Der Schutz Ihrer personenbezogenen Daten ist uns wichtig – insbesondere, weil wir im Rahmen der Terminvermittlung auch Gesundheitsdaten verarbeiten. Diese Datenschutzerklärung informiert Sie gemäß Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche Daten wir auf www.flexauraphysio.de, in unserem Kundenkonto und bei der Buchung von Physiotherapie-Terminen verarbeiten, zu welchen Zwecken und auf welcher Rechtsgrundlage dies geschieht und welche Rechte Ihnen zustehen.
1. Verantwortlicher und Kontakt
Verantwortlicher im Sinne der DSGVO ist:
- Unternehmen
- FlexAura Home Physio Deutschland GmbH
- Anschrift
- Musterstraße 1 [TODO], 10115 Berlin
- Vertreten durch
- Nabi Dudekula (Geschäftsführung)
- Telefon
- [+49 30 12345678 [TODO]](tel:+493012345678)
- info@flexauraphysio.de
- Kontakt Datenschutz
- datenschutz@flexauraphysio.de
Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter datenschutz@flexauraphysio.de oder postalisch unter der oben genannten Anschrift mit dem Zusatz „Datenschutz“. Weitere Angaben zum Unternehmen finden Sie im Impressum.
2. Allgemeines zur Datenverarbeitung
Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Website, zur Vermittlung und Organisation von Physiotherapie-Terminen oder zur Erfüllung gesetzlicher Pflichten erforderlich ist, oder wenn Sie uns eine Einwilligung erteilt haben. Rechtsgrundlagen sind insbesondere:
- Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. Cookies und Tracking, WhatsApp-Kommunikation);
- Art. 9 Abs. 2 lit. a DSGVO – ausdrückliche Einwilligung in die Verarbeitung von Gesundheitsdaten;
- Art. 6 Abs. 1 lit. b DSGVO – Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen (Buchung, Kundenkonto, Zahlung, Bewerbung);
- Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Pflichten (z. B. handels- und steuerrechtliche Aufbewahrung);
- Art. 6 Abs. 1 lit. f DSGVO – Wahrung berechtigter Interessen (z. B. sicherer Betrieb der Website, Abwehr von Missbrauch), sofern nicht Ihre Interessen überwiegen.
Soweit wir Dienstleister einsetzen, die Daten in unserem Auftrag verarbeiten, haben wir mit ihnen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Bei Anbietern mit Sitz außerhalb des Europäischen Wirtschaftsraums (EWR) stützen wir die Übermittlung auf einen Angemessenheitsbeschluss der EU-Kommission (insbesondere das EU-US Data Privacy Framework, sofern der Anbieter zertifiziert ist) und/oder auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
3. Hosting und Server-Logfiles
Hosting (Vercel)
Unsere Website wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA („Vercel“) gehostet. Vercel stellt die Infrastruktur, das Content Delivery Network und die Server-Funktionen bereit, über die die Website ausgeliefert wird. Dabei verarbeitet Vercel in unserem Auftrag die Daten, die Ihr Browser beim Aufruf der Seite übermittelt (siehe Server-Logfiles). Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren, schnellen und zuverlässigen Bereitstellung der Website (Art. 6 Abs. 1 lit. f DSGVO). Vercel ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend haben wir mit Vercel einen Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln geschlossen.
Server-Logfiles
Bei jedem Aufruf unserer Website werden automatisch Informationen in Server-Logfiles gespeichert: IP-Adresse (gekürzt bzw. pseudonymisiert, soweit technisch möglich), Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, Referrer-URL, Browsertyp und -version sowie Betriebssystem. Diese Daten werden ausschließlich zur Sicherstellung des Betriebs, zur Fehleranalyse und zur Abwehr von Angriffen verwendet und nicht mit anderen Datenquellen zusammengeführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Logfiles werden nach spätestens 30 Tagen gelöscht, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls länger benötigt werden.
4. Datenbank (Supabase)
Buchungs-, Konto- und Kommunikationsdaten speichern wir in einer Datenbank des Anbieters Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992 („Supabase“), der die Datenbank in unserem Auftrag betreibt. Die Daten werden verschlüsselt übertragen und gespeichert; der Zugriff ist auf befugte Personen beschränkt. Mit Supabase besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; für etwaige Drittlandübermittlungen gelten die EU-Standardvertragsklauseln. Rechtsgrundlage für die Speicherung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie – für Gesundheitsdaten – Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.
