Informationen nach Art. 28 EU Data Act

Anbieter: Flurin UG (haftungsbeschränkt)
Stand: 26.08.2026
Rechtsgrundlage: insbesondere Art. 28 in Verbindung mit Art. 32 der Verordnung (EU) 2023/2854 (EU Data Act)

1. Anbieter

Flurin UG (haftungsbeschränkt)
Freiburger Straße 25
79853 Lenzkirch
Deutschland

Amtsgericht Freiburg
HRB 736327

Geschäftsführer: Jan Jerusalem

2. Anwendungsbereich

Flurin stellt Praxen eine cloudbasierte Software-as-a-Service-Lösung für digitale Aufnahme, Wartelisten, Terminvergabe, Kommunikation und weitere administrative Praxisprozesse bereit. Für die dabei angebotenen Datenverarbeitungsdienste stellt Flurin nachfolgend die Informationen zur eingesetzten ICT-Infrastruktur und zu den Schutzmaßnahmen gegen einen unzulässigen internationalen Behördenzugriff bereit.

Diese Seite dient insbesondere der Transparenz nach Art. 28 EU Data Act. Sie ersetzt weder Datenschutzinformationen nach der DSGVO noch vertragliche Datenschutz- oder Sicherheitsunterlagen.

3. Jurisdiktion der ICT-Infrastruktur

Für Flurin werden unterschiedliche Infrastrukturteile eingesetzt. Sie unterliegen nicht notwendigerweise derselben nationalen Jurisdiktion.

3.1 Kerninfrastruktur

Backend und API, die PostgreSQL-Datenbank, private Objektspeicherung für Dokument- und Verordnungsdateien sowie verschlüsselte Datenbank-Backups werden mit Diensten der Hetzner Online GmbH betrieben. Hetzner ist ein Anbieter mit Sitz in Deutschland. Das Vertragsverhältnis und die maßgebliche Kerninfrastruktur unterliegen damit deutschem Recht und dem Recht der Europäischen Union.

Die aktuelle Flurin-Architekturdokumentation belegt für Backend und PostgreSQL sowie für die Verarbeitung produktiver Praxis-, Patienten- und Gesundheitsdaten den Standort Deutschland. Datenbank-Backups werden ebenfalls innerhalb der Hetzner-Infrastruktur gespeichert. Eine Rechenzentrumsstadt oder eine darüber hinausgehende einzelne Region wird nicht angegeben, weil sie für sämtliche eingesetzten Speicherkomponenten nicht einheitlich dokumentiert ist.

3.2 Frontend, CDN und DNS

Die statische Website und das App-Frontend werden über bunny.net ausgeliefert; bunny.net wird außerdem für CDN- und DNS-Dienste eingesetzt. Anbieter ist die BunnyWay d.o.o. mit Sitz in Slowenien und damit innerhalb der Europäischen Union.

CDN- und DNS-Infrastruktur kann abhängig von Konfiguration und Abrufweg verteilt betrieben werden. Dabei fallen insbesondere technische Zugriffs- und DNS-Daten an. Nach der aktuellen Architektur werden über CDN und DNS keine produktiven Backend-Datenbankinhalte oder produktiven Patientendatensätze gespeichert. Flurin behauptet daher nicht, dass die gesamte Auslieferungsinfrastruktur ausschließlich einer einzigen nationalen Jurisdiktion unterliegt.

3.3 Weitere eingesetzte Dienste

Weitere Dienste können je nach Funktion insbesondere Authentifizierung, E-Mail-Versand, Zahlungsabwicklung oder andere unterstützende Aufgaben übernehmen. Ihre jeweilige Rolle, ihr Sitz und mögliche Drittlandbezüge werden in den einschlägigen Datenschutz- und Vertragsunterlagen beschrieben. Aus ihrem Einsatz folgt nicht, dass die gesamte Flurin-Infrastruktur derselben Jurisdiktion unterliegt.

4. Maßnahmen gegen unzulässigen internationalen Behördenzugriff

Flurin trifft im Sinne von Art. 32 EU Data Act technische, organisatorische und vertragliche Maßnahmen, um zu verhindern, dass Behörden aus Drittstaaten auf in der Europäischen Union gehaltene nicht-personenbezogene Daten zugreifen oder deren Übertragung verlangen, wenn dies mit Unionsrecht oder deutschem Recht unvereinbar wäre. Ein absoluter Ausschluss jedes behördlichen Zugriffs wird damit nicht zugesichert.

4.1 Technische Maßnahmen

• Kommunikation mit produktiven Diensten wird per TLS verschlüsselt.
• Ruhende Daten werden auf Infrastruktur-, Datenbank- und Backup-Ebene durch Verschlüsselung oder gleichwertige Schutzmaßnahmen geschützt.
• Dokument- und Verordnungsdateien werden in privaten, nicht öffentlich zugänglichen Speicherbereichen gehalten. Zugriffe erfolgen über autorisierte Backend-Anfragen oder geschützte, zeitlich begrenzte Downloadmechanismen.
• Rollen- und Berechtigungskonzepte, starke Authentifizierung für administrative Zugriffe und die Trennung der Praxis-Mandanten begrenzen Datenzugriffe.
• Produktive Daten werden von Entwicklungs- und Testumgebungen getrennt; Datenzugriffe und Datenflüsse werden auf das erforderliche Maß begrenzt.

4.2 Organisatorische Maßnahmen

• Personen erhalten nur Zugriff, soweit dies für ihre Aufgabe erforderlich ist. Administrative Zugriffe sind auf besonders autorisierte Personen begrenzt und werden regelmäßig überprüft.
• Sicherheitsvorfälle werden nach einem dokumentierten Incident-Response-Prozess bewertet, eingedämmt und nachbereitet.
• Eingesetzte Anbieter, Berechtigungen, Sicherungen, Schutzmaßnahmen und wesentliche Änderungen an Datenflüssen werden regelmäßig überprüft.

4.3 Vertragliche und rechtliche Maßnahmen

• Dienstleister werden auf Grundlage geeigneter vertraglicher Datenschutz- und Verarbeitungsregelungen eingesetzt.
• Bei einem Drittlandbezug werden die einschlägigen Übermittlungsmechanismen und Garantien geprüft.
• Flurin gibt Daten nicht freiwillig an Drittstaatenbehörden heraus, wenn dies gegen Unionsrecht oder deutsches Recht verstoßen würde.
• Anfragen von Drittstaatenbehörden werden, soweit rechtlich zulässig, auf Rechtsgrundlage, Zuständigkeit, Umfang und Vereinbarkeit mit Unionsrecht und deutschem Recht geprüft.
• Verfügbare rechtliche Schutzmöglichkeiten werden ausgeschöpft, soweit dies erforderlich, zulässig und verhältnismäßig ist.

5. Aktualität

Flurin hält diese Informationen aktuell und passt sie an, wenn sich die für die Dienste eingesetzte ICT-Infrastruktur oder die maßgeblichen Schutzmaßnahmen wesentlich ändern.

6. Verhältnis zu anderen Legal-Dokumenten

Ergänzende Informationen finden sich in der Datenschutzerklärung, im Vertrag zur Auftragsverarbeitung (AVV), in den technischen und organisatorischen Maßnahmen (TOM), in der öffentlichen Subprozessor-Liste und in den AGB für Praxen.

Diese Seite erfüllt insbesondere die Transparenzinformation nach Art. 28 EU Data Act. Sie ersetzt weder die Datenschutzerklärung noch den AVV oder die TOM.