سياسة الخصوصية

420doc nimmt den Schutz personenbezogener Daten ernst. Die Verarbeitung erfolgt nach der Datenschutz-Grundverordnung (DSGVO), dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und sonstigen anwendbaren Datenschutzvorschriften.

Soweit auf dieser Website Informationen in der Endeinrichtung von Besuchern gespeichert oder abgerufen werden (z. B. Cookies), erfolgt dies auf Grundlage von § 25 TDDDG – entweder aufgrund Ihrer Einwilligung (§ 25 Abs. 1 TDDDG) oder soweit es zur Bereitstellung eines ausdrücklich gewünschten Dienstes unbedingt erforderlich ist (§ 25 Abs. 2 TDDDG).

Sprachfassungen: Diese Erklärung, Anfrage, Patientenbereich und ärztliche Gespräche gibt es auf Deutsch, Englisch und Türkisch. Zusätzlich bieten wir Informationsseiten auf Russisch, Ukrainisch und Arabisch an; über diese Seiten werden keine anderen oder weiteren Daten verarbeitet als hier beschrieben (die Anfrage selbst läuft auf Deutsch, Englisch oder Türkisch). Bei Abweichungen zwischen Übersetzungen und dieser deutschen Fassung ist die deutsche Fassung maßgeblich. Auf Wunsch erläutern wir Ihnen diese Erklärung auf Englisch oder Türkisch (datenschutz420doc.de).

Im Rahmen der Registrierung verarbeiten wir folgende Daten:

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) sowie ergänzend Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).

Anmelde- und Bestätigungsnachweis: Bei jeder Anmeldung in Ihrem Konto (auch bei fehlgeschlagenen Versuchen und beim Anfordern eines Anmeldecodes) und bei der Bestätigung Ihrer E-Mail-Adresse speichern wir Zeitpunkt, IP-Adresse und Browserkennung (u. a. Browsertyp und Betriebssystem), um Ihr Konto abzusichern und die Kommunikation im Rahmen Ihrer Behandlung nachweisen zu können. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c DSGVO (ärztliche Dokumentationspflicht, § 630f BGB) und lit. f (Nachweis und Schutz vor Missbrauch); wir speichern diese Angaben so lange wie die Behandlungsdokumentation, also bis 10 Jahre nach Abschluss der Behandlung (Abschnitt 29).

Pflichtangaben sind als solche im Formular gekennzeichnet. Ohne diese Angaben kann die Nutzung der Plattform und die Erbringung ärztlicher Leistungen nicht erfolgen.

Abgleich mit früheren Konten: Damit die behandelnde Ärztin bzw. der behandelnde Arzt Ihre Vorgeschichte kennt (z. B. frühere Verordnungen, Wechselwirkungen) und die kostenlose Erstanfrage nur einmal pro Person gilt, gleichen wir bei der Registrierung und der Ausweisprüfung Vorname, Nachname und Geburtsdatum sowie gegebenenfalls Telefonnummer und den Prüfwert der Ausweisnummer mit bestehenden – auch gelöschten, gesperrt aufbewahrten – Konten ab. Rechtsgrundlagen: Art. 6 Abs. 1 lit. c DSGVO (ärztliche Sorgfalts- und Dokumentationspflichten) und lit. f (Schutz vor Missbrauch).

420doc liest keine elektronische Gesundheitskarte aus und rechnet nicht über gesetzliche Krankenkassen ab. Ein Foto der Krankenversichertenkarte dient – wenn Sie es freiwillig wählen – nur als Identitätsnachweis (Abschnitt 11a). Soweit Nutzer freiwillig Versicherungsinformationen mitteilen, werden diese nur verarbeitet, soweit dies zur Bearbeitung der jeweiligen Anfrage erforderlich ist.

Für die Registrierung und Anmeldung bieten wir die Option „Mit Google anmelden“ an. Hierbei verarbeitet Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, Ihre E-Mail-Adresse sowie Ihren im Google-Konto hinterlegten Namen zur Identifizierung und Authentifizierung. Eine Passwortübermittlung an uns erfolgt nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Nutzung des Sign-In-Buttons).

Datenschutzerklärung Google: https://policies.google.com/privacy

Im Gesundheitsfragebogen können folgende Angaben verarbeitet werden:

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung), soweit erforderlich Art. 6 Abs. 1 lit. b DSGVO.

Nutzer können im Rahmen ihrer Anfrage einen Behandlungs- oder Produktwunsch angeben. Diese Angabe dient dem behandelnden Arzt als unterstützende Information. Die finale Entscheidung über Diagnose, Therapie, Dosierung und eine mögliche Rezeptausstellung trifft ausschließlich der behandelnde Arzt nach eigener fachlicher Prüfung.

Die medizinische Prüfung erfolgt durch unabhängige, in Deutschland zugelassene Kooperationsärzte. Diese handeln eigenverantwortlich als datenschutzrechtlich eigene Verantwortliche und unterliegen der ärztlichen Schweigepflicht nach § 203 StGB.

Die Übermittlung der für die Behandlung erforderlichen Daten an die Kooperationsärzte erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit Art. 9 Abs. 2 lit. h DSGVO zum Zwecke der medizinischen Versorgung durch Berufsgeheimnisträger.

