Wiki

Wellness & Lifestyle Intelligence und GDPR: Rechtsrahmen

Das Portal unterstützt den Lebensstil, stellt aber keine Diagnosen und verordnet keine Behandlung. Gesundheitsdaten werden nach GDPR verarbeitet — mit ausdrücklicher Einwilligung des Gastes und auf einem Server in der EU.

Updated 2026-08-28 · Beispiel der Anwendungen Luxury Spa & Medical Wellness Hotel Prezident

Kurz

• Die Klasse. Wellness & Lifestyle Intelligence unterstützt den Lebensstil: Das Portal sammelt die Werte von Uhr und Waage, zeigt sie dem Gast und dem Arzt und speichert die Verordnungen des Arztes. Es stellt keine Diagnose und verordnet keine Behandlung.
• Wer für die Daten verantwortlich ist. Verantwortlicher ist das Hotel: In den Hinweisen des Portals sind die juristische Person, die Registrierungsnummern, die Adresse und der Arzt namentlich genannt. longev.eu ist der Auftragsverarbeiter: Dort laufen Code und Server.
• Jedes Hotel hat seine eigene Datenbank. Der Code ist derselbe, aber jedes Hotel hat seinen eigenen Prozess, sein eigenes Verzeichnis und seine eigene Datenbank. Eine gemeinsame Tabelle mit den Gästen aller Hotels gibt es nicht.
• Es gibt zwei Einwilligungen. Eine allgemeine bei der Registrierung, eine ausdrückliche für Gesundheitsdaten vor dem Fragebogen. Beide werden mit der Versionsnummer der Hinweise gespeichert: aktuell Version 1.7 vom 17.08.2026, 12 Abschnitte in 36 Sprachen.
• Die Rechte sind Schaltflächen. Alles als eine Datei exportieren, HL7 FHIR für das System einer Klinik exportieren, die Einwilligung mit Löschung widerrufen, das Konto löschen. Ohne Brief an das Hotel und ohne Wartezeit.
• Was die EU verlässt. Drei Dinge, und alle drei werden klar benannt: die Anmeldung über Google, die Garmin-Cloud hinter der ausgegebenen Uhr und der anonymisierte Text, der an das Modell geht.
• Fristen. Gesundheitsdaten — 3 Jahre nach der letzten Aktivität, Serverprotokolle — bis zu 90 Tage, ein Link zum Zurücksetzen des Passworts — 60 Minuten.
• Für wen dieses Dokument ist. Für das Hotel, das eine Plattform auswählt, und für den Gast, der wissen will, was aus seinen Werten geworden ist. Aktualisiert am 23.08.2026.

Was Wellness & Lifestyle Intelligence bedeutet

Wellness & Lifestyle Intelligence ist eine Produktklasse, die den Lebensstil unterstützt: Schlaf, Bewegung, Wasser, Essen und die Anwendungen des Hotels. Sie arbeitet mit denselben Werten wie die Medizin, beansprucht aber keinen medizinischen Zweck und verspricht kein therapeutisches Ergebnis.

Was das Portal macht: Es übernimmt die Tageswerte von der Uhr und die Wiegungen von der Waage, vergleicht sie mit dem eigenen Durchschnitt des Gastes, zeigt das Bild dem Gast im Konto und dem Arzt in der Übersicht und speichert und zeigt die Verordnungen des Arztes.

Was es nie macht: eine Krankheit benennen, ein Medikament oder eine Diät verordnen, eine ärztliche Verordnung aufheben oder ersetzen oder versprechen, dass eine Anwendung etwas heilt.

Der Unterschied zeigt sich dort, wo der Algorithmus den Plan berührt. Kostenlose eigene Leistungen — eine Kurstrecke, eine im Aufenthalt enthaltene Sauna — verschiebt das Portal selbst. Bei einer kostenpflichtigen Anwendung schlägt es nur eine Verschiebung vor, und der Arzt entscheidet (wie das funktioniert).

