Datenschutzerklärung

Verantwortlicher

Wladimir Are, Aregatou Digital, Stettiner Str. 14, 52078 Aachen, Deutschland
E-Mail: info@aregatou.com
Telefon: +49 163 7910796

Das Wichtigste vorab

Diese Website setzt keine Cookies, speichert keine Informationen auf Ihrem Endgerät, verwendet keine Analyse- oder Tracking-Werkzeuge und lädt keine Inhalte von Drittanbietern; auch die Schriftarten werden vom Server dieser Website ausgeliefert. Für die Demo-Praxis gilt ihr eigener Abschnitt weiter unten.

Hosting

Diese Website wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, gehostet. Der Server steht in einem Rechenzentrum in Helsinki (Finnland, EU). Hetzner verarbeitet die Daten ausschließlich in meinem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO.

Aufruf der Website

Bei jedem Aufruf verarbeitet der Server technisch notwendige Verbindungsdaten: Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die Kennung Ihres Browsers und dessen bevorzugte Sprache (für die Weiterleitung auf die deutsche oder englische Fassung). Das ist nötig, um die Seite auszuliefern und den Betrieb abzusichern (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse: sichere und funktionsfähige Bereitstellung der Website).

Ein Zugriffsprotokoll wird nicht gespeichert. Technische Status- und Fehlermeldungen der Server-Software können im Einzelfall eine IP-Adresse enthalten; sie dienen nur der Fehlersuche und werden fortlaufend überschrieben, sobald das Protokoll eine feste Größe erreicht (höchstens 30 MB je Dienst).

Kontakt per E-Mail oder Telefon

Wenn Sie mir eine E-Mail schreiben oder mich anrufen, verarbeite ich Ihre Angaben (insbesondere Name, E-Mail-Adresse oder Telefonnummer und Inhalt Ihrer Anfrage), um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf einen Vertrag abzielt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist die Beantwortung Ihrer Anfrage. Mein E-Mail-Postfach betreibt die Zoho Corporation GmbH, II. Hagen 7, 45127 Essen, Deutschland, als Auftragsverarbeiter in Rechenzentren in der EU. Für Support und Fehlersuche können Zoho-Gesellschaften in Indien bei Bedarf auf die Daten zugreifen; für Indien gibt es keinen Angemessenheitsbeschluss der EU-Kommission, Zoho stützt diesen Zugriff auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage bei mir. Ich lösche Ihre Nachricht, sobald sie erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Danach kann sie technisch bedingt noch bis zu 30 Tage im Papierkorb und anschließend bis zu 3 Monate in den Sicherungen von Zoho liegen. Anfragen von Praxen zu CuraNexus führe ich in der Kundenverwaltung (Abschnitt Kundenverwaltung); dort gelten deren Fristen.

Schlagen Sie ein Gespräch per Video vor, nehme ich über das Werkzeug teil, das Sie wählen; dessen Anbieter verarbeitet die Daten nach seinen eigenen Bestimmungen.

Anfrageformular

Wenn Sie mir über das Anfrageformular schreiben, verarbeite ich die Angaben, die Sie eintragen: Name, E-Mail-Adresse, auf Wunsch Telefonnummer, Unternehmen oder Praxis und Website-Adresse, Ihre Auswahl zu Vorhaben, Ausgangslage und Zeitrahmen und Ihre Nachricht. Ich nutze sie, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf einen Vertrag abzielt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist die Beantwortung Ihrer Anfrage. Pflichtfelder sind gekennzeichnet; ohne sie kann ich nicht antworten.

Das Formular geht an den Server dieser Website bei der Hetzner Online GmbH (Anschrift unter „Hosting“) in Helsinki (Finnland, EU). Dort liegt die Anfrage nur, bis sie an mein E-Mail-Postfach weitergeleitet ist, in der Regel weniger als eine Minute, und wird danach auf dem Server gelöscht. Ab dann gilt, was unter „Kontakt per E-Mail oder Telefon“ steht, auch zu Zoho und zur Löschung. Zum Schutz vor Missbrauch begrenzt der Server die Zahl der Anfragen je IP-Adresse. Die IP-Adresse hält er dafür nur als Prüfwert im Arbeitsspeicher, nie auf der Festplatte, und verwirft den Prüfwert spätestens elf Minuten nach Ihrer letzten Anfrage. Das Formular setzt keine Cookies und bindet keine Dienste Dritter ein.

