Datenschutzerklärung für die App „Forma”

Verantwortlicher

Kategorien personenbezogener Daten

• Konten/Organisation/Mitglieder: Name, E‑Mail, Rollen, Organisationsdaten (Name, Logo, Kontakt, Adresse, Zeitzonen‑Metadaten)
• Sitzungs-/Nutzungsdaten: Session‑Token, Laufzeiten, IP‑Adresse, User‑Agent, Rate‑Limit‑Metadaten
• Services/Buchungen: Terminzeiten, Service, Preis/Währung, Status, Puffer/Segmente, Reschedule‑Infos
• Patienten (im Auftrag der Praxis): Identität, Kontakt/Adresse, Buchungskontext; optional Versicherungsstatus/medizinische Angaben; interne Praxisnotizen
• Kommunikation: OTP‑E‑Mails, Buchungsbestätigungen/-stornos, ICS‑Kalenderdateien (keine freien Nachrichteninhalte)
• Produktfeedback/Support: Nachricht, Kategorie, Impact, PagePath, User‑Agent
• Analytics: App‑Nutzungsdaten (PostHog – EU), Marketing‑Website (Plausible – EU, geplant)

Zwecke der Verarbeitung

• Betrieb und Bereitstellung der Plattform (Auth, Organisation/Mitglieder/Services)
• Termin‑ und Patientenverwaltung für Praxen (im Auftrag)
• Sicherheit, Stabilität, Missbrauchsvermeidung (Rate‑Limiting, technische Protokolle)
• Produktverbesserung (Feedback, App‑Analytics)
• Reichweitenmessung der Marketing‑Website (Plausible, geplant)

Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Anbahnung): Konten, Plattformbetrieb, Buchungsvorgänge
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Sicherheit, Stabilität, Produktverbesserung
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): nicht erforderliche Analytics/Komfortfunktionen, sofern eingesetzt
• Art. 9 DSGVO (besondere Kategorien) bei Patientendaten: Praxis ist Verantwortliche; Verarbeitung durch uns nur weisungsgebunden (regelmäßig Art. 9 Abs. 2 lit. h i. V. m. § 22 BDSG)

Empfänger/Auftragsverarbeiter (Subprozessoren)

Keine Weitergabe an unabhängige Dritte zu eigenen Zwecken. Wir setzen Auftragsverarbeiter ein (AVV; bei Drittlandübermittlungen EU‑SCC + Maßnahmen):

• Vercel (Hosting/CDN/Serverless) — Vercel Inc., USA; primär EU‑Betrieb möglich, CDN global; Rechtsinstrumente: AVV, ggf. EU‑SCC
• Neon (Datenbank) — Neon, Inc., USA; Region EU (Frankfurt); AVV; EU‑SCC; Verschlüsselung in Transit/at Rest
• maxcluster (E‑Mail, aktuell) — maxcluster GmbH, Deutschland; EU (DE); AVV; keine Drittlandübermittlung
• Resend (E‑Mail, geplant) — Resend, Inc., USA; Region EU (Irland) konfiguriert; AVV; ggf. EU‑SCC
• PostHog (App‑Analytics) — PostHog Inc./PostHog Limited; EU‑Cloud konfiguriert; AVV; ggf. EU‑SCC; UK mit Angemessenheitsbeschluss
• Plausible (Website‑Analytics, geplant) — Plausible Insights OÜ, Estland; EU‑Hosting; AVV
• Wasabi (Storage, geplant) — Wasabi Technologies, LLC, USA; EU‑central‑2 (Frankfurt) geplant; AVV; ggf. EU‑SCC; Verschlüsselung in Transit/at Rest

Aktuelle Konfiguration: PostHog EU‑Region, Resend EU (Irland), Neon EU (Frankfurt), Wasabi EU (Frankfurt, noch nicht aktiv).

Drittlandübermittlungen

Verarbeitung erfolgt überwiegend innerhalb der EU/des EWR. Durch global verteilte CDN‑/Edge‑Infrastrukturen (z. B. Vercel) können technische Übermittlungen in Drittländer erfolgen; hierfür nutzen wir EU‑SCC und zusätzliche Schutzmaßnahmen (TLS, Verschlüsselung at rest, Zugriffsminimierung).

Cookies und ähnliche Technologien

• Erforderlich (App): Auth/Session‑Cookies (keine Einwilligung erforderlich)
• App‑Analytics (PostHog): EU‑Region, datensparsam; je Konfiguration ggf. einwilligungsbedürftig
• Marketing‑Website (Plausible, geplant): datenschutzfreundliche, i. d. R. cookie‑lose Reichweitenmessung

E‑Mail/ICS

Versand von OTP‑E‑Mails sowie Buchungsbestätigungen/-stornos mit ICS‑Kalenderdateien. Inhalte werden minimiert (keine Diagnosen/medizinischen Details; keine freien Nachrichteninhalte). Übliche Angaben: Name, Service, Therapeut:in, Datum/Uhrzeit, Ort, ggf. Preis.

Speicherdauern

• Sessions: 7 Tage
• Konten/Organisations‑/Betriebsdaten: bis Löschung/Vertragsende bzw. gesetzliche Pflichten
• App‑Logs/Rate‑Limit‑Daten: technisch erforderliche Zeiträume
• Patienten-/Buchungsdaten (Praxisverantwortung): Speicherung nach Weisung/Fristen der Praxis

Sicherheit der Verarbeitung (TOMs – Kurzüberblick)

• TLS für App/APIs; Provider‑seitige Verschlüsselung at rest
• RBAC, Least‑Privilege, restriktives Secret‑/Schlüsselmanagement; MFA für Adminzugänge empfohlen
• Backup/Restore (z. B. DB‑Snapshots), Monitoring/Alarmierung, grundlegende Audit‑Logs
• Härtung/Patching, regelmäßige Updates, defensives Logging (keine PHI in Logs)
• Datenminimierung in E‑Mails/ICS

Betroffenenrechte (DSAR)

Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch sowie Widerruf von Einwilligungen. Anfragen zu Plattform‑/Kontodaten an hello@useforma.io. Anfragen zu Praxis‑/Patientendaten an die jeweilige Praxis. Antwort i. d. R. innerhalb eines Monats.

Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir auf Grundlage berechtigter Interessen verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, Widerspruch einlegen.

Automatisierte Entscheidungen/Profiling

Finden nicht statt.

Kinder

Keine gezielte Ansprache Minderjähriger; Buchungen erfolgen durch/über Sorgeberechtigte via Praxis.

Änderungen

Gültig ist die jeweils veröffentlichte Fassung dieser Erklärung (Version 1 — 13.10.2025).

Aufsichtsbehörde/Beschwerderecht

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren. Zuständig am Sitz des Verantwortlichen ist die Landesdatenschutzbehörde des Freistaates Sachsen.