1. Wer Verantwortlicher ist
Die Rollenverteilung ist hier wesentlich und keine Formalität.
Verantwortliche für die Daten der Patientinnen und Patienten ist die Praxis, Appointomat ist Auftragsverarbeiter und handelt auf ihre Weisung. Eine Patientin oder ein Patient, die oder der einen Termin bucht, steht in einer Beziehung zur Praxis, nicht zu uns; die Praxis entscheidet, wozu sie Daten erhebt und wie lange sie sie aufbewahrt, innerhalb der Grenzen, die der Auftragsverarbeitungsvertrag beschreibt.
Verantwortliche für die Daten der Person, die ein Konto eröffnet und die Praxis führt, sind wir. Dieselbe Erklärung beschreibt also zwei unterschiedliche Sachverhalte, und bei jeder Datenkategorie unten ist angegeben, um welchen es sich handelt.
Verantwortlicher im zweiten Sinne ist Nikita Cherevko, eine natürliche Person mit Sitz der Tätigkeit in der Republik Polen. Kontakt: nikita@appointomat.com. Vollständige Angaben: Impressum.
Es wurde keine Datenschutzbeauftragte oder kein Datenschutzbeauftragter benannt - keine der Voraussetzungen von Art. 37 DSGVO liegt vor.
2. Welche Daten in das System gelangen
Patientendaten (Verantwortliche: die Praxis)
Ein Termin bei einer Physiotherapiepraxis ist ein Gesundheitsdatum im Sinne von Art. 9 DSGVO, selbst ohne begleitende Notiz - schon die Fachrichtung offenbart eine Information über den Gesundheitszustand. Der Umfang ist deshalb abschließend und folgt aus einer Gestaltungsentscheidung, nicht aus dem Entwicklungsstand: wer, wann, bei wem, welche Leistung und ob der Termin stattgefunden hat.
Es gibt und wird kein Feld für klinische Notizen, Diagnosen oder Behandlungsdokumentation geben. Ebenso wenig für eine nationale Versichertennummer, ein Geburtsdatum, eine Anschrift oder Versicherungsdaten.
Vollständige Liste der Felder:
| Feld | Wozu |
|---|---|
| Vor- und Nachname | Damit klar ist, wer kommt |
| Telefonnummer | Kanal für Erinnerungen und Erkennung wiederkehrender Patientinnen und Patienten |
| E-Mail-Adresse | Freiwillig und nicht verifiziert. Bestätigungen, Kalenderdatei, erste Stufe der Erinnerungen |
| Sprache | In welcher Sprache geschrieben wird |
| Bevorzugter Kanal | Wahl der Patientin oder des Patienten: automatisch, nur SMS, nur E-Mail. Änderbar über den Link in jeder Nachricht |
| Termine, Leistung, behandelnde Person | Das ist das eigentliche Produkt |
| Anzahl der Nichterscheinen | Nur die Zahl, ohne Verlauf der Gründe |
| Absagegrund | Freitextfeld für die Praxis, bis 200 Zeichen, wird nie an die Patientin oder den Patienten gesendet |
| Einträge auf der Warteliste und Antworten auf Terminangebote | Wer auf welchen Termin wartet, was auf ein frei gewordenes Angebot geantwortet wurde |
Der in der SMS sichtbare Leistungsname ist ein eigenes, standardmäßig neutral formuliertes Feld ("Termin"), damit eine Erinnerung keine Diagnose auf dem Sperrbildschirm anzeigt. Die Praxis kann es ändern; das ist dann ihre Entscheidung.
Daten der Praxisinhaberin oder des Praxisinhabers und der in der Praxis tätigen Personen (Verantwortliche: wir)
E-Mail-Adresse und Konto-ID in Google Firebase Auth, Name der Praxis, Adresse ihrer Buchungsseite, Zeitzone, Währung, gewählter Plan sowie Vor- und Nachname, die Patientinnen und Patienten auf der Buchungsseite angezeigt werden. Zusätzlich technische Protokolle mit Praxis- und Konto-ID, beschrieben in Abschnitt 6, sowie der Zeitpunkt der letzten Nutzung jedes Kontos, auf die Stunde genau. 90 Tage lang speichern wir außerdem, welche Ansichten der Anwendung wie lange geöffnet waren und welche Art von Änderung vorgenommen wurde und ob sie gelang - als Namen von Ansichten und Funktionen (z. B. „Arbeitszeiten: gespeichert“), nie mit Inhalten, Suchbegriffen oder Patientendaten. So sehen wir, wo eine neue Praxis nicht weiterkommt, können Hilfe anbieten und das Produkt verbessern (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Dafür nutzen wir weder Drittanbieter noch Bildschirmaufzeichnungen.