Wo die Grenze zum Medizinprodukt verläuft

Ob eine Software ein Medizinprodukt ist, entscheidet nicht die Komplexität des Algorithmus, sondern der Zweck, den ihr der Hersteller gibt: Diagnose, Prävention, Überwachung, Vorhersage, Prognose, Behandlung oder Linderung einer Krankheit (Verordnung (EU) 2017/745 über Medizinprodukte, Artikel 2). Das Portal beansprucht keinen solchen Zweck — und das steht nicht nur in einer Erklärung, sondern an 3 Stellen im Produkt selbst:

• Das Risikoniveau aus dem Fragebogen wählt eine Kurstrecke und einen Pulsbereich aus, keine Diagnose. Es hat keine rechtlichen Folgen, und der Arzt kann es übersteuern.
• Die Trinkkur wird vom Chefarzt des Hotels nach der Untersuchung verordnet. Das Portal speichert sie, zeigt sie an und erinnert an die Einnahme — selbst verordnen kann es sie nicht (mehr dazu).
• Die Nachtschleife verschiebt eine Anwendung, sie behandelt nicht. Die Schwellenwerte dafür kommen von den Ärzten und sind offengelegt (Zahlen und Regeln).

Die Uhr ist ein Verbrauchergerät

Das Kit des Hotels besteht aus einer normalen Garmin Forerunner 165 Music und einer normalen Garmin Index S2, im Handel gekauft. Medizinische Funktionen übernimmt das Portal davon nicht: Die ECG-App aktiviert Garmin selbst nur dort, wo sie als Medizinprodukt zugelassen ist, und eine in einem anderen Land gekaufte Uhr hat sie womöglich gar nicht.

Puls, seine Variabilität, Schlafphasen, Atmung und Sauerstoffsättigung im Blut sind Messwerte eines optischen Sensors am Handgelenk für den Privatgebrauch. Genau so zeigt das Portal sie auch: als Dynamik des eigenen Körpers des Gastes, nicht als Ergebnis einer Untersuchung (was die Uhr genau misst).

Die Einordnung hängt nicht an einer Zeile im Dokument, sondern an den Versprechen. Wenn das Marketing des Hotels sagt «Wir stellen eine Diagnose mit der Uhr» oder «Wir heilen Sie in einer Woche», sprengt das den Rahmen schneller als jede Änderung im Code.

Wer wofür verantwortlich ist

Die Rollen nach GDPR sind so verteilt, und diese Verteilung ist wichtiger als jedes Wort über Partnerschaft: Gegenüber dem Gast und gegenüber der Aufsichtsbehörde ist das Hotel verantwortlich.

Warum jedes Hotel eine eigene Datenbank hat

Die Plattform ist nicht mandantenfähig im üblichen Sinn: Gäste verschiedener Hotels werden nicht durch eine Spalte in einer gemeinsamen Tabelle getrennt. Jedes Hotel hat seinen eigenen Prozess auf dem Server, sein eigenes Verzeichnis und seine eigene Datenbank, der Code ist aber überall derselbe.

Der Unterschied ist praktisch. Ein Fehler in einer Abfrage kann einem Hotel nicht die Gäste eines anderen zeigen — sie sind in seiner Datenbank einfach nicht vorhanden. Ein Hotel, das geht, nimmt seine Datei vollständig mit und nicht nur einen Auszug aus einem gemeinsamen Speicher.

Zwei Einwilligungen und die Version der Richtlinie

Gesundheitsdaten sind eine besondere Kategorie (Artikel 9 GDPR), und «Ich stimme den Bedingungen zu» bei der Registrierung reicht dafür rechtlich nicht aus. Deshalb gibt es zwei Einwilligungen: die allgemeine bei der Registrierung und die ausdrückliche zur Verarbeitung von Gesundheitsdaten vor dem Fragebogen.

Die Reihenfolge hält der Server ein, nicht die Oberfläche: Eine Anfrage für die zweite Einwilligung wird abgelehnt, wenn die Richtlinie noch nicht angenommen wurde.

Beide Einwilligungen werden zusammen mit der Versionsnummer der Richtlinie und dem Zeitpunkt gespeichert. Die Version steigt, wenn sich der Sinn ändert, nicht bei einem Tippfehler — und dann fragt das Portal alle erneut mit einem Fenster über jedem Bildschirm.

