Rechtliches

Datenschutzerklärung

Stand: 13. Oktober 2026

1. Das Wichtigste in Kürze

Patientenangaben verlassen das Gerät nicht. Was im Bogen eingetragen wird, liegt nur im Browser des Geräts, auf dem er ausgefüllt wird. Wir erhalten diese Angaben nicht.
An uns gehen nur Zugang und Zählung. Der Bogen prüft, ob der Zugang der Praxis gültig ist, und meldet je abgeschlossenem Bogen eine zufällige Kennung zur Abrechnung.
Von Praxen speichern wir Vertragsdaten. Das sind die Angaben aus der Registrierung, der Briefkopf, Rechnungen und der Schriftwechsel.
Kein Tracking. Wir setzen keine Cookies, keine Analyse- oder Werbedienste und laden keine Inhalte von fremden Servern nach.

2. Verantwortlicher und Kontakt

Verantwortlich für die Verarbeitung, die in dieser Erklärung beschrieben ist, soweit nicht die Praxis verantwortlich ist (Abschnitt 3):

Vaydena - Softwarelösungen
Inhaber Karl-Heinz Bicker
Biberstraße 27
85354 Freising
Telefon: 0151 - 24012554
E-Mail: kontakt@vaydena.de

Einen Datenschutzbeauftragten haben wir nicht benannt, weil die gesetzlichen Voraussetzungen dafür bei uns nicht vorliegen. Anliegen zum Datenschutz richten Sie bitte an die genannte Adresse.

3. Geltungsbereich und Rollen

Diese Erklärung gilt für die Website aufklaerungsbogen.vaydena.de mit allen Unterseiten: Startseite, Registrierung, Anmeldung, den Bogen selbst, die Zahlseite und den Betreiber-Bereich.

Es gibt zwei Gruppen von Betroffenen, für die unterschiedliche Stellen verantwortlich sind:

Praxen, Kliniken und ihre Ansprechpersonen (unsere Kunden und Interessenten): Für deren Registrierungs-, Vertrags- und Abrechnungsdaten sowie für die Daten, die beim Aufruf der Website anfallen, sind wir verantwortlich.
Patientinnen und Patienten, die den Bogen ausfüllen: Für ihre Angaben ist die behandelnde Praxis bzw. Klinik verantwortlich. Sie informiert auch über die Verarbeitung im Rahmen der Behandlung. Wir haben auf diese Angaben keinen Zugriff (Abschnitt 7).

4. Rechtsgrundlagen, Herkunft der Daten, Pflicht zur Angabe

Wir stützen die Verarbeitung auf folgende Vorschriften; welche jeweils gilt, steht beim einzelnen Vorgang:

Art. 6 Abs. 1 lit. b DSGVO – Anbahnung und Durchführung des Nutzungsvertrags,
Art. 6 Abs. 1 lit. c DSGVO – gesetzliche Pflichten, vor allem die Aufbewahrung nach Steuer- und Handelsrecht,
Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen, nämlich der sichere Betrieb der Website, die Abwehr von Missbrauch und die Durchsetzung eigener Ansprüche,
§ 25 Abs. 2 Nr. 2 TDDDG – Speichern und Auslesen von Informationen auf Ihrem Gerät, soweit das für den von Ihnen gewünschten Dienst unbedingt erforderlich ist.

Auf eine Einwilligung stützen wir derzeit keine Verarbeitung.

Herkunft: Die Daten stammen von Ihnen selbst (Registrierung, E-Mail) oder entstehen technisch bei der Nutzung. Aus anderen Quellen erheben wir keine Daten.

Pflicht zur Angabe: Gesetzlich sind Sie nicht verpflichtet, uns Daten zu überlassen. Ohne die Pflichtangaben der Registrierung können wir aber keinen Zugang einrichten und nicht abrechnen.

Automatisierte Entscheidungen einschließlich Profiling (Art. 22 DSGVO) finden nicht statt. Dass ein Testzugang nach Ablauf selbsttätig gesperrt wird, ergibt sich aus dem Vertrag und beruht nicht auf einer Bewertung Ihrer Person.

