Datenschutzerklärung

1. Verantwortlicher

2. Hosting & Infrastruktur

HELIX wird auf folgender Infrastruktur betrieben:

2.6 Datensicherheit & Verschlüsselung

Wir schützen Ihre Daten durch folgende technische Maßnahmen:

• Verschlüsselte Übertragung: Sämtliche Verbindungen zur App erfolgen ausschließlich über TLS/HTTPS.
• Verschlüsselung im Ruhezustand: Die Datenbank wird serverseitig verschlüsselt gespeichert (Supabase/AWS, EU Frankfurt).
• Zugriffstrennung (Row-Level Security): Auf allen Tabellen mit personenbezogenen Daten ist datenbankseitig erzwungen, dass jede Nutzerin und jeder Nutzer ausschließlich die eigenen Einträge sehen kann. Andere Nutzer haben technisch keinen Zugriff auf Ihre Daten.
• Geteilte Reports: Wenn Sie einen Report-Link erstellen, ist dieser nur über einen nicht erratbaren Token (und – falls von Ihnen gesetzt – einen Zugangscode) abrufbar. Die Prüfung erfolgt serverseitig; ohne gültigen Token werden keine Daten herausgegeben. Report-Links laufen automatisch ab.

3. Welche Daten wir verarbeiten

3.1 Kontodaten

• E-Mail-Adresse (für Anmeldung und Kommunikation)
• Passwort-Hash (verschlüsselt, nicht im Klartext gespeichert)

3.2 Nutzungsdaten der App

• Peptid-Einträge (Name, Dosierung, Zyklus-Daten, Vial-Stand)
• Supplement-Einträge (Name, Menge, Tageszeit)
• Tages-Logs (Einnahmedatum, Dosis)
• Körpermessungen (Gewicht, Körperfett, Muskelmasse, Hydration, Schlafdaten) — nur bei aktivierter Withings-Integration (HELIX Unlimited)
• Wearable-Daten (Erholung, HRV, Ruhepuls, Belastung, Herzfrequenz, Schlafdauer und -qualität, Atemfrequenz, Sauerstoffsättigung, Hauttemperatur) — nur bei aktivierter Whoop-Integration (HELIX Unlimited)
• Blutwerte und Labordaten (manuell eingegeben oder per PDF hochgeladen)

3.3 Daten bei KI-Funktionen

Bei Nutzung der nachfolgenden KI-Funktionen werden die jeweils beschriebenen Daten an Anthropic (USA) zur Verarbeitung übermittelt:

• Blutbild-KI-Analyse: Laborwerte aus Ihrem hochgeladenen PDF-Befund oder manuell eingegebene Blutwerte
• Haar-Mineralanalyse (HTMA): Mineralwerte aus Ihrem HTMA-Befund
• KI-Assistent Eli: Ihre Chat-Nachrichten sowie — soweit für die Antwort relevant — Ihr Peptid-Protokoll, Blutwerte, Supplement-Stack und Körperwerte
• KI-Befund im PDF-Report: Peptid-Protokoll, Blutbild-Verlauf, Supplement-Stack, Körperwerte für den gewählten Zeitraum
• KI-Mahlzeitenerfassung: Foto oder Beschreibung einer Mahlzeit, optional Ihr Hinweis dazu — Einzelheiten in Abschnitt 3a

Keine dieser Datenübermittlungen enthält Ihren Namen oder Ihre E-Mail-Adresse. Anthropic nutzt die übermittelten Daten nicht zum Training und löscht sie nach einer begrenzten Frist (derzeit in der Regel bis zu 30 Tage).

3.3 Technische Daten

• Session-Token (JWT, technisch notwendig für Authentifizierung)
• IP-Adresse (temporär durch Hosting-Infrastruktur protokolliert)

3a. KI-Mahlzeitenerfassung

Mit der KI-Mahlzeitenerfassung (HELIX Pro und Unlimited) können Sie eine Mahlzeit fotografieren oder in Worten beschreiben. Eine KI schätzt daraus die einzelnen Bestandteile, deren Menge in Gramm und die Nährwerte (Kalorien, Eiweiß, Kohlenhydrate, Fett). Sie prüfen die Schätzung, können sie ändern und entscheiden selbst, ob sie in Ihr Ernährungstagebuch übernommen wird. Die Nutzung ist freiwillig; der Ernährungs-Tracker funktioniert auch ohne sie.

Welche Daten

• Mahlzeitenfoto — vor dem Hochladen wird das Foto in Ihrem Browser verkleinert und neu gespeichert. Dabei werden alle eingebetteten Metadaten entfernt, insbesondere Aufnahmeort (GPS), Gerät und Aufnahmezeit.
• Beschreibung und Hinweis — der Text, den Sie zur Mahlzeit eingeben (z. B. „halbe Portion“, Antworten auf Rückfragen).
• Geschätzte Werte — Bestandteile, Gramm, Nährwerte, Sicherheit der Schätzung sowie die Rohantwort der KI. Gespeichert werden sie erst, wenn Sie „Mahlzeit speichern“ tippen.
• Nutzungszähler — Zeitpunkt und Art (Foto/Text) jeder Schätzung, um die Obergrenze von 40 Schätzungen je 24 Stunden durchzusetzen.
• Zeitpunkt Ihrer Einwilligung.