Termine (Videosprechstunde, Termin vor Ort) buchen Sie in unserem eigenen Buchungssystem auf 420doc.de. Verarbeitet werden Name, E-Mail-Adresse, ggf. Telefonnummer, Leistung, gewählter Termin, Zahlungsstatus und Buchungsstatus (gehalten, bestätigt, verlegt, abgesagt). Die Daten liegen auf unseren Servern (siehe Hosting); Terminerinnerungen erhalten Sie per E-Mail und – falls von Ihnen gewählt – per SMS oder Push. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; soweit ein Gesundheitsbezug besteht, Art. 9 Abs. 2 lit. h DSGVO.

Übergangsweise (für Buchungen, die vor dem 23.10.2026 über Cal.eu angelegt wurden, längstens bis 31.12.2026) gilt zusätzlich: Für diese Termine haben wir Cal eingesetzt. Anbieter ist Cal.com, Inc. mit Sitz in den USA; die Datenhaltung erfolgt über die EU-Variante cal.eu.

Anbieter

Cal.com, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA

Hosting

cal.eu-Variante mit Datenhaltung in der EU (Region Frankfurt); vertragliche EU/EWR-Datenresidenz gemäß DPA Ziffer 11.3.

Verarbeitet werden: Name, E-Mail-Adresse, ggf. Telefonnummer, gewählter Termin, Zeitzone, IP-Adresse und Buchungsstatus (erstellt, verlegt, abgesagt).

Für Altbuchungen über Cal.eu wurden etwaige Whereby-Zugangslinks über Cal.eu erzeugt und versendet; bei neuen Buchungen erzeugen wir den Videoraum selbst (siehe Abschnitt 10).

Ein etwaiger Drittland-Zugriff im Rahmen von Support und Wartung ist über EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) sowie ergänzende Maßnahmen abgesichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; soweit ein Gesundheitsbezug besteht, Art. 9 Abs. 2 lit. h DSGVO. Mit Cal.com, Inc. besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (inkl. Standardvertragsklauseln).

Eine Videosprechstunde ist optional möglich. Es erfolgt keine Aufzeichnung.

Die Terminvereinbarung erfolgt über unser Buchungssystem (siehe Abschnitt Terminbuchung). Nach der Bestätigung legen wir bei Whereby einen Videoraum nur für diesen Termin an; Sie betreten ihn über den Wartebereich in Ihrem Konto (ab 10 Minuten vor Beginn). An Whereby übermitteln wir keine Namen oder Gesundheitsdaten, nur Beginn und Ende des Raums. Der Raum wird nach dem Termin bzw. bei Absage gelöscht.

Technischer Anbieter

Whereby AS

Anschrift

Gate 1 no. 107, 6700 Måløy, Norwegen

Datenverarbeitung

EU / Irland (EWR). Unterauftragsverarbeiter: Amazon Web Services EMEA SARL (Luxemburg/Irland) zur Speicherung von Account-Informationen.

Mit Whereby AS besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. 1:1-Videosprechstunden werden Ende-zu-Ende verschlüsselt (DTLS-SRTP); Audio- und Videoinhalte werden nicht gespeichert.

Sprache: Das Gespräch ist auf Deutsch, Englisch oder Türkisch möglich. Ziehen Sie eine Person zum Übersetzen (Dolmetscher oder Vertrauensperson) hinzu, geschieht das auf Ihren Wunsch und in Ihrer Verantwortung: Sie entscheiden selbst, wer teilnimmt und welche Ihrer Angaben diese Person erfährt. Zu Beginn des Gesprächs fragt die Ärztin bzw. der Arzt, ob sie bzw. er in Anwesenheit dieser Person sprechen darf; mit Ihrer Zustimmung entbinden Sie sie bzw. ihn für dieses Gespräch insoweit von der Schweigepflicht (Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, jederzeit widerruflich, z. B. indem Sie das Gespräch ohne diese Person fortsetzen). Wir beauftragen keine Dolmetscher und geben der Person von uns aus keine Daten weiter.

Rechtsgrundlage: Art. 9 Abs. 2 lit. h DSGVO.

Yousign wird für die qualifizierte elektronische Signatur (QES) der Rezepte eingesetzt. Ausweise prüfen wir grundsätzlich auf eigenen Servern (Abschnitt 11a). Je nach eingestelltem Prüfweg kann das Foto eines Personalausweises, Reisepasses, Führerscheins oder Aufenthaltstitels zusätzlich an Yousign übermittelt werden – als Zweitprüfung, wenn unsere Prüfung kein eindeutiges Ergebnis liefert, oder beim Prüfweg „nur Yousign“ für die Prüfung selbst (einschließlich einer freiwillig hochgeladenen Rückseite). Krankenversichertenkarten, Duldungen und sonstige Dokumente übermitteln wir nicht an Yousign; ältere Ausweisprüfungen liefen vollständig über Yousign.

Anbieter

Yousign SAS

Anschrift

Rue de Suède, Avenue Pierre Berthelot, 14000 Caen, Frankreich

Datenverarbeitung

Frankreich / EU

Verarbeitet werden: Identitätsdaten, Kontaktdaten, Ausweisdaten, hochgeladene Dokumente, IP-Adresse, Zeitstempel, Signatur- und Prüfprotokolle.

