Kundeninformation zum Datenschutz

1. Wer ist verantwortlich?

Verantwortlich für die hier beschriebenen Verarbeitungen ist:

Felix Burkert, Optenas

Cosimastr. 121, 81925 München · E-Mail: info@optenas.de · Telefon: +49 171 2939090

Wir sind ein Einzelunternehmen und gesetzlich nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Alle Fragen zum Datenschutz, alle Auskunfts- und Löschwünsche und jeden Widerruf richtest du bitte direkt an die oben genannte Adresse.

2. Überblick: was wir verarbeiten und warum

Nachfolgend findest du alle Datenkategorien, die wir im Zusammenhang mit dem Coaching verarbeiten, jeweils mit Zweck, Rechtsgrundlage und Speicherdauer. Mit (Art. 9) gekennzeichnete Kategorien sind Gesundheitsdaten und damit besonders geschützt; Einzelheiten dazu stehen unter Ziffer 3.

Kontaktdaten (Name, Anschrift, E-Mail-Adresse, Telefonnummer, Messenger-Kennung, die von uns vergebene Benutzer-ID)

• Zweck: Beantwortung deiner Anfragen, Terminabsprachen, Versand von Berichten und Unterlagen, Abwicklung deines Vertrags
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen)
• Speicherdauer: 3 Jahre nach Vertragsende; kommt kein Vertrag zustande, 6 Monate nach Erledigung deiner Anfrage. Soweit deine Kontaktdaten Bestandteil aufbewahrungspflichtiger Unterlagen sind – etwa als Rechnungsanschrift –, gelten für diese Unterlagen die steuerlichen Fristen.

Vertragsdaten (gewähltes Paket, Laufzeit, Kündigung)

• Zweck: Anlage und Pflege der Kundenbeziehung, Abwicklung von Kündigung und Widerruf
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
• Speicherdauer: Vertragsdokumente (Vertrag, Auftragsbestätigung, Kündigung und vertragsbezogener Schriftwechsel) bewahren wir 6 Jahre auf, gerechnet ab dem Schluss des Kalenderjahres, in dem das jeweilige Dokument entstanden ist – dazu verpflichtet uns § 147 AO. Die übrigen Vertragsangaben löschen wir 3 Jahre nach Vertragsende. Solange dein Vertrag läuft, bleiben die Vertragsdokumente in jedem Fall erhalten.
• Buchst du die Einzelleistung „Lifestyle-Analyse“ ohne Coaching, gilt als Vertragsende der Tag, an dem wir dir deinen Analysebericht übergeben und mit dir besprochen haben; ab diesem Tag laufen die genannten Fristen.

Angaben aus dem kostenlosen Erstgespräch (Art. 9) (sportliche und gesundheitliche Ziele für das Coaching, Beschwerden, belastungsrelevante Vorerkrankungen und Diagnosen, belastungsrelevante Medikation, Angaben zu Training, Schlaf, Ernährung und gesundheitsbezogenen Gewohnheiten)

• Zweck: Beratung zum Coaching-Angebot; Prüfung, ob das Coaching eine geeignete Dienstleistung darstellt
• Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (deine ausdrückliche Einwilligung)
• Speicherdauer: bei Widerruf unverzüglich, sonst 3 Jahre nach Vertragsende; kommt nach dem Erstgespräch kein Coaching zustande, löschen wir nach 6 Monaten

Angaben aus dem Sicherheits-Screening (Art. 9) (belastungsrelevante Vorerkrankungen und Diagnosen, belastungsrelevante Medikation, Freigabe- bzw. Einschränkungsvermerk, ggf. ärztliche Freigabeaussage ohne Befundbericht)

• Zweck: Prüfung, ob und in welcher Form eine körperliche Belastung verantwortbar ist; richtige Einordnung deiner Messwerte
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO (deine ausdrückliche Einwilligung)
• Speicherdauer: bei Widerruf unverzüglich, sonst 3 Jahre nach Vertragsende; kommt wegen des Screening-Ergebnisses kein Coaching zustande, löschen wir nach Abschluss der Rückabwicklung

Angaben aus der Lifestyle-Analyse und den Re-Analysen (Art. 9) (Alltagsaktivität, Trainingsverhalten, Schlaf und Wohlbefinden; Ernährungsprotokoll über 7 Tage; Ergebnisse des Fitnesstests und Körperumfänge an Hals, Taille und Oberschenkel; Kennwerte der Herzfrequenzmessung zu Stress, Erholung, Herzratenvariabilität, Schlaf und Ausdauerniveau)

• Zweck: Erstellung deiner Analyse und deines Berichts als Grundlage der Coaching-Empfehlungen; Überprüfung und Anpassung der Empfehlungen im Verlauf
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO
• Speicherdauer: bei Widerruf unverzüglich, sonst 3 Jahre nach Vertragsende. Frühere Analysen bleiben bis dahin erhalten, weil der Vergleich über die Zeit gerade der Zweck der Re-Analyse ist.

