Datenschutzerklärung

Zuletzt aktualisiert: 5. November 2026

Der Schutz Ihrer personenbezogenen Daten ist uns besonders wichtig. Gesundheits- und Fitnessdaten stehen im Mittelpunkt unseres Programms – und wir wissen, dass sie zu den sensibelsten Informationen gehören, die Sie teilen können. Deshalb hat Datenschutz bei CHIRAYOU von Anfang an Priorität: Ihre Gesundheitsdaten werden auf Servern innerhalb der EU verarbeitet und nach höchsten Sicherheitsstandards geschützt.

Was CHIRAYOU ist

CHIRAYOU ist ein ärztlich geführtes präventives Gesundheitsprogramm. Wir erheben regelmäßig relevante Gesundheitsdaten, werten sie aus und besprechen sie mit Ihnen - digital, persönlich und präventiv. Das Ziel: Veränderungen frühzeitig verstehen, Klarheit über Ihre Gesundheit gewinnen und sie gezielt stärken. Damit Sie diese Daten mit Vertrauen teilen können, haben wir Datenschutz tief in unser System eingebettet - technisch, organisatorisch und medizinisch.

Verantwortliche im Sinne der DSGVO

CHIRAYOU arbeitet mit approbierten Ärzten zusammen, die im Rahmen des Programms medizinische Beratungen durchführen. CHIRAYOU und die jeweiligen Ärzte sind gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO. Sie legen gemeinsam die Zwecke und Mittel der Verarbeitung personenbezogener Daten fest.

Die primäre datenschutzrechtliche Verantwortung liegt bei der CHIRAYOU GmbH, Hauptstraße 457, 53639 Königswinter, Deutschland, E-Mail: support@chirayou.com.

Unsere Partnerärzte unterliegen zusätzlich der ärztlichen Schweigepflicht (§ 203 StGB). Eine Zusammenfassung der wesentlichen Inhalte der gemeinsamen Verantwortlichkeitsvereinbarung nach Art. 26 DSGVO ist auf Anfrage bei uns erhältlich.

Erhobene Daten

Persönliche Informationen: Name, Geburtsdatum, Geschlecht, Kontaktdaten.
Gesundheits- und Fitnessdaten: Herzfrequenz, Schlafqualität, Aktivitäts- und Stressdaten, Vitalwerte, Blut- und Laborwerte.
Daten zu gesundheitsrelevanten Verhaltensweisen: Informationen zu Ernährung, Schlaf, Aktivität, Tabak- und Alkoholkonsum.
Chat-Nachrichten: was Sie im KI-Chat der App schreiben.
Kommunikationsdaten und Gesprächsinhalte: Mit Ihrer ausdrücklichen Vorab-Einwilligung können Videokonsultationen zu Qualitätssicherungs- oder Schulungszwecken aufgezeichnet werden. Solche Aufzeichnungen werden ausschließlich für den angegebenen Zweck verwendet und anschließend anonymisiert.
Technische Daten beim Besuch unserer Website: IP-Adresse, Geräte- und Browserangaben, aufgerufene Seiten; Cookies und ähnliche Techniken nur, soweit unbedingt erforderlich oder soweit Sie eingewilligt haben (Einzelheiten im Abschnitt „Unsere Website“).

Die Bereitstellung Ihrer Gesundheits- und Kontaktdaten ist für die Durchführung unseres ärztlich geführten Programms erforderlich; ohne diese Daten können wir die Leistungen nicht erbringen. Unser Angebot richtet sich ausschließlich an Personen ab 18 Jahren.

Zweck der Verarbeitung

Wir verarbeiten Ihre Daten ausschließlich, um Ihnen ärztlich geführte Präventionsleistungen zu erbringen und unsere Systeme sicher und nutzerfreundlich zu betreiben.

Dazu gehören insbesondere:

Erstellung und medizinische Auswertung Ihrer Gesundheitsdaten,
Bereitstellung individueller Berichte und Empfehlungen, einschließlich KI-erstellter Report-Texte und Antworten im KI-Chat,
Organisation und Durchführung medizinischer Beratungen,
Anonymisierte Auswertung zur Qualitätssicherung und Weiterentwicklung unserer Dienste,
Kommunikation zu technischen Angelegenheiten, Terminen und Nutzerfeedback.

