Datenschutzerklärung der ganzheit GmbH

Stand: 12. Oktober 2026

Datenschutz ist für uns kein Kleingedrucktes. Auf dieser Seite erklären wir Dir – so klar wie möglich –, welche personenbezogenen Daten wir verarbeiten, wenn Du unsere Website besuchst oder unsere Plattform nutzt, zu welchem Zweck das geschieht und welche Rechte Du hast. Wo wir formelle Sprache verwenden, hat das einen rechtlichen Grund.

Eine besonders wichtige Vorab-Information: Über die in der Plattform geführten Fall- und PatientInnenakten verarbeiten wir keine personenbezogenen Daten der von Dir betreuten Personen. Warum das so ist, erklären wir in Abschnitt 3.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

ganzheit GmbH Holstenwall 10, 20355 Hamburg Registergericht: Amtsgericht Hamburg, HRB 200179 Umsatzsteuer-Identifikationsnummer: DE463868457 Vertretungsberechtigte Geschäftsführer: Jan Hoppe, Philipp Kaiser E-Mail: kontakt@ganzheit-app.com

Bei allen Fragen zum Datenschutz und zur Ausübung Deiner Rechte kannst Du Dich jederzeit unter der oben genannten E-Mail-Adresse an uns wenden.

Wir haben keine/n Datenschutzbeauftragte/n bestellt, weil wir gesetzlich nicht dazu verpflichtet sind. Verantwortlich für den Datenschutz ist die Geschäftsführung.

2. Geltungsbereich und Überblick

Diese Datenschutzerklärung gilt für zwei getrennte Bereiche:

Die Website unter www.ganzheit-app.com – unser öffentlicher Internetauftritt, den Du ohne Anmeldung besuchen kannst. Sie wird über den Dienstleister Cloudflare betrieben.
Das Portal unter portal.ganzheit-app.com – die eingeloggte Plattform, die Du nach Deiner Registrierung als Fachperson nutzt. Sie wird auf Infrastruktur von Amazon Web Services (AWS) in der Europäischen Union betrieben.

Die beiden Bereiche unterscheiden sich technisch und in den eingesetzten Diensten. Wir behandeln sie deshalb getrennt: Abschnitt 4 betrifft die Website, Abschnitt 6 das Portal.

3. Besonderheit: keine personenbezogenen Daten Deiner PatientInnen

ganzheit ist so konzipiert, dass Du die Plattform auf Chiffrenbasis nutzt (siehe AGB § 5 und § 6). Das bedeutet: In PatientInnen- und Fallakten, Sitzungsdokumentationen, Fotos, Diktaten und KI-Anfragen verwendest Du ausschließlich Chiffren, Pseudonyme oder andere anonymisierte Bezeichnungen. Klarnamen, Anschriften, Geburtsdaten, Versicherungs- oder Mitgliedsnummern oder sonstige unmittelbar identifizierende Angaben der von Dir betreuten Personen werden nicht in die Plattform eingegeben.

Solange Du die Plattform so nutzt, verarbeitet ganzheit keine personenbezogenen Daten Deiner PatientInnen oder KlientInnen im Sinne von Art. 4 Nr. 1 DSGVO. Eine Auftragsverarbeitung nach Art. 28 DSGVO findet aus diesem Grund nicht statt; ein Auftragsverarbeitungsvertrag (AVV) ist nicht erforderlich. Möchtest Du dennoch einen AVV mit uns schließen, kannst Du ihn jederzeit in Deinen Kontoeinstellungen abschließen (AGB § 5 Abs. 3). Die Zuordnung zwischen Chiffre und realer Person erfolgt ausschließlich in Deinem eigenen, von der Plattform unabhängigen Verantwortungsbereich.

Die folgenden Abschnitte beziehen sich daher auf die Verarbeitung Deiner eigenen Daten als NutzerIn (zum Beispiel Account-, Nutzungs- und Abrechnungsdaten) sowie auf die Daten von BesucherInnen unserer Website.