Angaben aus dem laufenden Coaching (Art. 9) (deine Rückmeldungen zu Gesundheitsverhalten, Training, Ernährung, Lebensstil, Schlaf, Stress und Erholung; Zielvereinbarungen, Verlaufsnotizen, Fortschrittsdaten, erstellte Berichte)

• Zweck: Anpassung deiner Empfehlungen zwischen den Messzeitpunkten und nachvollziehbare Betreuung über die Vertragsdauer
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO
• Speicherdauer: bei Widerruf unverzüglich, sonst 3 Jahre nach Vertragsende

Tägliche Selbstauskunft (nur im Paket Premium): Kurze tägliche Angaben zu deinem Wohlbefinden, deinem Schlaf und deiner Aktivität am Vortag.

• Zweck: Damit wir deine Belastung tagesgenau anpassen können — etwa in einer stressigen Woche, auf Reisen oder nach einem Infekt. Den Verlauf deiner Angaben fassen wir in deinem monatlichen Daten-Report zusammen, damit du Entwicklungen über längere Zeiträume erkennst.
• Rechtsgrundlage: Deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO).
• Speicherdauer: Deine einzelnen Tagesangaben löschen wir drei Monate nach ihrer Erfassung. Erhalten bleibt nur der zusammengefasste Verlauf in deinem Monatsbericht; für ihn gelten dieselben Fristen wie für deine übrigen Analysedaten.
• Freiwillig: Du entscheidest an jedem Tag neu. Lässt du einen Tag aus, hat das keine Folgen für dein Coaching und für deinen Vertrag.

Inhalte deiner Nachrichten (Art. 9, soweit mit Gesundheitsbezug) (Inhalt von E-Mails und Messenger-Nachrichten, Zeitpunkt und genutzter Kanal)

• Zweck: Austausch über Ergebnisse, Empfehlungen und Rückfragen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO
• Speicherdauer: Entscheidungsrelevantes übernehmen wir in deine Kundenakte; im Messenger-Chat ist eine automatische Löschfrist von 6 Wochen aktiv. Im Übrigen Löschung bei Widerruf, sonst 3 Jahre nach Vertragsende.

Bild- und Tondaten in Videoterminen (Art. 9) (die in Echtzeit übertragenen Bild- und Tondaten, ggf. Chatnachrichten im Termin, kurze Gesprächsnotizen)

• Zweck: Durchführung des Erstgesprächs und der Coaching-Termine, Besprechung deines Berichts
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO
• Speicherdauer: Es findet keine Aufzeichnung statt, die Bild- und Tondaten werden nicht gespeichert. Chatverläufe löschen wir nach dem Termin. Notizen aus dem Erstgespräch löschen wir 6 Monate nach dem Termin, wenn kein Vertrag zustande kommt.

Termin- und Buchungsdaten (Termindaten, Zeitzone, Absage- und No-Show-Status, ggf. ein neutrales Themenfeld ohne Gesundheitsangaben)

• Zweck: Vereinbarung und Verwaltung von Terminen, Bestätigungen und Erinnerungen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
• Speicherdauer: 6 Monate nach dem Termin; auch ohne Vertragsschluss 6 Monate

Technische Verbindungsdaten (IP-Adresse, Zeitstempel, Dauer, Geräte- und Client-Daten bei Buchung und Videotermin)

• Zweck: technische Bereitstellung und Sicherheit der Buchung und der Videokonferenz
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, ergänzend Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb)
• Speicherdauer: 180 Tage

Zahlungs- und Rechnungsdaten (Zahlungsdaten der von dir gewählten Zahlungsart, Transaktions- und Erstattungsvorgänge, Rechnungen und Buchungsbelege)

• Zweck: Einzug der monatlichen Gebühr, Abwicklung von Erstattungen, Erfüllung steuer- und handelsrechtlicher Pflichten
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO
• Speicherdauer: gesetzliche Aufbewahrungsfristen von 6 bzw. 8 bzw. 10 Jahren; eine vorzeitige Löschung ist uns insoweit nicht möglich. Die Fristen beginnen jeweils mit dem Schluss des Kalenderjahres, in dem der Beleg entstanden ist, und laufen unabhängig davon, ob dein Vertrag noch besteht.