AVV: https://yousign.com/data-processing

Vor der ersten Verordnung bestätigen wir Ihre Identität und Volljährigkeit. Dazu laden Sie ein Foto eines amtlichen Dokuments hoch, auf dem Vorname, Nachname und Geburtsdatum stehen – zum Beispiel Personalausweis, Reisepass (Fotoseite), Führerschein, Aufenthaltstitel, Duldung, Aufenthaltsgestattung oder Fiktionsbescheinigung, Krankenversichertenkarte (Rückseite) oder ein ausländisches Ausweisdokument –, auf Wunsch zusätzlich die Rückseite, und bestätigen, dass es Ihr eigenes, echtes Dokument ist (diese Bestätigung wird mit Zeitpunkt protokolliert).

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Behandlungsvertrags), lit. c (ärztliche Sorgfalts- und Dokumentationspflichten) und lit. f (Schutz vor Missbrauch und Mehrfachkonten). Speicherdauer: als Teil der Behandlungsdokumentation 10 Jahre (Abschnitt 29).

Nutzer können optional Befunde, Diagnosen, Rezepte oder andere medizinische Dokumente hochladen. Diese werden ausschließlich dem behandelnden Arzt zur Prüfung bereitgestellt.

Nutzer können eine Apotheke frei wählen. Erforderliche Daten können an die ausgewählte Apotheke übermittelt werden. Die Apotheke verarbeitet diese Daten eigenverantwortlich zur Rezeptprüfung, Beratung, Arzneimittelabgabe, Abrechnung sowie ggf. zum Versand oder zur Abholung.

Nach Abschluss einer ärztlichen Konsultation kann der behandelnde Arzt ein Rezept ausstellen. Dieses Rezept wird in verschlüsselter Form an die vom Nutzer ausgewählte Apotheke übermittelt. Die Übermittlung dient ausschließlich der Einlösung des Rezepts und der Arzneimittelabgabe durch die Apotheke.

Die Apotheke ist datenschutzrechtlich eigenverantwortliche Verantwortliche im Sinne der DSGVO für die weitere Verarbeitung im Rahmen der Rezepteinlösung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 9 Abs. 2 lit. h DSGVO.

Die Abrechnung der ärztlichen Leistung erfolgt durch den jeweils behandelnden Arzt unmittelbar gegenüber dem Patienten nach Maßgabe der Gebührenordnung für Ärzte (GOÄ), gegebenenfalls auf Grundlage einer vor der Behandlung getroffenen Honorarvereinbarung gemäß § 2 GOÄ. Die Rechnung wird vom behandelnden Arzt ausgestellt und kann dem Nutzer im 420doc-Dashboard zum Abruf bereitgestellt werden.

Die ärztliche Leistung wird im Voraus bezahlt. Sollte nach ärztlicher Prüfung keine Behandlung zustande kommen, wird der gezahlte Betrag vollständig erstattet.

420doc stellt selbst keine ärztlichen Leistungen in Rechnung und ist nicht Verkäufer von Arzneimitteln. Arzneimittel, Versand oder Abholung werden gesondert durch die jeweils ausgewählte Apotheke abgerechnet.

Für die Abwicklung von Zahlungen ärztlicher Leistungen auf dieser Plattform ist Karakoc Telemedizin GbR, Königsallee 22, 40212 Düsseldorf, zuständig.

Für die Abwicklung von Zahlungen auf 420doc (Behandlungsgebühr, Sprechstunden, Schengen-Bescheinigung) setzen wir die Micropayment GmbH als technischen Zahlungsdienstleister ein. Wenn Sie eine Zahlung starten, werden Sie zum Bezahlfenster von Micropayment weitergeleitet und geben Ihre Zahlungsdaten ausschließlich dort bzw. beim jeweiligen Zahlungsanbieter ein.

Anbieter

Micropayment GmbH

Anschrift

Scharnweberstraße 69, 12587 Berlin, Deutschland

Datenschutz

https://www.micropayment.de/about/privacy

Verarbeitete Daten: Betrag und Währung, eine neutrale Leistungsbezeichnung (z. B. „Behandlungsgebühr Folgerezept“ oder „Videosprechstunde“), eine interne Vorgangs- und Zahlungsnummer, Zahlungsstatus und Transaktionsnummern sowie die Daten, die Sie im Bezahlfenster selbst angeben (z. B. Name, E-Mail-Adresse, Bank- oder PayPal-Kontodaten). Gesundheitsdaten, Fragebogenangaben oder Angaben zu Arzneimitteln werden nicht an Micropayment übermittelt; auch der Buchungstext auf Ihrem Konto- oder PayPal-Auszug ist neutral gehalten.

Zur Durchführung der Zahlung gibt Micropayment die erforderlichen Daten an die beteiligten Zahlungsdienstleister und Banken weiter.

Bei der Online-Überweisung setzt die Micropayment GmbH einen lizenzierten Zahlungsauslösedienst nach PSD2 ein. Dabei werden die für die Zahlung erforderlichen Konto- und Zahlungsdaten verarbeitet.

Bei Zahlung mit PayPal (über Micropayment angebunden) verarbeitet PayPal Ihre Zahlungsdaten in eigener Verantwortung:

Anbieter

PayPal (Europe) S.à r.l. et Cie, S.C.A.

Anschrift

22-24 Boulevard Royal, L-2449 Luxemburg

Datenschutz

https://www.paypal.com/de/legalhub/privacy-full

Apothekenzahlung: Blüten und Lieferung bezahlen Sie direkt an die gewählte Apotheke. Bei der Partnerapotheke läuft diese Zahlung über ein eigenes Micropayment-Konto der Apotheke; 420doc übermittelt dafür nur Betrag, Vorgangsnummer und neutrale Bezeichnung. Bei anderen Apotheken erhalten Sie den Zahlungslink von der Apotheke bzw. deren Plattform.

