Zum Inhalt springen
Punktwerk

Datenschutzerklärung

1. Verantwortlicher

SnippetLab, Inhaber Alexander Hinze, Ludwigshöheweg 34, 12559 Berlin, E-Mail: info@snippetlab.site

Einen Datenschutzbeauftragten haben wir nicht bestellt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen. Fragen zum Datenschutz richtest du an die oben genannte E-Mail-Adresse.

2. Worum es geht

Punktwerk ist eine Software für Heilmittelpraxen. Praxen führen damit die Fortbildungen ihrer Inhaber, fachlichen Leitungen und Beschäftigten sowie das Bestandsverzeichnis und das Medizinproduktebuch ihrer Geräte.

Diese Erklärung betrifft die Daten, für die wir selbst verantwortlich sind: den Besuch der Website, dein Konto, das Abo und die E-Mails, die wir dir schicken. Für die Daten, die eine Praxis in Punktwerk über Personen eingibt (zum Beispiel Beschäftigte, Fortbildungen, Teilnahmebescheinigungen, Unterbrechungen, Einweisungen und Prüfungen an Geräten), ist die Praxis verantwortlich. Wir verarbeiten sie nur in ihrem Auftrag nach dem Vertrag zur Auftragsverarbeitung. Bist du in einer Praxis beschäftigt und hast Fragen zu diesen Daten, wende dich am besten an deine Praxis; Anfragen, die bei uns ankommen, leiten wir an sie weiter.

Keine Patientendaten. Punktwerk ist nicht für Patientendaten gedacht und bietet dafür keine Felder. Praxen dürfen keine Patientendaten eingeben, auch nicht in Notizen, Meldungen zu Funktionsstörungen oder Vorkommnissen und hochgeladenen Dateien.

Gesundheitsdaten von Beschäftigten nur im Auftrag der Praxis. Damit Zeitraum und Soll der Fortbildung richtig berechnet werden, kann die Praxis Unterbrechungen mit Art und Zeitraum erfassen, zum Beispiel Krankheit, Schwangerschaft und Mutterschutz oder ein Beschäftigungsverbot. Das sind Gesundheitsdaten im Sinne von Art. 9 DSGVO. Diagnosen werden nicht abgefragt. Wir verarbeiten diese Angaben ausschließlich im Auftrag der Praxis; für eigene Zwecke verarbeiten wir keine besonderen Kategorien personenbezogener Daten.

Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO.

