Heute KrankDatenschutzhinweise
Verantwortlicher
Für die Verarbeitung der Gesundheitsdaten im Rahmen der Behandlung ist verantwortlich:
Mirco Giannini
Münsterlandstraße 33, 10317 Berlin
E-Mail: kontakt@heute-krank.de
Zwecke, Rechtsgrundlagen und Speicherdauer
| Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|
| Terminvereinbarung (inkl. Rückrufnummer für den Fall einer gestörten Tonverbindung) | Art. 6 Abs. 1 lit. b DSGVO | Bis zum Abschluss der Behandlung, danach im Rahmen der Behandlungsdokumentation |
| Telefonische Rückfragen vor der Buchung | Art. 6 Abs. 1 lit. b und lit. f DSGVO | Keine Aufzeichnung, keine Mailbox; Verbindungsdaten beim Telefonanbieter nach dessen Fristen |
| Anamnese und ärztliche Behandlung | Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 630f BGB | 10 Jahre nach Abschluss der Behandlung (§ 630f Abs. 3 BGB) |
| Videosprechstunde | Art. 9 Abs. 2 lit. h DSGVO | Keine Aufzeichnung von Bild oder Ton. Der Videodienst läuft auf einem eigenen Server in der Europäischen Union (Hetzner, Helsinki), es ist kein Anbieter zwischengeschaltet. Verbindungsprotokolle 7 Tage |
| Verschriftlichung des Gesprächs | Art. 9 Abs. 2 lit. a DSGVO (Einwilligung) | Der Ton des Gesprächs wird auf einem eigenen Server in der Europäischen Union in Text umgewandelt, damit der Arzt die Dokumentation nicht während des Gesprächs tippen muss. Es entsteht KEINE Audiodatei. Der Arzt fragt Sie vorher; ohne Ihre Zustimmung wird nicht verschriftlicht, das Gespräch findet trotzdem statt. Der Text wird nach dem Versand Ihrer Unterlagen gelöscht; was in die Patientenakte gehört, hat der Arzt zuvor geprüft und übernommen |
| Nachrichten auf das Mobiltelefon (WhatsApp) | Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Behandlungsvertrags) | Zur Terminorganisation erhalten Sie bis zu drei Nachrichten an die Mobilnummer, die Sie im Fragebogen angeben: die Bestätigung Ihres Termins nach dem Fragebogen, die Erinnerung kurz vorher und den Hinweis, dass Ihre Unterlagen per E-Mail unterwegs sind. Dieselben Informationen erhalten Sie unabhängig davon per E-Mail. Übertragen werden Ihre Mobilnummer, der Zeitpunkt des Termins und der Zugangslink - kein Name, keine Beschwerden, keine Diagnosen, keine Dokumente. Anbieter ist WhatsApp Ireland Limited (Meta), die Nachricht ist dort nicht Ende-zu-Ende-verschlüsselt und Meta erfährt, dass Sie mit uns in Kontakt stehen. Sie können dem Versand jederzeit formlos an kontakt@heute-krank.de widersprechen, mit Wirkung für die Zukunft; die Terminorganisation läuft dann ausschließlich per E-Mail |
| Abruf Ihrer Unterlagen unter /unterlagen | Art. 6 Abs. 1 lit. b, Art. 9 Abs. 2 lit. h DSGVO | Damit Sie Ihre Bescheinigung, den Arztbrief und die Rechnung später erneut abrufen können, bewahren wir genau die Dateien auf, die Sie nach dem Termin per E-Mail erhalten haben. Der Zugang läuft über einen Link an Ihre E-Mail-Adresse; wir legen dafür keinen Zugang mit Passwort an. Ihre Adresse selbst speichern wir dabei nicht im Klartext, sondern nur als nicht rückrechenbaren Prüfwert. Privatrezepte werden nicht aufbewahrt. Aufbewahrung 24 Monate ab Behandlung, danach Löschung; die ärztliche Dokumentation nach § 630f BGB läuft davon getrennt weiter |
| Abrechnung nach GOÄ | Art. 6 Abs. 1 lit. b und lit. c DSGVO | 10 Jahre (§ 147 AO) |
