-Mail-Versand einmal scheitert.
• E-Mail-Versand: Die Benachrichtigung an unser Postfach versenden wir über den Dienst Resend (Resend, Inc., 2261 Market Street, San Francisco, CA 94114, USA). Resend ist für uns Auftragsverarbeiter nach Art. 28 DSGVO; die Übermittlung in die USA stützen wir auf die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Übermittelt werden Name, E-Mail-Adresse, Nachricht und IP-Adresse. Schlägt der Versand fehl, nutzen wir ersatzweise den Mailserver unseres eigenen Servers.
• Keine Weitergabe darüber hinaus, insbesondere nicht zu Werbezwecken.
• Speicherdauer: Wir löschen Nachricht und Archiveintrag, sobald dein Anliegen erledigt ist und keine gesetzliche Aufbewahrungspflicht entgegensteht, spätestens nach zwölf Monaten.

Das Formular setzt ein verstecktes Zusatzfeld ein, das nur automatische Skripte ausfüllen. Es speichert nichts auf deinem Gerät.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung und vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

10. Schriftarten

Wir binden alle verwendeten Schriftarten lokal von unserem eigenen Server ein. Beim Aufruf unserer Seiten wird keine Verbindung zu Google-Servern oder anderen Font-Anbietern aufgebaut, und deine IP-Adresse wird nicht an solche Anbieter übertragen.

11. Reichweitenmessung

Wir führen keine Reichweitenmessung durch. Unsere Seiten laden kein Analyse-Werkzeug, senden kein Zähl-Signal (Beacon) an einen anderen Server und übermitteln auch keine Aufrufdaten an Dritte. Insbesondere findet keine Übermittlung von Aufrufdaten an einen externen Dienst statt.

• Keine Dienste wie Google Analytics, Matomo, Plausible oder vergleichbare Werkzeuge.
• Keine Zähl-Pixel, keine Beacons, keine Kennung, die dich über mehrere Besuche hinweg wiedererkennbar macht.
• Zur Reichweitenmessung werden keine Cookies gesetzt und keine Daten auf deinem Gerät abgelegt. Was wir sonst speichern – das Anmelde-Cookie tt_session und einige Einträge im lokalen Speicher deines Browsers, etwa für Warenkorb und Spracheinstellung – steht vollständig in Abschnitt 12. Nichts davon dient der Reichweitenmessung.

Was beim Seitenaufruf anfällt, sind ausschließlich die technischen Server-Logdaten unseres Hosters, die jeder Webserver zum Ausliefern einer Seite verarbeitet. Sie werden in der Regel nach 7 Tagen gelöscht, nicht mit anderen Datenquellen zusammengeführt und nicht zu Auswertungen über einzelne Personen verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb). Für diese Logdaten ist keine Einwilligung nach § 25 TDDDG erforderlich, weil sie beim Übertragen der Seite anfallen und wir dabei weder Informationen auf deinem Endgerät speichern noch auf dort gespeicherte Informationen zugreifen. Was wir auf deinem Gerät ablegen, ist allein das technisch notwendige Anmelde-Cookie und der lokale Speicher aus Abschnitt 12.

12. Cookies und lokale Speicherung

Cookie

Seit dem 29. Oktober 2026 setzen wir ein einziges Cookie – und auch das nur, wenn du dich anmeldest:

• tt_session – dein Anmelde-Cookie. Es enthält einen zufälligen Wert ohne Aussage über deine Person und dient ausschließlich dazu, dich während der Sitzung wiederzuerkennen. Laufzeit 30 Tage, gesetzt als HttpOnly (für JavaScript nicht lesbar), Secure (nur über HTTPS) und SameSite=Lax. Beim Abmelden wird es sofort gelöscht. Es findet damit kein Tracking statt und keine Wiedererkennung auf fremden Seiten.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG – das Cookie ist für den von dir ausdrücklich gewünschten Dienst (den Login) unbedingt erforderlich. Eine Einwilligung und ein Cookie-Banner sind dafür nicht nötig, weil wir ausschließlich technisch notwendige Speicherung einsetzen. Soweit dabei personenbezogene Daten verarbeitet werden, stützen wir das auf Art. 6 Abs. 1 lit. b DSGVO.

