Rechtliches

Datenschutzerklärung

Der Schutz deiner personenbezogenen Daten hat höchste Priorität. Hier erfährst du, welche Informationen wir verarbeiten, auf welcher Grundlage das geschieht und welche Rechte du jederzeit geltend machen kannst.

Stand: 6. Oktober 2026

1. Verantwortliche Stelle

Lab2go – Maritta Schmid
Forststraße 24 · 73529 Schwäbisch Gmünd
hello@lab2go.net

2. Erhobene Daten

  • Stammdaten (Name, E-Mail-Adresse, Zahlungsdaten)
  • Gesundheits- und Biomarkerdaten, die du aktiv in der App erfasst
  • Protokolldaten (Logfiles, Geräte-Informationen, Cookies)

3. Zwecke der Verarbeitung

  • Bereitstellung und Individualisierung der Lab2go-Plattform inkl. Analysen und Erinnerungen
  • Kommunikation mit Nutzer:innen, Support und Produkt-Updates
  • Einhaltung gesetzlicher Dokumentations- und Aufbewahrungspflichten

4. Rechtsgrundlagen

Verarbeitung gemäß Art. 6 Abs. 1 lit. a (Einwilligung) und lit. b (Vertragserfüllung) DSGVO sowie Art. 9 Abs. 2 lit. a DSGVO für Gesundheitsdaten.

Für Gesundheitsdaten holen wir bei der Registrierung, in der Web-App und in der Mobile-App, eine gesonderte, ausdrückliche Einwilligung ein (Art. 9 Abs. 2 lit. a DSGVO). Ohne sie kann Lab2go keine Gesundheitsdaten speichern. Bei Konten, die vor dieser Abfrage angelegt wurden, fragen wir einmalig nachträglich danach.

Protokolldaten verarbeiten wir zusätzlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb, Sicherheit und Reichweitenmessung).

5. Speicherdauer & Löschung

Wir speichern personenbezogene Daten nur solange, wie dies für den jeweiligen Zweck oder aufgrund gesetzlicher Aufbewahrungsfristen erforderlich ist. Du kannst Daten jederzeit direkt in der App löschen oder eine vollständige Löschung anfordern.

6. Weitergabe an Dritte

Für den Betrieb der Website und der Lab2go-Apps setzen wir die folgenden Dienstleister ein. Eine Weitergabe zu Werbezwecken findet nicht statt.

  • Datenbank, Anmeldung und Dateispeicher (Web-App und Mobile-App): Supabase. Alle Konto- und Gesundheitsdaten liegen in der Region Frankfurt am Main (EU). Anbieter ist die Supabase Inc. mit Sitz in den USA.
  • Auswertung hochgeladener Befunde: Lädst du einen Befund hoch, wird das Dokument über den Automatisierungsdienst n8n (n8n Cloud, Instanz in der EU) an Mistral AI SAS (Sitz Paris, Frankreich) zur Texterkennung übergeben. Mistral AI strukturiert den erkannten Text zu einzelnen Laborwerten. Dabei werden Gesundheitsdaten einschließlich Name und Geburtsdatum aus dem Befund an n8n und Mistral AI übermittelt.
  • E-Mails: System-E-Mails (Bestätigung der Registrierung, Passwort zurücksetzen, Bestätigung einer E-Mail-Änderung) und Einladungen von Verwalter:innen versendet Resend (Sitz USA). Übermittelt werden die E-Mail-Adresse, bei Einladungen zusätzlich dein Name und der Name des Profils. Gesundheitsdaten werden dabei nicht übertragen.
  • Zahlung: Abos in der Web-App wickelt die Stripe Payments Europe Ltd. (Irland) ab. Stripe erhält deine E-Mail-Adresse und die Kennung deines Kontos, Zahlungsdaten erhebt Stripe selbst; Gesundheitsdaten erhält Stripe nicht. In der Mobile-App ist der Kauf über den Apple App Store vorgesehen; den Abo-Status verwaltet dann RevenueCat (Sitz USA), das dafür eine pseudonyme Nutzerkennung und die Kaufereignisse erhält, aber weder E-Mail-Adresse noch Namen oder Gesundheitsdaten.
  • Hosting: Die Website wird über Netlify und Cloudflare ausgeliefert, die Web-App über Lovable und Cloudflare. Dabei fallen Zugriffsdaten an (IP-Adresse, Browserkennung, aufgerufene Adresse). Cloudflare hat seinen Sitz in den USA.
  • Webanalyse und Feedback: Plausible Analytics (Plausible Insights OÜ, Estland), PostHog (PostHog Inc., EU-Cloud in Frankfurt) und Userback (Userback Pty Ltd, Australien); Einzelheiten stehen in den Abschnitten 9 und 10.