Ernährungsdaten können Rückschlüsse auf Ihre Gesundheit zulassen. Wir behandeln sie deshalb als Gesundheitsdaten im Sinne von Art. 9 DSGVO.

Zweck

Ausschließlich die Schätzung der Nährwerte Ihrer Mahlzeit und deren Speicherung in Ihrem Ernährungstagebuch. Die KI gibt keine Empfehlungen und keine Bewertung Ihrer Gesundheit ab. Es findet keine Profilbildung und keine Weitergabe zu Werbezwecken statt.

Rechtsgrundlage

Ihre ausdrückliche Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO. Die Einwilligung wird vor der ersten Nutzung in der App eingeholt.

Speicherort und Speicherdauer

Fotos, Einträge und Zähler werden bei Supabase in der EU (Frankfurt, AWS eu-central-1) gespeichert. Fotos liegen in einem nicht öffentlichen Speicherbereich, auf den nur Ihr Konto zugreifen kann.

• Verwerfen Sie eine Schätzung oder erkennt die KI auf dem Foto kein Essen, wird das Foto sofort gelöscht.
• Das Foto einer gespeicherten Mahlzeit bleibt erhalten, bis Sie alle Einträge dieser Mahlzeit löschen oder Ihr Konto löschen.
• Gespeicherte Einträge bleiben erhalten, bis Sie sie löschen oder Ihr Konto löschen.
• Der Nutzungszähler wird mit Ihrem Konto gelöscht.

Empfänger und Drittlandübermittlung

Für die Schätzung werden das Foto bzw. die Beschreibung und Ihr Hinweis an Anthropic PBC (San Francisco, USA) übermittelt. Anthropic verarbeitet diese Daten als Auftragsverarbeiter ausschließlich zur Erstellung der Schätzung. Name und E-Mail-Adresse werden nicht übermittelt. Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln der EU-Kommission (Art. 45, Art. 46 Abs. 2 lit. c DSGVO). Datenschutzerklärung Anthropic

Widerruf

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: in der App unter Einstellungen → KI-Mahlzeitenerfassung (Schalter ausschalten) oder per E-Mail an hello@helixtrack.de. Danach werden keine Fotos oder Beschreibungen mehr übermittelt. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Bereits gespeicherte Einträge und Fotos können Sie jederzeit selbst löschen; auf Wunsch löschen wir sie für Sie.

4. Rechtsgrundlagen (DSGVO)

Die Verarbeitung Ihrer Daten erfolgt auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Bereitstellung der App-Dienste)
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (u. a. KI-Mahlzeitenerfassung, Abschnitt 3a)
• Art. 9 Abs. 2 lit. a DSGVO — Explizite Einwilligung für Gesundheitsdaten (insbesondere bei Nutzung von KI-Analysen und der KI-Mahlzeitenerfassung)
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigte Interessen (IT-Sicherheit, Missbrauchsschutz)
• Art. 46 Abs. 2 lit. c DSGVO — Standardvertragsklauseln (SCCs) als Grundlage für die Übermittlung von Daten an Anthropic (USA) bei Nutzung von KI-Funktionen; für die KI-Mahlzeitenerfassung zusätzlich das EU-US Data Privacy Framework (Art. 45 DSGVO), soweit anwendbar
• Art. 49 Abs. 1 lit. a DSGVO — Ausdrückliche Einwilligung als Grundlage für die Übermittlung in die USA beim aktiven Verbinden der Whoop-Integration

5. Cookies, lokale Speicherung und Besucheranalyse

HELIX verwendet folgende Speicher:

• Supabase Auth-Cookie — Session-Token für die Authentifizierung (notwendig)
• localStorage — App-Einstellungen wie Sprachauswahl; außerdem eine anonyme, nicht personenbezogene Besucher-ID (z_vid) zur aggregierten Nutzungsanalyse unserer Marketingseiten
• sessionStorage — temporäre Session-ID (z_sid) für die Dauer eines Browser-Besuchs, wird beim Schließen des Tabs gelöscht

Wir erfassen aggregierte Seitenaufruf-Statistiken unserer öffentlichen Marketingseiten (helixtrack.de, Blog) zu betrieblichen Zwecken (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Analyse und Verbesserung unserer Dienste). Die Analyse erfolgt cookiefrei und ohne Weitergabe an Dritte. Es werden keine personenbezogenen Daten erhoben — die Besucher-ID ist zufällig generiert und nicht mit Ihrem HELIX-Konto verknüpft. Es werden keine Tracking-Cookies oder Werbe-Cookies eingesetzt.