Kundenverwaltung

Anfragen, Notizen zu Gesprächen und Vorführungen sowie Vormerkungen von Praxen führe ich in einer Kundenverwaltung. Gespeichert werden je nach Kontakt: Name und Titel, Praxis, Anschrift und Website, Fachrichtung und Zahl der Ärztinnen und Ärzte, E-Mail-Adresse und Telefonnummer, Inhalt der Anfrage, Gesprächsnotizen, die Vormerkung, Quelle und Datum der Erfassung, der Verlauf der Kontakte sowie Einwilligungen und Widersprüche. Die Angaben stammen von Ihnen selbst, aus öffentlichen Angaben Ihrer Praxis (etwa Website und Impressum) oder, bei einer Empfehlung, von der Person, die den Kontakt vermittelt hat.

Ich nutze die Angaben, um Ihre Anfrage zu beantworten, eine Vormerkung oder einen Vertrag vorzubereiten und den Kontakt zu pflegen. Praxen, deren Angaben aus öffentlichen Quellen oder aus einer Empfehlung stammen, schreibe ich per Brief an, um ihnen CuraNexus vorzustellen; den Brief stellt die Deutsche Post zu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um eine Vormerkung oder einen Vertrag geht, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist die Anbahnung von Aufträgen mit Praxen, auch durch Werbung per Brief, und die Pflege von Geschäftskontakten. Per E-Mail oder Telefon melde ich mich mit Angeboten oder Nachfragen nur, wenn Sie eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO); dafür speichere ich Datum, Weg und Wortlaut Ihrer Einwilligung.

Die Kundenverwaltung läuft auf einem Server der Hetzner Online GmbH (Anschrift unter „Hosting“) in Helsinki (Finnland, EU). Ihre Datenbank und die Ablage für Vertragsunterlagen betreibt die Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513, in der Region Frankfurt am Main (Deutschland, EU). Beide verarbeiten die Daten ausschließlich in meinem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO. Weil Supabase ihren Sitz in Singapur hat und für Support und Betrieb auch die Supabase, Inc. und weitere Dienstleister in den USA einsetzt, ist ein Zugriff von außerhalb der EU nicht ausgeschlossen. Für Singapur gibt es keinen Angemessenheitsbeschluss der EU-Kommission, und Supabase nimmt nicht am EU-US Data Privacy Framework teil; die Übermittlung stützt sich deshalb auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Teil der Auftragsverarbeitungsbedingungen von Supabase sind (supabase.com/legal/dpa). E-Mails zu Ihrem Anliegen liegen in meinem Postfach bei Zoho (siehe „Kontakt per E-Mail oder Telefon“).

Die Datenbank sichere ich jede Nacht selbst auf den Server in Helsinki (Finnland, EU). Diese Sicherungen werden nach spätestens 14 Tagen gelöscht; bis dahin können gelöschte Angaben darin noch enthalten sein. Der Tarif bei Supabase enthält keine Sicherungen, auf die ich zugreifen kann. Supabase erstellt nach eigenen Angaben aber Sicherungen zur Wiederherstellung, für die es bei diesem Tarif keine Aufbewahrungsdauer nennt; auch darin können gelöschte Angaben noch eine Zeit lang enthalten sein.

Angaben zu Praxen, denen ich noch nicht geschrieben habe und mit denen ich noch keinen Kontakt hatte (etwa aus öffentlichen Angaben oder einer Empfehlung), lösche ich 4 Wochen nach der Erfassung. Kommt sonst kein Vertrag zustande, lösche ich die Angaben 12 Monate nach meinem ersten Brief oder nach dem letzten Kontakt, je nachdem, was später liegt, ebenso die E-Mails dazu. Kommt ein Vertrag zustande, bewahre ich Vertragsunterlagen und Rechnungen so lange auf, wie es die gesetzlichen Aufbewahrungspflichten verlangen (§ 147 AO, § 257 HGB).