Nachweise zu deinen Einwilligungen (Datum, Version und Umfang der erteilten Einwilligungen, Widerrufe, versionierte Fassungen unserer Verkaufsseite)

• Zweck: Nachweis, dass und worin du eingewilligt hast – dazu sind wir gesetzlich verpflichtet
• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 und Art. 5 Abs. 2 DSGVO
• Speicherdauer: Dauer der Verarbeitung zuzüglich 3 Jahre; beim Erstgespräch ohne Vertragsschluss 6 Monate nach dem Termin

Daten aus der Wahrnehmung deiner Rechte (Inhalt deiner Anfrage, Prüfung deiner Identität, minimaler Löschnachweis mit Benutzer-ID und Löschdatum)

• Zweck: Bearbeitung deiner Auskunfts-, Lösch- und sonstigen Anfragen und Nachweis der Erledigung
• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 12 bis 22 DSGVO
• Speicherdauer: 3 Jahre

Anonymisierte Verlaufsdaten – nur mit deiner gesonderten Einwilligung (Art. 9 in den Ausgangsdaten) (dein Coaching-Verlauf in anonymisierter Form, ohne Namen, ohne Fotos, ohne identifizierende Angaben)

• Zweck: Fachbeiträge und Marketing
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO – freiwillig; eine Ablehnung hat keine Folgen für dein Coaching
• Speicherdauer: bis zu deinem Widerruf. Vor jeder Verwendung prüfen wir erneut, dass kein Rückschluss auf dich möglich ist.

E-Mail-Adresse für Informationen und Angebote – nur mit deiner gesonderten Einwilligung (E-Mail-Adresse und Nachweis deiner Anmeldung)

• Zweck: Zusendung von Informationen und Angeboten
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO – freiwillig; eine Ablehnung hat keine Folgen für dein Coaching
• Speicherdauer: bis zu deiner Abmeldung; danach führen wir nur deine E-Mail-Adresse in einer Sperrliste, damit du keine weiteren E-Mails erhältst

Sicherungskopien (Backups)

• Alle vorgenannten Daten können zusätzlich in verschlüsselten Sicherungskopien enthalten sein. Zweck ist der Schutz vor Datenverlust, Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO (berechtigtes Interesse an einem sicheren Betrieb). Löschen wir Daten im laufenden System, laufen sie mit dem Sicherungszyklus von 6 Monaten aus; gelöschte Datensätze stellen wir aus Sicherungen nicht wieder her.

Herkunft der Daten: Alle hier genannten Daten stammen von dir selbst. Eine Ausnahme sind die Messwerte aus der Firstbeat-Messung – diese erhalten wir von Firstbeat, und nur dann, wenn du der Übermittlung in der Firstbeat-App gesondert zugestimmt hast (siehe Ziffer 4).

3. Gesundheitsdaten und deine Einwilligung

Gesundheitsdaten sind nach Art. 9 DSGVO besonders geschützt. Wir dürfen sie nur verarbeiten, wenn du ausdrücklich einwilligst. Deine Einwilligung holen wir bei der Buchung ein; sie zählt die Datenkategorien einzeln auf. Rechtsgrundlage ist Art. 9 Abs. 2 lit. a DSGVO, für die Vertragsdurchführung zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Sicherheits-Screening vor dem Start

Bevor die Analyse beginnt, stellen wir dir gezielte Fragen zu Vorerkrankungen und Diagnosen, die einer körperlichen Belastung entgegenstehen können, sowie zu Medikamenten, die deine Belastbarkeit, deine Herzfrequenz oder deine Regeneration beeinflussen. Das ist kein Ausfüllen einer Krankengeschichte: Wir fragen geschlossene Kategorien ab, keine offenen Angaben, und fordern keine Arztberichte oder Befunde an.

Ergibt das Screening Hinweise auf eine gesundheitliche Einschränkung, verweisen wir dich an eine Ärztin oder einen Arzt. Das Coaching beginnt dann erst nach ärztlicher Freigabe – oder es kommt nicht zustande. Kommt es nicht zustande, löschen wir die Screening-Daten, sobald wir dir die Entscheidung mitgeteilt und die Rückabwicklung abgeschlossen haben. Was das für Zahlung und Erstattung bedeutet, steht in unseren AGB (www.optenas.de/agb).

In der Analyse und im laufenden Coaching

In der Analyse verarbeiten wir deine Angaben zu Alltagsaktivität, Training, Schlaf und Wohlbefinden, dein Ernährungsprotokoll über 7 Tage, die Ergebnisse des Fitnesstests zuhause einschließlich der Körperumfänge an Hals, Taille und Oberschenkel sowie die Kennwerte der Herzfrequenzmessung über 7 Tage. Im laufenden Coaching kommen die Angaben dazu, die du uns in Videoterminen, Nachrichten und Trainingsrückmeldungen machst – zu Gesundheitsverhalten, Training, Ernährung, Lebensstil, Schlaf, Stress und Erholung.