Die Rechtsgrundlagen der Verarbeitung sind:

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung),
Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 22 Abs. 1 Nr. 1 lit. b BDSG (ärztliche Konsultationen und medizinische Dokumentation einschließlich ihrer Aufbewahrung),
Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung in die Verarbeitung Ihrer Gesundheitsdaten, einschließlich Laboranalyse, KI-erstelltem Report und KI-Chat),
Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, z. B. für Aufzeichnungen, Newsletter, Statistik und Werbung auf unserer Website) und § 25 Abs. 1 TDDDG (Einwilligung in das Speichern und Auslesen von Informationen auf Ihrem Gerät),
Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung, soweit aus Werbe-Messdaten auf Ihre Gesundheit geschlossen werden kann),
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, z. B. Hosting, IT-Sicherheit, Missbrauchsprävention und unsere Zählung der Seitenaufrufe ohne Kennung),
Art. 6 Abs. 1 lit. c DSGVO (Erfüllung gesetzlicher Pflichten, z. B. handels- und steuerrechtliche Aufbewahrungspflichten und der Nachweis von Einwilligungen nach Art. 7 Abs. 1 DSGVO).

Gemeinsame Verantwortlichkeit (Art. 26 DSGVO)

CHIRAYOU und die beteiligten Ärzte legen gemeinsam die Zwecke und den Umfang der Verarbeitung personenbezogener Daten fest.

Die Zuständigkeiten sind klar geregelt:

CHIRAYOU ist verantwortlich für IT-Sicherheit, Daten-Hosting, technische Administration, Erfüllung von Betroffenenrechten und Kommunikation mit Aufsichtsbehörden.
Die Ärzte sind verantwortlich für die inhaltliche medizinische Beratung, medizinische Beurteilung und Dokumentation der Beratungen.
Beide Parteien verpflichten sich zu hohen Datenschutzstandards, Vertraulichkeit und sicheren technischen Verfahren.

Anfragen zu Datenschutzrechten können an CHIRAYOU gerichtet werden; wir koordinieren eine Antwort gemeinsam mit dem jeweiligen Arzt.

Daten aus verbundenen Geräten und KI

Wenn Sie ein Wearable oder eine Gesundheits-App mit CHIRAYOU verbinden (z. B. Garmin, Oura, WHOOP, Fitbit oder Apple Health), nutzen wir diese Daten ausschließlich, um Ihnen die Funktionen von CHIRAYOU bereitzustellen: Wir zeigen sie in Ihrer App an und nutzen sie für Ihren Report und um Ihre Fragen im Chat zu beantworten. Für den Report und den Chat werden sie mit KI verarbeitet (siehe „KI-Verarbeitung Ihrer Gesundheitsdaten“). Wir nutzen sie nicht zum Training von KI-Modellen, verkaufen sie nicht und geben sie nicht an Dritte für deren eigene Zwecke weiter. Verarbeitet werden sie nur von unseren Hosting-, Datenbank- und Cloud-Anbietern, die als Auftragsverarbeiter an unsere Weisungen gebunden sind.

KI-Verarbeitung Ihrer Gesundheitsdaten

CHIRAYOU nutzt künstliche Intelligenz (KI), um die Texte Ihres Reports zu verfassen (Erläuterungen Ihrer Marker, Zusammenfassungen und Ihren Plan) und um Ihre Fragen im Chat der App zu beantworten. Bevor der Chat antwortet, wird jede Nachricht automatisch auf Sicherheit geprüft.

Dafür verarbeitet die KI Ihre Laborwerte, Ihre Angaben im Fragebogen (einschließlich Freitexten), Daten aus verbundenen Geräten und aus der App, Ihre Chat-Nachrichten sowie Alter, Geschlecht, Größe und Gewicht.

Rechtsgrundlage sind die Erfüllung Ihres Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), um die wir Sie bei der Bestellung oder bei der Einrichtung der App bitten. Die KI-Verarbeitung ist Teil der Leistung von CHIRAYOU. Ohne diese Einwilligung können wir Ihnen die Leistung nicht erbringen.

Die KI-Sprachmodelle betreibt für uns unser Cloud-Anbieter in Rechenzentren innerhalb der Europäischen Union, als an unsere Weisungen gebundener Auftragsverarbeiter (Art. 28 DSGVO). Ihre Daten werden nicht zum Training von KI-Modellen verwendet.

