Datenschutzerklärung

Diese Datenschutzerklärung informiert Sie über die Art, den Umfang und den Zweck der Verarbeitung Ihrer personenbezogenen Daten bei Nutzung des Patientenportals der Praxis für Chiropraktik – Bastian Kirsten.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Praxis für Chiropraktik – Bastian Kirsten
Bastian Kirsten
Kleine Düwelstraße 21
30171 Hannover
Deutschland

Telefon: 0511 38885399
E-Mail: info@praxis-chiropraktik-hannover.de
Internet: www.praxis-chiropraktik-hannover.de

2. Datenschutzbeauftragter

Aufgrund der Größe der Praxis und der Art und des Umfangs der durch dieses Portal verarbeiteten Daten ist nach derzeitigem Stand kein Datenschutz- beauftragter bestellt (§ 38 BDSG). Anfragen zum Datenschutz richten Sie bitte an die unter Ziffer 1 genannte Kontaktadresse oder an info@praxis-chiropraktik-hannover.de.

3. Welche Daten verarbeiten wir?

Im Patientenportal werden folgende Datenkategorien verarbeitet:

Stammdaten

• Vor- und Nachname
• Geburtsdatum
• Postanschrift (Straße, Hausnummer, PLZ, Ort)
• E-Mail-Adresse
• Telefonnummer (sofern angegeben)
• Interne Patientennummer aus der Praxisverwaltungssoftware

Rechnungs- und Zahlungsdaten

• Rechnungsnummer, Rechnungsdatum, Gesamtbetrag, Zahlungsfrist
• Bezahlt-Betrag, offener Restbetrag, Mahngebühren
• Zahlungsstatus, Mahnstufe, ggf. Inkasso-Status
• Zahlungsereignisse (Buchungen, manuelle Korrekturen, Selbstmeldungen)
• PDF-Dokumente: Rechnung, Zahlungserinnerung, Mahnungen

Zugangs- und Sicherheitsdaten

• Bei Patienten: Anmeldung über E-Mail + Geburtsdatum + einmaligen, per E-Mail versendeten Bestätigungscode (kein dauerhaftes Passwort).
• Bei Praxispersonal: Passwort (verschlüsselt als bcrypt-Hash gespeichert), Zwei-Faktor-Geheimnis (TOTP), Recovery-E-Mail-Adresse.
• Login-Versuche (Zeitstempel, IP-Adresse, Erfolg/Fehlschlag) zur Erkennung und Abwehr von Angriffen — Aufbewahrung max. 12 Monate.
• Audit-Log über Bearbeitungen sensibler Datensätze (z. B. Storno, Zahlungskorrektur, Patientensperrung) zum Nachweis der ordnungsgemäßen Verwendung.

4. Zwecke und Rechtsgrundlagen

Die Verarbeitung Ihrer Daten erfolgt zu folgenden Zwecken:

• Erfüllung des Behandlungsvertrags einschließlich Rechnungsstellung und Forderungsverwaltung — Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Erfüllung gesetzlicher Aufbewahrungs- und Dokumentationspflichten nach § 257 HGB, § 147 AO, § 14b UStG — Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i.V.m. den genannten Vorschriften (Aufbewahrungsfrist: 10 Jahre).
• Bereitstellung des Patientenportals (Anzeige Ihrer eigenen Rechnungen, Download von PDF-Dokumenten, Jahresbescheinigung) — Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• IT-Sicherheit und Missbrauchserkennung (Login-Protokolle, Audit-Log, Sperrung bei verdächtigen Aktivitäten) — Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb des Portals).

5. Empfänger Ihrer Daten

Ihre Daten werden grundsätzlich nicht an Dritte weitergegeben. Eine Weitergabe erfolgt nur in den folgenden Fällen:

• Steuerberater im Rahmen der gesetzlichen Buchführungspflichten der Praxis.
• Google Ireland Limited (Google Workspace) zum Versand von E-Mails (z. B. Login-Codes, Passwort-Reset, Benachrichtigungen). Mit Google besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.
• Hetzner Online GmbH (Gunzenhausen, Deutschland) als Betreiberin des Vermittlungs-Servers, über den die Verbindung zwischen Ihrem Browser und unserem Praxis-Server hergestellt wird (Serverstandort: Deutschland). Die Verbindung ist durchgehend TLS-verschlüsselt; die Entschlüsselung erfolgt erst auf dem Server in unseren Praxisräumen. Hetzner verarbeitet daher ausschließlich Verbindungs-Metadaten (z. B. IP-Adressen), keine Inhalte. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
• Inkassobüro bei nicht beglichenen Forderungen nach erfolgloser Mahnung (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse der Forderungsdurchsetzung). Eine Weitergabe erfolgt im Einzelfall.
• Behörden und Gerichte, sofern wir hierzu gesetzlich verpflichtet sind (z. B. Steuerprüfung, gerichtliche Anordnung).