Mögliche Zahlungsarten: PayPal und Online-Überweisung; weitere Zahlungsarten nur, sofern sie im Checkout angeboten werden. 420doc speichert keine vollständigen Kreditkarten- oder Bankdaten selbst, sondern nur Zahlungsstatus, Betrag, Zahlart und die Transaktionsnummern, die für Rechnung, Buchhaltung und eventuelle Erstattungen erforderlich sind.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags und der Zahlung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, betrugsfreien Zahlungsabwicklung). Zahlungs- und Buchungsbelege bewahren wir nach den gesetzlichen Aufbewahrungsfristen auf (§ 147 AO, § 257 HGB: bis zu 10 Jahre).

Anbieter

Hetzner Online GmbH

Anschrift

Industriestr. 25, 91710 Gunzenhausen, Deutschland

Datenverarbeitung

Deutschland

Auf derselben Infrastruktur betreiben wir eine eigene PostgreSQL-Datenbank, in der die für den Plattformbetrieb erforderlichen Daten gespeichert werden. Die Übertragung zwischen Ihrem Browser und unseren Servern erfolgt ausschließlich über verschlüsselte SSL-/TLS-Verbindungen (https://).

In Server-Logfiles werden automatisch verarbeitet: IP-Adresse, Datum und Uhrzeit des Zugriffs, Browsertyp, Betriebssystem, Referrer, aufgerufene Seiten, technische Sicherheitsdaten (max. 14 Tage).

Zum Schutz der Plattform und Ihrer Daten (Art. 32 DSGVO) protokollieren wir außerdem sicherheitsrelevante Ereignisse, z. B. wiederholte Fehlanmeldungen, abgewehrte Zugriffsversuche, ungültige Rückmeldungen von Zahlungs- und Apothekendiensten sowie Missbrauchsversuche. Gespeichert werden Art und Zeitpunkt des Ereignisses, technische Merkmale, gegebenenfalls die interne Kennung des betroffenen Kontos, eine gekürzte IP-Adresse (die letzten Stellen werden entfernt), das Land, aus dem die Anfrage kam (laut unserem Netzwerkdienstleister Cloudflare), und eine grobe Geräteklasse (z. B. „Chrome auf Windows“ oder „Skript“, ohne vollständige Browserkennung). Gesundheitsdaten, Namen, E-Mail-Adressen, Telefonnummern, Passwörter und Codes werden dabei nicht gespeichert. Die Einträge werden nach 90 Tagen gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. AVV nach Art. 28 DSGVO besteht.

Anbieter

Cloudflare, Inc.

Anschrift

101 Townsend Street, San Francisco, CA 94107, USA

EU-Vertretung

Cloudflare Germany GmbH, Rosental 7, c/o Mindspace, 80331 München

Beim Seitenaufruf werden Anfragen über das globale Cloudflare-Netzwerk geleitet. Verarbeitet werden: IP-Adresse, technische Browser- und Geräteinformationen, Zugriffszeitpunkt, aufgerufene URL.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem, stabilem Betrieb). AVV nach Art. 28 DSGVO besteht. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Weitere Informationen: https://www.cloudflare.com/de-de/privacypolicy/

Anbieter

Functional Software, Inc. (Sentry)

Datenverarbeitung

EU-Region

Zur Erkennung und Behebung technischer Fehler setzen wir Sentry ein. Im Fehlerfall werden verarbeitet: Fehlermeldung, Zeitpunkt, Browser- und Geräteinformationen, gekürzte IP-Adresse sowie die betroffene Seite.

Gesundheitsdaten und Formularinhalte werden nicht übertragen; vor der Übertragung greift ein PII-Filter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. AVV nach Art. 28 DSGVO besteht.

Für die Karte bei der Apothekenwahl und die Kurier-Ansicht laden wir Kartenkacheln von OpenFreeMap (openfreemap.org) mit Kartendaten von OpenStreetMap. Beim Laden der Kacheln wird Ihre IP-Adresse an den Kartendienst übermittelt; es werden keine Cookies gesetzt.

Orts- und Adressvorschläge (z. B. beim Eingeben von Stadt, PLZ oder Lieferadresse) erhalten wir über den Dienst Photon auf Basis von OpenStreetMap (komoot GmbH, Potsdam, bzw. ein eigener Photon-Server). Die Anfrage läuft über unseren Server, sodass Ihre IP-Adresse dabei nicht an den Dienst übermittelt wird; übermittelt wird nur der eingegebene Suchtext.

Entfernungen zu den Apotheken berechnen wir auf unserem Server aus Postleitzahl-Mittelpunkten (Datensatz von GeoNames, geonames.org, Lizenz CC BY 4.0) und den Standorten der Apotheken (ermittelt aus deren Adressen mit Daten von OpenStreetMap, © OpenStreetMap-Mitwirkende, ODbL). Dabei werden keine Daten von Ihnen an Dritte übermittelt.

„Standort verwenden“: Nur wenn Sie darauf tippen und es in Ihrem Browser erlauben, ermitteln wir Ihren ungefähren Standort, um Apotheken in Ihrer Nähe zu sortieren. Die Koordinaten werden nicht gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Auswahl von Apotheke und Lieferadresse) bzw. lit. a (Standort). Sollte im Ausnahmefall ersatzweise Google Maps Platform (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) genutzt werden, gelten das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln.