5. Aufruf der Website (Hosting, Server-Protokolle)

Die Website besteht aus statischen Dateien und wird bei Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern, betrieben. Der Server steht nach den Angaben in unserem Kundenkonto in Frankfurt am Main. Die Auslieferung läuft über das Verteilnetz (CDN) von Hostinger.

Bei jedem Abruf verarbeitet der Server technisch notwendige Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, abgerufene Datei, übertragene Datenmenge, Statuscode sowie Angaben zu Browser und Betriebssystem. Die Herkunftsseite (Referrer) übermittelt Ihr Browser beim Verlassen unserer Seiten nicht, weil wir das per Vorgabe unterbinden.

Zweck: Auslieferung der Seiten, Stabilität und Sicherheit des Betriebs, Aufklärung von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: Die Protokolle führt der Hosting-Anbieter; er legt auch fest, wie lange sie aufbewahrt werden. Wir führen die Protokolle nicht mit anderen Daten zusammen und werten sie nicht personenbezogen aus, solange kein konkreter Anlass (etwa ein Angriff) besteht.

6. Speicherung auf Ihrem Gerät

Die Website setzt keine Cookies. Sie nutzt den lokalen Speicher des Browsers (localStorage, sessionStorage) und den Zwischenspeicher der Web-App. Diese Informationen bleiben auf dem Gerät und werden nicht an uns gesendet, mit Ausnahme des Zugangsschlüssels und der Zählmeldungen nach Abschnitt 8. Abgelegt werden:

der Zugangsschlüssel der Praxis und die dazu geladenen Briefkopf-Angaben,
die Eingaben des gerade bearbeiteten Bogens (Abschnitt 7),
Einstellungen: gewählte Sprache, eingestellte Nüchternzeiten für Kinder, Vermerk über das geladene Offline-Paket, Zeitpunkt eines weggeklickten Installationshinweises,
noch nicht gemeldete Zählereignisse, wenn das Gerät offline war,
die Dateien der Anwendung selbst (Seiten, Grafiken, auf Wunsch Videos, Untertitel und Vorlese-Aufnahmen), damit der Bogen ohne Internetverbindung funktioniert,
im Betreiber-Bereich der Betreiber-Schlüssel (Abschnitt 12).

Zweck: Bereitstellung des Bogens einschließlich Offline-Betrieb und Abrechnung. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist dafür nicht nötig. Speicherdauer: bis Sie die Einträge löschen. Das geht über den Knopf „Daten löschen“ im Bogen (für die Eingaben) und über die Browser-Einstellung „Website-Daten löschen“ (für alles).

7. Patientendaten im Bogen

Die Angaben, die Patientinnen und Patienten in den Bogen eintragen – darunter Gesundheitsdaten im Sinne von Art. 9 DSGVO –, sowie die ärztlichen Eintragungen und die Unterschriften werden ausschließlich im Browser des verwendeten Geräts gespeichert. Sie werden weder an uns noch an unsere Dienstleister übertragen. Wir können sie nicht einsehen, nicht wiederherstellen und nicht löschen.

Das gilt auch für

den Ausdruck und das PDF, die das Gerät selbst erzeugt,
Exportdateien (JSON, GDT, FHIR) samt Prüfsumme, die auf dem Gerät entstehen,
die Übergabe an das digitale Anästhesieprotokoll per QR-Code oder Datei, die von Gerät zu Gerät erfolgt,
den Vermerk, welche Erklärvideos abgespielt wurden; er steht nur im Bogen und wird nicht ausgewertet,
die Vorlesefunktion, die vorbereitete Tonaufnahmen von unserer Website abspielt und keine Eingaben an einen Sprachdienst sendet.

Verantwortlich für diese Daten ist die Praxis bzw. Klinik. Sie entscheidet, wie lange die Eingaben auf dem Gerät bleiben, übernimmt den Ausdruck in die Patientenakte und beantwortet Anfragen der Patientinnen und Patienten. Wenden Sie sich als Patientin oder Patient daher bitte an Ihre Praxis.

8. Zugangsprüfung und Fallzählung

Beim Öffnen des Bogens sendet der Browser den Zugangsschlüssel der Praxis an unseren Server. Zurück kommen die Gültigkeit des Zugangs, der Praxisname, die Briefkopf-Angaben, die Art des Zugangs (Test oder regulär) und gegebenenfalls das Ende des Tests.

