Datenschutzerklärung
1. Verantwortlicher
2. Hosting & Infrastruktur
HELIX wird auf folgender Infrastruktur betrieben:
Statisches Hosting, CDN-Edge-Netzwerk. Keine personenbezogenen Daten werden durch Vercel dauerhaft gespeichert. Serverstandorte: Europa (primär Frankfurt).
EU-West-Region, Frankfurt (AWS eu-central-1). Alle personenbezogenen Daten (Konto, Peptide, Blutwerte, Logs) werden ausschließlich in der EU gespeichert. Supabase ist Auftragsverarbeiter gem. Art. 28 DSGVO. Datenschutzerklärung Supabase
HELIX nutzt die Anthropic API (USA) für alle KI-gestützten Funktionen: Blutbild-KI-Analyse, Haar-Mineralanalyse (HTMA), den KI-Assistenten Eli sowie den KI-Befund im PDF-Report. Dabei werden relevante Gesundheitsdaten (z. B. Laborwerte, Mineralwerte, Peptid-Protokoll) an Anthropic übermittelt, die diese zur Erstellung der KI-Antwort verarbeitet.
Keine dauerhafte Speicherung: Anthropic speichert übermittelte Nutzerdaten nicht dauerhaft und verwendet diese nicht zum Training von KI-Modellen (Zero Data Retention Policy gemäß API-Nutzungsbedingungen).
Rechtsgrundlage für den Drittlandtransfer: Die Übermittlung an Anthropic (USA) erfolgt auf Basis von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Datenschutzerklärung Anthropic
Nur wenn Sie die Withings-Integration in HELIX Unlimited aktivieren. Withings ist ein eigenständiger Dienst. Übermittelte Daten: OAuth-Token (gespeichert in Supabase), Körpermessungen (Gewicht, Körperfett, Muskelmasse, Hydration, Schlafdaten) — werden in Ihrer Supabase-Datenbank (EU Frankfurt) gespeichert. Withings-Server: EU (Frankreich). Datenschutzerklärung Withings
Nur wenn Sie die Whoop-Integration in HELIX Unlimited aktivieren. WHOOP ist ein eigenständiger Dienst mit eigener Datenschutzerklärung; die Daten Ihres Whoop-Bands liegen dort unabhängig von HELIX. Verbinden Sie die Integration, ruft HELIX diese Daten über die Whoop-API ab.
Abgerufene Daten: Erholung (Recovery-Score), Herzfrequenzvariabilität (HRV), Ruhepuls, Belastung (Day Strain), durchschnittliche und maximale Herzfrequenz, Energieumsatz, Schlafdauer, Schlafeffizienz und Schlafleistung, Atemfrequenz, Sauerstoffsättigung (SpO₂) und Hauttemperatur — jeweils tagesbezogen. Diese Werte werden in Ihrer Supabase-Datenbank (EU, Frankfurt) gespeichert. Ebenfalls gespeichert werden die OAuth-Token und Ihre Whoop-Nutzer-ID, damit die Verbindung bestehen bleibt.
Drittlandtransfer (USA): WHOOP, Inc. hat seinen Sitz in den USA; der Datenabruf erfolgt über Server in den USA. Rechtsgrundlage für die Übermittlung ist Ihre ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO), die Sie durch das aktive Verbinden der Integration erteilen. Die Integration ist optional — ohne Verbindung werden keinerlei Daten an WHOOP übermittelt oder von dort abgerufen.
Widerruf: Sie können die Verbindung jederzeit in HELIX unter „Profil & Einstellungen → Integrationen" trennen. Damit werden die gespeicherten Token gelöscht und es findet kein weiterer Abruf statt. Datenschutzerklärung WHOOP
Bei kostenpflichtigen Abonnements (Pro, Unlimited) wird die Zahlung über Stripe verarbeitet. Übermittelte Daten: E-Mail-Adresse, Zahlungsdaten (Kreditkarte/SEPA). Stripe ist unter dem EU-US Data Privacy Framework zertifiziert. Datenschutzerklärung Stripe
Datenspeicherung: Alle personenbezogenen Daten werden in der EU (Frankfurt) gespeichert.
KI-Verarbeitung: Bei Nutzung von KI-Funktionen (Blutbild-Analyse, HTMA, Eli-Chat, PDF-KI-Befund) werden die dafür erforderlichen Gesundheitsdaten an Anthropic (USA) übermittelt und dort verarbeitet — ohne dauerhafte Speicherung, auf Basis von Standardvertragsklauseln (Art. 46 DSGVO).
