Datenschutzerklärung

2. Geltungsbereich und Verantwortlichkeiten

Diese Erklärung beschreibt die Verarbeitung beim Besuch dieser Website und bei Nutzung des Patientenportals der oben genannten Ordination. Die Verarbeitung richtet sich danach, welche Funktionen die Ordination anbietet und welche davon Sie nutzen. Die bloße Nutzung der Website führt nicht zur Anlage einer medizinischen Behandlungsakte.

Die Ordination entscheidet über die Verarbeitung ihrer Patienten- und Behandlungsdaten. SecureMed stellt die Praxissoftware bereit; eingebundene technische Dienstleister verarbeiten Daten im Rahmen ihrer jeweiligen Aufgaben. Zahlungs-, Identitäts- und Kommunikationsanbieter können für eigene gesetzliche oder dienstbezogene Zwecke auch eigenständig verantwortlich sein. Bei Nutzung eines externen Terminportals oder eines anderen verlinkten Angebots gilt zusätzlich dessen Datenschutzerklärung.

3. Datenarten, Herkunft und Verarbeitungszwecke

Daten erhalten wir von Ihnen, von berechtigten Mitarbeitern der Ordination sowie – soweit für Ihre Versorgung zulässig und erforderlich – aus von Ihnen bereitgestellten Befunden oder angebundenen Gesundheitsdiensten. Wir verarbeiten nur die für den jeweiligen Zweck erforderlichen Angaben.

• Website und Sicherheit: technische Verbindungsdaten wie IP-Adresse, Abrufzeitpunkt, angefragte Adresse und Browserinformationen können zur Auslieferung, Fehlerbehebung und Abwehr unberechtigter Zugriffe verarbeitet werden.
• Anmeldung und Zuordnung: Vor- und Nachname, Geburtsdatum, Sozialversicherungsnummer, Kontaktangaben, Anmelde- und Verifizierungsinformationen sowie die Zugehörigkeit zur jeweiligen Ordination.
• Termine und Vorabformulare: Terminart, Behandler, Terminwünsche, Kontaktdaten, Anamnese, Einwilligungen und Antworten auf von der Ordination bereitgestellte Fragebögen.
• Behandlung und Patientenportal: Beschwerden, Untersuchungsbefunde, Diagnosen, Therapieangaben, Verordnungen, Überweisungen, Arztbriefe, hochgeladene Unterlagen und Kommunikation mit der Ordination.
• Gastuploads und Akutanfragen: Angaben zur sicheren Patientenzuordnung, übermittelte Beschwerden, Rückfragen und medizinische Dateien. Die Akutanfrage dient der strukturierten Erfassung, nicht einer automatisierten Dringlichkeitseinstufung.
• Abrechnung und Zahlungen: erbrachte Leistungen, Rechnungs- und Zahlungsdaten, Versicherungsangaben und die für eine zulässige Abrechnung erforderliche Diagnosendokumentation.
• Nachweise: Zustimmung zu Formularen, Dokumentenaufrufe im Rahmen elektronischer Aufklärungen, Verifizierungsereignisse und berechtigungsbezogene Zugriffs- und Bearbeitungsnachweise.

Pflichtangaben werden im jeweiligen Formular erkennbar gemacht. Ohne notwendige Identitäts-, Kontakt- oder Behandlungsangaben kann die betroffene Funktion nicht oder nur eingeschränkt bereitgestellt werden. Optionale Einwilligungen sind keine Voraussetzung für die Nutzung der allgemein zugänglichen Website.

4. Rechtsgrundlagen

Für Terminorganisation, Portalbereitstellung und die Durchführung eines Behandlungsvertrags kommt Art. 6 Abs. 1 lit. b DSGVO zur Anwendung. Gesetzlich erforderliche Dokumentation, Aufbewahrung und Abrechnung stützen sich auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den einschlägigen österreichischen Vorschriften. Soweit erforderlich, erfolgt der sichere Betrieb und die Missbrauchsabwehr auf Grundlage berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO unter Abwägung Ihrer Rechte.

Gesundheitsdaten unterliegen zusätzlich Art. 9 DSGVO. Die medizinische Versorgung und die Verwaltung von Gesundheitsdiensten erfolgen insbesondere unter den Voraussetzungen des Art. 9 Abs. 2 lit. h und Abs. 3 DSGVO durch zur Verschwiegenheit verpflichtete Personen. Soweit eine Verarbeitung eine Einwilligung erfordert, wird diese zweckbezogen eingeholt; für besondere Datenkategorien ist eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO erforderlich.

