Datenschutzhinweise für Patientinnen und Patienten
Informationen zur Verarbeitung personenbezogener Daten von Patientinnen und Patienten bei Nutzung von Flurin-Aufnahmeformularen, Wartelistenfunktionen und Patientenkommunikation.
Datenschutzhinweise für Patientinnen und Patienten bei Nutzung von Flurin
Version: 2.1
Stand: 26.08.2026
Dokument: Datenschutzhinweise für Patientinnen und Patienten bei Nutzung von Flurin-Aufnahmeformularen, Wartelistenfunktionen und Patientenkommunikation
Anbieter von Flurin: Flurin UG (haftungsbeschränkt), Freiburger Straße 25, 79853 Lenzkirch, Deutschland, Amtsgericht Freiburg HRB 736327, vertreten durch Geschäftsführer Jan Jerusalem
Geltungsbereich: produktive Nutzung in Deutschland; patientennahe Flurin-Seiten unter https://app.flurin.app und damit verbundene Aufnahme-, Wartelisten-, Termin-, Verordnungs- und Kommunikationsfunktionen
1. Zweck dieser Datenschutzhinweise
Diese Datenschutzhinweise erklären, wie personenbezogene Daten von Patientinnen und Patienten verarbeitet werden, wenn eine Praxis Flurin für digitale Aufnahmeformulare, Wartelisten, Terminlücken, Terminangebote oder Patientenkommunikation einsetzt.
Flurin ist eine cloudbasierte Softwareplattform für Praxen und andere Leistungserbringer im Gesundheitswesen. Praxen können über Flurin unter anderem Aufnahmeformulare bereitstellen, Behandlungsanfragen erfassen, Wartelisten organisieren, kurzfristig frei gewordene Termine anbieten und Nachrichten an Patientinnen und Patienten versenden.
Diese Hinweise richten sich an Patientinnen und Patienten sowie an gesetzliche Vertreterinnen und Vertreter, Sorgeberechtigte oder sonstige berechtigte Personen, die über ein von einer Praxis bereitgestelltes Flurin-Formular Angaben machen oder über Flurin Nachrichten im Zusammenhang mit einer Praxisanfrage erhalten.
2. Wichtigste Rollen: Praxis als Verantwortliche, Flurin als technischer Dienstleister
Für die Verarbeitung Ihrer Angaben im Zusammenhang mit einer Behandlungsanfrage, Wartelistenaufnahme, Terminorganisation oder Patientenkommunikation ist grundsätzlich die jeweilige Praxis verantwortlich.
Flurin stellt der Praxis die technische Plattform bereit und verarbeitet Patientendaten grundsätzlich im Auftrag dieser Praxis. In diesem Verhältnis ist die Praxis Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Flurin handelt als Auftragsverarbeiter im Sinne von Art. 28 DSGVO.
Das bedeutet insbesondere:
- Die Praxis entscheidet, welche Angaben im Aufnahmeformular abgefragt werden.
- Die Praxis entscheidet, ob Ihre Anfrage bearbeitet, priorisiert, beantwortet oder auf eine Warteliste gesetzt wird.
- Die Praxis entscheidet, ob und wann Sie kontaktiert werden oder ein Terminangebot erhalten.
- Flurin entscheidet nicht über Ihre Behandlung, Ihre Aufnahme, Ihre Wartelistenposition oder die Vergabe eines Termins.
- Zwischen Ihnen und Flurin entsteht kein Behandlungsvertrag.
Bitte beachten Sie zusätzlich die Datenschutzhinweise der jeweiligen Praxis. Diese sollten im Aufnahmeformular verlinkt sein.
3. Verantwortliche Praxis
Die für Ihre Patientendaten verantwortliche Praxis ist die Praxis, deren Aufnahmeformular Sie nutzen oder von der Sie eine Nachricht über Flurin erhalten.
Die Praxisangaben werden im Aufnahmeformular angezeigt oder verlinkt, insbesondere:
Name der Praxis: [Name der Praxis]
Anschrift: [Anschrift der Praxis]
E-Mail: [E-Mail-Adresse der Praxis]
Telefon: [Telefonnummer der Praxis]
Impressum: [Link zum Impressum der Praxis]
Datenschutzerklärung der Praxis: [Link zur Datenschutzerklärung der Praxis]
Datenschutzbeauftragte/r der Praxis, falls benannt: [Kontakt ergänzen, falls vorhanden]
Für Fragen zu Ihrer Anfrage, zu einer Behandlung, zur Warteliste, zu einer Terminentscheidung oder zu Ihren Patientendaten wenden Sie sich bitte vorrangig an diese Praxis.
