1. Verantwortlicher
MEDICARE HEALTH GROUP LTD
First Floor Office, 3 Hornton Place, London, W8 4LZ, United Kingdom
Vertreten durch den Director: Houssem Sefi
Company Number: 17089430 (England and Wales)
Umsatzsteuernummer (UK, VAT Reg. No.): GB 528 4853 61
Datenschutzbeauftragter: Derzeit nicht bestellt, da die gesetzlichen Voraussetzungen nach Art. 37 DSGVO geprüft werden.
2. Welche Daten verarbeiten wir?
- •Account- und Kontaktdaten (z.B. E-Mail, ggf. Telefonnummer) zur Verifizierung (OTP), Kommunikation und Status-Updates.
- •Bestell-/Vertragsdaten (Behandlung, Warenkorb, Rechnungsdaten, Lieferadresse).
- •Gesundheitsdaten (Fragebogenangaben) ausschließlich zur medizinischen Prüfung/Abwicklung und nur soweit erforderlich.
- •Technische Daten (Logfiles, Sicherheitsereignisse) zur Stabilität, Missbrauchsschutz und Fehleranalyse.
3. Zwecke & Rechtsgrundlagen
- •Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — Bearbeitung von Bestellungen, Rezeptanfragen, Kommunikation.
- •Sicherheit/Missbrauchsvermeidung (Art. 6 Abs. 1 lit. f DSGVO) — Schutz vor Betrug, Rate-Limiting, Logging.
- •Erfüllung gesetzlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO) — Steuerliche Aufbewahrung, arzneimittelrechtliche Dokumentation.
- •Gesundheitsdaten (Art. 9 Abs. 2 lit. h DSGVO) — Verarbeitung zum Zweck der Gesundheitsversorgung auf Grundlage des Behandlungsvertrags. Fragebogenangaben werden ausschließlich zur ärztlichen Eignungsprüfung verarbeitet und pseudonymisiert gespeichert.
- •Einwilligung (Art. 9 Abs. 2 lit. a, Art. 6 Abs. 1 lit. a DSGVO) — Soweit eine ausdrückliche Einwilligung eingeholt wird (z. B. bei optionalen Cookies oder Zusatzleistungen).
- •Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO) — Anonyme, aggregierte Zählung gleichzeitiger Besucher zur Beurteilung der Auslastung. Es werden KEINE Cookies gesetzt und keine Geräte- oder Nutzerprofile gebildet; aus IP-Adresse und Browserkennung wird mit einem täglich wechselnden, geheimen Zufallswert eine nicht umkehrbare Kurzzeit-Kennung gebildet, die nach 60 Sekunden verfällt. Eine Wiedererkennung über den Tag hinaus oder eine Zuordnung zu einer Person ist ausgeschlossen. Die IP-Adresse wird hierfür nicht gespeichert.
Hinweis:Gesundheitsdaten unterliegen der ärztlichen Schweigepflicht und werden verschlüsselt übertragen (TLS 1.3) sowie in einer EU-Infrastruktur gespeichert.
4. Empfänger / Auftragsverarbeiter
- •Hetzner Online GmbH (Hosting, Industriestr. 25, 91710 Gunzenhausen, Deutschland) — Serverbetrieb und Datenspeicherung innerhalb der EU. AVV abgeschlossen.
- •Microsoft Ireland Operations Ltd. (Microsoft 365, E-Mail-Versand für Anmeldecodes, Ersatzweg für Benachrichtigungen, One Microsoft Place, Dublin 18, Irland) — Auftragsverarbeitung, Serverstandort EU.
- •Amazon Web Services EMEA SARL (Amazon Simple Email Service, E-Mail-Versand für Benachrichtigungen und den Newsletter, 38 Avenue John F. Kennedy, L-1855 Luxemburg) — Auftragsverarbeitung auf Grundlage des AWS-Datenverarbeitungszusatzes (Bestandteil der AWS-Servicebedingungen), Serverstandort EU (Frankfurt).
