Datenschutzerklärung
Version vom 09.11.2026
1. Verantwortlicher
Dr. med. Golo Röhrken
Lucy-Borchardt-Straße 4
20457 Hamburg
E-Mail: golo.roehrken@gmail.com
2. Kontakt in Datenschutzfragen
Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte schreiben Sie an golo@thehealth-lab.com. Einen Datenschutzbeauftragten haben wir nicht benannt. Ansprechpartner ist Dr. med. Golo Röhrken.
3. Hosting
Die Website wird bei Webflow, Inc., 398 11th Street, San Francisco, CA 94103, USA gehostet. Ihre Inhalte werden über das Content-Delivery-Netzwerk von Webflow ausgeliefert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einem sicheren und schnellen Betrieb der Website. Mit Webflow besteht ein Auftragsverarbeitungsvertrag. Webflow ist nach dem EU-US Data Privacy Framework zertifiziert.
4. Server-Logfiles
Bei jedem Aufruf speichert der Hoster automatisch technische Daten. Dazu gehören IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browser und Betriebssystem. Diese Daten dienen der Sicherheit und der Fehleranalyse (Art. 6 Abs. 1 lit. f DSGVO). Die Speicherdauer legt Webflow fest.
5. Cookies und Einwilligungsverwaltung
Technisch notwendige Cookies setzen wir auf Grundlage von § 25 Abs. 2 TDDDG. Dazu gehört etwa die Speicherung Ihrer Consent-Entscheidung. Alle anderen Cookies und Tracking-Dienste setzen wir nur mit Ihrer Einwilligung ein. Rechtsgrundlage dafür sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO.
Ihre Einwilligung holen wir über unser Cookie-Banner ein. Bis dahin gelten für Google alle Einwilligungssignale als „abgelehnt“ (Google Consent Mode v2). Ihre Auswahl können Sie jederzeit über den Link Cookie-Einstellungen im Footer ändern oder widerrufen.
Herkunftsparameter speichern wir erst nach Ihrer Einwilligung bis zu 90 Tage in einem Cookie und im lokalen Speicher Ihres Browsers, um den Kanal Ihres Besuchs zuzuordnen. UTM-Parameter speichern wir bei Einwilligung in Statistik oder Marketing, die Klick-IDs gclid, gbraid, wbraid und fbclid nur bei Einwilligung in Marketing. Einstiegsseite und verweisende Website merken wir uns mit Einwilligung für die Dauer der Browser-Sitzung.
Öffnen Sie eines unserer Formulare, übergeben wir diese Angaben an Typeform, die Google-Analytics-Client-ID nur bei Einwilligung in Statistik. Ohne Einwilligung übergeben wir nur die aktuelle Seite, die verweisende Website des aktuellen Aufrufs und UTM-Parameter aus dem aktuellen Link. Gespeichert wird dann nichts. Bei einem Widerruf löschen wir die gespeicherten Werte und die Cookies der betroffenen Dienste.
6. Analyse und Marketing (nur mit Einwilligung)
Google Analytics 4. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google wertet Ihre Nutzung der Website aus, etwa Seitenaufrufe, Klicks und die ungefähre Herkunft. Die IP-Adressen werden gekürzt. Eine Übermittlung an Google LLC in die USA ist möglich. Google ist nach dem DPF zertifiziert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Speicherdauer beträgt 14 Monate. Bei Einwilligung in Marketing speichert Google zusätzlich die Klick-ID aus Google-Anzeigen (Cookie _gcl_aw).
Wir senden außerdem ein Ereignis „Athlete-Check abgeschlossen“ serverseitig an GA4. Das geschieht nur, wenn Sie im Athlete-Check eingewilligt haben. Gesundheitsdaten werden dabei nicht übermittelt.
Meta Pixel. Anbieter ist Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland. Wir messen damit die Wirkung unserer Anzeigen auf Facebook und Instagram und bilden Zielgruppen. Eine Übermittlung an Meta Platforms, Inc. in die USA ist möglich. Meta ist nach dem DPF zertifiziert. Für die Erhebung sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO.