4. Besuch der Website (www.ganzheit-app.com)

4.1 Hosting und Server-Logfiles

Unsere Website wird über den Dienst Cloudflare Pages der Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, USA) gehostet und ausgeliefert. Cloudflare verarbeitet die Website-Daten in unserem Auftrag als Auftragsverarbeiter; wir haben mit Cloudflare einen entsprechenden Auftragsverarbeitungsvertrag geschlossen.

Wenn Du unsere Website aufrufst, erhebt der Hosting-Dienst automatisch Informationen, die Dein Browser übermittelt, und speichert sie in sogenannten Server-Logfiles. Das sind insbesondere:

die IP-Adresse des anfragenden Geräts,
Datum und Uhrzeit des Zugriffs,
die aufgerufene Seite bzw. Datei,
der zuvor besuchte Verweis (Referrer),
Browsertyp und Browserversion sowie das verwendete Betriebssystem.

Diese Daten sind technisch erforderlich, um Dir die Website auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten und Angriffe abzuwehren. Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an einem sicheren und funktionsfähigen Internetauftritt (Art. 6 Abs. 1 lit. f DSGVO). Die Logfiles werden nach 30 Tagen gelöscht oder anonymisiert.

Cloudflare liefert unsere Website über ein weltweites Servernetz aus; Deine Anfrage wird dabei in der Regel vom nächstgelegenen Standort beantwortet. Eine Verarbeitung außerhalb der Europäischen Union kann dabei nicht ausgeschlossen werden. Zur Drittlandübermittlung siehe Abschnitt 8.

4.2 Cookies und Einwilligung

Auf unserer Website setzen wir Cookies und vergleichbare Technologien ein. Cookies, die für den Betrieb der Website technisch notwendig sind, setzen wir auf Grundlage unseres berechtigten Interesses bzw. – soweit ein Zugriff auf Dein Endgerät erfolgt – nach § 25 Abs. 2 TDDDG ein.

Für alle nicht notwendigen Cookies und Technologien – insbesondere für die Reichweitenmessung (Kategorie Statistik, siehe 4.3) und die Conversion-Messung für unsere Anzeigen (Kategorie Marketing, siehe 4.5) – holen wir Deine Einwilligung über unseren Cookie-Banner ein, bevor sie geladen werden. Deine Auswahl kannst Du jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen auf der Website widerrufen oder anpassen. Rechtsgrundlage für einwilligungspflichtige Cookies sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO.

Deine Auswahl gilt gemeinsam für die Website und das Portal: Sie wird in einem Cookie für die gesamte Domain ganzheit-app.com gespeichert. Was Du auf der Website einstellst, gilt deshalb auch im Portal und umgekehrt.

4.3 Reichweitenmessung mit Google Analytics 4

Zur statistischen Auswertung der Nutzung unserer Website setzen wir Google Analytics 4 ein, einen Dienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Damit werten wir zum Beispiel aus, wie viele Personen unsere Seiten besuchen, welche Inhalte aufgerufen werden und über welche Wege die BesucherInnen zu uns finden. Diese Auswertung hilft uns, unser Angebot zu verbessern.

Google Analytics verwendet Cookies und vergleichbare Technologien. Verarbeitet werden dabei insbesondere eine pseudonyme Kennung Deines Browsers, die aufgerufenen Seiten, Zeitpunkt und Dauer des Besuchs, die Herkunftsquelle sowie Angaben zu Gerät, Browser, Betriebssystem und ungefährem Standort. Nach Angaben des Anbieters wird Deine IP-Adresse dabei nicht gespeichert.

Google Analytics wird erst dann geladen, wenn Du im Cookie-Banner eingewilligt hast. Wir setzen es auch im Portal ein; was dort erhoben wird, steht in Abschnitt 6.8. Rechtsgrundlage ist Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Deine Einwilligung findet keine Reichweitenmessung statt. Deine Einwilligung kannst Du jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen.

Die erhobenen Nutzungsdaten werden nach 14 Monaten gelöscht. Vertragspartner ist die Google Ireland Limited; eine Verarbeitung durch die Google LLC in den USA ist möglich. Zur Drittlandübermittlung siehe Abschnitt 8.

4.4 Videos (YouTube)

Auf unserer Website binden wir Videos ein, die bei YouTube liegen, einem Dienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland).

