Datenschutzerklärung

Stand: 05.05.2026

Wer wir sind

Der Verantwortliche im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer datenschutzrechtlicher Bestimmungen ist:

Alpha 360 Omega GmbH
Schlüterstr. 39, c/o Unicorn Workspaces GmbH
10629 Berlin
Deutschland

+49 30 52006260
datenschutz@a360o.com
a360o.de

Kontaktaufnahme mit dem Datenschutzbeauftragten

Der Datenschutzbeauftragte des Verantwortlichen ist:

DataCo GmbH
Sandstr. 33
80335 München
Deutschland

+49 89 7400 45840
www.dataguard.de

Auf dieser Seite informieren wir Sie über die Verarbeitung Ihrer personenbezogenen Daten auf unserer Webseite.

Wie wir Ihre personenbezogenen Daten erfassen und verwenden, hängt davon ab, wie Sie mit uns interagieren oder welche Dienste Sie nutzen. Wir erheben, verwenden oder teilen Ihre personenbezogenen Daten nur, wenn wir einen legitimen Zweck und eine rechtliche Grundlage dafür haben.

Was verstehen wir unter Rechtsgrundlage?

Einwilligung(Art. 6 Abs. 1 S. 1 lit. a DSGVO) — Sie haben uns Ihre Einwilligung zur Verarbeitung Ihrer personenbezogenen Daten für den spezifischen Zweck gegeben, den wir Ihnen erklärt haben. Sie haben das Recht, Ihre Einwilligung jederzeit zu widerrufen.

Vertrag(Art. 6 Abs. 1 S. 1 lit. b DSGVO) — Wir müssen Ihre Daten verwenden, um einen Vertrag zu erfüllen, den Sie mit uns haben. Alternativ ist es notwendig, Ihre Daten zu verwenden, weil wir Sie darum gebeten haben oder Sie selbst bestimmte Schritte unternommen haben, bevor Sie diesen Vertrag eingegangen sind.

Gesetzliche Verpflichtung(Art. 6 Abs. 1 S. 1 lit. c DSGVO) — Wir müssen Ihre Daten verwenden, um das Gesetz einzuhalten.

Lebenswichtige Interessen(Art. 6 Abs. 1 S. 1 lit. d DSGVO) — Die Verarbeitung Ihrer Daten ist notwendig, um Ihre lebenswichtigen Interessen oder die einer anderen Person zu schützen.

Berechtigte Interessen(Art. 6 Abs. 1 S. 1 lit. f DSGVO) — Die Verarbeitung Ihrer Daten ist erforderlich, um ein berechtigtes Interesse zu unterstützen, das wir oder eine andere Partei haben, nur wenn Ihre eigenen Interessen nicht überwiegen.

Verarbeitung besonderer Kategorien personenbezogener Daten

Im Rahmen unserer Dienstleistung verarbeiten wir Gesundheitsdaten, die zu den besonderen Kategorien personenbezogener Daten gemäß Art. 9 DSGVO gehören. Diese Verarbeitung erfolgt ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO, die Sie im Online-Fragebögen vor dem kostenlosen Vorgespräch über eine separate Einwilligungs-Checkbox erteilen.

Welche Gesundheitsdaten wir verarbeiten:

• Symptom-Profil (allgemein) und aktuelle Beschwerden
• Vor-Diagnostik-Erfahrungen, bestehende Diagnosen und laufende Behandlungen
• Lebensstil-Faktoren (Schlaf, Ernährung, Bewegung, Stress)
• Empfehlungen und Priorisierungen im Rahmen unserer Begleitung
• Im Sales-Call und in der Begleitung erhobene Notizen und Empfehlungen

Zweck:Vorbereitung des kostenlosen Vorgesprächs, Durchführung der Begleitung nach Vertragsschluss, sowie ggf. Vermittlung an passende Gesundheitsdienstleister (siehe Abschnitt „Weitergabe von Daten an externe Gesundheitsdienstleister“).

Datenarchitektur:Ihre Identifikations-Daten (Vorname, Email) werden in einer separaten Datenbank-Tabelle gespeichert als Ihre Gesundheitsdaten, verbunden über eine Pseudonym-ID. Diese Architektur reduziert das Risiko bei einem unwahrscheinlichen Datenleck (Datenschutz durch Technikgestaltung gemäß Art. 25 DSGVO).