Der Chat weist Sie darauf hin, dass Sie mit einer KI kommunizieren. Report-Texte und Chat-Antworten entstehen automatisch und werden vor der Anzeige nicht ärztlich geprüft. Sie sind keine medizinische Beratung und ersetzen keine ärztliche Konsultation. Wenn Sie eine ärztliche Konsultation haben, werden Ihre Ergebnisse dort mit Ihnen besprochen und Ihr Plan ärztlich freigegeben. Die KI-Texte haben keine rechtliche Wirkung für Sie und entscheiden nicht über Ihren Vertrag. Es handelt sich nicht um automatisierte Entscheidungen im Sinne von Art. 22 DSGVO.

Chat-Verlauf und Report-Texte speichern wir für die Dauer Ihrer Mitgliedschaft. Endet Ihre Mitgliedschaft, löschen wir sie, soweit wir sie nicht gesetzlich aufbewahren müssen (siehe „Speicherung und Löschung“).

Sie können Ihre Einwilligung jederzeit widerrufen, in der App unter Profil › Daten & Rechtliches › Konto löschen oder per E-Mail an support@chirayou.com. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung. Da wir CHIRAYOU ohne KI-Verarbeitung nicht erbringen können, endet dann Ihre Mitgliedschaft, und wir löschen Ihre Daten, soweit wir sie nicht gesetzlich aufbewahren müssen.

Speicherung und Löschung

Daten werden nur so lange gespeichert, wie es für die Erbringung unserer Leistungen oder zur Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich ist. Für medizinische Dokumentation gilt grundsätzlich eine Aufbewahrungsfrist von zehn Jahren (§ 630f BGB; in besonderen Fällen länger); handels- und steuerrechtliche Unterlagen werden sechs bis zehn Jahre aufbewahrt (§ 257 HGB, § 147 AO). Nach Beendigung Ihrer Mitgliedschaft oder Widerruf Ihrer Einwilligung werden Ihre Daten gelöscht oder anonymisiert, sobald sie für diese Zwecke nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Sie können Ihre Daten jederzeit in der App unter Profil › Daten & Rechtliches exportieren oder Ihr Konto löschen. Den Nachweis Ihrer Einwilligung und ihres Widerrufs bewahren wir auf, solange Ansprüche geltend gemacht werden können. Wie lange Daten beim Besuch unserer Website gespeichert werden (Cookies, Zählung, Einwilligungsnachweis, Analyse), steht bei den jeweiligen Diensten im Abschnitt „Unsere Website“.

Datensicherheit

CHIRAYOU schützt Ihre Daten durch moderne technische und organisatorische Maßnahmen:

SSL/TLS-Verschlüsselung bei Datenübertragungen,
Zwei-Faktor-Authentifizierung für Ärzte,
Zugriffs-Protokollierung,
Sichere Speicherung innerhalb der EU,
Regelmäßige Sicherheits- und Datenschutzschulungen.

Die Systeme, auf denen Ihre Gesundheitsdaten gespeichert werden, werden auf Servern innerhalb der Europäischen Union betrieben; auch die KI-Verarbeitung Ihrer Gesundheitsdaten findet innerhalb der Europäischen Union statt. Soweit Sie auf unserer Website in Statistik oder Werbung einwilligen, werden Nutzungsdaten auch an Dienstleister in den USA übermittelt (siehe „Übermittlungen in die USA“).

Ihre Rechte

Sie haben jederzeit folgende Rechte:

Auskunft über die bei uns gespeicherten personenbezogenen Daten,
Berichtigung unrichtiger Daten,
Löschung ("Recht auf Vergessenwerden"),
Einschränkung der Verarbeitung,
Widerspruch gegen bestimmte Verarbeitungstätigkeiten,
Datenübertragbarkeit,
Widerruf der Einwilligung mit Wirkung für die Zukunft,
Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), insbesondere bei der für uns zuständigen Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

Um Ihre Rechte auszuüben, senden Sie einfach eine E-Mail an support@chirayou.com.