| Reichweitenmessung dieser Website | Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einer funktionierenden, bedarfsgerechten Website | Aggregierte Statistik ohne Cookies und ohne Wiedererkennung über Tage hinweg, auf eigenem Server in der Europäischen Union (Umami, Hetzner). Keine Weitergabe, Rohdaten 12 Monate |
| Nutzungsanalyse der Buchungsstrecke (Microsoft Clarity) | Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einer verständlichen, fehlerfreien Buchungsstrecke | Clarity zeichnet auf, wie die Seiten bedient werden: Klicks, Scrollen, Verweildauer und Bewegungen auf der Seite. Ohne Cookies; Eingaben in Formularfelder, Ihre gewählten Beschwerden und die Buchungsübersicht sind maskiert und werden nicht übertragen. Die Praxis-Seiten und der Fragebogen vor dem Gespräch sind ausgenommen. Anbieter ist Microsoft (siehe Empfänger). Aufzeichnungen 30 Tage. Widerspruch: Browser-Einstellung „Do Not Track" oder ein Skript-Blocker, die Buchung funktioniert davon unabhängig |
| Reichweiten- und Werbemessung (Google Analytics) | Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse daran zu erfahren, über welche Wege Besucher kommen und ob unsere Werbung wirkt | Google Analytics 4 erfasst, welche Seiten aufgerufen werden, über welche Quelle oder Anzeige der Besuch kam, Gerätetyp, Browser und den ungefähren Ort (Land, Region, Stadt; IP-Adressen speichert Google Analytics nicht). Dafür setzt das Skript zwei Cookies (_ga und _ga_ mit Kennung, 13 Monate), an denen es Ihren Browser bei einem späteren Besuch wiedererkennt. Die Seitenadresse geht nur mit Pfad und Kampagnenangaben an Google, ohne Ihre Angaben aus der Buchung. Nach einer bezahlten Buchung meldet unser Server den Kauf mit Betrag, einer Buchungsnummer (nicht Ihrer Referenz) und der Kennung aus dem Cookie. Nicht geladen wird das Skript auf den Seiten nach der Buchung, im Fragebogen vor dem Gespräch, im Patientenbereich, auf den Praxis-Seiten und beim Kontrolltermin. Google-Signale und personalisierte Werbung sind abgeschaltet. Anbieter ist Google (siehe Empfänger). Auswertungsdaten 14 Monate. Keine Angaben zu Beschwerden, Diagnosen oder zur Bescheinigung. Widerspruch nach Art. 21 DSGVO jederzeit per E-Mail, durch Löschen der Cookies oder einen Skript-Blocker; die Buchung funktioniert davon unabhängig |
| Chat für Rückfragen | Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Beantwortung von Anfragen; für die Antwort per E-Mail Art. 6 Abs. 1 lit. b DSGVO; bei gesundheitsbezogenen Angaben Art. 9 Abs. 2 lit. h DSGVO | Der Chat nimmt erst Kontakt zu unserem Server auf, wenn Sie Ihre erste Nachricht absenden. Danach merkt sich Ihr Browser eine Kennung des Gesprächs (lokaler Speicher), damit Verlauf und Antworten beim nächsten Besuch da sind. Der Chat läuft auf einem eigenen Server in der Europäischen Union (Chatwoot, Hetzner), es ist kein Anbieter zwischengeschaltet. Gespeichert werden Ihre Nachrichten sowie technische Angaben zu Browser und Gerät; eine E-Mail-Adresse nur, wenn Sie sie angeben. Dann schicken wir Ihnen unsere Antwort zusätzlich per E-Mail, falls Sie sie im Chat nicht mehr lesen (Versand über ZeptoMail, siehe Empfänger). Bitte nennen Sie im Chat keine Beschwerden oder Diagnosen - dafür ist die Videosprechstunde da. Löschung nach 6 Monaten, bei Bezug zu einer Behandlung im Rahmen der Behandlungsdokumentation |