Speicherdauer:Bei Vertragsschluss werden Ihre Gesundheitsdaten bis zum Ende der Geschäftsbeziehung gespeichert; danach gelten gesetzliche Aufbewahrungsfristen (z. B. 10 Jahre für abrechnungsrelevante Unterlagen gemäß HGB §257). Wenn kein Vertrag zustande kommt, löschen wir Ihre Gesundheitsdaten 6 Monate nach dem letzten Kontakt, sofern Sie nicht früher die Löschung verlangen.

Widerruf:Sie können Ihre Einwilligung zur Verarbeitung Ihrer Gesundheitsdaten jederzeit mit Wirkung für die Zukunft widerrufen. Senden Sie hierzu eine formlose E-Mail an datenschutz@a360o.com. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Gemeinsame Nutzung von Daten und internationale Übermittlung

Wie in dieser Datenschutzerklärung erläutert, nehmen wir verschiedene Dienstleister in Anspruch, die uns bei der Erbringung unserer Dienstleistungen und der Sicherheit Ihrer Daten helfen. Wenn wir diese Dienstleister in Anspruch nehmen, ist es notwendig, dass wir Ihre personenbezogenen Daten an sie weitergeben.

Mit allen Dienstleistern, an die wir Ihre Daten weitergeben, haben wir Vereinbarungen geschlossen, die sie zum Schutz Ihrer Daten verpflichten.

Wenn Ihre personenbezogenen Daten außerhalb der EU weitergegeben werden, stellen wir sicher, dass Ihre Daten ein gleichwertiges Schutzniveau erhalten, entweder weil das Land, in das Ihre Daten übermittelt werden, einen „angemessenen“ Datenschutzstandard gemäß der Europäischen Kommission hat, oder indem wir eine andere Schutzmaßnahme anwenden, wie z. B. eine erweiterte vertragliche Vereinbarung, die von der Europäischen Kommission angenommenen Standardvertragsklauseln (SCCs), oder die Zertifizierung unter dem EU-US Data Privacy Framework.

Ihre Rechte

Werden personenbezogene Daten von Ihnen verarbeitet, sind Sie Betroffener i.S.d. DSGVO und es stehen Ihnen folgende Rechte gegenüber dem Verantwortlichen zu:

1. Das Recht auf Auskunft (Art. 15 DSGVO)

Sie haben das Recht, von uns eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, haben Sie ein Recht auf Auskunft über diese Daten und auf folgende Informationen: Verarbeitungszwecke, Kategorien der personenbezogenen Daten, Empfänger oder Kategorien von Empfängern, geplante Speicherdauer, das Bestehen der Rechte auf Berichtigung, Löschung, Einschränkung oder Widerspruch, Beschwerderecht bei der zuständigen Aufsichtsbehörde, ggf. Herkunft der Daten, sowie ggf. Bestehen einer automatisierten Entscheidungsfindung.

2. Recht auf Berichtigung (Art. 16 DSGVO)

Sollten Ihre personenbezogenen Daten unrichtig oder unvollständig sein, steht Ihnen das Recht zu, eine unverzügliche Korrektur oder Ergänzung der personenbezogenen Daten anzufordern.

3. Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sofern eine der folgenden Voraussetzungen erfüllt ist, steht Ihnen das Recht zu, eine Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen: Sie bestreiten die Richtigkeit, Sie lehnen eine unrechtmäßige Löschung ab, wir benötigen die Daten nicht mehr aber Sie benötigen sie zur Geltendmachung von Rechtsansprüchen, oder Sie haben Widerspruch gegen die Verarbeitung eingelegt.

4. Recht auf Löschung („Recht auf Vergessenwerden“) (Art. 17 DSGVO)

Sofern einer der folgenden Gründe vorliegt, steht Ihnen das Recht zu, eine unverzügliche Löschung Ihrer personenbezogenen Daten zu verlangen: Die Daten sind für ihren Zweck nicht mehr notwendig, Sie widerrufen Ihre Einwilligung, Sie legen Widerspruch ein, die Daten werden unrechtmäßig verarbeitet, oder die Löschung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich.

5. Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Ihnen steht das Recht zu, Ihre personenbezogenen Daten, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder die Übermittlung an einen anderen Verantwortlichen zu verlangen.

6. Recht auf Widerspruch gegen bestimmte Datenverarbeitung (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung der Sie betreffenden personenbezogenen Daten, die aufgrund von Art. 6 Abs. 1 S. 1 lit. e oder f DSGVO erfolgt, Widerspruch einzulegen. Werden Ihre Daten für Direktwerbung verarbeitet, haben Sie das Recht, jederzeit Widerspruch gegen die Verarbeitung einzulegen.

7. Recht auf Beschwerde bei einer Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Aufsichtsbehörde zu, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt.

Eine Liste der in Deutschland örtlich zuständigen Aufsichtsbehörden können Sie auf der Website der Bundesbeauftragten für Datenschutz unter folgendem Link abrufen: bfdi.bund.de

8. Wie Sie Ihre Rechte ausüben

Senden Sie eine formlose E-Mail an datenschutz@a360o.com. Wir bearbeiten Ihre Anfrage manuell und antworten Ihnen innerhalb von 30 Tagen (DSGVO Art. 12 Abs. 3). In komplexen Fällen kann sich die Frist um zwei Monate verlängern; wir informieren Sie in diesem Fall innerhalb der ersten Monatsfrist.

Bei berechtigten Zweifeln an Ihrer Identität können wir zur Verifizierung weitere Informationen anfordern (DSGVO Art. 12 Abs. 6).

Bereitstellung der Webseite und Erstellung der Logfiles

1. Beschreibung und Umfang der Datenverarbeitung

Bei jedem Aufruf unserer Internetseite erfasst unser System automatisiert Daten und Informationen vom Computersystem des aufrufenden Rechners. Folgende Daten werden hierbei erhoben:

• Informationen über den Browsertyp und die verwendete Version
• Das Betriebssystem des Nutzers
• Datum und Uhrzeit des Zugriffs
• Webseiten, von denen das System des Nutzers auf unsere Internetseite gelangt
• Webseiten, die vom System des Nutzers über unsere Webseite aufgerufen werden

Diese Daten werden in den Logfiles unseres Systems gespeichert. Eine Speicherung dieser Daten zusammen mit anderen personenbezogenen Daten des Nutzers findet nicht statt.

2. Zweck der Datenverarbeitung

Die vorübergehende Speicherung der IP-Adresse durch das System ist notwendig, um eine Auslieferung der Webseite an den Rechner des Nutzers zu ermöglichen. Die Speicherung in Logfiles erfolgt, um die Funktionsfähigkeit der Webseite sicherzustellen. Eine Auswertung der Daten zu Marketingzwecken findet in diesem Zusammenhang nicht statt.

3. Rechtsgrundlage

Rechtsgrundlage für die vorübergehende Speicherung der Daten und der Logfiles ist Art. 6 Abs. 1 S. 1 lit. f DSGVO.

4. Dauer der Speicherung

Die Daten werden gelöscht, sobald sie für die Erreichung des Zweckes ihrer Erhebung nicht mehr erforderlich sind. Im Falle der Speicherung der Daten in Logfiles ist dies nach spätestens sieben Tagen der Fall.

Verwendung von Cookies

1. Beschreibung und Umfang der Datenverarbeitung

Bei Ihrem Besuch unserer Webseite verwenden wir technische Hilfsmittel für verschiedene Funktionen, insbesondere Cookies, die auf Ihrem Endgerät gespeichert werden können. Sie haben bei Aufruf unserer Website die Wahl, ob Sie das Setzen von Cookies generell zulassen oder welche einzelnen zusätzlichen Funktionen Sie auswählen möchten. Änderungen können Sie in Ihren Browsereinstellungen oder über unseren Consent-Manager vornehmen.

Wir setzen technisch notwendige Cookies ein, die für den technischen Aufbau der Webseite erforderlich sind.

