Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Gian Carlo Lewandowsky
Mittelweg 149
20148 Hamburg, Deutschland
Telefon: +49 151 17871915
E-Mail (auch für Datenschutzanfragen und Betroffenenrechte): carlo.lewandowsky@gmail.com
Betrieb der Marke Arytos. Ein Datenschutzbeauftragter ist derzeit nicht benannt. Die Benennungspflicht nach Art. 37 Abs. 1 lit. c DSGVO wird laufend geprüft und bei Erreichen der Voraussetzungen erfüllt.
Diese Erklärung gilt für folgende Angebote:
app.arytos.com (Training, Ernährung, Tracking, Fortschritt, TRT-Bereich, Darm-Modul, Vorsorge, Journal, Nachrichten, Fotos, Blutwerte),Für andere Angebote (z. B. testomangel.com oder Angebote Dritter) gelten deren eigene Datenschutzerklärungen.
Ein erheblicher Teil der Daten sind Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO. Diese sind unten mit (Art. 9) gekennzeichnet.
| Kategorie | Inhalte (Beispiele) | Herkunft |
|---|---|---|
| Stammdaten | Anrede, Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Anschrift (bei Abo-Buchung) | von dir |
| Zugangsdaten | E-Mail-Adresse für den passwortlosen Login (Einmal-Code bzw. Login-Link) | von dir |
| Onboarding-Angaben (Art. 9) | Anliegen, Beschwerden, Vorerkrankungen, Medikamente und Präparate, Schlaf, Stress, Verdauung, Trainings- und Ernährungshistorie | von dir |
| Angaben zur Hormontherapie (Art. 9) | Selbstauskunft zu bestehender ärztlich verordneter Therapie: Wirkstoff, Applikationsform, verordnete Dosis und Frequenz, Begleitmedikation, ärztliche Begleitung, Symptome, Nebenwirkungen, Kinderwunsch | von dir |
| Blutwerte (Art. 9) | Laborwerte und deren Verlauf; hochgeladene Laborbefunde als Datei | von dir |
| Befinden (Art. 9) | Energie, Fokus, Libido, Stimmung, Schlaf (Skalenwerte), Freitext-Notizen, optionale Sprachnachrichten | von dir |
| Injektions- und Protokolldaten (Art. 9) | Injektionsprotokoll, Einstichstellen, Erinnerungszeiten, Vorratsstand, Blutdruckwerte, Fragen an die behandelnde Praxis | von dir |
| Darm- und Verdauungsdaten (Art. 9) | Symptomtagebuch, Stuhlgang, Trigger- und Eliminationsprotokoll | von dir |
| Körper- und Trainingsdaten | Gewicht (inkl. optionaler Tagesnotiz), Maße, Trainingspläne, geloggte Sätze, Gewichte und Wiederholungen, Einheiten und Bewertungen, Cardio | von dir |
| Ernährungsdaten | Mahlzeiten, Lebensmittel, Mengen, Kalorien und Makronährstoffe, Gewohnheiten | von dir |
| Wearable- und Vitaldaten (Art. 9) | nur bei freiwilliger Verbindung: Schritte, Schlaf, Herzfrequenz und Ruhepuls, Herzfrequenzvariabilität, Recovery, Belastung, Kalorien | WHOOP bzw. Apple Health (per Kurzbefehl) |
| Fotos (Art. 9, soweit körperbezogen) | Check-in- und Fortschrittsbilder, Fotos von Mahlzeiten | von dir |
| Kommunikation | Nachrichten zwischen dir und deinem Coach, Anfragen an den in der App integrierten KI-Assistenten | von dir |
| Zahlungsdaten | bei Abo-Buchung: Name, E-Mail, Rechnungsanschrift, Zahlungsart, Zahlungsstatus, Abo-Laufzeit. Kartendaten und Bankverbindung erheben wir nicht und sehen wir nicht; sie werden ausschließlich von unserem Zahlungsdienstleister verarbeitet. | von dir über Stripe |
| Nutzungs- und Zugriffsdaten | IP-Adresse, Datum und Uhrzeit, aufgerufene Inhalte, Statuscode, Browsertyp und Betriebssystem | automatisch beim Aufruf |
| Erinnerungen | Push-Kennung (Geräte-Token), gewählte Erinnerungszeiten | bei Aktivierung |
Die Bereitstellung ist weder gesetzlich noch vertraglich vorgeschrieben, du bist zu nichts verpflichtet. Sie ist aber für die jeweilige Leistung erforderlich:
| Zweck | Rechtsgrundlage |
|---|---|
| Durchführung des Coaching- bzw. Abo-Vertrags (Betreuung, Plan-Erstellung, Auswertung, Kommunikation, Bereitstellung der App) | Art. 6 Abs. 1 lit. b DSGVO |