Der Nutzung Ihrer Angaben für Werbung können Sie jederzeit ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO), und eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Eine formlose E-Mail an info@aregatou.com genügt. Nach einem Widerspruch lösche ich Ihre Angaben sofort, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht, und behalte nur Prüfwerte (Hashwerte) von E-Mail-Adresse, Praxisname und Anschrift mit dem Datum des Widerspruchs in einer Sperrliste, ohne Frist, damit Sie keine Werbung mehr von mir erhalten.

Demo-Praxis (demo.curanexus.de)

Unter demo.curanexus.de betreibe ich eine Demo-Praxis mit erfundenen Daten, um CuraNexus Praxen und Interessierten vorzuführen. Bitte geben Sie dort keine echten Daten ein, vor allem keine Angaben zu Ihrer Gesundheit; für die Vorführung genügen erfundene Angaben. Echte Termine und Rezepte vereinbaren Sie bitte direkt mit Ihrer Praxis.

Was Sie in die Formulare eingeben, speichert die Demo wie eine echte Praxis-Website: bei der Terminbuchung Name, Telefonnummer, E-Mail-Adresse, Wunschtermin, Ärztin oder Arzt, Termintyp und den freiwilligen Anlass; bei der Rezeptanfrage Vor- und Nachname, Geburtsdatum, E-Mail-Adresse, Medikament, Dosierung und Hinweis; auf der Warteliste Name, E-Mail-Adresse, Telefonnummer, Wunschtermin und Hinweis; bei der Anmeldung zu „Mein Konto“ die E-Mail-Adresse; dazu Antworten in Anamnesebögen. Daraus legt die Demo einen Patienteneintrag und ein Protokoll der Aktionen an. Anlass, Hinweise, Medikament und Anamnese-Antworten können Gesundheitsdaten sein. Die Demo ist nicht dafür gedacht, solche Daten zu verarbeiten: Geben Sie trotzdem echte Angaben zu Ihrer Gesundheit ein, löscht die Demo sie mit allen anderen Eingaben spätestens in der folgenden Nacht (siehe unten). Die Eingaben sind im Praxisportal der Demo sichtbar, auch bei Vorführungen für Interessierte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist, die Software vorzuführen und die Demo vor Missbrauch zu schützen.

Jede Nacht um 03:15 Uhr löscht die Demo alle Eingaben von Besucherinnen und Besuchern (Termine samt Anamnesebögen, Rezeptanfragen, Warteliste, Erinnerungen, Patientenkonten samt Anmeldelinks und Sitzungen, Patienteneinträge und das Protokoll) und spielt die erfundenen Beispieldaten neu ein. Sicherungen der Demo-Datenbank, auf die ich zugreifen kann, gibt es nicht (ihr Tarif bei Supabase enthält keine). Supabase erstellt nach eigenen Angaben aber Sicherungen zur Wiederherstellung, für die es bei diesem Tarif keine Aufbewahrungsdauer nennt; darin und in den Protokollen von Supabase (siehe unten) können gelöschte Eingaben noch eine Zeit lang enthalten sein.

Die Demo läuft auf einem Server der Hetzner Online GmbH (Anschrift unter „Hosting“) in Nürnberg (Deutschland). Die Eingaben speichert sie in einer Datenbank der Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513, in der Region Frankfurt am Main (Deutschland, EU). Beide verarbeiten die Daten ausschließlich in meinem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO. Weil Supabase ihren Sitz in Singapur hat und für Support und Betrieb auch die Supabase, Inc. und weitere Dienstleister in den USA einsetzt, ist ein Zugriff von außerhalb der EU nicht ausgeschlossen. Für Singapur gibt es keinen Angemessenheitsbeschluss der EU-Kommission, und Supabase nimmt nicht am EU-US Data Privacy Framework teil; die Übermittlung stützt sich deshalb auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Teil der Auftragsverarbeitungsbedingungen von Supabase sind (supabase.com/legal/dpa). Ihr Browser lädt die Seiten der Demo von demo.curanexus.de. Bilder, die jemand im Praxisportal der Demo hochgeladen hat, lädt er allerdings direkt von Supabase; dabei erhält Supabase Ihre IP-Adresse und kann solche Bilder über ein weltweites Content-Delivery-Netzwerk ausliefern. Direkt zwischen Browser und Supabase laufen außerdem die Anmeldung und die Kontoeinstellungen im Praxisportal, das ich für Vorführungen nutze.