- •PayPal (Europe) S.à r.l. et Cie, S.C.A. (Zahlungsabwicklung, 22-24 Boulevard Royal, L-2449 Luxemburg) — Zahlungen per PayPal, Kredit- oder Debitkarte, Apple Pay, Google Pay und SEPA-Lastschrift, auch ohne PayPal-Konto. PayPal verarbeitet die Zahlungsdaten als eigenständiger Verantwortlicher; zuständig ist die PayPal-Gesellschaft im Land Ihres Wohnsitzes, in der EU die hier genannte. Wir übermitteln an PayPal nur Betrag, Bestellreferenz und eine neutrale Beschreibung (z. B. „Rezeptgebühr“), keine Angaben zu Ihrer Behandlung; Ihre Zahlungsdaten geben Sie direkt bei PayPal ein. Bei Apple Pay und Google Pay gelten zusätzlich die Datenschutzbestimmungen von Apple bzw. Google. Bis zum 16. September 2026 wurden Zahlungen über Stripe Inc. abgewickelt. Details zur Übermittlung siehe Abschnitt 7.
- •Cloudflare Inc. / Turnstile (Bot-Schutz) — Verarbeitung technischer Daten zur Unterscheidung Mensch/Bot. Kein Tracking, DSGVO-konform.
- •Kooperierende Ärzt:innen / Partnerapotheke — Medizinische Prüfung und Rezeptausstellung bzw. Versand von Arzneimitteln. Verarbeitung auf Grundlage des Behandlungsvertrags.
- •Daily.co (Anbieter: Daily.co, Inc.) — Technischer Dienstleister für die Durchführung von Video-Sprechstunden. Verarbeitet werden ausschließlich die während des Gesprächs anfallenden Audio- und Videodaten zum Zweck der Echtzeit-Übertragung. Das Medien-Routing erfolgt in der EU-Region (Frankfurt). Es findet KEINE Aufzeichnung der Sprechstunde statt. Mit Daily.co besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
- •Google Ireland Ltd. (Google Analytics 4, Reichweitenmessung, Gordon House, Barrow Street, Dublin 4, Irland) — nur nach Ihrer Einwilligung in die Kategorie „Analyse". Übermittelt werden pseudonyme Nutzungsdaten; die Seitenadresse wird vor dem Versand um behandlungsbezogene Angaben bereinigt. Eine Übermittlung in die USA ist nicht ausgeschlossen (Angemessenheitsbeschluss EU-US Data Privacy Framework).
- •Meta Platforms Ireland Ltd. (Meta-Pixel, Werbeerfolgsmessung, Merrion Road, Dublin 4, Irland) — nur nach Ihrer Einwilligung in die Kategorie „Marketing". Ohne diese Einwilligung wird das Pixel nicht geladen und es verlässt kein Datum Ihren Browser.
- •Google Ireland Ltd. (Google Wallet, Gordon House, Barrow Street, Dublin 4, Irland) — Nur wenn Sie den Patientenausweis in Google Wallet speichern: Die Ausweisdaten (Patientennummer, Name, behandelnde Praxis) werden dabei in einem signierten Token an Google übermittelt. Der Apple-Wallet-Pass wird dagegen vollständig auf unseren Servern erzeugt und signiert und direkt an Ihr Gerät ausgeliefert — an Apple werden dabei keine Daten übermittelt.
5. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen:
- •Account-Daten: Bis zur Löschung des Kontos + 30 Tage Nachfrist.
- •Bestellungen und Rechnungsdaten: 10 Jahre (§ 257 HGB, § 147 AO).
- •Gesundheitsdaten (Fragebögen): 10 Jahre nach Behandlungsende (§ 10 Abs. 3 MBO-Ä).
- •Server-Logfiles: 90 Tage.
- •Cookies: Je nach Cookie zwischen 1 Stunde (Session) und 365 Tagen (Consent-Präferenz).
6. Deine Rechte
Du hast u.a. das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit widerrufen. Außerdem kannst du dich bei einer Aufsichtsbehörde beschweren.
7. Drittlandtransfer
Zahlungen: Die für Kundinnen und Kunden in der EU zuständige PayPal-Gesellschaft hat ihren Sitz in Luxemburg. Übermittelt PayPal Daten innerhalb des PayPal-Konzerns in Länder außerhalb der EU, stützt sich PayPal auf verbindliche interne Datenschutzvorschriften (Binding Corporate Rules), die von den zuständigen Aufsichtsbehörden genehmigt sind (Art. 47 DSGVO); für andere Übermittlungen nutzt PayPal nach eigenen Angaben Angemessenheitsbeschlüsse oder EU-Standardvertragsklauseln. Unser Händlerkonto führt PayPal UK Ltd (5 Fleet Place, London EC4M 7RD, Vereinigtes Königreich); für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Für Zahlungen bis zum 16. September 2026 war Stripe Inc. Zahlungsdienstleister; diese Daten verarbeitet Stripe in den USA auf Grundlage von EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO, Stripe ist zudem nach dem EU-US Data Privacy Framework zertifiziert. Alle anderen Auftragsverarbeiter verarbeiten Daten ausschließlich innerhalb der EU/des EWR.
