Datenschutzerklärung

Stand: Oktober 2026 · [ENTWURF – finale Fassung durch Marcus und Felix ausstehend]

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

[Datenschutzbeauftragter: Name und Kontakt – Pflicht, wenn die Verarbeitung eine Datenschutz-Folgenabschätzung erfordert (§ 38 Abs. 1 Satz 2 BDSG)]

2. Hosting und Server-Logfiles

Diese Website wird bei Vercel Inc. (USA) gehostet. Die Server-Funktionen, über die der Gesundheitscheck deine Angaben weiterleitet, laufen in der Vercel-Region Frankfurt am Main (EU).

Beim Aufruf der Website verarbeitet Vercel technisch notwendige Zugriffsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer und Browser-Kennung (User-Agent). Diese Daten brauchen wir, um die Website sicher und stabil auszuliefern und Angriffe abzuwehren. Vercel speichert sie nur kurzfristig [Speicherdauer laut Vercel-Plan prüfen]. Inhalte deiner Anfragen – etwa Fotos, Antworten, E-Mail-Adressen oder Codes – schreiben wir nicht in Logs.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer sicheren und funktionsfähigen Website. Vercel ist unser Auftragsverarbeiter (Art. 28 DSGVO). Für Übermittlungen in die USA ist Vercel nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss nach Art. 45 DSGVO).

3. Schriftarten (Google Fonts)

Diese Website lädt Schriftarten von Servern der Google Ireland Limited, Dublin, Irland. Dabei übermittelt dein Browser deine IP-Adresse an Google; eine Verarbeitung durch die Google LLC in den USA ist nicht ausgeschlossen. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer einheitlichen Darstellung der Website. [Rechtlich umstritten (LG München I, Urt. v. 20.01.2022 – 3 O 17493/20); Empfehlung: Schriften selbst hosten, dann entfällt dieser Abschnitt]

4. Gesundheitscheck und KI-Analyse

Im Gesundheitscheck beantwortest du Fragen zu deinem Körper und Alltag und erhältst eine persönliche Auswertung. Optional kannst du ein Foto deines Oberkörpers hochladen, um die Analyse um eine Einschätzung deiner Körperzusammensetzung zu ergänzen. Den Check können nur Personen ab 18 Jahren nutzen.

Welche Daten wir verarbeiten

• Körper- und Gesundheitsangaben: Alter in Jahren (kein Geburtsdatum), biologisches Geschlecht, Körpergröße, Gewicht, deine Selbsteinschätzung sowie deine Antworten zu Krafttraining, Ausdauer, Alltagsbewegung, Schlaf, Erholung, Stress, Ernährung, Alkohol, Nikotin und Beschwerden im Alltag.
• Optional ein Körperfoto.
• Kontaktdaten: Name, E-Mail-Adresse und Telefonnummer.
• Nachweis deiner Einwilligung: Zeitpunkt, Status der Einwilligung, Version des Einwilligungstextes, eine zufällige Nutzer-ID, deine IP-Adresse und die Kennung deines Browsers (User-Agent).

Angaben zu Gewicht, Schlaf, Beschwerden oder Konsum sowie das Foto sind Gesundheitsdaten und damit besonders geschützt (Art. 9 DSGVO).

Zwecke und Rechtsgrundlagen

• Erstellung deiner Analyse aus deinen Gesundheitsangaben und, falls hochgeladen, deinem Foto: auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a i. V. m. Art. 6 Abs. 1 lit. a DSGVO), die du zu Beginn des Checks erteilst.
• Zusendung deiner Analyse per E-Mail und Rückfragen zu deinem Ergebnis: zur Durchführung des von dir angeforderten Checks (Art. 6 Abs. 1 lit. b DSGVO). [Falls Marcus dich telefonisch zu einem Coaching-Angebot kontaktiert: dafür ist eine eigene ausdrückliche Einwilligung nötig (§ 7 Abs. 2 Nr. 1 UWG)]
• Nachweis deiner Einwilligung: zur Erfüllung unserer Nachweispflicht (Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO).

Die Angaben sind freiwillig. Ohne Einwilligung können wir keine Analyse erstellen. Das Foto ist optional – du kannst den Check auch ohne Foto abschließen.

So funktioniert die KI-Analyse

Deine Angaben werden über eine Server-Funktion an unseren Automatisierungsdienst n8n übergeben. Von dort gehen die Anfragen über den Vermittlungsdienst OpenRouter an KI-Modelle:

• Google-Gemini-Modelle über Google Vertex AI – dieses Modell analysiert auch dein Foto,
• GPT-Modelle von Microsoft über Microsoft Azure.

Die KI-Modelle erhalten deinen Namen, deine Körper- und Gesundheitsangaben, deine Antworten und gegebenenfalls dein Foto – nicht aber deine E-Mail-Adresse oder Telefonnummer. Für OpenRouter ist Zero Data Retention aktiviert: Die Anbieter speichern deine Eingaben nicht über die Verarbeitung hinaus und nutzen sie nicht zum Training ihrer Modelle.

Das Ergebnis ist eine Einschätzung zu Informations- und Motivationszwecken, keine ärztliche Diagnose. Eine automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung für dich (Art. 22 DSGVO) findet nicht statt.