| Verarbeitung deiner Gesundheitsdaten (Onboarding, Blutwerte, Befinden, Therapie- und Darm-Protokolle, Wearable-Daten, Fotos) | Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO |
| KI-gestützte Auswertung und Entwurfserstellung (siehe Ziffer 5) | Art. 9 Abs. 2 lit. a und Art. 6 Abs. 1 lit. a DSGVO — gesonderte ausdrückliche Einwilligung |
| Verbindung von Wearables (WHOOP, Apple Health) | Art. 9 Abs. 2 lit. a und Art. 6 Abs. 1 lit. a DSGVO — Einwilligung durch die Verbindung |
| Push-Erinnerungen | Art. 6 Abs. 1 lit. a DSGVO — Einwilligung durch Aktivierung |
| Abwicklung der Zahlung und Abo-Verwaltung | Art. 6 Abs. 1 lit. b DSGVO |
| Newsletter-Versand (nur bei Anmeldung) | Art. 6 Abs. 1 lit. a DSGVO — jederzeit abbestellbar |
| Bereitstellung, Stabilität und Sicherheit der Anwendung (Server-Logs, Abwehr von Missbrauch) | Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse: die technische Verfügbarkeit des Dienstes sicherzustellen und Angriffe sowie missbräuchliche Zugriffe auf Gesundheitsdaten zu erkennen und abzuwehren. |
| Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen | Art. 6 Abs. 1 lit. f und Art. 9 Abs. 2 lit. f DSGVO |
| Erfüllung steuer- und handelsrechtlicher Pflichten | Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 147 AO, 14b UStG, 257 HGB |
Die Einwilligung in die Verarbeitung deiner Gesundheitsdaten erteilst du ausdrücklich durch eine gesonderte, nicht vorangekreuzte Bestätigung im Onboarding sowie durch die freiwillige Eingabe dieser Daten in der App.
Die Einwilligungen sind getrennt und werden nicht gebündelt: Die Verarbeitung deiner Gesundheitsdaten zur Vertragserfüllung, die KI-Funktionen, der Newsletter und eine etwaige Veröffentlichung von Erfolgsgeschichten sind jeweils eigenständige Entscheidungen. Newsletter, KI-Funktionen und Veröffentlichungen sind keine Bedingung für die Nutzung des Angebots.
Du kannst jede Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, formlos per E-Mail an die oben genannte Adresse. Der Widerruf ist so einfach wie die Erteilung. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Nach dem Widerruf kann das Coaching gegebenenfalls nicht mehr sinnvoll fortgeführt werden.
Die App nutzt für einzelne Funktionen ein Sprachmodell des Anbieters Anthropic, PBC (San Francisco, USA). Dabei werden Daten an Anthropic übermittelt und dort ausschließlich zur Beantwortung der jeweiligen Anfrage in unserem Auftrag verarbeitet. Betroffen sind folgende Funktionen:
| Funktion | Was übermittelt wird |
|---|---|
| Auswertung von Laborbefunden | der von dir hochgeladene Befund als Datei oder Bild, um die Werte auszulesen. Der Befund wird so übermittelt, wie du ihn hochlädst — er kann daher deinen Namen, dein Geburtsdatum und die untersuchende Einrichtung enthalten. |
| Coaching-Auswertung für deinen Coach | Verlaufsdaten zu Befinden, Blutwerten, Gewicht, Training, Einheiten, Check-ins und, sofern verbunden, Wearable-Werten |
| Entwürfe für Trainings- und Ernährungspläne | Trainingsziele, Trainingstage, Schwerpunkte, Körpergewicht, Ernährungsvorgaben, aktuelle Erholungswerte |
| Schätzung von Nährwerten aus Foto oder Text | das von dir aufgenommene Bild bzw. deine Beschreibung der Mahlzeit |
| Auswertung von Journal-Einträgen | der von dir verfasste Text |
| Integrierter Wissens-Assistent | deine Frage sowie passende Auszüge aus unserer Wissensbasis |
Anthropic verarbeitet die Daten als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO und verwendet die über die Programmierschnittstelle übermittelten Inhalte nicht zum Training seiner Modelle. Ein- und Ausgaben werden nach Angaben des Anbieters regelmäßig innerhalb von 30 Tagen gelöscht; wird ein Inhalt automatisiert als möglicher Verstoß gegen die Nutzungsrichtlinien markiert, kann die Aufbewahrung länger sein. Zur Übermittlung in die USA siehe Ziffer 7.
Keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO: Es findet keine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung statt. Alle KI-Ausgaben sind Entwürfe und Hinweise. Die inhaltliche Bewertung und jede Entscheidung im Coaching trifft ein Mensch, der die Ausgabe prüfen, ändern und verwerfen kann.
Wir setzen sorgfältig ausgewählte Dienstleister ein. Mit den Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Einzelne Empfänger sind datenschutzrechtlich eigenständig verantwortlich; das ist in der Tabelle gekennzeichnet.
| Empfänger | Aufgabe | Rolle | Ort |
|---|---|---|---|
| Supabase, Inc. | Datenbank, Datei-Speicher und Anmeldung — zentrale Speicherung aller Coaching- und Gesundheitsdaten | Auftragsverarbeiter | Rechenzentrum in der Europäischen Union; Unternehmenssitz USA |
| Netlify, Inc. | Hosting und Auslieferung der Anwendung; Betrieb der Server-Funktionen, über die auch Gesundheitsdaten geleitet werden | Auftragsverarbeiter | USA |
| Anthropic, PBC | Sprachmodell für die in Ziffer 5 genannten Funktionen | Auftragsverarbeiter | USA |
| Stripe Payments Europe, Ltd. (Dublin) und Stripe, Inc. (USA) | Abwicklung der Zahlungen und Verwaltung des Abonnements. Kartendaten werden ausschließlich dort verarbeitet, wir erhalten sie nicht. | Eigenständig verantwortlich für Betrugsprävention, Geldwäscheprävention und eigene Analysezwecke; im Übrigen Auftragsverarbeiter | Irland / USA |
| MailerLite (MailerLite Limited, Dublin) | nur bei Anmeldung: Versand des Newsletters | Auftragsverarbeiter | EU |
| WHOOP, Inc. | nur bei freiwilliger Verbindung: Abruf deiner Wearable-Daten | eigenständig verantwortlich für die eigene Plattform | USA |
| Apple | Zustellung von Push-Erinnerungen. Gesundheitsdaten aus Apple Health werden nur übertragen, wenn du selbst einen Kurzbefehl einrichtest | eigenständig verantwortlich | USA |
| Google Ireland Limited (YouTube) | nur wenn du ein Übungsvideo startest: Auslieferung des Videos, siehe Ziffer 13 | eigenständig verantwortlich | Irland / USA |
| Open Food Facts | Abruf von Produktdaten beim Barcode-Scan. Übermittelt wird ausschließlich die Barcode-Nummer, keine personenbezogenen Daten | — | EU / weltweit |
| Steuerberatung | Buchführung und steuerliche Pflichten; erhält Rechnungsdaten, keine Gesundheitsdaten | eigenständig verantwortlich (Berufsträger) | Deutschland |
Eine Weitergabe an sonstige Dritte erfolgt nicht, es sei denn, wir sind gesetzlich dazu verpflichtet. Coaches, die für uns tätig sind, unterliegen einer Vertraulichkeitsverpflichtung und sehen nur die Daten der ihnen zugeordneten Kundinnen und Kunden.
