Datenschutzerklärung

1. Verantwortlicher und Datenschutzbeauftragter

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Wir haben einen externen Datenschutzbeauftragten benannt. In allen Fragen zum Datenschutz und zur Wahrnehmung Ihrer Rechte können Sie sich auch direkt an ihn wenden:

2. Übersicht der Datenverarbeitungen

SPIT. bietet einen Wellness-Service zur Analyse des oralen Mikrobioms mittels Shallow Shotgun Metagenomics. Dabei wird ein Zungenabstrich (Tongue Swab) analysiert, um Einblicke in die Zusammensetzung des oralen Mikrobioms zu gewinnen. Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zur Erbringung dieser Dienstleistung.

3. Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Für die Verarbeitung von Fragebogendaten und die Erstellung personalisierter Auswertungen.
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Für die Abwicklung Ihrer Bestellung und Lieferung des Test-Kits.
• Art. 9 Abs. 2 lit. a DSGVO (Ausdrückliche Einwilligung): Für die Verarbeitung von Gesundheitsdaten (Analyseergebnisse des oralen Mikrobioms sowie technisch mit-sequenzierte humane DNA-Fragmente — siehe Ziffer 4.4 und 4.5).
• Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse): Für die technische Bereitstellung und Sicherheit unserer Website.

4. Arten der verarbeiteten Daten

4.1 Bestandsdaten

Name, E-Mail-Adresse, Lieferadresse — zur Abwicklung Ihrer Bestellung und Kommunikation.

4.2 Zahlungsdaten

Der Bestellvorgang läuft über den gehosteten Checkout von Shopify; Zahlungsdaten werden dort und bei den von Shopify eingebundenen Zahlungsdienstleistern verarbeitet. Wir selbst speichern keine Kreditkartennummern oder Bankdaten.

4.3 Nutzungsdaten

Bei Nutzung unserer Website: IP-Adresse (anonymisiert), Browsertyp, Zugriffszeiten — zur technischen Bereitstellung und Sicherheit.

4.4 Gesundheitsbezogene Daten (Art. 9 DSGVO)

Folgende besondere Kategorien personenbezogener Daten werden verarbeitet:

• Angaben aus dem Fragebogen: Basisangaben (Altersgruppe, Geschlecht, Schwangerschaft oder Stillzeit, Wechseljahres-Status), Nikotin- und Cannabiskonsum, Mundpflege-Routine und verwendete Pflegeprodukte, Ernährung und Lebensstil, Empfindungen im Mund- und Rachenraum (Atemfrische samt Belastungsgrad, Mundtrockenheit, Zahnfleischbluten, Sodbrennen, Zungenbeläge, Mundatmung und Schnarchen, Tonsillensteine) sowie Angaben zum allgemeinen Wohlbefinden (Antibiotika-Einnahme, Nahrungsergänzungsmittel, Blutzucker-bezogene Ernährungsachtsamkeit, Verdauung, Schlaf, Stressniveau, Allergien und Unverträglichkeiten). Den Fragebogen füllen Sie im Zusammenhang mit Ihrem Test aus, nicht auf dieser Website; er ist Ihrer SPIT-ID zugeordnet, nicht Ihrem Namen. Die vollständige Aufstellung steht in der Einwilligungserklärung zu Gesundheitsdaten.
• Analyseergebnisse: Zusammensetzung des oralen Mikrobioms (Shotgun Metagenomics)
• Personalisierte Wellness-Empfehlungen auf Basis der Ergebnisse

Alle Fragebogen-Angaben sind freiwillig; einzelne Fragen können Sie unbeantwortet lassen. Rechtsgrundlage ist ausschließlich Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die Sie jederzeit mit Wirkung für die Zukunft widerrufen können.

4.5 Genetische Daten (Art. 9 DSGVO)

Bei der Shallow Shotgun Metagenomics wird bakterielle DNA analysiert. Als technisches Nebenprodukt werden Fragmente menschlicher (humaner) DNA mit-sequenziert. Diese werden nicht gezielt ausgewertet und fließen nicht in Ihren Report ein. Das Labor reduziert den Anteil humaner Sequenzen vor der Übermittlung; wir führen zusätzlich eine eigene Depletion durch. Eine vollständige Entfernung ist technisch nicht gewährleistet — Restmengen humaner DNA können in den archivierten Rohdaten verbleiben. Diese Rohdaten behandeln wir durchgehend als genetische Daten im Sinne des Art. 4 Nr. 13 DSGVO und verarbeiten sie ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