5. Buchung von Terminen und Kundenkonto
Buchung (online und telefonisch)
Wenn Sie einen Hausbesuch oder Online-Termin buchen, verarbeiten wir Ihren Namen, Ihre Kontaktdaten (E-Mail, Telefonnummer), die Besuchsadresse bzw. PLZ, den gewünschten Termin, die gewählte Leistung sowie die Angaben, die Sie zu Ihrem Anliegen machen. Diese Daten benötigen wir, um eine passende Physiotherapeutin bzw. einen passenden Physiotherapeuten in Ihrer Nähe zu finden, den Termin zu organisieren und Ihnen eine Bestätigung zu senden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Bei telefonischer Buchung erfassen wir dieselben Angaben während des Gesprächs.
Kundenkonto
Sie können ein Kundenkonto anlegen, um Ihre Termine einzusehen, umzubuchen oder zu stornieren. Dazu speichern wir Ihre Zugangsdaten (E-Mail-Adresse, Passwort in gehashter Form), Ihre Stammdaten und Ihre Buchungshistorie. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sie können Ihr Konto jederzeit löschen lassen; Daten, die wir aufgrund gesetzlicher Aufbewahrungspflichten weiter speichern müssen, werden für die weitere Verarbeitung gesperrt.
6. Gesundheitsdaten
Angaben zu Ihren Beschwerden, Diagnosen, Vorerkrankungen, Operationen, Medikamenten oder ärztlichen Verordnungen sind Gesundheitsdaten im Sinne des Art. 9 Abs. 1 DSGVO und genießen besonderen Schutz. Wir verarbeiten diese Daten ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung, die Sie bei der Buchung erteilen (Art. 9 Abs. 2 lit. a DSGVO), und nur, soweit dies für die Auswahl einer fachlich passenden Physiotherapeutin bzw. eines Physiotherapeuten und die Vorbereitung der Behandlung erforderlich ist.
- Weitergabe: Gesundheitsdaten geben wir ausschließlich an die Physiotherapeutin bzw. den Physiotherapeuten weiter, die bzw. der Ihren Termin übernimmt. Eine Weitergabe an Werbepartner, Versicherungen oder sonstige Dritte findet nicht statt.
- Behandlungsdokumentation: Die Dokumentation der Behandlung (§ 630f BGB) führt die behandelnde Physiotherapeutin bzw. der behandelnde Physiotherapeut als eigenständig Verantwortliche:r; sie/er unterliegt der beruflichen Schweigepflicht (§ 203 StGB) und bewahrt die Dokumentation 10 Jahre nach Abschluss der Behandlung auf.
- Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, z. B. per E-Mail an datenschutz@flexauraphysio.de. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Ohne die erforderlichen Gesundheitsangaben können wir einen Termin allerdings nicht sinnvoll vermitteln.
- Kommunikationswege: Bitte übermitteln Sie Gesundheitsdaten bevorzugt über das Buchungsformular oder telefonisch – nicht über WhatsApp oder soziale Netzwerke.
7. Zahlungsdienstleister (Stripe)
Kartenzahlungen wickeln wir über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland („Stripe“), sowie deren Muttergesellschaft Stripe, Inc., USA ab. Ihre Kartendaten geben Sie direkt in das von Stripe bereitgestellte Zahlungsformular ein; sie werden nicht auf unseren Servern gespeichert. Wir erhalten von Stripe lediglich eine Bestätigung der Zahlung sowie technische Kennungen. Stripe verarbeitet Ihre Daten als eigenständig Verantwortlicher für die Zahlungsabwicklung und Betrugsprävention; Stripe, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen: stripe.com/de/privacy.
Bei Barzahlung oder Überweisung werden keine Daten an Stripe übermittelt; Überweisungsdaten verarbeitet unsere Hausbank nach den geltenden Vorschriften des Zahlungsverkehrs.
8. E-Mail-Versand (Resend)
Transaktionale E-Mails – Buchungsbestätigungen, Terminerinnerungen, Umbuchungs- und Stornierungsbestätigungen, Rechnungen sowie Nachrichten zum Kundenkonto – versenden wir über den Dienst Resend, Inc., San Francisco, Kalifornien, USA („Resend“). Resend verarbeitet dabei Ihre E-Mail-Adresse, den Inhalt der Nachricht und Zustellinformationen in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags mit EU-Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Werbliche E-Mails versenden wir nur mit Ihrer gesonderten Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 UWG), die Sie jederzeit über den Abmeldelink widerrufen können.