Das Portal selbst wird auf einem Server innerhalb der Praxisräume betrieben. Es findet keine Übermittlung der Portaldaten an externe Cloud-Anbieter statt (ausgenommen der oben genannte E-Mail-Versand).

6. Übermittlung in Drittländer

Der Zugriff auf das Portal erfolgt ausschließlich über Server in Deutschland (Hetzner Online GmbH, Serverstandort Deutschland) und den Praxis-Server in unseren Praxisräumen — insoweit findet keine Drittlandübermittlung statt. Lediglich beim Versand von E-Mails über Google Workspace kann technisch bedingt eine Übermittlung von Verbindungs- und Metadaten in die USA verbunden sein. Google ist nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung erfolgt daher auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DSGVO).

7. Speicherdauer

• Rechnungs- und Zahlungsdaten: 10 Jahre ab Ende des Kalenderjahres, in dem die Rechnung gestellt wurde (§ 257 HGB, § 147 AO).
• Stammdaten: so lange aufbewahrt, wie die zugehörigen Rechnungsdaten gesetzlich aufzubewahren sind; danach gelöscht oder anonymisiert.
• Login-Versuche: 12 Monate ab Erfassung.
• Audit-Log über Bearbeitungen: Aufbewahrung gemeinsam mit den jeweiligen Rechnungsdaten (10 Jahre).
• Inaktive Portalzugänge: Der Portal-Zugang kann jederzeit auf Wunsch deaktiviert werden. Die zugrunde liegenden Stamm- und Rechnungsdaten bleiben für den Zeitraum der gesetzlichen Aufbewahrung gespeichert.

8. Cookies

Das Portal verwendet ausschließlich technisch notwendige Cookies zur Aufrechterhaltung Ihrer Anmeldesitzung (Session-Cookie). Es findet kein Tracking, keine Reichweitenmessung und kein Einsatz von Werbe- oder Drittanbieter-Cookies statt. Eine Einwilligung nach § 25 Abs. 1 TTDSG ist daher nicht erforderlich.

9. Server-Logs

Beim Aufruf des Portals werden technische Verbindungsdaten (IP-Adresse, Zeitstempel, abgerufene Seite, HTTP-Status, User-Agent) sowohl durch den vorgeschalteten Vermittlungs-Server (Hetzner, Deutschland) als auch durch unseren eigenen Webserver protokolliert. Der Vermittlungs-Server kann ausschließlich Verbindungs-Metadaten einsehen, keine Inhalte. Diese Daten werden zur Sicherstellung des Betriebs und zur Abwehr von Angriffen ausgewertet und nach spätestens 30 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

10. SSL-/TLS-Verschlüsselung

Die Verbindung zum Portal erfolgt verschlüsselt über das HTTPS-Protokoll (TLS). Eine verschlüsselte Verbindung erkennen Sie am Schloss-Symbol in Ihrer Browserzeile sowie an der Adresse, die mit https:// beginnt. Bei aktivierter Verschlüsselung können die Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden.

11. Datensicherheit (TOM)

Wir treffen geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO), um Ihre Daten zu schützen, insbesondere:

• Verschlüsselte Übertragung (HTTPS/TLS)
• Speicherung der Passwörter ausschließlich als bcrypt-Hash
• Zwei-Faktor-Authentifizierung (TOTP) für Praxispersonal bei Zugriff von außerhalb der Praxis
• Verzögerte Anmelde-Rückmeldung und Sperrkonten zur Brute-Force-Abwehr
• Pseudonymer Einmal-Code-Login für Patienten (kein dauerhaftes Passwort)
• Audit-Log über sicherheitsrelevante Aktionen
• Rollen- und Rechtekonzept (Admin / Mitarbeiter mit individuellen Berechtigungen / Patient)
• Regelmäßige Aktualisierung der eingesetzten Software
• Physischer Schutz des Praxis-Servers (verschlossene Räumlichkeiten)

12. Ihre Rechte als betroffene Person

Sie haben uns gegenüber folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO) — welche Daten von Ihnen verarbeitet werden.
• Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten.
• Löschung (Art. 17 DSGVO) — soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO) — Erhalt Ihrer Daten in einem strukturierten, gängigen Format.
• Widerspruch gegen Verarbeitungen nach Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO).
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an die unter Ziffer 1 angegebene Kontaktadresse.

13. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren (Art. 77 DSGVO). Zuständige Aufsichtsbehörde für die Praxis ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
Telefon: 0511 120-4500
E-Mail: poststelle@lfd.niedersachsen.de

14. Aktualität und Änderung dieser Erklärung

Diese Datenschutzerklärung ist aktuell gültig und hat den Stand 29.07.2026. Durch Weiterentwicklung des Portals oder aufgrund geänderter gesetzlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung zu ändern. Die jeweils aktuelle Fassung kann jederzeit auf dieser Seite eingesehen werden.