3. Welche Daten wir verarbeiten, wozu und auf welcher Grundlage

  • Besuch der Website: Beim Aufruf verarbeitet unser Hosting-Dienstleister die IP-Adresse, Zeitpunkt, aufgerufene Seite und Browserangaben, um die Seite auszuliefern und Angriffe abzuwehren. Fehler- und Ablaufprotokolle unserer Anwendung können diese Angaben ebenfalls enthalten. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
  • Schutz vor Missbrauch: Bei Anmeldung, Registrierung, Passwort-Zurücksetzen, erneutem Versand der Bestätigungsmail und beim Kontaktformular zählen wir Versuche je IP-Adresse (bei der Anmeldung zusammen mit der E-Mail-Adresse, beim Bestätigungslink je Konto), um automatisierte Angriffe zu bremsen. Die Zähler löschen sich nach höchstens einer Stunde selbst (Art. 6 Abs. 1 lit. f DSGVO).
  • Sicherheitsprüfung in Formularen: Bei Anmeldung, Registrierung, Passwort-Formularen, der Annahme einer Einladung und im Kontaktformular prüft Cloudflare Turnstile, ob ein Mensch das Formular absendet. Dazu lädt dein Browser ein Skript von Cloudflare, und Cloudflare verarbeitet technische Merkmale deines Browsers und Geräts sowie die IP-Adresse. Turnstile setzt keine Cookies zu Werbe- oder Analysezwecken. Rechtsgrundlage ist unser berechtigtes Interesse, Konten vor automatisierten Angriffen zu schützen (Art. 6 Abs. 1 lit. f DSGVO); der Zugriff auf dein Endgerät ist für diesen von dir genutzten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
  • Kontaktformular: Name, E-Mail-Adresse, optional der Name der Praxis, das gewählte Thema und deine Nachricht. Wir leiten die Nachricht per E-Mail an unser Postfach weiter, um deine Anfrage zu beantworten. Rechtsgrundlage ist die Anbahnung oder Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO), sonst unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO).
  • Konto: Name, E-Mail-Adresse, Passwort (nur als scrypt-Hash gespeichert), Name der Praxis, Rolle in der Praxis, Bestätigung der E-Mail-Adresse, Zeitpunkt der letzten Anmeldung und der Zeitpunkt, zu dem die Praxis den Vertrag zur Auftragsverarbeitung abgeschlossen hat. Wir brauchen diese Daten, um den Vertrag mit dir zu erfüllen (Art. 6 Abs. 1 lit. b DSGVO). Wurdest du von deiner Praxis eingeladen, haben wir Name und E-Mail-Adresse von der Praxis erhalten.
  • Protokoll von Änderungen: Wer im Konto wann welche wesentliche Änderung vorgenommen hat (zum Beispiel an Personen, Fortbildungen, Zeiträumen, Geräten und Rollen), protokollieren wir zur Nachvollziehbarkeit und Sicherheit (Art. 6 Abs. 1 lit. b und f DSGVO).
  • Support-Zugriff: Wenn du uns um Hilfe bittest oder eine Störung es erfordert, können wir als Betreiber das Konto einer Praxis so einsehen, wie es die Inhaberin oder der Inhaber sieht. Jeder solche Zugriff wird protokolliert, Geburtsdaten sind dabei ausgeblendet und Zahlungsvorgänge gesperrt (Art. 6 Abs. 1 lit. b und f DSGVO).
  • Abo und Zahlung: Abo-Status, Abrechnungszeitraum, Kundennummer und Abo-Nummer bei Stripe. Zahlungsdaten und gegebenenfalls deine Umsatzsteuer-Identifikationsnummer gibst du direkt bei Stripe ein; Zahlungsdaten sehen wir nicht (Art. 6 Abs. 1 lit. b DSGVO; Rechnungsdaten zusätzlich Art. 6 Abs. 1 lit. c DSGVO).
  • E-Mails: Versandprotokoll mit Empfänger, Vorlage, Zeitpunkt und Zustellstatus, damit wir Zustellprobleme erkennen und nachweisen können, was wir verschickt haben (Art. 6 Abs. 1 lit. b und f DSGVO). Erinnerungen nennen Personen höchstens mit Vornamen, aber keine Geburtsdaten und keine Fortbildungstitel.
  • Nutzungszahlen: Je Praxis zählen wir, wie viele Personen, Fortbildungen, Bescheinigungen, Geräte, Einträge und Nachweise angelegt wurden. Wir nutzen die Zahlen für die Übersicht zum Ende der Testphase und um den Dienst zu verbessern (Art. 6 Abs. 1 lit. b und f DSGVO).

4. Cookies und Speicher im Browser

Wir setzen nur Cookies, die für den Dienst nötig sind:

  • punktwerk_session: hält dich angemeldet, 30 Tage ab der letzten Nutzung. Die Sitzung selbst liegt in unserem Speicher bei Cloudflare und endet beim Abmelden.
  • punktwerk_csrf: schützt Formulare gegen untergeschobene Anfragen, 12 Monate.

Außerdem legt dein Browser über einen sogenannten Service Worker öffentliche Seiten, Schriften und Programmdateien von Punktwerk in seinem Zwischenspeicher ab, damit die Website schneller lädt und ohne Verbindung eine Ersatzseite zeigt. Inhalte aus dem angemeldeten Bereich werden dort nicht gespeichert. Du kannst den Zwischenspeicher in deinem Browser jederzeit löschen.

Es gibt keine Analyse- oder Werbe-Cookies, kein Tracking und keine extern geladenen Schriften. Eine Einwilligung ist dafür nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG).

