Datenschutz

420doc nimmt den Schutz personenbezogener Daten ernst. Die Verarbeitung erfolgt nach der Datenschutz-Grundverordnung (DSGVO), dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und sonstigen anwendbaren Datenschutzvorschriften.

Soweit auf dieser Website Informationen in der Endeinrichtung von Besuchern gespeichert oder abgerufen werden (z. B. Cookies), erfolgt dies auf Grundlage von § 25 TDDDG – entweder aufgrund Ihrer Einwilligung (§ 25 Abs. 1 TDDDG) oder soweit es zur Bereitstellung eines ausdrücklich gewünschten Dienstes unbedingt erforderlich ist (§ 25 Abs. 2 TDDDG).

Im Rahmen der Registrierung verarbeiten wir folgende Daten:

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) sowie ergänzend Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).

Pflichtangaben sind als solche im Formular gekennzeichnet. Ohne diese Angaben kann die Nutzung der Plattform und die Erbringung ärztlicher Leistungen nicht erfolgen.

420doc fragt keine elektronische Gesundheitskarte oder Krankenkassenkarte ab. Eine Abrechnung über gesetzliche Krankenkassen erfolgt nicht. Soweit Nutzer freiwillig Versicherungsinformationen mitteilen, werden diese nur verarbeitet, soweit dies zur Bearbeitung der jeweiligen Anfrage erforderlich ist.

Für die Registrierung und Anmeldung bieten wir die Option „Mit Google anmelden“ an. Hierbei verarbeitet Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, Ihre E-Mail-Adresse sowie Ihren im Google-Konto hinterlegten Namen zur Identifizierung und Authentifizierung. Eine Passwortübermittlung an uns erfolgt nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Nutzung des Sign-In-Buttons).

Datenschutzerklärung Google: https://policies.google.com/privacy

Im Gesundheitsfragebogen können folgende Angaben verarbeitet werden:

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung), soweit erforderlich Art. 6 Abs. 1 lit. b DSGVO.

Nutzer können im Rahmen ihrer Anfrage einen Behandlungs- oder Produktwunsch angeben. Diese Angabe dient dem behandelnden Arzt als unterstützende Information. Die finale Entscheidung über Diagnose, Therapie, Dosierung und eine mögliche Rezeptausstellung trifft ausschließlich der behandelnde Arzt nach eigener fachlicher Prüfung.

Die medizinische Prüfung erfolgt durch unabhängige, in Deutschland zugelassene Kooperationsärzte. Diese handeln eigenverantwortlich als datenschutzrechtlich eigene Verantwortliche und unterliegen der ärztlichen Schweigepflicht nach § 203 StGB.

Die Übermittlung der für die Behandlung erforderlichen Daten an die Kooperationsärzte erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit Art. 9 Abs. 2 lit. h DSGVO zum Zwecke der medizinischen Versorgung durch Berufsgeheimnisträger.

Für die Vereinbarung von Terminen setzen wir Cal ein. Anbieter ist Cal.com, Inc. mit Sitz in den USA; die Datenhaltung erfolgt über die EU-Variante cal.eu.

Anbieter

Cal.com, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA

Hosting

cal.eu-Variante mit Datenhaltung in der EU (Region Frankfurt); vertragliche EU/EWR-Datenresidenz gemäß DPA Ziffer 11.3.

Verarbeitet werden: Name, E-Mail-Adresse, ggf. Telefonnummer, gewählter Termin, Zeitzone, IP-Adresse und Buchungsstatus (erstellt, verlegt, abgesagt).

Etwaige Whereby-Zugangslinks für Videosprechstunden werden ausschließlich über Cal.eu erzeugt und versendet.

Ein etwaiger Drittland-Zugriff im Rahmen von Support und Wartung ist über EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) sowie ergänzende Maßnahmen abgesichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; soweit ein Gesundheitsbezug besteht, Art. 9 Abs. 2 lit. h DSGVO. Mit Cal.com, Inc. besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (inkl. Standardvertragsklauseln).

Eine Videosprechstunde ist optional möglich. Es erfolgt keine Aufzeichnung.

