Datenschutzerklärung

01Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne des Art. 4 Nr. 7 DSGVO ist:

Soweit Doctavo Patientendaten im Auftrag einer Praxis oder Klinik verarbeitet, ist die jeweilige Einrichtung datenschutzrechtlich verantwortlich; Doctavo ist in diesem Fall Auftragsverarbeiter (siehe Ziffer 7).

02Datenschutzbeauftragter

Unseren Datenschutzbeauftragten erreichen Sie unter:

Bei Fragen zur Verarbeitung Ihrer Daten oder zur Ausübung Ihrer Rechte können Sie sich jederzeit direkt an ihn wenden.

03Art der verarbeiteten Daten

Im Rahmen der Nutzung von Doctavo werden folgende Kategorien personenbezogener Daten verarbeitet:

• Zugangs- und Vertragsdaten: Name der Praxis oder Klinik, Ansprechpartner, Kontaktdaten, Rechnungs- und Zahlungsdaten.
• Technische Daten: IP-Adresse, Geräte- und Browserinformationen, Zugriffszeitpunkte, Logfiles.
• Patientenbezogene Angaben: medizinisch relevante Informationen, die Patientinnen und Patienten im Chat angeben – etwa Symptome, Vorerkrankungen, Medikation, Allergien, Unfallhergang sowie soziale und organisatorische Umstände. Hierbei handelt es sich um Gesundheitsdaten und damit um besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO.
• Kommunikationsdaten: Angaben, die Sie uns über das Kontaktformular, per E-Mail oder telefonisch übermitteln.

Bitte beachten Sie: Da die Angaben im Chat als Freitext erfolgen, können Patientinnen und Patienten von sich aus Namen oder andere identifizierende Angaben eingeben. Wir weisen im Chat ausdrücklich darauf hin, dass dies nicht erforderlich ist.

04Zweck der Verarbeitung

Die Verarbeitung erfolgt zu folgenden Zwecken:

• Bereitstellung der Chat-Funktion zur strukturierten Anamnese – sowohl über einen vorab versendeten Link als auch über einen QR-Code vor Ort.
• Weiterleitung der strukturierten Antworten an die behandelnden Ärztinnen und Ärzte bzw. das autorisierte medizinische Personal.
• Betrieb, Wartung, Absicherung und Verbesserung der Software.
• Erfüllung vertraglicher Verpflichtungen gegenüber dem Kunden (Praxis oder Klinik).
• Erfüllung gesetzlicher Aufbewahrungs- und Nachweispflichten.

05Rechtsgrundlagen

Die Verarbeitung erfolgt auf Grundlage von:

• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung des Vertrags gegenüber Praxen und Kliniken.
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Verpflichtungen, etwa handels- und steuerrechtlicher Aufbewahrungspflichten.
• Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an der Sicherstellung eines störungsfreien Betriebs und der Vermeidung von Missbrauch.
• Art. 9 Abs. 2 lit. h i. V. m. Abs. 3 DSGVO und § 22 Abs. 1 Nr. 1 lit. b BDSG – Verarbeitung von Gesundheitsdaten zum Zweck der medizinischen Versorgung im Auftrag und unter der Verantwortung des behandelnden Arztes. Alle mit der Verarbeitung befassten Personen sind zur Verschwiegenheit verpflichtet.
• Art. 6 Abs. 1 lit. a bzw. Art. 9 Abs. 2 lit. a DSGVO – soweit eine Einwilligung eingeholt wird.

06Einsatz künstlicher Intelligenz

07Auftragsverarbeitung

08Empfänger der Daten

Eine Weitergabe personenbezogener Daten erfolgt ausschließlich an:

• die behandelnden Ärztinnen und Ärzte bzw. das vom Kunden autorisierte medizinische Personal;
• IT-Dienstleister, Hosting- und KI-Anbieter, die im Rahmen einer Auftragsverarbeitung nach Art. 28 DSGVO für uns tätig werden;
• Steuerberater, Wirtschaftsprüfer und Behörden, soweit gesetzlich vorgeschrieben.

Eingesetzte Unterauftragsverarbeiter

Aktuelle Liste der Unterauftragsverarbeiter mit Firma, Sitz und Zweck eintragen – z. B. Hosting-Provider, KI-Anbieter, E-Mail-Dienst, Zahlungsdienstleister

Eine jeweils aktuelle Übersicht der eingesetzten Unterauftragsverarbeiter stellen wir Kunden auf Anfrage zur Verfügung.

09Drittlandtransfer

Diesen Abschnitt an die tatsächlichen Verhältnisse anpassen – siehe Hinweise unten

Eine Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet grundsätzlich nicht statt. Sollte im Einzelfall eine Übermittlung erforderlich sein, erfolgt diese ausschließlich auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission gemäß Art. 45 DSGVO oder geeigneter Garantien gemäß Art. 46 DSGVO, insbesondere der EU-Standardvertragsklauseln, ergänzt um eine Prüfung der Rechtslage im Empfängerland sowie zusätzliche technische Schutzmaßnahmen.

10Nutzung dieser Website

Hosting und Server-Logfiles

Beim Aufruf dieser Website werden durch den Hosting-Anbieter automatisch Informationen erfasst, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, Referrer-URL sowie Browser- und Betriebssystemangaben. Diese Daten dienen ausschließlich der technischen Bereitstellung, der Betriebssicherheit und der Abwehr von Angriffen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Logfiles werden nach Anzahl Tagen gelöscht.