Wird ein Bogen ausgedruckt bzw. als PDF gespeichert, meldet der Browser eine zufällig erzeugte Fall-Kennung zusammen mit dem Zugangsschlüssel. Wir speichern dazu die Kennung, die Zuordnung zur Praxis und den Zeitpunkt. Die Kennung enthält keine Angaben zur Person und lässt für uns keinen Rückschluss auf die Patientin oder den Patienten zu. Wir speichern in unserer Datenbank dazu weder IP-Adresse noch Angaben zum Browser. Die Rechnung an die Praxis weist die abgerechneten Fälle einzeln aus (Fall-Kennung, Zeitpunkt, Herkunft Bogen oder Anästhesieprotokoll); auch dieser Einzelnachweis enthält keine Angaben zu Patientinnen und Patienten.

Diese Vorgänge laufen über Supabase (Datenbank und Server-Funktionen); unser Projekt ist in der Region Frankfurt am Main (AWS eu-central-1) eingerichtet. Supabase verarbeitet beim Aufruf technisch die IP-Adresse und Zeitangaben in eigenen Betriebsprotokollen. Wie lange diese Protokolle aufbewahrt werden, legt Supabase fest.

Zweck: Schutz vor unberechtigter Nutzung, Anzeige des Praxis-Briefkopfs, nutzungsabhängige Abrechnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO gegenüber der Praxis; im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: Zähldaten sind Grundlage der Rechnungen und werden so lange aufbewahrt wie diese (Abschnitt 16).

9. Registrierung und Vertragsdaten

Bei der Registrierung erheben wir

als Pflichtangaben: Name der Praxis bzw. Klinik, Ansprechperson, E-Mail-Adresse, Rechnungsanschrift (Straße, Postleitzahl, Ort), die gewählte Zugangsart sowie die Bestätigungen zur Unternehmereigenschaft und zu AGB und Datenschutzerklärung,
freiwillig: Telefonnummer, Angaben für den Briefkopf (Zusatzzeile, Anschrift, Fax, Notfallnummer, Website, Angaben zum Verantwortlichen der Praxis), ein Logo und ein abweichender Rechnungsempfänger.

Dazu speichern wir den erzeugten Zugangsschlüssel, den Zeitpunkt der Freischaltung, das Ende des Tests, den Status des Zugangs und interne Vermerke zum Vertrag. Ein im Formular nicht sichtbares Prüffeld dient der Abwehr automatisierter Eintragungen; es wird nicht gespeichert.

Die Briefkopf-Angaben und das Logo erscheinen auf dem Bogen der Praxis und sind für jede Person abrufbar, die den Zugangs-Link kennt.

Zweck: Einrichtung und Verwaltung des Zugangs, Vertragsdurchführung, Abrechnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO. Speicherdauer: für die Dauer des Vertrags, danach nach Abschnitt 16. Angaben zu Testzugängen, aus denen kein regulärer Vertrag geworden ist, werden nicht selbsttätig gelöscht; wir löschen sie auf Ihre Anfrage, soweit keine Aufbewahrungspflicht entgegensteht.

10. E-Mail und Kontaktaufnahme

Nach der Registrierung senden wir den Zugangs-Link an die angegebene E-Mail-Adresse; wir selbst erhalten eine Benachrichtigung mit den Registrierungsangaben. Später folgen vertragsbezogene Nachrichten, etwa Rechnungen, Zahlungserinnerungen und Mitteilungen über Änderungen. Werbung per E-Mail versenden wir nicht.

Schreiben Sie uns, verarbeiten wir Ihre Nachricht, Ihre Absenderangaben und die technischen Kopfdaten der E-Mail, um Ihr Anliegen zu bearbeiten.

Versand und Postfach laufen über den Mail-Dienst unseres Hosting-Anbieters Hostinger (Abschnitt 5). E-Mails können auf dem Transportweg unverschlüsselt sein. Senden Sie uns deshalb keine Patientendaten und keine Bildschirmfotos ausgefüllter Bögen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zum Vertrag oder zu dessen Anbahnung, sonst Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Beantwortung). Speicherdauer: Geschäftliche Korrespondenz bewahren wir nach den gesetzlichen Fristen auf (Abschnitt 16); andere Nachrichten löschen wir, wenn das Anliegen erledigt ist und kein weiterer Grund für die Aufbewahrung besteht.