Die Videos werden nicht automatisch geladen. Beim Aufruf der Seite siehst Du zunächst nur ein Vorschaubild, das von unserem eigenen Server stammt. In diesem Zustand wird keine Verbindung zu YouTube aufgebaut und es werden keine Daten an YouTube übertragen.

Erst wenn Du das Vorschaubild anklickst, um das Video zu starten, stellt Dein Browser eine Verbindung zu den Servern von YouTube her. Dabei werden insbesondere Deine IP-Adresse, die aufgerufene Seite sowie Angaben zu Deinem Gerät und Browser an YouTube übermittelt; YouTube kann außerdem Cookies auf Deinem Endgerät speichern oder auslesen. Bist Du dabei in einem Google-Konto angemeldet, kann YouTube den Abruf diesem Konto zuordnen. Auf Art und Umfang dieser Verarbeitung haben wir keinen Einfluss.

Rechtsgrundlage ist Deine Einwilligung, die Du mit dem Klick auf das Vorschaubild erteilst (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Auf diese Folge weisen wir unmittelbar am Video hin. Solange Du nicht klickst, findet keine Übermittlung statt.

Google ist ein US-Anbieter; eine Übermittlung in die USA ist möglich. Zur Drittlandübermittlung siehe Abschnitt 8. Weitere Informationen zur Verarbeitung durch YouTube findest Du in der Datenschutzerklärung von Google unter policies.google.com/privacy.

4.5 Conversion-Messung mit Google Ads

Wir schalten Anzeigen über Google Ads, einen Dienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Um zu erfahren, ob eine Anzeige zu einer Registrierung oder zu einem Abo-Abschluss geführt hat, setzen wir die Conversion-Messung von Google Ads ein. Das hilft uns, den Erfolg unserer Anzeigen statistisch auszuwerten und ihre Ausspielung zu verbessern.

So funktioniert es: Wenn Du auf eine unserer Anzeigen klickst, hängt Google an die Adresse unserer Website eine Klick-ID an. Hast Du eingewilligt, speichern wir diese Kennung in einem eigenen Cookie der ganzheit GmbH (ganzheit_adclick) auf Deinem Endgerät. Das Cookie gilt für die gesamte Domain ganzheit-app.com, also für die Website und das Portal. Registrierst Du Dich später oder schließt einen kostenpflichtigen Tarif ab, meldet unser Server diesen Abschluss an Google Ads, und er kann so der Anzeige zugeordnet werden (siehe 6.9). Für die Conversion-Messung wird in Deinem Browser kein Dienst von Google geladen.

Im Cookie speichern wir die Klick-ID und den Zeitpunkt des Klicks.

Ausdrücklich nicht: Wir nutzen Google Ads nicht für Remarketing, zeigen Dir also keine Anzeigen auf Grundlage Deines Besuchs bei uns. Deinen Namen und Deine E-Mail-Adresse übermitteln wir nicht an Google, auch nicht in verschlüsselter oder gehashter Form.

Google verarbeitet die Daten der Conversion-Messung teilweise in eigener Verantwortung und nicht als unser Auftragsverarbeiter, nach den eigenen Datenschutzbestimmungen von Google (policies.google.com/privacy).

Das Cookie setzen wir erst dann, wenn Du im Cookie-Banner in die Kategorie „Marketing“ eingewilligt hast. Rechtsgrundlage ist Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Deine Einwilligung findet keine Conversion-Messung statt. Deine Einwilligung kannst Du jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen.

Das Cookie ganzheit_adclick löschen wir nach der Übermittlung, spätestens nach 90 Tagen und sofort, wenn Du Deine Einwilligung widerrufst.

Vertragspartner ist die Google Ireland Limited; eine Verarbeitung durch die Google LLC in den USA ist möglich. Zur Drittlandübermittlung siehe Abschnitt 8. Was an Google Ads übermittelt wird, steht in Abschnitt 6.9.