Konten der in der Praxis tätigen Personen. Die Praxisinhaberin oder der Praxisinhaber kann weitere Personen einladen - per E-Mail-Adresse, mit einer Rolle (volle Rechte, Kalender und Leistungen oder Empfang) und optional einem Kalender. Wir speichern dann diese Adresse, die Rolle, das Datum der Einladung und des Versands sowie nach der ersten Anmeldung die Konto-ID in Google Firebase Auth. Eine nicht angenommene Einladung wird gelöscht, wenn die Praxis sie widerruft. Ein genutztes Konto bleibt nach dem Entzug des Zugangs ohne Anmeldemöglichkeit bestehen, weil von dieser Person verfasste Notizen mit ihrem Konto gezeichnet sind; die Praxis kann den Zugang wiederherstellen. Eine E-Mail-Adresse kann zu genau einer Praxis gehören.
Nachweis der Annahme von Dokumenten. Wenn die Praxisinhaberin oder der Praxisinhaber die Allgemeinen Geschäftsbedingungen und den Auftragsverarbeitungsvertrag annimmt, werden gespeichert: ID und E-Mail-Adresse dieser Person, Name des Dokuments, dessen Version sowie Datum und Uhrzeit. Diese Speicherung dient ausschließlich dem Nachweis, wer wann welche Version angenommen hat, erfolgt unbefristet und wird nicht mit dem Konto gelöscht - ein Dokument ohne Annahmenachweis beweist nichts.
Daten aus dem Kontaktformular auf dieser Seite (Verantwortliche: wir)
Name, E-Mail-Adresse, Name der Praxis, Inhalt der Nachricht sowie die Sprachversion der Seite, auf der das Formular ausgefüllt wurde. Diese gelangen in eine gesonderte, von der Produktdatenbank getrennte Datenbank.
3. Rechtsgrundlagen
| Daten | Grundlage |
|---|---|
| Patientendaten - laufender Betrieb | Art. 6 Abs. 1 lit. b oder f DSGVO, auf Seiten der Praxis als Verantwortlicher |
| Patientendaten - Gesundheitsdaten | Art. 9 Abs. 2 lit. h DSGVO - Verarbeitung für Zwecke der Gesundheitsvorsorge und Gesundheitsversorgung durch eine Person, die einer beruflichen Schweigepflicht unterliegt. Dies ist die Grundlage, auf die sich die Praxis stützt und mit der der Auftragsverarbeitungsvertrag übereinstimmen muss |
| Konto der Praxisinhaberin oder des Praxisinhabers | Art. 6 Abs. 1 lit. b DSGVO - Vertragserfüllung. Dies ist keine Einwilligung: Die Annahme der Bedingungen ist Vertragsschluss, nicht eine widerrufbare Einwilligung, mit der die Nutzung fortgesetzt werden könnte |
| Konten der in der Praxis tätigen Personen | Art. 6 Abs. 1 lit. f DSGVO - berechtigtes Interesse der Praxis, ihren Mitarbeitenden das System zugänglich zu machen, und unseres an der Absicherung dieses Zugangs. Diese Person ist nicht Vertragspartei; die Praxis lädt sie ein |
| Technische Protokolle, Sicherheit, Reichweitenmessung | Art. 6 Abs. 1 lit. f DSGVO - berechtigtes Interesse an Betrieb und Absicherung des Dienstes |
| Kontaktformular | Art. 6 Abs. 1 lit. f DSGVO - Beantwortung einer von sich aus gestellten Frage |
| Abrechnung und Buchhaltung | Art. 6 Abs. 1 lit. c DSGVO - rechtliche Verpflichtung |
4. Wer diese Daten sonst verarbeitet
Anbieter des Anwendungshostings, Datenbankanbieter, SMS-Gateway, E-Mail-Anbieter und Authentifizierung für Praxispersonal.