Für die Verwaltung von Einwilligungen setzen wir ein eigenes, selbst entwickeltes First-Party-Consent-Management-System ein.

Statistik- und Marketingdienste werden erst nach aktiver Einwilligung technisch geladen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Ihre Entscheidung wird auf unseren Servern protokolliert – mit einer zufälligen Kennung (Cookie „420doc_cid“), den gewählten Kategorien, Version und Textstand des Banners, der Sprache und dem Zeitpunkt, ohne IP-Adresse; sind Sie angemeldet, wird der Eintrag Ihrem Konto zugeordnet. Das Protokoll dient dem Nachweis Ihrer Einwilligung (Art. 7 Abs. 1 DSGVO) und wird nach drei Jahren gelöscht. Ihre Kennung und den Zeitpunkt Ihrer Entscheidung sehen Sie jederzeit in den Cookie-Einstellungen unter „Dein Nachweis“. In den Cookie-Einstellungen („Mehr Informationen“) sind zu jedem Dienst Anbieter, Zweck, Cookies und Speicherdauer, Ort der Verarbeitung und Rechtsgrundlage aufgeführt. Eine Entscheidung gilt höchstens zwölf Monate; danach sowie bei wesentlichen Änderungen der eingesetzten Dienste fragen wir erneut. Ein Widerruf ist jederzeit über die Cookie-Einstellungen im Footer möglich, ebenso einfach wie die Erteilung. Google Consent Mode v2 ist aktiv.

420doc_consent

Ihre Cookie-Entscheidung · essenziell · 1 Jahr

420doc_cid

Zufällige Kennung für das Einwilligungs-Protokoll · essenziell · 1 Jahr

420doc_tc

Kurzform der Entscheidung für unseren Server (Ja/Nein je Kategorie bzw. je Werbedienst) · essenziell · 1 Jahr

authjs.*

Anmeldung und Sitzung · essenziell · bis Abmeldung bzw. 30 Tage

NEXT_LOCALE

Gewählte Sprache · essenziell · 1 Jahr

420doc_ref

Einladungslink eines Freundes · essenziell (von Ihnen aufgerufene Funktion) · 90 Tage

420doc_attr

Kampagnen-Zuordnung · Statistik/Marketing · 90 Tage

_ga, _ga_*

Google Analytics 4 · Statistik · 14 Monate

_gcl_au

Google Ads · Marketing · 90 Tage

_fbp, _fbc

Meta Pixel · Marketing · 90 Tage

_ttp

TikTok Pixel · Marketing · 13 Monate

_rdt_uuid

Reddit Pixel · Marketing · 90 Tage

Analyse- und Marketingdienste werden ausschließlich nach vorheriger Einwilligung eingesetzt.

Google Analytics 4 – Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Nur nach Einwilligung in „Statistik“. Google-Signale und Werbepersonalisierung sind deaktiviert, Google Consent Mode v2 ist aktiv. An Google Analytics gehen nur Seitenaufrufe öffentlicher Seiten (ohne Such- oder sonstige URL-Parameter außer Kampagnen-Kennungen wie utm_source) und neutrale Klick-Ereignisse. Seiten des Anfrage-Ablaufs (Fragebogen, Prüfen, Zahlung) und des Nutzerkontos werden nicht an Google Analytics übermittelt. Speicherdauer der Analysedaten: 14 Monate.

Google Tag Manager – Google Ireland Limited. Ein Werkzeug, mit dem wir die oben und unten genannten Google-Dienste einbinden. Der Tag Manager selbst wertet keine Daten aus; er wird erst nach Einwilligung in „Statistik“ oder „Marketing“ geladen, dabei wird Ihre IP-Adresse an Google übermittelt.

Google Ads Conversion Tracking – Google Ireland Limited. Nur nach Einwilligung in „Marketing“. Erweiterte Conversions (Übermittlung gehashter E-Mail-Adressen) und personalisierte Werbung (Remarketing) sind abgeschaltet.

Meta Pixel / Meta Ads – Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Nur nach Einwilligung in „Marketing“.

TikTok Pixel / TikTok Ads – TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland. Nur nach Einwilligung in „Marketing“. Keine Übermittlung sensibler Gesundheitsdaten.

Reddit Pixel / Reddit Ads – Reddit, Inc., San Francisco, USA. Nur nach Einwilligung in „Marketing“. Übermittlung in die USA auf Grundlage von EU-Standardvertragsklauseln.

Übermittlung in Drittländer: Bei Google (Tag Manager, Analytics, Ads) und Meta ist eine Übermittlung in die USA möglich; beide Unternehmen sind nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO). TikTok kann Daten in Drittländer übermitteln, unter anderem in die USA und nach China; Grundlage sind EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Für Reddit gelten EU-Standardvertragsklauseln (siehe oben). Darauf weisen wir bereits im Cookie-Banner hin; Ihre Einwilligung umfasst diese Übermittlung.

