1. Verantwortlicher
MEDICARE HEALTH GROUP LTD
First Floor Office, 3 Hornton Place, London, W8 4LZ, United Kingdom
Vertreten durch den Director: Houssem Sefi
Company Number: 17089430 (England and Wales)
Datenschutzbeauftragter: Derzeit nicht bestellt, da die gesetzlichen Voraussetzungen nach Art. 37 DSGVO geprüft werden.
2. Welche Daten verarbeiten wir?
- •Account- und Kontaktdaten (z.B. E-Mail, ggf. Telefonnummer) zur Verifizierung (OTP), Kommunikation und Status-Updates.
- •Bestell-/Vertragsdaten (Behandlung, Warenkorb, Rechnungsdaten, Lieferadresse).
- •Gesundheitsdaten (Fragebogenangaben) ausschließlich zur medizinischen Prüfung/Abwicklung und nur soweit erforderlich.
- •Technische Daten (Logfiles, Sicherheitsereignisse) zur Stabilität, Missbrauchsschutz und Fehleranalyse.
3. Zwecke & Rechtsgrundlagen
- •Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — Bearbeitung von Bestellungen, Rezeptanfragen, Kommunikation.
- •Sicherheit/Missbrauchsvermeidung (Art. 6 Abs. 1 lit. f DSGVO) — Schutz vor Betrug, Rate-Limiting, Logging.
- •Erfüllung gesetzlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO) — Steuerliche Aufbewahrung, arzneimittelrechtliche Dokumentation.
- •Gesundheitsdaten (Art. 9 Abs. 2 lit. h DSGVO) — Verarbeitung zum Zweck der Gesundheitsversorgung auf Grundlage des Behandlungsvertrags. Fragebogenangaben werden ausschließlich zur ärztlichen Eignungsprüfung verarbeitet und pseudonymisiert gespeichert.
- •Einwilligung (Art. 9 Abs. 2 lit. a, Art. 6 Abs. 1 lit. a DSGVO) — Soweit eine ausdrückliche Einwilligung eingeholt wird (z. B. bei optionalen Cookies oder Zusatzleistungen).
- •Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO) — Anonyme, aggregierte Zählung gleichzeitiger Besucher zur Beurteilung der Auslastung. Es werden KEINE Cookies gesetzt und keine Geräte- oder Nutzerprofile gebildet; aus IP-Adresse und Browserkennung wird mit einem täglich wechselnden, geheimen Zufallswert eine nicht umkehrbare Kurzzeit-Kennung gebildet, die nach 60 Sekunden verfällt. Eine Wiedererkennung über den Tag hinaus oder eine Zuordnung zu einer Person ist ausgeschlossen. Die IP-Adresse wird hierfür nicht gespeichert.
Hinweis:Gesundheitsdaten unterliegen der ärztlichen Schweigepflicht und werden verschlüsselt übertragen (TLS 1.3) sowie in einer EU-Infrastruktur gespeichert.
4. Empfänger / Auftragsverarbeiter
- •Hetzner Online GmbH (Hosting, Industriestr. 25, 91710 Gunzenhausen, Deutschland) — Serverbetrieb und Datenspeicherung innerhalb der EU. AVV abgeschlossen.
- •Microsoft Ireland Operations Ltd. (Microsoft 365, E-Mail-Versand für Anmeldecodes und Benachrichtigungen, One Microsoft Place, Dublin 18, Irland) — Auftragsverarbeitung, Serverstandort EU.
- •Stripe Inc. (Zahlungsabwicklung, 354 Oyster Point Blvd, South San Francisco, CA, USA) — Kreditkarten-, PayPal-, Klarna- und Amazon Pay-Zahlungen. Drittlandtransfer USA auf Basis von EU-Standardvertragsklauseln (SCCs). Details siehe Abschnitt 7.
- •Cloudflare Inc. / Turnstile (Bot-Schutz) — Verarbeitung technischer Daten zur Unterscheidung Mensch/Bot. Kein Tracking, DSGVO-konform.
- •Kooperierende Ärzt:innen / Partnerapotheke — Medizinische Prüfung und Rezeptausstellung bzw. Versand von Arzneimitteln. Verarbeitung auf Grundlage des Behandlungsvertrags.
- •Daily.co (Anbieter: Daily.co, Inc.) — Technischer Dienstleister für die Durchführung von Video-Sprechstunden. Verarbeitet werden ausschließlich die während des Gesprächs anfallenden Audio- und Videodaten zum Zweck der Echtzeit-Übertragung. Das Medien-Routing erfolgt in der EU-Region (Frankfurt). Es findet KEINE Aufzeichnung der Sprechstunde statt. Mit Daily.co besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
- •Google Ireland Ltd. (Google Analytics 4, Reichweitenmessung, Gordon House, Barrow Street, Dublin 4, Irland) — nur nach Ihrer Einwilligung in die Kategorie „Analyse". Übermittelt werden pseudonyme Nutzungsdaten; die Seitenadresse wird vor dem Versand um behandlungsbezogene Angaben bereinigt. Eine Übermittlung in die USA ist nicht ausgeschlossen (Angemessenheitsbeschluss EU-US Data Privacy Framework).
- •Meta Platforms Ireland Ltd. (Meta-Pixel, Werbeerfolgsmessung, Merrion Road, Dublin 4, Irland) — nur nach Ihrer Einwilligung in die Kategorie „Marketing". Ohne diese Einwilligung wird das Pixel nicht geladen und es verlässt kein Datum Ihren Browser.