11. Rechnungen und Zahlung

Für die monatliche Abrechnung verarbeiten wir Rechnungsempfänger und -anschrift, E-Mail-Adresse, Abrechnungszeitraum, Zahl der Fälle, Betrag, Rechnungsnummer, Rechnungs- und Zahlungsstatus.

Rechnungen können Sie über einen persönlichen Link auf der Zahlseite abrufen. Der Link enthält einen Rechnungsschlüssel, den der Browser an unseren Server sendet; angezeigt werden Rechnungsnummer, Betrag, Fallzahl, Rechnungsanschrift und unsere Bankverbindung. Der GiroCode wird im Browser erzeugt. Behandeln Sie den Link vertraulich.

Bezahlt wird per Überweisung. Zahlungsdienstleister binden wir nicht ein. Ihre Bank teilt uns mit dem Zahlungseingang Name, Kontoverbindung, Betrag und Verwendungszweck mit; diese Angaben nutzen wir, um die Zahlung der Rechnung zuzuordnen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO. Speicherdauer: nach den gesetzlichen Aufbewahrungsfristen (Abschnitt 16).

12. Betreiber-Bereich

Der Betreiber-Bereich ist nur für uns bestimmt und durch einen Betreiber-Schlüssel geschützt. Dort verwalten wir Zugänge, Briefkopf-Angaben, Zählstände und Rechnungen und sehen den Posteingang des Postfachs kontakt@vaydena.de ein. Patientendaten gibt es dort nicht. Der Betreiber-Schlüssel liegt für die Dauer der Sitzung im Browser, bei gewählter Option „Angemeldet bleiben“ dauerhaft bis zur Abmeldung.

13. Schriftarten, externe Inhalte, Links

Die Website verwendet die auf Ihrem Gerät vorhandenen Systemschriften. Skripte, Grafiken, Videos und Tonaufnahmen liefern wir vom eigenen Webspace aus. Es werden keine Inhalte von Servern Dritter eingebunden; Verbindungen entstehen nur zu unserem Hosting (Abschnitt 5) und zu unseren Server-Funktionen (Abschnitt 8).

Soweit wir auf fremde Websites verlinken, gilt dort die Datenschutzerklärung des jeweiligen Anbieters. Daten werden erst übertragen, wenn Sie den Link anklicken.

14. Was wir nicht einsetzen

keine Cookies und keine Einwilligungsabfrage dafür,
keine Reichweitenmessung, keine Analyse- oder Werbedienste, kein Profiling,
keine Einbindung sozialer Netzwerke, keine eingebetteten Karten oder Videoplattformen,
keinen Newsletter,
keine Zahlungsdienstleister,
keine Übertragung von Bogen-Eingaben an KI-, Sprach- oder Übersetzungsdienste.

15. Empfänger und Übermittlung in Drittländer

Ihre Daten erhalten nur Stellen, die sie für die genannten Zwecke benötigen:

Hostinger International Ltd. (Zypern) – Webhosting, Auslieferung, E-Mail-Versand und Postfach,
Supabase – Datenbank und Server-Funktionen für Zugangsprüfung, Zählung, Registrierung und Rechnungen, Projektregion Frankfurt am Main,
unsere Bank – bei Zahlungseingängen,
Behörden und Gerichte (etwa das Finanzamt), soweit wir gesetzlich dazu verpflichtet sind oder es zur Durchsetzung von Ansprüchen erforderlich ist.

Drittländer: Die Daten werden nach unserer Einrichtung in Rechenzentren in Deutschland gespeichert. Supabase und dessen Infrastruktur-Anbieter gehören zu Unternehmensgruppen mit Sitz außerhalb der EU; ein Zugriff von dort, etwa bei Wartung und Support, lässt sich nicht ausschließen.

Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

16. Speicherdauer im Überblick

Wir speichern personenbezogene Daten nur so lange, wie der jeweilige Zweck es erfordert. Danach löschen wir sie, es sei denn, ein Gesetz verpflichtet uns zur Aufbewahrung oder wir benötigen sie zur Geltendmachung oder Abwehr von Ansprüchen innerhalb der Verjährungsfristen.