5. E-Mail-Kommunikation mit Dir

5.1 Kontaktaufnahme per E-Mail

Wenn Du uns per E-Mail kontaktierst, verarbeiten wir die von Dir übermittelten Daten (insbesondere Deine E-Mail-Adresse, Deinen Namen und den Inhalt Deiner Nachricht), um Deine Anfrage zu beantworten. Für die Bereitstellung und den Betrieb unserer E-Mail-Postfächer nutzen wir Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Google verarbeitet diese Daten als Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag liegt vor.

Eine Verarbeitung Deiner Daten über Google Workspace findet nur statt, wenn Du tatsächlich per E-Mail mit uns in Kontakt trittst. Rechtsgrundlage ist – je nach Anliegen – die Anbahnung oder Durchführung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO) oder unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die Daten, sobald Deine Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Google ist ein US-Anbieter; Daten können in die USA übermittelt werden. Zur Drittlandübermittlung siehe Abschnitt 8.

5.2 Produktinformationen, wichtige Mitteilungen und Marketing (Brevo)

Um Dich als NutzerIn über unseren Dienst zu informieren und – mit Deiner Einwilligung – über Neuigkeiten auf dem Laufenden zu halten, versenden wir E-Mails über den Dienstleister Brevo (Brevo GmbH, Köln, Deutschland). Brevo verarbeitet die Daten in unserem Auftrag als Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag liegt vor. Die Verarbeitung findet innerhalb der Europäischen Union statt.

An Brevo übermitteln wir hierfür Deinen Namen und Deine E-Mail-Adresse aus Deinem Nutzerkonto sowie den Status Deiner Marketing-Einwilligung. Personenbezogene Daten Deiner PatientInnen oder KlientInnen werden nicht an Brevo übermittelt (siehe Abschnitt 3).

Wir unterscheiden dabei zwei Arten von Nachrichten mit jeweils eigener Rechtsgrundlage:

Produktinformationen und wichtige Mitteilungen (zum Beispiel Hinweise auf neue Funktionen oder relevante Änderungen am Dienst) senden wir Dir auf Grundlage unseres berechtigten Interesses, Dich über das von Dir genutzte Produkt zu informieren (Art. 6 Abs. 1 lit. f DSGVO). Dieser Verarbeitung kannst Du jederzeit widersprechen (siehe Abschnitt 10).
Marketing- und Werbe-E-Mails senden wir Dir ausschließlich, wenn Du dazu bei der Registrierung Deine Einwilligung erteilt hast (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 7 Abs. 2 UWG). Diese Einwilligung kannst Du jederzeit mit Wirkung für die Zukunft widerrufen – über den Abmeldelink in jeder dieser E-Mails oder per Mitteilung an die in Abschnitt 1 genannte E-Mail-Adresse.

Eine Messung von Öffnungs- oder Klickraten (zum Beispiel über Zählpixel) findet bei diesen E-Mails nicht statt.

Vertraglich notwendige Transaktions-E-Mails (zum Beispiel Registrierungsbestätigung, Rechnungen oder Systembenachrichtigungen) versenden wir unabhängig davon weiterhin über unsere EU-Infrastruktur und nicht über Brevo (siehe Abschnitt 6.6).

6. Nutzung des Portals (portal.ganzheit-app.com)

Das Portal ist der eingeloggte Bereich, den Du nach Deiner Registrierung nutzt. Es wird auf Infrastruktur von Amazon Web Services (AWS) in der Region Frankfurt (eu-central-1) betrieben. AWS fungiert als Auftragsverarbeiter im Sinne von Art. 28 DSGVO; ein Auftragsverarbeitungsvertrag liegt vor. Deine Inhalte verlassen den EU-Raum nicht.

6.1 Registrierung und Account-Daten

Für die Nutzung des Portals legst Du ein NutzerInnenkonto an. Dabei verarbeiten wir die von Dir angegebenen Daten – insbesondere Deinen Namen, Deine E-Mail-Adresse und Deine Zugangsdaten sowie gegebenenfalls Angaben zu Deiner beruflichen Tätigkeit und – für die Rechnungsstellung – zu Praxis bzw. Unternehmen.

Diese Verarbeitung ist erforderlich, um den Nutzungsvertrag mit Dir zu begründen und durchzuführen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Account-Daten verarbeiten wir für die Dauer des Vertragsverhältnisses; zur Löschung und zu Aufbewahrungspflichten siehe Abschnitt 9.

