Rechtliches

Datenschutzerklärung

Informationen nach Artikel 13 und 14 der Datenschutz-Grundverordnung (DSGVO).

Hinweis zum Entwurf — dieser Kasten fliegt vor dem Livegang raus

Dieser Text ist ein sorgfältig gebautes Muster, aber keine Rechtsberatung. Er beschreibt genau das, was diese Seite technisch tut — nicht mehr. In einer Physiotherapiepraxis hängt der wichtigste Teil aber gar nicht an der Website, sondern an der Praxis selbst: an der Patientenakte, an der Praxissoftware und am Abrechnungsweg zur Krankenkasse. Diese drei Punkte sind unten als Platzhalter angelegt und müssen ausgefüllt werden, bevor die Seite online geht. Danach bitte von jemandem prüfen lassen, der das darf.

In einem Satz

Diese Seite setzt keine Cookies, bindet keine Karten, Videos oder Bewertungs-Widgets ein und misst nichts. Wer nur liest, hinterlässt nichts außer dem, was der Server ohnehin protokolliert. Erst wenn Sie selbst auf „Anrufen" oder „WhatsApp" tippen, verlassen Daten diese Seite — und auch dann erst, nachdem Sie die Nachricht abgeschickt haben.

Was in der Praxis passiert, ist eine andere Sache. Sobald Sie zur Behandlung kommen, entstehen Gesundheitsdaten, und für die gelten strengere Regeln als für alles andere auf dieser Seite. Der Abschnitt Gesundheitsdaten erklärt das ausführlich — er ist der wichtigste Teil dieser Erklärung.

Verantwortlich

Praxis Lohbach — Praxis für Physiotherapie
Inhaber: Tobias Lohbach
[Straße und Hausnummer]
[PLZ] Bielefeld
Telefon: [Telefonnummer]
E-Mail: [E-Mail-Adresse eintragen]

[Vor dem Livegang prüfen: Ob eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter bestellt werden muss, hängt in einer Heilberufspraxis nicht allein an der Zahl der Beschäftigten. Nach Artikel 37 Absatz 1 Buchstabe c DSGVO ist die Bestellung verpflichtend, wenn die Kerntätigkeit in einer umfangreichen Verarbeitung besonderer Kategorien nach Artikel 9 DSGVO besteht — und Gesundheitsdaten sind genau das. Ob „umfangreich" bei einer kleinen Praxis erfüllt ist, ist Auslegungssache; die Aufsichtsbehörden verneinen es für Einzelpraxen in der Regel. Das gehört einmal geklärt und dann hier eingetragen: entweder Name und Kontakt der beauftragten Person oder der begründete Satz, dass keine bestellt ist.]

Aufruf der Website — Server-Logfiles

Bei jedem Aufruf übermittelt Ihr Browser technische Daten, die der Hoster in sogenannten Server-Logfiles speichert. Das sind:

aufgerufene Adresse und Datum samt Uhrzeit
übertragene Datenmenge und Meldung, ob der Abruf erfolgreich war
Browsertyp und Betriebssystem
die zuvor besuchte Seite, sofern Ihr Browser sie mitschickt
die IP-Adresse

Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO. Das berechtigte Interesse liegt im technisch fehlerfreien Betrieb und in der Abwehr von Angriffen. Eine Zusammenführung dieser Daten mit anderen Quellen findet nicht statt.

Diese Protokolle sagen nichts darüber aus, warum jemand die Seite besucht. Der Server sieht nur, dass eine Adresse eine Seite abgerufen hat — nicht, ob dahinter eine Beschwerde, eine Diagnose oder blanke Neugier steckt.

Speicherdauer: [Angabe des Hosters eintragen — üblich sind 7 bis 14 Tage].

Hoster

[Name und Anschrift des Hosters eintragen.] Der Hoster verarbeitet die Daten in unserem Auftrag. Mit ihm besteht ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO. [Bestätigen oder abschließen.]

Terminanfragen

Telefon

Wenn Sie anrufen, verarbeiten wir Ihre Rufnummer und alles, was Sie uns am Telefon nennen — in aller Regel Name, Wunschtermin und was auf der Verordnung steht. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO (Anbahnung eines Behandlungsvertrags); soweit es dabei um Gesundheitsangaben geht, zusätzlich Artikel 9 Absatz 2 Buchstabe h in Verbindung mit Absatz 3 DSGVO.