Einwilligungen nach Art. 6 Abs. 1 lit. a DSGVO können für die Zukunft widerrufen werden. Der Widerruf berührt die Rechtmäßigkeit der davor erfolgten Verarbeitung nicht und ersetzt keine gesetzlich vorgeschriebene Dokumentations- oder Aufbewahrungspflicht. Für nicht notwendige Speicherung auf Ihrem Endgerät gilt zusätzlich § 165 Abs. 3 TKG 2021.

5. Technische Dienste und Empfänger

Zugriff erhalten die für Ihre Versorgung oder die jeweilige Verwaltungsaufgabe berechtigten Personen der Ordination. Eine Mitgliedschaft in einer anderen Praxis berechtigt nicht zum Zugriff auf Ihre Daten in dieser Ordination. Technische Dienstleister werden für die jeweiligen Aufgaben eingebunden; nicht jede nachfolgend genannte Funktion muss in Ihrer Praxis aktiviert sein.

• Supabase: Datenbank, Benutzeranmeldung und Dateiablage der Plattform. Verarbeitet werden die für diese Dienste gespeicherten Konto-, Praxis- und gegebenenfalls Gesundheitsdaten.
• Microsoft Azure: Sprach-, Dokument- und KI-Verarbeitung für die von der Ordination verwendeten medizinischen Assistenzfunktionen; Einzelheiten siehe Abschnitt 6.
• Twilio: Zustellung von SMS und, sofern genutzt, WhatsApp-Nachrichten sowie Verifizierungscodes. Hierfür werden die Empfängernummer und die erforderlichen Nachrichteninhalte verarbeitet. Bei WhatsApp sind zusätzlich Dienste von WhatsApp/Meta beteiligt.
• Resend: E-Mail-Zustellung in den darüber bereitgestellten Funktionen; hierfür werden Empfängeradresse, Nachrichteninhalt und Zustellinformationen verarbeitet.
• Stripe: Zahlungsabwicklung für die darüber angebotenen kostenpflichtigen Funktionen. Dabei werden die erforderlichen Zahlungs-, Kontakt- und Transaktionsangaben verarbeitet; die Zahlungsabwicklung ist keine Freigabe Ihrer gesamten Behandlungsakte.
• Hosting und Auslieferung: technische Plattform-, Netzwerk- und Dateiauslieferungsdienste, die Anfragen bearbeiten und Inhalte bereitstellen.

Soweit in Ihrer Ordination aktiviert, können für e-card, e-Rezept, eKOS, ELGA, DaMe oder die Versicherungsabrechnung die jeweils erforderlichen Daten an die zuständigen Gesundheits-, Versicherungs- und Kommunikationsdienste übermittelt werden. Diese Übermittlungen erfolgen für den konkreten Versorgungs- oder Abrechnungszweck, nicht allein durch den Besuch der Website.

Eine weitere Weitergabe kommt bei gesetzlicher Verpflichtung oder einer von Ihnen veranlassten beziehungsweise rechtlich zulässigen Übermittlung in Betracht. Informationen zu den für Ihre konkrete Verarbeitung eingesetzten Vertragspartnern können Sie bei der Ordination anfordern.

6. Medizinische KI und Diktatverarbeitung

Bei aktivierten Assistenzfunktionen werden erforderliche Diktataufnahmen, Transkripte, Texte oder medizinische Dokumente mit Microsoft-Azure-Diensten verarbeitet, beispielsweise zur Spracherkennung, Dokumentenauslesung oder Formulierung ärztlicher Dokumentation. Identifizierbare und sensible medizinische Daten dürfen nicht über Lovable AI verarbeitet werden.

Die Ergebnisse sind Vorschläge für das medizinische Personal. Sie können fehlerhaft oder unvollständig sein und müssen ärztlich geprüft und ausdrücklich übernommen werden. Das System trifft keine eigenständigen klinischen Entscheidungen und führt keine automatische Akuttriage durch. Es erfolgen keine ausschließlich automatisierten medizinischen Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne des Art. 22 DSGVO.

Korrekturen können, soweit die Ordination diese Funktion nutzt, in ein arztbezogenes Vokabular oder Schreibstilprofil einfließen. Bei gesondert aktiviertem Azure Custom Speech können Wortlisten und gegebenenfalls ausgewählte Textbeispiele zur Anpassung der Spracherkennung verarbeitet werden. Eine solche Anpassung ist von der laufenden Transkription und von allgemeinem Modelltraining zu unterscheiden; es wird keine pauschale Zusage gemacht, dass sämtliche Daten technisch von jeder Form der Modellanpassung ausgeschlossen sind.