Soweit Cookies eingesetzt werden, die technisch nicht notwendig sind, erfolgt dies auf Grundlage Ihrer ausdrücklichen Einwilligung, die Sie über das Cookie-Banner erteilen können. Die Grundlage für die Speicherung und Zugriff auf Informationen ist in diesem Fall § 25 Abs. 1 TDDDG i.V.m. Art. 6 Abs. 1 lit. a) DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen bzw. nachträglich wieder erteilen, indem Sie Ihre Einstellungen zu Cookies entsprechend konfigurieren.

2. Consent-Management

Wir verwenden einen eigenen Consent-Manager, der Ihnen beim ersten Besuch unserer Webseite die Möglichkeit gibt, Ihre Einwilligung für verschiedene Kategorien zu erteilen oder zu verweigern:

• Notwendig— Immer aktiv. Für die Grundfunktion der Webseite erforderlich.
• Funktional / Präferenzen— Für erweiterte Funktionen und Personalisierung.
• Analytik— Zur Analyse der Webseitennutzung und Verbesserung unseres Angebots.
• Marketing— Für personalisierte Werbung und Conversion-Tracking.

Ihre Einwilligungspräferenzen werden lokal in Ihrem Browser gespeichert (localStorage) und können jederzeit über das Cookie-Icon unten links auf der Webseite geändert werden. Es werden keine Einwilligungsdaten an Dritte übermittelt.

3. Rechtsgrundlage

Für die Speicherung von Informationen in der Endeinrichtung des Endnutzers und/oder den Zugriff auf bereits in der Endeinrichtung gespeicherte Informationen sind die Bestimmungen des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) einschlägig. Wenn das Setzen und Auslesen von Cookies technisch erforderlich ist, erfolgt dies um die Funktionalität unserer Webseite zu gewährleisten, auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG.

4. Ausübung Ihrer Rechte

Sie können Ihre Zustimmung zur Verwendung von Cookies jederzeit widerrufen und Ihre Zustimmungspräferenzen verwalten: Die Verwaltung der Cookie-Einstellungen ist über das Cookie-Icon auf der Website unten links zu jeder Zeit möglich.

E-Mail-Kontakt

1. Beschreibung und Umfang der Datenverarbeitung

Auf unserer Internetseite ist eine Kontaktaufnahme über die bereitgestellte E-Mail-Adresse möglich. In diesem Fall werden die mit der E-Mail übermittelten personenbezogenen Daten des Nutzers gespeichert. Die Daten werden ausschließlich für die Verarbeitung der Konversation verwendet.

2. Rechtsgrundlage

Rechtsgrundlage für die Verarbeitung der Daten, die im Zuge der Übersendung einer E-Mail übermittelt werden, ist Art. 6 Abs. 1 lit. f DSGVO. Zielt der E-Mail-Kontakt auf den Abschluss eines Vertrages ab, so ist zusätzliche Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO.

3. Dauer der Speicherung

Die Daten werden gelöscht, sobald sie für die Erreichung des Zweckes ihrer Erhebung nicht mehr erforderlich sind. Für die personenbezogenen Daten, die per E-Mail übersandt wurden, ist dies dann der Fall, wenn die jeweilige Konversation mit dem Nutzer beendet ist.

Nutzung von Unternehmensauftritten in berufsorientierten Netzwerken

1. Umfang der Datenverarbeitung

Der Unternehmensauftritt wird für Bewerbungen, Informationen/PR und Active Sourcing genutzt. Zur Verarbeitung Ihrer personenbezogenen Daten durch die für den Unternehmensauftritt mitverantwortlichen Unternehmen liegen uns keine Angaben vor. Weitere Informationen dazu finden Sie in der Datenschutzerklärung von:

• LinkedIn: linkedin.com/legal/privacy-policy

Hosting

Die Webseite wird auf Servern von Vercel gehostet.

Unser Dienstleister ist:
Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA

Die Serverless Functions unserer Webseite werden in der Region Frankfurt (EU, fra1) ausgeführt. Statische Inhalte werden über ein globales CDN ausgeliefert und können in EU-Regionen gecacht werden.

Vercel ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert. Weitere Informationen: vercel.com/legal/dpa

Die Erfassung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse für die Verarbeitung dieser Daten besteht darin, unsere Webseite fehlerfrei darzustellen und ihre Funktionen zu optimieren.