| Erfolgsmessung von Werbeanzeigen | Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Bewertung eigener Werbung | Zur Erfolgsmessung werden Ereignisse an Werbeanbieter übermittelt. An Meta, unabhängig davon, ob Sie über eine Anzeige gekommen sind (Meta ordnet selbst zu): beim Aufruf der Buchungsseite, nach der Terminwahl, bei der Bestätigung eines Gutscheins, beim Start der Zahlung und nach einer bezahlten Buchung jeweils IP-Adresse, Browserkennung, eine Besucherkennung und, falls vorhanden, die Werbe-Klick-Kennung mit dem Zeitpunkt des Klicks; bei der Bestätigung eines Gutscheins zusätzlich ein verschlüsselter Prüfwert (Hash) der E-Mail-Adresse, ab dem Start der Zahlung ein solcher Prüfwert der E-Mail-Adresse und des Namens sowie der Betrag. Es wird kein Skript von Meta geladen und kein Cookie gesetzt; die Besucherkennung liegt bis zu 90 Tage im lokalen Speicher Ihres Browsers. An Google: nach einer bezahlten Buchung Hash der E-Mail-Adresse, Betrag und Klick-Kennung. An OpenAI (Anzeigen in ChatGPT): nur die Klick-Kennung, Betrag, Zeitpunkt und eine Zahlungsnummer, keine E-Mail-Adresse, kein Name, keine IP-Adresse; es wird kein Skript von OpenAI geladen und kein Cookie gesetzt. Damit die Zuordnung auch gelingt, wenn Sie später in einem neuen Fenster buchen, merkt sich Ihr Browser die Klick-Kennung, die Kampagne und die Seite, von der Sie kamen, bis zu sieben Tage im lokalen Speicher (kein Cookie), die Klick-Kennung einer Google-Anzeige bis zu 30 Tage. Keine Angaben zu Beschwerden, Diagnosen oder zur Bescheinigung. Widerspruch nach Art. 21 DSGVO jederzeit per E-Mail möglich |
| Partnerprogramm (AWIN) | Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Abrechnung mit Partnern, die auf uns verweisen | Partner wie Gutschein-, Cashback- und Ratgeberseiten verweisen über das Netzwerk AWIN auf uns und erhalten für eine bezahlte Erstbuchung eine Provision. Dafür lädt auf unseren Informationsseiten (nicht in der Buchung und nicht danach) ein Skript von AWIN; kommen Sie über einen Partnerlink, speichert es dessen Kennung in einem Cookie (30 Tage). Nach einer bezahlten Buchung erhält AWIN die Buchungsnummer, den Betrag und die Angabe, ob der letzte Werbeklick über AWIN, eine Suchanzeige oder Meta kam, dazu technisch Ihre IP-Adresse und Browserkennung. Ihr Browser merkt sich die Partnerkennung und die Art des letzten Werbeklicks bis zu 30 Tage im lokalen Speicher. Keine E-Mail-Adresse, kein Name, keine Angaben zu Beschwerden. Widerspruch nach Art. 21 DSGVO jederzeit per E-Mail möglich |
| Abgebrochene Buchung | Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Nachfrage zu einem abgebrochenen Vorgang | Geben Sie bei der Buchung Ihre Kontaktdaten ein und schließen die Buchung nicht ab, speichern wir Name, E-Mail-Adresse und Versichertenstatus für 30 Tage, um bei Ihnen nachfragen zu können. Wir melden uns dazu höchstens zweimal per E-Mail. Ihre Angabe zu den Beschwerden wird dabei nicht gespeichert - sie entsteht erst mit dem Behandlungsvertrag. Widerspruch nach Art. 21 DSGVO jederzeit per E-Mail, danach löschen wir sofort |