Die Terminvereinbarung erfolgt über Cal.eu (siehe Abschnitt Terminbuchung). Der Zugangslink wird über Cal.eu bereitgestellt.

Technischer Anbieter

Whereby AS

Anschrift

Gate 1 no. 107, 6700 Måløy, Norwegen

Datenverarbeitung

EU / Irland (EWR). Unterauftragsverarbeiter: Amazon Web Services EMEA SARL (Luxemburg/Irland) zur Speicherung von Account-Informationen.

Mit Whereby AS besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. 1:1-Videosprechstunden werden Ende-zu-Ende verschlüsselt (DTLS-SRTP); Audio- und Videoinhalte werden nicht gespeichert.

Rechtsgrundlage: Art. 9 Abs. 2 lit. h DSGVO.

Yousign wird für die Identitätsprüfung, Ausweisprüfung und elektronische Signatur (QES) eingesetzt.

Anbieter

Yousign SAS

Anschrift

Rue de Suède, Avenue Pierre Berthelot, 14000 Caen, Frankreich

Datenverarbeitung

Frankreich / EU

Verarbeitet werden: Identitätsdaten, Kontaktdaten, Ausweisdaten, hochgeladene Dokumente, IP-Adresse, Zeitstempel, Signatur- und Prüfprotokolle.

AVV: https://yousign.com/data-processing

Nutzer können optional Befunde, Diagnosen, Rezepte oder andere medizinische Dokumente hochladen. Diese werden ausschließlich dem behandelnden Arzt zur Prüfung bereitgestellt.

Nutzer können eine Apotheke frei wählen. Erforderliche Daten können an die ausgewählte Apotheke übermittelt werden. Die Apotheke verarbeitet diese Daten eigenverantwortlich zur Rezeptprüfung, Beratung, Arzneimittelabgabe, Abrechnung sowie ggf. zum Versand oder zur Abholung.

Nach Abschluss einer ärztlichen Konsultation kann der behandelnde Arzt ein Rezept ausstellen. Dieses Rezept wird in verschlüsselter Form an die vom Nutzer ausgewählte Apotheke übermittelt. Die Übermittlung dient ausschließlich der Einlösung des Rezepts und der Arzneimittelabgabe durch die Apotheke.

Die Apotheke ist datenschutzrechtlich eigenverantwortliche Verantwortliche im Sinne der DSGVO für die weitere Verarbeitung im Rahmen der Rezepteinlösung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 9 Abs. 2 lit. h DSGVO.

Die Abrechnung der ärztlichen Leistung erfolgt durch den jeweils behandelnden Arzt unmittelbar gegenüber dem Patienten nach Maßgabe der Gebührenordnung für Ärzte (GOÄ), gegebenenfalls auf Grundlage einer vor der Behandlung getroffenen Honorarvereinbarung gemäß § 2 GOÄ. Die Rechnung wird vom behandelnden Arzt ausgestellt und kann dem Nutzer im 420doc-Dashboard zum Abruf bereitgestellt werden.

Die ärztliche Leistung wird im Voraus bezahlt. Sollte nach ärztlicher Prüfung keine Behandlung zustande kommen, wird der gezahlte Betrag vollständig erstattet.

420doc stellt selbst keine ärztlichen Leistungen in Rechnung und ist nicht Verkäufer von Arzneimitteln. Arzneimittel, Versand oder Abholung werden gesondert durch die jeweils ausgewählte Apotheke abgerechnet.

Für die Abwicklung von Zahlungen ärztlicher Leistungen auf dieser Plattform ist Karakoc Telemedizin GbR, Königsallee 22, 40212 Düsseldorf, zuständig.

Anbieter

Stripe Payments Europe, Ltd.

Anschrift

1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland

Datenschutz

https://stripe.com/de/privacy

Anbieter

PayPal (Europe) S.à r.l. et Cie, S.C.A.