Kurzlinks (Short.io). Manche unserer Links laufen über den Kurzlink-Dienst Short.io (go.doc-golo.com, doc-golo.s.gy). Beim Klick erfasst Short.io Klickzahl, ungefähres Land, Gerät und Referrer. Anbieter ist Short.cm Inc., USA. Die Daten liegen in Rechenzentren in der EU (Frankfurt) oder den USA. Die Übermittlung in die USA ist über Standardvertragsklauseln abgesichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
7. Formulare, Newsletter, Termine und Zahlungen
Typeform. Formulare wie die Coaching-Bewerbung und den Athlete-Check stellen wir über Typeform bereit. Anbieter ist TYPEFORM S.L., Carrer Bac de Roda 163, 08018 Barcelona, Spanien. Typeform setzt Unterauftragsverarbeiter in den USA ein, zum Beispiel für das Hosting. Die Übermittlung ist über Standardvertragsklauseln abgesichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für den Athlete-Check siehe Ziffer 8. Im Formular kann Typeform mit Ihrer Einwilligung über ein eigenes Cookie-Banner Google Analytics einsetzen.
Cal.com. Termine buchen Sie über Cal.com. Anbieter ist Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, USA. Cal.com ist nach dem DPF zertifiziert. Verarbeitet werden Name, E-Mail, gewählter Termin und Herkunftsparameter (UTM). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Zoom. Gespräche finden per Zoom statt. Anbieter ist Zoom Communications, Inc., USA. Zoom ist nach dem DPF zertifiziert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Newsletter und Warteliste (ActiveCampaign). Für unseren Newsletter und die Warteliste des Health Lab nutzen wir ActiveCampaign, LLC, USA. ActiveCampaign ist nach dem DPF zertifiziert. Wir nutzen das Double-Opt-in-Verfahren: Nach der Anmeldung erhalten Sie eine E-Mail, in der Sie die Anmeldung bestätigen. Zum Nachweis Ihrer Einwilligung speichern wir Zeitpunkt der Anmeldung und der Bestätigung sowie Ihre IP-Adresse. Wir werten aus, ob Sie unsere E-Mails öffnen und welche Links Sie anklicken, um unsere Inhalte zu verbessern. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können sich jederzeit über den Link am Ende jeder E-Mail abmelden. Wir speichern Ihre Daten, bis Sie sich abmelden.
Zahlungen (Stripe). Zahlungen wickeln wir über Stripe ab. Anbieter ist Stripe Payments Europe, Ltd., One Wilton Park, Wilton Place, Dublin 2, Irland. Stripe verarbeitet Name, E-Mail-Adresse sowie Zahlungs- und Transaktionsdaten. Eine Übermittlung an Stripe, Inc. in die USA ist möglich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Betrugsprävention Art. 6 Abs. 1 lit. f DSGVO.
E-Mail und Google Workspace. Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Unsere E-Mail-Postfächer liegen bei Google (Gmail und Google Workspace). Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Eine Übermittlung an Google LLC in die USA ist möglich. Google ist nach dem DPF zertifiziert.
8. Athlete-Check (Gesundheitsdaten)
Welche Daten? Im Athlete-Check erheben wir Ihren Vornamen, Ihre E-Mail-Adresse, Alter und Geschlecht sowie Angaben zu Ihrem Training und Ihrem Ziel. Hinzu kommen Gesundheitsangaben, zum Beispiel zu Schlaf, Müdigkeit, Stress, Stimmung, Zyklus, Libido, Ernährung, Alkohol, Gewicht und Erkrankungen in Ihrer Familie. Außerdem erfassen wir Herkunftsparameter (UTM, gclid, fbclid, Referrer, Landingpage, nach Einwilligung die Google-Analytics-Client-ID).
Rechtsgrundlage. Gesundheitsdaten verarbeiten wir nur mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Diese erteilen Sie vor dem Start mit einer Pflicht-Checkbox. Die übrigen Daten verarbeiten wir nach Art. 6 Abs. 1 lit. a und b DSGVO. Ohne Einwilligung ist keine Teilnahme möglich, weil die Auswertung Ihrer Gesundheitsangaben der eigentliche Zweck des Checks ist.
Automatisierte Auswertung. Ihre Antworten werden automatisiert ausgewertet. Ein Algorithmus berechnet einen Punktwert und ordnet Sie einem Athletentyp zu. Daraus erstellt ein KI-Dienst (OpenAI) einen persönlichen Bericht. Ihr Name wird dabei nicht übermittelt. Den Bericht erhalten Sie als PDF per E-Mail. Mit dem Ergebnis legen wir auch fest, welche Informationen und Angebote wir Ihnen anschließend schicken (Segment). Dafür nutzen wir nur Angaben ohne Gesundheitsbezug, etwa Athletentyp, Trainingsumfang und Ziel. Das ist Profiling im Sinne von Art. 4 Nr. 4 DSGVO. Es führt aber zu keiner Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO.