9. WhatsApp Business (Meta)
Auf Wunsch kommunizieren wir mit Ihnen zur Terminabstimmung über WhatsApp Business, einen Dienst der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“). Dies erfolgt ausschließlich, wenn Sie uns zuvor selbst über WhatsApp kontaktieren oder ausdrücklich einwilligen (Art. 6 Abs. 1 lit. a DSGVO). Bei der Nutzung erhält Meta Ihre Mobilfunknummer sowie Metadaten der Kommunikation (Zeitpunkt, Geräteinformationen); Nachrichteninhalte sind Ende-zu-Ende-verschlüsselt. Meta kann Daten in die USA übermitteln; Meta Platforms, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Wir bitten Sie, über WhatsApp keine Gesundheitsdaten zu übermitteln. Sie können die Kommunikation über WhatsApp jederzeit beenden, indem Sie uns dies mitteilen; wir nutzen dann E-Mail oder Telefon. Weitere Informationen: whatsapp.com/legal/privacy-policy-eea.
10. Telefonie
Wenn Sie uns anrufen oder einen Rückruf anfordern, verarbeiten wir Ihre Telefonnummer, den Zeitpunkt des Anrufs und die Angaben, die Sie uns im Gespräch machen, um Ihr Anliegen zu bearbeiten (Art. 6 Abs. 1 lit. b DSGVO, bei allgemeinen Anfragen Art. 6 Abs. 1 lit. f DSGVO). Telefongespräche werden nicht aufgezeichnet. Gesprächsnotizen speichern wir, solange dies für die Bearbeitung Ihres Anliegens erforderlich ist.
11. Kontaktformular und E-Mail-Anfragen
Wenn Sie uns über das Kontaktformular oder per E-Mail kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Daten (Name, E-Mail-Adresse, ggf. Telefonnummer, Inhalt Ihrer Nachricht) zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf einen Vertrag gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Die Daten löschen wir, sobald Ihre Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen, spätestens jedoch nach 12 Monaten.
12. Bewerbungen von Physiotherapeut:innen
Physiotherapeutinnen und Physiotherapeuten, die über die Seite Für Physios mit uns zusammenarbeiten möchten, übermitteln uns Bewerbungsdaten: Name, Kontaktdaten, Einsatzgebiet, Qualifikationen und Erfahrung sowie die für die Zulassung erforderlichen Nachweise – insbesondere die Berufsurkunde (Erlaubnis zum Führen der Berufsbezeichnung nach MPhG), ein aktuelles erweitertes Führungszeugnis, bei Drittstaatsangehörigen den Aufenthaltstitel mit Erwerbstätigkeitserlaubnis sowie den Nachweis einer Berufshaftpflichtversicherung.
- Zwecke und Rechtsgrundlagen: Prüfung der Zulassungsvoraussetzungen und Anbahnung des Kooperationsvertrags (Art. 6 Abs. 1 lit. b DSGVO); die Verarbeitung des Führungszeugnisses erfolgt zum Schutz unserer Patient:innen auf Grundlage von Art. 6 Abs. 1 lit. f i. V. m. Art. 10 DSGVO; Daten zum Aufenthaltsstatus verarbeiten wir zur Erfüllung gesetzlicher Prüfpflichten (Art. 6 Abs. 1 lit. c DSGVO).
- Speicherdauer: Berufsurkunde, Führungszeugnis und Aufenthaltstitel verarbeiten wir ausschließlich zur Prüfung; nach Abschluss der Prüfung vermerken wir Ergebnis und Datum und löschen die Dokumente. Bei Nichtaufnahme werden sämtliche Bewerbungsunterlagen spätestens 6 Monate nach Abschluss des Verfahrens gelöscht. Bei Aufnahme auf die Plattform speichern wir die Profildaten für die Dauer der Zusammenarbeit und anschließend bis zum Ablauf der gesetzlichen Verjährungs- und Aufbewahrungsfristen.
- Veröffentlichung: Name, Foto, Qualifikationen und Einsatzgebiet werden nur mit Zustimmung der Physiotherapeutin bzw. des Physiotherapeuten im Profil auf der Website angezeigt.
15. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen dies verlangen:
- Buchungs- und Rechnungsdaten: 10 Jahre ab Ende des Kalenderjahres der Rechnungsstellung (§ 147 AO, § 257 HGB).
- Behandlungsdokumentation: 10 Jahre nach Abschluss der Behandlung (§ 630f Abs. 3 BGB) – geführt und aufbewahrt bei der behandelnden Physiotherapeutin bzw. dem behandelnden Physiotherapeuten.
- Kundenkonto: bis zur Löschung des Kontos durch Sie oder nach 3 Jahren Inaktivität; gesetzlich aufzubewahrende Daten werden gesperrt.
- Gesundheitsdaten aus der Buchung: bis zum Widerruf Ihrer Einwilligung, längstens jedoch bis zur Löschung der zugehörigen Buchung nach Ablauf der steuerrechtlichen Aufbewahrungsfrist; die Angaben werden dabei auf das für die Rechnung Erforderliche reduziert.
- Kontaktanfragen: bis zur abschließenden Bearbeitung, spätestens 12 Monate.
- Server-Logfiles: maximal 30 Tage.
- Bewerbungsunterlagen: siehe Abschnitt 12.
16. Ihre Rechte als betroffene Person
Ihnen stehen gegenüber uns folgende Rechte zu:
- Auskunft (Art. 15 DSGVO) über die zu Ihrer Person gespeicherten Daten;
- Berichtigung (Art. 16 DSGVO) unrichtiger oder unvollständiger Daten;
- Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflichten entgegenstehen;
- Einschränkung der Verarbeitung (Art. 18 DSGVO);
- Datenübertragbarkeit (Art. 20 DSGVO) – Erhalt Ihrer Daten in einem strukturierten, gängigen und maschinenlesbaren Format;
- Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) jederzeit mit Wirkung für die Zukunft.
Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Art. 6 Abs. 1 lit. e oder f DSGVO beruht, Widerspruch einzulegen. Werden Ihre Daten für Direktwerbung verarbeitet, können Sie dem jederzeit ohne Angabe von Gründen widersprechen.
Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an datenschutz@flexauraphysio.de. Zum Schutz Ihrer Daten können wir einen Identitätsnachweis verlangen.
17. Beschwerderecht bei einer Aufsichtsbehörde
Unbeschadet anderweitiger Rechtsbehelfe haben Sie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für unseren Sitz in Berlin ist zuständig:
- Behörde
- Berliner Beauftragte für Datenschutz und Informationsfreiheit
- Anschrift
- Alt-Moabit 59-61, 10555 Berlin
- Telefon
- +49 30 13889-0
- Website
- www.datenschutz-berlin.de
18. Datensicherheit
Unsere Website wird über eine TLS-verschlüsselte Verbindung (HTTPS) ausgeliefert, sodass Daten zwischen Ihrem Browser und unseren Servern nicht von Dritten mitgelesen werden können. Darüber hinaus setzen wir technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein – u. a. verschlüsselte Speicherung, Zugriffsbeschränkungen nach dem Need-to-know-Prinzip, Protokollierung von Zugriffen und regelmäßige Sicherheitsupdates. Alle Personen, die Zugang zu Patientendaten haben, sind zur Vertraulichkeit verpflichtet.
19. Pflicht zur Bereitstellung und automatisierte Entscheidungen
Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die zur Buchung erforderlichen Angaben können wir jedoch keinen Termin vermitteln. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt; die Zuordnung einer Physiotherapeutin bzw. eines Physiotherapeuten erfolgt anhand von Entfernung, Verfügbarkeit und Fachgebiet und wird von uns geprüft.
20. Änderungen dieser Datenschutzerklärung
Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage, unsere Leistungen oder die eingesetzten Dienste ändern. Die jeweils aktuelle Fassung finden Sie stets unter www.flexauraphysio.de/datenschutz. Maßgeblich ist das oben angegebene Datum.
14. Social-Media-Verlinkungen
Auf unserer Website verlinken wir auf unsere Profile bei Facebook und Instagram. Es handelt sich um einfache Links; beim Aufruf unserer Website werden keine Daten an Meta übermittelt. Erst wenn Sie einen Link anklicken, gelten die Datenschutzbestimmungen des jeweiligen Netzwerks.