8.1 Behandlungsakte
Soweit ich eine Behandlung oder Begleitung dokumentiere, zum Beispiel eine Fastenbegleitung, führe ich dazu eine Behandlungsakte. Notizen zur Behandlung, darunter Anamnese, Verlauf und Befunde, führe ich digital und Ende-zu-Ende-verschlüsselt. Auf die Behandlungsakte habe nur ich Zugriff. Die Behandlungsakte unterliegt der Frist nach Abschnitt 8.6. Für die Behandlung benötige ich Angaben zu Ihrer Gesundheit, zum Beispiel zu Beschwerden, Vorerkrankungen oder Medikation, damit ich Ihre Situation einschätzen und Sie angemessen beraten und behandeln kann. Sie sind nicht verpflichtet, diese Angaben zu machen. Ohne diese Angaben ist keine oder nur eine eingeschränkte Behandlung möglich.
Rechtsgrundlage: Gesundheitsdaten, die ich für die Behandlung aufschreibe oder dokumentiere, verarbeite ich nur mit Ihrer vorherigen ausdrücklichen Einwilligung (auf Papier, digital signiert oder als unterschriebenes Formular; Art. 9 Abs. 2 lit. a DSGVO), daneben für die Durchführung des Behandlungsvertrags und die Dokumentationspflicht (Art. 6 Abs. 1 lit. b und c DSGVO in Verbindung mit § 630f BGB). Die Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Danach kann ich Sie nicht weiter behandeln, soweit die Behandlung Gesundheitsdaten voraussetzt. Nach dem Widerruf bewahre ich die Akte nur noch auf, soweit ich sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötige (Art. 9 Abs. 2 lit. f DSGVO in Verbindung mit Art. 6 Abs. 1 lit. c DSGVO und § 630f Abs. 3 BGB). Die Dauer von zehn Jahren nach Abschluss der Behandlung steht in Abschnitt 8.6.
8.1a Videosprechstunde
Für geschützte Videosprechstunden und informative Gruppengespräche, etwa Vorträge oder Informationsabende, wird der Videodienst der Schröter-Cloud (Talk) eingesetzt. Die Teilnahme erfolgt über einen Link in Ihrem Browser, ein Konto brauchen Sie nicht. Dabei geben Sie einen Namen ein, ein Pseudonym genügt. Den Link verschicke ich nur an die Personen, die ich einlade. Die Videosprechstunden sind bei der Teilnahme im Browser Ende-zu-Ende-verschlüsselt, auch in Gruppen. Chatnachrichten sind davon ausgenommen (Abschnitt 8.2). Gruppengespräche zeichne ich nicht auf und dokumentiere sie nicht. Fragen zu Ihrer eigenen Gesundheit können Sie in der Gruppe stellen, müssen es aber nicht. Bitte teilen Sie dabei nur mit, was Sie den anderen Teilnehmenden gegenüber offenlegen möchten. Der eingegebene Name ist im Raum für mich und die anderen Teilnehmenden sichtbar. Den Raum lösche ich nach einem Gruppengespräch, bei Einzelgesprächen, sobald sein Zweck erledigt ist. Mit dem Raum wird auch der Name gelöscht. Den Aufruf protokolliert der Reverse-Proxy mit IP-Adresse und Zeitpunkt höchstens 7 Tage (Abschnitt 8.3). In Gruppengesprächen sehen und hören sich die Teilnehmenden gegenseitig. Ich kann nicht beeinflussen, was andere Teilnehmende mit dem Gehörten tun.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Gesundheitsdaten, die ich dabei aufschreibe oder dokumentiere, unterliegen Abschnitt 8.1. Gespräche zu meinem Angebot, bei denen ich nichts dokumentiere, brauchen die Einwilligung nach Abschnitt 8.1 nicht.