Datenbank

Für die Speicherung und Verarbeitung von Nutzerdaten verwenden wir Supabase (PostgreSQL-Datenbank).

Unser Dienstleister ist:
Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992

Die Datenbank wird in der Region eu-central-1 (Frankfurt, Deutschland) betrieben. Ihre Daten verlassen die EU nicht.

Folgende Daten werden gespeichert:

Die automatische Löschung erfolgt täglich durch einen automatisierten Bereinigungsprozess. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung für Gesundheitsdaten).

Datenarchitektur:Ihre Identifikations-Daten und Ihre Gesundheitsdaten werden in getrennten Datenbank-Tabellen gespeichert, verbunden über eine Pseudonym-ID. Auf Datenbank-Ebene schützen „Row Level Security“-Regeln den Zugriff auf besonders sensible Tabellen.

Weitere Informationen: supabase.com/legal/dpa

Integrierte Dienste Dritter

Wir nehmen verschiedene Dienstleister in Anspruch, um die von uns auf der Website angebotenen Dienste zu erbringen.

Im Allgemeinen haben wir ein berechtigtes Interesse daran, Ihre Daten mit den entsprechenden Dienstleistern zu teilen, wenn diese Dienste für die Bereitstellung des grundlegenden Dienstes, der auf der Website angeboten wird, unerlässlich sind.

Wenn solche Dienste für zusätzliche Dienste, erweiterte Funktionen oder zusätzliche Zwecke erforderlich sind, werden Ihre personenbezogenen Daten nur dann an Dienstleister weitergegeben, wenn Sie Ihre Zustimmung erteilen.

Hier können Sie jederzeit Ihre Zustimmung zur Nutzung integrierter Dienste Dritter widerrufen und Ihre Zustimmungseinstellungen verwalten: Die Verwaltung der Cookie-Einstellungen ist über das Cookie-Icon auf der Website unten links zu jeder Zeit möglich.

Einsatz von Plausible Analytics

1. Umfang der Verarbeitung personenbezogener Daten

Wir nutzen Plausible Analytics, einen datenschutzfreundlichen Webanalysedienst der Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland.

Plausible setzt keine Cookies und speichert keine personenbezogenen Daten auf Ihrem Endgerät. Es werden keine IP-Adressen gespeichert. Die Daten werden ausschließlich auf Servern in der Europäischen Union (Deutschland) verarbeitet.

Folgende anonymisierte Daten werden erhoben:

• Seitenaufrufe und Interaktionen (Custom Events)
• Referrer-URL
• Browser und Betriebssystem
• Land (ohne genauen Standort)

2. Zweck der Datenverarbeitung

Die Verwendung von Plausible dient der Analyse der Nutzung unserer Webseite, um unser Angebot kontinuierlich zu verbessern.

3. Rechtsgrundlage

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Da Plausible keine personenbezogenen Daten speichert und keine Cookies setzt, ist keine Einwilligung erforderlich.

Weitere Informationen: plausible.io/data-policy

Einsatz von Google Ads

1. Umfang der Verarbeitung personenbezogener Daten

Wir nutzen Google Ads der Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA und dem Vertreter in der Union Google Ireland Ltd., Gordon House, Barrow Street, D04 E5W5, Dublin, Irland. Google setzt dabei ein Cookie auf Ihrem Computer. Es können dadurch personenbezogene Daten gespeichert und ausgewertet werden, vor allem die Aktivität des Nutzers, Geräte- und Browserinformationen sowie Daten über die angezeigten Werbeanzeigen.

2. Zweck der Datenverarbeitung

Wir erhalten nur Kenntnis über die Gesamtanzahl der Nutzer, die auf unsere Anzeige reagiert haben. Es werden keine Informationen weitergegeben, mit denen wir Sie identifizieren könnten.

3. Rechtsgrundlage

Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten der Nutzer ist grundsätzlich die Einwilligung des Nutzers nach Art. 6 Abs. 1 S. 1 lit. a DSGVO.