Anschrift

22-24 Boulevard Royal, L-2449 Luxemburg

Datenschutz

https://www.paypal.com/de/legalhub/privacy-full

Mögliche Zahlungsarten: Visa, Mastercard, American Express, Apple Pay, Google Pay, Klarna, PayPal, SEPA/Sofort, Revolut Pay (sofern verfügbar). 420doc speichert keine vollständigen Kreditkarten- oder Bankdaten selbst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Anbieter

Hetzner Online GmbH

Anschrift

Industriestr. 25, 91710 Gunzenhausen, Deutschland

Datenverarbeitung

Deutschland

Auf derselben Infrastruktur betreiben wir eine eigene PostgreSQL-Datenbank, in der die für den Plattformbetrieb erforderlichen Daten gespeichert werden. Die Übertragung zwischen Ihrem Browser und unseren Servern erfolgt ausschließlich über verschlüsselte SSL-/TLS-Verbindungen (https://).

In Server-Logfiles werden automatisch verarbeitet: IP-Adresse, Datum und Uhrzeit des Zugriffs, Browsertyp, Betriebssystem, Referrer, aufgerufene Seiten, technische Sicherheitsdaten (max. 14 Tage).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. AVV nach Art. 28 DSGVO besteht.

Anbieter

Cloudflare, Inc.

Anschrift

101 Townsend Street, San Francisco, CA 94107, USA

EU-Vertretung

Cloudflare Germany GmbH, Rosental 7, c/o Mindspace, 80331 München

Beim Seitenaufruf werden Anfragen über das globale Cloudflare-Netzwerk geleitet. Verarbeitet werden: IP-Adresse, technische Browser- und Geräteinformationen, Zugriffszeitpunkt, aufgerufene URL.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem, stabilem Betrieb). AVV nach Art. 28 DSGVO besteht. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Weitere Informationen: https://www.cloudflare.com/de-de/privacypolicy/

Anbieter

Functional Software, Inc. (Sentry)

Datenverarbeitung

EU-Region

Zur Erkennung und Behebung technischer Fehler setzen wir Sentry ein. Im Fehlerfall werden verarbeitet: Fehlermeldung, Zeitpunkt, Browser- und Geräteinformationen, gekürzte IP-Adresse sowie die betroffene Seite.

Gesundheitsdaten und Formularinhalte werden nicht übertragen; vor der Übertragung greift ein PII-Filter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. AVV nach Art. 28 DSGVO besteht.

Anbieter

Google Ireland Limited

Anschrift

Gordon House, Barrow Street, Dublin 4, Irland

Zur Darstellung von Karten und zur Adresssuche nutzen wir die Google Maps / Places API. Beim Laden werden Ihre IP-Adresse und technische Geräteinformationen verarbeitet; bei einer Suche zusätzlich die eingegebene Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Bei einem Drittlandtransfer gelten das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln.

Für die Verwaltung von Einwilligungen setzen wir ein eigenes, selbst entwickeltes First-Party-Consent-Management-System ein. Ein externer Consent-Management-Anbieter (CMP) kommt nicht zum Einsatz.

Statistik- und Marketingdienste werden erst nach aktiver Einwilligung technisch geladen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Die Einwilligung wird protokolliert; ein Widerruf ist jederzeit über die Cookie-Einstellungen im Footer möglich. Google Consent Mode v2 ist aktiv.

Analyse- und Marketingdienste werden ausschließlich nach vorheriger Einwilligung eingesetzt.

Google Tag Manager – Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Verwaltungswerkzeug. Google Consent Mode v2 aktiv.

Google Analytics 4 – Google Ireland Limited. Nur nach Einwilligung in „Statistik“. Keine Übermittlung sensibler Gesundheitsdaten.

Google Ads Conversion Tracking – Google Ireland Limited. Nur nach Einwilligung in „Marketing“.

Meta Pixel / Meta Ads – Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Nur nach Einwilligung in „Marketing“.

TikTok Pixel / TikTok Ads – TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland. Nur nach Einwilligung in „Marketing“. Keine Übermittlung sensibler Gesundheitsdaten.

