Datenschutz

Datenschutzerklärung der Digitale Patientenhilfe GmbH für die Website praxisflow.de
Stand: Juni 2026

Die Digitale Patientenhilfe GmbH nimmt den Schutz Ihrer persönlichen Daten und Ihrer Privatsphäre sehr ernst. Wir verarbeiten Ihre personenbezogenen Daten nur in Übereinstimmung mit den gesetzlichen Regelungen, insbesondere mit der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“) und dem Bundesdatenschutzgesetz (BDSG).

Diese Datenschutzerklärung informiert Sie gemäß den Art. 13 und 14 DSGVO über unsere Verarbeitung Ihrer personenbezogenen Daten und Ihre Rechte als Betroffener unserer Datenverarbeitung bei Nutzung unserer Website praxisflow.de sowie unseres Patientenservices (Terminanfragen über WhatsApp oder über das Web-Portal app.praxisflow.de).

1. Verantwortlicher und Datenschutzbeauftragter

Verantwortlich für die in dieser Datenschutzerklärung beschriebenen Datenverarbeitungen ist:

Digitale Patientenhilfe GmbH
Ickstattstraße 9 RGB
80469 München
Telefon: +49 89 904 293 272
E-Mail: gdpr@digitalepatientenhilfe.de

Unseren Datenschutzbeauftragten erreichen Sie unter den folgenden Kontaktdaten:

Dr. Bernhard Freund
PLANIT // LEGAL Rechtsanwaltsgesellschaft mbH
Jungfernstieg 1
20095 Hamburg
E-Mail: mail@planit.legal

Für den unter Ziffer 2 d) beschriebenen Patientenservice handeln wir als Auftragsverarbeiter im Auftrag der jeweiligen medizinischen Einrichtung. Datenschutzrechtlich Verantwortlicher ist in diesen Fällen die medizinische Einrichtung; dort sind auch Ihre Betroffenenrechte primär geltend zu machen (siehe Ziffer 6).

2. Zwecke und Rechtsgrundlagen unserer Datenverarbeitungen

Der Zweck und die Rechtsgrundlage unserer Datenverarbeitung hängen davon ab, welche unserer Dienste oder Leistungen Sie in Anspruch nehmen.

a) Besuch unserer Website

Wenn Sie unsere Website aufrufen, erheben und verarbeiten wir Internetverbindungsdaten, die der von Ihnen genutzte Browser automatisch an unsere Server übermittelt. Bei diesen Daten handelt es sich um Ihre IP-Adresse und weitere Nutzungsdaten (z. B. Datum und Uhrzeit des Aufrufs, Name der aufgerufenen Seite, übertragene Datenmenge und den anfragenden Provider).

Wir benötigen diese Informationen, um Ihnen die Nutzung unserer Website zu ermöglichen, zum Beispiel durch Anpassung der Website auf die technischen Voraussetzungen Ihres Endgeräts. Bei diesen Internetverbindungsdaten kann es sich auch um personenbezogene Daten handeln.

Rechtsgrundlage für diese Datenverarbeitung ist unser berechtigtes Interesse, die Sicherheit und Nutzbarkeit unserer Website zu gewährleisten, Art. 6 Abs. 1 Buchst. f) DSGVO.

b) Kontaktaufnahme und Terminbuchung

Auf unserer Website haben Sie die Möglichkeit, über ein Kontaktformular oder eine Terminbuchungsfunktion („Erstgespräch buchen“) mit uns in Kontakt zu treten. Dabei erheben wir die von Ihnen eingegebenen Daten, insbesondere Ihren Namen, Ihre E-Mail-Adresse, Ihre Telefonnummer sowie ggf. den Namen und die Art Ihrer Einrichtung (Praxis, MVZ, Klinik).