Ihr Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), etwa beim Hosting, bei der Bot-Erkennung und bei unserer Zählung der Seitenaufrufe, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Einen Widerspruch können Sie formlos an support@chirayou.com richten. Einwilligungen (z. B. für Statistik und Werbung) können Sie ohne Begründung jederzeit über „Cookie-Einstellungen“ widerrufen.

Keine automatisierte Entscheidungsfindung

Eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Mit KI erstellte Report-Texte und Chat-Antworten werden nicht ärztlich geprüft und sind keine ärztliche Beurteilung. Ärztliche Beurteilungen und Empfehlungen erhalten Sie von approbierten Ärztinnen und Ärzten in einer ärztlichen Konsultation.

Aufzeichnungen

Aufzeichnungen von Telekonsultationen erfolgen nur mit Ihrer vorherigen Einwilligung. Die Daten werden ausschließlich für Qualitätssicherungs- und Schulungszwecke verwendet und anonymisiert, sobald der Zweck entfällt. Es findet keine personenbezogene Auswertung statt.

Unsere Website: Hosting, Cookies, Statistik und Werbung

Dieser Abschnitt beschreibt, was beim Besuch von www.chirayou.com (einschließlich des Checkouts unter www.chirayou.com/blood-test/checkout) verarbeitet wird. Verantwortlich ist die CHIRAYOU GmbH (Kontakt siehe unten). Was ohne Einwilligung geschieht, beschränken wir auf das technisch Nötige und auf eine Zählung ohne Personenbezug. Statistik und Werbung laufen nur, wenn Sie im Cookie-Banner eingewilligt haben. Sie können Ihre Auswahl jederzeit über „Cookie-Einstellungen“ im Seitenfuß ändern.

Hosting und Auslieferung (Cloudflare)

Unsere Website und der Checkout werden über Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, ausgeliefert. Cloudflare verarbeitet dafür bei jedem Aufruf Ihre IP-Adresse, die aufgerufene Adresse, den Zeitpunkt, die Referrer-URL sowie Browser- und Geräteangaben, die Ihr Browser mitsendet. Cloudflare handelt als unser Auftragsverarbeiter (Art. 28 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine schnelle, stabile und sichere Auslieferung der Website. Wir selbst speichern keine Zugriffsprotokolle mit IP-Adressen. Cloudflare-Sicherheitsereignisse (z. B. blockierte Anfragen) werden nach der Aufbewahrungsfrist unseres Cloudflare-Tarifs gelöscht, spätestens nach 30 Tagen. Cloudflare, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten die EU-Standardvertragsklauseln des Cloudflare-Auftragsverarbeitungsvertrags.

Schutz vor Angriffen und Bots

Zum Schutz unserer Website und des Bestellvorgangs vor Angriffen, Spam und automatisierten Zugriffen setzt Cloudflare eine Bot-Erkennung ein. Dabei kann Cloudflare das Cookie „__cf_bm“ (30 Minuten) setzen. Nur wenn Cloudflare eine Sicherheitsprüfung anzeigt, prüft ein kurzes Skript Merkmale Ihres Browsers und setzt das Cookie „cf_clearance“ (30 Minuten). Diese Speicherung und dieses Auslesen sind für die sichere Bereitstellung der von Ihnen aufgerufenen Website unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); die anschließende Verarbeitung beruht auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: IT-Sicherheit und Missbrauchsabwehr). Die Ergebnisse werden nicht für Werbung oder Statistik genutzt.

Verwaltung Ihrer Einwilligung (Cookie-Banner)

Unser Cookie-Banner stammt aus unserem eigenen Werkzeug (Lightrise) und läuft auf unserer Website; ein externer Anbieter für Einwilligungsverwaltung ist nicht beteiligt. Ihre Auswahl speichern wir im Cookie „lr_consent“ auf Ihrem Gerät. Es enthält nur die Version des Banners, Ihre Auswahl je Zweck und den Zeitpunkt, aber keine Kennung, und wird nach 6 Monaten gelöscht. Dieses Cookie ist unbedingt erforderlich, um Ihre Entscheidung zu beachten (§ 25 Abs. 2 Nr. 2 TDDDG). Nach 6 Monaten oder wenn sich Zwecke oder Anbieter ändern, fragen wir erneut.

