[RECHTLICH PRÜFEN] Entwurf, nicht rechtlich geprüft. Rot markierte Punkte bitte vor Veröffentlichung klären.
Julius Hilliger, Ebertstraße 20, 07743 Jena, Deutschland
E-Mail: julius.hilliger@icloud.com
Ein Datenschutzbeauftragter ist nicht bestellt.
[RECHTLICH PRÜFEN] Bestätigen, dass keine Pflicht zur Benennung eines Datenschutzbeauftragten besteht (Art. 37 DSGVO, § 38 BDSG).
Im Benchmark-Formular fragen wir Kennzahlen deiner Praxis ab, überwiegend als Spannen (z. B. Umsatzklasse, Personalkostenquote, Preise ausgewählter Leistungen), dazu Bundesland, Praxisform und Gründungszeitraum. Wir fragen im Formular weder Namen noch E-Mail-Adresse ab.
In unserer Benchmark-Datenbank speichern wir:
Zu diesen Daten speichern wir keine Namen, IP-Adressen oder E-Mail-Adressen.
Beim Öffnen von https://vet.nodchief.com/start erzeugt dein Browser einen zufälligen Token. Er wird nicht in Cookies oder im Browser-Speicher abgelegt. Der Token wird als verstecktes Feld mit deiner Antwort an Tally übertragen und ist Teil der Adresse des eingebetteten Formulars. Deshalb steht er
Nach dem Absenden wirst du zu deinem Ergebnis-Link weitergeleitet, der den Token enthält. Wir speichern nur einen Hash des Tokens, nicht den Token selbst; wir können deinen Link daher nicht wiederherstellen. Wer den Link kennt, kann die zugehörigen Werte sehen – bitte bewahre ihn sorgfältig auf. Der Teil der Adresse nach „#“ (dein Token) wird von Browsern grundsätzlich nicht an den Webserver übertragen.
Das Formular wird mit Tally bereitgestellt: Tally BV, Sint-Pietersnieuwstraat 11, 9000 Gent, Belgien. Tally verarbeitet die Daten als unser Auftragsverarbeiter nach Art. 28 DSGVO; laut Tally werden die Daten auf Servern in der EU gespeichert. Details: tally.so/help/gdpr, tally.so/privacy.
Beim Aufruf des Formulars verarbeitet Tally technisch notwendig Verbindungsdaten wie deine IP-Adresse.
[PRÜFEN] Ob und wie lange Tally IP-Adressen zu Formularantworten oder in Zugriffsprotokollen speichert, ist noch mit Tally zu klären (Antwort ausstehend).
Sobald deine Antwort in unsere Benchmark-Datenbank übernommen ist, löschen wir die Rohantwort bei Tally automatisch. Antworten, die wir nicht übernehmen können (z. B. ohne gültigen Token), löschen wir ebenfalls. Schlägt eine Löschung fehl, wiederholen wir sie automatisch alle 15 Minuten, bis sie erfolgreich ist. Nach Angaben von Tally können gelöschte Daten noch bis zu 90 Tage in Backups enthalten sein, bevor sie auch dort entfernt werden.
Auf der Ergebnisseite kannst du dir deinen Link per E-Mail schicken lassen und optional angeben, dass wir dich informieren, wenn mehr Vergleichsdaten vorliegen. Deine E-Mail-Adresse speichern wir getrennt von deinen Benchmark-Daten, nur mit Versandstatus, Benachrichtigungswunsch und Datum (ohne Uhrzeit), ohne Token, Token-Hash oder sonstige Verknüpfung zu deinen Zahlen. Der Link wird nur für den Versand verwendet und nicht gespeichert. Öffnungs- und Klick-Tracking ist für diese Mails abgeschaltet.
Für den Versand nutzen wir Mailjet (Sinch Email, Teil der Sinch-Gruppe) als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage des Sinch-Datenverarbeitungsvertrags (mailjet.com/legal/dpa). Vertragspartner ist [PRÜFEN: Mailjet-Vertragsgesellschaft und Anschrift laut Konto/Rechnung eintragen – die AGB nennen je nach Vertrag u. a. Mailjet SAS, Mailjet GmbH, Mailjet SaaS Ltd oder Mailjet Emailing SL].
[RECHTLICH PRÜFEN] Laut Sinch-DPA sind Übermittlungen innerhalb der Sinch-Gruppe und an Unterauftragsverarbeiter außerhalb der EU möglich (abgesichert über EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework). Außerdem behält sich Sinch für Kommunikationsdienste eine Rolle als eigenständiger Verantwortlicher vor. Formulierung und Drittlandhinweis prüfen.
Zum Schutz vor Missbrauch zählen wir Anfragen kurzfristig über nicht umkehrbare Prüfwerte von IP-Adresse und E-Mail-Adresse; diese Zähler löschen wir nach spätestens 2 Tagen.
[RECHTLICH PRÜFEN] Rechtsgrundlage für diese Missbrauchszähler (eher berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO, als Einwilligung).
Vergleichswerte (Median und mittlerer Bereich) zeigen wir erst, wenn mindestens 5 Praxen in einer Vergleichsgruppe sind; sonst fassen wir Gruppen gröber zusammen oder zeigen keinen Vergleich. Preisangaben werten wir nur zusammengefasst, höchstens nach grober Region und nur aus Einträgen aus, die älter als 3 Monate sind.
Webseite: statichost.eu, betrieben von Variable Object Assignment, c/o Knackeriet, Sankt Paulsgatan 25, 118 48 Stockholm, Schweden (statichost.eu/about). Beim Abruf der Seiten werden technisch notwendig Verbindungsdaten wie IP-Adresse, aufgerufener Pfad, Zeitpunkt und Browserkennung verarbeitet.
[PRÜFEN] Auftragsverarbeitungsvertrag mit statichost.eu, Serverstandort und Speicherdauer der Server-Protokolle noch bestätigen lassen.
Datenbank und Server-Funktionen: Supabase, Vertragspartner Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513 (supabase.com/legal/dpa). Unser Projekt liegt in der Region eu-central-1 (Frankfurt am Main).
[RECHTLICH PRÜFEN] Supabase hat seinen Sitz in Singapur; Zugriffe durch Supabase oder Unterauftragsverarbeiter aus Drittländern sind laut DPA möglich (abgesichert über EU-Standardvertragsklauseln). Drittlandhinweis prüfen.
Die Verarbeitung erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du durch das freiwillige Ausfüllen und Absenden des Formulars bzw. das Anfordern der E-Mail erteilst. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Kontakt siehe Abschnitt 11).
[RECHTLICH PRÜFEN] Wie die Einwilligung konkret eingeholt und dokumentiert wird (z. B. Checkbox im Formular / vor dem Mailversand) und ob Einwilligung für alle Verarbeitungen (inkl. Hosting-Logs) die passende Grundlage ist.
[RECHTLICH PRÜFEN] Ob die Benchmark-Daten (z. B. bei Einzelpraxen in kleinen Gruppen) noch als personenbezogen gelten – davon hängt ab, ob eine unbefristete Speicherung zulässig ist.
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Für Widerruf, Löschung und alle Datenschutzanfragen: julius.hilliger@icloud.com.
Da wir deine Benchmark-Daten nicht mit Namen oder E-Mail verknüpfen, können wir sie nur über deinen Ergebnis-Link zuordnen. Für eine Löschung schicke uns bitte deinen Ergebnis-Link.
Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, z. B. beim Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit (TLfDI).
[RECHTLICH PRÜFEN] Gesamte Erklärung vor Veröffentlichung durch Rechtsberatung prüfen lassen.