5. Empfänger und Dienstleister

  • Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (Hosting der Website und der Anwendung, Datenbank, Dateispeicher, Sitzungsspeicher, Abwehr von Angriffen, Turnstile). Cloudflare verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO). Datenbank und Dateispeicher liegen in Rechenzentren in Westeuropa; Anfragen werden im jeweils nächstgelegenen Rechenzentrum bearbeitet, und Daten können in die USA übermittelt werden. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), bei dem Cloudflare zertifiziert ist; zusätzlich gelten Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
  • Resend, Inc., USA (Versand von E-Mails). Resend verarbeitet Empfängeradresse und Inhalt der E-Mails in unserem Auftrag (Art. 28 DSGVO) in den USA. Grundlage ist das EU-US Data Privacy Framework, bei dem Resend zertifiziert ist, zusätzlich Standardvertragsklauseln.
  • Stripe Payments Europe, Ltd., Irland (Zahlungsabwicklung, Rechnungen, Kundenportal). Stripe verarbeitet Zahlungsdaten als eigener Verantwortlicher; es gilt die Datenschutzerklärung von Stripe. Stripe kann Daten an die Stripe, Inc. in den USA übermitteln, auf Grundlage des EU-US Data Privacy Framework und von Standardvertragsklauseln.

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

6. Speicherdauer

  • Solange das Konto einer Praxis läuft, löschen wir Kontodaten und fachliche Daten nicht automatisch. Einzelne Einträge kann die Praxis selbst ändern; möchte sie Personen oder ältere Einträge gelöscht haben, die sie nicht selbst löschen kann, schreibt sie uns.
  • Nach dem Ende der Testphase oder eines Abos bleiben alle Daten 12 Monate lesbar und exportierbar. Danach löschen wir die Praxis mit allen Daten, Dateien und den Zugängen, die zu keiner anderen Praxis gehören.
  • Die Inhaberin oder der Inhaber kann die Löschung jederzeit per E-Mail an info@snippetlab.site verlangen. Wir löschen dann innerhalb von 30 Tagen. Gesetzliche Aufbewahrungspflichten der Praxis (zum Beispiel für das Medizinproduktebuch) erfüllt die Praxis, indem sie die Daten vorher exportiert.
  • Nachrichten aus dem Kontaktformular löschen wir in Punktwerk nach 6 Monaten. E-Mails, die zu einem Vertrag oder einer Rechnung gehören, bewahren wir nach den gesetzlichen Fristen auf.
  • Datenbanksicherungen überschreiben sich spätestens 30 Tage nach der Löschung selbst.
  • Rechnungen und Buchungsbelege bewahren wir nach den steuer- und handelsrechtlichen Fristen auf (§ 147 AO, § 257 HGB).
  • Protokolle unseres Hosting-Dienstleisters und unserer Anwendung löschen wir nach spätestens 30 Tagen.

7. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Schreib uns dazu an info@snippetlab.site. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel bei der für uns zuständigen Berliner Beauftragten für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Der Verwendung deiner E-Mail-Adresse für Angebote kannst du jederzeit ohne Angabe von Gründen widersprechen (siehe Abschnitt 8).

8. E-Mails zu Testphase, Abo und Angeboten

Wir schreiben dir zum Ende der Testphase und zum Ende eines Abos. Darin kann auch ein Angebot zu unserem eigenen Tarif stehen, zum Beispiel ein Rabatt, wenn du nach der Testphase weitermachen möchtest. Grundlage ist § 7 Abs. 3 UWG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO: Wir haben deine E-Mail-Adresse bei der Registrierung erhalten und werben nur für Punktwerk selbst.

Du kannst diesen E-Mails jederzeit widersprechen, über den Abmelde-Link in jeder dieser E-Mails oder per E-Mail an info@snippetlab.site. Dafür entstehen dir keine anderen Kosten als die Übermittlungskosten nach den Basistarifen. Mails, die für dein Konto, den Vertrag oder die Fristen deiner Praxis nötig sind (zum Beispiel Passwort zurücksetzen, fehlgeschlagene Zahlung, Erinnerungen an Fortbildungs- und Prüffristen), bekommst du weiterhin.

9. Pflicht zur Bereitstellung

Für Konto und Abo brauchen wir Name, E-Mail-Adresse, Passwort und den Namen der Praxis; ohne diese Angaben können wir keinen Vertrag schließen.