4. Datenschutzkontakt von Flurin
Für Fragen zur technischen Bereitstellung von Flurin oder zur Datenverarbeitung durch Flurin in eigener Verantwortung erreichen Sie Flurin unter:
Flurin UG (haftungsbeschränkt)
Freiburger Straße 25
79853 Lenzkirch
Deutschland
Amtsgericht Freiburg, HRB 736327
vertreten durch den Geschäftsführer Jan Jerusalem
E-Mail: datenschutz@flurin.app
Website: https://flurin.app
Externer Datenschutzbeauftragter: heyData GmbH, Schützenstraße 5, 10117 Berlin, www.heydata.eu, datenschutz@heydata.eu.
5. Verhältnis zu den Datenschutzhinweisen der Praxis
Diese Datenschutzhinweise von Flurin ergänzen die Datenschutzhinweise der jeweiligen Praxis. Sie ersetzen diese nicht.
Die Praxis ist insbesondere dafür verantwortlich, Sie darüber zu informieren:
- zu welchen Zwecken die Praxis Ihre Daten verarbeitet,
- auf welcher Rechtsgrundlage die Praxis Ihre Patientendaten und Gesundheitsdaten verarbeitet,
- welche Daten die Praxis als erforderlich ansieht,
- wie lange die Praxis Ihre Daten aufbewahrt,
- ob Daten in eine Patientenakte, Warteliste oder andere Praxissysteme übernommen werden,
- an welche Stellen die Praxis Ihre Daten weitergibt,
- welche Rechte Ihnen gegenüber der Praxis zustehen.
Flurin kann technische und organisatorische Hinweise zur Plattform bereitstellen. Die rechtliche Verantwortung für die konkrete Verarbeitung Ihrer Patientendaten liegt grundsätzlich bei der Praxis.
6. Welche Daten verarbeitet werden können
Je nach Funktionen der Praxis und Ihren Angaben können insbesondere verarbeitet werden:
6.1 Stamm- und Kontaktdaten
- Name, Geburtsdatum,
- Daten gesetzlicher Vertreter/Sorgeberechtigter,
- E-Mail-Adresse, Telefonnummer, Anschrift,
- bevorzugte bzw. erlaubte Kommunikationskanäle und Erreichbarkeit.
6.2 Angaben zur Anfrage und Terminorganisation
- Fachbereich/Behandlungsanfrage und Anliegen,
- Wartelistenstatus und Wartezeit,
- Verfügbarkeiten, Zeitfenster, Standorte, Hausbesuch/Gruppenbezug,
- Therapeutenzuordnung,
- feste oder kurzfristige Terminangebote und Rückmeldungen.
6.3 Gesundheits- und Verordnungsdaten
Je nach Praxisprozess können Gesundheitsdaten nach Art. 9 DSGVO verarbeitet werden, insbesondere behandlungsbezogene Angaben, Verordnungs-/Rezeptinformationen, organisatorisch relevante Therapieanforderungen und hochgeladene Verordnungsbilder.
Verordnungsbilder werden als JPEG/PNG sicher verarbeitet und privat gespeichert; Einzelheiten zur technischen Retention stehen in § 19.
6.4 Praxisdokumente und Kommunikation
- praxisbezogene Dokumente/Behandlungsverträge und Status-/Annahmenachweise,
- Nachrichten, Fragen und Antworten,
- Versand-/Zustell-/Fehlerstatus,
- Einwilligungs-/Kommunikationsnachweise, soweit erforderlich.
6.5 Technische Daten
- IP-/Zugriffs- und Sitzungsmetadaten,
- technische IDs, Sicherheits-/Fehlerereignisse,
- aufgerufene Ressourcen und Browser-/Geräteinformationen, soweit technisch erforderlich.
Normale Flurin-Logs sind so ausgelegt, dass keine Request-Bodies, Tokens, Klarnamen, Telefonnummern oder E-Mail-Adressen unnötig protokolliert werden.