Wir halten dabei nur fest, was wir für die weitere Steuerung deines Coachings brauchen: Schlussfolgerungen und vereinbarte Maßnahmen, nicht den Gesprächsverlauf. Was du uns nebenbei erzählst, aber für das Coaching nicht gebraucht wird, notieren wir nicht.

Was wir bewusst nicht erheben

• keine vollständige Krankengeschichte und keine Diagnosen ohne Bezug zur körperlichen Belastbarkeit
• keine vollständige Medikationsliste, keine Arztberichte, Befunde oder Laborwerte
• keine genetischen Daten, keine Körperfotos
• keine Wortprotokolle, Transkripte oder Aufzeichnungen von Gesprächen
• keine Angaben über andere Personen, etwa Erkrankungen von Angehörigen
• keine weiteren besonderen Kategorien nach Art. 9 DSGVO – etwa zu Religion, Weltanschauung, Sexualleben oder ethnischer Herkunft. Deine Einwilligung erstreckt sich ausschließlich auf Gesundheitsdaten; berührst du im Gespräch andere Themen, dokumentieren wir sie nicht.

Widerruf deiner Einwilligung

Du kannst deine Einwilligung jederzeit und ohne Angabe von Gründen widerrufen, formlos per E-Mail an info@optenas.de. Die Verarbeitung, die bis zum Widerruf stattgefunden hat, bleibt rechtmäßig.

Der Widerruf wirkt sofort: Ab dem Zeitpunkt, an dem er uns erreicht, verarbeiten wir deine Gesundheitsdaten nicht weiter und löschen sie – eine Kündigungsfrist gilt dafür nicht. Eine eng begrenzte Ausnahme gilt für drei Nachweise: deine Antworten im Sicherheits-Screening, einen etwaigen Vermerk über die ärztliche Freigabe und den Nachweis, dass wir dich darauf hingewiesen haben, Belastungen bei Beschwerden abzubrechen. Diese Nachweise sperren wir und bewahren sie drei Jahre ab dem Ende des Jahres auf, in dem du widerrufen hast. Wir verwenden sie ausschließlich, um uns gegen Ansprüche zu verteidigen, die aus einer Belastungsempfehlung entstehen könnten (Art. 9 Abs. 2 lit. f, Art. 17 Abs. 3 lit. e DSGVO), und löschen sie danach. Was der Widerruf für deinen laufenden Vertrag bedeutet: Er endet mit dem Zugang deines Widerrufs, und wir erstatten dir den Anteil der Gebühr, der auf die verbleibenden Tage der bereits bezahlten Periode entfällt. Du musst dafür nichts weiter tun und nicht zusätzlich kündigen. Möchtest du stattdessen bis zum Ende der bezahlten Periode ein allgemeines Coaching ohne Bezug auf deine Analyse fortführen, sag uns einfach Bescheid. Einzelheiten stehen in unseren AGB (www.optenas.de/agb); ein Nachteil entsteht dir durch den Widerruf in keinem Fall.

Zwei Dinge behalten wir auch nach einem Widerruf: den Nachweis, dass und in welcher Fassung du eingewilligt und wann du widerrufen hast (dazu sind wir nach Art. 7 Abs. 1 DSGVO verpflichtet), sowie Rechnungen und Buchungsbelege, für die gesetzliche Aufbewahrungsfristen gelten.

Nicht zu verwechseln: Der Widerruf der Einwilligung nach Art. 7 Abs. 3 DSGVO ist etwas anderes als der Widerruf des Vertrags im Fernabsatz nach § 355 BGB. Zum vertraglichen Widerrufsrecht informiert dich unsere Widerrufsbelehrung (www.optenas.de/widerrufsbelehrung).

Kein medizinischer Dienst

Optenas ist ein Gesundheits-, Sport- und Longevity-Coaching, keine medizinische Leistung. Wir stellen keine Diagnosen, empfehlen keine Therapien und verändern keine Medikation. Unsere Analyse ersetzt keine ärztliche Untersuchung. Bestehende ärztliche Diagnosen nehmen wir ausschließlich als Rahmenbedingung für die Gestaltung deiner Belastung entgegen.