Der Bericht ist keine ärztliche Diagnose oder Behandlung. Es entsteht keine Arzt-Patienten-Beziehung.
Speicherort und Löschung. Die Gesundheitsangaben aus dem Athlete-Check speichern wir in unserem selbst betriebenen Check-System bei Hostinger am Serverstandort Frankfurt am Main, Deutschland (n8n). An ActiveCampaign, Airtable und Google geben wir im Rahmen dieses Checks weder Gesundheitsangaben noch daraus abgeleitete Bewertungen weiter. 14 Tage nach der Teilnahme löschen wir Ihre Gesundheitsangaben, es sei denn, Sie vereinbaren ein Coaching mit uns. Für die zusätzliche Verarbeitung und Speicherung im Coaching, über Trainingsplattformen und über die Anthropic-API beachten Sie Ziffer 8a.
Coaching. Im Coaching verarbeiten wir Gesundheitsangaben aus dem Athlete-Check und aus der Zusammenarbeit, um Ihr Training zu planen und Ihre Entwicklung zu vergleichen. Rechtsgrundlage ist Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die Sie im Coaching-Onboarding gesondert erteilen. Wir speichern diese Angaben bis zu 24 Monate ab Erhebung. Bei fortgesetzter Zusammenarbeit speichern wir ältere Angaben nur weiter, soweit dies für die Betreuung erforderlich ist und Sie hierfür gesondert ausdrücklich eingewilligt haben. Eine Vertragsverlängerung setzt die Frist nicht pauschal neu in Gang. Für die eingesetzten Trainingsplattformen und die KI-gestützte Verarbeitung beachten Sie Ziffer 8a.
Anonyme Statistik. Aus den Antworten erstellen wir anonyme Statistiken, etwa zur Verteilung von Athletentypen und Altersgruppen. Sie lassen keinen Rückschluss auf Ihre Person zu.
Empfänger (Auftragsverarbeiter):
| Dienst | Zweck | Sitz | Drittland |
|---|---|---|---|
| Typeform S.L. | Formular | Spanien | US-Unterauftragsverarbeiter, Standardvertragsklauseln |
| n8n (selbst betrieben auf Hostinger, Hostinger International Ltd.) | Automatisierung, Speicherung der Gesundheitsangaben | Serverstandort Frankfurt am Main, Deutschland | nein |
| OpenAI Ireland Ltd. | KI-Bericht (ohne Namen) | Irland, Verarbeitung auch in den USA | ja, Standardvertragsklauseln |
| html2pdf.app (MB Tech256) | PDF-Erstellung, Dokument wird direkt danach gelöscht | Server in der EU | nein |
| Brevo (Sendinblue SAS) | Versand der E-Mail mit PDF | Frankreich | nein |
| ActiveCampaign, LLC | E-Mail-Marketing, Kontakt und Segment ohne Gesundheitsbezug | USA | ja, DPF |
| Airtable (Formagrid, Inc.) | Lead- und Trainingsdaten, keine Gesundheitsdaten | USA | ja, Standardvertragsklauseln |
| Google (GA4) | Ereignis „Check abgeschlossen“, ohne Gesundheitsdaten | Irland/USA | ja, DPF |
Widerruf. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, per E-Mail an golo@thehealth-lab.com. Ihre Gesundheitsangaben löschen wir dann. Die Rechtmäßigkeit der bisherigen Verarbeitung bleibt davon unberührt.
8a. Trainingsplattformen und Rocket Engine
Zweck und Gesundheitsdaten. Für die Erstellung, Auswertung und Anpassung Ihres Trainingsplans im Coaching oder im Rahmen Ihres Rocket-Engine-Abos verarbeiten wir die von Ihnen freigegebenen Trainings-, Leistungs- und Gesundheitsdaten. Dazu können Herzfrequenz, Ruhepuls, Schlaf, Müdigkeit, Erholung, Gewicht, Beschwerden und Wellnessangaben sowie Leistungsschwellen gehören. Auch Trainingsdaten und daraus abgeleitete Bewertungen können Gesundheitsdaten im Sinne von Art. 9 DSGVO sein. Zugang zu diesen Daten erhalten die für Ihre Betreuung zuständigen Personen nur, soweit dies für die Trainingsplanung erforderlich ist.