Schutz deines Fotos

Bevor dein Foto unser System erreicht, wird es in deinem Browser neu berechnet: Dabei entfallen alle Metadaten wie GPS-Standort, Aufnahmezeit und Kameradaten, und das Bild wird auf höchstens 2000 Pixel verkleinert. iPhone-Fotos im HEIC-Format werden dabei in JPEG umgewandelt.

Empfänger

Wir setzen folgende Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein:

• Vercel Inc., USA – Hosting und Server-Funktionen (Region Frankfurt am Main).
• n8n GmbH, Berlin – Workflow-Automatisierung. Die Ausführungshistorie ist deaktiviert; nach einem Durchlauf bleiben dort keine Daten gespeichert.
• Supabase, Inc. – Datenbank für Analyse- und Kontaktdaten, Serverstandort Frankfurt am Main (EU).
• OpenRouter, Inc., USA – Weiterleitung der KI-Anfragen, mit den Unterauftragsverarbeitern Google (Vertex AI) und Microsoft (Azure).
• [Anbieter für den Versand der Ergebnis-E-Mails]

Übermittlung in Drittländer

Bei Vercel und OpenRouter sowie gegebenenfalls bei Google und Microsoft können Daten in die USA übermittelt werden. Grundlage ist [je Anbieter bestätigen: Zertifizierung nach dem EU-US Data Privacy Framework (Art. 45 DSGVO) und/oder EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Serverregionen von Vertex AI und Azure angeben].

Speicherdauer

• Foto: Wir löschen es unmittelbar nach Abschluss der KI-Analyse. Ist für Fehlerbehandlung ein technischer Zwischenspeicher nötig, wird es dort spätestens nach 72 Stunden automatisch gelöscht.
• Analyseergebnisse: so lange, wie sie für die Bereitstellung deiner Analyse erforderlich sind; spätestens nach [12 oder 24] Monaten ohne Aktivität werden sie automatisch gelöscht.
• Name, E-Mail-Adresse und Telefonnummer: [Frist legt der Datenschutzberater fest]
• Einwilligungsnachweise: getrennt von Fotos und Analyse bis zu drei Jahre, damit wir eine wirksame Einwilligung nachweisen können (regelmäßige Verjährungsfrist).

Widerruf deiner Einwilligung

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – so einfach, wie du sie erteilt hast (Art. 7 Abs. 3 DSGVO):

• über den Widerrufs-Link in deiner Ergebnis-E-Mail oder
• per E-Mail an marcus@healthmaxxer.de.

Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung. Nach dem Widerruf löschen wir deine Gesundheitsdaten. Den Nachweis deiner Einwilligung bewahren wir weiter auf, solange die Nachweispflicht besteht.

5. Speicherung in deinem Browser

Wir setzen keine Cookies. Damit du den Gesundheitscheck nach einem Neuladen der Seite fortsetzen kannst, speichert dein Browser deinen Fortschritt im sogenannten Session Storage – ohne Foto. Diese Daten verlassen dein Gerät dabei nicht. Sie werden gelöscht, sobald du den Check abschließt oder den Tab schließt. Nach 60 Minuten verfallen sie und werden beim nächsten Aufruf der Seite entfernt.

Rechtsgrundlage für die Speicherung auf deinem Gerät ist § 25 Abs. 2 Nr. 2 TDDDG, da sie für den von dir genutzten Dienst unbedingt erforderlich ist.

6. Kontakt per E-Mail

Wenn du uns eine E-Mail schreibst, verarbeiten wir deine Angaben, um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zu unseren Leistungen, sonst Art. 6 Abs. 1 lit. f DSGVO). Wir löschen sie, sobald deine Anfrage erledigt ist und keine gesetzlichen Aufbewahrungspflichten bestehen.

7. Terminbuchung über Calendly

Über den Button „Gespräch vereinbaren“ gelangst du zur Terminbuchung bei Calendly LLC (USA). Erst beim Klick verlässt du unsere Website. Die Angaben, die du dort machst (z. B. Name, E-Mail-Adresse, Wunschtermin), verarbeiten wir, um das Gespräch mit dir zu vereinbaren und durchzuführen (Art. 6 Abs. 1 lit. b DSGVO). [Calendly als Auftragsverarbeiter bestätigen; Übermittlungsgrundlage USA (Data Privacy Framework) prüfen]

8. Links zu Instagram

Auf unserer Website verlinken wir auf Instagram-Profile. Es handelt sich um einfache Links: Erst wenn du einen davon anklickst, wirst du zu Instagram (Meta Platforms Ireland Limited) weitergeleitet. Für die Verarbeitung dort gilt die Datenschutzerklärung von Instagram.

9. Deine Rechte

Du hast gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Für alle Anliegen genügt eine E-Mail an marcus@healthmaxxer.de.

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem EU-Mitgliedstaat deines Aufenthaltsorts. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

10. Datensicherheit und Änderungen

Alle Daten werden verschlüsselt per TLS (HTTPS) übertragen. Zugriff auf deine Daten haben nur die Personen, die ihn für die genannten Zwecke benötigen.

Wir passen diese Datenschutzerklärung an, wenn sich unsere Website oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.