8.1b Austausch von Dokumenten und Unterlagen
Befunde, Arztbriefe, ausgefüllte Anamnesebögen und andere Unterlagen mit Gesundheitsdaten können Sie über einen Upload-Link hochladen, den ich Ihnen zur Verfügung stelle. Die Dateien werden bereits in Ihrem Browser Ende-zu-Ende verschlüsselt. Den Link zur hochgeladenen Datei senden Sie mir, zum Beispiel per E-Mail. Umgekehrt stelle ich Ihnen Unterlagen mit Gesundheitsdaten über einen Download-Link bereit, bei dem die Dateien ebenfalls Ende-zu-Ende verschlüsselt sind. Diese Links sind auf höchstens 7 Tage befristet, danach löscht der Dienst die Dateien automatisch. Auf Wunsch vereinbare ich vorab ein Passwort oder eine PIN mit Ihnen als zusätzliche Schutzschicht.
Unterlagen ohne Gesundheitsdaten, etwa Informationsmaterial zum Fasten oder zu meinen Angeboten, stelle ich über einen Freigabelink bereit, der auf höchstens 30 Tage befristet ist, oder schicke sie per E-Mail (Abschnitt 4.4). Gesundheitsdaten gehören nicht in diesen Weg.
Der Aufruf eines solchen Links ist vom Besuch der Website unabhängig und läuft wie alle Dienste der Schröter-Cloud über den Reverse-Proxy (Abschnitt 8.3).
Der Link ist für den einzelnen Austausch bestimmt und nicht für eine öffentliche Ablage. Übermittelte Behandlungsdokumente gehen in die Behandlungsakte über und unterliegen der Frist nach Abschnitt 8.6.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für den einzelnen Austausch, Art. 6 Abs. 1 lit. f DSGVO für die technischen Zugriffsdaten (berechtigtes Interesse an Betrieb und Sicherheit des Dienstes), für Gesundheitsdaten gilt Abschnitt 8.1.
8.1c Secrets, Formulare und Umfragen
Sensible Mitteilungen, die nicht in die Behandlungsakte gehören, kann ich über Secrets senden. Der Inhalt wird Ende-zu-Ende verschlüsselt bereitgestellt und über einen einzelnen Link abgerufen. Formulare und Umfragen nutze ich nur gelegentlich, etwa für Anmeldungen, Rückmeldungen, Terminabfragen oder Befragungen. Dabei verarbeite ich die Angaben, die Sie eintragen. Diese Formulare und Umfragen der Schröter-Cloud (nicht das Kontaktformular der Website, Abschnitt 4.1a) sind transportverschlüsselt, aber nicht Ende-zu-Ende-verschlüsselt. Es werden keine Gesundheitsdaten erhoben. Trägt dennoch jemand in ein Freitextfeld Gesundheitsangaben ein und liegt keine Einwilligung nach Abschnitt 8.1 vor, verwende ich sie nicht, lösche die Angaben und melde mich über die angegebenen Kontaktdaten bei Ihnen. Ohne die für die jeweilige Anmeldung erforderlichen Angaben kann ich sie nicht bearbeiten. Diese Dienste gehören zur Schröter-Cloud.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die jeweilige Anmeldung oder Mitteilung, Art. 6 Abs. 1 lit. f DSGVO für die technischen Zugriffsdaten (berechtigtes Interesse an Betrieb und Sicherheit des Dienstes). Für freiwillige Rückmeldungen und Befragungen gilt Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung meines Angebots), die Teilnahme ist freiwillig.
8.2 Chat (Talk) und WhatsApp
Für den organisatorischen Austausch vorab kann ich einen vorübergehenden Chat-Raum in Talk einrichten. Der Beitritt erfolgt wie bei der Videosprechstunde über einen Link im Browser mit einem frei wählbaren Namen. Der Chat-Raum wird gelöscht, sobald sein Zweck erledigt ist. Chatnachrichten sind transportverschlüsselt, aber nicht Ende-zu-Ende-verschlüsselt. Möchten Sie den Chat auch für Gesundheitsdaten nutzen, ist dafür Ihre vorherige Einwilligung nach Abschnitt 8.1 nötig. Bitte beachten Sie dann die Hinweise zum Reverse-Proxy in Abschnitt 8.3.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für Gesundheitsdaten gilt Abschnitt 8.1.
