Datenschutzerklärung – ExploreYourDoc Pro

Informationen zur Verarbeitung Ihrer personenbezogenen Daten gemäß dem Gesetz Nr. 06/L-082 über den Schutz personenbezogener Daten

Der Schutz Ihrer personenbezogenen Daten ist uns ein besonderes Anliegen. Wir verarbeiten Ihre Daten daher ausschließlich auf Grundlage der gesetzlichen Bestimmungen, insbesondere des Gesetzes Nr. 06/L-082 über den Schutz personenbezogener Daten der Republik Kosovo (Ligji Nr. 06/L-082 për Mbrojtjen e të Dhënave Personale). Soweit anwendbar, gilt zusätzlich die EU-Datenschutz-Grundverordnung (DSGVO). In dieser Datenschutzerklärung informieren wir Sie über die wichtigsten Aspekte der Datenverarbeitung im Rahmen der Praxissoftware ExploreYourDoc Pro, die unter den Domains pro.shendetesia.com, pro.shendeti.online, proapp.shendetesia.com und proapp.shendeti.online angeboten wird.

Maßgeblich ist die albanische Fassung dieser Datenschutzerklärung.

1. Verantwortlicher

Inhaber: Lorian Atashi Firmenbuchnummer: FN 644542g Telefon: +383 45 630 928 E-Mail: [email protected]

2. Erhebung und Verarbeitung personenbezogener Daten

2.1 Daten bei der Registrierung

Bei der Registrierung als Anbieter auf unserer Plattform erheben wir folgende Daten:

• Titel, Vor- und Nachname
• E-Mail-Adresse
• Telefonnummer
• Fachrichtung und Nummer der Berufslizenz
• Praxisadresse (Straße, PLZ, Ort)

2.1a Dokumente zur Verifizierung

Zur Überprüfung Ihrer Berechtigung laden Sie im Rahmen der Registrierung folgende Dokumente hoch:

• Berufslizenz oder Registrierungsbestätigung der zuständigen Berufskammer
• Bewilligung zur Ausübung der Praxistätigkeit oder Bestätigung der zuständigen Behörde
• Lichtbildausweis (Reisepass oder Personalausweis)

Die hochgeladenen Dokumente werden verschlüsselt gespeichert und ausschließlich zum Zweck der Identitäts- und Berufsberechtigungsprüfung verwendet. Nach erfolgreicher Verifizierung werden die Dokumente spätestens nach 90 Tagen gelöscht. Bei Ablehnung der Registrierung erfolgt die Löschung unverzüglich.

2.2 Daten bei der Nutzung der Plattform

Bei der Nutzung unserer Plattform verarbeiten wir:

• Profilinformationen und Praxisdaten
• Termindaten und Buchungsinformationen
• Kommunikationsdaten (E-Mails, Nachrichten)
• Nutzungsdaten und Protokolldaten

2.3 Technische Daten

Bei jedem Zugriff auf unsere Plattform werden automatisch folgende Daten erfasst:

• IP-Adresse (anonymisiert)
• Datum und Uhrzeit des Zugriffs
• Browsertyp und -version
• Betriebssystem
• Referrer-URL

2.4 Testen der KI-Assistenten

Auf unseren Websites (pro.shendetesia.com, pro.shendeti.online) können Besucher unsere KI-Assistenten testen – im Browser (Voice Chat) oder per Telefonanruf. Dafür geben Sie die URL Ihrer Praxis-Website an; bei der Anruf-Demo zusätzlich Ihre Mobilnummer. Aus öffentlich zugänglichen Website-Inhalten wird ein Demo-Assistent erstellt. Gespräche können zur Qualitätsverbesserung aufgezeichnet und ausgewertet werden.

Verarbeitete Daten:

• Praxis-Website-URL und daraus abgeleitete Praxisinformationen
• Telefonnummer (bei Anruf-Demo)
• IP-Adresse und technische Verbindungsdaten
• Sprach- und Chat-Inhalte während des Testgesprächs

Auftragsverarbeiter u.a.: ElevenLabs (Sprach-KI), Twilio (Telefonie), HubSpot (CRM, siehe Abschnitt 2.5). Es kann zu Datenübermittlungen außerhalb der Republik Kosovo (z.B. in die USA) kommen; dabei werden geeignete Garantien (z.B. Standardvertragsklauseln) eingesetzt.