- •Google Ireland Ltd. (Google Wallet, Gordon House, Barrow Street, Dublin 4, Irland) — Nur wenn Sie den Patientenausweis in Google Wallet speichern: Die Ausweisdaten (Patientennummer, Name, behandelnde Praxis) werden dabei in einem signierten Token an Google übermittelt. Der Apple-Wallet-Pass wird dagegen vollständig auf unseren Servern erzeugt und signiert und direkt an Ihr Gerät ausgeliefert — an Apple werden dabei keine Daten übermittelt.
5. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen:
- •Account-Daten: Bis zur Löschung des Kontos + 30 Tage Nachfrist.
- •Bestellungen und Rechnungsdaten: 10 Jahre (§ 257 HGB, § 147 AO).
- •Gesundheitsdaten (Fragebögen): 10 Jahre nach Behandlungsende (§ 10 Abs. 3 MBO-Ä).
- •Server-Logfiles: 90 Tage.
- •Cookies: Je nach Cookie zwischen 1 Stunde (Session) und 365 Tagen (Consent-Präferenz).
6. Deine Rechte
Du hast u.a. das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit widerrufen. Außerdem kannst du dich bei einer Aufsichtsbehörde beschweren.
7. Drittlandtransfer
Stripe Inc. als Zahlungsdienstleister verarbeitet Daten in den USA. Die Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln (Standard Contractual Clauses, SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO. Stripe ist zudem nach dem EU-US Data Privacy Framework zertifiziert. Alle anderen Auftragsverarbeiter verarbeiten Daten ausschließlich innerhalb der EU/des EWR.
8. Automatisierte Entscheidungsfindung
Die Auswertung Ihres Gesundheitsfragebogens dient der Strukturierung für die ärztliche Prüfung. Es findet keine vollautomatisierte Entscheidung im Sinne von Art. 22 DSGVO statt — jede Rezeptentscheidung wird individuell durch einen zugelassenen Arzt getroffen. Sie haben jederzeit das Recht auf menschliche Überprüfung.
9. SSL/TLS & Sicherheitsmaßnahmen
Diese Website nutzt eine SSL/TLS-Verschlüsselung (erkennbar am Schlosssymbol in Ihrem Browser). Alle Daten werden verschlüsselt übertragen. Darüber hinaus setzen wir umfangreiche technische und organisatorische Maßnahmen ein: Content Security Policy (CSP), Rate-Limiting, CSRF-Schutz, verschlüsselte Datenspeicherung und regelmäßige Sicherheitsüberprüfungen.
10. Cookies
Technisch notwendige Cookies setzen wir immer. Cookies und vergleichbare Speichertechniken für Analyse und Marketing setzen wir ausschließlich nach Ihrer Einwilligung; Sie können diese jederzeit über „Cookie-Einstellungen" im Seitenfuß widerrufen. Eine Übersicht:
| Cookie | Zweck | Dauer | Typ |
|---|---|---|---|
| dr_session | Session-Management (Login) | 24 Stunden | Essenziell |
| dr_csrf | CSRF-Schutz | Session | Essenziell |
| dr_cookie_consent | Speicherung Ihrer Cookie-Präferenzen | 365 Tage | Essenziell |
| dr_locale | Spracheinstellung | 365 Tage | Essenziell |
| dr_theme | Farbschema-Präferenz | 365 Tage | Essenziell |
| dr_country | Länderauswahl | 365 Tage | Essenziell |
| _ga, _ga_* | Google Analytics 4 — Unterscheidung von Besuchern, Reichweitenmessung | bis 24 Monate | Analyse (nur mit Einwilligung) |
| _fbp | Meta-Pixel — Zuordnung von Werbekontakten | 90 Tage | Marketing (nur mit Einwilligung) |
11. Nutzungsanalyse des Bestellvorgangs
Um unseren Bestellprozess zu verbessern, erfassen wir, welche Schritte des Bestellvorgangs aufgerufen, abgeschlossen oder abgebrochen werden. Diese Messung erfolgt ohne Cookies und ohne Speicherung Ihrer IP-Adresse unter einer zufälligen, nicht auf Ihre Person rückführbaren Sitzungskennung. Nur wenn Sie in unserem Cookie-Banner in Marketing eingewilligt haben und eingeloggt sind, verknüpfen wir diese Messdaten zusätzlich mit Ihrem Kundenkonto und Ihrer Bestellung, um Ihre Nutzung unseres Angebots nachvollziehen und verbessern zu können (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO). Sie können diese Einwilligung jederzeit über die Cookie-Einstellungen widerrufen; bereits erhobene verknüpfte Daten löschen wir auf Anfrage.
12. Nachschub-Erinnerungen und Newsletter
Wenn Sie es in Ihrem Konto oder beim Abschluss einer Bestellung ausdrücklich einschalten, berechnen wir aus Ihrer Bestellung (Packungsgröße, Anwendung laut Fachinformation, Abstand Ihrer bisherigen Bestellungen oder Ihrer eigenen Angabe), wie lange Ihr Vorrat voraussichtlich reicht, und erinnern Sie per E-Mail, bevor er aufgebraucht ist (höchstens zwei E-Mails je Bestellung). Die E-Mails nennen nur Ihren Behandlungsbereich, kein Präparat. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO); Sie können sie jederzeit im Patientenportal unter „Mein Nachschub“ oder über den Link in jeder Erinnerung widerrufen. Den allgemeinen Newsletter (Magazin-Themen, Service-Neuigkeiten) erhalten Sie nur nach Anmeldung mit Bestätigung Ihrer E-Mail-Adresse (Double-Opt-in); die Abmeldung ist über den Link in jeder Ausgabe möglich. Wir protokollieren Zeitpunkt und Quelle Ihrer Einwilligung sowie je E-Mail nur Typ und Zustellergebnis, nicht den Inhalt.