Das Formular auf dieser Seite verschickt selbst nichts. Es setzt aus Ihren Eingaben einen Text zusammen und öffnet damit WhatsApp auf Ihrem Gerät. Abgeschickt wird die Nachricht erst durch Sie. Bis dahin bleiben die Eingaben ausschließlich in Ihrem Browser — es findet keine Übertragung an uns statt.

Sobald Sie senden, verarbeitet WhatsApp Ireland Limited (Merrion Road, Dublin 4, Irland) Ihre Rufnummer, den Nachrichteninhalt und Metadaten nach eigenen Bedingungen. Darauf haben wir keinen Einfluss. Die Datenschutzerklärung von WhatsApp finden Sie unter whatsapp.com/legal/privacy-policy-eea. Eine Übermittlung in die USA an Meta Platforms ist dabei möglich.

Bitte schicken Sie uns über WhatsApp keine Diagnosen, keine Befunde, kein Foto der Verordnung und keine Beschreibung Ihrer Beschwerden. Das ist kein formaler Hinweis, sondern ernst gemeint: Ein Messenger auf einem privaten Telefon ist für Gesundheitsdaten der falsche Ort — die Nachricht liegt anschließend auf zwei Geräten, oft in einer Sicherungskopie, und wir haben darauf keinen Zugriff mehr. Für die Terminvergabe genügt uns vollständig: Name, Rufnummer, ob eine Verordnung vorliegt und wann Sie Zeit haben. Alles Weitere besprechen wir am Telefon oder beim ersten Termin.

Das Formular ist deshalb absichtlich so gebaut, dass es nach keiner Diagnose fragt. Wer WhatsApp gar nicht nutzen möchte, erreicht uns genauso gut per Telefon oder E-Mail. Rechtsgrundlage für die Nutzung des Messengers ist Artikel 6 Absatz 1 Buchstabe a DSGVO — Sie entscheiden sich durch das Absenden bewusst dafür.

E-Mail

Schreiben Sie uns eine E-Mail, verarbeiten wir Ihre Adresse und den Inhalt der Nachricht, um sie zu beantworten. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO. Eine gewöhnliche E-Mail ist auf dem Weg nicht durchgehend verschlüsselt; auch hier gilt deshalb die Bitte von oben.

Wie lange

Anfragen, aus denen keine Behandlung wird, löschen wir spätestens sechs Monate nach dem letzten Kontakt. Kommen Sie zu uns, gilt der nächste Abschnitt.

Gesundheitsdaten — der Kern dieser Erklärung

Sobald wir Sie behandeln, entstehen Daten über Ihren Körper: was weh tut, seit wann, wie beweglich ein Gelenk ist, was auf der Verordnung steht, was sich von Termin zu Termin verändert. Das sind Gesundheitsdaten, und die Datenschutz-Grundverordnung behandelt sie anders als einen Namen oder eine Rufnummer.

Warum das ein eigener Abschnitt ist

Artikel 9 Absatz 1 DSGVO stellt Gesundheitsdaten in eine kleine Gruppe besonders geschützter Angaben — zusammen mit genetischen und biometrischen Daten, religiöser Überzeugung, politischer Meinung und Angaben zum Sexualleben. Für diese Gruppe gilt zunächst ein Verbot: Die Verarbeitung ist untersagt, solange keine der in Absatz 2 genannten Ausnahmen greift. Nicht „erlaubt, wenn es einen Grund gibt", sondern umgekehrt: verboten, bis eine Ausnahme eingreift.

Auf welcher Grundlage wir es trotzdem dürfen

Die Ausnahme, die für eine Physiotherapiepraxis passt, steht in Artikel 9 Absatz 2 Buchstabe h DSGVO: Die Verarbeitung ist erlaubt, wenn sie für die Versorgung oder Behandlung im Gesundheitsbereich erforderlich ist und auf einem Vertrag mit einer Angehörigen eines Gesundheitsberufs beruht. Genau das ist Ihr Behandlungsvertrag mit uns.