8. Automatisierte Entscheidungsfindung
Die Auswertung Ihres Gesundheitsfragebogens dient der Strukturierung für die ärztliche Prüfung. Es findet keine vollautomatisierte Entscheidung im Sinne von Art. 22 DSGVO statt — jede Rezeptentscheidung wird individuell durch einen zugelassenen Arzt getroffen. Sie haben jederzeit das Recht auf menschliche Überprüfung.
9. SSL/TLS & Sicherheitsmaßnahmen
Diese Website nutzt eine SSL/TLS-Verschlüsselung (erkennbar am Schlosssymbol in Ihrem Browser). Alle Daten werden verschlüsselt übertragen. Darüber hinaus setzen wir umfangreiche technische und organisatorische Maßnahmen ein: Content Security Policy (CSP), Rate-Limiting, CSRF-Schutz, verschlüsselte Datenspeicherung und regelmäßige Sicherheitsüberprüfungen.
10. Cookies
Technisch notwendige Cookies setzen wir immer. Cookies und vergleichbare Speichertechniken für Analyse und Marketing setzen wir ausschließlich nach Ihrer Einwilligung; Sie können diese jederzeit über „Cookie-Einstellungen" im Seitenfuß widerrufen. Eine Übersicht:
| Cookie | Zweck | Dauer | Typ |
|---|---|---|---|
| dr_session | Session-Management (Login) | 24 Stunden | Essenziell |
| dr_csrf | CSRF-Schutz | Session | Essenziell |
| dr_cookie_consent | Speicherung Ihrer Cookie-Präferenzen | 365 Tage | Essenziell |
| dr_locale | Spracheinstellung | 365 Tage | Essenziell |
| dr_theme | Farbschema-Präferenz | 365 Tage | Essenziell |
| dr_country | Länderauswahl | 365 Tage | Essenziell |
| _ga, _ga_* | Google Analytics 4 — Unterscheidung von Besuchern, Reichweitenmessung | bis 24 Monate | Analyse (nur mit Einwilligung) |
| _fbp | Meta-Pixel — Zuordnung von Werbekontakten | 90 Tage | Marketing (nur mit Einwilligung) |
11. Nutzungsanalyse des Bestellvorgangs
Um unseren Bestellprozess zu verbessern, erfassen wir, welche Schritte des Bestellvorgangs aufgerufen, abgeschlossen oder abgebrochen werden. Diese Messung erfolgt ohne Cookies und ohne Speicherung Ihrer IP-Adresse unter einer zufälligen, nicht auf Ihre Person rückführbaren Sitzungskennung. Nur wenn Sie in unserem Cookie-Banner in Marketing eingewilligt haben und eingeloggt sind, verknüpfen wir diese Messdaten zusätzlich mit Ihrem Kundenkonto und Ihrer Bestellung, um Ihre Nutzung unseres Angebots nachvollziehen und verbessern zu können (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO). Sie können diese Einwilligung jederzeit über die Cookie-Einstellungen widerrufen; bereits erhobene verknüpfte Daten löschen wir auf Anfrage.
12. Nachschub-Erinnerungen und Newsletter
Wenn Sie es in Ihrem Konto oder beim Abschluss einer Bestellung ausdrücklich einschalten, berechnen wir aus Ihrer Bestellung (Packungsgröße, Anwendung laut Fachinformation, Abstand Ihrer bisherigen Bestellungen oder Ihrer eigenen Angabe), wie lange Ihr Vorrat voraussichtlich reicht, und erinnern Sie per E-Mail, bevor er aufgebraucht ist (höchstens zwei E-Mails je Bestellung). Die E-Mails nennen nur Ihren Behandlungsbereich, kein Präparat. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO); Sie können sie jederzeit im Patientenportal unter „Mein Nachschub“ oder über den Link in jeder Erinnerung widerrufen. Den allgemeinen Newsletter (Magazin-Themen, Service-Neuigkeiten) erhalten Sie nur nach Anmeldung mit Bestätigung Ihrer E-Mail-Adresse (Double-Opt-in); die Abmeldung ist über den Link in jeder Ausgabe möglich. Wir protokollieren Zeitpunkt und Quelle Ihrer Einwilligung sowie je E-Mail nur Typ und Zustellergebnis, nicht den Inhalt.