Die vollständige Liste mit Namen, Rollen und Verarbeitungsorten sowie den Regeln für ihre Änderung findet sich auf einer eigenen Seite: Unterauftragsverarbeiter. Die Liste steht dort und nicht hier, damit ihre Aktualisierung keine Änderung der gesamten Erklärung erfordert - jede Änderung wird mit 30-tägiger Vorlaufzeit angekündigt, entsprechend Abschnitt 6 des Auftragsverarbeitungsvertrags.
Daneben können Daten an gesetzlich befugte Behörden sowie an beruflich zur Verschwiegenheit verpflichtete Berater offengelegt werden.
5. Wo Daten gespeichert werden
Patientendaten ausschließlich innerhalb des Europäischen Wirtschaftsraums. Datenbank und Anwendung befinden sich in Belgien. SMS-Nachrichten versendet ein Anbieter mit Sitz in Irland, E-Mails ein Anbieter mit Sitz in Frankreich.
Wir übermitteln keine Patientendaten außerhalb des EWR. Sollte dies erforderlich werden, setzte dies eine vorherige Änderung der Liste der Unterauftragsverarbeiter voraus, also eine Ankündigung mit 30-tägiger Vorlaufzeit und die Angabe einer Übermittlungsgrundlage.
Die Anmeldung des Praxispersonals ist die einzige Übermittlung. E-Mail-Adresse und Konto-ID der in der Praxis tätigen Personen verarbeitet Google Firebase Authentication, ein Dienst, der ausschließlich in Rechenzentren in den Vereinigten Staaten betrieben wird. Grundlage ist der Angemessenheitsbeschluss der Kommission zum EU-US-Datenschutzrahmen, an dem Google LLC teilnimmt, ergänzend die Standardvertragsklauseln der Datenverarbeitungsbedingungen von Google. Patientendaten laufen nicht über diesen Dienst.
Eine Ausnahme betrifft Praxen mit Sitz außerhalb des EWR, die den Dienst nutzen: Die Bereitstellung von Daten an eine solche Praxis ist eine Übermittlung, für die Standardvertragsklauseln als Grundlage dienen. Dies regelt der mit einer solchen Praxis geschlossene Vertrag, nicht diese Erklärung.
6. Wie lange
| Daten | Zeitraum |
|---|---|
| Bereits stattgefundene Termine | 24 Monate, für die Praxis abweichend einstellbar |
| Einträge auf der Warteliste | 30 Tage nach Erledigung oder Ablauf |
| Versendete Nachrichten | 90 Tage - ausreichend, um die Frage "wurde die SMS zugestellt" beantworten zu können |
| Angebote für frei gewordene Termine und ihre Ergebnisse | 12 Monate |
| Unbestätigte Buchung | 24 Stunden |
| Protokoll der Nutzung der Anwendung (Ansichten und Arten von Änderungen) | 90 Tage |
| Löschprotokoll | Unbefristet. Enthält ausschließlich die Information, dass eine Löschung erfolgt ist, niemals, was gelöscht wurde |
| Nachweis der Annahme von Dokumenten | Unbefristet, gemäß Abschnitt 2 |
| Konto der Praxis und alle zugehörigen Daten | Bis Vertragsende, danach 30 Tage zum Herunterladen und zur Löschung der Daten |
| Nachricht aus dem Kontaktformular | 24 Monate seit dem letzten Kontakt |
| Abrechnungsunterlagen | Nach steuerrechtlichen Vorschriften erforderlicher Zeitraum |
7. Rechte der betroffenen Person
Jeder Person stehen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen eine auf berechtigtem Interesse beruhende Verarbeitung zu.