Bitte übermitteln Sie im Testgespräch keine besonders sensiblen Kategorien personenbezogener Daten (z.B. Gesundheitsdaten). Die Nutzung ist freiwillig – ohne Demo entfallen diese Verarbeitungen.

2.5 Kontaktaufnahme zur Demo

Mit der Nutzung der Demo bestätigen Sie, dass wir Sie im Anschluss kontaktieren dürfen, um Rückfragen zu Ihrem Demo-Erlebnis zu klären – etwa bei technischen Problemen, offenen Fragen zur Einrichtung oder Feedback zum Test.

Verarbeitete Daten:

• Telefonnummer (bei Anruf-Demo)
• Praxis-Website und abgeleitete Praxisbezeichnung
• Angaben zur Demo-Nutzung

Zur Vorbereitung und Nachverfolgung der Kontaktaufnahme speichern wir diese Angaben auch in unserem CRM (HubSpot, EU-Rechenzentrum). Details siehe Abschnitt 4.5.

Sie können der Kontaktaufnahme jederzeit widersprechen – z.B. per E-Mail an [email protected].

3. Verarbeitung von Gesundheitsdaten

Wichtiger Hinweis zu Gesundheitsdaten

Gesundheitsdaten sind sensible personenbezogene Daten im Sinne des Gesetzes Nr. 06/L-082 und unterliegen einem erhöhten Schutz. ExploreYourDoc verarbeitet umfangreiche Gesundheitsdaten im Rahmen der elektronischen Patientenakte.

3.1 Rolle von ExploreYourDoc

ExploreYourDoc e.U. verarbeitet Patientendaten (einschließlich Gesundheitsdaten) ausschließlich als Auftragsverarbeiter im Auftrag der registrierten medizinischen Einrichtungen (Verantwortliche). Die Verantwortung für die Rechtmäßigkeit der Datenverarbeitung liegt beim jeweiligen Anbieter (der Praxis).

3.2 Elektronische Patientenakte

Im Rahmen der elektronischen Patientenakte werden folgende Datenkategorien verarbeitet:

• Stammdaten: Name, Geburtsdatum, Adresse, Kontaktdaten, persönliche Identifikationsnummer
• Versicherungsdaten: Krankenversicherung, Versicherungsnummer, Versicherungsstatus (sofern vorhanden)
• Medizinische Daten: Diagnosen (ICD-Codes), Anamnese, Befunde, Behandlungsverläufe
• Dokumentation: Arztbriefe, Laborergebnisse, Bilddateien (Röntgen etc.)
• Verschreibungen: Medikamente, Dosierungen, Verschreibungshistorie
• Abrechnungsdaten: Leistungen, Honorare, Zahlungshistorie

Speicherdauer: Die Aufbewahrungsdauer der medizinischen Dokumentation legt die Praxis als Verantwortliche gemäß den Aufbewahrungspflichten des in der Republik Kosovo anwendbaren Gesundheitsrechts fest.

3.3 Auftragsverarbeitung

Mit allen Anbietern, die Patientendaten über unsere Plattform verarbeiten, schließt ExploreYourDoc e.U. eine Auftragsverarbeitungsvereinbarung gemäß Gesetz Nr. 06/L-082 ab. Diese regelt:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Art der personenbezogenen Daten
• Kategorien betroffener Personen
• Rechte und Pflichten des Verantwortlichen
• Technische und organisatorische Maßnahmen
• Einsatz von Unterauftragsverarbeitern

3.4 Technische und organisatorische Maßnahmen

Zum Schutz von Gesundheitsdaten setzen wir folgende Maßnahmen ein:

• Verschlüsselung der Datenübertragung (TLS 1.3)
• Verschlüsselung der gespeicherten Daten (AES-256)
• Zwei-Faktor-Authentifizierung für privilegierte Benutzerrollen (Inhaber, Manager, Ärzte)
• Rollenbasierte Zugriffskontrolle
• Vollständige Protokollierung aller Datenzugriffe (Audit-Log)
• Automatische Session-Timeouts
• Hosting ausschließlich in EU-Rechenzentren (ISO 27001, SOC 2 zertifiziert)
• Georedundante Backups mit täglicher Sicherung

4. Einsatz von Drittanbietern

4.1 RaiAccept – Raiffeisen Bank Kosovo (Zahlungsabwicklung)

4.2 Twilio (Kommunikation, Telefonie, Video)

Anbieter: Twilio Inc., San Francisco, CA, USA

Zweck: SMS-Terminerinnerungen und Bestätigungen, transaktionale E-Mails (SendGrid), Video-Sprechstunden zwischen Praxis und Patient, optionaler KI-Telefonassistent zur Terminvereinbarung

Verarbeitete Daten: Telefonnummer, E-Mail-Adresse, Name, Termindetails; bei Video: Audio-/Videoübertragung (verschlüsselt); bei KI-Telefon: Sprachaufzeichnung und Transkript nur im für die Funktion erforderlichen Umfang

Übermittlung außerhalb des Kosovo: USA – mit geeigneten Garantien (z.B. Standardvertragsklauseln)

Datenschutz: twilio.com/legal/privacy

4.3 Google Firebase (Push-Benachrichtigungen)

Anbieter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland

Zweck: Push-Benachrichtigungen in mobilen Anwendungen (sofern genutzt)

Verarbeitete Daten: Geräte-Token, Benachrichtigungsmetadaten (keine medizinischen Inhalte)

Datenschutz: policies.google.com/privacy

4.4 Hosting und Infrastruktur

Vercel

Anbieter: Vercel Inc., Walnut, CA, USA Region: Edge Network mit EU-Regionen (primär Frankfurt) Übermittlung außerhalb des Kosovo: mit geeigneten Garantien (z.B. Standardvertragsklauseln) Datenschutz: vercel.com/legal/privacy-policy

MongoDB Atlas

Anbieter: MongoDB Inc., New York, USA Region: EU (Frankfurt, Deutschland) Zertifizierungen: ISO 27001, SOC 2 Type II, HIPAA-fähig Verschlüsselung: AES-256 (ruhend), TLS 1.3 (Übertragung) Datenschutz: mongodb.com/legal/privacy-policy

Amazon Web Services (AWS)

Anbieter: Amazon Web Services, Inc., Seattle, USA Region: EU (Frankfurt, Deutschland) Zertifizierungen: SOC 2 Type II, ISO 27001, ISO 27018, C5 Funktion: Backend-Server (API), Dokumentenspeicher (Amazon S3) Datenschutz: aws.amazon.com/privacy

4.5 HubSpot (CRM / Demo-Nachverfolgung)

Hinweis zum Datenstandort: Alle personenbezogenen Daten, insbesondere Patientenakten und Gesundheitsdaten, werden ausschließlich in EU-Rechenzentren (Frankfurt, Deutschland) gespeichert. Dies stellt eine Übermittlung außerhalb der Republik Kosovo dar, die mit geeigneten Garantien erfolgt (siehe Abschnitt 9). Patientendaten werden nicht in Ländern außerhalb der EU gespeichert.

5. Cookies und Tracking

5.1 Notwendige Cookies

Wir verwenden technisch notwendige Cookies, die für den Betrieb der Plattform erforderlich sind:

• Session-Cookies für die Authentifizierung (Access-Token, Refresh-Token)
• Geräteerkennungs-Cookie zur Sitzungsverwaltung (deviceId, 1 Jahr)

5.2 Cookie-Einstellungen (lokale Speicherung)

Ihre Auswahl im Cookie-Banner speichern wir lokal im Browser (localStorage unter dem Schlüssel eyd-pro-cookie-consent), damit wir Ihre Einwilligung bei künftigen Besuchen berücksichtigen können. Dabei werden keine personenbezogenen Profile erstellt.