5. Pseudonymisierung und Datensicherheit

Zum Schutz Ihrer Daten setzen wir ein Pseudonymisierungsverfahren ein:

• Kit-ID-System: Jedes Test-Kit erhält eine eindeutige Identifikationsnummer (z. B. SPIT-2026-00001).
• Trennung der Daten: Das Analyselabor erhält ausschließlich die Kit-ID und die Probe — keine persönlichen Daten wie Name oder Adresse.
• Sichere Zuordnung: Die Verknüpfung von Kit-ID zu Ihrer Person erfolgt ausschließlich in unserem gesicherten System.
• Schutz bei Verlust: Sollte eine Probe auf dem Versandweg verloren gehen, ist diese keiner Person zuordenbar.

6. Empfänger der Daten

Ihre personenbezogenen Daten werden an folgende Empfänger übermittelt:

• Analyselabor — Life & Brain GmbH, Bonn: erhält nur Kit-ID und Zungenabstrich-Probe zur Durchführung der Shotgun-Metagenomik-Sequenzierung. Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO wurde geschlossen.
• Shop und Checkout — Shopify International Ltd. (Irland): betreibt unseren Warenkorb und den gehosteten Bestellvorgang und verarbeitet dabei Bestell-, Kontakt- und Zahlungsdaten. Soweit eine Verarbeitung durch die kanadische bzw. US-amerikanische Konzerngesellschaft erfolgt, geschieht dies auf Basis von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• E-Mail-Versand und Warteliste — Brevo (Sendinblue GmbH, Deutschland / Sendinblue SAS, Frankreich): verarbeitet Ihre E-Mail-Adresse und Ihren Vornamen zur Bestätigung und Verwaltung der Wartelisten-Anmeldung sowie zum Versand unserer E-Mails. AVV gemäß Art. 28 DSGVO geschlossen.
• Versanddienstleister — Deutsche Post / DHL: zur Lieferung des Test-Kits und Rücksendung der Probe.
• Hosting — Vercel Inc. (USA): zum Hosting unserer Website. Datenverarbeitung auf Basis von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und EU-US Data Privacy Framework.

Weitere Empfänger kommen erst mit dem regulären Verkaufsstart hinzu (u. a. für die Archivierung der Sequenzier-Rohdaten). Wir aktualisieren diese Aufstellung, bevor eine Übermittlung an sie stattfindet.

7. Speicherdauer

Wir speichern Ihre Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist:

• Bestandsdaten: Für die Dauer der Geschäftsbeziehung, danach gemäß gesetzlicher Aufbewahrungsfristen (max. 10 Jahre)
• Analyseergebnisse: 2 Jahre nach Bereitstellung, es sei denn, Sie beantragen frühere Löschung
• Fragebogendaten: 2 Jahre nach Bereitstellung der Ergebnisse
• Proben (Zungenabstrich): Werden nach Abschluss der Analyse vom Labor vernichtet (spätestens 30 Tage)
• Sequenzier-Rohdaten (inkl. verbleibender humaner DNA-Fragmente): 2 Jahre, danach Löschung — es sei denn, Sie haben gesondert in eine längere Speicherung zu Forschungszwecken eingewilligt
• Anfragen über das Kontaktformular: 6 Monate nach abschließender Bearbeitung, sofern kein Vertragsverhältnis daraus entsteht und keine gesetzliche Aufbewahrungsfrist entgegensteht
• Wartelisten-Eintrag: bis zu Ihrer Abmeldung; der Nachweis Ihrer Einwilligung darüber hinaus, solange er zur Rechtsverteidigung erforderlich ist

8. Ihre Rechte

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO), sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO), jederzeit mit Wirkung für die Zukunft

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: datenschutz@spit-health.com

9. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

10. Cookies und Reichweitenmessung

Wir setzen kein Google Analytics und keine Social-Media-Plug-ins ein. Unsere Verlinkungen zu Instagram, Facebook und TikTok sind einfache Links — es werden erst dann Daten an diese Anbieter übertragen, wenn Sie den Link anklicken und die jeweilige Seite aufrufen.

Auf Ihrem Endgerät gespeichert werden ausschließlich technisch erforderliche Informationen (§ 25 Abs. 2 Nr. 2 TDDDG):

• Warenkorb: die Kennung Ihres Warenkorbs, damit ausgewählte Produkte beim Weitersurfen erhalten bleiben (lokaler Browser-Speicher).
• Sprachauswahl: die von Ihnen gewählte Sprache (Deutsch/Englisch), damit die Seite bei Ihrem nächsten Besuch in dieser Sprache erscheint (lokaler Browser-Speicher).
• Sitzungs-Cookie im Report-Bereich: nach Eingabe Ihres Zugangscodes, um Sie für die Dauer der Sitzung angemeldet zu halten.