Serverseitige Conversions: Haben Sie in „Marketing“ (bzw. für Google Analytics in „Statistik“) eingewilligt, melden wir die Conversion „Anfrage abgeschickt“ zusätzlich direkt von unserem Server an Meta (Conversions API), TikTok (Events API), Reddit (Conversions API) und Google Analytics 4 (Measurement Protocol). Übermittelt werden ausschließlich: Ereignisname, Zeitpunkt, ein für alle Anfragen gleicher Pauschalwert, eine gehashte Ereignisnummer, die Klick- bzw. Browser-Kennung der jeweiligen Plattform (z. B. fbclid/_fbp, ttclid/_ttp, rdt_cid, GA-Client-ID), der Browser-Typ und eine pseudonyme, gehashte Kundennummer. Nicht übermittelt werden: Name, E-Mail-Adresse, Telefonnummer, IP-Adresse, Fragebogen-Antworten, Diagnosen, Sorten oder Mengen. So vermeiden wir doppelte Messungen und Lücken durch Werbeblocker, ohne zusätzliche Daten preiszugeben. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; Widerruf jederzeit über die Cookie-Einstellungen mit Wirkung für künftige Anfragen.

Erfasste Ereignisse: ausschließlich neutrale technische Events ohne Gesundheitsdaten (Seitenaufruf, Klick auf Schaltflächen wie „Rezept anfragen“, Öffnen der Blüten-Auswahl, Hinzufügen zum Warenkorb ohne Angabe von Sorte oder Menge, Postleitzahl-Prüfung ohne Postleitzahl, Newsletter-Anmeldung, Formularstart, Scrolltiefe, FAQ-Öffnung, Blogartikel-Aufruf). An Meta, TikTok und Reddit gehen nur Standard-Ereignisse ohne Parameter (z. B. „Lead“ beim Klick auf „Rezept anfragen“); die automatische Erfassung von Schaltflächen und Seiteninhalten durch das Meta Pixel ist abgeschaltet.

Kampagnen-Zuordnung: Kommen Sie über einen Werbe- oder Partnerlink (z. B. mit utm-Parametern oder einem Empfehlungskürzel ?ref=) oder von einer Suchmaschine bzw. einem sozialen Netzwerk, speichern wir nach Ihrer Einwilligung in „Statistik“ oder „Marketing“ die Herkunft (Quelle, Kampagne, Anzeige, Einstiegsseite; Klick-Kennungen von Google, Meta, TikTok und Reddit nur mit Einwilligung in „Marketing“) in dem eigenen Cookie „420doc_attr“ (Speicherdauer 90 Tage). Stellen Sie eine Rezeptanfrage, wird diese Herkunft zusammen mit der Anfrage auf unseren Servern gespeichert, damit wir den Erfolg unserer Werbung messen können. Diese Daten geben wir – außer den oben beschriebenen serverseitigen Conversions – nicht an Werbeplattformen oder sonstige Dritte weiter. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG; Widerruf jederzeit über die Cookie-Einstellungen.

Anonyme Schrittzählung: Um zu erkennen, an welcher Stelle des Anfrage-Ablaufs Besucher abbrechen, zählt unser eigener Server, wie oft ein Schritt erreicht wurde (z. B. „Fragebogen begonnen“, „Zahlungsseite“), zusammen mit Tag, Sprache und – soweit in der Einstiegs-URL vorhanden – Quelle, Kampagne und Anzeige. Dabei werden keine Cookies gesetzt und keine Informationen auf Ihrem Gerät gespeichert; es werden weder IP-Adresse noch Kennungen, Antworten, Gesundheits- oder Produktdaten gespeichert, sodass kein Personenbezug besteht. Eine Weitergabe an Dritte erfolgt nicht. Rechtsgrundlage, soweit überhaupt personenbezogene Daten berührt sind: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unseres Angebots).

Bei der Registrierung und Anmeldung per E-Mail-Code, beim Zurücksetzen des Passworts, bei der Newsletter-Anmeldung, beim Online-Widerruf ohne Anmeldung und bei der Prüfung eines Patientenausweises schützen wir unsere Formulare mit einer selbst betriebenen Sicherheitsprüfung (Open-Source-Software ALTCHA, betrieben auf unseren Servern). Ihr Browser löst dabei im Hintergrund eine kleine Rechenaufgabe; das Ergebnis wird mit dem Formular an unseren Server geschickt. Es werden keine Cookies gesetzt, keine Daten an Dritte übermittelt und keine Bewegungs- oder Eingabedaten ausgewertet; Ihre IP-Adresse nutzen wir dabei nur flüchtig (gehasht, im Arbeitsspeicher), um zu viele Anfragen zu bremsen, und speichern sie nicht. Gespeichert wird nur ein kurzlebiger technischer Prüfwert (ein Hashwert der gelösten Aufgabe ohne Bezug zu Ihrer Person), damit jede Lösung nur einmal verwendet werden kann; er ist höchstens 10 Minuten gültig und wird danach innerhalb einer Stunde automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz unserer Formulare vor Missbrauch, z. B. massenhaften Registrierungen oder E-Mail-Versand an fremde Adressen).

Versand über Brevo (Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin), ausschließlich nach Double-Opt-in-Einwilligung. Verarbeitet werden: E-Mail-Adresse, Vorname, Sprache, Zeitpunkt der Anmeldung und Bestätigung, IP-Adresse, Einwilligungsstatus sowie Öffnungs- und Klickstatistiken. Mit Brevo besteht ein Vertrag zur Auftragsverarbeitung; die Daten werden in der EU verarbeitet. Abmeldung jederzeit über den Abmeldelink oder im Profil.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

Transaktionale E-Mails (Registrierung, Zahlungsbestätigung, Rechnungsbereitstellung, Support) sind keine Newsletter und werden unabhängig von einer Newsletter-Einwilligung versendet, soweit sie für die Vertragserfüllung erforderlich sind.