Das hat auch datenschutzrechtliche Folgen, die du kennen solltest: Weil wir kein Heilberuf sind, unterliegen wir keiner ärztlichen Schweigepflicht. Wir dürfen deine Gesundheitsdaten deshalb nur auf Grundlage deiner ausdrücklichen Einwilligung verarbeiten – nicht auf Grundlage der Ausnahme für Gesundheitsberufe. Zur Vertraulichkeit sind wir dir gegenüber vertraglich verpflichtet. Auf deine Gesundheitsdaten greift nur dein Coach zu; darüber hinaus haben ausschließlich die unter Ziffer 7 genannten Dienstleister im Rahmen ihrer jeweiligen Leistung Zugang, gebunden durch Verträge nach Art. 28 DSGVO (siehe Ziffer 9).

Wenn Werte auffällig sind

Zwei Situationen können auftreten, in denen wir dich an eine Ärztin oder einen Arzt verweisen:

• Das Sicherheits-Screening ergibt Hinweise auf eine Vorerkrankung oder Medikation, die gegen eine Belastung sprechen kann.
• Die Herzfrequenzmessung zeigt Auffälligkeiten, etwa Hinweise auf einen unregelmäßigen Herzrhythmus.

In beiden Fällen gilt: Wir sagen dir, was wir gesehen haben, und empfehlen dir eine ärztliche Abklärung. Wir stellen daraus keine Diagnose – ein auffälliger Wert ist kein Befund. Bis zur Abklärung setzen wir Trainings- und Belastungsempfehlungen aus; die übrigen Bereiche deines Coachings laufen normal weiter. Die Empfehlung und ihren Anlass halten wir kurz in deiner Kundenakte fest.

4. Herzfrequenzmessung über Firstbeat

Die Herzfrequenzmessung führen wir nicht selbst durch, sondern über den Dienst Firstbeat Life der Firstbeat Technologies Oy, Finnland. Wichtig für dich:

• Firstbeat ist für die dort gespeicherten Daten datenschutzrechtlich eigenständig verantwortlich. Es gilt die Datenschutzerklärung von Firstbeat (zu finden unter: https://www.firstbeat.com/en/privacy/privacy-policy-firstbeat-life/, zuletzt aufgerufen am 21.09.2026), nicht diese Information. Wir sind dort nur „Kunde“, du bist die gemessene Person.
• Du richtest dein Konto selbst ein und vergibst dein Passwort selbst. Wir kennen deine Zugangsdaten nicht und haben keinen Zugriff auf dein Konto.
• Wir empfehlen dir, den Dienst pseudonym zu nutzen: Du hinterlegst dort statt deines Namens die von uns vergebene Benutzer-ID. Eine E-Mail-Adresse wird immer benötigt. Bei der Einrichtung unterstützen wir dich.
• Damit die Messung starten kann, übermitteln wir Firstbeat eine Einladung mit deiner Benutzer-ID beziehungsweise deinem Namen und deiner E-Mail-Adresse.
• Deine Messergebnisse erhalten wir nur, wenn du dem in der Firstbeat-App gesondert zustimmst. Diese Zustimmung erteilst du gegenüber Firstbeat und kannst sie dort jederzeit zurücknehmen. Ohne sie sehen wir lediglich, dass dein Zugang aktiv ist, und können die Herzfrequenzauswertung nicht in deine Analyse einbeziehen.
• Firstbeat erhebt in der App unter Umständen mehr, als in deine Analyse einfließt – etwa Angaben zu Erkrankungen und Medikamenten, Hinweise auf Auffälligkeiten des Herzrhythmus, Körperdaten und Tagebucheinträge. Was du dort einträgst, entscheidest du. Für unsere Belastungsempfehlungen ist ausschließlich unser eigenes Sicherheits-Screening maßgeblich; wir übernehmen keine bei Firstbeat hinterlegten Angaben.
• Firstbeat nutzt Daten auch für eigene Zwecke, unter anderem für Statistik, Forschung und die Bewerbung eigener Leistungen.
• Löschung: Firstbeat speichert die Daten selbstständig. Wir können sie dort nicht löschen. Ein Löschverlangen richtest du direkt an Firstbeat (support@firstbeat.com); wir unterstützen dich dabei.

Bei uns speichern wir nur die abgeleiteten Kennwerte aus der Messung, keine Rohdaten der Herzschläge.

5. Wie wir mit dir kommunizieren

Wir stufen die Kanäle nach Inhalt ab:

• Gesundheitsinhalte besprechen wir über Ende-zu-Ende-verschlüsselte Messenger (Threema oder Signal) oder im Videotermin.
• WhatsApp nutzen wir nur, wenn du das ausdrücklich wünschst; wir halten diesen Wunsch fest. Wir nutzen dafür ein Arbeitsprofil ohne Abgleich unseres Adressbuchs.
• Per SMS versenden wir ausschließlich Terminlogistik, niemals Gesundheitsinhalte.
• Per E-Mail versenden wir Gesundheitsinhalte nur verschlüsselt oder als passwortgeschützte Datei; das Passwort erhältst du über einen anderen Kanal.