Damit wir nachweisen können, dass und wie eine Einwilligung erteilt oder widerrufen wurde (Art. 7 Abs. 1 DSGVO), speichern wir zu jeder Entscheidung einen Eintrag mit Zeitpunkt, Banner-Version, Aktion (z. B. „alle akzeptiert“, „alles abgelehnt“, „Auswahl gespeichert“, „widerrufen“), der gewählten Einstellung je Zweck, Sprache und aufgerufenem Seitenpfad, aber ohne IP-Adresse, ohne Browserkennung und ohne sonstige Kennung. Außerdem bewahren wir jede Fassung des Banners auf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO. Die Einträge werden auf Servern von Cloudflare (Auftragsverarbeiter) in der EU gespeichert und am Ende des dritten Kalenderjahres nach der Entscheidung gelöscht.

Eigene Zählung von Seitenaufrufen (ohne Cookies und ohne Kennung)

Um zu wissen, wie viele Besucherinnen und Besucher über eine Anzeige tatsächlich auf unseren Seiten ankommen und eine Bestellung beginnen, zählt unser Server bei Cloudflare jeden Aufruf einer Landingpage und jeden Beginn einer Bestellung. Dabei wird nichts auf Ihrem Gerät gespeichert oder ausgelesen; es läuft kein Skript in Ihrem Browser. Gespeichert werden je Aufruf nur:

die Art des Ereignisses (Landingpage oder Bestellbeginn) und der Seitenpfad ohne Parameter;
die Geräteklasse (Smartphone, Tablet, Desktop, Bot), abgeleitet aus der Browserkennung, die selbst nicht gespeichert wird;
nur ob eine Anzeigen-Klickkennung vorhanden war (z. B. „gclid“), nicht die Kennung selbst;
Kampagnen- und Anzeigengruppen-Bezeichnung aus der Adresse (utm_campaign, utm_content), soweit es sich um eine Bezeichnung handelt;
das Land (aus der IP-Adresse abgeleitet; die IP-Adresse selbst wird nicht gespeichert);
ob der Aufruf von einer anderen Website kam (Sec-Fetch-Site) und ob die Seite neu geladen wurde;
beim Bestellbeginn der Pfad der Seite, von der aus bestellt wurde.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, die Wirkung unserer Werbung zu messen, Messlücken und technische Fehler zu erkennen und kein Werbebudget zu verschwenden. Dafür ist die Zählung erforderlich, weil wir sonst über Besucher ohne Einwilligung gar keine Zahlen hätten; ein milderes Mittel mit weniger Daten gibt es nicht. Ihre Interessen überwiegen nicht: Die gespeicherten Angaben erlauben es nicht, Sie zu erkennen oder Aufrufe über die Zeit einer Person zuzuordnen; es entsteht kein Profil; die Daten werden nicht mit anderen Daten verknüpft und nicht an Dritte weitergegeben (Cloudflare verarbeitet sie nur als unser Auftragsverarbeiter); dass ein Websitebetreiber Seitenaufrufe zählt, entspricht den vernünftigen Erwartungen von Besuchern. Auch der Seitenpfad (z. B. einer Seite zu einem bestimmten Blutwert) lässt ohne Personenbezug keinen Rückschluss auf Ihre Gesundheit zu.

Die Einträge werden nach 3 Monaten automatisch gelöscht; wir nutzen nur zusammengefasste Zahlen. Die IP-Adresse wird nur im Moment der Anfrage verarbeitet. Sie können der Zählung widersprechen (siehe „Widerspruchsrecht“).

Auf unserer Bluttest-Landingpage testen wir außerdem zwei Fassungen gegeneinander. Rufen Sie die Seite von außerhalb unserer Website auf und steht in der Adresse noch keine Fassung, entscheidet unser Server bei Cloudflare per Zufall, welche Fassung Sie sehen; die Fassung steht danach in der Adresse (z. B. „arm=d“), damit ein Neuladen dieselbe Seite zeigt. Dafür wird nichts auf Ihrem Gerät gespeichert oder ausgelesen, und es entsteht keine Kennung. Ausgewertet wird über die oben beschriebene Zählung, wie oft jede Fassung ausgeliefert und wie oft von ihr aus eine Bestellung begonnen wurde, und – nur wenn Sie „Statistik“ erlaubt haben – über Google Analytics, wie die Fassungen genutzt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, herauszufinden, welche Fassung einer Seite besser funktioniert.

