Datenschutzerklärung

Stand: 13. Oktober 2026

1. Verantwortlicher
2. Das Wichtigste in Kürze
3. Rechtsgrundlagen, Herkunft der Daten, Pflicht zur Angabe
4. Aufruf dieser Website (Hosting, Server-Protokolle)
5. Speicherung auf Ihrem Gerät (kein Tracking, keine Cookies)
6. Patientendaten im Anästhesieprotokoll
7. Zugangsprüfung und Fallzählung (Supabase)
8. Registrierung und Vertragsdaten der Praxen
9. E-Mail-Versand und Kontakt
10. Rechnungen und Zahlung
11. Betreiber-Bereich
12. Schriftarten, externe Inhalte
13. Was wir nicht einsetzen
14. Empfänger und Drittlandübermittlung
15. Ihre Rechte, Widerspruchsrecht, Beschwerderecht
16. Hinweis für Praxen: Wer ist verantwortlich für Patientendaten?
17. Änderungen dieser Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und für die Vertragsdaten der registrierten Praxen ist:

Vaydena - Softwarelösungen, Inhaber Karl-Heinz Bicker
Biberstraße 27, 85354 Freising
Telefon: 08161 - 1850516 · E-Mail: kontakt@vaydena.de

Ein Datenschutzbeauftragter ist nicht benannt, da hierzu keine gesetzliche Pflicht besteht.

2. Das Wichtigste in Kürze

• Patientendaten bleiben auf dem Gerät der Praxis. Was das Praxispersonal im Protokoll einträgt, wird nur im Browser des verwendeten Geräts verarbeitet und nicht an uns übertragen. Wir speichern keine Protokolle.
• An unseren Server gehen nur: die Prüfung des Praxis-Zugangs und – beim Finalisieren eines Protokolls – ein Zähl-Ereignis für die Abrechnung (Praxis-Zugang, zufällige Fall-Kennung, Zeitpunkt des Finalisierens). Diese Daten enthalten keine Angaben zu Patientinnen und Patienten.
• Von Praxen verarbeiten wir die bei der Registrierung angegebenen Kontakt-, Briefkopf- und Rechnungsdaten, um den Zugang bereitzustellen und abzurechnen.
• Kein Tracking, keine Werbe- oder Analyse-Cookies, keine externen Schriften oder Skripte.

3. Rechtsgrundlagen, Herkunft der Daten, Pflicht zur Angabe

Wir verarbeiten personenbezogene Daten nur, wenn eine der folgenden Grundlagen der Datenschutz-Grundverordnung (DSGVO) das erlaubt. Welche jeweils gilt, steht bei den einzelnen Verarbeitungen in den Abschnitten 4 bis 11.

• Vertrag und Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO): Registrierung, Bereitstellung des Zugangs, Abrechnung, Beantwortung von Anfragen zum Vertrag.
• Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung von Rechnungen und Geschäftsbriefen, Bearbeitung von Betroffenenanfragen.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): sicherer und stabiler Betrieb, Schutz vor Missbrauch, Nachweis und Durchsetzung von Ansprüchen.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Derzeit stützen wir keine Verarbeitung auf eine Einwilligung. Sollten wir künftig eine einholen, können Sie sie jederzeit für die Zukunft widerrufen.
• Speichern und Auslesen auf dem Gerät (§ 25 Abs. 2 Nr. 2 TDDDG): nur, soweit es für die von Ihnen gewünschte Funktion unbedingt nötig ist (Abschnitt 5).

Herkunft der Daten: Wir erhalten die Daten von Ihnen selbst bzw. von der Praxis oder Klinik, die sich registriert. Nennt die Praxis eine Ansprechperson oder Beschäftigte, informiert sie diese Personen über die Weitergabe an uns.

Pflicht zur Angabe: Eine gesetzliche Pflicht, uns Daten zu überlassen, besteht nicht. Ohne die in Abschnitt 8 genannten Pflichtangaben können wir jedoch keinen Zugang einrichten und nicht abrechnen.

