Datenschutzerklärung
Nthera Yintaro, Praxisverwaltung für Physiotherapie
1. Verantwortlicher
Verantwortlich für die Datenverarbeitung ist die jeweilige Physiotherapiepraxis, die diese App einsetzt. Die technische Entwicklung und Wartung erfolgt durch Johannes Lauber Softwareentwicklung, Tübinger Str. 69, 70178 Stuttgart. Für Fragen zum Datenschutz können Sie sich jederzeit an die Praxis oder den Entwickler wenden (mail@nthera.de).
2. Allgemeine Hinweise
Der Schutz Ihrer personenbezogenen Daten und insbesondere der sensiblen Gesundheitsdaten ist uns ein besonderes Anliegen. Diese Datenschutzerklärung erläutert, welche Daten in der App verarbeitet werden, zu welchen Zwecken dies geschieht und welche Rechte Sie als betroffene Person haben. Wir verarbeiten Ihre Daten ausschließlich im Rahmen der geltenden Datenschutzgesetze, insbesondere der DSGVO und des BDSG.
3. Rechtsgrundlagen der Verarbeitung
Die Verarbeitung Ihrer Daten erfolgt stets auf einer rechtlichen Grundlage. Für die Nutzung der App durch Praxismitarbeiter ist dies in der Regel Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Soweit es um Patientendaten geht, stützen wir uns auf Art. 9 Abs. 2 lit. h DSGVO, da diese Daten für medizinische Zwecke und die Durchführung von Behandlungen erforderlich sind. Zur Sicherstellung der technischen Funktionalität und Sicherheit (z. B. Fehlerdiagnose) verarbeiten wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO).
4. Welche Daten verarbeiten wir?
Im Rahmen der Nutzung der App werden unterschiedliche Kategorien personenbezogener Daten verarbeitet:
- Zugangsdaten: E-Mail-Adresse und Anmeldedaten (Supabase Auth, optional Magic-Link).
- Patientendaten: Stamm- und Kontaktdaten, Versicherungsangaben, ärztliche Rezepte, Termine, Behandlungs- und Abrechnungsdaten sowie optionale Bilder (z. B. Rezepte, Patientenfotos) und Unterschriften.
- Bilderkennung: Beim Scannen von Rezepten oder Versicherungskarten werden Scans optional und nur auf Wunsch zur Texterkennung an die Google Gemini API übermittelt, wenn der Patient entsprechend zugestimmt hat.
- Technische Daten: Geräte-/Verbindungsinformationen und Fehlerberichte (Crash-/Fehler-Reporting über Sentry).
Zur Offline-Nutzung werden Daten zusätzlich verschlüsselt bzw. zugriffsbeschränkt lokal auf dem Gerät zwischengespeichert (lokaler Cache) und mit dem Server synchronisiert.
5. Zwecke der Datenverarbeitung
Die Daten werden ausschließlich für Zwecke verarbeitet, die mit der Nutzung der App zusammenhängen: Patienten- und Terminverwaltung, Verarbeitung und Ablage von Rezepten, Organisation der Therapeutenpläne, Rechnungsstellung und Zahlungsabgleich sowie die allgemeine Praxisorganisation. Die Bilderkennung dient der Digitalisierung administrativer Abläufe. Das Fehler-Reporting (Sentry) dient ausschließlich dazu, technische Fehler zu erkennen und die Stabilität der App zu gewährleisten. Eine Weitergabe der Daten zu Werbe- oder sonstigen kommerziellen Zwecken findet nicht statt.
6. Empfänger und Drittanbieter
Ihre Daten werden bei Supabase gespeichert (Supabase Inc., USA); die Datenbank und die Dateiablage laufen ausschließlich in der EU-Region Frankfurt (AWS eu-central-1). Mit Supabase besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; für den Fall eines Zugriffs aus den USA (z. B. Support) sind die EU-Standardvertragsklauseln Bestandteil dieses Vertrags. Für die Bilderkennung kommt optional die Google Gemini API zum Einsatz (Google LLC, USA, abgesichert über die Datenverarbeitungsbedingungen von Google einschließlich Standardvertragsklauseln). Scans werden nur auf Wunsch übertragen, wenn der Patient entsprechend zugestimmt hat; sie werden dort nicht dauerhaft gespeichert und nicht zum Training verwendet. Für das Crash-/Fehler-Reporting nutzen wir Sentry in der EU-Region (Datenverarbeitung in Frankfurt); dabei werden bewusst keine personenbezogenen Daten/Patientendaten übermittelt. Nutzen Sie einen Apple- oder Google-Login, verarbeiten auch diese Anbieter die zugehörigen Anmeldedaten. Eine darüber hinausgehende Weitergabe an Dritte findet nicht statt.
7. Sicherheit
Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten bestmöglich zu schützen: verschlüsselte Übertragung über TLS, verschlüsselte Speicherung auf den Servern (Datenbank, Dateien und Sicherungen), verschlüsselte lokale Datenbank auf dem Gerät, praxisbezogene Zugriffskontrolle auf Datenbank- und Dateiebene (Row-Level-Security, je Praxis getrennt; Patientendokumente und -bilder sind nur nach Anmeldung über kurzlebige signierte Links abrufbar) sowie eine optionale PIN-/Sperrbildschirm-Absicherung des Geräts.
Personenbezogene Daten und Gesundheitsdaten – Namen, Geburtsdaten, Adressen, Kontaktdaten, Versicherungsangaben, Befunde, Beschwerden, Anamnese-Antworten, Behandlungsnotizen und -berichte, Nachrichteninhalte sowie Patientendokumente, Rezeptscans, Patientenfotos, Unterschriften und Rechnungs-PDFs – werden verschlüsselt an den Server übertragen und dort verschlüsselt abgelegt (AES-256), in der Datenbank ebenso wie in der Dateiablage und den Sicherungen. Selbst Support-Mitarbeiter des Hosting-Anbieters können diese Daten nicht einsehen.
8. Speicherdauer
Patientendaten und Rezepte werden für die Dauer der Behandlung sowie entsprechend der gesetzlichen Aufbewahrungsfristen gespeichert; für Gesundheitsdaten beträgt diese nach § 630f BGB in der Regel zehn Jahre. Fehlerberichte (Sentry) werden standardmäßig nach spätestens 90 Tagen gelöscht. Serverprotokolle werden für maximal 30 Tage gespeichert.
9. Ihre Rechte
Sie haben jederzeit das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch (Art. 21 DSGVO). Beruht eine Verarbeitung auf Ihrer Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Zudem haben Sie ein Beschwerderecht bei der zuständigen Aufsichtsbehörde.
10. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn dies aufgrund rechtlicher Vorgaben oder Änderungen in der App erforderlich wird. Bei wesentlichen Änderungen werden Sie beim nächsten App-Start erneut informiert und um Bestätigung gebeten. Die jeweils aktuelle Fassung ist jederzeit in der App abrufbar.