Eine Patientin oder ein Patient richtet ihr oder sein Anliegen an die Praxis, nicht an uns - die Praxis ist Verantwortliche für ihre oder seine Daten und bewertet das Anliegen. Wir stellen die Werkzeuge bereit: Die Praxis kann aus der Anwendung heraus den vollständigen Datenbestand einer Patientin oder eines Patienten in maschinenlesbarer und druckfähiger Form herunterladen sowie dauerhaft löschen. Beide Funktionen stehen ausschließlich der Praxisinhaberin oder dem Praxisinhaber zur Verfügung, weil die Beantwortung eines Antrags einer betroffenen Person eine rechtliche Reaktion der Praxis ist, keine alltägliche Verwaltungstätigkeit.
Die Löschung von Patientendaten löscht auch deren Termine - sie ersetzt sie nicht durch einen Eintrag ohne Namen. Was gelöscht wird, ist die Tatsache "diese Person hatte am Dienstag um 14 Uhr einen Termin", und ein Eintrag, der die Uhrzeit behält und den Namen verliert, löscht nicht diese Tatsache, sondern nur ihre Bezeichnung. Die Praxis verliert dadurch diese Stunden aus ihrer Statistik; dies ist ein bewusst in Kauf genommener Preis dieser Entscheidung.
Die Praxisinhaberin oder der Praxisinhaber richtet eigene Anliegen an die Adresse aus Abschnitt 1.
Zuständige Aufsichtsbehörde für den Auftragsverarbeiter ist der Präsident des polnischen Amtes für den Schutz personenbezogener Daten (Prezes Urzędu Ochrony Danych Osobowych), ul. Stawki 2, 00-193 Warszawa. Nach Art. 77 DSGVO kann eine betroffene Person eine Beschwerde unabhängig davon auch bei der Aufsichtsbehörde ihres gewöhnlichen Aufenthalts, ihres Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes einreichen - für eine Person mit gewöhnlichem Aufenthalt in Deutschland ist das die Datenschutzbehörde des jeweiligen Bundeslandes.
8. Cookies und Reichweitenmessung
Ohne Ihre Einwilligung speichert diese Seite nichts in Ihrem Browser und lädt nichts von Google. Die Einwilligung betrifft eine einzige Sache: das Google-Ads-Tag.
Beim ersten Besuch fragt die Seite, ob das Google-Ads-Tag geladen werden soll. Ablehnen ist so einfach wie Zustimmen; ohne Einwilligung geht keine Anfrage an Google. Nach der Einwilligung setzt Google Ireland Limited Cookies (_gcl_*) und erfährt, dass ein Besuch über eine Anzeige mit einem Klick auf „Konto erstellen“ endete - ausschließlich, um zu zählen, wie viele Konten eine Kampagne bringt. Die Personalisierung von Anzeigen bleibt ausgeschaltet. Rechtsgrundlage ist die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können sie jederzeit über den Link „Cookie-Einstellungen“ in der Fußzeile widerrufen; der Widerruf löscht diese Cookies. Google verarbeitet diese Daten als eigenständiger Verantwortlicher nach seiner eigenen Datenschutzerklärung und kann sie auf Grundlage des EU-US Data Privacy Framework in die USA übermitteln. Ihre Antwort selbst speichern wir im Browserspeicher, damit nicht auf jeder Seite gefragt wird - das ist unbedingt erforderlich und bedarf keiner Einwilligung.
Nach der Einwilligung merkt sich die Seite außerdem im Browser, höchstens 90 Tage lang, die Klick-ID der Anzeige (gclid) und die Kampagnenkennzeichen (utm_*) aus der Adresse, auf die die Anzeige führte, und hängt sie an den Link „Konto erstellen“. Wird ein Konto eröffnet, speichern wir sie zusammen mit der Praxis und übermitteln Google nur die Klick-ID mit dem Zeitpunkt der Kontoeröffnung - damit die Kampagne eröffnete Konten zählt statt Klicks. Rechtsgrundlage ist dieselbe Einwilligung; ihr Widerruf löscht sie aus dem Browser. Bei der Praxis gespeichert, werden sie mit ihr gelöscht.