Bist Du über eine unserer Anzeigen zu uns gekommen und hast in die Kategorie „Marketing“ eingewilligt, meldet unser Server die abgeschlossene Registrierung an Google Ads, und die Klick-ID wird an Deinem NutzerInnenkonto gespeichert (siehe 6.9).

6.2 Produkt- und Nutzungsanalyse mit Mixpanel

Um die Qualität, Stabilität und Bedienbarkeit unserer Software zu verbessern, analysieren wir das Nutzungsverhalten innerhalb des Portals mit dem Dienst Mixpanel (Mixpanel, Inc.). Dabei werten wir zum Beispiel aus, welche Funktionen genutzt werden, wo technische Fehler auftreten und an welchen Stellen die Bedienung hakt.

Mixpanel verarbeitet dabei Nutzungsereignisse sowie die IP-Adresse der TherapeutInnen. Es werden keine personenbezogenen Daten Deiner PatientInnen oder KlientInnen an Mixpanel übermittelt (siehe Abschnitt 3). Die Daten werden nicht zum Training von KI-Modellen verwendet und nicht an unbeteiligte Dritte weitergegeben.

Wir nutzen ein Mixpanel-Projekt mit Datenresidenz in der Europäischen Union; die Verarbeitung findet im EU-Raum statt. Rechtsgrundlage ist unser berechtigtes Interesse an einer funktionsfähigen, fehlerfreien und nutzerfreundlichen Software (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dieser Verarbeitung jederzeit widersprechen (siehe Abschnitt 10).

6.3 Zahlungsabwicklung über Stripe

Schließt Du einen kostenpflichtigen Tarif ab, wird die Zahlung über unseren Zahlungsdienstleister Stripe Payments Europe Ltd. (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland) abgewickelt. Deine Zahlungsdaten (zum Beispiel Kreditkarten- oder SEPA-Lastschriftdaten) gibst Du direkt bei Stripe ein; wir selbst speichern keine vollständigen Zahlungsdaten.

Die Verarbeitung ist erforderlich, um den kostenpflichtigen Vertrag durchzuführen (Art. 6 Abs. 1 lit. b DSGVO). Stripe verarbeitet Deine Zahlungsdaten teilweise in eigener Verantwortung nach den eigenen Datenschutzhinweisen von Stripe und kann dabei Daten auch an die Stripe-Konzerngesellschaften in den USA übermitteln. Zur Drittlandübermittlung siehe Abschnitt 8.

Den Abschluss eines kostenpflichtigen Tarifs ordnen wir intern Deinem NutzerInnenkonto zu. Hast Du in die Conversion-Messung eingewilligt und bist über eine Anzeige zu uns gekommen, melden wir den ersten Abschluss an Google Ads (siehe 6.9). Deine Zahlungsdaten sind davon ausgenommen.

6.4 Betrieb der Plattform auf AWS

Für den Betrieb des Portals nutzen wir die Cloud-Infrastruktur von AWS in der Region Frankfurt (eu-central-1). Dort werden insbesondere folgende Verarbeitungen durchgeführt:

der Betrieb der Webanwendung (Rechenleistung),
die Speicherung Deiner NutzerInnen- und Anwendungsdaten sowie hochgeladener Dateien (zum Beispiel Dokumentationsbilder),
die Verschlüsselung sensibler Daten,
der Versand von Transaktions-E-Mails (siehe 6.6),
der Schutz der Anwendung vor Angriffen sowie die technische Protokollierung und Überwachung (siehe 6.7).

Rechtsgrundlage für den Betrieb ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie – für Schutz, Protokollierung und Monitoring (siehe 6.7) – unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

6.5 KI-gestützte Funktionen (Bedrock, Transcribe)

Die KI-Funktionen der Plattform werden innerhalb der EU über folgende AWS-Dienste bereitgestellt:

Amazon Bedrock – KI-Chat und Textverarbeitung (zum Beispiel Fallreflexion, Berichtsentwürfe, Zusammenfassungen),
Amazon Transcribe – Spracheingabe (Audio → Text).