4. Ausübung Ihrer Rechte

Sie können die Nutzung Ihrer personenbezogenen Daten durch Google deaktivieren: adssettings.google.de

Weitere Informationen: policies.google.com/privacy

Einsatz von Google Analytics 4 (GA 4)

1. Umfang der Verarbeitung personenbezogener Daten

Wir nutzen Google Analytics, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google Analytics setzt Cookies auf Ihrem Endgerät und erfasst Nutzerverhalten in Form von „Ereignissen“:

• Erstbesuch der Webseite, Interaktion mit der Website
• Standort (Region), Ihre IP-Adresse (in gekürzter Form)
• Technische Informationen zu Ihrem Browser und Endgerät
• Referrer-URL

Standardmäßig ist bei GA 4 die IP-Adressanonymisierung aktiviert. Ihre IP-Adresse wird innerhalb der EU gekürzt und nicht vollständig an Google-Server in den USA übertragen.

2. Zweck der Datenverarbeitung

Die Verwendung von GA 4 dient uns, um die Nutzung unserer Onlinepräsenz auszuwerten und Berichte über die Aktivitäten auf unserer Webseite zu generieren.

3. Rechtsgrundlage

Rechtsgrundlage für die Verarbeitung ist die Einwilligung des Nutzers nach Art. 6 Abs. 1 S. 1 lit. a DSGVO.

4. Dauer der Speicherung

Event-Daten werden nach 2 Monaten, User-Daten nach 14 Monaten automatisch gelöscht.

5. Ausübung Ihrer Rechte

Sie können die Erfassung Ihrer personenbezogenen Daten durch Google verhindern, indem Sie die Speicherung von Cookies von Drittanbietern auf Ihrem Computer unterbinden, die „Do Not Track“-Funktion eines unterstützenden Browsers nutzen, oder das Google Analytics Browser-Plugin installieren: tools.google.com/dlpage/gaoptout

Einsatz von Microsoft Clarity

1. Umfang der Verarbeitung personenbezogener Daten

Wir nutzen Microsoft Clarity, einen Session-Recording- und Heatmap-Dienst der Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA, bzw. der Microsoft Ireland Operations Limited, South County Business Park, Leopardstown, Dublin 18, Irland.

Clarity zeichnet anonymisierte Sitzungsdaten auf, um zu verstehen, wie Nutzer mit unserer Webseite interagieren. Dabei können folgende Daten erhoben werden:

• Mausbewegungen, Klicks und Scrollverhalten
• Seitenaufrufe und Verweildauer
• Geräte- und Browserinformationen

Wichtiger Hinweis:Microsoft agiert bei Clarity als eigenständiger Datenverantwortlicher (Controller), nicht als Auftragsverarbeiter (Processor). Das bedeutet, dass Microsoft die erhobenen Daten auch für eigene Zwecke (u.a. Produktverbesserung) verwenden darf. Weitere Informationen finden Sie im Microsoft Privacy Statement.

2. Zweck der Datenverarbeitung

Die Verwendung von Clarity dient der Analyse des Nutzerverhaltens auf unserer Webseite, um Benutzerfreundlichkeit und Inhalte zu verbessern.

3. Rechtsgrundlage

Rechtsgrundlage ist die Einwilligung des Nutzers nach Art. 6 Abs. 1 S. 1 lit. a DSGVO. Clarity wird nur geladen, wenn Sie über unseren Consent-Manager der Kategorie „Analytik“ zugestimmt haben.

4. Ausübung Ihrer Rechte

Sie können Ihre Einwilligung jederzeit über den Consent-Manager auf unserer Webseite widerrufen. Weitere Informationen: clarity.microsoft.com/terms

Einsatz von Google Webfonts

1. Umfang der Verarbeitung personenbezogener Daten

Wir nutzen Google Webfonts (Inter, Plus Jakarta Sans) der Google LLC. Die Webfonts werden beim Aufruf der Seite in den Cache des Browsers übertragen. Daten, die im Zusammenhang mit dem Seitenaufruf übermittelt werden, werden auf ressourcenspezifische Domains wie fonts.googleapis.com oder fonts.gstatic.com gesendet.

2. Zweck der Datenverarbeitung

Der Einsatz von Google Webfonts dient einer ansprechenden Darstellung unserer Texte.