Wir verwenden diese Daten ausschließlich zur Bearbeitung Ihrer Anfrage und zur Durchführung vorvertraglicher Maßnahmen.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b) DSGVO (Durchführung vorvertraglicher Maßnahmen) sowie Art. 6 Abs. 1 Buchst. f) DSGVO (unser berechtigtes Interesse an der Beantwortung von Anfragen).

c) Google Calendar

Für die Terminbuchung setzen wir Google Calendar (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) ein. Wenn Sie einen Termin über unsere Website buchen, werden Ihre Terminanfragedaten (Name, E-Mail-Adresse, gewählter Zeitpunkt) an Google übermittelt.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b) DSGVO (Durchführung vorvertraglicher Maßnahmen). Die Datenübermittlung in die USA erfolgt auf Grundlage des EU-U.S. Data Privacy Frameworks gem. Art. 45 DSGVO. Weitere Informationen finden Sie in der Datenschutzerklärung von Google unter: https://policies.google.com/privacy.

d) Patientenservice: Terminanfragen über WhatsApp oder über unser Web-Portal

Patientinnen und Patienten medizinischer Einrichtungen, die unseren Dienst Praxisflow einsetzen, können Untersuchungstermine über WhatsApp oder direkt über unser Web-Portal (app.praxisflow.de) anfragen. Für die in diesem Abschnitt beschriebenen Datenverarbeitungen handeln wir als Auftragsverarbeiter gem. Art. 28 DSGVO im Auftrag der jeweiligen medizinischen Einrichtung. Datenschutzrechtlich Verantwortlicher ist die medizinische Einrichtung, bei der Sie Ihren Termin anfragen.

Ablauf: Bei der Variante über WhatsApp werden Sie nach Scannen eines QR-Codes in der Einrichtung in einen Chat geleitet, dort um Ihre Einwilligung gebeten und erhalten anschließend einen einmaligen, geschützten Link zu unserem Web-Portal app.praxisflow.de zum Hochladen Ihres Überweisungsscheins. Bei der Variante direkt über das Web-Portal geben Sie Ihre Kontaktdaten (E-Mail, Telefonnummer) auf der Website ein und laden dort Ihren Überweisungsschein hoch.

Trennung der Datenflüsse: Ihre Gesundheitsdaten – insbesondere die Inhalte des Überweisungsscheins – werden ausschließlich über unser geschütztes Web-Portal app.praxisflow.de übertragen und verarbeitet. Gesundheitsdaten werden nicht über WhatsApp übermittelt. Über den WhatsApp-Chat selbst werden ausschließlich neutrale Nachrichten ausgetauscht (z. B. die Einwilligungsabfrage, der Link zum Upload-Portal, Terminvorschläge mit Datum, Uhrzeit und Standort sowie Ihre Antwort darauf).

Die Inhalte des Überweisungsscheins werden automatisiert mittels Texterkennung (OCR) und eines KI-gestützten Sprachmodells ausgelesen, das ausschließlich lokal auf unseren Servern in Deutschland betrieben wird. Eine Übermittlung der Schein-Inhalte an externe KI-Anbieter findet nicht statt. Anschließend werden Ihnen verfügbare Termine vorgeschlagen, die nach Ihrer Auswahl im Terminkalender der medizinischen Einrichtung gebucht werden. Sie erhalten eine Terminbestätigung per SMS und/oder E-Mail.

Verarbeitete Daten: Ihre Kontaktdaten (Name, Telefonnummer, ggf. E-Mail-Adresse, ggf. Anschrift), bei der WhatsApp-Variante Ihre WhatsApp-Telefonnummer sowie die Inhalte und Zeitstempel der Chat-Nachrichten, das Bild bzw. die Datei des Überweisungsscheins, die daraus extrahierten Daten (insbesondere Identifikationsdaten, Angaben zur Krankenversicherung und zur überweisenden Ärztin/zum überweisenden Arzt), Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO (insbesondere die angeforderte Untersuchung sowie Diagnose- oder Verdachtsdiagnose-Angaben), Ihre Antworten auf gesundheitsbezogene Rückfragen (z. B. zum Vorhandensein eines Herzschrittmachers) sowie technische Verbindungsdaten beim Zugriff auf das Portal.