2.6 Datensicherheit & Verschlüsselung
Wir schützen Ihre Daten durch folgende technische Maßnahmen:
- Verschlüsselte Übertragung: Sämtliche Verbindungen zur App erfolgen ausschließlich über TLS/HTTPS.
- Verschlüsselung im Ruhezustand: Die Datenbank wird serverseitig verschlüsselt gespeichert (Supabase/AWS, EU Frankfurt).
- Zugriffstrennung (Row-Level Security): Auf allen Tabellen mit personenbezogenen Daten ist datenbankseitig erzwungen, dass jede Nutzerin und jeder Nutzer ausschließlich die eigenen Einträge sehen kann. Andere Nutzer haben technisch keinen Zugriff auf Ihre Daten.
- Geteilte Reports: Wenn Sie einen Report-Link erstellen, ist dieser nur über einen nicht erratbaren Token (und – falls von Ihnen gesetzt – einen Zugangscode) abrufbar. Die Prüfung erfolgt serverseitig; ohne gültigen Token werden keine Daten herausgegeben. Report-Links laufen automatisch ab.
Transparenzhinweis – keine Ende-zu-Ende-Verschlüsselung: HELIX verwendet keine Ende-zu-Ende- bzw. Zero-Knowledge-Verschlüsselung. Das bedeutet ehrlich gesagt: Ihre Daten sind für uns als Betreiber technisch nicht unzugänglich. Im Rahmen der oben beschriebenen Zwecke – insbesondere für die von Ihnen ausgelösten KI-Analysen (die Ihre Gesundheitsdaten zwingend im Klartext benötigen), für Betrieb, Fehlerbehebung und Support – ist ein Zugriff auf Ihre Klartextdaten technisch möglich. Der Zugriff ist auf das hierfür notwendige Maß beschränkt. Eine Werbeaussage wie „nicht einmal wir können Ihre Daten sehen“ treffen wir bewusst nicht, weil sie bei einer KI-gestützten Gesundheits-App technisch nicht zutreffend wäre.
3. Welche Daten wir verarbeiten
3.1 Kontodaten
- E-Mail-Adresse (für Anmeldung und Kommunikation)
- Passwort-Hash (verschlüsselt, nicht im Klartext gespeichert)
3.2 Nutzungsdaten der App
- Peptid-Einträge (Name, Dosierung, Zyklus-Daten, Vial-Stand)
- Supplement-Einträge (Name, Menge, Tageszeit)
- Tages-Logs (Einnahmedatum, Dosis)
- Körpermessungen (Gewicht, Körperfett, Muskelmasse, Hydration, Schlafdaten) — nur bei aktivierter Withings-Integration (HELIX Unlimited)
- Wearable-Daten (Erholung, HRV, Ruhepuls, Belastung, Herzfrequenz, Schlafdauer und -qualität, Atemfrequenz, Sauerstoffsättigung, Hauttemperatur) — nur bei aktivierter Whoop-Integration (HELIX Unlimited)
- Blutwerte und Labordaten (manuell eingegeben oder per PDF hochgeladen)
3.3 Daten bei KI-Funktionen
Bei Nutzung der nachfolgenden KI-Funktionen werden die jeweils beschriebenen Daten an Anthropic (USA) zur Verarbeitung übermittelt:
- Blutbild-KI-Analyse: Laborwerte aus Ihrem hochgeladenen PDF-Befund oder manuell eingegebene Blutwerte
- Haar-Mineralanalyse (HTMA): Mineralwerte aus Ihrem HTMA-Befund
- KI-Assistent Eli: Ihre Chat-Nachrichten sowie — soweit für die Antwort relevant — Ihr Peptid-Protokoll, Blutwerte, Supplement-Stack und Körperwerte
- KI-Befund im PDF-Report: Peptid-Protokoll, Blutbild-Verlauf, Supplement-Stack, Körperwerte für den gewählten Zeitraum
Keine dieser Datenübermittlungen enthält Ihren Namen oder Ihre E-Mail-Adresse. Anthropic speichert die übermittelten Daten nicht dauerhaft (Zero Data Retention).