7. Zwecke der Verarbeitung
Ihre Praxis kann Flurin insbesondere nutzen, um:
- Ihre Anfrage aufzunehmen und zu verwalten,
- Sie auf einer Warteliste zu führen und regelmäßig nach aktuellem Bedarf zu fragen,
- feste oder kurzfristige Termine zu organisieren,
- Verordnungsinformationen bzw. Verordnungsbilder anzufordern und zu prüfen,
- praxisbezogene Dokumente bereitzustellen und deren Bearbeitungsstatus nachzuhalten,
- Sie über zulässige Kommunikationskanäle zu kontaktieren,
- Daten zu exportieren, zu korrigieren oder auf Weisung zu löschen.
Flurin verarbeitet diese Daten im Auftrag der Praxis, um die Plattform technisch bereitzustellen, zu sichern und die von der Praxis ausgelösten Prozesse durchzuführen. Eigene Flurin-Werbung basiert nicht auf Ihren Patientendaten.
8. Rechtsgrundlagen der Verarbeitung
8.1 Verarbeitung durch die Praxis
Die Rechtsgrundlagen für die Verarbeitung Ihrer Patientendaten durch die Praxis ergeben sich aus den Datenschutzhinweisen der jeweiligen Praxis.
Je nach Einzelfall kann die Verarbeitung insbesondere auf folgenden Rechtsgrundlagen beruhen:
- Art. 6 Abs. 1 lit. b DSGVO, wenn die Verarbeitung zur Durchführung vorvertraglicher Maßnahmen oder eines Behandlungsverhältnisses erforderlich ist,
- Art. 6 Abs. 1 lit. c DSGVO, wenn die Verarbeitung zur Erfüllung gesetzlicher Pflichten erforderlich ist,
- Art. 6 Abs. 1 lit. f DSGVO, wenn die Verarbeitung zur Wahrung berechtigter Interessen erforderlich ist,
- Art. 6 Abs. 1 lit. a DSGVO, wenn Sie eine Einwilligung erteilt haben.
Bei Gesundheitsdaten kommt zusätzlich eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO hinzu. Je nach Fall kann insbesondere Art. 9 Abs. 2 lit. h DSGVO für Zwecke der Gesundheitsversorgung oder Behandlung oder Art. 9 Abs. 2 lit. a DSGVO bei ausdrücklicher Einwilligung einschlägig sein.
Die Praxis ist dafür verantwortlich, die passende Rechtsgrundlage zu bestimmen und Sie hierüber zu informieren.
8.2 Verarbeitung durch Flurin im Auftrag der Praxis
Soweit Flurin Patientendaten im Auftrag der Praxis verarbeitet, erfolgt dies auf Grundlage des Vertrags zur Auftragsverarbeitung zwischen der Praxis und Flurin gemäß Art. 28 DSGVO.
Flurin stützt diese Verarbeitung nicht auf eine eigene Behandlungsbeziehung mit Ihnen. Flurin stellt die technische Plattform bereit und verarbeitet Patientendaten grundsätzlich nach Weisung der Praxis.
8.3 Verarbeitung durch Flurin in eigener Verantwortung
In begrenzten Fällen kann Flurin personenbezogene Daten in eigener Verantwortung verarbeiten, soweit Flurin selbst über Zwecke und Mittel entscheidet. Das betrifft insbesondere:
- technische Sicherheitsprotokolle,
- Missbrauchs- und Angriffserkennung,
- Sicherstellung des Plattformbetriebs,
- Kommunikation mit Ihnen, wenn Sie Flurin direkt kontaktieren,
- Nachweis-, Rechtsverteidigungs- und Rechtsdurchsetzungszwecke,
- Erfüllung gesetzlicher Pflichten von Flurin.
Rechtsgrundlagen können insbesondere Art. 6 Abs. 1 lit. f DSGVO, Art. 6 Abs. 1 lit. c DSGVO oder, soweit eine Einwilligung eingeholt wird, Art. 6 Abs. 1 lit. a DSGVO sein.
9. Aufnahme- und Aktualisierungsformulare
Wenn Sie ein Flurin-Formular einer Praxis nutzen, werden Ihre Angaben technisch über Flurin erfasst und ausschließlich dem zugehörigen Praxismandanten bereitgestellt. Die Praxis bestimmt, welche Angaben erforderlich sind.
Bitte geben Sie in Freitextfeldern nur Informationen an, die für den konkreten Praxisprozess erforderlich sind. Wenn Sie Angaben für ein Kind oder eine andere Person machen, müssen Sie hierzu berechtigt sein.