Die KI-Verarbeitung findet in der Europäischen Union statt. Die Anbieter der eingesetzten Sprachmodelle erhalten Deine Inhalte nicht und können sie weder einsehen noch zum Training ihrer Modelle verwenden. Da Du die Plattform auf Chiffrenbasis nutzt (siehe Abschnitt 3), werden auch hierbei keine personenbezogenen Daten Deiner PatientInnen verarbeitet. Rechtsgrundlage ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

ganzheit liefert über die KI ausschließlich Entwürfe, Vorschläge und Impulse. Eine automatisierte Entscheidung im Einzelfall findet nicht statt (siehe Abschnitt 13).

6.6 Transaktions-E-Mails

Im Rahmen der Vertragsdurchführung versenden wir an Dich Transaktions-E-Mails (zum Beispiel Registrierungsbestätigung, Hinweise zu Deinem Tarif, Rechnungen, Systembenachrichtigungen) über unsere EU-Infrastruktur. Rechtsgrundlage ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

6.7 Sicherheit, Protokollierung und Monitoring

Zum Schutz der Plattform und zur Aufklärung von Störungen und Angriffen protokollieren wir technische Zugriffe und Ereignisse innerhalb unserer EU-Infrastruktur und werten sie aus. Dabei können auch IP-Adressen verarbeitet werden. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit und Verfügbarkeit der Plattform (Art. 6 Abs. 1 lit. f DSGVO). Diese Protokolldaten werden nach 90 Tagen gelöscht, soweit sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls weiter benötigt werden.

6.8 Reichweitenmessung mit Google Analytics 4

Zusätzlich zur Website setzen wir auch im Portal Google Analytics 4 ein, einen Dienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) – und zwar nur im Anmelde- und Registrierungsbereich, vor dem Login. Damit werten wir aus, welchen Weg PsychotherapeutInnen zu einem Konto nehmen und woran es dabei scheitert.

Verarbeitet werden dabei insbesondere eine pseudonyme Kennung Deines Browsers, die aufgerufenen Seiten, Zeitpunkt und Dauer der Nutzung sowie Angaben zu Gerät, Browser und Betriebssystem. Inhalte aus Deinen Fall- und PatientInnenakten – Sitzungsdokumentationen, Diktate, Fotos, KI-Anfragen – werden nicht an Google übermittelt.

Google Analytics wird im Portal erst geladen, wenn Du eingewilligt hast. Rechtsgrundlage ist Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Deine Einwilligung findet keine Reichweitenmessung statt; widerrufen kannst Du sie jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen. Die erhobenen Nutzungsdaten werden nach 14 Monaten gelöscht.

Vertragspartner ist die Google Ireland Limited; eine Verarbeitung durch die Google LLC in den USA ist möglich. Zur Drittlandübermittlung siehe Abschnitt 8.

6.9 Übermittlung von Registrierungen und Abo-Abschlüssen an Google Ads

Damit wir erkennen können, ob eine Anzeige zu einer Registrierung oder zu einem kostenpflichtigen Abo geführt hat, melden wir beides an Google Ads (zur Conversion-Messung allgemein siehe 4.5). Diese Meldungen gehen von unserem Server aus; im Portal wird dafür kein Tag von Google Ads geladen, weder auf der Registrierungsseite noch im eingeloggten Bereich.

Voraussetzung ist, dass Du in die Kategorie „Marketing“ eingewilligt hast und über eine unserer Anzeigen zu uns gekommen bist. Nur dann übernehmen wir bei Deiner Registrierung die Klick-ID aus dem Cookie und speichern sie zusammen mit dem Status Deiner Einwilligung und dem Zeitpunkt an Deinem NutzerInnenkonto.

Gemeldet werden die abgeschlossene Registrierung und Dein erster Abschluss eines kostenpflichtigen Tarifs. Dabei übermittelt unser Server an Google: die Klick-ID, den Zeitpunkt, die Art des Abschlusses (Registrierung oder Abo), eine interne Referenznummer, die eine doppelte Zählung verhindert, und den Status Deiner Einwilligung; beim Abo-Abschluss zusätzlich den Wert des Tarifs (netto).