Diese Ausnahme steht aber nicht allein. Artikel 9 Absatz 3 DSGVO knüpft sie an eine Bedingung: Die Daten dürfen nur von Fachpersonal oder unter dessen Verantwortung verarbeitet werden, und dieses Fachpersonal muss dem Berufsgeheimnis unterliegen. Ohne Schweigepflicht keine Erlaubnis — die beiden Absätze gehören zusammen.

Schweigepflicht

Diese Schweigepflicht ist in Deutschland strafbewehrt. § 203 Absatz 1 Nummer 1 Strafgesetzbuch stellt es unter Strafe, wenn ein Geheimnis unbefugt offenbart wird, das jemandem als Angehöriger eines Heilberufs anvertraut worden ist, dessen Berufsbezeichnung eine staatlich geregelte Ausbildung voraussetzt. Auf die Physiotherapie trifft das zu: Die Berufsbezeichnung ist geschützt und die Ausbildung ist im Masseur- und Physiotherapeutengesetz geregelt. Der Strafrahmen reicht bis zu einem Jahr Freiheitsstrafe oder Geldstrafe.

Praktisch heißt das: Wir bestätigen niemandem, dass Sie hier Patientin oder Patient sind — auch nicht am Telefon, auch nicht Angehörigen. Wer mitbehandelt oder mitarbeitet, ist schriftlich auf Verschwiegenheit verpflichtet, und das gilt über das Ende der Beschäftigung hinaus. Auch der Wartebereich ist danach gebaut: Gespräche über Ihre Beschwerden gehören in den Behandlungsraum, nicht an den Tresen.

Was in Ihrer Patientenakte steht

Name, Geburtsdatum, Anschrift, Erreichbarkeit
Krankenkasse und Versichertennummer, bei Selbstzahlerleistungen die Abrechnungsdaten
die ärztliche Verordnung mit Diagnose und Heilmittel
der Befund vom ersten Termin: Messwerte, Beweglichkeit, Belastbarkeit
was in jeder Einheit gemacht wurde und wie Sie darauf reagiert haben
Übungen für zu Hause und was daraus geworden ist

Das ist keine freiwillige Sammlung. § 630f Absatz 1 und 2 des Bürgerlichen Gesetzbuchs verpflichtet Behandelnde dazu, eine Patientenakte zu führen und darin alle für die Behandlung wesentlichen Maßnahmen und Ergebnisse festzuhalten. Nachträgliche Änderungen müssen als solche erkennbar bleiben — auch das steht dort.

Wie lange die Akte bleibt

§ 630f Absatz 3 BGB gibt die Frist vor: Die Patientenakte ist zehn Jahre nach Abschluss der Behandlung aufzubewahren, soweit sich aus anderen Vorschriften nichts anderes ergibt. Ein Löschverlangen nach Artikel 17 DSGVO greift währenddessen nicht durch — die gesetzliche Aufbewahrungspflicht geht vor. Nach Ablauf der Frist wird die Akte vernichtet. Rechnungen und Buchungsbelege liegen davon getrennt und folgen den steuerlichen Fristen.

Wer die Daten außer uns sieht

Ihre Krankenkasse, wenn Sie mit Verordnung kommen. Die Abrechnung von Heilmitteln ist in § 302 Absatz 1 SGB V geregelt: Übermittelt werden im Wege elektronischer Datenübertragung unter anderem Art, Menge und Preis der Leistungen, der Tag der Leistungserbringung, die Nummer des verordnenden Arztes und die Verordnung selbst — samt Diagnose. Das ist gesetzlich vorgeschrieben und keine Entscheidung der Praxis. Rechtsgrundlage: Artikel 6 Absatz 1 Buchstabe c und Artikel 9 Absatz 2 Buchstabe h DSGVO.

Die verordnende Ärztin oder der verordnende Arzt, wenn ein Bericht angefordert wird oder wir bei einem auffälligen Befund Rücksprache halten müssen. Das besprechen wir vorher mit Ihnen.

Sonst niemand. Ihre Daten werden nicht verkauft, nicht für Werbung ausgewertet, nicht an Arbeitgeber, Versicherungen oder Angehörige weitergegeben und nicht mit anderen Quellen zusammengeführt. Bei Selbstzahlerleistungen erfährt die Krankenkasse gar nichts.