Formulare können später auch für sichere Aktualisierungen bestehender Daten genutzt werden; der Zugriff erfolgt über geschützte bzw. zeitlich begrenzte Flurin-Links.
10. Patientenkommunikation über Flurin
Die Praxis kann Flurin einsetzen, um Ihnen technische Benachrichtigungen, organisatorische Informationen, Rückfragen oder sichere Links zu senden. Welche Kanäle verwendet werden dürfen, hängt von Kontaktpunkt, Praxis-Konfiguration, Rechtsgrundlage und ggf. einer kanalspezifischen Einwilligung ab.
Grundmodell:
- E-Mail/SMS ohne gesonderte Kanal-Einwilligung: nur soweit rechtlich zulässig und als neutrale transaktionale Benachrichtigung ausgestaltet;
- E-Mail/SMS mit dokumentierter Kanal-Einwilligung: kann – soweit die Praxis dies rechtmäßig nutzt – weitergehende organisatorische Inhalte enthalten;
- WhatsApp: nur mit eigener WhatsApp-Einwilligung und bei Flurin trotzdem neutral-only.
Sensible oder konkrete Inhalte werden, soweit erforderlich, hinter einem geschützten Flurin-Link bereitgestellt. Flurin verwendet Ihre Patientenkontaktdaten nicht für eigene Werbung.
11. E-Mail, SMS und WhatsApp Business
11.1 E-Mail und SMS
E-Mails und optional aktivierte SMS werden über Brevo versendet. Flurin prüft serverseitig den für den jeweiligen Kanal dokumentierten Einwilligungsstatus.
- Ohne gültige kanalspezifische Einwilligung erhalten Sie über E-Mail oder SMS ausschließlich eine neutrale Benachrichtigung mit einem geschützten Flurin-Link. Der externe Nachrichtentext enthält insbesondere keine Terminzeit, Terminänderung, Absage oder konkrete freie Terminoption.
- Mit gültiger kanalspezifischer Einwilligung können E-Mail oder SMS organisatorische Informationen wie Termin, Datum/Uhrzeit, Terminänderung, Absage oder verfügbare Termine enthalten.
- Diagnose-, Verordnungs-, Behandlungs-, Dokumentinhalte und vergleichbar sensible klinische Freitexte werden unabhängig von einer Einwilligung nicht in externen Nachrichtentexten übermittelt, sondern in geschützten Flurin-Bereichen bereitgestellt.
Versand-/Zustellereignisse werden technisch nachgehalten, aber nicht für Patientenwerbung oder Patientenprofiling verwendet.
11.2 WhatsApp Business
WhatsApp Business ist ein optionaler Kanal und setzt eine eigene WhatsApp-Einwilligung voraus. Flurin übermittelt über WhatsApp unabhängig von der Einwilligung ausschließlich neutrale Hinweise, beispielsweise dass in Flurin eine neue Information bereitsteht. Konkrete Terminzeitpunkte, Diagnosen, Verordnungen, Behandlungsthemen oder sonstige sensible Details werden nicht in den WhatsApp-Text aufgenommen.
Für WhatsApp kann Meta Platforms Ireland Limited als Kommunikationsanbieter eingebunden werden. Die einschlägigen DPA-/Subprozessor-/Transferinformationen werden von Flurin dokumentiert.
11.3 Widerruf / Kanalwechsel
Einwilligungen können für die Zukunft widerrufen werden. Wenden Sie sich hierfür an die Praxis bzw. nutzen Sie angebotene Flurin-Funktionen. Ein Widerruf eines Kommunikationskanals ändert nicht automatisch Ihren fachlichen Wartelisten-/Behandlungsstatus.
12. Pflichtangaben und freiwillige Angaben
Bestimmte Angaben können erforderlich sein, damit die Praxis Ihre Anfrage bearbeiten kann. Ohne diese Angaben kann die Praxis Ihre Anfrage möglicherweise nicht oder nur eingeschränkt bearbeiten.
Andere Angaben können freiwillig sein. Freiwillige Angaben sollten nur gemacht werden, wenn sie für Ihre Anfrage relevant sind.
Die konkrete Erforderlichkeit einzelner Angaben richtet sich nach dem Aufnahmeformular und den Vorgaben der jeweiligen Praxis.
13. Minderjährige Patientinnen und Patienten
Flurin kann auch für Anfragen betreffend minderjährige Patientinnen und Patienten genutzt werden.