5.3 Vercel Analytics & Speed Insights

Mit Ihrer Einwilligung setzen wir Vercel Analytics und Vercel Speed Insights (Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA) ein, um die Nutzung unserer Website zu messen und die Ladegeschwindigkeit zu verbessern.

Verarbeitete Daten: Seitenaufrufe, Referrer, Geräte- und Browserinformationen, Performance-Metriken (z.B. Core Web Vitals). Vercel Analytics setzt dabei keine Cookies; die Skripte werden erst nach Ihrer Zustimmung über unseren Cookie-Banner geladen.

Übermittlung außerhalb des Kosovo: USA – mit geeigneten Garantien (z.B. Standardvertragsklauseln)

Datenschutzhinweise: vercel.com/legal/privacy-policy

6. Ihre Rechte

Nach dem Gesetz Nr. 06/L-082 stehen Ihnen grundsätzlich die folgenden Rechte zu:

• Auskunftsrecht: Sie können Auskunft über Ihre verarbeiteten personenbezogenen Daten verlangen.
• Berichtigungsrecht: Sie können die Berichtigung unrichtiger oder die Vervollständigung Ihrer Daten verlangen.
• Löschungsrecht: Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung: Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
• Datenübertragbarkeit: Sie können Ihre Daten in einem strukturierten, gängigen Format erhalten.
• Widerspruchsrecht: Sie können der Verarbeitung Ihrer Daten widersprechen.
• Widerruf: Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: [email protected]

7. Datensicherheit

Wir setzen umfangreiche technische und organisatorische Sicherheitsmaßnahmen ein, um Ihre Daten vor unberechtigtem Zugriff, Verlust oder Zerstörung zu schützen:

• SSL/TLS-Verschlüsselung aller Datenübertragungen
• Verschlüsselte Datenspeicherung
• Zwei-Faktor-Authentifizierung
• Regelmäßige Sicherheitsupdates
• Zugriffskontrolle nach dem Prinzip der minimalen Berechtigung

8. Speicherdauer

Wir speichern Ihre personenbezogenen Daten nur so lange, wie es für die Erfüllung der Verarbeitungszwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen:

• Vertragsdaten: 7 Jahre nach Vertragsende (steuer- und buchhaltungsrechtliche Aufbewahrungspflichten)
• Rechnungsdaten: 7 Jahre (steuer- und buchhaltungsrechtliche Aufbewahrungspflichten)
• Nutzerkonto: Bis zur Löschung durch den Nutzer oder Vertragsende
• Protokolldaten: 12 Monate
• Verifizierungsdokumente: Spätestens 90 Tage nach erfolgreicher Verifizierung; bei Ablehnung unverzüglich

Nach Ablauf der Speicherfrist werden die Daten gelöscht oder anonymisiert.

9. Datenübermittlung außerhalb der Republik Kosovo

Unsere Infrastruktur wird in EU-Rechenzentren betrieben (AWS, MongoDB Atlas). Zusätzlich setzen wir Dienstleister mit Sitz in den USA ein (Twilio/SendGrid, Vercel). Zahlungen über RaiAccept werden von der Raiffeisen Bank Kosovo verarbeitet; dies kann eine Verarbeitung innerhalb der Raiffeisen Bank International Gruppe in der EU umfassen. Personenbezogene Daten werden daher außerhalb der Republik Kosovo übermittelt.

Eine solche Übermittlung erfolgt nur, wenn:

• das Empfängerland ein angemessenes Datenschutzniveau gewährleistet, oder
• geeignete Garantien bestehen, insbesondere Standardvertragsklauseln, oder
• eine andere nach dem Gesetz Nr. 06/L-082 zulässige Rechtsgrundlage vorliegt.

10. Beschwerderecht

Sie haben das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren:

Agjencia për Informim dhe Privatësi (AIP) – Agentur für Information und Privatsphäre Prishtinë, Republik Kosovo Website: aip.rks-gov.net

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen unserer Dienste anzupassen. Die aktuelle Fassung finden Sie stets auf dieser Seite. Bei wesentlichen Änderungen werden wir Sie gesondert informieren.

Kontakt

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte wenden Sie sich bitte an:

Telefon: +383 45 630 928 E-Mail: [email protected]