Inhaltlich Relevantes übernehmen wir in deine Kundenakte. Der Nachrichtenverlauf ist kein Archiv: In den Messenger-Chats ist eine automatische Löschfrist aktiv, unverschlüsselte Cloud-Sicherungen der Messenger sind abgeschaltet.

6. Videotermine

Erstgespräche und Coaching-Termine finden per Videokonferenz statt. Aufzeichnung, Transkription und automatische Zusammenfassungen sind in allen von uns eingesetzten Systemen abgeschaltet; die Einstellung dokumentieren wir. Ein Wartebereich ist aktiv, damit niemand unbeabsichtigt in deinen Termin gelangt.

Deinen Analysebericht zeigen wir dir im Termin über eine Bildschirmfreigabe und besprechen ihn mit dir. Die Freigabe erfolgt ausschließlich durch den Coach, ausschließlich dir gegenüber und ohne Aufzeichnung.

7. Wer deine Daten außer uns bekommt

Wir geben deine Daten nicht zum Zweck der Werbung an Dritte weiter und verkaufen sie nicht. Zugang haben nur die folgenden Stellen, und nur soweit es für ihre Leistung erforderlich ist:

• Auftragsverarbeiter, die für uns und nach unseren Weisungen tätig werden. Mit ihnen bestehen Verträge nach Art. 28 DSGVO: der Anbieter unserer Online-Fragebögen der Lifestyle-Analyse (LimeSurvey GmbH, Unterauftragsverarbeiter: Hetzner Online GmbH, Deutschland), der Anbieter unserer Formulare für die Zahlungsabwicklung und Vertragswiderruf/Kündigung (JotForm Inc., EU-Rechenzentrum Frankfurt), der Anbieter für unser Website-Hosting, unser E-Mail-Postfach und unseren Cloud-Speicher (IONOS SE Elgendorfer Str. 57, 56410, Montabaur), der Anbieter für Terminbuchungen und Videokonferenzen (meetergo GmbH, Hauptstrasse 44, 40789 Monheim am Rhein), der Anbieter für die Zahlungsabwicklung (Stripe Payments Europe, Limited, Irland)
• Eigenständig Verantwortliche, die selbst über ihre Verarbeitung entscheiden: Firstbeat Technologies Oy (siehe Ziffer 4), Stripe Payments Europe, Limited, unsere Steuerkanzlei (sofern wir eine beschäftigen) und – im Rahmen gesetzlicher Pflichten – das Finanzamt.
• Kommunikationsdienste, über die Nachrichten laufen: Threema, Signal, auf deinen Wunsch WhatsApp sowie dein bzw. unser Mobilfunkanbieter bei SMS. Inhalte sind bei den Messengern Ende-zu-Ende-verschlüsselt.

Für die Auswertung deiner Angaben setzen wir keine Cloud-Dienste mit künstlicher Intelligenz ein (siehe Ziffer 11). Eine aktuelle Übersicht unserer Dienstleister stellen wir dir auf Anfrage zur Verfügung.

8. Übermittlung in Länder außerhalb der EU

Wir wählen bevorzugt Anbieter mit Sitz und Serverstandort in der EU. Wo das nicht vollständig möglich ist, gilt:

• Jotform hat eine US-Muttergesellschaft; unsere Formulare bei Jotform laufen über das EU-Rechenzentrum in Frankfurt. Ein Zugriff aus den USA ist nicht ausgeschlossen und über einen Vertrag abgesichert. Es werden jedoch keine Gesundheitsdaten über diese Formulare verarbeitet.
• Stripe: unser Vertragspartner sitzt in Irland. Für die Zahlungsabwicklung werden deine Zahlungsdaten womöglich auch an Stripe-Gesellschaften außerhalb der EU übermittelt. Die Stripe, LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Gesundheitsdaten geben wir nicht an Stripe weiter.
• Threema hat seinen Sitz in der Schweiz. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission.
• Signal und WhatsApp sind US-nahe Anbieter. Die Inhalte deiner Nachrichten sind Ende-zu-Ende-verschlüsselt; Verbindungsdaten können außerhalb der EU verarbeitet werden.
• Firstbeat sitzt in Finnland und übermittelt nach eigenen Angaben grundsätzlich nicht außerhalb der EU bzw. des EWR; im technisch erforderlichen Einzelfall behält Firstbeat sich das vor.

Grundlage solcher Übermittlungen sind ein Angemessenheitsbeschluss der EU-Kommission oder Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Eine Kopie der jeweiligen Garantien kannst du bei uns anfordern.