Statistik (nur mit Einwilligung): Google Analytics und A/B-Tests

Wenn Sie „Statistik“ erlauben, messen wir mit Google Analytics 4, welche Seiten besucht und welche Schaltflächen genutzt werden, und testen Varianten unserer Seiten (A/B-Tests). Die Messdaten gehen direkt an Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, die als unser Auftragsverarbeiter handelt; das dafür nötige Skript (Google Tag Manager) lädt Ihr Browser erst nach Ihrer Einwilligung von Servern von Google. Verarbeitet werden Ihre IP-Adresse, Geräte- und Browserangaben, aufgerufene Seiten und Ereignisse (z. B. Klicks, Beginn einer Bestellung) sowie eine zufällige Kennung. Gespeichert werden die Cookies „_ga“ und „_ga_N543GR4LNC“ (6 Monate). Für A/B-Tests weist Ihnen unser Server eine Testgruppe zu und speichert sie in den Cookies „ch_abid“ und „ch_ab_…“ (6 Monate); gezählt wird nur, welche Variante gezeigt und angeklickt wurde.

Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Google speichert die Analysedaten 14 Monate. Die Funktion „Google Signals“, mit der Google Analysedaten angemeldeten Google-Konten zuordnen kann, haben wir deaktiviert. Google kann Daten an Google LLC in den USA übermitteln; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Sie können Ihre Einwilligung jederzeit über „Cookie-Einstellungen“ im Seitenfuß widerrufen.

Werbung (nur mit Einwilligung): Google Ads

Wenn Sie „Marketing: Google Ads“ erlauben, messen wir mit Google Ads, ob nach dem Klick auf eine unserer Anzeigen eine Bestellung erfolgt, und Google nutzt dies, um Anzeigen auszuspielen, zu optimieren und zu personalisieren. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, die insoweit als eigener Verantwortlicher handelt. Google erhält die aufgerufenen Seiten (mit Adresse), Ihre IP-Adresse, Geräteangaben, Ereignisse wie Beginn und Abschluss einer Bestellung (mit Bestellwert und Bestellnummer) und die Anzeigen-Klickkennung, verknüpft diese mit anderen Daten über Sie, etwa aus Ihrem Google-Konto und von anderen Websites, und bildet daraus Werbeprofile. Dabei erfährt Google, dass Sie sich für einen Bluttest interessieren oder einen bestellt haben. Gespeichert werden die Cookies „_gcl_au“, „_gcl_aw“, „_gcl_gb“ und „_gcl_gs“ (je 90 Tage) sowie „_gcl_ls“ im lokalen Speicher; Google kann zudem eigene Cookies auf google.com und doubleclick.net setzen (z. B. „IDE“, bis 13 Monate). Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO); soweit aus den Daten auf Ihre Gesundheit geschlossen werden kann, Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Google übermittelt Daten an Google LLC in den USA; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Wie lange Google die Daten speichert, richtet sich nach der Datenschutzerklärung von Google (https://policies.google.com/privacy). Widerruf jederzeit über „Cookie-Einstellungen“.

Werbung (nur mit Einwilligung): Meta-Pixel

Wenn Sie „Marketing: Meta“ erlauben, nutzen wir das Meta-Pixel von Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Meta misst damit, welche unserer Seiten und Angebote angesehen werden (auch nach dem Klick auf eine unserer Anzeigen), wie intensiv sie genutzt werden und ob eine Newsletter-Anmeldung oder eine Anfrage über eines unserer Formulare erfolgt, und nutzt dies, um Anzeigen auszuspielen, zu optimieren und zu personalisieren, auch für Personen mit ähnlichen Merkmalen. Meta erhält die aufgerufenen Seiten (mit Adresse), Ihre IP-Adresse, Geräte- und Browserangaben und diese Ereignisse, direkt und zusätzlich über das Meta Conversions API Gateway, das Meta auf Servern von Amazon Web Services in den USA betreibt. Meta verknüpft die Daten mit Ihrem Facebook- oder Instagram-Konto und mit Daten anderer Websites und bildet daraus Werbeprofile; dabei erfährt Meta, dass Sie sich für einen Bluttest interessieren. Auf den Seiten unseres Checkouts – auch auf der Bestätigungsseite nach einer Bestellung – und auf der Seite, auf der Sie nach einer Bestellung Ihr Konto aktivieren, ist das Meta-Pixel nicht aktiv: Meta erhält von dort weder Seitenaufrufe noch Ereignisse, und wir teilen Meta nicht mit, ob Sie bestellt haben. Gespeichert werden die Cookies „_fbp“ und „_fbc“ (je 90 Tage) und im lokalen Speicher „lastExternalReferrer“ und „lastExternalReferrerTime“ (die zuletzt verweisende fremde Website und der Zeitpunkt; bei einem Widerruf löschen wir sie); Meta kann zudem eigene Cookies auf facebook.com setzen (z. B. „fr“, 90 Tage). Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO); soweit aus den Daten auf Ihre Gesundheit geschlossen werden kann, Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Meta übermittelt Daten an Meta Platforms, Inc. in den USA; Meta Platforms, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO).