Schutzmaßnahmen: Die Übertragung erfolgt verschlüsselt (HTTPS/TLS), die Speicherung erfolgt verschlüsselt (AES-256). Der Zugriff ist auf wenige, hierfür geschulte und zur Vertraulichkeit verpflichtete Mitarbeitende beschränkt und wird protokolliert.

Empfänger: Für die Terminbuchung übermitteln wir die erforderlichen Daten in das von der medizinischen Einrichtung eingesetzte Terminmanagementsystem Doctolib (Doctolib GmbH, Mehringdamm 51, 10961 Berlin). Ergänzend übermitteln wir bestimmte Daten (Name, Kontaktdaten, ggf. Anschrift, Überweisungsschein) an das von der medizinischen Einrichtung eingesetzte klinische Informationssystem PINK (PINK.solutions GmbH, Am Marstall 14, 30159 Hannover). Weitere Auftragsdatenverarbeiter siehe Ziffer 3.

Rechtsgrundlage: Ihre ausdrückliche Einwilligung gem. Art. 6 Abs. 1 Buchst. a) DSGVO sowie — bezüglich der Gesundheitsdaten — Art. 9 Abs. 2 Buchst. a) DSGVO. Sie erteilen diese Einwilligung gegenüber der medizinischen Einrichtung als Verantwortliche. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (siehe Ziffer 6); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Hinweise zur sicheren Nutzung:

Wir empfehlen, Ihren Überweisungsschein und sonstige sensible Angaben ausschließlich über den geschützten Upload-Link bzw. unser Web-Portal zu übermitteln und nicht als freie WhatsApp-Nachricht. Alle Nachrichten, die Sie selbst über den WhatsApp-Chat senden – einschließlich Texten, Bildern und Sprachnachrichten – werden technisch über die Infrastruktur von WhatsApp (Meta) übertragen und können dort nach den eigenen Regeln von Meta gespeichert werden (siehe Ziffer 4).

Bilder, die Sie über den WhatsApp-Chat senden, werden von uns ausschließlich dann als Überweisungsschein verarbeitet, wenn Sie sie über den für Sie generierten Upload-Link übermitteln. Außerhalb dieses Upload-Vorgangs gesendete Bilder verarbeiten wir nicht.

Alternativ können Sie Ihren Termin jederzeit über die regulären Kanäle der medizinischen Einrichtung (z. B. telefonisch oder vor Ort) vereinbaren.

e) Erfüllung gesetzlicher Pflichten

Wir können Ihre personenbezogenen Daten ferner verarbeiten, wenn wir hierzu gesetzlich verpflichtet sind. Solche Pflichten können insbesondere die Aufbewahrung bestimmter Daten gem. Handels- und Steuerrecht verlangen sowie ggf. zur Erfüllung der uns obliegenden datenschutzrechtlichen Rechenschafts- und Dokumentationspflichten geboten sein.

3. Empfänger Ihrer Daten

Wir setzen technische Dienstleister ein, insbesondere für das Hosting unserer Website und der Anwendungs-Infrastruktur sowie für die von uns genutzten Kommunikationswerkzeuge. Diese Unternehmen können Ihre personenbezogenen Daten nach unseren Weisungen als unsere Auftragsverarbeiter gem. Art. 28 DSGVO verarbeiten. Im Einzelnen:

Hosting der Website praxisflow.de: Raidboxes GmbH, Hafenstraße 32, 48153 Münster, Deutschland.

Hosting der Anwendungs-Infrastruktur (einschließlich app.praxisflow.de und Patientendaten): Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland.

Kommunikation mit Patientinnen und Patienten via WhatsApp, SMS und E-Mail-Bestätigungen: Twilio Ireland Limited, 70 Sir John Rogerson’s Quay, Dublin 2, D02 R296, Irland.