WhatsApp: Schreiben Sie mich von sich aus über WhatsApp an, antworte ich dort ausschließlich auf organisatorische und alltägliche Nachrichten, etwa Terminabsprachen. Ich nehme dort von mir aus keinen ersten Kontakt auf. In meiner ersten Antwort verweise ich auf diese Datenschutzerklärung. Das ist kein Angebot meiner Praxis, sondern ein Entgegenkommen, wenn Sie mich dort schon erreichen. Ich erhalte dabei Ihre Telefonnummer, Ihren Profilnamen, soweit sichtbar Ihr Profilbild und den Inhalt Ihrer Nachricht. Ich verwende diese Angaben nur, um Ihnen zu antworten. Nach Angaben von WhatsApp sind Nachrichten Ende-zu-Ende-verschlüsselt, den Inhalt kann WhatsApp daher nicht lesen. Der Betreiber, WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland (ein Meta-Unternehmen), erhält dabei Metadaten wie Telefonnummer, Zeitpunkte und Verbindungsdaten und verarbeitet sie als eigener Verantwortlicher (Nutzungsbedingungen und Datenschutzhinweise: whatsapp.com/legal). Das gilt auch für meine Antworten. Dem Betreiber ist damit bekannt, dass und wann Sie mich kontaktieren. Wenn Sie das nicht möchten, erreichen Sie mich auch per Telefon, per E-Mail oder über das Formular. Übermittlungen von WhatsApp in die USA verantwortet WhatsApp selbst. Bitte senden Sie mir über WhatsApp keine Gesundheitsangaben, ich nehme sie dort nicht entgegen, auch nicht mit Einwilligung. Tun Sie es dennoch, lösche ich die Nachricht, sobald ich die Angaben erkannt habe, und verwende sie nicht. Ich verweise Sie dann auf das Gespräch, die Videosprechstunde oder den Upload-Link. Alle übrigen Nachrichten lösche ich, sobald ihr Zweck erledigt ist.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Terminabsprachen und andere Anfragen zu meiner Behandlung, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer unkomplizierten Antwort).
8.3 Reverse-Proxy (OVHcloud, Standort Deutschland)
Der Zugang zur Schröter-Cloud läuft über einen Reverse-Proxy, den ich im Rechenzentrum von OVHcloud betreibe (OVH GmbH, Oskar-Jäger-Straße 173/K6, 50825 Köln; Rechenzentrumsstandort Deutschland). Die Website selbst läuft nicht über diesen Reverse-Proxy (Abschnitt 3.1).
Jeder Aufruf der Schröter-Cloud verarbeitet IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse und technische Angaben zum Browser. Diese Daten werden auf dem Reverse-Proxy spätestens nach 7 Tagen gelöscht. Zur Abwehr von Angriffen werden Verbindungen kurzzeitig auf missbräuchliche Muster geprüft und auffällige IP-Adressen gesperrt.
Die TLS-Verschlüsselung der Verbindung endet auf dem Reverse-Proxy. Dort werden die Datenpakete kurz im Arbeitsspeicher entschlüsselt und anschließend über einen verschlüsselten Tunnel an meine eigene Infrastruktur weitergeleitet. Ende-zu-Ende-verschlüsselte Inhalte (Talk-Videosprechstunden, Secrets, hochgeladene Dateien und meine Behandlungsnotizen) sind davon nicht betroffen, sie bleiben auch auf diesem Weg verschlüsselt.
Mit der OVH GmbH besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. OVH setzt Unternehmen der OVH-Gruppe als Unterauftragnehmer ein, überwiegend in der EU, zum Teil auch in Kanada und im Vereinigten Königreich. Für Kanada und das Vereinigte Königreich bestehen Angemessenheitsbeschlüsse der EU-Kommission.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung und Absicherung der Dienste, Art. 32 DSGVO).
