Datenschutzerklärung und regulatorische Compliance für die Stressmessung von Sapiens

Zuletzt aktualisiert: 15. Oktober 2026

Hinweis: Diese Übersetzung wurde automatisch erstellt und dient nur der Information. Rechtlich verbindlich ist ausschließlich die englische Fassung.

Kurzüberblick

Datenschutz (nicht abschließend, Details siehe unten)

Bei Sapiens schützen wir Ihre Privatsphäre und Ihre personenbezogenen Daten. Unsere Datenschutzpraxis entspricht der Datenschutz-Grundverordnung der Europäischen Union (DSGVO). Bevor wir mit B2B-Kunden in Staaten außerhalb der EU zusammenarbeiten, prüfen wir zusätzlich die Einhaltung der Vorschriften im Land des B2B-Kunden (doppelte Compliance).

Ihre Daten („Ihre“ bezieht sich auf die Daten der betroffenen Person) sind durch strenge Zugriffskontrollen, Pseudonymisierung und fortschrittliche Sicherheitsmaßnahmen geschützt und werden sicher auf Servern in der EU gespeichert.

Identifizierbare personenbezogene Daten werden weder an den Arbeitgeber noch an unbeteiligte Dritte weitergegeben.

Die Verarbeitung und Speicherung der Teilnehmerdaten erfolgt durch die Sapiens Health & Performance GmbH in Deutschland. Die Laboranalyse von Haar- und/oder Speichelproben führt die Dresden Lab Services GmbH (Deutschland) durch. Die Proben (Speichelröhrchen und Material zur Haarentnahme) sind zur Rückverfolgbarkeit vorab mit einer zufälligen Teilnehmer-ID beschriftet. Nachdem die betroffene Person (oder Mitarbeitende von Sapiens bzw. des Kunden) die Speichel- und/oder Haarproben entnommen hat, werden diese ohne identifizierende Angaben, nur mit der zufälligen Teilnehmer-ID, an das Labor geschickt. Sapiens erhält die Laborergebnisse ausschließlich mit der zufälligen Teilnehmer-ID verknüpft. Sapiens verarbeitet und speichert alle Teilnehmerdaten in Microsoft Azure in EU-Regionen, verschlüsselt bei der Übertragung und im Ruhezustand und mit Zugriffskontrollen, die für sensible Gesundheitsdaten angemessen sind. Individuelle Berichte erhalten die betroffenen Personen (Teilnehmende) per E-Mail als passwortgeschützte PDF-Datei. Ein Einmalpasswort wird separat per SMS oder WhatsApp versendet, um das Risiko eines unbefugten Zugriffs zu verringern. Manche Arbeitgeber erlauben nur SMS. In diesen Programmen wird WhatsApp nicht genutzt. Teilnehmende haben kein Sapiens-Konto, kein Login und kein Online-Portal. Alle Daten werden unter einer anonymen Teilnehmer-ID erhoben. Die Ergebnisse erreichen die Teilnehmenden ausschließlich als verschlüsselte PDF-Datei und in einem Auswertungsgespräch.

Identifizierbare personenbezogene Daten werden nicht an den bzw. Ihren Arbeitgeber weitergegeben und nicht in identifizierbarer Form gegenüber externen Stellen offengelegt, es sei denn, Sie willigen ausdrücklich ein oder wir sind gesetzlich dazu verpflichtet.

Externe Dienstleister (z. B. Labor, Umfrageplattform) verarbeiten Daten ausschließlich unter zufälligen Teilnehmer-IDs (z. B. „IDHDHK“) und erhalten von Sapiens weder Ihren Namen noch Ihre E-Mail-Adresse noch andere identifizierende personenbezogene Daten.

Bevor wir gesundheitsbezogene Informationen erheben, holen wir Ihre ausdrückliche Einwilligung ein. Sie können sie jederzeit widerrufen. Ihre Gesundheits- und Messdaten löschen oder anonymisieren wir nach 24 Monaten, sofern nichts anderes vereinbart ist. In Arbeitgeberprogrammen werden alle Programmdaten nach Ende des Vertrags mit dem Kunden oder nach 24 Monaten gelöscht. Rechnungen und Buchhaltungsunterlagen werden getrennt für die gesetzlichen Aufbewahrungsfristen nach deutschem Steuer- und Handelsrecht aufbewahrt.

Weitere Aspekte der regulatorischen Compliance (nicht abschließend, Details siehe unten)

Sapiens ist ein Wellness- und Lifestyle-Angebot. Sapiens stellt keine Diagnosen, nimmt keine klinische Bewertung vor, behandelt nicht und verschreibt nichts.

Unsere Leistungen sind so gestaltet, dass sie nach geltendem Recht keine Ausübung der Heilkunde und keine regulierten medizinischen Handlungen darstellen.

‍‍Speichel-, Haar- und andere Bioproben werden als DHL Express oder DHL Paket (keine Briefumschläge) in der vorgeschriebenen Dreifachverpackung gemäß den IATA-Vorschriften für Flüssigkeiten versendet und als „Exempt Human Specimen“ gekennzeichnet.

Gemäß den Gefahrgutvorschriften, 3.6.2.2.3.8, können diese „Exempt Human Specimens“ aus den meisten Ländern an das Labor in Deutschland versendet werden, da das Vorhandensein von Krankheitserregern sehr unwahrscheinlich ist. Vor Vertragsabschluss mit Kunden außerhalb der EU/des EWR werden die lokalen Vorschriften geprüft. Sapiens arbeitet mit Kunden und Teilnehmenden in vielen Ländern weltweit. In einigen Ländern beschränken lokale Vorschriften die Ausfuhr von Bioproben oder Gesundheitsdaten, sodass dort nicht das gesamte Leistungsportfolio angeboten werden kann. In diesen Ländern können wir dennoch angepasste Pakete vereinbaren, zum Beispiel ohne Bioproben. Dies betrifft derzeit Afghanistan, Ägypten, Argentinien, Armenien, Belarus, Ecuador, Festlandchina (einschließlich Beijing, Guangzhou, Shanghai und Shenzhen), Indien, Indonesien, Iran, Kasachstan, Kenia, Kirgisistan, Kuba, Mexiko, Moldau, Myanmar, Nordkorea, Pakistan, Paraguay, Russland, Südafrika, Taiwan, Türkei, Uruguay, Venezuela und Vietnam. Hongkong ist davon nicht betroffen.

Die Proben sind zur Rückverfolgbarkeit vorab mit einer zufälligen Teilnehmer-ID beschriftet. Speichel entnehmen die Teilnehmenden selbst. Haarproben können von den Teilnehmenden, von Mitarbeitenden von Sapiens oder, falls vereinbart, von Mitarbeitenden des Kunden nach Anweisung von Sapiens entnommen werden. Jeder Schritt der Verwahrungskette (Entnahme, Versiegelung, Übergabe zum Versand, Eingang, Annahme im Labor) wird in einem Verwahrungsprotokoll dokumentiert.

Diese Erklärung gilt unabhängig davon, ob Sie Sapiens Diagnostics direkt als Privatperson gekauft haben oder über Ihren Arbeitgeber teilnehmen. Wo ein Abschnitt einen Kunden erwähnt, ist damit der Arbeitgeber oder die Organisation gemeint. Wenn Sie direkt gekauft haben, gelten diese Abschnitte nicht für Sie. In beiden Fällen werden Ihre individuellen Ergebnisse niemals an einen Arbeitgeber weitergegeben.

Begriffe

„Kunde“: Person oder Organisation, die mit Sapiens einen Vertrag über die Erbringung des Service geschlossen hat. Dabei werden persönliche und gemessene Informationen der betroffenen Person(en) genutzt, die der Kunde bestimmt.

„Betroffene Person“: Person, deren Informationen Sapiens zur Erbringung des Service nutzt, darunter Selbsteinschätzungen, Speichel- und Haarmessdaten, Herzschlagmessdaten und weitere persönliche Informationen. In diesem Dokument wird die betroffene Person mit „Sie“ angesprochen. Die Begriffe betroffene Person, Sie, Teilnehmende und Nutzende unseres Service werden gleichbedeutend verwendet. Nutzende der Sapiens-Leistungen können betroffene Personen im B2B- oder im B2C-Kontext sein. Einzelne Nutzende können Beschäftigte eines B2B-Kunden sein (zahlend oder nicht zahlend), Personen mit Bezug zu einem B2B-Kunden (z. B. externe Programmteilnehmende, zahlend oder nicht zahlend) oder B2C-Kunden (zahlend).

„Service“: Die personalisierten Wellness- und Performance-Lösungen von Sapiens, einschließlich der Erhebung und Analyse individueller Gesundheitsdaten wie Antworten aus Selbsteinschätzungen und physiologischer Messungen (z. B. Speichel, Haar, Herzschlagdaten), sowie Einzelberatungen und Gruppenworkshops, wie im Vertrag zwischen dem Kunden und Sapiens festgelegt.