Wenn Daten eines Kindes oder einer minderjährigen Person eingegeben werden, muss die eingebende Person hierzu berechtigt sein, insbesondere als sorgeberechtigte Person oder gesetzliche Vertreterin bzw. gesetzlicher Vertreter.
Die Praxis ist dafür verantwortlich, erforderliche Nachweise, Einwilligungen oder sonstige Legitimationsgrundlagen im Zusammenhang mit minderjährigen Patientinnen und Patienten einzuholen, soweit dies gesetzlich erforderlich ist.
14. Kein Notfall- oder Akutdienst
Flurin-Aufnahmeformulare und Flurin-Nachrichten sind nicht für medizinische Notfälle, akute Beschwerden oder zeitkritische medizinische Kommunikation bestimmt.
Bei medizinischen Notfällen oder akuten Beschwerden wenden Sie sich bitte an die zuständigen Notfallstellen, den ärztlichen Bereitschaftsdienst, die behandelnde Praxis über die dort angegebenen Notfallkontakte oder den Rettungsdienst.
15. Technische Dienstleister und Infrastruktur
Für patientenbezogene Flurin-Prozesse sind insbesondere relevant:
15.1 Hetzner
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, betreibt Backend/API, PostgreSQL, private Verordnungsdateien im S3-kompatiblen Object Storage sowie verschlüsselte Datenbank-Backups. Die Kernspeicherung produktiver Patienten-/Gesundheitsdaten erfolgt in Deutschland.
15.2 Bunny.net
BunnyWay d.o.o., Dunajska cesta 165, 1000 Ljubljana, Slowenien, liefert statische Flurin-Frontends aus und betreibt DNS/CDN. Dabei können technische Zugriffsdaten anfallen. Backend-Datenbankinhalte und private Verordnungsobjekte werden nicht als statische CDN-Inhalte gespeichert.
15.3 Brevo
Brevo wird für E-Mail und optional SMS verwendet. Dabei werden die zum Versand erforderlichen Kontakt-, Nachrichten- und Zustellmetadaten verarbeitet.
15.4 Hanko
Hanko wird für die Authentifizierung von Praxisnutzerinnen und Praxisnutzern eingesetzt. Patientinnen und Patienten benötigen für die üblichen Aufnahme-/Update-/Termin-/Verordnungsflows grundsätzlich kein Hanko-Praxiskonto.
15.5 Meta / WhatsApp Business
Meta/WhatsApp Business wird nur bei aktivierter WhatsApp-Funktion und erforderlicher WhatsApp-Einwilligung eingebunden. Flurin überträgt darüber nur neutrale Benachrichtigungsinhalte; sensible Details bleiben in Flurin.
Die aktuelle öffentliche Subprozessorliste von Flurin enthält weitere Rollen-/Transferdetails.
16. Empfänger von Daten
Je nach konkret genutztem Prozess können Ihre Daten insbesondere zugänglich sein für:
- die verantwortliche Praxis und ihre berechtigten Mitarbeitenden,
- Flurin als technischen Auftragsverarbeiter,
- Hetzner für Hosting, Datenbank, private Verordnungsdateien und Backups,
- Bunny.net für technische Frontend-/CDN-/DNS-Zugriffe,
- Brevo für E-Mail/SMS,
- Meta/WhatsApp Business bei aktivierter WhatsApp-Funktion,
- Support-/Wartungspersonal nur soweit für einen konkreten Vorgang erforderlich,
- Behörden/Gerichte bei gesetzlicher Verpflichtung.
Patientendaten werden nicht verkauft, nicht für Flurins eigene Werbung verwendet und nicht routinemäßig an andere Praxen weitergegeben.
17. Datenübermittlung in Drittländer
Backend, PostgreSQL, private Verordnungsbilder und verschlüsselte Datenbank-Backups werden im Kern auf Hetzner-Infrastruktur in Deutschland verarbeitet.
Bei globalen CDN-/DNS- oder Kommunikationsanbietern können je nach Anbieter-/Subprozessorstruktur weitere Verarbeitungsorte betroffen sein. Soweit eine Übermittlung außerhalb EU/EWR erfolgt, muss hierfür ein zulässiger Mechanismus nach Art. 44 ff. DSGVO bestehen, z. B. ein Angemessenheitsbeschluss, EU-Standardvertragsklauseln und erforderliche ergänzende Maßnahmen.