| Gutschein für später | Art. 6 Abs. 1 lit. a DSGVO, Einwilligung, die Sie über den Link in unserer Bestätigungsmail erteilen | Fordern Sie auf der Buchungsseite einen Gutschein an, speichern wir Ihre E-Mail-Adresse, den Zeitpunkt von Anfrage und Bestätigung sowie die Herkunft Ihres Besuchs (Kampagne, Werbe-Klick-Kennung, Besucherkennung). Wir schicken Ihnen eine Mail zur Bestätigung, danach den Gutschein und vor seinem Ablauf höchstens eine Erinnerung. Ihr Browser merkt sich den Gutschein bis zu seinem Ablauf im lokalen Speicher (kein Cookie). Ohne Bestätigung löschen wir die Adresse nach 30 Tagen, sonst 30 Tage nach Ablauf des Gutscheins, höchstens nach sieben Monaten. Widerruf jederzeit über den Link in jeder dieser Mails; der Gutschein bleibt danach gültig. |
| Weiterempfehlung | Art. 6 Abs. 1 lit. b DSGVO, Teilnahme an der Weiterempfehlung | Mit Ihrer Bescheinigung erhalten Sie einen persönlichen Code. Dazu speichern wir Name, Geburtsdatum, E-Mail-Adresse, Telefonnummer, die Zahlungen Ihrer Termine und Ihre Gutschriften. Bucht jemand über Ihren Link, steht der Code an dieser Buchung; Sie erfahren nicht, wer gebucht hat. Am Tag nach dem Ende Ihrer Krankschreibung schicken wir Ihnen einmal eine WhatsApp-Nachricht mit Ihrem Link, wenn Sie WhatsApp im Fragebogen zugelassen haben, und bei jeder Gutschrift eine E-Mail und eine WhatsApp-Nachricht. Widerspruch jederzeit per E-Mail. Gespeichert, solange Ihr Patientenbereich besteht, Gutschriften als Buchungsbeleg zehn Jahre (§ 147 AO). |
| Behandlung eines Kindes: Bucht ein Elternteil für sein Kind, verarbeiten wir die Kontaktdaten des Elternteils sowie Name, Geburtsdatum, Anschrift und Gesundheitsdaten des Kindes. Name und Geburtsdatum des Kindes stehen auf der Bescheinigung für Schule oder Kita und dem Zeugnis zum Kinderkrankengeld, die der Elternteil selbst weitergibt; der Name des Elternteils steht auf dem Zeugnis und der Rechnung. | Art. 6 Abs. 1 lit. b und Art. 9 Abs. 2 lit. h DSGVO (Behandlungsvertrag zugunsten des Kindes) | Wie die übrige Behandlungsdokumentation: zehn Jahre (§ 630f Abs. 3 BGB) |
| Zahlungsabwicklung | Art. 6 Abs. 1 lit. b DSGVO. Technisches Protokoll des Zahlvorgangs: Art. 6 Abs. 1 lit. f DSGVO (Fehlersuche, Missbrauchsabwehr). Die Skripte der Zahlungsdienste laden im Zahlschritt, weil ohne sie nicht gezahlt werden kann (§ 25 Abs. 2 Nr. 2 TDDDG). Kommen Sie vom Zahlungsdienst zurück, ohne dass die Zahlung abgeschlossen ist, setzen wir ein Cookie (hk_weiter, 30 Minuten). Es dient nur dazu, dass Sie die Buchung mit Ihren Angaben fortsetzen können, auch in einem anderen Browserfenster, und ist dafür technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Lädt im Zahlschritt das Skript von Stripe, setzt es zur Betrugsabwehr zwei Cookies (__stripe_mid, ein Jahr; __stripe_sid, 30 Minuten), die ebenfalls allein der Zahlung dienen (§ 25 Abs. 2 Nr. 2 TDDDG). | Zahlungsbelege nach den steuerlichen Aufbewahrungsfristen; das technische Protokoll 90 Tage. |
Empfänger
Eingesetzt werden Auftragsverarbeiter nach Artikel 28 DSGVO für Hosting, Terminbuchung und Videosprechstunde. Alle mit Zugang zu Patientendaten sind zusätzlich nach § 203 Absatz 4 StGB zur Verschwiegenheit verpflichtet. Die Zahlungsdienste (PayPal, Stripe, Apple, Google, Klarna, Trustly und für Zahlungen bis 02.10.2026 Mollie) verarbeiten die Zahlungsdaten als eigene Verantwortliche; dafür gelten ihre Datenschutzhinweise.