Status-Informationen zu Ihrer Anfrage (z. B. Freigabe, offene Zahlung, Lieferung unterwegs, Termin-Erinnerung) senden wir immer per E-Mail. Zusätzlich können Sie im Profil unter „Benachrichtigungen“ SMS, WhatsApp und Push wählen und jederzeit wieder abschalten. Bevor wir SMS oder WhatsApp an Sie senden, bestätigen Sie Ihre Handynummer einmal per SMS-Code.

Rechtsgrundlage für Status-Nachrichten: Art. 6 Abs. 1 lit. b DSGVO; für Angebote per SMS oder WhatsApp: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die wir mit Wortlaut und Zeitpunkt protokollieren und die Sie jederzeit im Profil widerrufen können. Bestätigungscodes werden nach 10 Minuten ungültig.

Support per E-Mail: support420doc.de. Nicht für medizinische Notfälle geeignet.

Support per WhatsApp: Wenn Sie uns über WhatsApp schreiben, verarbeiten wir Ihre Telefonnummer, den Inhalt Ihrer Nachricht und Zeitangaben, um Ihre Anfrage zu beantworten. Der Dienst WhatsApp Business wird von Meta (WhatsApp Ireland Ltd.) bereitgestellt; Meta verarbeitet dabei als unser Auftragsverarbeiter und für bestimmte Verbindungsdaten nach eigener Datenschutzrichtlinie. Unsere Support-Software läuft auf eigenen Servern bei Hetzner in Deutschland.

Einfache Fragen beantworten wir teilweise automatisiert mit Unterstützung eines KI-Sprachmodells (je nach Einstellung z. B. von Mistral AI, Amazon, Anthropic oder Moonshot AI), das wir über Amazon Bedrock der Amazon Web Services EMEA SARL, Luxemburg, als unseren Auftragsverarbeiter nutzen; die Verarbeitung erfolgt ausschließlich in Rechenzentren der EU, und der Anbieter des Sprachmodells erhält keinen Zugriff auf Ihre Nachrichten. Dorthin übermitteln wir nur den Text Ihrer Nachricht, aus dem erkennbare Kontaktdaten und Nummern zuvor entfernt werden, und – nur wenn Sie sich als Kontoinhaber bestätigt haben (Nachricht von der in Ihrem Konto bestätigten Handynummer oder Bestätigungscode, den wir an die E-Mail-Adresse Ihres Kontos senden) und dies im Profil unter „Benachrichtigungen“ erlaubt haben – eine allgemeine Angabe zum Bearbeitungsstand ohne Medikamente, Mengen oder Diagnosen. Ihre E-Mail-Adresse und den Code prüft nur unser Server; an das Sprachmodell gehen sie nicht. Dass Sie mit einem digitalen Assistenten (KI) schreiben, teilen wir Ihnen vor dem Öffnen des Chats auf unserer Website und zu Beginn jedes Chats mit einer automatischen Nachricht mit (Art. 50 Abs. 1 KI-Verordnung); unser Team kann jederzeit übernehmen. Aus unseren Systemen übermitteln wir dem Dienst weder Ihre Telefonnummer noch Ihren Namen oder Ihre Adresse; Ihren Namen und erkennbare Kontaktdaten entfernen wir aus Ihrem Text. Was Sie darüber hinaus selbst schreiben, wird als Text mitverarbeitet. Medizinische Fragen beantwortet die KI nicht; diese klärt Ihr Arzt. Bei Problemen oder Unklarheiten übernimmt unser Team. Bitte schreiben Sie uns im Chat keine Gesundheitsangaben (z. B. Beschwerden, Diagnosen, Medikamente), schicken Sie keine Fotos von Ausweis oder Befunden und keine Bank- oder Kartendaten; Dokumente laden Sie sicher in Ihrem Konto hoch.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Beantwortung Ihrer Anfrage im Rahmen der Vertragsanbahnung bzw. -durchführung), im Übrigen lit. f (effiziente Bearbeitung von Support-Anfragen). Chat-Verläufe löschen wir spätestens nach sechs Monaten, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Sie können der Verarbeitung jederzeit widersprechen und stattdessen den Support per E-Mail nutzen.

In der 420doc-App verarbeiten wir dieselben Daten wie auf der Website sowie technische Angaben (App-Version, Betriebssystem, Geräte-Token für Push). Den digitalen Patientenausweis können Sie in Apple Wallet oder Google Wallet speichern. Bei Apple Wallet wird die Ausweisdatei direkt auf Ihr Gerät geladen; bei Google Wallet werden Name, Ausweisnummer, Gültigkeit und der Prüf-Link an Google (Google Ireland Limited) übermittelt, damit der Pass angezeigt werden kann. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Jeder Patient erhält einen persönlichen Einladungslink. Rufen Sie einen solchen Link auf, speichern wir den Code 90 Tage im Cookie „420doc_ref“. Nur wenn Sie bei der Registrierung oder später im Patientenbereich ausdrücklich „Einladung annehmen“ wählen, verknüpfen wir Ihr Konto mit der einladenden Person. Diese erhält dann eine Prämie (100 % auf die ärztliche Gebühr ihrer nächsten Anfrage), sobald Sie Ihr erstes Rezept erhalten – und erfährt dadurch, dass Sie bei 420doc in Behandlung sind. Weitere Angaben (Name, Gesundheitsdaten, Bestellungen) erhält sie nicht.