3. Rechtsgrundlage

Rechtsgrundlage ist die Einwilligung des Nutzers nach Art. 6 Abs. 1 S. 1 lit. a DSGVO.

4. Ausübung Ihrer Rechte

Sie können die Erfassung sowie die Verarbeitung Ihrer personenbezogenen Daten durch Google verhindern, indem Sie die Speicherung von Cookies von Drittanbietern auf Ihrem Computer unterbinden. Weitere Informationen: policies.google.com/privacy

Einsatz von Stripe (Zahlungsabwicklung)

Stripe ist ein Zahlungsdienstleister der Stripe Technology Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland.

Aktuell ist Stripe nicht aktiv im Zahlungsfluss— die Zahlung erfolgt manuell per SEPA-Lastschrift oder Überweisung (siehe AGB §6). Wir behalten Stripe als Sub-Processor für eine künftige Umstellung auf eine automatisierte Subscription-Abrechnung in der Datenschutzerklärung; sobald Stripe wieder aktiv im Zahlungsfluss eingesetzt wird, werden Sie rechtzeitig informiert.

Bei aktiver Nutzung würden folgende Daten an Stripe übermittelt:

• E-Mail-Adresse
• Gewählter Leistungsbezug (Subscription-Plan)
• Bestell-Referenz

Zahlungsdaten (Kreditkartennummer o.ä.) würden direkt von Stripe verarbeitet und erreichen unsere Server nicht.

Rechtsgrundlage wäre Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Weitere Informationen: stripe.com/de/privacy

Einsatz von Resend (E-Mail-Versand)

1. Umfang der Verarbeitung personenbezogener Daten

Für den Versand von transaktionalen E-Mails (Bestellbestätigungen, Assessment-Bestätigungen) nutzen wir Resend, einen Dienst der Resend Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA.

E-Mails werden über die Region eu-west-1 (Irland) versendet. Account-Daten und Metadaten werden in den USA gespeichert, abgesichert durch Standard Contractual Clauses (SCCs).

Folgende Daten werden an Resend übermittelt:

• E-Mail-Adresse des Empfängers
• Name
• Inhalt der E-Mail (Bestelldetails, Assessment-Bestätigung)

2. Zweck der Datenverarbeitung

Der Versand transaktionaler E-Mails ist erforderlich für die Vertragserfüllung und die Kommunikation mit unseren Nutzern.

3. Rechtsgrundlage

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Weitere Informationen: resend.com/security/gdpr

Terminbuchung (Google Calendar)

Für die Buchung von Vorgesprächen und Onboarding-Calls nutzen wir Google Calendar Appointment Schedules.

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Bei der Terminbuchung werden folgende Daten an Google übermittelt:

• Vorname und Nachname
• E-Mail-Adresse
• Gewünschter Termin

Google sendet automatisierte Bestätigungs- und Erinnerungs-Emails. Die Daten werden zur Vertragsanbahnung verarbeitet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung). Der Auftragsverarbeitungsvertrag (Google Workspace DPA v8) ist abgeschlossen.

Weitere Informationen: policies.google.com/privacy

Einsatz von Hetzner Storage Box (Off-Prem-Backup)

Wir nutzen Hetzner Storage Box zur Speicherung wöchentlicher verschlüsselter Datenbank-Backups als Schutz vor Datenverlust und Ransomware-Angriffen.

Anbieter: Hetzner Online GmbH, Industriestrasse 25, 91710 Gunzenhausen, Deutschland.

Die Backups werden ausschließlich auf Servern in Deutschland (Region Falkenstein) gespeichert.

Backups sind clientseitig mit AES-256 verschlüsselt — Hetzner hat keinen Zugriff auf den Inhalt. Aufbewahrungsdauer: 90 Tage rolling.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Datensicherheit) i.V.m. Art. 32 (technische Sicherheitsmaßnahmen). Der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist abgeschlossen und umfasst auch die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO.

Weitere Informationen: hetzner.com/legal/privacy-policy

Einsatz von Sentry (Error-Monitoring)

Wir nutzen Sentry zur Erkennung und Behebung technischer Fehler in unserer Webanwendung.

Anbieter: Functional Software, Inc. (Sentry), 132 Hawthorne Street, San Francisco, CA 94107, USA.