‍

Datenschutzgrundsätze

DSGVO-Konformität: Bei Sapiens schützen wir Ihre Privatsphäre und Ihre personenbezogenen Daten. Unsere Datenschutzpraxis entspricht der Datenschutz-Grundverordnung der Europäischen Union (DSGVO).
Doppelte Compliance: Bei B2B-Kunden außerhalb der EU bzw. des EWR prüft Sapiens vor Vertragsschluss zusätzlich zur DSGVO die Einhaltung der jeweils relevanten lokalen Datenschutzanforderungen.
Kontrolle: Sie (= einzelne Nutzende) behalten die Kontrolle über Ihre Daten. Sie entscheiden, was Sie teilen. Sie haben das Recht, Ihre Daten an einen anderen Anbieter übertragen zu lassen (Datenübertragbarkeit) und ihre Löschung aus unseren Systemen zu verlangen (Recht auf Löschung).
Zweckgebundene Verarbeitung: Zweck der Verarbeitung personenbezogener Daten ist eine personalisierte Analyse und Beratung zu Wohlbefinden und Leistungsfähigkeit. Wir erheben nur die Daten, die wir für unsere Produkte und Leistungen benötigen, und speichern keine unnötigen Informationen.
Datensicherheit: Ihre Daten sind durch strenge Zugriffskontrollen und fortschrittliche Sicherheitsmaßnahmen geschützt. Zugriff hat nur befugtes Personal mit berechtigtem Zweck. Die Daten werden bei der Übertragung und im Ruhezustand verschlüsselt und auf Servern in der Europäischen Union gespeichert. Individuelle Berichte werden als passwortgeschützte PDF-Dateien per E-Mail zugestellt. Ein Einmalpasswort wird separat per SMS oder WhatsApp versendet, um das Risiko eines unbefugten Zugriffs zu verringern. Manche Arbeitgeber erlauben nur SMS. In diesen Programmen wird WhatsApp nicht genutzt.
Pseudonymisierung: Dritte (z. B. Analyselabor und Umfrageplattform) erhalten von Sapiens niemals identifizierende personenbezogene Daten. Stattdessen werden die Daten unter zufälligen pseudonymen Teilnehmer-IDs verarbeitet (z. B. „DFDIGH“). Die Teilnehmer-IDs sind zufällig und enthalten keine Informationen über die Person. Der Schlüssel zur Re-Identifizierung (Zuordnung ID ↔ Name/E-Mail) wird getrennt und mit streng beschränktem Zugriff gespeichert. Zugriff haben nur der zugewiesene Coach der teilnehmenden Person und die Geschäftsführung von Sapiens. Mitarbeitende der Logistik sehen nur Name, E-Mail-Adresse und Versandadresse, niemals Messdaten. Mitarbeitende der Technik greifen nur zur technischen Fehlerbehebung auf Identitätsdaten zu. Jede teilnehmende Person hat genau einen Coach. Alle anderen Teammitglieder von Sapiens arbeiten hinter Informationsbarrieren und haben keinen Zugriff auf identifizierbare Teilnehmerdaten.
Sicherheitsmaßnahmen: Wir setzen Maßnahmen für Vertraulichkeit, Integrität und Verfügbarkeit ein, die für sensible Gesundheitsdaten angemessen sind. Dazu gehören Verschlüsselung bei der Übertragung und im Ruhezustand, rollenbasierte Zugriffskontrolle, Multi-Faktor-Authentifizierung, Audit-Protokollierung, die Trennung des Re-Identifizierungsschlüssels von den Messdaten, Geräteverschlüsselung auf Endgeräten sowie dokumentierte Verfahren zur Reaktion auf Sicherheitsvorfälle.
Ausdrückliche Einwilligung: Bevor wir gesundheitsbezogene personenbezogene Daten erheben oder verarbeiten, holen wir in einem transparenten Verfahren Ihre ausdrückliche Einwilligung ein. Wir informieren Sie ausführlich darüber, wie Ihre Daten verarbeitet werden, und Sie behalten jederzeit die volle Kontrolle über Ihre Einwilligung. Freiwilligkeit bei arbeitgeberfinanzierten Programmen: Teilnahme und Einwilligung sind freiwillig. Wenn Sie in die Verarbeitung von Gesundheitsdaten nicht einwilligen, können Sie die Teilnahme ablehnen, ohne dass Ihnen im Beschäftigungsverhältnis Nachteile entstehen. Ihr Arbeitgeber erhält von Sapiens keine identifizierbaren Daten auf individueller Ebene, es sei denn, Sie willigen gesondert und ausdrücklich ein.
Keine Weitergabe personenbezogener Daten an den Arbeitgeber: Ohne Ihre Einwilligung geben wir Ihre Daten nicht weiter, auch nicht an Ihren Arbeitgeber. Anonymisierte, aggregierte Auswertungen stellen wir nur für Gruppen mit mehr als 20 Teilnehmenden bereit, ohne Untergruppen.
Aufbewahrung und regelmäßige Überprüfung: Wir speichern identifizierbare personenbezogene Daten bis zu 24 Monate ab Ihrer letzten Interaktion mit uns. Daten, die nicht mehr benötigt werden oder nicht mehr relevant sind, prüfen und löschen wir regelmäßig. In Arbeitgeberprogrammen werden alle Programmdaten nach Ende des Vertrags mit dem Kunden oder nach 24 Monaten gelöscht.
Anonymisierte Daten für die Forschung: Sapiens gibt keine Daten auf individueller Ebene an Dritte weiter. Daten werden nur dann für die Forschung genutzt, wenn (i) für die Forschung, soweit erforderlich, ein positives Ethikvotum vorliegt und (ii) die teilnehmende Person gesondert und ausdrücklich in die Forschung eingewilligt hat. Forschungsauswertungen nutzen anonymisierte oder aggregierte Datensätze und verwenden weder Namen noch direkt identifizierende Informationen.
Ihre Rechte: Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Übertragung Ihrer Daten. Soweit anwendbar, können Sie Ihre Einwilligung außerdem jederzeit widerrufen.
Kontinuierliche Verbesserung: Wir überprüfen und verbessern unsere Datenschutzpraxis aktiv. Alle Aktualisierungen veröffentlichen wir auf unserer Website, damit Sie informiert bleiben.

Verantwortlicher

Verantwortlicher ist:
Sapiens Health & Performance GmbH („Sapiens“)
Dinxperloer Straße 365
46399 Bocholt
Deutschland

Den Verantwortlichen („Sapiens“) erreichen Sie per E-Mail unter support@be-sapiens.com oder telefonisch unter +49 172 88 66 434.

Sapiens ist für die Erbringung des Service eigenständiger Verantwortlicher für die Daten der einzelnen Teilnehmenden, auf Grundlage der ausdrücklichen Einwilligung jeder teilnehmenden Person. Die Teilnahme ist freiwillig, die Einwilligung kann jederzeit widerrufen werden, und eine Ablehnung hat keine Folgen für das Beschäftigungsverhältnis. Dienstleister wie die Dresden Lab Services GmbH und Firstbeat handeln je nach Verarbeitungstätigkeit als Auftragsverarbeiter. Kunden (z. B. Arbeitgeber oder Universitäten) sind operative Partner und erhalten keine identifizierenden personenbezogenen Teilnehmerdaten, es sei denn, die teilnehmende Person willigt gesondert und ausdrücklich ein. Legen der Kunde und Sapiens Zwecke und Mittel einer Forschung gemeinsam fest, gelten eine gesonderte Vereinbarung über die gemeinsame Verantwortlichkeit und ein eigenes Verfahren für die Forschungseinwilligung.

Wenn der Kunde keine Proben entnimmt, keine Teilnehmerdaten verarbeitet oder einsieht und keine Forschung betreibt, handelt er ausschließlich als operativer bzw. werblicher Partner. In diesem Fall ist der Kunde für die Teilnehmerdaten weder Auftragsverarbeiter noch Verantwortlicher und erhält von Sapiens keine individuell identifizierbaren Daten. Die Rolle des Kunden beschränkt sich auf Bewerbung und logistische Koordination, ohne Zugang zu den Systemen von Sapiens oder zu Ergebnissen einzelner Teilnehmender.

Entnimmt der Kunde Haarproben oder unterstützt er Abläufe vor Ort nach dokumentierten Weisungen von Sapiens, handelt der Kunde (oder sein benanntes Personal) für diese begrenzten Tätigkeiten als Auftragsverarbeiter und muss einen Auftragsverarbeitungsvertrag (AVV) sowie Vertraulichkeitsverpflichtungen unterzeichnen. Der Kunde muss die Protokolle von Sapiens einhalten, einschließlich Pseudonymisierung, sicherer Handhabung und Dokumentation der Verwahrungskette.

Legen der Kunde und Sapiens Zwecke und Mittel einer Forschung gemeinsam fest, gilt eine gesonderte Vereinbarung über die gemeinsame Verantwortlichkeit. Geforscht wird dann nur mit: (i) den erforderlichen Ethikvoten, soweit vorgeschrieben, und (ii) einer gesonderten, ausdrücklichen Forschungseinwilligung der Teilnehmenden. Forschungsergebnisse beruhen auf anonymisierten oder aggregierten Datensätzen und enthalten weder Namen noch direkt identifizierende Informationen.

