Datenschutzerklärung

Stand: Datum eintragen

Gerüst mit Platzhaltern – noch kein rechtsverbindlicher Text. Die technischen Abschnitte beschreiben die tatsächliche Verarbeitung korrekt. Verantwortlicher, Aufbewahrungsfristen, Rechtsgrundlagen und die Liste der Auftragsverarbeiter müssen ergänzt und vor dem Einsatz mit echten Patientendaten anwaltlich geprüft werden. Für die Verarbeitung von Gesundheitsdaten nach Art. 9 DSGVO ist zusätzlich eine Datenschutz-Folgenabschätzung durchzuführen.

1. Verantwortlicher

Name, Anschrift und Kontakt des Verantwortlichen

Datenschutzbeauftragter: Name und Kontakt, sofern benannt

2. Rollenverteilung

Für die Daten ihrer Patienten ist die jeweilige Arztpraxis Verantwortliche im Sinne der DSGVO. Der Betreiber von CuroApp verarbeitet diese Daten ausschließlich weisungsgebunden als Auftragsverarbeiter. Grundlage ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, der vor der Nutzung mit echten Patientendaten zu schließen ist.

3. Verarbeitete Daten

Zugangsdaten: E-Mail-Adresse der Nutzerin oder des Nutzers, technische Kennung des Kontos, Zeitpunkte der An- und Abmeldung.
Praxisdaten: Name und Ort der Praxis, Mitgliedschaften und Rollen.
Behandlungsdaten: Stammdaten, Termine, Leistungen und Abrechnungen der Patienten – eingegeben durch die Praxis.
Protokolldaten: Zugriffe auf Behandlungsdaten mit Benutzer, Zeitpunkt, Vorgang, IP-Adresse und Browserkennung.

4. Zwecke und Rechtsgrundlagen

Die Verarbeitung dient der Bereitstellung der Praxissoftware und erfolgt für die Praxis auf Grundlage von Art. 6 Abs. 1 lit. b und Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit der ärztlichen Dokumentationspflicht. Die Protokollierung stützt sich auf Art. 32 DSGVO.

Vollständige Zuordnung je Verarbeitungszweck ergänzen

5. Ort der Verarbeitung

Datenbank und Anwendungsserver werden in der Region Frankfurt am Main (europe-west3) bei Google Cloud betrieben. Der Versand von Anmeldecodes erfolgt über Amazon SES in der Region Frankfurt (eu-central-1).

Bei der Verwaltung der Benutzerkonten über Firebase Authentication kann eine Verarbeitung von E-Mail-Adresse und Kontokennung außerhalb der EU nicht ausgeschlossen werden. Behandlungsdaten sind davon nicht betroffen – sie werden ausschließlich in Frankfurt gespeichert. Bewertung dieses Transfers und Grundlage ergänzen

6. Auftragsverarbeiter

Google Ireland Limited / Google Cloud – Hosting, Datenbank, Kontenverwaltung
Amazon Web Services – Versand von Anmeldecodes per E-Mail
weitere Dienstleister ergänzen

7. Speicherdauer

Einmalcodes werden nach zehn Minuten oder mit ihrer Verwendung gelöscht. Für Behandlungsdokumentation gelten gesetzliche Aufbewahrungsfristen, die einer sofortigen Löschung entgegenstehen; für bestimmte Unterlagen bestehen längere Fristen. Konkrete Fristen je Datenart und das Löschkonzept ergänzen

8. Rechte der betroffenen Personen

Es bestehen die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77). Patientinnen und Patienten wenden sich dafür an ihre behandelnde Praxis als Verantwortliche.

9. Cookies

Es wird ein einziges technisch notwendiges Cookie gesetzt, das die Anmeldung trägt. Es ist für JavaScript nicht auslesbar, wird nur über verschlüsselte Verbindungen übertragen und verfällt spätestens nach acht Stunden. Es findet keine Analyse des Nutzungsverhaltens und kein Tracking statt.