Die Reichweite wird mit Umami gemessen, einer Software, die wir selbst in Google Cloud in Belgien (Region europe-west1) betreiben; an ihre Entwickler gehen keine Daten. Die Messung setzt keine Cookies und nutzt keinen Browser-Speicher; Besucherinnen und Besucher werden anhand eines serverseitig aus IP-Adresse und Browser-Kennung zusammen mit einem täglich wechselnden Schlüssel berechneten Hashwerts gezählt. Die IP-Adresse selbst wird nicht gespeichert: Sie dient der Bestimmung des ungefähren Standorts und wird dann verworfen. Bei jedem Aufruf werden gespeichert: Zeitpunkt, Adresse und Titel der Unterseite, wie lange die Unterseite sichtbar gelesen wurde, als Spanne wie 30-60 Sekunden und erst nach 10 Sekunden, verweisende Seite, Abfrageparameter, Land, Region und Stadt, Browsersprache, Betriebssystem, Browser und Gerätetyp, außerdem Klicks auf „Konto erstellen“ und auf die Demo-Seite, geöffnete Fragen im FAQ-Bereich und das Thema eines gesendeten Kontaktformulars (ohne seinen Inhalt). Ein Browser, der Do Not Track oder Global Privacy Control sendet, wird nicht gezählt.
Da nichts auf dem Endgerät gespeichert oder von ihm ausgelesen wird, ist keine Einwilligung nach § 25 TTDSG erforderlich. Der Hashwert selbst bleibt eine Verarbeitung personenbezogener Daten im Sinne der DSGVO und erfolgt auf Grundlage eines berechtigten Interesses, nämlich zu wissen, welche Seiten gelesen werden. Ein Widerspruch ist an die Adresse aus Abschnitt 1 möglich.
In der Anwendung für die Praxis ist dies anders und wird gesondert beschrieben. Die Anwendung unter app.appointomat.com speichert im Browser ein Authentifizierungs-Token sowie drei kleine geräteseitige Einstellungen: die gewählte Sprache, das Ausblenden der anfänglichen Aufgabenliste und den während der Kontoeröffnung gewählten Plan. Alle sind erforderlich oder werden auf ausdrücklichen Wunsch gesetzt, keine dient dem Tracking, und keine verlässt den Browser. Während der Kontoeröffnung hält sie außerdem die oben beschriebenen Anzeigenkennzeichen - nur wenn auf dieser Seite eingewilligt wurde. Öffentliche Buchungsseiten speichern nichts im Browser.
Die öffentlichen Buchungsseiten der Praxen verwenden diese Messung nicht. Dort zählen wir nur Aufrufe der ersten Buchungsseite von außerhalb, um zu wissen, ob sich ihre Bewerbung in Besuchen niederschlägt. Jeder Aufruf ist ein Eintrag: Zeitpunkt, Praxis, Domain der verweisenden Seite (ohne Unterseite), die Parameter utm_source, utm_medium und utm_campaign des Links, sofern vorhanden, und das Land, das auf unserem eigenen Server anhand der Datenbank von DB-IP aus der IP-Adresse bestimmt wird (IP Geolocation by DB-IP). Wir speichern keine IP-Adresse, keinen Browser, kein Gerät und keine Kennung oder Hashwert, sodass ein Eintrag weder auf eine Person verweist noch zwei ihrer Aufrufe verbindet.
9. Änderungen
Eine Änderung dieser Erklärung wird auf dieser Seite zusammen mit der neuen Version und dem Datum des Inkrafttretens veröffentlicht.
Eine wesentliche Änderung - eine neue Datenkategorie, ein neuer Zweck, ein neuer Unterauftragsverarbeiter oder eine Einschränkung der Rechte - wird zusätzlich mindestens 30 Tage im Voraus per E-Mail an die im Konto der Praxis hinterlegte Adresse angekündigt. Eine redaktionelle Änderung, die nichts an der Datenverarbeitung ändert, tritt mit Veröffentlichung in Kraft.
Die Datenschutzerklärung ist eine Information, kein Vertrag: Sie erfordert keine Annahme, und ihre Änderung verlangt von niemandem eine Handlung. Verträge sind die Allgemeinen Geschäftsbedingungen und der Auftragsverarbeitungsvertrag; ihre Änderung erfolgt nach den dort jeweils beschriebenen Regeln.