3.3 Technische Daten
- Session-Token (JWT, technisch notwendig für Authentifizierung)
- IP-Adresse (temporär durch Hosting-Infrastruktur protokolliert)
4. Rechtsgrundlagen (DSGVO)
Die Verarbeitung Ihrer Daten erfolgt auf folgenden Rechtsgrundlagen:
- Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Bereitstellung der App-Dienste)
- Art. 9 Abs. 2 lit. a DSGVO — Explizite Einwilligung für Gesundheitsdaten (insbesondere bei Nutzung von KI-Analysen)
- Art. 6 Abs. 1 lit. f DSGVO — Berechtigte Interessen (IT-Sicherheit, Missbrauchsschutz)
- Art. 46 Abs. 2 lit. c DSGVO — Standardvertragsklauseln (SCCs) als Grundlage für die Übermittlung von Daten an Anthropic (USA) bei Nutzung von KI-Funktionen
- Art. 49 Abs. 1 lit. a DSGVO — Ausdrückliche Einwilligung als Grundlage für die Übermittlung in die USA beim aktiven Verbinden der Whoop-Integration
5. Cookies, lokale Speicherung und Besucheranalyse
HELIX verwendet folgende Speicher:
- Supabase Auth-Cookie — Session-Token für die Authentifizierung (notwendig)
- localStorage — App-Einstellungen wie Sprachauswahl; außerdem eine anonyme, nicht personenbezogene Besucher-ID (z_vid) zur aggregierten Nutzungsanalyse unserer Marketingseiten
- sessionStorage — temporäre Session-ID (z_sid) für die Dauer eines Browser-Besuchs, wird beim Schließen des Tabs gelöscht
Wir erfassen aggregierte Seitenaufruf-Statistiken unserer öffentlichen Marketingseiten (helixtrack.de, Blog) zu betrieblichen Zwecken (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Analyse und Verbesserung unserer Dienste). Die Analyse erfolgt cookiefrei und ohne Weitergabe an Dritte. Es werden keine personenbezogenen Daten erhoben — die Besucher-ID ist zufällig generiert und nicht mit Ihrem HELIX-Konto verknüpft. Es werden keine Tracking-Cookies oder Werbe-Cookies eingesetzt.
6. Weitergabe von Daten
Ihre Daten werden nicht an Dritte weitergegeben, verkauft oder für Werbezwecke genutzt. Eine Weitergabe erfolgt ausschließlich an:
- Infrastruktur-Dienstleister (Supabase, Vercel) — als Auftragsverarbeiter gem. Art. 28 DSGVO
- Stripe — ausschließlich zur Zahlungsabwicklung bei kostenpflichtigen Abonnements
- Withings — ausschließlich für OAuth-Authentifizierung und Datenabruf, wenn Sie die Integration aktiv verbinden (nur HELIX Unlimited)
- WHOOP, Inc. (USA) — ausschließlich für OAuth-Authentifizierung und Datenabruf, wenn Sie die Integration aktiv verbinden (nur HELIX Unlimited). Übermittlung in die USA auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 49 Abs. 1 lit. a DSGVO). Datenschutzerklärung WHOOP
- Anthropic PBC (USA) — KI-Verarbeitung für Blutbild-Analyse, HTMA-Analyse, KI-Assistent Eli und PDF-KI-Befund. Anthropic speichert übermittelte Nutzerdaten nicht dauerhaft und verwendet diese nicht zum KI-Training (Zero Data Retention Policy). Rechtsgrundlage für den Transfer in die USA: Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO. Datenschutzerklärung Anthropic
7. Speicherdauer
Personenbezogene Daten werden gelöscht, sobald sie für den Zweck ihrer Erhebung nicht mehr benötigt werden oder Sie Ihr Konto löschen. Nach Kündigung des Kontos werden alle Daten innerhalb von 30 Tagen vollständig gelöscht.
8. Ihre Rechte
Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:
- Auskunftsrecht (Art. 15 DSGVO)
- Recht auf Berichtigung (Art. 16 DSGVO)
- Recht auf Löschung — „Recht auf Vergessenwerden" (Art. 17 DSGVO)
- Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruchsrecht (Art. 21 DSGVO)
Zur Ausübung Ihrer Rechte wenden Sie sich an: hello@helixtrack.de
Sie haben außerdem das Recht, Beschwerde bei der zuständigen Datenschutz-Aufsichtsbehörde einzulegen.
9. Keine Profilbildung, kein Behavioral Tracking
HELIX erstellt keine Nutzerprofile zu Werbezwecken, führt kein Behavioral Tracking durch und nutzt keine externen Werbedienste (z. B. Google Analytics, Facebook Pixel). Unsere eigene cookiefreie Besucherstatistik dient ausschließlich der Optimierung unserer Marketingseiten und erfolgt ohne Weitergabe an Dritte. Ihre App-Daten dienen ausschließlich der Bereitstellung der gebuchten Funktionen.
Google Search Console wird ausschließlich administrativ genutzt, um die Auffindbarkeit von helixtrack.de in der Google-Suche zu verbessern. Dabei werden keine Nutzerdaten übermittelt — Google stellt lediglich aggregierte Suchanfragen-Statistiken bereit.
10. Kontakt Datenschutz
Bei Fragen zum Datenschutz wenden Sie sich direkt an:
hello@helixtrack.de