7. Deine Rechte

  • Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung
  • Widerruf bereits erteilter Einwilligungen mit Wirkung für die Zukunft
  • Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
  • Datenübertragbarkeit und Beschwerderecht bei der zuständigen Aufsichtsbehörde

Die Einwilligung für Gesundheitsdaten widerrufst du in der Web-App unter Einstellungen › Konto und in der Mobile-App unter Einstellungen › Einwilligungen. Mit dem Widerruf endet die Verarbeitung deiner Gesundheitsdaten, und wir löschen dein Konto mit allen Daten. Die Verarbeitung bis zum Widerruf bleibt rechtmäßig.

8. Sicherheit

  • Speicherung der Konto- und Gesundheitsdaten in einem Rechenzentrum in Frankfurt am Main (EU); welche Dienstleister einzelne Verarbeitungsschritte übernehmen und wo sie sitzen, steht in Abschnitt 6
  • Verschlüsselung sensibler Daten in Ruhe und während der Übertragung
  • Rollenkonzepte und Protokollierung

9. Webanalyse

Damit wir sehen, welche Seiten gelesen werden, messen wir die Reichweite der Website mit zwei Werkzeugen: Plausible Analytics und PostHog. Beide sind über Cloudflare Zaraz eingebunden. Zaraz erhält beim Seitenaufruf Seitenadresse, Seitentitel, Referrer, Bildschirm- und Fenstergröße, Farbtiefe und Zeitzone und setzt das Cookie cf_zaraz_client (gültig für lab2go.net und ihre Subdomains, Laufzeit ein Jahr); sein Wert ist leer. Plausible setzt selbst keine Cookies und arbeitet ohne Einwilligung. PostHog arbeitet in zwei Stufen, je nachdem, ob du im Einwilligungsbanner zustimmst (siehe unten). Es findet kein Tracking über mehrere Websites hinweg statt.

Plausible Analytics. Anbieter ist die Plausible Insights OÜ (Estland, EU). Dein Browser lädt das Plausible-Skript direkt von plausible.io und sendet den Messaufruf dorthin. Dabei erreicht deine IP-Adresse Plausible technisch bedingt. Nach Angaben von Plausible wird sie nicht gespeichert und nicht an Dritte weitergegeben.

Nutzungsstatistik mit PostHog. Anbieter ist die PostHog Inc. (USA), mit der wir einen Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO geschlossen haben. Die Daten werden in der EU-Cloud von PostHog in Frankfurt gespeichert. Skript und Messaufrufe laufen über unsere eigene Adresse t.lab2go.net, einen von PostHog betriebenen Weiterleitungsdienst.

Einwilligungsbanner. Beim ersten Besuch fragt dich ein Banner von Cloudflare Zaraz, ob PostHog dich mit einem Cookie messen darf. „Akzeptieren“ und „Ablehnen“ sind gleichwertig. Zaraz speichert deine Wahl im Cookie cf_consent (gültig für lab2go.net und ihre Subdomains, Laufzeit ein Jahr). Über „Cookie-Einstellungen“ im Seitenfuß änderst du die Wahl jederzeit.

Mit Zustimmung. Stimmst du zu, setzt PostHog das Cookie ph_phc_yxR7pkWmJemNyF82xNqqlGzaBZZLxY0xIsmeTiuE1AN_posthog (gültig für lab2go.net und ihre Subdomains, Laufzeit ein Jahr) und legt dieselbe Kennung sowie deine Wahl im lokalen Speicher deines Browsers ab. Daran erkennt PostHog dich bei späteren Besuchen wieder. Meldest du dich zusätzlich in der Web-App an und stimmst dort der Nutzungsstatistik zu, verknüpft PostHog diese Kennung mit deiner pseudonymen Konto-ID (eine zufällige Nummer, keine E-Mail-Adresse und kein Name); so lassen sich Besuche der Website und der Web-App zusammenführen. PostHog erfasst auch dann nur Seitenaufrufe und das Verlassen einer Seite; übermittelt werden die Seitenadresse ohne Parameter und Sprungmarke, Pfad und Host, die verweisende Seite ohne Parameter, die vorherige Seite und wie lange sie angezeigt wurde, eine Sitzungs- und Fensterkennung, der Hinweis, dass die Daten von der Website stammen, sowie technische Felder von PostHog. Seitentitel, Zeitzone, Bildschirmgröße und Browserkennung werden nicht übermittelt. Klicks, Eingaben und Sitzungsaufzeichnungen gibt es nicht. Widerrufst du, löscht die Website Cookie und Kennung.

Ohne Zustimmung (Ablehnen oder keine Wahl). Lehnst du ab oder triffst du keine Wahl, setzt PostHog kein Cookie und speichert nichts in deinem Browser. PostHog zählt dann dieselben Seitenaufrufe wie oben beschrieben, ohne Sitzungs- und Fensterkennung. Dafür erhält PostHog zusätzlich die Browserkennung (User-Agent) deines Browsers und berechnet daraus zusammen mit der IP-Adresse und einem täglich wechselnden Zufallswert einen Hashwert, mit dem Besuche am selben Tag unterschieden werden. Browserkennung und IP-Adresse werden nicht gespeichert. PostHog legt kein Nutzerprofil an und verknüpft nichts mit einem Lab2go-Konto. Ein Standort wird aus der IP-Adresse nicht abgeleitet. Die KI-Funktionen von PostHog sind für unser Konto abgeschaltet. Sendet dein Browser das Signal „Do Not Track“, erfasst PostHog auf der Website in beiden Fällen nichts.