8.4 CrowdSec
Zur Abwehr von Angriffen setzt der Reverse-Proxy CrowdSec ein. Die Software arbeitet lokal auf dem Server. Bei einem erkannten Angriff werden die IP-Adresse des Angreifers (gegebenenfalls mit ungefährer Standortangabe), der Zeitpunkt, die Bezeichnung des Angriffsmusters und eine Kennung meiner Installation an CrowdSec in Frankreich gemeldet, damit gemeinsame Sperrlisten zum gegenseitigen Schutz der Betreiber erstellt werden können. Für gemeldete oder gesperrte IP-Adressen sind CrowdSec und seine Nutzer, zu denen ich gehöre, gemeinsam verantwortlich (Art. 26 DSGVO), Anlaufstelle für Betroffene ist CrowdSec (Entsperrung: crowdsec.net/remove-ip-crowdsec-blocklist). Mein Server meldet die Angreifer-IP-Adressen, CrowdSec führt die gemeinsamen Sperrlisten und bearbeitet Entsperrungen. Eine zeitlich begrenzte Sperre auf meinem Server (in der Regel vier Stunden) kann ich auf Anfrage aufheben. Rechte auf Auskunft, Löschung und Widerspruch können Sie auch mir gegenüber geltend machen. Soweit die Angaben bei CrowdSec liegen, leite ich Ihr Anliegen dorthin weiter. CrowdSec speichert gemeldete IP-Adressen nach eigenen Angaben höchstens drei Monate, in bestimmten Fällen bis zu einem Jahr, unverändert und danach nur noch vergröbert. Weitere Informationen, auch zu Speicherdauer und Unterauftragnehmern, stehen in der (englischen) Datenschutzerklärung von CrowdSec (www.crowdsec.net/privacy-policy). Die IP-Adresse unauffälliger Besuchender wird nicht an CrowdSec übermittelt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr von Angriffen).
8.5 Empfänger
Auftragsverarbeiter sind die Feyer Media GmbH (Hostingwerk.de) und die OVH GmbH, jeweils mit Vertrag nach Art. 28 DSGVO und Rechenzentren in Deutschland. Beide verarbeiten Ihre Daten ausschließlich in meinem Auftrag und nach meinen Weisungen, nicht für eigene Zwecke.
Ich behandle Ihre Angaben vertraulich und gebe Angaben aus Behandlung und Anfragen nur weiter, wenn Sie eingewilligt haben oder eine gesetzliche Pflicht besteht.
Darüber hinaus erhalten folgende Stellen Daten nur im genannten Umfang:
- Finanzamt: keine regelmäßige Übermittlung und keine Herausgabe der Behandlungsakte. Im Rahmen einer steuerlichen Prüfung, etwa einer Betriebsprüfung, kann ich verpflichtet sein, Rechnungen und Buchungsbelege vorzulegen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO. Soweit die Rechnung die Behandlung erkennen lässt, gilt zusätzlich Abschnitt 8.6.
- Labore und externe Befundstellen: nur die für den konkreten Auftrag erforderlichen Angaben, auf Ihre Veranlassung und mit Ihrer Einwilligung im Behandlungsverlauf.
Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO.
- Andere Behandelnde: nur auf Ihren Wunsch oder mit Ihrer Einwilligung.
Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO.
- CrowdSec: nur Angreifer-IP-Adressen nach Abschnitt 8.4.
- WhatsApp: nur die Metadaten nach Abschnitt 8.2.