7. Nachrichten und sichere Kommunikation

SMS, E-Mail und gegebenenfalls WhatsApp dienen etwa Terminmitteilungen, Anmeldesicherheit, Einladungen oder Hinweisen auf neue Portalnachrichten. Verifizierungscodes und Links sind für den jeweiligen Empfänger bestimmt und sollen nicht weitergegeben werden. Medizinische Unterlagen sollen möglichst über die dafür vorgesehenen geschützten Portal- und Uploadwege übermittelt werden.

Bei der Verwendung von E-Mail, SMS oder WhatsApp fallen auch beim jeweiligen Kommunikationsanbieter technische Zustell- und Verbindungsdaten an. Diese Kanäle sind nicht mit einem ausschließlich innerhalb des Patientenportals bereitgestellten Dokument gleichzusetzen. Die verfügbaren Kommunikationswege und gegebenenfalls erforderlichen Zustimmungen werden durch die Ordination festgelegt.

8. Cookies, lokaler Speicher und externe Inhalte

Für Anmeldung, Sitzungen, Sicherheitsfunktionen und die Speicherung Ihrer Datenschutzauswahl werden technisch erforderliche Cookies oder vergleichbare Speichermechanismen verwendet. Ihre Cookie-Auswahl wird im lokalen Speicher Ihres Browsers gespeichert. Diese Speicherung erfolgt auf dem jeweiligen Endgerät; nach dem Löschen der Browserdaten oder auf einem anderen Gerät kann eine erneute Auswahl erforderlich sein.

Optionale Kategorien für zusätzliche Funktionen, Statistik und Marketing sind zunächst deaktiviert und können getrennt gewählt werden. Sie können optionale Kategorien ablehnen und Ihre Auswahl nachträglich ändern. Die Datenschutzerklärung und andere notwendige Inhalte bleiben ohne Zustimmung zu optionalen Kategorien zugänglich.

Soweit eingebunden und freigegeben, können Google Maps, Instagram, externe Videoplayer oder Statistikdienste Daten wie Ihre IP-Adresse, Browserangaben und den aufgerufenen Inhalt erhalten. Für zustimmungspflichtige Einbindungen ist Ihre vorherige Freigabe vorgesehen. Wenn Sie einem externen Link folgen, verlassen Sie unser Angebot; dort gelten die Regeln des jeweiligen Anbieters. Direkt ausgelieferte eigene Erklärvideos benötigen keinen externen YouTube- oder Vimeo-Player.

9. Anmeldung mit ID Austria (optional)

Wenn Ihre Ordination ID Austria anbietet, können Sie diesen Anmeldeweg freiwillig verwenden. Die bisherige Registrierung und Anmeldung bleibt auch ohne ID Austria möglich. ID Austria dient der Identitätsprüfung und Anmeldung für die betreffende Praxis, nicht der Werbung oder praxisübergreifenden Profilbildung.

Für die Zuordnung werden Vorname, Nachname, Geburtsdatum und das bereichsspezifische Personenkennzeichen (bPK) verarbeitet. Für die dauerhafte Verknüpfung wird ein kryptografischer, praxisspezifischer Hashwert des bPK gespeichert, nicht dessen Klartext. Ein Hashwert ist keine rückgängig zu machende Verschlüsselung. Namen und Geburtsdatum können während der ausstehenden Zuordnung beziehungsweise Registrierung verarbeitet und in Ihr Patientenprofil übernommen werden.

Bei einer eindeutigen exakten Übereinstimmung der Namen und des Geburtsdatums kann ein vorhandenes Konto zugeordnet werden. Bei Namensabweichungen ist eine Bestätigung über einen Verifizierungscode an die bereits hinterlegte Mobilnummer erforderlich. Bei fehlender sicherer Zuordnung bleibt der bisherige Anmeldeweg verfügbar. Bei der Erstregistrierung werden noch fehlende erforderliche Angaben erhoben.

Die freiwillige Kontoverknüpfung erfolgt aufgrund Ihrer Einwilligung; Sie können diese im Profil trennen. Damit wird die gespeicherte Verknüpfung entfernt. Bereits übernommene Stammdaten, notwendige Sicherheitsnachweise und gesetzlich aufzubewahrende Behandlungsdaten werden dadurch nicht automatisch gelöscht. Sicherheitsereignisse können mit Konto- und Praxiskennungen protokolliert werden. Für die eigentliche Authentifizierung gelten zusätzlich die Datenschutzinformationen des ID-Austria-Anbieters.

10. Verarbeitung außerhalb des EWR

Bei internationalen technischen Dienstleistern können abhängig vom eingesetzten Dienst, seiner Konfiguration und der jeweiligen Empfängerkette Verarbeitungen außerhalb des Europäischen Wirtschaftsraums stattfinden. Eine pauschale Aussage, dass sämtliche Verarbeitung, Supportzugriffe und Sicherungskopien ausschließlich innerhalb der EU erfolgen, wird deshalb nicht getroffen.