Hosting-Anbieter dieser Website ist Firma, Anschrift und Serverstandort eintragen. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Schriftarten

Nur beibehalten, solange Schriften extern geladen werden – bei Selbst-Hosting bitte streichen Zur einheitlichen Darstellung von Schriftarten binden wir Schriften des Anbieters Google Ireland Limited ein. Beim Aufruf einer Seite baut Ihr Browser eine Verbindung zu den Servern von Google auf, wobei Ihre IP-Adresse übermittelt wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

11Kontaktformular

Wenn Sie uns über das Kontaktformular, per E-Mail oder telefonisch kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Angaben (Name, E-Mail-Adresse, Betreff und Nachricht) ausschließlich zur Bearbeitung Ihrer Anfrage und für den Fall von Anschlussfragen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, sofern die Anfrage auf den Abschluss eines Vertrags gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an der Beantwortung von Anfragen.

Wir löschen die Daten, sobald Ihre Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

12Cookies und lokale Speicherung

Diese Website verwendet ausschließlich technisch notwendige Speichervorgänge, die für den Betrieb der Seite erforderlich sind. Eine Einwilligung nach § 25 Abs. 1 TDDDG ist hierfür nicht erforderlich; die Ausnahme des § 25 Abs. 2 Nr. 2 TDDDG greift.

Wir setzen keine Analyse-, Tracking-, Profiling- oder Marketing-Cookies ein und binden keine Dienste zur Reichweitenmessung oder Werbung ein. Aus diesem Grund benötigen wir kein Einwilligungsbanner.

Falls künftig Analyse- oder Marketing-Dienste eingesetzt werden, ist dieser Abschnitt anzupassen und ein Consent-Banner erforderlich

13Speicherdauer

• Patientenangaben aus dem Chat: werden nur so lange gespeichert, wie es für die Behandlung erforderlich ist, längstens jedoch Frist eintragen nach Abschluss des Chats. Anschließend erfolgt eine automatisierte Löschung.
• Anonymisierte Daten: können ohne Personenbezug zu Statistik-, Qualitäts- und Verbesserungszwecken weiterverarbeitet werden. Eine Rückführung auf einzelne Personen ist nicht möglich.
• Server-Logfiles: Löschung nach Anzahl Tagen.
• Vertrags- und Abrechnungsdaten: Speicherung gemäß den gesetzlichen Aufbewahrungsfristen nach HGB und AO, in der Regel sechs bzw. zehn Jahre.
• Kommunikationsdaten: Löschung nach abschließender Bearbeitung, soweit keine Aufbewahrungspflicht besteht.

Für die Löschung besteht ein dokumentiertes Löschkonzept, dessen Einhaltung regelmäßig überprüft wird.

14Sicherheit der Daten

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören insbesondere:

• Transportverschlüsselung sämtlicher Datenübertragungen nach aktuellem Stand der Technik (TLS);
• verschlüsselte Speicherung auf Servern innerhalb der Europäischen Union;
• Pseudonymisierung durch Verwendung anonymer Chat-IDs anstelle von Klardaten;
• strenge Zugriffskontrollen und rollenbasierte Berechtigungen nach dem Prinzip der geringstmöglichen Rechte;
• Protokollierung von Zugriffen auf Patientendaten;
• regelmäßige Datensicherungen sowie ein dokumentiertes Wiederanlaufverfahren;
• Verpflichtung aller Mitarbeitenden auf Vertraulichkeit und regelmäßige Datenschutzschulungen;
• regelmäßige Sicherheits- und Datenschutzprüfungen sowie eine Überprüfung der Wirksamkeit der Maßnahmen.

15Datenschutz-Folgenabschätzung

Da im Rahmen von Doctavo Gesundheitsdaten in größerem Umfang unter Einsatz einer neuen Technologie verarbeitet werden, haben wir eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchgeführt und dokumentiert. Sie wird bei wesentlichen Änderungen der Verarbeitung überprüft und fortgeschrieben.

Nur beibehalten, wenn eine DSFA tatsächlich durchgeführt und dokumentiert wurde

16Meldung von Datenschutzverletzungen

Wir verfügen über ein dokumentiertes Verfahren zur Erkennung, Bewertung und Meldung von Verletzungen des Schutzes personenbezogener Daten. Verletzungen melden wir der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden gemäß Art. 33 DSGVO. Betroffene Personen werden benachrichtigt, sofern ein hohes Risiko für ihre Rechte und Freiheiten besteht (Art. 34 DSGVO).

Handeln wir als Auftragsverarbeiter, informieren wir den verantwortlichen Kunden unverzüglich, damit dieser seinen Meldepflichten nachkommen kann.

17Rechte der betroffenen Personen

Betroffene Personen – Patientinnen und Patienten ebenso wie Ansprechpartner in Praxen und Kliniken – haben folgende Rechte:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger Daten (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO);
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO).

Anfragen richten Sie bitte an die unter Ziffer 1 genannten Kontaktdaten. Betreffen sie Daten, die wir im Auftrag einer Praxis oder Klinik verarbeiten, leiten wir sie unverzüglich an die dort verantwortliche Stelle weiter.

Da Chats über eine anonyme Chat-ID zugeordnet werden, benötigen wir zur Bearbeitung einer Anfrage die betreffende Chat-ID. Ohne diese ist uns eine Zuordnung nicht möglich; eine Identifizierung allein anhand des Namens können wir nicht vornehmen (Art. 11 DSGVO).

18Widerruf von Einwilligungen

Sofern eine Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt. Für den Widerruf genügt eine formlose Mitteilung an die unter Ziffer 1 genannten Kontaktdaten.

19Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Zuständig ist insbesondere die Aufsichtsbehörde am Sitz des Verantwortlichen:

Unbeschadet dessen können Sie sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder Ihres Arbeitsplatzes wenden.

20Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, etwa bei neuen rechtlichen Anforderungen, Änderungen unserer Software oder beim Einsatz neuer Dienste. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung. Bei wesentlichen Änderungen informieren wir unsere Kunden gesondert.