‍

Datenschutzbeauftragter

Wir haben Martin Bastius von der heyData GmbH als externen Datenschutzbeauftragten benannt. Sie erreichen ihn hier:

Martin Bastius, heyData GmbH
Bertolt-Brecht-Platz 3
10117 Berlin
Deutschland
E-Mail: datenschutz@heydata.eu
Telefon: +49 89 41325320

Sie können sich mit allen Fragen zum Datenschutz oder zu Ihren Rechten direkt an unseren Datenschutzbeauftragten wenden.

Cyberversicherung

Sapiens ist bei Hiscox gegen Cybervorfälle versichert, mit einer Deckung von bis zu 1.000.000 € je Schadenfall. Im Ernstfall arbeitet das Krisenteam von Hiscox direkt mit uns am Vorfallmanagement.

Unsere Versicherungsbestätigung ansehen (PDF)

Zweck und Rechtsgrundlage der Datenverarbeitung

Zweck der Verarbeitung der personenbezogenen Daten ist der grundlegende Betrieb des Service, einschließlich des Nutzersupports. Grundlegender Zweck des Service ist eine personalisierte Analyse, wie sich Lebensstilfaktoren auf verschiedene Aspekte des Wohlbefindens auswirken.

Die Speichel- und Haarmessungen der betroffenen Person und, falls vom Kunden gewünscht, weitere Bioproben wie Bluttests sowie gemessene Herzschlagdaten und Daten aus der Selbsteinschätzung werden zur Erbringung des Service verwendet.

Der Service umfasst zusätzlich ein direktes persönliches Feedback an jede einzelne betroffene Person durch einen Sapiens-Coach. In der Regel gehören dazu ein pseudonymisierter Feedbackbericht an die betroffene Person zu ihrem allgemeinen Wohlbefinden und ein persönliches Gespräch zum Bericht mit einem Sapiens-Coach. Der Service kann außerdem Gruppenworkshops beim Kunden umfassen, in denen nicht identifizierbare, aggregierte und anonymisierte Daten gezeigt werden, sofern der Kunde dies wünscht und es den Interessen der Teilnehmenden dient (es gelten Bedingungen für die Weitergabe aggregierter Daten, siehe unten). Die Einzelheiten des Service sind im Vertrag zwischen dem Kunden und Sapiens ausführlich beschrieben. Personenbezogene Daten wie E-Mail-Adresse, Telefonnummer und Name werden auch für den Support und die Kommunikation zwischen Sapiens und der betroffenen Person verwendet. Wenn das anwendbare Recht für die Verarbeitung bestimmter in diesem Dokument beschriebener personenbezogener Daten eine Einwilligung der betroffenen Person verlangt (zum Beispiel bei Gesundheitsdaten, also sogenannten besonderen Kategorien personenbezogener Daten), wird die Einwilligung auf geeignete Weise eingeholt.

Dies kann zum Beispiel durch Anklicken eines gesonderten Einwilligungskästchens in einer Umfrage geschehen oder durch eine andere eindeutige Handlung oder Erklärung, mit der die Einwilligung zum Ausdruck gebracht wird. Wird die Einwilligung verweigert, kann der jeweilige Service unter Umständen nicht angeboten werden. Sapiens nutzt Teilnehmerdaten zur Erbringung des Service. Jede zusätzliche Nutzung für Forschungszwecke ist freiwillig und erfolgt nur mit gesonderter, ausdrücklicher Forschungseinwilligung und, soweit erforderlich, einem positiven Ethikvotum. Forschungsergebnisse beruhen auf anonymisierten oder aggregierten Datensätzen, sodass einzelne Teilnehmende nicht identifizierbar sind.

Die Bereitstellung von Gesundheits- und Biomarkerdaten ist gesetzlich nicht vorgeschrieben. Wenn Sie jedoch die erforderlichen Mindestdaten (z. B. Proben und/oder Antworten im Fragebogen) nicht bereitstellen oder nicht in die Verarbeitung von Gesundheitsdaten einwilligen, kann Sapiens Ihren persönlichen Bericht nicht erstellen und den Service nicht vollständig erbringen.

Rechtsgrundlagen für die Verarbeitung personenbezogener Daten nach der DSGVO (Artikel 6 und Artikel 9):

(1) Kontodaten und administrative Daten (z. B. Name, E-Mail-Adresse, Programmverwaltung) verarbeitet Sapiens in erster Linie zur Erfüllung des Dienstleistungsvertrags und für den Support (Art. 6(1)(b) DSGVO) sowie, soweit anwendbar, zur Erfüllung rechtlicher Pflichten (Art. 6(1)(c)).

(2) Gesundheitsbezogene Daten und andere besondere Kategorien personenbezogener Daten (z. B. Biomarker-Ergebnisse, Gesundheitsangaben im Fragebogen) verarbeitet Sapiens ausschließlich mit Ihrer ausdrücklichen Einwilligung (Art. 9(2)(a) DSGVO) und auf der entsprechenden Rechtsgrundlage der Einwilligung (Art. 6(1)(a)).

(3) Soweit wir begrenzte Daten für Sicherheit, Betrugsprävention, die Verbesserung des Service und die Abwehr von Rechtsansprüchen verarbeiten, stützen wir uns auf berechtigte Interessen (Art. 6(1)(f)) und wenden dabei strenge Schutzmaßnahmen und Datenminimierung an.

Sie können Ihre Einwilligung jederzeit widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

‍

Speicherdauer der personenbezogenen Daten

Ihre Gesundheits- und Messdaten löschen oder anonymisieren wir 24 Monate nach Ihrer letzten Interaktion mit uns. In Arbeitgeberprogrammen werden alle Programmdaten nach Ende des Vertrags mit dem Kunden oder nach 24 Monaten gelöscht. Sapiens bestätigt die Löschung schriftlich. Wo möglich, löschen wir den Re-Identifizierungsschlüssel früher. Dadurch werden die verbleibenden codierten Messdaten anonymisiert, und wir bewahren gegebenenfalls nur aggregierte oder anonymisierte Datensätze auf. Rechnungen, Bestellunterlagen und andere Buchhaltungsunterlagen werden getrennt für die gesetzlichen Aufbewahrungsfristen nach deutschem Steuer- und Handelsrecht aufbewahrt und anschließend gelöscht. Diese Unterlagen enthalten Ihre Rechnungsdaten und Angaben zu Ihrem Kauf. Ihre Messergebnisse enthalten sie nicht. Nach Ablauf der jeweiligen Aufbewahrungsfrist löscht Sapiens die Daten oder anonymisiert sie unumkehrbar, gemäß dokumentierten Löschfristen und den gesetzlichen Anforderungen.

‍

Art der personenbezogenen Daten

Kreis der betroffenen Personen: Im Service werden die personenbezogenen Daten der teilnehmenden betroffenen Personen verarbeitet. In der Regel ist der Kunde von Sapiens die Organisation, der die betroffenen Personen angehören, und der Kunde bestimmt den Kreis der betroffenen Personen.

Allgemeine Daten: Der Kunde übermittelt für jede betroffene Person im Service den vollständigen Namen und die E-Mail-Adresse. Sapiens speichert Identitätsdaten in Microsoft Azure in der EU. Teilnehmende haben kein Sapiens-Konto, kein Login und kein Online-Portal. Die übrigen personenbezogenen Daten stellen die betroffenen Personen selbst bereit, über die Selbsteinschätzung, die Selbstentnahme von Proben oder durch die Nutzung von Messgeräten. Der Kunde oder Sapiens kann bei der Erbringung des Service zusätzlich Informationen von den betroffenen Personen erheben. Außerdem entstehen Informationen analytisch durch die eigenen Tätigkeiten von Sapiens.

Die Datenbank enthält die folgenden Informationen (teilweise oder vollständig) über die betroffenen Personen. Bevor die betroffenen Personen diese Daten bereitstellen, erteilen sie ihre Einwilligung und erhalten die Datenschutzerklärung von Sapiens. Die betroffenen Personen entscheiden selbst, ob sie die folgenden Daten bereitstellen, und sind dazu nicht verpflichtet.

Vollständiger Name (Vor- und Nachname)
E-Mail-Adresse
Telefonnummer: Für die Zustellung des Passworts per SMS oder WhatsApp verarbeiten wir Ihre Mobilnummer und Metadaten zur Nachrichtenzustellung, um das Passwort für Ihren Bericht über einen separaten Kanal zu senden.
Geburtsjahr, Geschlecht
Informationen über den Kunden (z. B. den Arbeitgeber der betroffenen Person), z. B. Name des Unternehmens

Alle oben genannten Daten werden getrennt von den unten beschriebenen Gesundheitsdaten gespeichert. Diese werden ausschließlich unter einer zufälligen Teilnehmer-ID gespeichert (z. B. DHDIKL)

Unter zufälligen Teilnehmer-IDs gespeichert werden:

Sensible Gesundheitsinformationen, sofern die betroffene Person sie bereitstellt:
- 1. Standard-Kit von Sapiens Diagnostics. In jedem Programm enthalten.
  - Ergebnisse der Cortisolmessung im Speichel
  - Messungen von Steroiden (Cortisol, Cortison, Testosteron, DHEA) und Endocannabinoiden (AEA, 1/2 AG, OEA, SEA, PEA) im Haar
  - Daten zu Herzfrequenz und Herzfrequenzvariabilität aus der EKG-Messung, einschließlich Erholungs- und Schlafwerten
  - Einschlafzeitpunkt, Schlafdauer und der Schlafrhythmus, der sich aus vielen Schlafphasen ergibt
- 2. Wissenschaftliche Selbsteinschätzung. In jedem Programm enthalten, und nur das, was Sie uns mitteilen möchten.
  - Wahrgenommener Stress und wahrgenommene Resilienz
  - Wahrgenommene arbeitsbezogene Stressoren
  - Wahrgenommener Lebensstil und Gewohnheiten, einschließlich Ernährung, Bewegung und Aufmerksamkeitssteuerung
  - Chronische und akute Erkrankungen, Medikamente und frauenspezifische Gesundheitsthemen
  - Magen-Darm-, Immun- oder Muskel-Skelett-Beschwerden
  - Nervosität und emotionales Wohlbefinden
- 3. Optionale Zusatztests. Nicht Teil des Standard-Kits. Diese werden nur verarbeitet, wenn Sie sie bei Ihrer Bestellung als Privatkunde auswählen, oder in einem Arbeitgeber- bzw. Organisationsprogramm nur dann, wenn der Arbeitgeber sie ausdrücklich angefragt hat und dies gesondert vereinbart wurde. In den meisten Arbeitgeberprogrammen sind Bluttests, Glukosemonitoring, Mikrobiomtests und alle anderen Zusatztests ausgeschlossen. Dieser Teil der Erklärung gilt daher möglicherweise nicht für Ihr Programm. Wenn Sie einen Test nicht machen, verarbeiten wir dafür keine Daten.
  - Blutwerte aus der kapillaren Blutentnahme zu Hause: LDL, HDL, Triglyceride, hs-CRP, Albumin, Vitamin B12, Vitamin D, Ferritin, Transferrin und TSH
  - Zusammensetzung des Darmmikrobioms, ermittelt durch DNA-Sequenzierung der Bakterien in einer Stuhlprobe, einschließlich Vielfalt und Gleichgewicht. Ihre menschliche DNA wird weder sequenziert noch analysiert
  - Kontinuierliche Glukosemessungen über den Tragezeitraum, einschließlich abgeleiteter Werte wie durchschnittliche Glukose, Nüchternglukose, Glukose vor dem Schlafengehen, Glukosevariabilität und Muster von Glukosespitzen
  - Informationen aus früheren Tests, die Sie uns freiwillig mitteilen, etwa Blutfette oder Blutzucker
Zusätzlich allgemeine Informationen zu Wohlbefinden und körperlicher Aktivität, etwa erkannte Trainingseinheiten, Schrittzahl und Trainingseffekt.
Tagebucheinträge, falls die betroffene Person sie während des Messzeitraums in der Firstbeat-App anlegt, etwa zum Alkoholkonsum, zu selbst dokumentierten Ereignissen, die für die betroffene Person bemerkenswert und von Interesse sind, sowie Selbsteinschätzungen zu den Tagebucheinträgen.
Sonstige Informationen, die die betroffene Person Sapiens über den Service oder auf anderem Weg übermittelt (z. B. durch Beantwortung von Fragebögen von Sapiens)
Informationen über die Einwilligungen zur Datenverarbeitung im Service
Der Ergebnisbericht mit festgelegten Zielmaßnahmen, der auf Grundlage der Datenanalyse für die betroffene Person erstellt wird
Sonstige Informationen mit Einwilligung der betroffenen Person

Automatisierte Auswertung (keine rechtlichen oder klinischen Entscheidungen): Sapiens nutzt automatisierte Verfahren (z. B. Skripte und Scoring-Modelle), um codierte Biomarker- und Fragebogendaten zu verarbeiten und daraus wellnessorientierte Erkenntnisse und Berichtsinhalte zu erstellen. Diese Auswertungen entfalten keine rechtliche Wirkung und beeinträchtigen Sie nicht in ähnlich erheblicher Weise. Sie stellen weder eine medizinische Diagnose noch eine Behandlungsentscheidung dar. Ein menschlicher Coach prüft die Ergebnisse und erklärt sie Ihnen im Auswertungsgespräch.

‍

Grundsätze des Datenschutzes

Zur Erbringung des Service setzt Sapiens technische und organisatorische Maßnahmen ein, die ausgelegt sind für sensible Gesundheitsdaten, darunter strenge Zugriffskontrollen, Pseudonymisierung, Verschlüsselung und den Umgang mit Sicherheitsvorfällen.

Grundprinzipien

Datenminimierung: Wir erheben und verarbeiten nur die Daten, die zur Erbringung des Service nötig sind (Messlogistik, Analyse, Berichterstellung, Auswertungsgespräch).
Zweckbindung: Wir nutzen Ihre Daten, um Ihren Wellness-Bericht zu erstellen und Ihr Coaching durchzuführen. Jeder weitere Zweck (z. B. Forschung) erfordert eine gesonderte Einwilligung und, soweit erforderlich, ein positives Ethikvotum.
Pseudonymisierung durch Technikgestaltung: Messdaten und Bioproben werden verarbeitet unter zufälligen Teilnehmer-IDs. Externe Anbieter erhalten IDs, keine Namen.
Zugriffsbeschränkung: Zugriff hat nur befugtes Personal von Sapiens, das die Daten für die Erbringung des Service benötigt, im Rahmen einer rollenbasierten Zugriffskontrolle.

Trennung von Identitätsdaten und Messdaten

Identitätsdaten (z. B. Name, E-Mail-Adresse und optional Telefonnummer für die Passwortzustellung) und
Messdaten (Laborergebnisse, Antworten aus Umfragen)

Proben und Messgeräte, die gegebenenfalls per Post versendet werden, enthalten keine personenbezogenen Daten, die Rückschlüsse auf die Identität der betroffenen Person zulassen, und keine Standortinformationen. Messdaten werden unter einer zufälligen Teilnehmer-ID gespeichert und verarbeitet. Der Re-Identifizierungsschlüssel (ID ↔ Name/E-Mail) wird getrennt und mit beschränktem Zugriff gespeichert. Zugriff haben nur der zugewiesene Coach der teilnehmenden Person und die Geschäftsführung von Sapiens, für die Kommunikation mit den Teilnehmenden und das Auswertungsgespräch. Mitarbeitende der Logistik sehen nur Name, E-Mail-Adresse und Versandadresse, niemals Messdaten. Mitarbeitende der Technik greifen nur zur technischen Fehlerbehebung auf Identitätsdaten zu. Die Daten des Herzfrequenz-Messgeräts (Firstbeat) werden nach der Datenschutzerklärung von Firstbeat (Auftragsverarbeiter) verarbeitet. Standardmäßig stellt Sapiens für die Firstbeat-App eine anonyme ID und E-Mail-Adresse bereit, damit das Prinzip der Datentrennung auch für die Herzfrequenzmessung mit Firstbeat gilt. Teilnehmende können stattdessen auch ihre eigene E-Mail-Adresse verwenden.

Sicherheitsmaßnahmen

Sapiens stellt sicher, dass alle Datensysteme und IT-Geräte mit geeigneten technischen Mitteln ausreichend geschützt sind, darunter Firewalls, Passwörter, persönliche Benutzerkennungen und Sicherheitsschulungen für das Personal.

Sapiens schließt derzeit die Zertifizierung nach ISO 27001 ab, geplant für Q1 2027, und hat seine Systeme nach den Sicherheitsprinzipien von DSGVO und HIPAA aufgebaut. Teilnehmerdaten werden niemals zum Training von KI-Modellen verwendet. Im Einzelnen setzt Sapiens Sicherheitsmaßnahmen ein, die für Gesundheitsdaten angemessen sind, darunter:

Verschlüsselung bei der Übertragung und im Ruhezustand für Daten auf EU-basierter Microsoft-Infrastruktur (Microsoft 365 und Azure). Die Datenbanken von Sapiens sind nur über ein privates Azure-Netzwerk erreichbar.
Multi-Faktor-Authentifizierung (MFA) auf jedem Sapiens-System, das Teilnehmerdaten enthält. Nur persönliche Logins, keine geteilten Konten.
Rollenbasierte Zugriffskontrolle und Berechtigungen nach dem Prinzip der minimalen Rechte.
Audit-Protokollierung und Überwachung der Zugriffe auf sensible Systeme und Datensätze. B2B-Kunden, ihre Prüfer und Aufsichtsbehörden können Aufzeichnungen, Systeme und Personal im vertraglich vereinbarten Umfang prüfen.
Endgerätesicherheit (z. B. Geräteverschlüsselung und sichere Zugriffspraktiken für Mitarbeitende, die mit sensiblen Daten arbeiten).
Prozess zur Reaktion auf Sicherheitsvorfälle einschließlich Protokollierung und Eskalation von Vorfällen. B2B-Kunden werden innerhalb von 48 Stunden über jede tatsächliche oder vermutete Verletzung des Schutzes personenbezogener Daten informiert. Die zuständige Aufsichtsbehörde wird, soweit gesetzlich vorgeschrieben, innerhalb von 72 Stunden benachrichtigt, bei Teilnehmenden aus dem Vereinigten Königreich auch das UK Information Commissioner’s Office (ICO).

Auftragsverarbeiter

Zur Erbringung des Service setzt Sapiens externe Dienstleister ein, die als Auftragsverarbeiter in unserem Auftrag handeln. Anbieter, die Ihre Proben, Antworten aus Umfragen oder Laborergebnisse verarbeiten, erfahren niemals Ihre Identität. Alles, was Sapiens an sie übermittelt, trägt nur Ihre zufällige Teilnehmer-ID aus sechs Buchstaben, niemals Ihren Namen, Ihre E-Mail-Adresse, Ihre Telefonnummer oder eine andere direkte Kennung. Diese Anbieter sind: Dresden Lab Services GmbH, Deutschland (Analyse von Speichel- und Haarproben); Probatix Health GmbH, Bismarckstraße 10-12, 10625 Berlin, Deutschland (Blutentnahme zu Hause und Analyse des Blutpanels, wobei zusätzlich Ihr Geburtsjahr und Ihr Geschlecht übermittelt werden, damit die richtigen Referenzbereiche angewendet werden können); BIOMES 4.0 GmbH, Schwartzkopffstr. 1, 15745 Wildau, Deutschland (Analyse des Darmmikrobioms); Dexcom Deutschland GmbH, Rotterdamer Platz 10, 55120 Mainz, Deutschland (kontinuierliches Glukosemonitoring, wobei Sapiens das Messgerät unter Ihrer ID aus sechs Buchstaben registriert); und Typeform, Spanien, EU Responses Data Center (Umfrage zur Selbsteinschätzung, ausschließlich unter Ihrer ID aus sechs Buchstaben). Firstbeat, Finnland, verarbeitet Ihre EKG- und Herzfrequenzvariabilitätsdaten unter Ihrer ID aus sechs Buchstaben. Wenn Sie Ihr eigenes Konto in der Firstbeat-App mit Ihrer privaten oder beruflichen E-Mail-Adresse anlegen statt mit der pseudonymisierten Adresse, die wir Ihnen bereitstellen können, verarbeitet Firstbeat diese Kontodaten nach seiner eigenen Datenschutzerklärung.

Einige wenige Anbieter verarbeiten zwangsläufig Ihre Kontaktdaten, weil wir Sie darüber erreichen müssen. Jeder wird nur eingesetzt, wenn der betreffende Teil des Service für Sie gilt, und jeder erhält nur das Minimum, das er für seine Aufgabe braucht:

Microsoft Teams (Standard) oder Zoom Video Communications (Auswertungsgespräche per Video): Standardmäßig Microsoft Teams. Manche Arbeitgeber verlangen stattdessen Zoom. Beide übertragen nur das Live-Gespräch und erhalten keine Messdaten oder Berichte.
Microsoft 365 und Azure, EU-Regionen West Europe (Niederlande), Germany West Central (Frankfurt) und North Europe (Irland), für Hosting und interne Verarbeitung.
SMS oder WhatsApp: ausschließlich für den Versand des Einmalpassworts zu Ihrem Bericht, niemals für den Bericht selbst. Wenn der Arbeitgeber nur SMS erlaubt, wird WhatsApp nicht genutzt.

Keiner dieser Anbieter erhält Ihre Proben, Ihre Laborergebnisse, Ihre Messdaten oder den Inhalt Ihres Berichts. Standardmäßig haben alle Auftragsverarbeiter ihren Sitz in der EU und verarbeiten Daten in der EU. WhatsApp (Meta) verarbeitet Daten möglicherweise außerhalb der EU und wird nicht genutzt, wenn der Arbeitgeber nur SMS erlaubt. Verlangt ein Kunde Zoom (Vereinigte Staaten) oder wünscht er ausdrücklich einen Coach oder Moderator außerhalb der EU, geschieht dies nur mit vorheriger schriftlicher Zustimmung des Kunden und auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (mit dem UK Addendum, wo britisches Recht gilt), die über den Auftragsverarbeitungsvertrag des Anbieters vereinbart werden. Diese gelten zusätzlich zu den an anderer Stelle in dieser Erklärung beschriebenen Schutzmaßnahmen, insbesondere der Pseudonymisierung und der strikten Trennung Ihrer Identität von Ihren Messdaten.

Wenn Sie Zoom lieber nicht nutzen möchten, teilen Sie uns dies vor Ihrem ersten Termin mit. Wir führen Ihr Auswertungsgespräch dann über Microsoft Teams.

Diese Anbieter werden auf Grundlage geeigneter vertraglicher Regelungen beauftragt (z. B. Auftragsverarbeitungsverträge, soweit erforderlich). Grundsätzlich gilt:

Laboranalyse (Dresden Lab Services GmbH): Die Dresden Lab Services GmbH übermittelt Laborergebnisdateien über sichere Kanäle an Sapiens. Die Dateien sind über Teilnehmer-IDs pseudonymisiert (zusammen mit den Labordaten werden weder Name noch andere personenbezogene Kennungen an Sapiens übermittelt). Wird E-Mail genutzt, müssen Anhänge verschlüsselt und der Zugriff auf befugtes Personal beschränkt sein.
Erhebung der Umfragen (Typeform): Umfragen werden unter zufälligen Teilnehmer-IDs ausgefüllt. Für den Datensatz der Umfrageantworten übermittelt Sapiens dem Umfrageanbieter keine Namen oder E-Mail-Adressen.
EKG/HRV-Anbieter (Firstbeat): Firstbeat kann bestimmte Daten als Auftragsverarbeiter für Sapiens verarbeiten (z. B. Messdaten, die mit einer ID verknüpft sind). Für App-Konto- und Registrierungsdaten, die Firstbeat nach seiner eigenen Datenschutzerklärung verarbeitet, wenn Teilnehmende ein Konto anlegen, kann Firstbeat als eigenständiger Verantwortlicher handeln. Standardmäßig stellt Sapiens für die Firstbeat-App eine anonyme ID und E-Mail-Adresse bereit. Teilnehmende können stattdessen auch ihre eigene E-Mail-Adresse verwenden.
Kommunikation für Auswertungsgespräche (Videoanrufe): Für die Kommunikation mit den Teilnehmenden wird E-Mail genutzt, z. B. um das Auswertungsgespräch zum Wellness-Bericht zu vereinbaren. Sapiens gibt in diesen Systemen bewusst keine unnötigen Details preis und schützt Meeting-Links und Dateien durch Zugriffskontrollen. Auswertungsgespräche finden standardmäßig über Microsoft Teams statt. Manche Arbeitgeber verlangen nach ihren IT-Vorgaben stattdessen Zoom. Keine der beiden Plattformen erhält Messdaten oder Berichte.
Anbieter, die nur für die optionalen Zusatztests eingesetzt werden. Die drei folgenden Anbieter werden nur beauftragt, wenn Sie den jeweiligen Zusatztest als Privatkunde gewählt haben oder wenn ein Arbeitgeber ihn ausdrücklich angefragt hat und dies gesondert vereinbart wurde. In den meisten Arbeitgeberprogrammen sind diese Tests ausgeschlossen, und diese Anbieter werden nicht eingesetzt. Sie gehören nicht zum Standardangebot von Sapiens Diagnostics und verarbeiten keinerlei Daten von Teilnehmenden, die diese Tests nicht machen.
Blutentnahme und Analyse (Probatix Health GmbH): Wenn Sie ein Blutpanel buchen, werden das Entnahme-Kit für zu Hause und die anschließende Laboranalyse von der Probatix Health GmbH, Bismarckstraße 10-12, 10625 Berlin, Deutschland, abgewickelt. Ihre Probe und Ihre Ergebnisse tragen Ihre zufällige Teilnehmer-ID aus sechs Buchstaben sowie Ihr Geburtsjahr und Ihr Geschlecht, die das Labor benötigt, um die richtigen Referenzbereiche anzuwenden. Probatix erhält von Sapiens weder Ihren Namen noch Ihre E-Mail-Adresse oder Telefonnummer.
Analyse des Darmmikrobioms (BIOMES 4.0 GmbH): Wenn Sie einen Mikrobiomtest buchen, analysiert die BIOMES 4.0 GmbH, Schwartzkopffstr. 1, 15745 Wildau, Deutschland, die Stuhlprobe durch DNA-Sequenzierung der darin enthaltenen Bakterien. Ihre Probe und Ihre Ergebnisse tragen nur Ihre zufällige Teilnehmer-ID aus sechs Buchstaben. BIOMES erhält von Sapiens weder Ihren Namen noch Ihre E-Mail-Adresse oder Telefonnummer. Ihre menschliche DNA wird weder sequenziert noch analysiert.
Kontinuierliches Glukosemonitoring (Dexcom Deutschland GmbH): Wenn Sie ein Glukosemonitoring buchen, registriert Sapiens das Messgerät und die zugehörige App unter Ihrer zufälligen Teilnehmer-ID aus sechs Buchstaben bei der Dexcom Deutschland GmbH, Rotterdamer Platz 10, 55120 Mainz, Deutschland. Dexcom erhält von Sapiens weder Ihren Namen noch Ihre E-Mail-Adresse oder Telefonnummer.

Sichere Zustellung individueller Berichte

Individuelle Berichte werden zugestellt als passwortgeschützte PDF-Dateien per E-Mail. Das Passwort wird über einen separaten Kanal übermittelt (ein Einmalpasswort per SMS oder WhatsApp; wenn der Arbeitgeber nur SMS erlaubt, wird WhatsApp nicht genutzt). So sinkt das Risiko eines unbefugten Zugriffs, falls ein E-Mail-Postfach kompromittiert wird. Wenn Sie eine andere Zustellart oder einen anderen Kanal bevorzugen, können Sie, soweit verfügbar, eine Alternative anfordern. Berichte werden ohne Namen erstellt und geprüft und tragen nur Ihre Teilnehmer-ID.

Die folgende Übersicht zeigt den Datenfluss zusammen mit ausgewählten technischen und organisatorischen Maßnahmen des Datenschutzes (nicht abschließend, da die Darstellung zusammen mit der Beschreibung in diesem Dokument zu lesen ist):

‍
Übermittlung personenbezogener Daten

Ohne Einwilligung der betroffenen Person dürfen personenbezogene Daten nicht in identifizierbarer Form an Stellen außerhalb von Sapiens übermittelt werden. Ausnahmen gelten nur in folgenden Fällen: wenn eine Entscheidung einer Behörde, einer Aufsichtsbehörde oder eines Gerichts oder zwingendes Recht dies verlangt, oder wenn es anderweitig erforderlich ist, um Verstöße gegen Gesetze, Nutzungsbedingungen oder gute Praxis zu verhindern oder aufzuklären oder um die Rechte von Sapiens zu schützen.

Ohne ausdrückliche, gesonderte Einwilligung der betroffenen Person werden ihre personenbezogenen Daten nicht an den Kunden weitergegeben. (Hinweis: Kauft die betroffene Person den Service für sich selbst, ist sie zugleich Kunde und erhält selbstverständlich ihre eigenen personenbezogenen Daten.)

Sapiens verarbeitet und speichert Teilnehmerdaten auf Azure-Servern in der EU. Befinden sich Teilnehmende außerhalb der EU bzw. des EWR, werden ihre Daten zur Verarbeitung und Speicherung durch Sapiens in die EU übermittelt. Sapiens gibt keine identifizierbaren personenbezogenen Daten an Dritte weiter. Dritte erhalten, soweit zutreffend, nur zufällige pseudonyme Teilnehmer-IDs (z. B. bei der Labor- und Umfrageverarbeitung).

Für die EKG/HRV-Analyse registrieren sich die Teilnehmenden in der Firstbeat-App und stimmen den Datenschutzbestimmungen von Firstbeat zu. Standardmäßig nutzen sie eine anonyme ID und E-Mail-Adresse, die Sapiens bereitstellt. Das verringert die Identifizierbarkeit gegenüber Firstbeat. Teilnehmende können stattdessen auch ihre eigene E-Mail-Adresse verwenden.

Zustellkanäle: Sapiens kann zur Erbringung des Service per E-Mail mit den Teilnehmenden kommunizieren und sendet den Bericht als passwortgeschützte PDF-Datei. Ein Einmalpasswort wird separat per SMS oder WhatsApp versendet. Manche Arbeitgeber erlauben nur SMS. In diesen Programmen wird WhatsApp nicht genutzt. Teilnehmende sollten sicherstellen, dass sie Zugang zu den gewählten Kanälen haben, und ihre eigenen Geräte und Konten schützen.

Weitergabe aggregierter Ergebnisse: Wenn die Teilnehmenden und der Kunde zustimmen, kann Sapiens aggregierte Ergebnisse an den Kunden und/oder die Teilnehmergruppe weitergeben. Voraussetzung ist, dass die Gruppe ausreichend groß ist (mehr als 20 Teilnehmende, ohne Untergruppen) und die Aggregation so dargestellt wird, dass keine Rückschlüsse auf Einzelpersonen möglich sind. Teilnehmende können der Einbeziehung in aggregierte Auswertungen widersprechen. Aggregierte Ergebnisse werden nur weitergegeben, wenn es einen klar erkennbaren Zweck gibt, etwa tiefere Erkenntnisse für den Kunden und die Teilnehmenden. Die Teilnehmenden können jederzeit widersprechen, und ihre Daten fließen dann nicht in die aggregierten Daten ein. Aggregierte Ergebnisse werden mit den Programmteilnehmenden geteilt, zum Beispiel in Webinaren, und mit dem Kunden nur, wenn dies ausdrücklich vereinbart wurde.

Die betroffene Person hat nach der Datenschutz-Grundverordnung der EU (DSGVO) das Recht, Auskunft über ihre personenbezogenen Daten zu erhalten, ihre Daten zu ändern oder deren Änderung zu verlangen und unter bestimmten Umständen die Löschung ihrer personenbezogenen Daten zu verlangen. Die betroffene Person hat daher das Recht, von Sapiens unverzüglich die Berichtigung unrichtiger oder fehlerhafter personenbezogener Daten zu verlangen. Die betroffene Person hat das Recht, unverzüglich die Löschung ihrer Daten zu verlangen, zum Beispiel wenn die personenbezogenen Daten für die ursprünglichen Zwecke nicht mehr benötigt werden, unrechtmäßig verarbeitet wurden oder die betroffene Person ihre Einwilligung widerruft und keine andere Rechtsgrundlage für die Verarbeitung besteht.

Die betroffene Person hat das Recht, von Sapiens in bestimmten Fällen die Einschränkung der Verarbeitung zu verlangen, etwa wenn sie die Richtigkeit der Daten bestreitet oder die Verarbeitung unrechtmäßig ist. Unter bestimmten Umständen hat die betroffene Person außerdem das Recht, der Verarbeitung zu widersprechen.

Die betroffene Person kann unter bestimmten Umständen das Recht haben, die Übertragung ihrer personenbezogenen Daten von einem System in ein anderes zu verlangen. Beruht die Verarbeitung der personenbezogenen Daten auf einer Einwilligung, hat die betroffene Person zudem das Recht, diese jederzeit zu widerrufen.

Sapiens wünscht, dass Streitigkeiten über die Verarbeitung personenbezogener Daten vorrangig einvernehmlich zwischen den Parteien gelöst werden. Die betroffene Person hat außerdem das Recht, Beschwerde bei der zuständigen Aufsichtsbehörde einzulegen, insbesondere in dem EU-Mitgliedstaat ihres gewöhnlichen Aufenthalts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für Sapiens (Bocholt, Deutschland) ist in der Regel die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) zuständig, Kavalleriestr. 2-4, 40213 Düsseldorf, Deutschland, E-Mail: poststelle@ldi.nrw.de, Telefon: +49 211 38424-0.

Anträge auf Auskunft, Änderung oder Löschung personenbezogener Daten sind Sapiens persönlich, per unterschriebenem Brief oder durch ein vergleichbar verifiziertes Dokument mitzuteilen, damit Sapiens prüfen kann, ob die anfragende Person zu einem solchen Antrag berechtigt ist. Der Antrag kann per E-Mail gestellt werden, wenn dafür die bei der Nutzung des Service hinterlegte E-Mail-Adresse verwendet wird. Sapiens muss die betroffene Person gegebenenfalls identifizieren und zusätzliche Informationen anfordern, um solche Anträge zu bearbeiten.

Um eines dieser Rechte auszuüben, kontaktieren Sie uns bitte unter support@be-sapiens.com.

Diese Beschreibung der Verarbeitung personenbezogener Daten wurde am 15. Oktober 2026 aktualisiert. Sapiens verfolgt Gesetzesänderungen und Vorgaben der Aufsichtsbehörden zur Verarbeitung personenbezogener Daten, entwickelt den Service weiter und behält sich daher vor, diese Beschreibung zu ändern.

‍

Rechtsgrundlage für grenzüberschreitende Übermittlungen und Compliance in mehreren Rechtsordnungen

Die Sapiens Health & Performance GmbH ist ein deutsches Unternehmen und wendet die DSGVO als grundlegenden Compliance-Rahmen an. Befinden sich der Kunde (nur bei B2B-Kunden) oder die Teilnehmenden außerhalb der EU bzw. des EWR, führt Sapiens eine dokumentierte Prüfung der doppelten Compliance durch. So stellt Sapiens sicher, dass Verarbeitung und Übermittlungen sowohl der DSGVO als auch den geltenden lokalen Datenschutzgesetzen der jeweiligen Rechtsordnung(en) entsprechen.

Einwilligung und Rechtsgrundlagen: Für die Verarbeitung von Gesundheitsdaten bzw. besonderen Kategorien personenbezogener Daten und für jede optionale Nutzung zu Forschungszwecken stützt sich Sapiens auf eine ausdrückliche Einwilligung. Die Einwilligung wird über ein dokumentiertes Einwilligungsformular von Sapiens eingeholt, in Microsoft Azure in der EU gespeichert und kann jederzeit widerrufen werden. Für administrative Daten ohne Gesundheitsbezug (z. B. Konto- und Programmverwaltung) stützt sich Sapiens, soweit zutreffend, auf die Vertragserfüllung und/oder rechtliche Verpflichtungen. Der Widerruf der Einwilligung berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

Grenzüberschreitende Übermittlungen: Befinden sich Teilnehmende außerhalb der EU bzw. des EWR, werden ihre Daten in die EU übermittelt und dort verarbeitet. Für Übermittlungen aus Drittländern in die EU setzt Sapiens Schutzmaßnahmen und Dokumentation ein, die der jeweiligen Rechtsordnung entsprechen. Je nach lokalen gesetzlichen Anforderungen und Übermittlungsszenario kann Sapiens unter anderem Folgendes umsetzen: (i) Übermittlungswege auf Grundlage eines Angemessenheitsbeschlusses, soweit das lokale Recht dies anerkennt, (ii) vertragliche Garantien (z. B. Standardvertragsklauseln oder gleichwertige Instrumente) und/oder (iii) die ausdrückliche Einwilligung der Teilnehmenden in grenzüberschreitende Übermittlungen, soweit erforderlich. Sapiens hält grenzüberschreitende Risiken gering, indem Dritte nur zufällige Teilnehmer-IDs und keine identifizierbaren personenbezogenen Daten erhalten, außer bei ausdrücklicher Einwilligung oder gesetzlicher Pflicht. Für Teilnehmende im Vereinigten Königreich wendet Sapiens die UK-DSGVO und den Data Protection Act 2018 an. Das Vereinigte Königreich und die EU erkennen das Datenschutzniveau des jeweils anderen als angemessen an. Je nachdem, wo die Teilnehmenden ansässig sind, benennt Sapiens einen Vertreter im Vereinigten Königreich nach Art. 27 UK-DSGVO. Teilnehmende können sich bei Sapiens oder beim UK Information Commissioner’s Office (ICO) beschweren. Wir bestätigen den Eingang jeder Beschwerde innerhalb von 30 Tagen.

Schritte zur Compliance vor Vertragsschluss (gilt für jede Zusammenarbeit außerhalb der EU bzw. des EWR): Bevor Sapiens einen Vertrag mit einem Kunden außerhalb der EU bzw. des EWR schließt, führt Sapiens, soweit zutreffend, die folgenden Schritte durch und dokumentiert sie:

Alle beteiligten Rechtsordnungen ermitteln (Standort des Kunden, der Teilnehmenden, der Verarbeitung und der Unterauftragsverarbeiter).
Datenkategorien (administrative Daten, Gesundheitsdaten bzw. besondere Kategorien personenbezogener Daten, Bioproben) und Verarbeitungszwecke erfassen.
Lokale Vorschriften zur Verarbeitung von Gesundheits- und sensiblen Daten klären (Einwilligungsanforderungen, Informationspflichten, Forschungsregeln, Registrierungspflichten, Beschränkungen internationaler Übermittlungen).
Den oder die nach lokalem Recht erforderlichen rechtmäßigen Übermittlungsmechanismen bestimmen und umsetzen (einschließlich Verträgen und Dokumentation).
Erforderliche Vertragsstrukturen bestätigen und abschließen (Vereinbarungen zwischen Verantwortlichem und Auftragsverarbeiter, Vertraulichkeit, Sicherheitspflichten, Umgang mit Vorfällen).
Prüfen, ob externe Auftragsverarbeiter und Unterauftragsverarbeiter die Sicherheits- und Datenschutzanforderungen erfüllen und an geeignete Verarbeitungsbedingungen gebunden sind.
Informationen und Einwilligungen für Teilnehmende fertigstellen, einschließlich Hinweisen zu grenzüberschreitenden Übermittlungen.
Aufbewahrungs- und Löschkonzept, Notfallplan für Sicherheitsvorfälle und Audit-Bereitschaft gemäß den lokalen Anforderungen bestätigen

Weitere Maßnahmen zur regulatorischen Compliance

Die folgenden Beschreibungen legen Grundsätze fest, die die regulatorische Compliance der Sapiens-Leistungen über das Datenschutzrecht hinaus sicherstellen.

Alle Ergebnisse dienen der Information und dem Coaching und enthalten den Hinweis „keine medizinische Beratung“. Ihre Ergebnisse bespricht Ihr zugewiesener Gesundheitscoach von Sapiens mit Ihnen. Einige unserer Coaches sind approbierte Ärztinnen und Ärzte. Bei Sapiens arbeiten alle als Gesundheitscoaches, die Ihre Messwerte interpretieren, die Physiologie erklären und Ihr Protokoll gestalten. Sie stellen keine Diagnosen, behandeln nicht und verordnen nichts, sie stellen keine Rezepte oder Krankschreibungen aus, und durch Ihr Sapiens-Programm entsteht kein ärztlicher Behandlungsvertrag. Wo medizinische Versorgung nötig ist, erfolgt sie durch eine approbierte Ärztin oder einen approbierten Arzt Ihrer Wahl, außerhalb von Sapiens. Alle Coaches haben Verschwiegenheits- und Auftragsverarbeitungsvereinbarungen mit Sapiens unterzeichnet. Sie arbeiten ausschließlich über gesicherte be-sapiens.com-Konten mit Zwei-Faktor-Authentifizierung.

Keine medizinische Diagnose oder Behandlung: Wir bieten keine medizinischen Diagnosen, Verordnungen oder therapeutischen Maßnahmen an. Alle Rückmeldungen und Empfehlungen beziehen sich auf den Lebensstil (Stressbewältigung, Gewohnheiten usw.), und die Teilnehmenden werden klar darauf hingewiesen, dass dies keinen Ersatz für medizinische Versorgung darstellt. Wir weisen ausdrücklich darauf hin, dass kein Bestandteil des Programms eine medizinische Handlung ist, und empfehlen den Teilnehmenden, bei gesundheitlichen Bedenken medizinisches Fachpersonal aufzusuchen (z. B. wenn die Ergebnisse auf ungewöhnlich hohe Stresshormonwerte hindeuten). Da wir nicht beanspruchen, Krankheiten zu heilen oder zu behandeln, bleibt der Service außerhalb der regulierten Heilkunde.
Probenentnahme: Speichel- und Haarproben entnehmen Sie selbst zu Hause, beide Verfahren sind nicht invasiv. Wenn Sie ein Blutpanel buchen, entnehmen Sie Kapillarblut selbst zu Hause mit einem CE-gekennzeichneten Entnahmeset. Wenn Sie einen Mikrobiomtest buchen, entnehmen Sie selbst zu Hause eine Stuhlprobe. Jede Probe ist nur mit Ihrer zufälligen Teilnehmer-ID aus sechs Buchstaben beschriftet, niemals mit Ihrem Namen oder Ihren Kontaktdaten.
Geräte: Die in Ihrem Programm eingesetzten Messgeräte, darunter das Herzfrequenz- und EKG-Messgerät von Firstbeat und, falls gebucht, ein Gerät zur kontinuierlichen Glukosemessung, dienen der Beobachtung von Stress, Erholung und Lebensstil. Wir nutzen sie nicht, um Erkrankungen zu erkennen, zu diagnostizieren oder zu überwachen, und wir geben auf Grundlage von Gerätesignalen keine medizinischen Warnungen, diagnostischen Aussagen oder Behandlungsempfehlungen ab.
Ihre Ergebnisse bespricht Ihr zugewiesener Gesundheitscoach von Sapiens mit Ihnen. Einige unserer Coaches sind approbierte Ärztinnen und Ärzte. Bei Sapiens arbeiten alle als Gesundheitscoaches, nicht als Ihre behandelnden Ärztinnen und Ärzte. Es entsteht kein Arzt-Patienten-Verhältnis, es werden keine Notfallleistungen angeboten, und es erfolgt keine klinische Dokumentation.
Klare Regeln für auffällige Werte: Die Marker und Messungen von Sapiens sind so konzipiert, dass sich daraus keine klinischen Diagnosen stellen lassen. Dennoch gibt es klare Regeln für auffällige Werte bei diesen Wellness- und Lifestyle-Markern. Sind die Cortisolwerte zum Beispiel ungewöhnlich hoch oder niedrig, wird der Person empfohlen, sich zur medizinischen Abklärung an eine Ärztin oder einen Arzt zu wenden. Niedrige oder hohe Cortisolwerte allein stellen keine Diagnose dar.
Keine medizinische Handlung beabsichtigt: Der Service von Sapiens ist niemals als medizinische Handlung gedacht. Sollte ein Teil des Service nach lokalem Recht jemals als medizinische Handlung gelten, wird dieser Bestandteil in der betreffenden Region entfernt und/oder an eine lokal zugelassene Fachkraft übertragen (z. B. bietet Sapiens keine venöse Blutentnahme an, diese kann aber bei einer lokal zugelassenen Fachkraft erfolgen).
Bioproben beschränken sich auf Speichel, Haar, Kapillarblut und Stuhlproben für die in dieser Erklärung beschriebenen Wellness-Marker. Sapiens sequenziert und analysiert Ihre menschliche DNA nicht, führt keine Drogentests durch und untersucht nichts über die angegebenen Wellness-Marker hinaus.

Aufbewahrung und Vernichtung von Proben: Aufbewahrung und Vernichtung der Laborproben folgen dokumentierten Labor-SOPs. Nach der Analyse und einem gegebenenfalls festgelegten kurzen Zeitfenster für Nachtests (in der Regel <14 Tage) wird verbleibendes Probenmaterial sicher vernichtet (Entsorgung als Bioabfall). Es wird nicht langfristig für andere Zwecke gelagert, es sei denn, dies wurde ausdrücklich vereinbart und eingewilligt (z. B. für Forschung).

Haftungsansatz: Sapiens trennt Wellness-Coaching klar von medizinischer Versorgung, um eine klinische Haftung im Zusammenhang mit medizinischer Diagnose oder Behandlung zu vermeiden. Betriebliche Risiken werden über Protokolle und Dokumentation gesteuert: Verwahrungskette, sicherer Umgang mit Daten, beschränkter Zugriff, Verschlüsselung, Prozesse zur Reaktion auf Sicherheitsvorfälle und eine formale vertragliche Verteilung der Verantwortlichkeiten. Führt der Kunde Tätigkeiten vor Ort durch (z. B. Haarentnahme), werden Verantwortung und Haftung für diese Tätigkeiten vertraglich geregelt. Dazu gehören die Pflichten, die Protokolle von Sapiens einzuhalten, Vertraulichkeitsanforderungen zu beachten, Vorfälle zu melden und bei Beschwerden oder Untersuchungen mitzuwirken. Sapiens bleibt verantwortlich für die eigenen Verarbeitungstätigkeiten, die Berichterstellung, das Coaching sowie die Sicherheit der eigenen Systeme und Datenflüsse. Bei Vorfällen verfügt Sapiens über dokumentierte Reaktionsprozesse und arbeitet mit den relevanten Beteiligten zusammen, wie es das geltende Recht verlangt.

Abläufe der Daten- und Probenerhebung: Es gibt drei mögliche Wege, biologische Proben zu entnehmen. Jeder hat Folgen für Datenfluss und Verwahrung:

Selbstentnahme durch die Teilnehmenden: Teilnehmende können ihre Proben selbst zu Hause entnehmen. Wir senden ihnen dafür ein Entnahme-Kit mit Anleitung, einem Speichelröhrchen (für Cortisol) und Material, um eine kleine, 3 cm lange Haarsträhne am Hinterkopf abzuschneiden. Jedes Kit hat einen eindeutigen ID-Code (einen anonymisierten Code aus 6 Buchstaben), mit dem die Teilnehmenden ihre Proben anstelle ihres Namens beschriften. Anschließend senden die Teilnehmenden die Proben in einer voradressierten, sicheren Versandverpackung zurück oder geben sie an einer festgelegten Annahmestelle der Post ab. Diese Methode hält den Ablauf persönlich und vertraulich, da die Probe nur mit dem Code beschriftet ist und die Identität der teilnehmenden Person nur über diesen Code in unseren Unterlagen verknüpft ist.
Probenentnahme durch Mitarbeitende von Sapiens (vor Ort): Alternativ können Mitarbeitende von Sapiens in das Land des Kunden oder der Nutzenden reisen, um dort Proben der Teilnehmenden zu entnehmen (z. B. bei einem geplanten Termin). In diesem Fall nehmen unsere Mitarbeitenden Speichelproben entgegen (die Teilnehmenden spucken selbst in die Röhrchen) und schneiden vor Ort Haarproben ab. Die Mitarbeitenden von Sapiens beschriften jede Probe sofort mit dem anonymisierten ID-Code der teilnehmenden Person, protokollieren sie und verwahren sie sicher. Die Proben bleiben in der Obhut von Sapiens und werden persönlich oder per Kurier zur Analyse nach Deutschland gebracht. Auch in diesem Fall füllen die Teilnehmenden ihre Einwilligung und einen ID-Codierungsbogen aus, damit keine personenbezogenen Kennungen mit den Proben reisen.
Entnahme durch den Kunden oder zugehöriges Personal: Eine mögliche Option ist, dass geschultes Personal vor Ort (z. B. vom kooperierenden Kunden) die Haarproben entnimmt. Diese Option wird nur gewählt, wenn der Kunde sie ausdrücklich wünscht. Zum Beispiel könnte eine wissenschaftliche Hilfskraft Haarsträhnen der Teilnehmenden abschneiden und sammeln. Auch dann bleibt das Verfahren nicht medizinisch, da kein invasiver Eingriff erfolgt. Das Personal des Kunden folgt den von Sapiens bereitgestellten Protokollen: Es verwendet die vorab zugewiesenen Codes, beschriftet und versiegelt die Proben und führt ein Protokoll. Anschließend übergibt es die Proben dem Personal von Sapiens oder organisiert den sicheren Versand an das deutsche Labor nach den in diesem Dokument genannten Standards. Dieser Ansatz erfordert eine klare Vereinbarung, dass das Personal vor Ort die Vertraulichkeit wahrt und die Proben ordnungsgemäß handhabt. Wird diese Option genutzt, stellen wir sicher, dass die Personen, die vor Ort Proben entnehmen, Vertraulichkeitsvereinbarungen unterzeichnen und in Datenschutz und Probenhandhabung eingewiesen werden.

Versand von Bioproben: Speichel-, Haar- und andere Bioproben werden als DHL Express oder DHL Paket (keine Briefumschläge) in der vorgeschriebenen Dreifachverpackung gemäß den IATA-Vorschriften für Flüssigkeiten versendet und als „Exempt Human Specimen“ gekennzeichnet. Für die Sendungen werden korrekte Zollerklärungen verwendet und alle erforderlichen Export- und Importdokumente beigefügt. Da die Proben für die Analyse von Steroidhormonen stabil sind, sind die Sendungen während des Transports nicht temperaturempfindlich. Die Proben sind nur mit der zufälligen Teilnehmer-ID beschriftet und enthalten weder Namen noch Standort der betroffenen Person. Die Dreifachverpackung umfasst eine auslaufsichere Verpackung, eine starre Außenverpackung, ein Etikett „Exempt Specimen“, Absenderangaben (als Absender ist hier „Sapiens Health & Performance GmbH“ angegeben, um die Identität der nutzenden Person zu schützen), bei Bedarf eine Zollrechnung sowie zusätzlich saugfähiges Material und Polstermaterial. Die versendeten Bioproben (in den meisten Fällen Speichel oder Haar) werden aus folgenden Gründen als „Exempt Human Specimen“ eingestuft:

Die Probe wird zu anderen Zwecken als der Diagnose einer Infektionskrankheit versendet
Die Probe enthält mit geringer Wahrscheinlichkeit Krankheitserreger
Die nutzende Person ist keine Patientin und kein Patient mit Krankengeschichte, Symptomen oder sonstigen relevanten Umständen. Daher ist das Risiko gering, dass die Probe infektiöse Stoffe enthält

Verwahrungskette: Jede Probe ist zur Rückverfolgbarkeit vorab mit einer zufälligen Teilnehmer-ID beschriftet. Speichel entnehmen die Teilnehmenden selbst. Haarproben können von den Teilnehmenden, von Mitarbeitenden von Sapiens oder, falls vereinbart, von Mitarbeitenden des Kunden nach Anweisung von Sapiens entnommen werden. Jeder Übergabeschritt (Entnahme, Versiegelung, Übergabe zum Versand, Eingang, Annahme im Labor) wird dokumentiert. Sapiens führt dieses Protokoll der Verwahrungskette in einer Excel-basierten Tracking-Tabelle, die auf gesicherter Microsoft Azure/Microsoft 365-Infrastruktur (EU) gespeichert ist. Jede Abweichung (z. B. beschädigtes Paket, fehlendes Etikett, falsche Zuordnung, Verzögerung) wird in einem Vorfallprotokoll erfasst und im Rahmen des Prozesses von Sapiens zur Reaktion auf Sicherheitsvorfälle bearbeitet.

‍