Soweit eine Drittlandübermittlung erfolgt, sind die Voraussetzungen der Art. 44 ff. DSGVO einzuhalten. Als Grundlage kommen ein einschlägiger Angemessenheitsbeschluss oder geeignete Garantien, insbesondere Standardvertragsklauseln mit erforderlichen ergänzenden Maßnahmen, in Betracht. Welche Grundlage für den konkreten Dienst gilt und wie Sie Informationen zu den Garantien erhalten, können Sie über die oben genannten Kontaktdaten erfragen.

11. Speicherdauer und Löschung

Die Speicherdauer richtet sich nach dem Verarbeitungszweck, der Datenart und den geltenden Dokumentations-, Aufbewahrungs- und Nachweispflichten. Behandlungsunterlagen und Abrechnungsbelege können daher auch nach Ende der Behandlung oder nach Schließen eines Portalzugangs aufzubewahren sein. Eine Kontolöschung führt nicht automatisch zur Löschung der medizinischen Dokumentation.

Vorübergehend bereitgestellte Patienten- und Gastuploads können nach den für die Ordination geltenden Regeln bereinigt werden. Diese Bereinigung ist von der Aufbewahrung erzeugter klinischer Dokumente zu unterscheiden. Patienten können ihre von der Praxis erstellten Besuchsdokumente im Portal einsehen, aber nicht selbst löschen. Fragen zu einer Berichtigung oder Löschung richten Sie an die Ordination.

Anmelde-, Verifizierungs-, Sicherheits- und Kommunikationsdaten werden zweckbezogen vorgehalten. Sicherungskopien und beim Dienstleister gespeicherte Nachweise können eigenen Löschzyklen und rechtlichen Pflichten unterliegen. Die für Ihre konkrete Datenkategorie geltende Frist oder deren Bestimmungskriterien erhalten Sie auf Anfrage.

12. Schutz Ihrer Daten

Zu den Schutzmaßnahmen gehören verschlüsselte Übertragungswege, Anmelde- und Verifizierungskontrollen, praxisbezogene Zugriffsregeln, die Begrenzung von Mitarbeiterrechten und Nachweise relevanter Sicherheitsereignisse. Welche zusätzlichen Anmeldekontrollen und Sitzungsfristen gelten, hängt auch von der Sicherheitskonfiguration Ihrer Ordination ab.

Bitte schützen Sie Ihr Endgerät und Ihre Zugangsdaten, teilen Sie Verifizierungscodes nicht und melden Sie sich auf gemeinsam genutzten Geräten ab. Auch bei geeigneten Schutzmaßnahmen kann eine absolute Sicherheit sämtlicher Internetkommunikation nicht zugesichert werden.

13. Ihre Rechte

Sie können unter den Voraussetzungen der DSGVO Auskunft und eine Kopie Ihrer Daten (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) verlangen. Bei Verarbeitung auf Grundlage berechtigter Interessen besteht nach Art. 21 ein Widerspruchsrecht aus Gründen Ihrer besonderen Situation. Einer Verarbeitung für Direktwerbung können Sie jederzeit widersprechen.

Diese Rechte gelten nicht uneingeschränkt: Insbesondere gesetzliche Aufbewahrungspflichten, die Rechte anderer Personen und die sichere medizinische Dokumentation können einer sofortigen Löschung entgegenstehen. Einwilligungen können Sie für die Zukunft widerrufen. Zur Bearbeitung Ihrer Anfrage kann eine angemessene Identitätsprüfung erforderlich sein, damit Daten nicht an Unbefugte gelangen.

Bitte wenden Sie sich an die oben angeführte Ordination; bei der allgemeinen Plattform an den im Impressum genannten Ansprechpartner. Anfragen werden grundsätzlich innerhalb eines Monats beantwortet; eine gesetzlich zulässige Verlängerung wird Ihnen mit Begründung mitgeteilt.

14. Beschwerderecht und Aktualität

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Arbeitsplatz oder am Ort des vermuteten Verstoßes. In Österreich ist die Österreichische Datenschutzbehörde zuständig: Barichgasse 40–42, 1030 Wien; www.dsb.gv.at.

Stand: 8. November 2026. Diese Erklärung wird bei Änderungen der angebotenen Funktionen oder der relevanten Datenverarbeitung angepasst. Für gesonderte medizinische Einwilligungen, Aufklärungen und externe Dienste können ergänzende Informationen gelten.

Österreichische Datenschutzbehörde