Für die Erhebung der Daten auf unserer Website und ihre Übermittlung an Meta sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO). Das Wesentliche unserer Vereinbarung (Meta „Controller Addendum“, https://www.facebook.com/legal/controller_addendum): Meta übernimmt die Information über die eigene Verarbeitung und die Erfüllung der Betroffenenrechte für die bei Meta gespeicherten Daten; wir sind für die Einwilligung auf unserer Website verantwortlich. Sie können Ihre Rechte bei uns und bei Meta geltend machen. Für die weitere Verarbeitung ist Meta allein verantwortlich; Einzelheiten und Speicherdauer: https://www.facebook.com/privacy/policy. Widerruf jederzeit über „Cookie-Einstellungen“.

YouTube-Videos

Vorschaubilder unserer Videos liefern wir von unserem eigenen Server aus. Erst wenn Sie ein Video anklicken, wird es von YouTube (Google Ireland Limited, Irland) im erweiterten Datenschutzmodus (youtube-nocookie.com) geladen. Dabei erhält Google Ihre IP-Adresse, die Seite, auf der das Video eingebunden ist, und Browserangaben, und YouTube kann Informationen auf Ihrem Gerät speichern. Rechtsgrundlage ist Ihre Einwilligung durch den Klick auf das Video (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), auf die wir vor dem Laden hinweisen. Google kann Daten an Google LLC in den USA übermitteln (EU-US Data Privacy Framework, Art. 45 DSGVO).

Zahlung im Checkout (Stripe)

Zahlungen wickeln wir über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, ab. Sobald Sie den Checkout öffnen, lädt Stripe ein Skript, das zur Betrugsvermeidung Geräte- und Browserangaben prüft und die Cookies „__stripe_mid“ (1 Jahr) und „__stripe_sid“ (30 Minuten) setzt; auf seiner eigenen Domain m.stripe.com setzt Stripe dafür zudem das Cookie „m“ (bis zu 2 Jahre). Das ist für die von Ihnen gewünschte Bestellung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); die Verarbeitung beruht auf Art. 6 Abs. 1 lit. b und f DSGVO (Vertragsdurchführung, Betrugsabwehr). Stripe kann Daten an Stripe, LLC in den USA übermitteln; Stripe, LLC ist nach dem EU-US Data Privacy Framework zertifiziert.

Übermittlungen in die USA

Einige der genannten Anbieter verarbeiten Daten in den USA. Die Übermittlung stützen wir auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023 (Art. 45 DSGVO); die Empfänger sind danach zertifiziert (Stand der Prüfung: 29. September 2026). Ergänzend gelten die EU-Standardvertragsklauseln der jeweiligen Verträge. Auf eine Einwilligung nach Art. 49 DSGVO stützen wir regelmäßige Übermittlungen nicht.

Cloudflare, Inc. (Hosting, Sicherheit, Zählung, Einwilligungsnachweis): immer;
Google LLC (Google Analytics, Google Ads, YouTube): nur mit Einwilligung;
Meta Platforms, Inc. (Meta-Pixel, Conversions API Gateway über Amazon Web Services): nur mit Einwilligung;
Stripe, LLC (Zahlung): bei Bestellung;
ActiveCampaign, LLC (Newsletter): bei Anmeldung.