E-Mails verschickt die Demo nur an fest eingestellte Adressen von Aregatou Digital, für Vorführungen und Funktionstests. An alle anderen Adressen, auch an die in den Formularen eingetragenen, verschickt sie nichts. Für den Versand nutze ich die Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland, als Auftragsverarbeiter; Brevo hostet die Daten auf Servern in Frankreich, Deutschland und Belgien. Für Kundendienst und Wartung, Auswertungen und die Auslieferung über ein Content-Delivery-Netzwerk setzt Brevo auch Dienstleister in den USA und in Indien ein. Die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO) und zusätzlich auf Standardvertragsklauseln; für Indien gibt es keinen Angemessenheitsbeschluss, die Übermittlung dorthin stützt sich auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Welche Garantien für welchen Dienstleister gelten, nennt Brevos Datenschutzvereinbarung (Anhang 3 der Nutzungsbedingungen, www.brevo.com/de/legal/termsofuse); eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage bei mir. Die Protokolle der versandten E-Mails löscht Brevo nach einem Monat, Vorschauen der E-Mails speichert Brevo nicht. Brevo zählt Öffnungen und Klicks dieser E-Mails nur anonym, ohne Zuordnung zu einer Empfängerin oder einem Empfänger; Links in den E-Mails führen über eine Weiterleitung von Brevo.

Die Demo setzt nur technisch notwendige Cookies: für die gewählte Sprache und, nach einer Anmeldung, für die Sitzung in „Mein Konto“ oder im Praxisportal. Ihre Auswahl im Cookie-Hinweis speichert Ihr Browser lokal. Analyse- oder Werbe-Cookies gibt es nicht. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG.

Beim Aufruf der Demo verarbeitet ihr Server dieselben technisch notwendigen Verbindungsdaten wie bei aregatou.com (IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Kennung und Sprache des Browsers; Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO). Zum Schutz vor Missbrauch begrenzt die Demo die Zahl der Anfragen je IP-Adresse; für diese Begrenzung hält sie IP-Adressen nur im Arbeitsspeicher, nicht in der Datenbank. Für die Sitzung in „Mein Konto“ speichert die Demo außerdem einen mit einem Schlüssel gebildeten Prüfwert Ihrer IP-Adresse und die Kennung Ihres Browsers; beides löscht sie nachts mit dem Konto. Ein Zugriffsprotokoll speichert der Server der Demo nicht. Technische Status- und Fehlermeldungen können im Einzelfall eine IP-Adresse enthalten; sie werden fortlaufend überschrieben, sobald das Protokoll eine feste Größe erreicht (höchstens 30 MB je Dienst). Die Protokolle der Zugriffe auf die Datenbank und ihre Schnittstelle (API), die Supabase mir bereitstellt, bewahrt Supabase im Tarif der Demo laut Tarifbeschreibung einen Tag lang auf; sie können Teile Ihrer Eingaben enthalten, etwa eine E-Mail-Adresse. Für Betrieb und Sicherheit bewahrt Supabase nach eigenen Angaben weitere Protokolle auf, deren Fristen nicht veröffentlicht sind.

Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine formlose E-Mail an info@aregatou.com genügt.

Widerspruchsrecht (Art. 21 DSGVO)

Soweit ich Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeite, können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Ich verarbeite die Daten dann nicht mehr, es sei denn, ich kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für mich zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

Pflicht zur Bereitstellung, automatisierte Entscheidungen

Sie sind weder gesetzlich noch vertraglich verpflichtet, mir Daten bereitzustellen. Ohne die technisch übertragenen Verbindungsdaten kann die Website jedoch nicht angezeigt werden, und ohne Ihre Kontaktangaben kann ich Ihre Anfrage nicht beantworten. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.