Das ist schon 3-mal passiert: Version 1.5 hat die Waage im Zimmer und die Körperzusammensetzung ergänzt, 1.6 das KI-Modell und 3 Datenübermittlungen aus dem EWR genannt, 1.7 das Ernährungstagebuch und das Foto eines Tellers. Jedes Mal wurden die Gäste erneut gefragt.

Die Richtlinie des Portals ist von der Richtlinie des Hotels getrennt und gilt nur für das Portal: das Konto, den Fragebogen, die Gesundheitsrouten und die Uhr. Die Zimmerbuchung und der Newsletter des Hotels stehen in seiner eigenen Richtlinie.

×

Rechte des Gastes – per Knopfdruck, nicht per E-Mail

Ein Recht, das versprochen wird, aber nur per E-Mail an das Hotel ausgeübt werden kann, wird in der Praxis nicht ausgeübt. Deshalb gibt es in «Konto» den Block «Meine Daten» mit 4 Schaltflächen.

• Export – alles, was das Portal über den Gast speichert, in einer maschinenlesbaren Datei: Fragebögen, Gesundheitsrouten mit Trackpunkten, Nächte, Tests, Verordnungen, Profil (Artikel 20 – Recht auf Datenübertragbarkeit).
• HL7 FHIR-Export – dieselben Werte in der Sprache medizinischer Systeme, im Format FHIR R4: Patient und Beobachtungen. So eine Datei kann ein Kliniksystem lesen, nicht nur ein Mensch.
• Einwilligung widerrufen – standardmäßig zusammen mit der Löschung: Ohne Einwilligung gibt es keine Grundlage mehr, Gesundheitsdaten zu speichern.
• Konto löschen (Artikel 17) – mit Bestätigung: Der Gast gibt seine eigene E-Mail-Adresse ein, sonst passiert beim Tippen auf die Schaltfläche nichts.

×

Was die Schaltflächen nicht tun

Ein Mitarbeiterkonto lässt sich mit diesen Schaltflächen nicht löschen. Unter der Signatur eines Arztes stehen Verordnungen und Morgenblätter anderer Personen, deshalb entfernt ein Administrator so ein Konto – damit die Signatur nicht stillschweigend abgetrennt wird.

Die 2 Tiefen der Löschung und das, was eine Löschung überlebt, sind im Artikel Personenbezogene Daten erklärt: Dort steht auch, warum das Journal der Kit-Ausgaben bleibt, die Notizen des Personals über einen Gast aber verschwinden.

Wo die Daten liegen und was nach außen geht

Der Server steht in der Europäischen Union; das Land des Rechenzentrums ist in den Hinweisen des jeweiligen Hotels genannt. Daten verlassen ihn genau in 3 Fällen, und alle 3 sind dort einzeln aufgeführt:

• Anmeldung mit Google – nur wenn der Gast diesen Weg selbst gewählt hat, und nur für die Anmeldung selbst: E-Mail-Adresse, Name und Kennung des Kontos. Das Google-Passwort gelangt nie zum Portal.
• Garmin-Cloud – eine ausgegebene Uhr synchronisiert in ein Garmin-Konto, das dem Hotel gehört und die Nummer des Kits trägt, nicht den Namen des Gastes; die Server von Garmin stehen in den USA. Grundlage ist die ausdrückliche Einwilligung für die Uhr (Artikel 49(1)(a)).
• Anbieter des Modells – das anonymisierte Morgenblatt (Alter, Geschlecht und Werte, ohne Namen, Geburtsdatum und E-Mail-Adresse), eine Nachricht des Arztes, die wörtlich übersetzt werden muss, und das Foto eines Tellers, wenn der Gast selbst auf die Kamera gedrückt hat.

Und eine Sache, die wir nicht löschen können

Im Portal gibt es weder Werbung noch Analysezähler. Der Browser des Gastes speichert nur das Sitzungstoken und die gewählte Sprache.

Die Tageshistorie in einem Garmin-Konto lässt sich aber nicht löschen: Garmin bietet dafür keine Möglichkeit. Diese Tage bleiben dort nach den eigenen Bedingungen von Garmin auch dann bestehen, wenn unsere Kopie schon gelöscht ist. Das Portal liest aus so einem Konto nur die Tage des Aufenthalts, in dem der Gast das Kit hatte – aber das offen zu sagen ist ehrlicher, als es zu verschweigen.