Übersicht: Cookies und lokaler Speicher

Die folgende Liste nennt alles, was unsere Website auf Ihrem Gerät speichert oder dort ausliest. Ihre aktuelle Auswahl können Sie hier ändern:

Notwendig: „lr_consent“ (CHIRAYOU; Ihre Cookie-Auswahl; 6 Monate)
Notwendig: „chirayou-lang-choice“ (CHIRAYOU; Ihre Sprachwahl, erst wenn Sie eine Sprache wählen; lokaler Speicher, bis Sie ihn löschen)
Notwendig: „i18nextLng“ (CHIRAYOU; speichert die Anzeigesprache; lokaler Speicher, bis Sie ihn löschen)
Notwendig: „chirayou_journal_unlock“ (CHIRAYOU; merkt sich, dass Sie Journal-Artikel freigeschaltet haben; wird erst gesetzt, wenn Sie sich dafür zum Newsletter angemeldet haben; lokaler Speicher, bis Sie ihn löschen)
Notwendig: „chirayou-checkout“ (CHIRAYOU; Stand Ihrer Bestellung im Checkout; Sitzungsspeicher, bis zum Schließen des Tabs) und „chirayou-activation-params“ (Aktivierungslink; Sitzungsspeicher, bis zum Schließen des Tabs)
Notwendig: „chirayou_checkout_variant“ (CHIRAYOU; die Checkout-Variante, die Sie sehen), „chirayou_purchase_tx_…“ (CHIRAYOU; verhindert, dass eine abgeschlossene Bestellung doppelt gezählt wird) und „chirayou_payment_attempt_in_flight“ (CHIRAYOU; merkt sich, dass gerade eine Zahlung läuft); Sitzungsspeicher, bis zum Schließen des Tabs
Notwendig: „__stripe_mid“ (Stripe; Betrugsvermeidung im Checkout; 1 Jahr), „__stripe_sid“ (Stripe; 30 Minuten) und „m“ (Stripe, auf m.stripe.com; Betrugsvermeidung; bis zu 2 Jahre)
Notwendig: „__cf_bm“ (Cloudflare; Bot-Erkennung; 30 Minuten) und „cf_clearance“ (Cloudflare; Ergebnis der Bot-Prüfung, nur wenn Cloudflare eine Sicherheitsprüfung anzeigt; 30 Minuten)
Statistik: „_ga“, „_ga_N543GR4LNC“ (Google Analytics; 6 Monate), „ch_abid“, „ch_ab_…“ (CHIRAYOU; A/B-Tests; 6 Monate); nach Einwilligung zusätzlich „chirayou.checkoutAttribution.v1“ und „chirayou_landing_checkout_variant“ (CHIRAYOU; Herkunftsseite und Checkout-Variante; Sitzungsspeicher, höchstens 30 Minuten bzw. bis zum Schließen des Tabs)
Marketing: Google Ads: „_gcl_au“, „_gcl_aw“, „_gcl_gb“, „_gcl_gs“ (90 Tage), „_gcl_ls“ (lokaler Speicher); Google-eigene Cookies wie „IDE“ (doubleclick.net, bis 13 Monate)
Marketing: Meta: „_fbp“, „_fbc“ (90 Tage); „lastExternalReferrer“, „lastExternalReferrerTime“ (lokaler Speicher); Meta-eigene Cookies wie „fr“ (facebook.com, 90 Tage)
YouTube (nach Klick): von YouTube gesetzte Einträge im lokalen Speicher und Cookies auf youtube-nocookie.com / youtube.com

Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung zu aktualisieren, z.B. aufgrund von Rechtsänderungen oder neuen Funktionen unserer Plattform. Wir werden Sie rechtzeitig per E-Mail oder innerhalb der App über wesentliche Änderungen informieren.

Verantwortlicher Ansprechpartner

CHIRAYOU GmbH
Hauptstraße 457,
53639 Königswinter,
Deutschland
E-Mail: support@chirayou.com

Datenschutzkoordination (Art. 26 DSGVO): Die Koordination gemeinsamer Datenschutzanfragen liegt bei CHIRAYOU. Anfragen werden gemäß der gemeinsamen Verantwortlichkeitsvereinbarung bearbeitet.

Datenschutzbeauftragte(r): stefan@chirayou.com

Cookies