13. Bewertungsanfragen
Nach einer bezahlten Bestellung bitten wir Sie einmalig per E-Mail um eine Bewertung unseres Services auf dem Bewertungsportal Trustpilot. Die E-Mail nennt weder ein Präparat noch Ihren Behandlungsbereich; bewertet wird ausschließlich Ihre Erfahrung mit unserer Plattform. Rechtsgrundlage ist unser berechtigtes Interesse an der Rückmeldung unserer Kundinnen und Kunden im Rahmen des § 7 Abs. 3 UWG (Art. 6 Abs. 1 lit. f DSGVO). Sie können der Verwendung Ihrer E-Mail-Adresse zu diesem Zweck jederzeit widersprechen — mit einem Klick auf den Abmeldelink in jeder dieser E-Mails oder im Patientenportal unter „Profil“; hierfür entstehen Ihnen keine anderen als die Übermittlungskosten nach den Basistarifen. Je Bestellung versenden wir höchstens eine solche Anfrage, je Person höchstens eine innerhalb von 90 Tagen. Wir speichern dazu, zu welcher Bestellung wann eine Anfrage versandt wurde, sowie je E-Mail nur Typ und Zustellergebnis, nicht den Inhalt. Klicken Sie auf den Bewertungslink, verlassen Sie unsere Website; für die Verarbeitung auf Trustpilot ist die Trustpilot A/S verantwortlich, es gilt deren Datenschutzerklärung.
14. Patientenforum
Alle Nutzerinnen und Nutzer mit einem Konto im Patientenportal können dort einem Forum beitreten, um sich über ihre Erfahrungen auszutauschen. Dabei verarbeiten wir einen selbst gewählten Namen (Pseudonym), Zeitpunkt und Fassung Ihrer Einwilligung, Ihre Themen, Beiträge und Meldungen sowie Moderationsvermerke (Ausblendung oder Sperre, jeweils mit Grund). Ihr Klarname, Ihre E-Mail-Adresse und Ihre Bestellungen sind für andere Mitglieder nicht sichtbar; Beiträge sehen nur angemeldete Mitglieder des Forums. Da Beiträge Angaben zu Ihrer Gesundheit enthalten können, ist Rechtsgrundlage Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a, Art. 6 Abs. 1 lit. a DSGVO), die Sie beim Beitritt erteilen und jederzeit mit Wirkung für die Zukunft widerrufen können: im Forum über „Forum verlassen“ oder über unseren Support. Beim Austritt ersetzen wir Ihre Themen und Beiträge durch den Vermerk „[entfernt]“ und löschen Ihr Pseudonym; waren Sie gesperrt, bewahren wir nur den Sperrvermerk ohne Pseudonym auf, damit die Sperre bestehen bleibt (Art. 6 Abs. 1 lit. f DSGVO). Eigene Beiträge können Sie jederzeit entfernen; sie werden dann nicht mehr angezeigt, der Inhalt bleibt aber zur Bearbeitung von Meldungen gespeichert, bis Ihr Konto gelöscht wird. Mit der Löschung Ihres Kontos ersetzen wir Ihre Themen und Beiträge durch den Vermerk „[entfernt]“ und löschen Ihr Pseudonym. Beiträge, die gegen die Forumsregeln verstoßen, können unser Team und von uns ernannte Moderatorinnen und Moderatoren (Mitglieder des Forums) ausblenden; Moderatorinnen und Moderatoren sehen dabei auch ausgeblendete Beiträge. Sie sehen einen ausgeblendeten Beitrag weiterhin, zusammen mit dem Grund. Wer einen Beitrag gemeldet hat, erfährt die betroffene Person nicht. Jede Moderationshandlung wird protokolliert (Art. 6 Abs. 1 lit. f DSGVO).