Vertrags- und Briefkopf-Daten: für die Dauer des Vertrags.
Rechnungen, Zähldaten als Abrechnungsgrundlage, sonstige Buchungsbelege: 8 Jahre (§ 147 AO, § 257 HGB).
Geschäftliche Korrespondenz: 6 Jahre (§ 147 AO, § 257 HGB).
Bücher, Aufzeichnungen, Jahresabschlüsse: 10 Jahre.
Server-Protokolle: siehe Abschnitte 5 und 8.
Daten auf Ihrem Gerät: bis Sie sie löschen (Abschnitt 6).

Die Fristen beginnen jeweils mit dem Ende des Kalenderjahres, in dem der Beleg entstanden ist. Während der Aufbewahrung nutzen wir die Daten nur noch für diesen Zweck.

17. Datensicherheit

Die Website ist nur verschlüsselt (HTTPS/TLS) erreichbar; das gilt auch für die Verbindung zu unseren Server-Funktionen. Der Bogen ist so gebaut, dass Gesundheitsdaten gar nicht erst bei uns ankommen (Datenschutz durch Technikgestaltung, Art. 25 DSGVO). Der Zugriff auf Vertrags- und Abrechnungsdaten ist auf den Inhaber beschränkt und durch einen Schlüssel geschützt. Weitere technische und organisatorische Maßnahmen beschreibt § 5 der AVV.

Die Eingaben auf dem Gerät sind so sicher wie das Gerät selbst. Wir verschlüsseln sie nicht zusätzlich; die Praxis schützt ihre Geräte durch Bildschirmsperre, Zugriffsschutz und aktuelle Software.

Kein System ist vollständig sicher. Sollte es zu einer Verletzung des Schutzes personenbezogener Daten kommen, erfüllen wir unsere Melde- und Benachrichtigungspflichten nach Art. 33, 34 DSGVO.

18. Ihre Rechte

Ihnen stehen gegenüber uns folgende Rechte zu:

Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO),
Berichtigung unrichtiger Daten (Art. 16 DSGVO),
Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
Datenübertragbarkeit (Art. 20 DSGVO),
Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), falls wir künftig eine Verarbeitung darauf stützen.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie dem aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht weiter, es sei denn, zwingende schutzwürdige Gründe überwiegen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Zur Ausübung genügt eine formlose Nachricht an kontakt@vaydena.de. Um Ihre Anfrage zu bearbeiten und nachweisen zu können, dass wir sie erfüllt haben, verarbeiten wir die dafür nötigen Angaben (Art. 6 Abs. 1 lit. c DSGVO); bei begründeten Zweifeln an der Identität bitten wir um zusätzliche Angaben.

Beschwerde: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

Patientinnen und Patienten richten diese Anliegen an ihre Praxis bzw. Klinik, da wir zu ihnen keine Daten haben.

19. Hinweis für Praxen und Kliniken

Für die Daten Ihrer Patientinnen und Patienten bleiben Sie Verantwortliche. Dazu gehört insbesondere:

die Information der Patientinnen und Patienten nach Art. 13 DSGVO; Angaben zu Ihrer Praxis können Sie dafür im Briefkopf hinterlegen,
die Aufnahme des Bogens in Ihr Verzeichnis von Verarbeitungstätigkeiten und die Prüfung, ob eine Datenschutz-Folgenabschätzung nötig ist,
der Schutz der eingesetzten Geräte und das Löschen der Eingaben nach dem Ausdruck,
die Übernahme des Ausdrucks bzw. PDF in die Patientenakte und dessen Aufbewahrung.

Soweit wir bei Zugangsprüfung und Fallzählung Daten in Ihrem Auftrag verarbeiten, gilt die Vereinbarung zur Auftragsverarbeitung (AVV), die mit den AGB geschlossen wird.

20. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich der Dienst, die eingesetzten Dienstleister oder die Rechtslage ändern. Es gilt die hier veröffentlichte Fassung mit dem oben genannten Stand. Über wesentliche Änderungen, die bestehende Kunden betreffen, informieren wir per E-Mail.