6. Weitergabe von Daten

Ihre Daten werden nicht an Dritte weitergegeben, verkauft oder für Werbezwecke genutzt. Eine Weitergabe erfolgt ausschließlich an:

• Infrastruktur-Dienstleister (Supabase, Vercel) — als Auftragsverarbeiter gem. Art. 28 DSGVO
• Stripe — ausschließlich zur Zahlungsabwicklung bei kostenpflichtigen Abonnements
• Withings — ausschließlich für OAuth-Authentifizierung und Datenabruf, wenn Sie die Integration aktiv verbinden (nur HELIX Unlimited)
• WHOOP, Inc. (USA) — ausschließlich für OAuth-Authentifizierung und Datenabruf, wenn Sie die Integration aktiv verbinden (nur HELIX Unlimited). Übermittlung in die USA auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 49 Abs. 1 lit. a DSGVO). Datenschutzerklärung WHOOP
• Anthropic PBC (USA) — KI-Verarbeitung für Blutbild-Analyse, HTMA-Analyse, KI-Assistent Eli, PDF-KI-Befund und KI-Mahlzeitenerfassung (siehe Abschnitt 3a). Anthropic verwendet übermittelte Nutzerdaten nicht zum KI-Training und löscht sie nach einer begrenzten Frist (derzeit in der Regel bis zu 30 Tage). Rechtsgrundlage für den Transfer in die USA: Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO. Datenschutzerklärung Anthropic

7. Speicherdauer

Personenbezogene Daten werden gelöscht, sobald sie für den Zweck ihrer Erhebung nicht mehr benötigt werden oder Sie Ihr Konto löschen. Nach Kündigung des Kontos werden alle Daten innerhalb von 30 Tagen vollständig gelöscht. Ausgenommen sind Daten, die wir aufgrund gesetzlicher Aufbewahrungspflichten behalten müssen (siehe Abschnitt 7a).

7a. Konto löschen

Sie können Ihr Konto jederzeit selbst löschen: in der App unter Einstellungen → Konto → Konto löschen. Zur Bestätigung tippen Sie das Wort „LÖSCHEN“ ein. Die Löschung erfolgt sofort und lässt sich nicht rückgängig machen.

Dabei löschen wir alle Daten, die Ihrem Konto zugeordnet sind: Peptide, Einnahmen und Zeitpläne, Blutwerte, Haaranalysen und hochgeladene Befunde, Körperwerte sowie Whoop- und Withings-Daten, Ernährungseinträge und Mahlzeitenfotos, Supplements und Medikamente, PDF-Reports samt geteilter Report-Links, Chatverläufe mit dem KI-Assistenten, Feedback, Nutzungsprotokolle, Profil und Profilbild, ein Newsletter-Abonnement und Kündigungsanfragen unter Ihrer E-Mail-Adresse sowie zuletzt Ihren Zugang (E-Mail-Adresse und Passwort). Wer sein Konto löscht, erhält von uns auch keinen Newsletter mehr. Ein laufendes Abonnement wird dabei sofort bei unserem Zahlungsdienst Stripe beendet.

Was bestehen bleibt: Rechnungen und Zahlungsbelege sind nach § 147 AO und § 257 HGB zehn Jahre aufzubewahren. Sie werden nicht in HELIX gespeichert, sondern liegen bei Stripe und werden dort nach Ablauf der Frist gelöscht. Daten, die bereits an Anthropic übermittelt wurden, löscht Anthropic nach der in Abschnitt 6 genannten Frist.

Sie können die Löschung auch per E-Mail an hello@helixtrack.de verlangen (Art. 17 DSGVO).

8. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung — „Recht auf Vergessenwerden" (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich an: hello@helixtrack.de

Sie haben außerdem das Recht, Beschwerde bei der zuständigen Datenschutz-Aufsichtsbehörde einzulegen.

9. Keine Profilbildung, kein Behavioral Tracking

HELIX erstellt keine Nutzerprofile zu Werbezwecken, führt kein Behavioral Tracking durch und nutzt keine externen Werbedienste (z. B. Google Analytics, Facebook Pixel). Unsere eigene cookiefreie Besucherstatistik dient ausschließlich der Optimierung unserer Marketingseiten und erfolgt ohne Weitergabe an Dritte. Ihre App-Daten dienen ausschließlich der Bereitstellung der gebuchten Funktionen.

Google Search Console wird ausschließlich administrativ genutzt, um die Auffindbarkeit von helixtrack.de in der Google-Suche zu verbessern. Dabei werden keine Nutzerdaten übermittelt — Google stellt lediglich aggregierte Suchanfragen-Statistiken bereit.

10. Kontakt Datenschutz

Bei Fragen zum Datenschutz wenden Sie sich direkt an:
hello@helixtrack.de