9. Wie wir deine Daten schützen

Deine Gesundheitsdaten sind die sensibelsten Daten, die du uns anvertraust. Wir schützen sie durch technische und organisatorische Maßnahmen. Die wichtigsten davon:

Trennung von Identität und Gesundheitsdaten

Deine Gesundheitsdaten führen wir nicht unter deinem Namen, sondern unter einer Benutzer-ID, die wir dir zuweisen. Die Tabelle, die diese ID deinem Namen zuordnet, speichern wir getrennt von den Gesundheitsdaten und zusätzlich verschlüsselt. Wer die Gesundheitsdaten ohne diese Tabelle sieht, kann sie dir nicht zuordnen.

Der Anbieter unserer Online-Fragebögen sitzt in Deutschland und speichert ausschließlich auf deutschen Servern. Die Fragebögen erheben deine Benutzer-ID statt deines Namens; die Protokollierung von IP-Adresse und Referrer ist abgeschaltet. Ohne unsere getrennt verwahrte Zuordnungstabelle lassen sich die Antworten dir nicht zuordnen.

Wer Zugriff hat

Auf deine Gesundheitsdaten greift nur zu, wer sie für dein Coaching benötigt: der Coach, der dich betreut. Derzeit ist das die Inhaberin bzw. der Inhaber von Optenas persönlich.

Sollten künftig weitere Coaches für Optenas tätig sein, bleibt es dabei: Zugriff auf deine Akte erhält ausschließlich der dir zugewiesene Coach. Coaches, die andere Kundinnen und Kunden betreuen, haben keinen Zugriff auf deine Unterlagen. Wechselt deine Betreuung (bei Vertretung während Urlaub oder Krankheit oder bei einem dauerhaften Wechsel), erhält die übernehmende Person Zugriff auf deine bisherigen Unterlagen, damit dein Coaching ohne Bruch fortgeführt werden kann; wir informieren dich über einen Wechsel. Unabhängig davon kann die Inhaberin bzw. der Inhaber von Optenas zugreifen, soweit das für Verwaltung, Abrechnung oder den technischen Betrieb erforderlich ist.

Alle für Optenas tätigen Personen werden vor Aufnahme ihrer Tätigkeit schriftlich zur Vertraulichkeit verpflichtet; diese Pflicht besteht auch nach Ende der Tätigkeit bei Optenas fort.

Speicherort und Verträge

Wir speichern deine Daten bei uns und bei unseren Auftragsverarbeitern auf Servern in Deutschland bzw. in der EU. Mit jedem Auftragsverarbeiter besteht ein Vertrag nach Art. 28 DSGVO, der die Verarbeitung auf unsere Weisungen begrenzt und Vertraulichkeit und Sicherheit verpflichtend macht. Wo Daten die EU verlassen können, findest du das offen benannt unter Ziffer 8.

Übertragung und Berichte

Übertragungen erfolgen verschlüsselt, soweit der jeweilige Kanal es zulässt; welche Inhalte wir über welchen Kanal senden, steht in Ziffer 5. Deinen Analysebericht erhältst du als passwortgeschützte Datei; das Passwort senden wir dir über einen anderen Kanal als die Datei selbst, damit ein kompromittiertes E-Mail-Postfach allein nicht genügt, um den Bericht zu öffnen.

Wenn doch etwas passiert

Für den Fall einer Datenschutzverletzung haben wir ein festes Vorgehen: Wir dokumentieren jeden Vorfall, melden ihn – wo gesetzlich vorgeschrieben – innerhalb von 72 Stunden dem Bayerischen Landesamt für Datenschutzaufsicht (Art. 33 DSGVO) und informieren dich unverzüglich und direkt, wenn für dich ein hohes Risiko besteht (Art. 34 DSGVO).

10. Wie lange wir deine Daten speichern

Die konkreten Fristen findest du in der Übersicht unter Ziffer 2. Der Grundsatz: Deine Gesundheitsdaten löschen wir, sobald du deine Einwilligung widerrufst, spätestens 3 Jahre nach Ende deines Vertrags – diese Frist orientiert sich an der regelmäßigen Verjährung nach § 195 BGB. Rechnungen und Buchungsbelege müssen wir länger aufbewahren; das schreibt das Steuer- und Handelsrecht vor.

Löschen wir Daten im laufenden System, bleiben sie unter Umständen noch kurze Zeit in verschlüsselten Sicherungskopien enthalten. Diese Kopien laufen mit dem Sicherungszyklus aus; gelöschte Datensätze stellen wir daraus nicht wieder her.

11. Automatisierte Entscheidungen, Profiling und Einsatz von KI

Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO – also eine Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung, die allein ein System trifft – findet nicht statt.