[Falls über einen Abrechnungsdienstleister abgerechnet wird: Der Name gehört hierher, und es braucht Ihre ausdrückliche Einwilligung — bei der Weitergabe von Patientendaten an eine externe Abrechnungsstelle reicht ein Auftragsverarbeitungsvertrag allein nicht aus. Vor dem Livegang klären.]

Wo die Akte liegt

[Eintragen: Papierakte in einem abschließbaren Schrank oder Name der verwendeten Praxissoftware. Bei einer Software gehören hierher: der Anbieter mit voller Anschrift, der Serverstandort, ob es sich um eine Installation in der Praxis oder um einen Cloud-Dienst handelt, und der Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO. Bei einer Cloud-Lösung zusätzlich: Wie ist sichergestellt, dass der Anbieter selbst nicht in die Akten sehen kann? Das ist wegen § 203 StGB keine Formalie — nach § 203 Absatz 3 StGB dürfen Mitwirkende einbezogen werden, aber sie müssen ihrerseits zur Geheimhaltung verpflichtet sein.]

Fotos und Videoaufnahmen

Bewegungsaufnahmen können in der Therapie sinnvoll sein — etwa um einen Gang vorher und nachher zu vergleichen. Wir machen solche Aufnahmen nur mit Ihrer ausdrücklichen, vorher schriftlich erteilten Einwilligung nach Artikel 9 Absatz 2 Buchstabe a DSGVO, immer nur für Ihre Behandlung, nie für die Website oder soziale Netzwerke. Die Einwilligung ist freiwillig, eine Ablehnung hat keinerlei Nachteil, und Sie können sie jederzeit für die Zukunft widerrufen — dann wird die Aufnahme gelöscht.

Keine Cookies, kein Tracking

Diese Seite setzt keine Cookies und verwendet keine Analysewerkzeuge. Es gibt deshalb auch kein Einwilligungsbanner — es gäbe nichts, worin einzuwilligen wäre.

Das ist bei einer Gesundheitsseite kein Zufall. Schon der Besuch einer Unterseite über Lymphdrainage oder Rückenschmerzen lässt einen Rückschluss auf Ihre Gesundheit zu. Ein Werbenetzwerk, das mitliest, würde damit genau die Daten sammeln, die Artikel 9 DSGVO besonders schützt. Deshalb bindet diese Seite nichts von außen ein — keine Karte, kein Video, kein Bewertungs-Widget, keinen Besucherzähler.

Die Schriften liegen auf dem eigenen Server. Beim Aufruf der Seite werden keine Daten an Schriftanbieter übertragen.

Ihre Rechte

Sie haben jederzeit das Recht auf

Auskunft über die zu Ihnen gespeicherten Daten (Artikel 15 DSGVO) — dazu gehört auch eine Kopie Ihrer Patientenakte
Berichtigung unrichtiger Daten (Artikel 16 DSGVO)
Löschung (Artikel 17 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht — siehe die zehn Jahre nach § 630f Absatz 3 BGB
Einschränkung der Verarbeitung (Artikel 18 DSGVO)
Datenübertragbarkeit (Artikel 20 DSGVO)
Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen (Artikel 21 DSGVO)
Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Artikel 7 Absatz 3 DSGVO)

Eine formlose Nachricht an die oben genannte Adresse genügt. Bei einer Auskunft über Behandlungsdaten müssen wir sicher sein, dass die Anfrage wirklich von Ihnen kommt — deshalb fragen wir dabei nach.

Beschwerderecht

Sie können sich bei einer Aufsichtsbehörde beschweren. Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

Verschlüsselung

Diese Seite wird über HTTPS ausgeliefert. Was Sie eingeben, ist auf dem Weg zum Server verschlüsselt. Erkennbar ist das am Schloss-Symbol in der Adresszeile Ihres Browsers.

Stand

[Datum eintragen]. Diese Erklärung wird angepasst, sobald sich an der Seite oder an der Praxis etwas ändert, das Daten betrifft — eine neue Praxissoftware zum Beispiel, oder ein Online-Terminbuch.

Zurück zur Startseite