Nicht übermittelt werden Dein Name, Deine E-Mail-Adresse, Deine Zahlungsdaten und Inhalte aus Deinen Fall- und PatientInnenakten.

Rechtsgrundlage ist Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Klick-ID speichern wir bis zur Übermittlung der Conversions, längstens 90 Tage nach dem Klick auf die Anzeige; danach wird sie gelöscht. Widerrufst Du Deine Einwilligung, finden keine weiteren Übermittlungen an Google Ads statt, und wir löschen die an Deinem NutzerInnenkonto gespeicherte Klick-ID, sobald Dein Widerruf bei uns eingeht, in jedem Fall innerhalb der genannten 90 Tage.

Zur Rolle von Google und zur Übermittlung in die USA gilt das in Abschnitt 4.5 Gesagte.

7. Empfänger und Auftragsverarbeiter

Wir verkaufen Deine Daten nicht. Die Empfänger Deiner Daten lassen sich in zwei Gruppen teilen.

Auftragsverarbeiter. Zur Erbringung unserer Leistungen setzen wir sorgfältig ausgewählte Dienstleister ein, die ausschließlich weisungsgebunden in unserem Auftrag tätig werden und mit denen – soweit erforderlich – Auftragsverarbeitungsverträge bestehen:

Cloudflare, Inc. betreibt Hosting und Auslieferung unserer Website; die Verarbeitung kann dabei auch außerhalb der Europäischen Union stattfinden. Die Produkt- und Nutzungsanalyse im Portal übernimmt Mixpanel, Inc., hier mit Datenresidenz in der Europäischen Union. Google Ireland Ltd. stellt über Google Workspace unsere E-Mail-Kommunikation bereit und erbringt mit Google Analytics 4 die Reichweitenmessung auf Website und Portal; bei diesen Diensten kann es zu einer Übermittlung in die USA kommen. Den Versand von Produktinformationen und Marketing-E-Mails wickeln wir über Brevo GmbH ab, mit Verarbeitung innerhalb der Europäischen Union. Den Betrieb der Plattform und die KI-Verarbeitung schließlich erbringt Amazon Web Services EMEA SARL innerhalb der EU in der Region Frankfurt.

Eigenständig Verantwortliche. Einige Anbieter verarbeiten die Daten, die sie von uns oder von Deinem Browser erhalten, ganz oder teilweise in eigener Verantwortung und nach ihren eigenen Datenschutzbestimmungen. Sie erhalten dabei nur die Daten, die in den jeweiligen Abschnitten genannt sind:

Stripe Payments Europe Ltd. für die Zahlungsabwicklung, teilweise in eigener Verantwortung (siehe 6.3), mit möglicher Übermittlung in die USA;
Google Ireland Ltd. über YouTube für die auf der Website eingebundenen Videos, erst wenn Du ein Video startest (siehe 4.4);
Google Ireland Ltd. über Google Ads für die Conversion-Messung unserer Anzeigen, nur mit Deiner Einwilligung (siehe 4.5 und 6.9).

Bei den Google-Diensten kann es ebenfalls zu einer Übermittlung in die USA kommen.

Darüber hinaus geben wir personenbezogene Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind oder Du eingewilligt hast.

8. Übermittlung in Drittländer

Die Verarbeitung im Portal (AWS) sowie die Produktanalyse mit Mixpanel finden innerhalb der Europäischen Union statt.

Bei einigen Diensten kann es zu einer Übermittlung in die USA kommen – namentlich bei Cloudflare, Stripe und Google (Google Workspace, Google Analytics 4, YouTube und Google Ads). Diese Anbieter sind unter dem EU-US Data Privacy Framework (DPF) zertifiziert; die Übermittlung stützt sich deshalb auf den Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Die Teilnahme kannst Du in der öffentlichen Liste unter dataprivacyframework.gov/list nachprüfen.

Sollte eine Zertifizierung entfallen, erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) nebst ergänzenden Schutzmaßnahmen.