Rechtsgrundlagen. Die Bereitstellung und Anpassung des vereinbarten Trainingsplans beruht auf Art. 6 Abs. 1 lit. b DSGVO. Voraussetzung für unsere Verarbeitung gesundheitsbezogener Daten ist zusätzlich Ihre gesonderte, ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Diese wird im Coaching-Onboarding mit dem Einwilligungstext und dem Zeitpunkt dokumentiert. Die Einwilligung muss die eingesetzten Trainingsplattformen und die nachfolgend beschriebene KI-gestützte Verarbeitung abdecken. Die technische Freigabe eines Kontos oder einer Schnittstelle ersetzt diese Einwilligung nicht. Ohne die erforderliche Einwilligung dürfen wir die gesundheitsbezogene Auswertung nicht durchführen.
Verbindung mit Intervals.icu. Wenn Sie Ihr Konto bei Intervals.icu Ltd., 71–75 Shelton Street, Covent Garden, London WC2H 9JQ, Vereinigtes Königreich, mit der Rocket Engine verbinden, erhalten wir im Umfang Ihrer Freigabe über die Schnittstelle Zugriff auf:
- Kalender: Wir legen geplante Trainingseinheiten an, ändern sie und löschen sie wieder.
- Aktivitäten und Wellness: Wir lesen absolvierte Einheiten und freigegebene Wellnesswerte, um Ihren Plan auszuwerten und anzupassen.
- Profil und Leistungsschwellen: Wir lesen etwa FTP, Schwellenherzfrequenz und Schwellenpace, um Trainingsbereiche zu berechnen.
In unseren Planungssystemen speichern wir den Zugangsschlüssel und die für die Planung erforderlichen Werte. Sie können die Freigabe jederzeit in den Einstellungen von Intervals.icu widerrufen; danach sind über diese Freigabe keine weiteren Abrufe mehr möglich. Bereits bei uns gespeicherte Werte werden dadurch nicht automatisch gelöscht. Intervals.icu nennt für die Verarbeitung Deutschland und Finnland und zusätzlich Cloud-Dienste. Für den eigenen Plattformbetrieb ist Intervals.icu nach seiner Datenschutzerklärung selbst verantwortlich. Weitere Informationen: Datenschutzerklärung von Intervals.icu.
TrainingPeaks®. Im Coaching nutzen wir TrainingPeaks® von TrainingPeaks, LLC, 285 Century Place, Louisville, CO 80027, USA. Wenn Sie Ihr Athletenkonto für uns freigeben, erstellen und ändern wir Trainingspläne und werten die freigegebenen Trainingseinheiten, Leistungsdaten, Rückmeldungen und Gesundheitsangaben für Ihre Betreuung aus. Welche Daten sichtbar sind, hängt von Ihren Kontoeinstellungen und verbundenen Geräten oder Diensten ab. TrainingPeaks® speichert Daten auf seiner Plattform und verarbeitet Daten auch in den USA. Der Anbieter bezeichnet sich für seinen Plattformbetrieb als eigener Verantwortlicher und nennt für bestimmte internationale Weiterübermittlungen unter anderem EU-Standardvertragsklauseln. Das ersetzt nicht die Prüfung der Rechtsgrundlage unserer eigenen Datenübermittlung. Weitere Informationen: Datenschutzerklärung von TrainingPeaks®.
KI-gestützte Verarbeitung über Claude (Anthropic-API). Zur Unterstützung der Auswertung und Trainingsplanung nutzen wir Claude über die Anthropic-API. Dabei werden Trainings-, Leistungs- und Gesundheitsangaben, die in die jeweilige Anfrage aufgenommen werden, an Anthropic übermittelt und dort zusammen mit den erzeugten Auswertungen verarbeitet. Für Kunden im Europäischen Wirtschaftsraum ist nach den kommerziellen Bedingungen Anthropic Ireland, Limited der Vertragspartner. Die API-Bedingungen sehen Anthropic als Auftragsverarbeiter vor und schließen das Training von Modellen mit diesen Kundeninhalten aus. Eine ausschließlich auf unseren Server in Frankfurt am Main beschränkte Verarbeitung liegt damit nicht vor. Weitere Informationen: kommerzielle Bedingungen, Auftragsverarbeitungsvertrag von Anthropic und API-Speicherfristen.