Deine Coaching- und Gesundheitsdaten werden in einem Rechenzentrum innerhalb der Europäischen Union gespeichert. Eine Übermittlung in die USA findet bei den in Ziffer 6 genannten US-Anbietern statt.
| Anbieter | Grundlage der Übermittlung |
|---|---|
| Anthropic, PBC | Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss 2021/914), Module 2 und 3 |
| Netlify, Inc. | Standardvertragsklauseln; der Anbieter ist zusätzlich unter dem EU-US Data Privacy Framework zertifiziert |
| Supabase, Inc. | Standardvertragsklauseln; Speicherung selbst erfolgt in der EU |
| Stripe, Inc. | Standardvertragsklauseln; der Anbieter ist zusätzlich unter dem EU-US Data Privacy Framework zertifiziert |
Wir stützen jede Übermittlung auf die Standardvertragsklauseln als eigenständige Grundlage, unabhängig davon, ob ein Anbieter zusätzlich unter dem EU-US Data Privacy Framework zertifiziert ist. Ergänzend bestehen Schutzmaßnahmen wie Verschlüsselung bei Übertragung und Speicherung. Eine Kopie der Standardvertragsklauseln stellen wir dir auf Anfrage zur Verfügung (Art. 13 Abs. 1 lit. f, Art. 46 Abs. 1 DSGVO).
Trotz dieser Maßnahmen kann bei Übermittlungen in die USA nicht vollständig ausgeschlossen werden, dass dortige Behörden auf Daten zugreifen und dass die europäischen Rechtsschutzmöglichkeiten hinter dem EU-Niveau zurückbleiben. Mit deiner Einwilligung in die KI-gestützte Verarbeitung willigst du auch in diese Übermittlung ein (Art. 49 Abs. 1 lit. a DSGVO als zusätzliche Absicherung).
| Daten | Dauer |
|---|---|
| Coaching- und Gesundheitsdaten | für die Dauer des Vertragsverhältnisses. Danach Löschung aus den aktiven Systemen, spätestens drei Jahre nach Ende des Jahres, in dem das Vertragsverhältnis endete (Ende der regelmäßigen Verjährungsfrist, §§ 195, 199 Abs. 1 BGB). |
| Reduzierter Nachweisbestand | Vertrag, Aufklärungs- und Einwilligungsnachweise sowie dokumentierte Empfehlungen werden getrennt und zugriffsbeschränkt aufbewahrt, solange Haftungsansprüche geltend gemacht werden können. Blutwerte, Symptomverläufe, Chatverläufe und KI-Auswertungen gehören nicht zu diesem Bestand. |
| Hochgeladene Dateien (Laborbefunde, Fotos, Sprachnachrichten) | wie vorstehend; auf Wunsch jederzeit vorzeitig löschbar |
| Nach Widerruf der Einwilligung | unverzügliche Löschung, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht |
| Rechnungen und Buchungsbelege | acht Jahre ab Ende des Ausstellungsjahres (§ 14b Abs. 1 UStG, § 147 Abs. 3 AO in der seit 2025 geltenden Fassung) |
| Handels- und Geschäftsbriefe | sechs Jahre |
| Server-Logs | in der Regel wenige Tage, längstens 30 Tage |
| Anfragen an die KI-Funktionen | Löschung beim Anbieter regelmäßig innerhalb von 30 Tagen, siehe Ziffer 5 |
| Newsletter-Daten | bis zur Abmeldung |
Bestehen gesetzliche Aufbewahrungspflichten, werden die betroffenen Daten aus den aktiven Systemen entfernt und ausschließlich zur Erfüllung dieser Pflichten archiviert; die Verarbeitung wird dann nach Art. 18 DSGVO eingeschränkt. Die Aufbewahrungspflicht erfasst nur die steuerlich relevanten Unterlagen, nicht deinen Gesundheitsdatensatz.
Du hast jederzeit das Recht auf:
Wende dich dafür formlos an carlo.lewandowsky@gmail.com. Wir antworten unverzüglich, spätestens innerhalb eines Monats. Ist eine Verlängerung um bis zu zwei weitere Monate erforderlich, teilen wir dir das innerhalb des ersten Monats mit (Art. 12 Abs. 3 DSGVO). Die Bearbeitung ist unentgeltlich.
Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung deiner personenbezogenen Daten Widerspruch einzulegen, die auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) erfolgt. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Richtet sich die Verarbeitung auf Direktwerbung, kannst du jederzeit ohne Angabe von Gründen widersprechen; die Daten werden dann nicht mehr für diesen Zweck verarbeitet (Art. 21 Abs. 2, 3 DSGVO).
Unabhängig davon steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO). Für uns zuständig ist:
Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Straße 22, 20459 Hamburg
mailbox@datenschutz.hamburg.de
Du kannst dich auch an die Aufsichtsbehörde deines Wohnsitzes oder des Orts des mutmaßlichen Verstoßes wenden.