| Empfänger | Zweck | Sitz |
|---|---|---|
| Netlify, Inc. | Hosting dieser Website und Ausführung der Buchungsfunktionen; eine dauerhafte Speicherung Ihrer Daten findet dort nicht statt | USA, Standardvertragsklauseln |
| PayPal (Europe) S.à r.l. et Cie, S.C.A. | Zahlungsabwicklung. Beim Betreten des Zahlschritts wird ein Skript von PayPal geladen, soweit PayPal Kartenfelder, Apple Pay oder Google Pay abwickelt (sonst übernimmt das Stripe, siehe unten), auch wenn Sie anders zahlen; dabei erfährt PayPal Ihre IP-Adresse und technische Angaben zu Ihrem Browser. Stammen die Kartenfelder von PayPal, gehen Kartendaten direkt an PayPal, nicht an uns. Zahlen Sie mit Apple Pay, erhält PayPal außerdem die Rechnungsanschrift Ihrer Karte. Zum Zahlvorgang führen wir ein technisches Protokoll (Schritte, Fehlercodes des Zahlungsdienstleisters, Gerätetyp grob), ohne Namen und ohne Kartendaten, um Störungen zu erkennen; es wird nach 90 Tagen gelöscht | Luxemburg |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung für Karte, Apple Pay, Google Pay, Klarna und Online-Überweisung, soweit diese Zahlarten über Stripe laufen. Laufen Karte, Apple Pay oder Google Pay über Stripe, wird beim Betreten des Zahlschritts ein Skript von Stripe geladen, auch wenn Sie anders zahlen; dabei erfährt Stripe Ihre IP-Adresse und technische Angaben zu Ihrem Gerät und Browser, die Stripe auch zur Betrugsabwehr nutzt. Kartendaten gehen direkt an Stripe, nicht an uns. Von uns erhält Stripe Betrag und Buchungsreferenz; zahlen Sie mit Karte, zusätzlich Ihren Namen und Ihre E-Mail-Adresse, die Ihre Bank für die Prüfung der Zahlung (3-D Secure) nutzt. Bei der Online-Überweisung wählen Sie Ihre Bank auf einer Seite von Stripe und geben die Zahlung bei Ihrer Bank frei; Stripe erhält dabei die Angaben zu Ihrem Konto, die Ihre Bank mit der Zahlung übermittelt | Irland; Übermittlung an Stripe, Inc. in die USA möglich (EU-US Data Privacy Framework, Standardvertragsklauseln) |
| Apple Distribution International Ltd. | Apple Pay, wenn Sie diese Zahlart wählen: Freigabe der Zahlung auf Ihrem Gerät (Betrag und Name des Zahlungsempfängers) | Irland |
| Google Ireland Limited | Google Pay, auf Geräten ohne Apple Pay: Im Zahlschritt wird das Zahlskript von Google geladen (dabei erfährt Google Ihre IP-Adresse und technische Angaben zu Ihrem Browser); wählen Sie Google Pay, läuft die Freigabe über Google (Betrag und Name des Zahlungsempfängers) | Irland |
| Klarna Bank AB (publ) | Klarna, wenn Sie diese Zahlart wählen: Die Zahlung läuft auf der Seite von Klarna. Über Stripe erfährt Klarna den Betrag, den Namen des Zahlungsempfängers und die Beschreibung der Zahlung, wie sie auch auf einem Kontoauszug steht; was Klarna für die gewählte Zahloption braucht (etwa Name, Anschrift, E-Mail-Adresse, Telefonnummer, Geburtsdatum), geben Sie dort selbst ein. Je nach Zahloption prüft Klarna dabei Ihre Identität und Ihre Kreditwürdigkeit | Schweden |
