Datenschutzerklärung
Entwurf. Diese Fassung ist ein Strukturgerüst und noch nicht rechtsverbindlich. Die endgültige Fassung wird vor dem Start anwaltlich geprüft.
1. Verantwortlicher
GenFit GmbH i. G., [Straße und Hausnummer], [PLZ] Celle, E-Mail: [info@genfit.de]. [ggf. Datenschutzbeauftragte:r — prüfen, ob nach Art. 37 DSGVO erforderlich; bei umfangreicher Verarbeitung von Gesundheits-/Gendaten wahrscheinlich Pflicht.]
2. Geltungsbereich
Diese Erklärung gilt für die Website (Marketing/Landing, Interessenten-Formular) sowie die GenFit-Plattform (Web-Dashboard für Trainer:innen & Administration und die Endkunden-App).
3. Welche Daten wir verarbeiten
- Konto/Identität: Name, E-Mail, Rolle, Passwort (gehasht), Sitzungen. Zugang nur per Einladung (kein Self-Signup).
- Profil: Geburtsdatum, Geschlecht, Größe, Aktivitätslevel, Ziel, Zielgewicht, Gewichtsverlauf.
- Gesundheitsdaten (Art. 9 DSGVO): Ernährungstagebuch, Wasseraufnahme, Trainingspläne/-protokolle, Zielwerte.
- Genetische Daten (Art. 9 DSGVO): Testbestellung, Marker-Werte und Testergebnisse aus dem Gentest, davon abgeleitete Ernährungs-Zielwerte, Laborbericht-PDFs.
- Nutzungs-/Sicherheitsdaten: technische Server-Logs, gesalzener IP-Hash (Spam-Schutz), Audit-Log für Zugriffe auf Gesundheits-/Gendaten.
4. Zwecke & Rechtsgrundlagen
- Vertragserfüllung (Coaching-Leistung, App-Funktionen) — Art. 6 Abs. 1 lit. b.
- Verarbeitung von Gesundheits- und genetischen Daten nur auf Basis ausdrücklicher Einwilligung — Art. 9 Abs. 2 lit. a. [Umfang, gestufte Einwilligungen und Verhältnis zu GenDG/GTG anwaltlich ausformulieren.]
- Spam-/Missbrauchsschutz und Systemsicherheit — berechtigtes Interesse, Art. 6 Abs. 1 lit. f.
- Interessenten-Formular — Einwilligung, Art. 6 Abs. 1 lit. a.
5. Einwilligungen & Widerruf
Einwilligungen (u. a. Nutzungsbedingungen, Datenschutz, Gesundheitsdaten, genetische Daten, Trainer-Zugriff) werden gestuft und versioniert erhoben und können jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3). Nach Widerruf der Einwilligung in genetische Daten werden freigegebene Testergebnisse in der App wieder gesperrt und die Zielwerte auf die vorläufige (formelbasierte) Berechnung zurückgesetzt.
6. Empfänger & Auftragsverarbeiter
- Vercel Inc. — Hosting/Auslieferung (Functions-Region Frankfurt).
- Neon Inc. — Postgres-Datenbank (Region Frankfurt, AWS eu-central-1).
- Hetzner — Object Storage (DE) für Laborbericht-PDFs, privater Bucket.
- Resend/Brevo — transaktionaler E-Mail-Versand (EU).
- Expo/EAS — Build/Auslieferung der mobilen App inkl. Over-the-Air-Updates.
- Trainer:innen sind eigene Verantwortliche/Empfänger im Rahmen der zugeordneten Betreuung, nicht Auftragsverarbeiter [Rollenverhältnis rechtlich einordnen].
Mit Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Das Gentest-Labor erhält Proben pseudonymisiert (nur Kit-Code) [vertraglich absichern].
7. Drittlandübermittlung
Einzelne Anbieter (z. B. Vercel, Neon) sind US-Unternehmen; die Verarbeitung erfolgt in EU-Regionen. Soweit Übermittlungen in Drittländer stattfinden, erfolgen sie auf Grundlage geeigneter Garantien [Standardvertragsklauseln / EU-US Data Privacy Framework — konkret benennen].
8. Speicherdauer & Löschung
Konten und personenbezogene Daten werden gelöscht bzw. anonymisiert, wenn sie für die genannten Zwecke nicht mehr erforderlich sind. Bei einem Löschantrag (Art. 17) werden die Daten nach einer 30-tägigen Frist endgültig gelöscht; Rechnungen und das Audit-Log bleiben aus gesetzlichen Aufbewahrungsgründen (Steuer-/Handelsrecht, i. d. R. bis zu 10 Jahre) erhalten und referenzieren nur noch eine anonymisierte Kennung. Interessenten-Daten: längstens 12 Monate nach Start bzw. Nichtstart der Plattform.
9. Deine Rechte
Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). In der App stehen Datenexport (Art. 20) und Kontolöschung (Art. 17) direkt zur Verfügung — auch bei pausiertem Zugang. Beschwerderecht bei einer Aufsichtsbehörde (Art. 77), zuständig u. a. die Landesbeauftragte für den Datenschutz Niedersachsen.
10. Cookies & Tracking
Für Login/Sitzung werden technisch notwendige Mechanismen genutzt. Die Marketing-Landing setzt keine einwilligungspflichtigen Tracking-Cookies; optionales Analytics erfolgt cookielos (Plausible, EU). [Bei Änderungen anpassen.]
11. Änderungen
Wir passen diese Erklärung an, wenn sich Verarbeitung oder Rechtslage ändern. Stand: [Datum der finalen Fassung].