Terminbuchung Geschäftskunden: Google Ireland Limited (Google Calendar) – siehe Ziffer 2 c).

Im Rahmen des Patientenservices (Ziffer 2 d)) übermitteln wir Ihre Daten zudem an das von der jeweiligen medizinischen Einrichtung eingesetzte Terminmanagementsystem (Doctolib GmbH, Mehringdamm 51, 10961 Berlin) sowie an das klinische Informationssystem PINK (PINK.solutions GmbH, Am Marstall 14, 30159 Hannover). Diese Empfänger handeln im Auftrag der medizinischen Einrichtung.

Anderen Dritten legen wir Ihre Daten nur offen, wenn wir hierzu gesetzlich verpflichtet sind oder hierfür eine gesonderte Rechtsgrundlage gegeben ist.

4. Datentransfers in Drittstaaten

Unsere Website praxisflow.de sowie unsere Anwendungs-Infrastruktur (einschließlich app.praxisflow.de und der im Rahmen des Patientenservices verarbeiteten Daten) werden auf Servern in Deutschland gehostet (siehe Ziffer 3). Das automatisierte Auslesen der Überweisungsscheine erfolgt auf eigener Infrastruktur in Deutschland; es findet keine Übermittlung an externe KI-Anbieter statt.

In folgenden Fällen können personenbezogene Daten an Server in Drittstaaten, insbesondere die USA, übertragen werden:

Google Calendar (Ziffer 2 c)): Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert; die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses gem. Art. 45 DSGVO.

WhatsApp-Kommunikation: Bei der Nutzung des WhatsApp-Kanals (Ziffer 2 d)) erfolgt die technische Übermittlung der Nachrichten über die WhatsApp Business API von Twilio. WhatsApp wird von Meta Platforms Ireland Limited betrieben; eine Übermittlung von Daten an Meta Platforms, Inc. (USA) erfolgt im Rahmen der WhatsApp-Infrastruktur. Meta ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO). Meta verarbeitet im Zusammenhang mit Ihrer WhatsApp-Nutzung zudem eigenverantwortlich Daten (insbesondere Metadaten und Nachrichteninhalte nach eigenen Regeln und Speicherfristen); hierauf haben wir keinen Einfluss. Informationen hierzu finden Sie in der Datenschutzerklärung von WhatsApp unter: https://www.whatsapp.com/legal/privacy-policy-eea.

Sofern das Datenschutzniveau nicht durch einen Angemessenheitsbeschluss gewährleistet wird, stellen wir durch geeignete Garantien im Sinne des Art. 46 DSGVO (insbesondere Standardvertragsklauseln der EU-Kommission) ein angemessenes Datenschutzniveau sicher.

5. Speicherdauer

Wir löschen Ihre personenbezogenen Daten, sobald ihre Verarbeitung für die in dieser Datenschutzerklärung erläuterten Zwecke nicht mehr erforderlich ist und es keine sonstige Rechtsgrundlage für die weitere Verarbeitung gibt.

Daten, die im Zusammenhang mit Ihrer Kontaktanfrage als Geschäftskunde oder Terminbuchung (Ziffer 2 b–c) erhoben werden, löschen wir spätestens 6 Monate nach Abschluss der Kommunikation, sofern kein Vertragsverhältnis zustande kommt.

Daten aus dem Patientenservice (Ziffer 2 d)) — einschließlich Chat-Verläufen, hochgeladenen Überweisungsschein-Dateien und der daraus extrahierten Daten — löschen wir 6 Monate nach Ihrer letzten Aktivität (z. B. letzte Nachricht oder Buchung). In Datensicherungen (Backups) können gelöschte Daten für weitere bis zu 30 Tage vorgehalten werden, bis diese durch die Backup-Rotation überschrieben werden.