Bei Massagebehandlungen in Unternehmen erhalte ich von Ihrem Arbeitgeber eine Liste mit Ihrem Namen und der Uhrzeit Ihres Termins. Ich nutze sie zur Organisation der Termine und als Nachweis, wie viele Personen ich massiert habe (Art. 6 Abs. 1 lit. f DSGVO, mein berechtigtes Interesse an einem reibungslosen Ablauf und am Leistungsnachweis). Das Unternehmen erhält von mir keine Gesundheitsdaten. Auf diese Erklärung weise ich Sie bei unserem ersten Kontakt hin, spätestens innerhalb eines Monats nach Erhalt der Liste. Die Liste, die ich per E-Mail erhalte, bewahre ich bis zum Ende des dritten Jahres nach dem Jahr der Leistung auf, damit ich mögliche Rückfragen zur Abrechnung beantworten kann. Entsteht mit Ihnen ein Behandlungsverhältnis, gelten für die Dokumentation die Abschnitte 8.1 und 8.6. Ihre Rechte stehen in Abschnitt 9.
8.6 Speicherdauer der Behandlungsakte und der Abrechnung
Rechnung und Zahlung: Für die Abrechnung verarbeite ich Ihren Namen, Ihre Anschrift, Art und Datum der Leistung und den Rechnungsbetrag. Zahlen Sie per Überweisung, kommen Ihre Kontodaten und der Verwendungszweck hinzu. Bitte geben Sie im Verwendungszweck nur die Rechnungsnummer an und keine Gesundheitsangaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Ohne diese Angaben kann ich keine ordnungsgemäße Rechnung stellen. Die Aufbewahrung ist unten geregelt.
Besteht ein Behandlungsvertrag, bewahre ich die Behandlungsakte zehn Jahre nach Abschluss der Behandlung auf und lösche sie danach (§ 630f Abs. 3 BGB). Bis zu einem Widerruf stützt sich die Verarbeitung auf Ihre Einwilligung (Abschnitt 8.1), für die weitere Aufbewahrung auf Art. 9 Abs. 2 lit. f DSGVO. Nach einem Widerruf oder nach Abschluss der Behandlung nutze ich die Akte nur noch dafür. Rechnungen und Buchungsbelege bewahre ich daneben nach den jeweils geltenden steuerlichen Vorschriften (§ 147 AO) auf, auch wenn die Behandlungsakte bereits gelöscht ist. Soweit der Text einer Rechnung erkennen lässt, dass und wie ich Sie behandelt habe, stütze ich die Aufbewahrung zusätzlich auf Art. 9 Abs. 2 lit. f DSGVO (mögliche Ansprüche).
Rechtsgrundlage: Für die Behandlungsakte bis zum Widerruf die Einwilligung nach Abschnitt 8.1, für die weitere Aufbewahrung Art. 9 Abs. 2 lit. f DSGVO in Verbindung mit Art. 6 Abs. 1 lit. c DSGVO und § 630f Abs. 3 BGB. Für Rechnungen und Buchungsbelege Art. 6 Abs. 1 lit. c DSGVO und § 147 AO, soweit der Text die Behandlung erkennen lässt zusätzlich Art. 9 Abs. 2 lit. f DSGVO.
Kommt kein Behandlungsverhältnis zustande, werden Anfragen sowie Termin- und Anamnesedaten gelöscht, sobald der Sachverhalt geklärt ist, sofern keine gesetzliche Aufbewahrung entgegensteht. Alle übrigen Daten lösche ich, sobald der Zweck entfallen ist und keine gesetzliche Aufbewahrungspflicht entgegensteht.
Sicherungskopien: Meine Sicherungskopien (Backups) werden in einem rotierenden Verfahren regelmäßig überschrieben. Bis dahin können bereits gelöschte Daten darin noch enthalten sein. Ich nutze sie nicht, und stelle ich Daten aus einer Sicherung wieder her, lösche ich bereits gelöschte Daten erneut. Der Reverse-Proxy bei OVHcloud wird täglich gesichert, die Sicherung wird täglich überschrieben und enthält nur Protokolldaten. Auch der Hosting-Anbieter sichert Daten auf seinen Servern nach eigenen Fristen (Abschnitt 3.1).