Diese Informationen können Sie jederzeit über die Einstellungen Ihres Browsers löschen. Danach müssen Sprachwahl und Warenkorb erneut gesetzt werden.

10.1 Reichweitenmessung (nur mit Ihrer Einwilligung)

Sofern Sie im Einwilligungsbanner der Kategorie „Reichweitenmessung" zugestimmt haben, werten wir mit Vercel Web Analytics der Vercel Inc. (USA) aus, welche Seiten wie häufig aufgerufen werden. Der Dienst arbeitet ohne Cookies und legt keine Informationen auf Ihrem Endgerät ab. Es werden keine Profile gebildet, Sie werden nicht über mehrere Websites hinweg wiedererkannt, und es findet keine Zusammenführung mit anderen Datenquellen statt. Vercel handelt ausschließlich in unserem Auftrag (Art. 28 DSGVO) und nutzt die Daten nicht für eigene Zwecke.

Warum wir dafür fragen: Der Dienst überträgt die aufgerufene Adresse. Auf einer Website über Mundgesundheit kann bereits die Adresse eines Artikels einen Rückschluss auf ein gesundheitliches Anliegen zulassen. Wir stützen die Verarbeitung deshalb auf Ihre ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO, statt uns auf ein berechtigtes Interesse zu berufen. Ohne Ihre Zustimmung wird der Dienst nicht geladen.

Widerruf: jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen" im Fußbereich jeder Seite.

10.2 Meta-Pixel (nur mit Ihrer Einwilligung)

Sofern Sie im Einwilligungsbanner zugestimmt haben, setzen wir den Meta-Pixel der Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Irland ein. Der Pixel speichert Cookies auf Ihrem Endgerät (u. a. _fbp) und übermittelt an Meta, welche unserer Seiten Sie aufgerufen haben und ob Sie eine Bestellung abgeschlossen haben.

Zweck: Messung des Erfolgs unserer Werbeanzeigen auf Instagram und Facebook sowie Ausspielung dieser Anzeigen an Personen mit vergleichbarem Nutzungsverhalten.

Rechtsgrundlage: Ihre Einwilligung nach § 25 Abs. 1 TDDDG für die Speicherung auf Ihrem Endgerät und nach Art. 6 Abs. 1 lit. a DSGVO für die anschließende Verarbeitung. Für die Erhebung und Übermittlung der Daten sind wir und Meta gemeinsam Verantwortliche nach Art. 26 DSGVO; für die weitere Verarbeitung durch Meta ist Meta allein verantwortlich. Die wesentlichen Inhalte dieser Vereinbarung können Sie im Controller Addendum von Meta einsehen. Ihre Betroffenenrechte können Sie unabhängig davon sowohl uns gegenüber als auch gegenüber Meta geltend machen.

Übermittlung in die USA: Meta übermittelt Daten an die Meta Platforms, Inc. in den USA. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), ergänzend Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Wo der Pixel bewusst nicht läuft: Wir setzen den Pixel ausschließlich auf allgemeinen Informations- und Bestellseiten ein. Auf unseren Wissens-Artikeln, im Report-Bereich und im Kundenkonto ist er technisch abgeschaltet — auch dann, wenn Sie eingewilligt haben. So wird ausgeschlossen, dass aus der aufgerufenen Adresse ein Rückschluss auf Ihre Gesundheit an Meta gelangt. Wir übermitteln an Meta außerdem keine Gesundheitsdaten, keine Fragebogenantworten und keine Analyseergebnisse, auch nicht in verschlüsselter oder pseudonymisierter Form.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen" im Fußbereich jeder Seite widerrufen. Wir löschen daraufhin die von Meta gesetzten Cookies und laden den Pixel nicht erneut. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Ohne Einwilligung können Sie unsere Website uneingeschränkt nutzen.

Weitere Informationen zur Datenverarbeitung durch Meta finden Sie in der Datenschutzrichtlinie von Meta.