Web-App: In den Einstellungen der Lab2go-Web-App kannst du eine Nutzungsstatistik mit PostHog einschalten. Sie ist standardmäßig aus; ohne deine Zustimmung wird nichts erfasst. Sendet dein Browser „Do Not Track“, erfasst die Web-App nichts und bietet den Schalter nicht an. Erfasst werden nur grobe Nutzungsereignisse: aufgerufene Bereiche der App als Seitenvorlage ohne Parameter, Registrierung und Anmeldung, das Anlegen eines Messwerts (Quelle: manuell, Texterkennung oder Import), Start und Ende eines Befund-Scans mit Ergebnis (erfolgreich, Limit oder Fehler), das Hochladen eines Dokuments (PDF oder Bild), das Anlegen und Annehmen einer Freigabe, das Einladen eines Verwalters und ein Export (Format). Messwerte, Dokumentinhalte, Namen und E-Mail-Adressen werden dabei nicht übermittelt. Mit deiner Zustimmung wird die Kennung mit deiner pseudonymen Konto-ID verknüpft, und PostHog legt dazu ein Profil an; das Cookie ist das oben genannte. Widerrufst du, wird die Statistik beendet und die Kennung zurückgesetzt.

App für Mobilgeräte: In der Lab2go-App für Mobilgeräte kommt eine Nutzungsstatistik erst nach deiner Einwilligung; ihre Einführung folgt, und wir beschreiben sie hier, bevor sie startet.

Rechtsgrundlagen. Für Plausible auf der Website ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine datensparsame Reichweitenmessung. Für PostHog mit Cookie ist die Rechtsgrundlage deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); du kannst sie jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ widerrufen. Für die cookielose Zählung von PostHog ohne Einwilligung ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine datensparsame Reichweitenmessung.

Für die Nutzungsstatistik in der Web-App ist die Rechtsgrundlage deine Einwilligung (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, indem du die Statistik in den Einstellungen wieder ausschaltest.

10. Feedback-Formular

In der Fußzeile jeder Seite steht die Schaltfläche „Feedback geben“. Sie öffnet eine Auswahl: nur Text, Screenshot oder Bildschirmvideo. Erst wenn du eine Art wählst, laden wir das Feedback-Formular des Anbieters Userback (Userback Pty Ltd, Australien). Vorher besteht keine Verbindung zu Userback, und Userback speichert nichts in deinem Browser. Das Formular hat Felder für deine Nachricht und, freiwillig, für deinen Namen und deine E-Mail-Adresse. Du entscheidest, was erfasst wird; freigeschaltet ist nur die gewählte Art. Dateianhänge und Sitzungsaufzeichnungen gibt es nicht. Bitte nimm keine Gesundheitsdaten in Nachricht, Screenshot oder Video auf.

Beim Absenden übermittelt dein Browser an Userback: den Inhalt des Formulars (bei Screenshot oder Bildschirmvideo zusätzlich den aufgenommenen Bildschirminhalt), Adresse und Titel der Seite, auf der du dich befindest, die Browserkennung (User-Agent), die Fenstergröße, die Bildschirmauflösung und die Farbtiefe. Deine IP-Adresse erreicht Userback beim Verbindungsaufbau technisch bedingt. Ab dem Klick legt Userback einen Eintrag im lokalen Speicher deines Browsers an.

Wir nutzen deine Rückmeldung, um Fehler zu beheben und die Website zu verbessern, und antworten dir, wenn du eine E-Mail-Adresse angegeben hast. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse sind Rückmeldungen zur Website. Der Eintrag im lokalen Speicher ist nach § 25 Abs. 2 Nr. 2 TDDDG zulässig, weil er für den von dir ausdrücklich angeforderten Dienst erforderlich ist. Userback verarbeitet die Daten in unserem Auftrag; mit der Userback Pty Ltd haben wir einen Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Weil Userback seinen Sitz in Australien hat, werden die Daten in ein Drittland übermittelt; dafür gelten Standardvertragsklauseln. Nutzt du das Formular nicht, werden keine Daten an Userback übermittelt.

Kontakt zum Datenschutz

Bei Fragen erreichst du uns unter hello@lab2go.net .

Fragen zum Datenschutz beantworten wir in der Regel innerhalb von 5 Werktagen. Anträge zu deinen Rechten, etwa auf Auskunft oder Löschung, erledigen wir spätestens innerhalb eines Monats.

Du hast außerdem das Recht, dich bei einer Aufsichtsbehörde zu beschweren. Zuständig für uns ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart.