Datenschutz

Stand 8. Oktober 2026

Geltungsbereich

Diese Datenschutzerklärung gilt für die Website s-h-e.me (gsoond.com leitet dorthin weiter) und für das SHE Portal unter my.gsoond.com, den geschützten Kundinnenbereich. Sie ist zugleich die Datenschutzinformation, die Sie beim Betreten des Portals zur Kenntnis nehmen.

Verantwortlicher

gsoond gmbh, Arndtweg 5, 4020 Linz, Österreich. Kontakt in Datenschutzfragen: impressum@gsoond.com.

Die Website s-h-e.me

Die Website s-h-e.me wird von einem Webhoster in Deutschland betrieben, der in unserem Auftrag Daten verarbeitet. Die Produktbilder im Bereich „SHE für dich“ werden von unserem Portal-Server (my.gsoond.com) ausgeliefert; dabei erhält dieser Server Ihre IP-Adresse wie jeder Webserver.

Server-Logs (IP-Adresse)

Beim Besuch unserer Webseite werden automatisch Informationen am Webserver gespeichert. Dazu gehört der verwendete Browser, das eingesetzte Betriebssystem, welche Seite Sie auf unseren Webauftritt gebracht hat, die IP-Adresse, die Uhrzeit des Zugriffs und andere Informationen. Diese Daten sind aus unserer Sicht pseudonymisiert und können ohne weitere Datenquellen keinen eindeutigen Personen zugeordnet werden. Wir werten diese Daten nicht aus, solange keine rechtswidrige Nutzung der Webseite vorliegt. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Bei den KI-gestützten Funktionen (SHE asks, Eiweiß-/Ballaststoffrechner) sowie bei den Anmelde- und Kaufschnittstellen verarbeiten wir die IP-Adresse zusätzlich kurzzeitig, um automatisierte Massenanfragen und Missbrauch zu erkennen und zu blockieren; die Daten werden nach kurzer Zeit automatisch gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Cookies und Einwilligung

Cookies sind kleine Textdateien, die beim Besuch einer Internetseite verschickt und auf dem Gerät der Nutzerin zwischengespeichert werden. Die Website s-h-e.me selbst setzt keine Cookies. Ihre Auswahl im Cookie-Banner speichern wir im lokalen Speicher Ihres Browsers; dieser Eintrag enthält nur Ihre Entscheidung und den Zeitpunkt, wird nicht an uns übertragen und bleibt bestehen, bis Sie ihn über die „Cookie-Einstellungen“ ändern oder die Website-Daten in Ihrem Browser löschen. Nach einem Kauf merkt sich die Danke-Seite auf dieselbe Weise eine Kennung Ihres Kaufs, damit ein Kauf nur einmal gezählt wird.

Im Cookie-Banner entscheiden Sie getrennt über zwei Kategorien: Statistik(Google Analytics, Microsoft Clarity, Leadfeeder) und Marketing (Meta-Pixel, Google Ads). Beide sind voreingestellt deaktiviert; die zugehörigen Dienste werden erst geladen und Cookies erst gesetzt, nachdem Sie der jeweiligen Kategorie ausdrücklich zugestimmt haben. Eine Ablehnung ist im Banner genauso einfach möglich wie eine Zustimmung. Ihre Auswahl können Sie jederzeit über den Link „Cookie-Einstellungen“ im Footer der Website ändern oder widerrufen; nach einem Widerruf werden keine neuen Daten mehr erfasst, bereits geladene Skripte enden mit dem nächsten Seitenaufruf. Das SHE Portal setzt ausschließlich technisch notwendige Cookies für die Anmeldung und enthält keinerlei Mess- oder Werbedienste.

Externe Dienste auf der Website

Google Analytics: Nur nach Ihrer Zustimmung im Cookie-Banner nutzen wir Google Analytics (GA4), einen Webanalysedienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland; Google LLC, USA, als Mutterunternehmen). Google Analytics verwendet Cookies bzw. vergleichbare Technologien, um Ihre Nutzung unserer Website (z. B. besuchte Seiten, Verweildauer, ungefähre Herkunft, verwendetes Gerät) pseudonymisiert auszuwerten. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Diese können Sie jederzeit mit Wirkung für die Zukunft über die „Cookie-Einstellungen“ im Footer widerrufen. Die Datenübermittlung an Google LLC in die USA erfolgt auf Basis des EU-US Data Privacy Framework, dem Google zertifiziert ist. Details zur Datenverarbeitung durch Google: policies.google.com/privacy.

Microsoft Clarity: Nur nach Ihrer Zustimmung im Cookie-Banner nutzen wir zudem Microsoft Clarity, einen Webanalysedienst der Microsoft Ireland Operations Limited (One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland; Microsoft Corporation, USA, als Mutterunternehmen). Clarity erstellt anonymisierte Klick- und Scroll-Heatmaps sowie Session-Aufzeichnungen Ihrer Website-Nutzung, um die Bedienbarkeit zu verbessern. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft über die „Cookie-Einstellungen“ im Footer widerrufen können. Details zur Datenverarbeitung durch Microsoft: privacy.microsoft.com.

Leadfeeder (Dealfront): Nur nach Ihrer Zustimmung im Cookie-Banner nutzen wir Leadfeeder, einen Dienst der Dealfront Group GmbH (Durlacher Allee 73, 76131 Karlsruhe, Deutschland). Leadfeeder gleicht die IP-Adresse Ihres Internetzugangs mit einem Verzeichnis von Unternehmensnetzen ab und zeigt uns dadurch, welche Unternehmen unsere Website besucht haben und welche Seiten dabei aufgerufen wurden. Eine Identifizierung einzelner Personen findet dabei nicht statt; Besuche aus privaten Anschlüssen werden keinem Unternehmen zugeordnet. Dazu setzt Leadfeeder ein Cookie (_lfa), um wiederkehrende Besuche derselben Sitzung zusammenzufassen. Die Verarbeitung erfolgt ausschließlich innerhalb der EU; eine Übermittlung in ein Drittland findet nicht statt. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft über die „Cookie-Einstellungen“ im Footer widerrufen können. Details zur Datenverarbeitung durch Dealfront: dealfront.com/privacy-notice.

Meta-Pixel (Facebook, Instagram): Nur nach Ihrer Zustimmung zur Kategorie „Marketing“ im Cookie-Banner binden wir den Meta-Pixel der Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irland) ein. Damit messen wir, ob Besucherinnen über eine unserer Anzeigen auf Facebook oder Instagram zu uns gefunden haben, und können vergleichbare Zielgruppen ansprechen. Dabei werden Ihre IP-Adresse, Angaben zu Ihrem Gerät und die von Ihnen aufgerufenen Seiten an Meta übermittelt und mit einem gegebenenfalls bestehenden Meta-Konto verknüpft; eine Übermittlung an die Meta Platforms, Inc. in die USA findet auf Grundlage des EU-US Data Privacy Framework statt. Rechtsgrundlage ist ausschließlich Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit über die „Cookie-Einstellungen“ im Footer widerrufen können. Ohne Ihre Zustimmung wird der Pixel nicht geladen. Derzeit (Stand oben) ist der Meta-Pixel nicht eingerichtet und wird auch nach einer Zustimmung nicht geladen. Details: facebook.com/privacy/policy

Google Ads (Conversion-Messung): Nur nach Ihrer Zustimmung zur Kategorie „Marketing“ messen wir mit Google Ads der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland), ob ein Besuch auf eine unserer Anzeigen zurückgeht. Wir verwenden dabei den Google-Einwilligungsmodus (Consent Mode v2): ohne Ihre Zustimmung werden keine Werbe-Cookies gesetzt und keine Kennungen zu Werbezwecken verarbeitet. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), widerrufbar über die „Cookie-Einstellungen“ im Footer. Derzeit ist auch die Google-Ads-Messung nicht eingerichtet.

Schriften, Bilder und Videos: Alle Schriftarten, Bilder und die Vorschaubilder unserer Instagram- und YouTube-Beiträge werden von unserem eigenen Server ausgeliefert; beim Anzeigen der Seite besteht keine Verbindung zu Google oder Meta. Instagram-Videos spielen wir aus einer Kopie auf unserem Server ab. Ein YouTube-Video (auf der Seite „Über uns“ und in den Social-Media-Kacheln der Startseite) wird erst geladen, wenn Sie es durch einen Klick auf den Abspielknopf starten. Mit diesem Klick stellen Sie eine Verbindung zu YouTube (Google Ireland Limited) im erweiterten Datenschutzmodus (youtube-nocookie.com) her; dabei wird Ihre IP-Adresse an Google übermittelt. Weitere Informationen: policies.google.com/privacy.

KI-gestützte Funktionen (SHE asks, Eiweiß-/Ballaststoffrechner): Wenn Sie eine Frage stellen oder ein Foto/Text zur Analyse hochladen, werden diese Angaben zur Verarbeitung an einen Anbieter KI-gestützter Dienste (Auftragsverarbeiter) übermittelt. Es findet keine dauerhafte Speicherung Ihrer Anfrage mit Personenbezug bei uns statt; die Verarbeitung erfolgt zustandslos je Anfrage. Zusätzlich verarbeiten wir die IP-Adresse kurzzeitig zur Missbrauchsabwehr (siehe „Server-Logs“ oben). Nur nach Ihrer Zustimmung im Cookie-Banner erfassen wir zudem über Google Analytics, dass eine Frage gestellt bzw. eine Analyse angefordert wurde (inkl. Sprache und ob die Anfrage erfolgreich war) — der Inhalt Ihrer Frage oder das Foto werden dabei nicht an Google Analytics übermittelt.

Ärztliche Terminvereinbarung (Latido): Der Link „Online Termin vereinbaren“ auf der Seite „Über uns“ führt auf die externe Buchungsplattform Latido (patient.latido.at) für ärztliche Termine in der Ordination. Bei einer Buchung dort gelten die Datenschutzbestimmungen von Latido; die dort eingegebenen Daten werden direkt an Latido übermittelt. Die Buchung von SHE-Workshops läuft nicht über Latido, sondern wie im nächsten Abschnitt beschrieben.

Kauf, Abo, Buchung und „Kostenlos holen“

Über die Formulare auf s-h-e.me (Kaufdialog im Bereich „SHE für dich“, Abo-Abschluss, Workshop-Buchung, „Kostenlos holen“) übermitteln Sie Vorname, Nachname und E-Mail-Adresse — bei Workshops auch Telefonnummer und Anmerkungen — sowie Ihre Entscheidungen zu AGB, sofortiger Bereitstellung und SHE Brief direkt an unser SHE Portal (my.gsoond.com). Die Website selbst speichert davon nichts.

Bei kostenpflichtigen Angeboten legt das Portal vor der Zahlung keine Daten an. Sie werden zur Zahlung an Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland) weitergeleitet; Ihre Zahlungsdaten geben Sie ausschließlich bei Stripe ein, wir sehen sie nie. Erst nach erfolgreicher Zahlung meldet Stripe uns den Kauf, und wir legen Ihr Kundinnenkonto, die Rechnung und die Freischaltung an. Stripe ist eigenständiger Verantwortlicher für die Zahlungsabwicklung; Details: stripe.com/at/privacy. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); Rechnungen bewahren wir nach § 132 BAO sieben Jahre auf.

Bei „Kostenlos holen“ entsteht Ihr Konto erst, wenn Sie den Anmeldelink in der zugesandten E-Mail anklicken (Double-Opt-in). Bis dahin halten wir Ihre Angaben höchstens eine Stunde in einem flüchtigen Zwischenspeicher; klicken Sie nicht, werden sie verworfen.

SHE Brief (Werbung per E-Mail): Nur wenn Sie das Kästchen „Ja, schick mir den SHE Brief“ aktiv setzen, senden wir Ihnen unseren Brief mit Neuigkeiten und Angeboten. Ein Kauf allein gilt uns nicht als Erlaubnis. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021); jeder Brief enthält einen Abmeldelink, zusätzlich können Sie die Erlaubnis im Portal-Profil jederzeit widerrufen. Wir protokollieren Ihre Entscheidung mit Zeitpunkt.

E-Mails (Anmeldelinks, Rechnungen, Kaufbestätigungen, SHE Brief) versenden wir über einen E-Mail-Dienstleister als Auftragsverarbeiter; übermittelt werden dazu Ihre E-Mail-Adresse und der Inhalt der Nachricht. Zur Nachweisbarkeit führen wir ein Versandprotokoll (Empfängeradresse, Betreff, Zeitpunkt, Zustellstatus).

Das SHE Portal (my.gsoond.com)

Das SHE Portal ist unser geschützter Kundinnenbereich. Sie melden sich ausschließlich per Anmeldelink an, den wir an Ihre E-Mail-Adresse senden (kein Passwort). Ein Konto entsteht durch einen Kauf, eine Buchung, „Kostenlos holen“ oder die Anlage durch uns im Rahmen eines Programms; eine freie Selbstregistrierung gibt es nicht. Das Portal ist von Suchmaschinen ausgeschlossen und enthält keine Mess- oder Werbedienste.

Was das Portal verarbeitet: Stammdaten (Name, E-Mail, gegebenenfalls Telefon, Adresse, Geburtsdatum), Käufe, Rechnungen und Abos, welche Inhalte Sie geöffnet haben (für „Dran bleiben“ und den Kursfortschritt), Ihre Einwilligungen mit Zeitpunkt und IP-Adresse sowie ein Zugriffsprotokoll (wer wann auf welche Daten zugegriffen hat, mit IP-Adresse), das dem Schutz Ihrer Daten dient. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) bzw. unser berechtigtes Interesse an der Sicherheit des Portals (lit. f).

Gesundheitsdaten (Art. 9 DSGVO) verarbeiten wir nur mit Ihrer ausdrücklichen Einwilligung, die wir erst dort einholen, wo solche Daten entstehen: vor dem ersten Eintrag im Tagebuch, vor der ersten Nutzung des SHE-Chats und im Rahmen der SHE-Programme (Check-in, Check-out, Berichte, Sensordaten). Diese Einwilligung können Sie im Portal-Profil unter „Datenschutz“ jederzeit widerrufen; danach speichern wir keine neuen Gesundheitsangaben mehr, bereits vorhandene Einträge können Sie selbst löschen oder von uns löschen lassen. Die freiwillige Zustimmung zur pseudonymisierten Nutzung für Forschung und Programmverbesserung („Gender-Data-Gap“) fragen wir gemeinsam mit der Gesundheits-Einwilligung und getrennt widerrufbar.

KI-Funktionen im Portal (SHE-Chat, SUPERFRIDGE, Berichts-Texte): Ihre Frage im SHE-Chat bzw. das Foto Ihres Kühlschranks wird zur Beantwortung an einen Anbieter KI-gestützter Dienste (Auftragsverarbeiter) übermittelt; Chat-Nachrichten werden automatisiert auf Hinweise auf eine akute Krise geprüft, um Ihnen gegebenenfalls Hilfsangebote anzuzeigen. Kühlschrankfotos speichern wir nicht. Der Chatverlauf wird in Ihrem Konto gespeichert, damit Sie ihn nachlesen können. Die KI stellt keine Diagnosen und trifft keine Entscheidungen mit rechtlicher Wirkung für Sie.

Benachrichtigungen: Erinnerungen und Nachrichten erscheinen im Portal hinter der Glocke. Nur wenn Sie Push-Mitteilungen ausdrücklich in Ihrem Browser erlauben, speichern wir den dafür nötigen Geräteschlüssel; Push-Nachrichten laufen über den Dienst Ihres Browser-Herstellers (Apple, Google oder Mozilla). Sie können die Erlaubnis jederzeit im Browser entziehen.

Speicherdauer: Portal-Daten bleiben gespeichert, solange Ihr Konto besteht. Auf Ihr Verlangen löschen wir Ihr Konto samt Gesundheitsdaten; Rechnungsdaten bewahren wir nach § 132 BAO sieben Jahre auf, Einwilligungsprotokolle so lange, wie wir die Einwilligung nachweisen müssen.

Auftragsverarbeiter

Für den Betrieb des SHE Portals setzen wir Dienstleister ein, die Daten in unserem Auftrag verarbeiten, und zwar für Datenbank, Anwendungsbetrieb und Dateispeicherung, für den E-Mail-Versand, für KI-gestützte Funktionen und für die verschlüsselte Datensicherung. Die Zahlungsabwicklung übernimmt Stripe (Stripe Payments Europe, Ltd., Irland) als eigenständiger Verantwortlicher.

Soweit Dienstleister Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, stützen wir dies auf einen Angemessenheitsbeschluss der Europäischen Kommission oder auf Standardvertragsklauseln.

Kontakt mit uns

Wenn Sie per E-Mail oder Telefon Kontakt mit uns aufnehmen, werden Ihre angegebenen Daten zwecks Bearbeitung der Anfrage und für den Fall von Anschlussfragen sechs Monate bei uns gespeichert. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter.

Grundsätze der Verarbeitung personenbezogener Daten

Die Verarbeitung personenbezogener Daten basiert auf strengen Grundsätzen, welche den Schutz und die Sicherheit der Daten sowie die Rechte der Betroffenen als höchste Güter ansehen.

Rechtmäßigkeit und Transparenz: Die Datenverarbeitung erfolgt auf rechtmäßige Weise, nach Treu und Glauben. Die betroffene Person wird bei der Erhebung der Daten über die geplante Verarbeitung und den Umgang mit den Daten in Kenntnis gesetzt.

Zweckbindung: Die Daten werden zu festgelegten, eindeutigen und legitimen Zwecken erhoben und verarbeitet. Die Verarbeitung der Daten erfolgt nicht in einer mit diesen Zwecken nicht vereinbarten Art und Weise.

Datenminimierung: Es werden nur jene Daten erhoben und verarbeitet, die für die angegebenen Zwecke zwingend notwendig sind. Wenn es zur Erreichung des Zwecks möglich ist und der Aufwand angemessen ist, werden nur anonymisierte Daten verarbeitet.

Speicherbegrenzung und Löschung: Personenbezogene Daten werden gelöscht, sobald der Zweck, für welchen sie ursprünglich erhoben wurden, verfällt und gesetzliche Aufbewahrungsfristen eine Löschung nicht verhindern. Bestehen im Einzelfall schutzwürdige Interessen an diesen Daten, so werden diese weiterhin aufbewahrt, bis das schutzwürdige Interesse rechtlich geklärt wurde.

Datensicherheit: Für personenbezogene Daten gilt das Datengeheimnis. Die Daten sind im Umgang vertraulich zu behandeln und werden durch angemessene organisatorische und technische Maßnahmen gegen unbefugten Zugriff, unrechtmäßige Manipulation oder Weitergabe sowie vor Verlust und Zerstörung geschützt.

Sachliche Richtigkeit: Personenbezogene Daten sind richtig, vollständig und aktuell zu halten. Es werden angemessene Maßnahmen getroffen, um veraltete, inkorrekte oder unvollständige Daten zu korrigieren.

Verpflichtung auf das Datengeheimnis: All unsere Mitarbeiter sind vertraglich zur Geheimhaltung verpflichtet und werden regelmäßig auf den sicheren Umgang mit personenbezogenen und anderen kritischen Daten hingewiesen und geschult.

Rechte der Betroffenen

Jede betroffene Person, deren personenbezogene Daten von uns verarbeitet werden, hat jederzeit die Möglichkeit, sich auf die eigenen Rechte der Betroffenen zu berufen und diese geltend zu machen. Zur Ausübung Ihrer Betroffenenrechte können Sie sich jederzeit schriftlich per E-Mail an impressum@gsoond.com wenden.

Auskunft: Betroffene können jederzeit Auskunft darüber verlangen, welche personenbezogenen Daten über sie verarbeitet werden und welchen Zwecken diese Verarbeitung dient.

Richtigstellung: Betroffene haben das Recht, die unverzügliche Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen.

Einschränkung: Betroffene Personen haben das Recht auf Einschränkung der Verarbeitung, wenn die Richtigkeit der sie betreffenden Daten bestritten wird, die Verarbeitung unrechtmäßig ist, die Daten für die Verarbeitung nicht länger benötigt werden oder die betroffenen Personen der Verarbeitung widersprochen haben.

Widerruf und Widerspruch: Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Cookie-Einstellungen im Footer, Portal-Profil, Abmeldelink). Gegen eine Verarbeitung auf Grundlage berechtigter Interessen können Sie Widerspruch einlegen.

Übertragbarkeit: Betroffene Personen haben das Recht, die sie betreffenden personenbezogenen Daten, die sie uns zur Verfügung gestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Sie haben zudem das Recht, die Übertragung dieser Daten an einen anderen Verantwortlichen zu verlangen, sofern technisch machbar. Die Übertragbarkeit gilt nur für personenbezogene Daten, die mithilfe automatisierter Verfahren verarbeitet werden.

Löschung – Recht auf Vergessenwerden: Die betroffene Person hat das Recht, die unverzügliche Löschung der sie betreffenden personenbezogenen Daten zu verlangen, wenn die Rechtsgrundlage für die Verarbeitung der Daten fehlt oder wegfällt, der Datenverarbeitung widersprochen wird, die Datenverarbeitung unrechtmäßig ist und keine gesetzlichen Aufbewahrungsfristen eine Löschung unmöglich machen. Die Geltendmachung von Betroffenenrechten ist nur nach einer zweifelsfreien Identifikation der betroffenen Person möglich. Sie haben zudem jederzeit das Recht auf Beschwerde bei der österreichischen Datenschutzbehörde (dsb.gv.at).

Datenübermittlung

Eine Übermittlung personenbezogener Daten an Empfänger außerhalb des Unternehmens sowie Empfänger in Drittländern erfolgt nur im Einklang mit geltenden Gesetzen und auf rechtmäßiger Basis sowie unter Beachtung höchster Vertraulichkeit und Datensicherheit. Wir bedienen uns bei Verarbeitungen der oben genannten Auftragsverarbeiter. Diese sind vertraglich an die Einhaltung der geltenden Datenschutzbestimmungen gebunden.