Erfasste Ereignisse: ausschließlich neutrale technische Events ohne Gesundheitsdaten (Seitenaufruf, Klick auf Schaltflächen, Formularstart, Formularübermittlung, Scrolltiefe, FAQ-Öffnung, Blogartikel-Aufruf).

Versand über internes System, ausschließlich nach Double-Opt-in-Einwilligung. Verarbeitet werden: E-Mail-Adresse, Zeitpunkt der Anmeldung und Bestätigung, IP-Adresse, Einwilligungsstatus. Abmeldung jederzeit über Abmeldelink möglich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

Transaktionale E-Mails (Registrierung, Zahlungsbestätigung, Rechnungsbereitstellung, Support) sind keine Newsletter und werden unabhängig von einer Newsletter-Einwilligung versendet, soweit sie für die Vertragserfüllung erforderlich sind.

Support per E-Mail: [email protected]. Nicht für medizinische Notfälle geeignet.

420doc unterhält Onlinepräsenzen auf Instagram, TikTok, LinkedIn, Facebook und YouTube sowie schaltet auf diesen Plattformen Werbeanzeigen. Beim Besuch dieser Profile werden Daten durch den jeweiligen Anbieter verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Markenaufbau und Reichweite).

Instagram & Facebook – Meta Platforms Ireland Limited, 4 Grand Canal Square, Dublin 2, Irland. Datenschutz: https://privacycenter.instagram.com/policy · Werbeeinstellungen: https://accountscenter.instagram.com/ads

TikTok – TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland. Datenschutz: https://www.tiktok.com/legal/page/eea/privacy-policy/de

LinkedIn – LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland. Datenschutz: https://www.linkedin.com/legal/privacy-policy · Werbeeinstellungen: https://www.linkedin.com/psettings/advertising

YouTube – Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Datenschutz: https://www.google.com/intl/de/policies/privacy/ · Werbeeinstellungen: https://myaccount.google.com/data-and-privacy. YouTube ist nach dem EU-US Data Privacy Framework zertifiziert.

Bei Nutzung von Google (inkl. YouTube), Meta, TikTok, Stripe, Cloudflare, Yousign, Sentry, Cal.com oder weiterer Anbieter kann eine Übermittlung in Länder außerhalb der EU/des EWR erfolgen. Dies geschieht nur auf Basis eines Angemessenheitsbeschlusses, EU-US Data Privacy Framework-Zertifizierung oder EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Bei der Kontaktaufnahme mit uns per E-Mail oder über das Support-System werden die uns mitgeteilten Daten (E-Mail-Adresse, Name, Inhalt der Anfrage) gespeichert, um Ihre Anfrage zu beantworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Die Daten werden gelöscht, sobald die Bearbeitung abgeschlossen ist.

Wir treffen keine rein automatisierten Entscheidungen im Sinne von Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. Alle medizinischen Entscheidungen, Diagnosen und Therapieempfehlungen werden ausschließlich durch approbierte Ärzte nach eigenem fachlichem Urteil getroffen.

Behandlungsdaten / Patientenakte

10 Jahre nach Abschluss der Behandlung (§ 630f Abs. 3 BGB)

Rechnungen / Buchhaltung

10 Jahre (§ 147 AO, § 257 HGB)

Accountdaten

solange Nutzerkonto besteht (Vertrag)

Server-Logfiles

max. 14 Tage (berechtigtes Interesse)

Newsletter-Daten

bis Abmeldung / Widerruf (Einwilligung)

Consent-Daten (eigenes Consent-System)

ca. 12 Monate (Nachweispflicht)

Termin-/Buchungsdaten (Cal.eu)

solange zur Terminabwicklung und Nachweisführung erforderlich

Supportdaten

solange zur Nachweisführung erforderlich (berechtigtes Interesse)

Tracking-/Marketingdaten

abhängig vom Anbieter, im Rahmen der Einwilligung

Identitäts-/Signaturdaten (Yousign)

gemäß eIDAS-Vorgaben (rechtliche Verpflichtung)

Zuständige Aufsicht

Office of the Commissioner for Personal Data Protection Cyprus – https://www.dataprotection.gov.cy