| Trustly Group AB | Online-Überweisung, soweit sie über PayPal läuft: PayPal und Trustly erhalten Ihren Namen, Ihre E-Mail-Adresse und den Betrag; die Auswahl Ihrer Bank und die Freigabe laufen auf der Seite von Trustly | Schweden |
| Mollie B.V. | Abwicklung der bis zum 02.10.2026 geleisteten Zahlungen (Erstattungen, Abrechnung) | Niederlande |
| Zoho Corporation B.V. | E-Mail-Postfach der Praxis und Ablage der gesendeten Nachrichten | Niederlande, Rechenzentrum Europäische Union |
| Zoho Corporation B.V. (ZeptoMail) | Versand der Termin- und Unterlagen-E-Mails | Niederlande, Rechenzentrum Europäische Union |
| seven communications GmbH | Versand einer einmaligen SMS nach einer abgebrochenen Buchung | Deutschland |
| WhatsApp Ireland Limited (Meta) | Terminerinnerung auf das Mobiltelefon, nur mit Ihrer Einwilligung | Irland, Übermittlung in die USA auf Grundlage des Angemessenheitsbeschlusses |
| Hetzner Online GmbH | Speicherung Ihrer Termine, Angaben, Unterlagen und der Behandlungsdokumentation (Rechenzentrum Falkenstein, Deutschland); Server für Videosprechstunde, Verschriftlichung, Chat und Reichweitenmessung (Rechenzentrum Helsinki) | Deutschland, Rechenzentren in Deutschland und Finnland |
| Meta Platforms Ireland Ltd. | Erfolgsmessung von Werbeanzeigen, siehe Tabelle oben | Irland, Übermittlung in die USA auf Grundlage des Angemessenheitsbeschlusses |
| Microsoft Ireland Operations Ltd. | Nutzungsanalyse der Buchungsstrecke (Clarity), siehe Tabelle oben | Irland, Übermittlung in die USA auf Grundlage des Angemessenheitsbeschlusses (EU-US Data Privacy Framework, Microsoft ist zertifiziert) |
| Google Ireland Ltd. | Auslieferung von Suchanzeigen und Erfolgsmessung, Reichweitenmessung (Google Analytics), siehe Tabelle oben | Irland, Übermittlung in die USA auf Grundlage des Angemessenheitsbeschlusses |
| OpenAI Ireland Ltd. | Erfolgsmessung von Anzeigen in ChatGPT, siehe Tabelle oben | Irland, Übermittlung in die USA nach den Datenverarbeitungsbedingungen von OpenAI (Angemessenheitsbeschluss bzw. EU-Standardvertragsklauseln) |
| Awin AG | Partnerprogramm, siehe Tabelle oben | Deutschland |
Die Videosprechstunde selbst läuft auf einem eigenen Server ohne zwischengeschalteten Anbieter. Bild und Ton werden nicht aufgezeichnet.
Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
Beschwerden richten Sie an die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin.
Keine automatisierte Entscheidung
Über das Vorliegen einer Arbeitsunfähigkeit entscheidet ausschließlich der Arzt im Videogespräch. Es findet keine automatisierte Entscheidungsfindung im Sinne von Artikel 22 DSGVO statt.
Als Hilfsmittel setzt der Arzt zwei Systeme ein: eines wandelt den Ton des Gesprächs in Text um, ein zweites formuliert daraus einen Entwurf der Dokumentation. Beide erzeugen nur Text. Der Arzt liest jeden Entwurf, ändert ihn bei Bedarf und gibt ihn frei; nichts wird ohne diese Freigabe gespeichert oder versendet.