Kommt es trotz aller Maßnahmen zu einer Verletzung des Schutzes personenbezogener Daten, melden wir dies der Aufsichtsbehörde innerhalb von 72 Stunden (Art. 33 DSGVO) und benachrichtigen dich unverzüglich, wenn ein hohes Risiko für deine Rechte und Freiheiten besteht (Art. 34 DSGVO).
Wenn du Erinnerungen aktivierst, wird eine Geräte-Kennung deines Browsers gespeichert, um Nachrichten zustellen zu können. Die Zustellung erfolgt über den Push-Dienst deines Betriebssystem- bzw. Browser-Anbieters (z. B. Apple oder Google). Du kannst die Erinnerungen jederzeit in der App oder in den Einstellungen deines Geräts deaktivieren; die Kennung wird dann nicht mehr verwendet.
Die Verbindung von WHOOP oder die Einrichtung des Apple-Kurzbefehls für Schritte ist vollständig freiwillig. Du erteilst die Berechtigung selbst und kannst sie jederzeit widerrufen, bei WHOOP über dein WHOOP-Konto, bei Apple durch Löschen des Kurzbefehls. Übertragen werden ausschließlich die in Ziffer 3 genannten Werte.
Zu den Übungen in der Trainingsbibliothek ist jeweils eine kurze Videodemonstration hinterlegt. Diese Videos liegen nicht bei uns, sondern auf YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland).
Die Videos werden nicht automatisch geladen. Erst wenn du bei einer Übung auf „Video“ tippst, wird eine Verbindung zu Servern von Google aufgebaut. Google erhält dabei deine IP-Adresse, technische Angaben zu Gerät und Browser sowie die Information, welches Video aufgerufen wurde. Bist du gleichzeitig in deinem Google-Konto angemeldet, kann Google den Aufruf diesem Konto zuordnen. Welche Übung du dir ansiehst, lässt Rückschlüsse auf dein Training zu; Gesundheitsdaten aus der App werden dabei jedoch nicht übermittelt.
Wir binden die Videos im erweiterten Datenschutzmodus ein (Domain youtube-nocookie.com). Nach Angaben des Anbieters werden in diesem Modus keine Cookies zur Reichweitenmessung gesetzt, solange die Wiedergabe nicht gestartet wurde. Auf die weitere Verarbeitung durch Google haben wir keinen Einfluss; Google ist dafür eigenständig verantwortlich. Einzelheiten stehen in der Datenschutzerklärung von Google. Zur Übermittlung in die USA gilt Ziffer 7 entsprechend.
Rechtsgrundlage ist deine Einwilligung, die du durch das bewusste Starten des Videos erteilst (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du entscheidest selbst: Wenn du kein Video startest, entsteht keine Verbindung zu Google. Die App ist ohne die Videos vollständig nutzbar.
Das Angebot richtet sich ausschließlich an volljährige Personen. Beim Onboarding bestätigst du, mindestens 18 Jahre alt zu sein. Wir verarbeiten wissentlich keine Daten von Minderjährigen.
Die Anwendung setzt keine Marketing- oder Analyse-Cookies und bindet keine Werbenetzwerke ein. Verwendet werden ausschließlich technisch notwendige Speicherinhalte im Browser, die deine Anmeldung aufrechterhalten und Eingaben zwischenspeichern, damit die App auch ohne Internetverbindung nutzbar bleibt. Diese sind nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil sie für den von dir ausdrücklich gewünschten Dienst unbedingt erforderlich sind; der Anmelde-Token wird erst nach deiner Anmeldung gesetzt.
Schriftarten und Programmbibliotheken werden selbst ausgeliefert; ein Abruf von Servern Dritter findet dabei nicht statt.
Ausnahmen, die eine Verbindung zu Dritten auslösen: das Starten eines Übungsvideos (Ziffer 13) und das Aufrufen der Zahlungsseite beim Abschluss eines Abonnements. Die Bausteine des Zahlungsdienstleisters werden ausschließlich im Bezahlvorgang geladen, nicht auf den übrigen Seiten.
Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils veröffentlichte Fassung. Der Stand ist oben angegeben.
Weitere rechtliche Hinweise: Impressum · AGB und Widerruf