Lokaler Speicher im Browser (localStorage)

Damit die Seite über mehrere Klicks hinweg funktioniert, legt sie einige Angaben im lokalen Speicher deines Browsers (localStorage) ab. Diese Angaben bleiben auf deinem Gerät und werden nicht an uns übertragen.

• ttCart – dein Warenkorb, damit er beim Weiterklicken nicht verloren geht.
• ttIntroSeen – die Angabe, dass du die Einführung zum Konto schon gesehen hast, damit sie nicht bei jedem Besuch erneut erscheint.
• ttpop_seen – der Zeitpunkt, zu dem dir ein Hinweisfenster zuletzt gezeigt wurde, damit es nicht bei jedem Besuch erneut erscheint (Popup-Sperre).
• ttpartner, tt_utm_* und ttf_sid_* – auf den Kampagnenseiten unter /f/ eine Partnerkennung, die Herkunftsangaben aus dem aufgerufenen Link und eine zufällige Sitzungskennung für den jeweiligen Fragebogen.

Konto- und Gesundheitsangaben liegen nicht mehr im lokalen Speicher – sie sind am 29. Oktober 2026 in die Datenbank umgezogen (siehe Abschnitt 7). Die früher genutzten Einträge ttUser und ttOnboarding werden beim nächsten Aufruf unserer Seite automatisch aus deinem Browser entfernt.

Wir setzen keine Cookies zu Werbe- oder Trackingzwecken und binden keine Tracking-Dienste Dritter ein. Weder das Cookie noch der localStorage dienen dazu, dich über verschiedene Seiten oder Anbieter hinweg zu verfolgen. Eine Reichweitenmessung findet nicht statt (siehe Abschnitt 11).

Löschen kannst du diese Angaben jederzeit selbst: über „Abmelden“ (entfernt das Anmelde-Cookie und alle persönlichen Einträge im lokalen Speicher; der Warenkorb bleibt), im angemeldeten Konto über „Konto löschen“ oder jederzeit über die Funktion deines Browsers zum Löschen von Website-Daten. Unter „Meine Daten exportieren“ kannst du dir die zu deinem Konto gespeicherten Angaben außerdem als Datei herunterladen.

Rechtsgrundlage: Das Speichern und Auslesen dieser Informationen ist für die von dir ausdrücklich gewünschten Funktionen unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht nötig. Soweit dabei personenbezogene Daten verarbeitet werden, stützen wir das auf Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen) und bei Gesundheitsangaben zusätzlich auf Art. 9 Abs. 2 lit. a DSGVO (deine ausdrückliche Einwilligung).

13. Zahlungsdienstleister

Gesundheitsdaten werden zu keinem Zeitpunkt an einen Zahlungsdienstleister übermittelt.

14. Speicherfristen

15. Empfänger und Drittländer

Deine Daten geben wir nur weiter, soweit das für die Vertragserfüllung nötig oder gesetzlich vorgeschrieben ist:

• Hosting-Dienstleister (Hetzner Online GmbH, Server in Deutschland und Finnland) – Auftragsverarbeitung nach Art. 28 DSGVO. Hetzner bleibt der Hoster dieser Website.
• Cloudflare (Cloudflare, Inc., San Francisco, USA, in Europa Cloudflare Germany GmbH, München) – Datenbank für Konto- und Gesundheitsangaben mit Speicherort EU sowie Auslieferung der Website. Auftragsverarbeitung nach Art. 28 DSGVO auf Grundlage des Cloudflare Data Processing Addendum. Einzelheiten in Abschnitt 7.
• Partnerlabor für die Analyse deiner Probe – Auftragsverarbeitung nach Art. 28 DSGVO, Probenmaterial und Befund nur zum Zweck der Analyse, danach Vernichtung der Probe. Das Labor wird vor Launch namentlich benannt; siehe Abschnitt 6.
• Der beauftragte Versanddienstleister – ausschließlich Name und Lieferadresse, keine Gesundheitsdaten. Der Dienstleister steht derzeit noch nicht fest und wird vor dem Verkaufsstart hier namentlich benannt.
• Zahlungsdienstleister – siehe Abschnitt 13, derzeit nicht aktiv.
• Resend (Resend, Inc., San Francisco, USA) – Versand der E-Mails aus dem Kontaktformular und der Konto-E-Mails. Auftragsverarbeitung nach Art. 28 DSGVO, Übermittlung auf Grundlage der EU-Standardvertragsklauseln. Einzelheiten in Abschnitt 9.
• Steuerberatung und Behörden – im gesetzlich vorgeschriebenen Umfang.