Speicherung, Trennung und Löschung. Unsere eigenen Gesundheits- und Planungsdaten sowie Zugangsschlüssel speichern wir in unserem selbst betriebenen System bei Hostinger am Serverstandort Frankfurt am Main, Deutschland; die Verarbeitung erfolgt unter anderem über n8n. Dieser Speicherort betrifft unsere eigenen Systeme, nicht die zusätzliche Verarbeitung bei den genannten Trainingsplattformen oder Anthropic. Gesundheitsangaben im Coaching und in der Rocket Engine speichern wir bis zu 24 Monate ab Erhebung. Bei fortgesetzter Zusammenarbeit speichern wir ältere Angaben nur weiter, soweit dies für die Betreuung erforderlich ist und Ihre hierfür gesondert erteilte ausdrückliche Einwilligung fortbesteht; ansonsten werden sie gelöscht. Die Frist beginnt durch eine Vertragsverlängerung nicht pauschal für alle vorhandenen Daten neu. Ergänzend gilt Ziffer 10. Das Ende Ihres Coachings oder Abos bewirkt derzeit keine automatische Löschung des Intervals.icu-Zugangsschlüssels oder der bei uns gespeicherten Planungswerte. Ein Zugangsschlüssel wird nur so lange vorgehalten, wie er für eine von Ihnen freigegebene Verbindung benötigt wird. Eine nicht mehr erforderliche Verarbeitung ist zu beenden und nicht mehr erforderliche Daten sind nach den gesetzlichen Vorgaben zu löschen; ein fehlender automatischer Löschlauf rechtfertigt keine längere Speicherung. Sie können den Zugriff selbst beim Anbieter trennen und uns Löschanfragen oder einen Widerruf Ihrer Einwilligung an golo@thehealth-lab.com senden. Wir dürfen gesundheitsbezogene Daten dann nicht mehr für die weitere Trainingsplanung nutzen. Die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt.
Das Trennen des Coach-Zugriffs, das Ende Ihres Abos und die Löschung unserer Kopien löschen nicht automatisch Ihr Konto und Ihre Daten bei Intervals.icu oder TrainingPeaks®. Diese Daten verwalten Sie in Ihrem jeweiligen Athletenkonto beziehungsweise über den Anbieter. Anbieterbezogene Aufbewahrungsfristen richten sich nach dessen Datenschutzerklärung. Unsere Verarbeitung im Coaching und durch die Rocket Engine ist von der Verarbeitung im Athlete-Check nach Ziffer 8 zu unterscheiden.
9. Übermittlung in Drittländer (USA)
Einige der genannten Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten dort. Für die USA gibt es den Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023 (EU-US Data Privacy Framework), der für zertifizierte Unternehmen gilt. Ist ein Anbieter nicht zertifiziert, stützen wir die Übermittlung auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Gesundheitsdaten übermitteln wir zusätzlich nur auf Grundlage Ihrer ausdrücklichen Einwilligung.
Eine Kopie der Garantien erhalten Sie auf Anfrage unter golo@thehealth-lab.com.
10. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es der jeweilige Zweck erfordert:
- Gesundheitsangaben aus dem Athlete-Check: 14 Tage nach der Teilnahme, es sei denn, Sie vereinbaren ein Coaching. Name, E-Mail-Adresse und Trainingsangaben speichern wir, bis Sie widersprechen oder die Löschung verlangen.
- Gesundheitsangaben im Coaching und in der Rocket Engine: bis zu 24 Monate ab Erhebung; länger bei fortgesetzter Zusammenarbeit nur, soweit für die Betreuung erforderlich und von Ihrer gesonderten ausdrücklichen Einwilligung gedeckt. Keine pauschale Verlängerung allein durch Vertragsverlängerung.
- Bewerbungen und Termine ohne Vertragsschluss: 6 Monate
- Kundendaten: für die Dauer des Vertrags, danach gelten die gesetzlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB: 6 bzw. 10 Jahre)
- Protokolle der Automatisierung (n8n): 90 Tage, Abläufe des Athlete-Checks 14 Tage
11. Ihre Rechte
Sie haben das Recht auf
- Auskunft (Art. 15 DSGVO),
- Berichtigung (Art. 16 DSGVO),
- Löschung (Art. 17 DSGVO),
- Einschränkung der Verarbeitung (Art. 18 DSGVO),
- Datenübertragbarkeit (Art. 20 DSGVO) und
- Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO).
Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage berechtigter Interessen, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Gegen Direktwerbung können Sie jederzeit ohne Begründung widersprechen.
Anfragen und Widerruf richten Sie an: golo@thehealth-lab.com
12. Beschwerderecht
Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist:
Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), Ludwig-Erhard-Str. 22, 20459 Hamburg, www.datenschutz-hamburg.de
13. Stand
Stand: November 2026