Wie lange was gespeichert wird

Für jede Datenart ist die Frist einzeln genannt, und Löschung bedeutet dabei das Entfernen von Zeilen aus der Datenbank, nicht nur das Ausblenden in der Oberfläche.

Ein Eintrag überlebt den Gast absichtlich – die Abrechnungszeile für einen aktiven Aufenthalt: Der Verweis auf das Konto wird darin auf null gesetzt, und der Monat weiß noch, dass der Aufenthalt stattgefunden hat, nennt aber niemanden mehr (wie ein aktiver Gast gezählt wird).

Was das Modell macht und was es nicht entscheidet

Ein Teil der Texte im Portal wird von einem Modell für künstliche Intelligenz formuliert: der Text des Morgenblatts, die Übersetzung einer Nachricht des Arztes, der Hintergrund einer Postkarte von der Gesundheitsroute, die Schätzung der Kalorien nach dem Foto eines Tellers.

Es berechnet weder das Risikoniveau noch wählt es die Pulszone aus und ändert auch nicht das Programm — es bekommt nur das, was das Portal schon berechnet hat. Eine automatisierte Entscheidung mit rechtlicher Wirkung (Artikel 22 GDPR) gibt es im Portal überhaupt nicht.

Dass ein Text von einem Modell geschrieben wurde, wird dem Gast direkt in der Richtlinie gesagt: Das verlangt Artikel 50 der EU-Verordnung über künstliche Intelligenz.

Und die wichtigste Sicherung: Keine einzige Anfrage mit persönlichem Text geht raus, bevor der Super-Admin bestätigt hat, dass mit dem Anbieter ein Vertrag zur Auftragsverarbeitung geschlossen wurde. Standardmäßig ist der Schalter aus — Schweigen ist keine Zustimmung. Ein kostenloser Tarif reicht dafür nicht: Nach den Bedingungen des Anbieters selbst lernt er aus dem, was ihm geschickt wird.

Kalorien nach einem Foto zeigt das Portal als Bereich an und erlaubt eine Korrektur: Das ist eine Schätzung nach einem Bild, keine Messung.

Was der Server verbietet, nicht die Oberfläche

• Der Blick mit den Augen des Gasts ist nur lesend. Ein Arzt kann das Konto des Gasts öffnen, um genau das zu sehen, was der Gast sieht. Jede Anfrage, die etwas ändern würde, wird in einer solchen Sitzung schon am Eingang der Anwendung abgewiesen, noch vor dem Handler: Ein Versprechen, das in jeder Route einzeln eingehalten wird, hält nur bis zur ersten neuen Route.
• Jeder Zugriff wird protokolliert. Welches Mitglied des Personals das Konto des Gasts geöffnet hat und wann, steht als Zeile im Protokoll. Ein Admin darf in einer solchen Sitzung Änderungen vornehmen, und der Preis wird klar genannt: Die Änderung geht im Namen des Gasts raus, und das Protokoll merkt sich, in wessen Fenster man schauen muss.
• Ein Gast kommt nur an seine eigenen Zeilen. Die Rollentrennung wird auf dem Server umgesetzt und nicht in einem Menü versteckt.
• Passwörter werden nicht gespeichert. In der Datenbank liegt ein PBKDF2-Hash, und der Link zum Zurücksetzen des Passworts nur als SHA-256 des Codes. Eine geleakte Datenbank gibt weder das eine noch das andere preis.
• Eine Passwortänderung macht ausgegebene Schlüssel ungültig. In jedem Token ist eine Sitzungsgeneration gespeichert: Eine Passwortänderung, das Abmelden auf allen Geräten oder eine Änderung der Rolle macht bereits ausgegebene Schlüssel ungültig, statt zu warten, bis sie von selbst ablaufen.