Drittländer: Deine Konto- und Gesundheitsangaben werden in einer Datenbank mit Speicherort EU gehalten. Weil der Anbieter dieser Datenbank, Cloudflare, Inc., seinen Sitz in den USA hat, ist ein Zugriff aus einem Drittland jedoch nicht vollständig ausgeschlossen. Dafür gelten zwei Garantien nebeneinander: Cloudflare, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023), und ergänzend sind die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO vereinbart. Ein zweiter Drittlandbezug entsteht beim E-Mail-Versand über Resend, Inc. (USA); dafür gelten die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Über diese beiden Dienste hinaus findet keine Übermittlung in Länder außerhalb der EU bzw. des EWR statt; sollte sie künftig erforderlich werden, erfolgt sie nur auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien nach Art. 46 DSGVO – und wir passen diese Erklärung entsprechend an.

16. Deine Rechte

Du hast uns gegenüber jederzeit folgende Rechte:

• Auskunft (Art. 15 DSGVO) – welche Daten wir zu dir gespeichert haben, inklusive einer Kopie.
• Berichtigung (Art. 16 DSGVO) – falsche Daten korrigieren, unvollständige ergänzen.
• Löschung (Art. 17 DSGVO) – „Recht auf Vergessenwerden“, soweit keine Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO) – deine Daten in einem gängigen, maschinenlesbaren Format, auf Wunsch auch direkt an einen anderen Anbieter.
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen.
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft – das gilt ausdrücklich auch für die Einwilligung in die Verarbeitung deiner Gesundheitsdaten.

Vieles davon kannst du sofort selbst erledigen: Melde dich in deinem Konto an und öffne „Konto und Daten“. Dort findest du „Meine Daten exportieren“ (Art. 15 und Art. 20 DSGVO), „Einwilligung Gesundheitsdaten widerrufen“ (Art. 7 Abs. 3 DSGVO), „Passwort ändern“ und „Konto löschen“ (Art. 17 DSGVO) – ohne Wartezeit und ohne Anfrage bei uns.

Eine formlose E-Mail an [email protected] genügt ebenfalls. Wir antworten unverzüglich, spätestens innerhalb eines Monats. Um sicherzugehen, dass wir Daten nicht an die falsche Person herausgeben, müssen wir dich in Einzelfällen um einen Identitätsnachweis bitten. Die Ausübung deiner Rechte ist für dich kostenlos.

17. Beschwerderecht bei einer Aufsichtsbehörde

Wenn du der Ansicht bist, dass wir bei der Verarbeitung deiner Daten gegen das Datenschutzrecht verstoßen, kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren – unbeschadet anderer Rechtsbehelfe (Art. 77 DSGVO).

Zuständige Aufsichtsbehörde für uns ist:

Du kannst dich alternativ auch an die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts oder deines Arbeitsplatzes wenden – also zum Beispiel an die Landesdatenschutzbehörde deines Bundeslandes.

18. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitung ändert – zum Beispiel, sobald das Partnerlabor benannt und die Bezahlung freigeschaltet ist. Es gilt immer die auf dieser Seite veröffentlichte Fassung. Bei wesentlichen Änderungen, die deine Einwilligung betreffen, informieren wir dich zusätzlich per E-Mail.