Rechtsgrundlage: Ihre ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO), die wir protokollieren; für die Prämie der einladenden Person Art. 6 Abs. 1 lit. b DSGVO. Zum Schutz vor Missbrauch prüfen wir, ob die eingeladene Person schon früher ein Konto hatte (Abschnitt 5).

Nutzen Sie die Funktion „Vertrag widerrufen“, verarbeiten wir Name, E-Mail-Adresse, den gewählten Vertrag, Ihre Nachricht und den Zeitpunkt, bestätigen Ihnen den Eingang per E-Mail und bearbeiten den Widerruf (Art. 6 Abs. 1 lit. c DSGVO, § 356a BGB). Löschen Sie Ihr Konto selbst im Profil, sperren wir den Zugang sofort und löschen Zugangsdaten, Newsletter, Benachrichtigungen und gespeicherte Adressen; Rezepte und Rechnungen sind danach im Konto nicht mehr abrufbar. Die Behandlungsdokumentation bewahren wir gesperrt und unter ärztlicher Schweigepflicht bis zum Ablauf der gesetzlichen Frist auf (Abschnitt 29). Registrieren Sie sich später erneut, ordnen wir die neue Anmeldung zur medizinischen Sicherheit der bestehenden Dokumentation zu (Abschnitt 5).

420doc unterhält Onlinepräsenzen auf Instagram, TikTok, LinkedIn, Facebook und YouTube sowie schaltet auf diesen Plattformen Werbeanzeigen. Beim Besuch dieser Profile werden Daten durch den jeweiligen Anbieter verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Markenaufbau und Reichweite).

Instagram & Facebook – Meta Platforms Ireland Limited, 4 Grand Canal Square, Dublin 2, Irland. Datenschutz: https://privacycenter.instagram.com/policy · Werbeeinstellungen: https://accountscenter.instagram.com/ads

TikTok – TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland. Datenschutz: https://www.tiktok.com/legal/page/eea/privacy-policy/de

LinkedIn – LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland. Datenschutz: https://www.linkedin.com/legal/privacy-policy · Werbeeinstellungen: https://www.linkedin.com/psettings/advertising

YouTube – Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Datenschutz: https://www.google.com/intl/de/policies/privacy/ · Werbeeinstellungen: https://myaccount.google.com/data-and-privacy. YouTube ist nach dem EU-US Data Privacy Framework zertifiziert.

Bei Nutzung von Google (inkl. YouTube), Meta (inkl. WhatsApp), TikTok, Cloudflare, Yousign, Sentry, Cal.com oder weiterer Anbieter kann eine Übermittlung in Länder außerhalb der EU/des EWR erfolgen. Dies geschieht nur auf Basis eines Angemessenheitsbeschlusses, EU-US Data Privacy Framework-Zertifizierung oder EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Bei der Kontaktaufnahme mit uns per E-Mail oder über das Support-System werden die uns mitgeteilten Daten (E-Mail-Adresse, Name, Inhalt der Anfrage) gespeichert, um Ihre Anfrage zu beantworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Die Daten werden gelöscht, sobald die Bearbeitung abgeschlossen ist.

Wir treffen keine rein automatisierten Entscheidungen im Sinne von Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. Auch die automatisierte Beantwortung allgemeiner Support-Fragen (Ziffer 24) ist keine solche Entscheidung. Alle medizinischen Entscheidungen, Diagnosen und Therapieempfehlungen werden ausschließlich durch approbierte Ärzte nach eigenem fachlichem Urteil getroffen.

Behandlungsdaten / Patientenakte

10 Jahre nach Abschluss der Behandlung (§ 630f Abs. 3 BGB)

Rechnungen / Buchhaltung

10 Jahre (§ 147 AO, § 257 HGB)

Accountdaten

solange Nutzerkonto besteht (Vertrag)

Anmelde- und Bestätigungsnachweise (Zeitpunkt, IP-Adresse, Browserkennung)

wie die Behandlungsdokumentation: 10 Jahre nach Abschluss der Behandlung

Server-Logfiles

max. 14 Tage (berechtigtes Interesse)

Sicherheitsprotokoll (gekürzte IP-Adresse, ohne Gesundheitsdaten)

90 Tage (berechtigtes Interesse, IT-Sicherheit)

Newsletter-Daten

bis Abmeldung / Widerruf (Einwilligung)

Cookie-Einwilligungen (Protokoll ohne IP)

3 Jahre (Nachweis der Einwilligung)

Einwilligungen (Registrierung, Fragebogen, Werbung)

für die Dauer der Nutzung und danach bis zu 3 Jahre (Nachweis)

Widerrufe

3 Jahre nach Bearbeitung (Nachweis)

SMS-Bestätigungscodes

nur als Prüfwert, 10 Minuten gültig, nach 30 Tagen gelöscht

Serverseitige Conversions (Versandprotokoll)

90 Tage

Termin-/Buchungsdaten (Cal.eu)

solange zur Terminabwicklung und Nachweisführung erforderlich

Supportdaten

solange zur Nachweisführung erforderlich (berechtigtes Interesse)

Tracking-/Marketingdaten

abhängig vom Anbieter, im Rahmen der Einwilligung

Ausweisfoto und Prüfergebnis

als Teil der Behandlungsdokumentation 10 Jahre

Signaturdaten (Yousign)

gemäß eIDAS-Vorgaben (rechtliche Verpflichtung)

Zuständige Aufsicht

Office of the Commissioner for Personal Data Protection Cyprus – https://www.dataprotection.gov.cy