11. Warteliste

Auf unserer Website können Sie sich in die Warteliste eintragen. Dabei verarbeiten wir Ihre E-Mail-Adresse und — falls Sie ihn angeben — Ihren Vornamen, um Sie über den Verkaufsstart und über Neuigkeiten zu SPIT. zu informieren. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Nach dem Absenden des Formulars erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst wenn Sie diesen Link anklicken, wird Ihre Adresse in unsere Verteilerliste bei Brevo aufgenommen. Bestätigen Sie nicht, entsteht dort kein Eintrag; der Bestätigungslink verfällt nach 48 Stunden.

Sie können sich jederzeit über den Abmelde-Link in jeder E-Mail oder formlos an datenschutz@spit-health.com abmelden. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

12. Kontaktformular

Auf der Seite Kontakt können Sie uns über ein Formular schreiben. Verarbeitet werden dabei die Angaben, die Sie eintragen: Name, E-Mail-Adresse, das gewählte Anliegen und Ihre Nachricht.

Zweck und Rechtsgrundlage: Wir nutzen diese Angaben ausschließlich, um Ihre Anfrage zu bearbeiten und zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage einen Vertrag mit uns betrifft, im Übrigen unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

Keine Speicherung über den Schriftwechsel hinaus: Ihre Nachricht wird als E-Mail an unser Postfach zugestellt und dort im üblichen Schriftverkehr aufbewahrt. Wir legen daraus keinen Kontakt in unserem E-Mail-Marketing an, tragen Sie nicht in Verteilerlisten ein und speichern die Nachricht in keiner Datenbank. Der technische Versand erfolgt über unseren Dienstleister Brevo (siehe Ziffer 6).

Bitte keine Gesundheitsangaben: Das Kontaktformular ist nicht für Angaben zu Beschwerden, Diagnosen oder Medikamenten bestimmt, und wir weisen im Formular darauf hin. Für solche Angaben besteht an dieser Stelle keine Rechtsgrundlage. Erreichen sie uns dennoch, löschen wir sie, sobald wir sie bemerken.

Schutz vor automatisierten Einsendungen: Das Formular enthält ein für Sie unsichtbares Zusatzfeld und begrenzt die Zahl der Einsendungen je Internetzugang. Dabei wird Ihre IP-Adresse ausschließlich flüchtig im Arbeitsspeicher geprüft und nicht gespeichert. Ein Captcha-Dienst eines Drittanbieters kommt nicht zum Einsatz.

13. Elektronische Widerrufsfunktion

Unter Vertrag widerrufen stellen wir Ihnen die gesetzlich vorgeschriebene elektronische Widerrufsfunktion nach § 356a BGB bereit. Verarbeitet werden dabei die Angaben, die Sie eintragen: Name, E-Mail-Adresse, Bestellnummer, der gewählte Umfang des Widerrufs und eine freiwillige Anmerkung. Zusätzlich erfassen wir Datum und Uhrzeit des Eingangs — dazu sind wir gesetzlich verpflichtet, weil dieser Zeitpunkt darüber entscheidet, ob die Widerrufsfrist gewahrt ist.

Zweck und Rechtsgrundlage: Wir verarbeiten diese Angaben, um Ihren Widerruf zu bearbeiten und Ihnen die gesetzlich vorgeschriebene Eingangsbestätigung zu übermitteln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (Erfüllung einer rechtlichen Verpflichtung aus § 356a BGB) sowie Art. 6 Abs. 1 lit. b DSGVO (Rückabwicklung des Vertrags).

Keine gesonderte Speicherung: Ihre Erklärung wird als E-Mail an unser Postfach zugestellt und dort im üblichen Schriftverkehr aufbewahrt; eine Speicherung in einer Datenbank findet nicht statt. Die Aufbewahrung richtet sich nach den handels- und steuerrechtlichen Aufbewahrungsfristen für Geschäftsvorfälle. Der technische Versand erfolgt über unseren Dienstleister Brevo (siehe Ziffer 6).

Bitte keine Gesundheitsangaben: Ein Widerruf braucht keine Begründung. Für Angaben zu Beschwerden, Diagnosen oder Medikamenten besteht an dieser Stelle keine Rechtsgrundlage; erreichen sie uns dennoch, löschen wir sie, sobald wir sie bemerken.

Schutz vor automatisierten Einsendungen: Wie beim Kontaktformular enthält das Formular ein für Sie unsichtbares Zusatzfeld und begrenzt die Zahl der Einsendungen je Internetzugang. Ihre IP-Adresse wird dabei ausschließlich flüchtig im Arbeitsspeicher geprüft und nicht gespeichert.

14. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen unserer Dienstleistung anzupassen. Die aktuelle Version finden Sie stets auf unserer Website.