Bei Auftreten eines technischen Fehlers werden folgende Daten erfasst:

• Technische Fehler-Informationen (Stack-Trace, Browser, Betriebssystem)
• Anonymisierte URL der aufgerufenen Seite

PII-Filter:Wir setzen einen aktiven Filter ein, der personenbezogene Daten und Gesundheitsdaten aus Fehler-Reports entfernt, bevor sie an Sentry übermittelt werden. Sentry erhält damit keine Klartext-Personenstamm- oder Gesundheitsdaten.

Datenübermittlung in die USA ist abgesichert durch Standard Contractual Clauses (SCCs) sowie EU-US Data Privacy Framework (DPF), sofern Sentry zertifiziert ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer fehlerfreien Webanwendung).

Weitere Informationen: sentry.io/privacy

Weitergabe von Daten an externe Gesundheitsdienstleister

Im Rahmen unserer Dienstleistung können wir Sie an externe Gesundheitsdienstleister (z.B. Heilpraktiker, Fitness-Partner, zukünftig Ärzte) vermitteln. Eine Weitergabe Ihrer Gesundheitsdaten an diese Partner erfolgt ausschließlich mit Ihrer ausdrücklichen Einwilligung.

Vor der Weitergabe werden Sie informiert, welche Daten an welchen Partner übermittelt werden, und können Ihre Einwilligung über eine separate Zustimmung erteilen oder verweigern.

Rechtsgrundlage ist Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung für Gesundheitsdaten).

Einsatz von KI-Tools zur Service-Erbringung

a360o setzt zur Unterstützung interner Prozesse generative KI-Tools ein (z.B. zur Vorbereitung des Vorgesprächs, zur Strukturierung von Informationen, zur Recherche). Dabei werden personenbezogene Daten nicht an externe KI-Dienste weitergegeben.

Wir handeln als Anwender (Deployer) im Sinne der KI-Verordnung der EU (AI Act, Verordnung (EU) 2024/1689). Sollten wir künftig KI-Systeme einsetzen, die direkt mit Nutzern interagieren oder deren Eingaben automatisiert auswerten, informieren wir transparent darüber und holen die nötigen Einwilligungen ein.

Rechtsgrundlage für den internen KI-Einsatz ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienten internen Prozessen).

Datensicherheit

Wir setzen umfangreiche technische und organisatorische Maßnahmen ein, um Ihre personenbezogenen Daten zu schützen:

• Verschlüsselte Datenübertragung (HTTPS/TLS) sowie sichere Inhalts-Sicherheits-Richtlinien (CSP)
• Datenbank-Trennungzwischen Identifikations-Daten und Gesundheitsdaten über eine Pseudonym-Architektur (Datenschutz durch Technikgestaltung gemäß Art. 25 DSGVO)
• Row Level Security (RLS) auf Datenbank-Ebene mit Rollenbasierter Zugriffskontrolle
• Authentifizierungs-Token (HMAC)für jeden API-Datenzugriff
• Mehr-Faktor-Authentifizierung (MFA) auf allen Service-Accounts mit Datenzugang
• Tägliche Datenbank-Sicherungin der Hosting-Region plus zusätzliche wöchentliche verschlüsselte Off-Site-Sicherung in Deutschland (siehe Sub-Processor „Hetzner Storage Box“)
• Filterung personenbezogener Daten in unserem Error-Monitoring (PII-Filter), so dass dort keine Klartext-Personenstamm- oder Gesundheitsdaten anfallen
• Automatische Datenlöschung nach definierten Aufbewahrungsfristen
• Rate Limiting zum Schutz vor Missbrauch
• Regelmäßige Sicherheits-Updates und Dependency-Audits

Datenschutzverletzung:Trotz dieser Maßnahmen ist eine 100-prozentige Sicherheit der Datenübertragung im Internet nicht möglich. Bei Verdacht auf einen Sicherheitsvorfall mit Risiko für Ihre personenbezogenen Daten informieren wir Sie unverzüglich gemäß DSGVO Art. 33 + 34 und melden den Vorfall an die zuständige Aufsichtsbehörde.

Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen in der Datenschutzerklärung umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.

Stand: 05.05.2026