Was das Hotel vor dem Start erledigt

• Die Angaben des Verantwortlichen ausfüllen. Solange auch nur ein Feld noch in spitzen Klammern steht, betrachtet das Portal die Richtlinie als nicht veröffentlichbar und weist in der Admin-Übersicht darauf hin.
• Einen Kanal für Datenanfragen nennen — und, falls ein Datenschutzbeauftragter bestellt ist (Artikel 37), seine Adresse. Den Namen des Beauftragten zu veröffentlichen verlangt die Verordnung nicht, einen Kontaktweg aber schon.
• Den Arzt namentlich nennen. Ein Gast, der Gesundheitsdaten abgibt, darf wissen, wer sie liest, und muss sich nicht mit der Formulierung «Kurarzt» begnügen.
• Einen Vertrag zur Auftragsverarbeitung abschließen — mit der Plattform und, wenn das Modell eingeschaltet wird, auch mit seinem Anbieter. Bis zur Bestätigung bleibt der Schalter aus und persönliche Texte gehen nicht raus.
• Das Marketing mit der Einordnung abgleichen. Ein Heilversprechen auf der Website des Hotels streicht den Rahmen «Unterstützung des Lebensstils» durch.
• An die Altersgrenze denken. Das Portal ist für Erwachsene gedacht; für Personen unter 16 Jahren wird kein Konto angelegt.
• Die zuständige Aufsichtsbehörde kennen. Sie wird in der Richtlinie mit Adresse und Website genannt; für Tschechien ist das das Úřad pro ochranu osobních údajů.

Fragen und Antworten

• Ist das Portal ein Medizinprodukt? Nein. Es beansprucht keinen medizinischen Zweck: Es stellt keine Diagnosen, verordnet keine Behandlung und verspricht keinen Heilerfolg. Es sammelt Zahlen und zeigt sie an; die Entscheidungen trifft der Arzt.
• Wer ist dem Gast gegenüber verantwortlich — das Hotel oder die Plattform? Das Hotel: Es ist der Verantwortliche. Die Plattform ist der Auftragsverarbeiter und arbeitet nach Vertrag und nach den Weisungen des Hotels.
• Braucht es eine Einwilligung, wenn der Gast nur die Uhr trägt? Ja. Tageswerte sind Gesundheitsdaten, also eine besondere Kategorie nach Artikel 9 GDPR. Das Portal holt dafür eine eigene ausdrückliche Einwilligung ein, und sie lässt sich mit einem Klick widerrufen.
• Verlassen Daten die EU? Der Server steht in der EU. Nach außen gehen 3 Dinge, alle 3 sind in der Datenschutzerklärung genannt: die Anmeldung über Google, die Garmin-Cloud hinter den ausgegebenen Uhren und der anonymisierte Text, der dem Modell übergeben wird.
• Lernt das Modell aus den Daten der Gäste? Nein. Solange der Vertrag zur Auftragsverarbeitung mit dem Anbieter nicht bestätigt ist, geht überhaupt kein persönlicher Text nach außen, und der Vertrag selbst verbietet Wiederverwendung und Training.
• Was bleibt, wenn ein Gast alles löscht? Aus der Datenbank verschwinden Übernachtungen, Gesundheitsrouten, Verordnungen, das Ernährungstagebuch und die Notizen des Personals über ihn. Bleiben werden die eigenen Unterlagen des Hotels: das Protokoll der Ausgabe von Kompletten und eine Rechnungszeile, die niemanden mehr nennt.

Quellen

Verordnung (EU) 2016/679 — GDPR · Verordnung (EU) 2017/745 über Medizinprodukte · Verordnung (EU) 2024/1689 über künstliche Intelligenz · Úřad pro ochranu osobních údajů

Weiter zum Thema

Personenbezogene Daten: 2 Einwilligungen, Export und Löschung — dieselben Rechte aus Sicht des Gastes, Schaltfläche für Schaltfläche.

Wie die Plattform Anwendungen zuweist — wo der Algorithmus aufhört und der Arzt beginnt.

Preise: Setup, Base und Active Guest — was zum Start gehört und wie ein aktiver Gast gezählt wird.

Was die Uhr misst — welche Zahlen genau vom Handgelenk kommen.

Rezeption: Arbeit mit den Apps — warum ein Komplett gelöscht wird, bevor es an den nächsten Gast geht.

Die vollständige Datenschutzerklärung des Portals ist ohne Anmeldung auf der Datenschutzseite offen.