9. Speicherdauer und Aufbewahrungspflichten

Wir verarbeiten Deine personenbezogenen Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist:

Account- und Anwendungsdaten für die Dauer des Vertragsverhältnisses. Nach Vertragsende und auf Deine Anforderung hin löschen wir Dein Konto und Deine Inhalte (siehe AGB § 9); eine in der App gelöschte Akte wird dauerhaft und unwiderruflich entfernt.
Server- und Sicherheits-Logfiles für die in den Abschnitten 4.1 und 6.7 genannten Zeiträume.
Klick-IDs aus Anzeigenklicks bis zur Übermittlung der Conversions, längstens 90 Tage nach dem Klick auf die Anzeige, bei einem Widerruf früher (siehe 4.5 und 6.9).
Abrechnungs- und Rechnungsunterlagen für die Dauer der gesetzlichen Aufbewahrungsfristen nach Handels- und Steuerrecht (in der Regel sechs bis zehn Jahre); für diese Zeit ist die Verarbeitung auf die Erfüllung der Aufbewahrungspflicht beschränkt und nach Fristablauf werden die Daten gelöscht.

10. Deine Rechte

Du hast in Bezug auf die von uns verarbeiteten personenbezogenen Daten folgende Rechte:

Auskunft über die zu Dir gespeicherten Daten (Art. 15 DSGVO),
Berichtigung unrichtiger Daten (Art. 16 DSGVO),
Löschung Deiner Daten (Art. 17 DSGVO),
Einschränkung der Verarbeitung (Art. 18 DSGVO),
Datenübertragbarkeit (Art. 20 DSGVO),
Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) – etwa Deiner Einwilligung in die Reichweitenmessung auf der Website, in die Conversion-Messung mit Google Ads oder in den Erhalt von Marketing-E-Mails.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten – etwa bei der Produktanalyse mit Mixpanel oder beim Versand von Produktinformationen und wichtigen Mitteilungen über Brevo –, hast Du das Recht, dieser Verarbeitung aus Gründen, die sich aus Deiner besonderen Situation ergeben, jederzeit zu widersprechen.

Zur Ausübung Deiner Rechte genügt eine formlose Mitteilung an die in Abschnitt 1 genannte E-Mail-Adresse.

11. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe hast Du das Recht, Dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Du der Ansicht bist, dass die Verarbeitung Deiner Daten gegen die DSGVO verstößt (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit Ludwig-Erhard-Straße 22, 20459 Hamburg

Du kannst Dich auch an die Aufsichtsbehörde Deines üblichen Aufenthaltsorts oder Arbeitsplatzes wenden.

12. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen, um Deine Daten gegen unbefugten Zugriff, Verlust und Manipulation zu schützen. Dazu gehören insbesondere:

eine durchgängige TLS-Verschlüsselung der Verbindung,
die Verschlüsselung sensibler Daten in der Speicherung,
eine strikte Trennung der Daten zwischen den NutzerInnen: Deine Fallakten und Inhalte sind für andere NutzerInnen nicht sichtbar,
ein auf das Erforderliche beschränkter Zugriff auf unserer Seite: Ein Zugriff auf Inhalte durch uns findet ausschließlich statt, soweit er für Betrieb, Wartung, Fehlerbehebung und Weiterentwicklung der Plattform erforderlich ist. Weil Du ganzheit auf Chiffrenbasis nutzt (Abschnitt 3), enthalten Deine Inhalte dabei keine Klarnamen oder identifizierenden Angaben Deiner PatientInnen,
Schutz- und Überwachungsmaßnahmen gegen Angriffe.

13. Keine automatisierte Entscheidung im Einzelfall

Eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung mit rechtlicher Wirkung Dir gegenüber findet nicht statt (Art. 22 DSGVO). Die KI-gestützten Funktionen der Plattform liefern ausschließlich Entwürfe, Vorschläge und Impulse. Jede fachliche Beurteilung, Entscheidung und Maßnahme liegt allein bei Dir als Fachperson (siehe AGB § 7).

14. Aktualität und Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung hat den oben genannten Stand. Durch die Weiterentwicklung der Plattform oder aufgrund geänderter rechtlicher Vorgaben kann es notwendig werden, sie anzupassen. Die jeweils aktuelle Fassung kannst Du jederzeit auf dieser Seite abrufen.