Ein Teil deiner Messwerte wird algorithmisch ausgewertet: Firstbeat berechnet aus deiner Herzfrequenz die Kennwerte zu Stress, Erholung, Herzratenvariabilität und Schlaf. Die Bewertung dieser Werte und alle Empfehlungen an dich stammen jedoch von einem Menschen, nicht von einem System.

Für die Strukturierung freier Texte – etwa deines Ernährungsprotokolls – kann ein Sprachmodell zum Einsatz kommen, das ausschließlich lokal auf unserem eigenen, verschlüsselten Gerät läuft. Deine Daten verlassen dabei das Gerät nicht, es findet keine Übermittlung an einen KI-Anbieter statt und deine Daten werden nicht zum Training von Modellen verwendet. Nährwerte und andere Zahlen berechnen wir nicht mit dem Sprachmodell, sondern über eine Nährwertdatenbank.

12. Musst du uns diese Daten geben?

Eine gesetzliche Pflicht dazu gibt es nicht. Für den Vertrag sind die Angaben aber erforderlich: Ohne das Sicherheits-Screening und die Analysedaten können wir weder eine sichere Belastungsempfehlung geben noch die vereinbarte Leistung erbringen. Erteilst du die Einwilligung nicht oder widerrufst du sie, können wir das Coaching in dieser Form nicht durchführen; die Folgen für den Vertrag regeln die AGB (www.optenas.de/agb).

Anders die freiwilligen Einwilligungen zu anonymisierten Fallstudien und zu Informationen per E-Mail: Sie sind wirklich freiwillig. Wenn du sie nicht erteilst oder später widerrufst, entstehen dir keine Nachteile; dein Coaching findet in vollem Umfang und unverändert statt.

13. Deine Rechte

Du hast uns gegenüber die folgenden Rechte. Eine Begründung brauchst du dafür nicht, und es entstehen dir keine Kosten.

• Auskunft (Art. 15): Du kannst erfahren, welche Daten wir über dich verarbeiten, und eine Kopie davon verlangen.
• Berichtigung (Art. 16): Unrichtige Angaben korrigieren wir, unvollständige ergänzen wir.
• Löschung (Art. 17): Du kannst die Löschung verlangen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Einschränkung (Art. 18): Du kannst verlangen, dass wir Daten vorerst nur noch speichern und nicht weiter verwenden – etwa während wir eine Berichtigung prüfen.
• Datenübertragbarkeit (Art. 20): Die Daten, die du uns gegeben hast, stellen wir dir in einem gängigen, maschinenlesbaren Format zur Verfügung oder übermitteln sie auf Wunsch direkt an eine andere Stelle.
• Widerspruch (Art. 21): Soweit wir uns auf ein berechtigtes Interesse stützen – bei uns betrifft das die Datensicherung und die Verbindungsdaten –, kannst du aus Gründen deiner besonderen Situation widersprechen.
• Widerruf (Art. 7 Abs. 3): Jede Einwilligung kannst du jederzeit einzeln widerrufen, ohne dass die bis dahin erfolgte Verarbeitung dadurch unrechtmäßig wird.

Melde dich dafür formlos unter info@optenas.de. Wir antworten innerhalb eines Monats. Ist eine Anfrage besonders umfangreich, dürfen wir diese Frist um bis zu zwei Monate verlängern – wir sagen dir dann innerhalb des ersten Monats Bescheid. Um sicherzugehen, dass niemand anderes Auskunft über dich erhält, prüfen wir vorher, dass die Anfrage wirklich von dir kommt; in der Regel genügt uns dafür die bei uns hinterlegte E-Mail-Adresse.

Für Daten, die bei Firstbeat gespeichert sind, kannst du diese Rechte nur gegenüber Firstbeat geltend machen (siehe Ziffer 4).

14. Beschwerde bei der Aufsichtsbehörde

Wenn du der Ansicht bist, dass wir deine Daten nicht rechtmäßig verarbeiten, kannst du dich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO) – bei der für uns zuständigen oder bei der Behörde an deinem Wohnort oder Arbeitsplatz. Für uns zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de

Uns ist es lieber, du sprichst uns vorher an – aber dieses Recht steht dir unabhängig davon zu.

15. Änderungen dieser Information

Wir passen diese Information an, wenn sich unsere Abläufe, unsere Dienstleister oder die rechtlichen Vorgaben ändern. Es gilt jeweils die Fassung, die bei Erteilung deiner Einwilligung aktuell war; die Fassung erkennst du an Datum und Versionsnummer am Anfang dieses Dokuments. Bei wesentlichen Änderungen informieren wir dich aktiv.