Für WhatsApp/Meta wird die aktuelle Vertrags-/Transferlage vor der tatsächlichen Produktivfreigabe gesondert geprüft. Die Beschränkung auf neutrale Nachrichten reduziert zusätzlich die über diesen Kanal übertragenen Gesundheits-/Behandlungsinformationen.
18. Cookies, lokale Speicherung und technische Sitzungsdaten
Beim Aufruf eines Flurin-Aufnahmeformulars oder anderer Flurin-Seiten können technisch notwendige Cookies, lokale Speichermechanismen oder vergleichbare Technologien eingesetzt werden.
Diese dienen insbesondere:
- der technischen Bereitstellung des Formulars,
- der Sicherheit der Verbindung,
- dem Schutz vor Missbrauch,
- der Aufrechterhaltung einer technisch notwendigen Sitzung,
- der Fehlervermeidung und Stabilität.
Soweit technisch notwendige Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden, erfolgt dies auf Grundlage von § 25 Abs. 2 TDDDG. Die anschließende Verarbeitung personenbezogener Daten erfolgt je nach Verantwortungsbereich auf Grundlage der jeweils einschlägigen DSGVO-Rechtsgrundlage.
Im Betrieb werden auf patientennahen Formularseiten keine Marketingdienste wie Meta Pixel oder vergleichbare Werbetrackingdienste eingesetzt. Soweit künftig technisch nicht notwendige Cookies, Analyse- oder Marketingtechnologien eingesetzt werden, erfolgt dies nur auf Grundlage einer vorherigen Einwilligung, soweit eine solche gesetzlich erforderlich ist.
19. Speicherdauer und Löschung
19.1 Verantwortung der Praxis
Die Praxis entscheidet, welche Patientendaten sie aufgrund Behandlung, gesetzlicher Dokumentationspflichten oder anderer Rechtsgrundlagen wie lange benötigt. Die technische Flurin-Retention ersetzt diese rechtliche Prüfung nicht.
19.2 Technische Regeln von Flurin
Während laufender Nutzung gelten, soweit keine frühere Löschweisung/-pflicht oder ein zulässiger längerer Grund greift, insbesondere:
| Datenart | technische Regel |
|---|---|
| fachliche Patientendaten nach Abmeldung/Beendigung | allgemeiner Retention-Zyklus bis 24 Monate |
| abgeschlossene/archivierte Kommunikationsvorgänge | 12 Monate |
| rohe E-Mail-Zustell-/Providerereignisse | 90 Tage |
| E-Mail-Zustellzusammenfassungen | 12 Monate |
| Verordnungs-Upload-Link/-Anfrage | 14 Tage |
| angenommene Verordnungsbilddateien | spätestens 60 Tage; danach physische Löschung im privaten Object Storage |
| Audit-Logs | grundsätzlich 12 Monate |
| operative Produktivlogs | 30 Tage |
| verschlüsselte DB-Backups | 14 tägliche + 4 wöchentliche Generationen |
Beendet die Praxis ihren Flurin-Vertrag, besteht für sie ein 30-tägiges Exportfenster. Anschließend werden die im Auftrag der Praxis verarbeiteten Daten aus produktiven Flurin-Systemen gelöscht, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht; verbleibende Backupkopien verschwinden mit der regulären Rotation.
19.3 Behandlungsakte
Gesetzliche Aufbewahrungspflichten für Behandlungsunterlagen richten sich an die Praxis. Beispielsweise sieht § 630f Abs. 3 BGB grundsätzlich zehn Jahre für die Behandlungsakte vor. Ob bestimmte Flurin-Daten Teil einer aufbewahrungspflichtigen Behandlungsakte sind, entscheidet die Praxis anhand ihres konkreten Behandlungskontexts.
20. Datensicherheit
Flurin trifft technische und organisatorische Maßnahmen, um personenbezogene Daten vor unbefugtem Zugriff, Verlust, Manipulation, Zerstörung oder unrechtmäßiger Verarbeitung zu schützen. Insbesondere werden folgende Kernmaßnahmen eingesetzt:
- verschlüsselte Übertragung über TLS,
- Verschlüsselung gespeicherter Daten (Verschlüsselung at rest),
- Mehr-Faktor-Authentifizierung (MFA) für administrative Zugriffe,
- Mandantentrennung zwischen Praxen,
- regelmäßige Datensicherungen mit erfolgreich getesteter Wiederherstellung (Restore-Test),
- E-Mail-Authentifizierung über SPF, DKIM und DMARC.