Für Daten, die im Rahmen der WhatsApp-Kommunikation bei Meta gespeichert werden, gelten die Speicherfristen von WhatsApp/Meta (siehe Ziffer 4).

Wenn und solange einer Löschung gesetzliche Aufbewahrungspflichten entgegenstehen, beschränken wir die Verarbeitung Ihrer Daten auf diesen Archivierungszweck (sogenannte Datensperrung) und löschen Ihre Daten mit Ablauf der Aufbewahrungsfrist. Typische Aufbewahrungsfristen nach dem deutschen Handels- und Steuerrecht betragen sechs Jahre zum Jahresende für Geschäftsbriefe (einschließlich E-Mails) und zehn Jahre zum Jahresende für buchhaltungsrelevante Daten.

6. Ihre Rechte

Als Betroffene(r) der Datenverarbeitung haben Sie unter den jeweiligen gesetzlichen Voraussetzungen die folgenden Rechte:

Das Recht auf Bestätigung, ob wir auf Ihre Person bezogene Daten verarbeiten, und auf Auskunft über diese Daten sowie auf eine Datenkopie (Art. 15 DSGVO).

Das Recht auf Berichtigung unrichtiger personenbezogener Daten (Art. 16 DSGVO).

Das Recht auf Löschung Ihrer personenbezogenen Daten (Art. 17 DSGVO).

Das Recht auf Einschränkung (Sperrung) der Verarbeitung (Art. 18 DSGVO).

Das Recht auf Datenübertragbarkeit (Art. 20 DSGVO).

Im Falle einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 Buchst. e) oder f) DSGVO können Sie unter den Voraussetzungen des Art. 21 Abs. 1 DSGVO Widerspruch gegen die betreffende Verarbeitung erheben. Einer Verarbeitung zu Zwecken der Direktwerbung können Sie jederzeit und ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO).

Beruht die Verarbeitung auf Ihrer Einwilligung gemäß Art. 6 Abs. 1 Buchst. a) DSGVO oder Art. 9 Abs. 2 Buchst. a) DSGVO, so können Sie Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Ihren Widerspruch oder Widerruf können Sie formlos, beispielsweise per E-Mail, an gdpr@digitalepatientenhilfe.de richten.

Hinweis für Patientinnen und Patienten: Für den unter Ziffer 2 d) beschriebenen Patientenservice ist die jeweilige medizinische Einrichtung verantwortlich. Anfragen zur Ausübung Ihrer Betroffenenrechte richten Sie bitte bevorzugt direkt an die Einrichtung. Anfragen, die uns erreichen, leiten wir an die zuständige Einrichtung weiter und unterstützen diese bei der Bearbeitung.

Sie haben außerdem das Recht, sich an die zuständige Datenschutzaufsichtsbehörde zu wenden (Art. 77 DSGVO). Wenn Sie Ihre Betroffenenrechte ausüben möchten oder sonstige Fragen oder Beschwerden zum Datenschutz haben, können Sie sich jederzeit unter den oben angegebenen Kontaktdaten an unseren Datenschutzbeauftragten wenden.

7. Automatisierte Entscheidungsfindung

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung Ihrer Daten beruhen und die Ihnen gegenüber eine rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO).

Das im Rahmen des Patientenservices (Ziffer 2 d)) eingesetzte automatisierte Auslesen Ihres Überweisungsscheins und die automatisierte Ermittlung passender Terminvorschläge dienen ausschließlich dazu, Ihnen verfügbare Termine anzuzeigen. Eine Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung wird hierdurch nicht getroffen, da Sie selbst entscheiden, ob und welchen der vorgeschlagenen Termine Sie auswählen. Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt.

8. Änderung dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung jederzeit aktualisieren, etwa aufgrund neuer rechtlicher Vorgaben, der technischen Entwicklung oder einer Änderung oder Ergänzung unserer Services. Die aktuelle Version finden Sie immer auf dieser Website.