Darüber hinaus kommen insbesondere folgende Maßnahmen zum Einsatz:
- Zugriffsbeschränkungen,
- Rollen- und Berechtigungskonzepte,
- Protokollierung sicherheitsrelevanter Ereignisse,
- Schutz vor unbefugtem Zugriff,
- technische Überwachung der Plattformverfügbarkeit,
- regelmäßige Sicherheitsupdates,
- datensparsame Patientenkommunikation,
- Verpflichtung von Dienstleistern auf Vertraulichkeit und Datenschutz.
Die konkreten technischen und organisatorischen Maßnahmen werden im Verhältnis zwischen Flurin und der jeweiligen Praxis im Vertrag zur Auftragsverarbeitung und in den technischen und organisatorischen Maßnahmen von Flurin beschrieben.
21. Automatisierte Entscheidungen und KI-Funktionen
Flurin kann organisatorische Filter, Sortierungen und Matchinghilfen verwenden, beispielsweise für Warteliste oder Terminsuche. Diese Funktionen treffen keine eigenständige medizinische Entscheidung über Behandlung, Therapieeignung oder Priorität.
Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO mit rechtlicher oder ähnlich erheblicher Wirkung ist für die beschriebenen Prozesse nicht vorgesehen. Die fachliche Entscheidung verbleibt bei der Praxis.
Neue KI-/Therapiemodule werden vor allgemeiner Aktivierung gesondert hinsichtlich Zweck, Anbieter, Datenschutzinformation und ggf. Datenschutz-Folgenabschätzung bewertet.
22. Ihre Datenschutzrechte
Soweit die gesetzlichen Voraussetzungen erfüllt sind, haben Sie insbesondere folgende Datenschutzrechte:
- Recht auf Auskunft über die verarbeiteten personenbezogenen Daten,
- Recht auf Berichtigung unrichtiger personenbezogener Daten,
- Recht auf Löschung personenbezogener Daten,
- Recht auf Einschränkung der Verarbeitung,
- Recht auf Datenübertragbarkeit,
- Recht auf Widerspruch gegen bestimmte Verarbeitungen,
- Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft,
- Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde.
Für Anfragen im Zusammenhang mit Patientendaten, Wartelisten, Terminen oder Behandlungsanfragen wenden Sie sich bitte grundsätzlich an die jeweilige Praxis.
Wenn Flurin Daten im Auftrag der Praxis verarbeitet, unterstützt Flurin die Praxis im Rahmen des Vertrags zur Auftragsverarbeitung bei der Bearbeitung datenschutzrechtlicher Betroffenenanfragen.
Soweit Flurin Daten in eigener Verantwortung verarbeitet, können Sie sich direkt an Flurin wenden: datenschutz@flurin.app
23. Widerruf von Einwilligungen
Soweit eine Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
Der Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung, die bis zum Widerruf auf Grundlage der Einwilligung erfolgt ist.
Bitte wenden Sie sich für den Widerruf einer gegenüber der Praxis erteilten Einwilligung grundsätzlich an die jeweilige Praxis.
24. Widerspruchsrecht
Soweit eine Verarbeitung auf berechtigten Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch gegen die Verarbeitung einlegen.
Bitte richten Sie einen Widerspruch gegen Verarbeitungen im Verantwortungsbereich der Praxis an die jeweilige Praxis.
Soweit Flurin personenbezogene Daten in eigener Verantwortung auf Grundlage berechtigter Interessen verarbeitet, können Sie Ihren Widerspruch an datenschutz@flurin.app richten.
25. Beschwerderecht bei einer Aufsichtsbehörde
Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen Datenschutzrecht verstößt.
Sie können sich insbesondere an die Datenschutzaufsichtsbehörde Ihres Wohnortes, Ihres gewöhnlichen Aufenthaltsortes, Ihres Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes wenden.
Für Flurin als Anbieter mit Sitz in Baden-Württemberg ist insbesondere zuständig:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg Postfach 10 29 32 70025 Stuttgart Deutschland
26. Änderungen dieser Datenschutzhinweise
Bei wesentlichen Änderungen an Funktionen, Kommunikationskanälen, Anbietern oder Datenflüssen veröffentlicht Flurin eine neue versionierte Fassung. Historische Fassungen werden nicht rückwirkend inhaltlich verändert.
Ende der Datenschutzhinweise für Patientinnen und Patienten