4. Aufruf dieser Website (Hosting, Server-Protokolle)

Die Website und die App-Dateien werden bei Hostinger auf Servern in Frankfurt am Main (Deutschland) gehostet; Hostinger setzt dafür ein eigenes Content-Delivery-Netz (hCDN) ein. Vertragspartner ist die Hostinger International Ltd. mit Firmensitz in 61 Lordou Vironos Street, 6023 Larnaca, Zypern. Beim Aufruf verarbeitet der Hoster technisch notwendige Verbindungsdaten in Server-Protokollen:

• IP-Adresse, Datum und Uhrzeit des Abrufs, abgerufene Datei/Adresse, übertragene Datenmenge, HTTP-Statuscode,
• Browser-Kennung (User-Agent). Eine Referrer-Angabe wird von unseren Seiten nicht mitgesendet (Referrer-Policy: no-referrer).

Zweck: Auslieferung der Website, Stabilität und Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Speicherdauer: nach den Vorgaben des Hosters.

5. Speicherung auf Ihrem Gerät (kein Tracking, keine Cookies)

Wir setzen keine Cookies und binden keine Analyse-, Tracking- oder Werbedienste ein. Die Anwendung nutzt den lokalen Speicher des Browsers (localStorage, sessionStorage, IndexedDB) und – wenn die App installiert bzw. das Protokoll geöffnet wird – einen Service Worker mit Offline-Zwischenspeicher für die App-Dateien. Dort liegen ausschließlich auf dem Gerät:

• die Protokolle in Bearbeitung (Entwürfe; es können mehrere nebeneinander bestehen) und die lokale Kopie finalisierter Protokolle (siehe Abschnitt 6),
• der Praxis-Zugang (Zugangsschlüssel) und das Praxis-Branding (Name, Kopf, Logo), damit das App-Symbol direkt in das Protokoll der Praxis springt und es auch offline startet,
• eine Warteschlange noch nicht übermittelter Zähl-Ereignisse (Fall-Kennung, Zeitpunkt des Finalisierens), falls beim Finalisieren keine Verbindung bestand,
• von der Praxis ergänzte Einträge der Medikamentenliste sowie die Schlüssel für die Verschlüsselung der Geräte-Kopie – bei eingerichteter PIN nur in einer mit der PIN verschlüsselten Form (die PIN selbst wird nicht gespeichert),
• im Betreiber-Bereich der Betreiber-Schlüssel (nur für die Browser-Sitzung oder – falls „angemeldet bleiben“ gewählt – dauerhaft).

Diese Speicherung ist für die vom Nutzer ausdrücklich gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); die weitere Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Die Daten verlassen das Gerät dadurch nicht und lassen sich im Archiv des Protokolls bzw. über die Browser-Einstellungen („Website-Daten löschen“) entfernen.

6. Patientendaten im Anästhesieprotokoll

Angaben, die das Praxispersonal im Protokoll einträgt (Stammdaten, Gesundheits- und Verlaufsangaben zur Anästhesie, Namen der Beteiligten), werden ausschließlich lokal im Browser des verwendeten Praxis-Geräts verarbeitet, dort angezeigt und gedruckt bzw. als PDF gespeichert. Sie werden nicht an uns oder Dritte übertragen; wir haben keinen Zugriff darauf und speichern keine Protokolle.

Maßgeblich für die Patientenakte ist der Ausdruck bzw. das PDF des finalisierten Protokolls, den die Praxis bei sich ablegt und aufbewahrt. Die auf dem Gerät gehaltene Kopie (Protokolle in Bearbeitung, lokale Kopie finalisierter Protokolle) ist eine Arbeitskopie. Sie wird im Browser verschlüsselt gespeichert (AES-256). Ohne PIN liegt der – nicht exportierbare – Schlüssel im selben Browser: Das schützt die gespeicherten Daten vor dem bloßen Auslesen des Speichers, nicht aber vor Personen, die das entsperrte Gerät oder das Browserprofil bedienen können. Richtet die Praxis im Protokoll eine PIN ein, ist der Schlüssel nur noch über diese PIN zugänglich; die Kopie ist dann ohne PIN nicht lesbar und bei vergessener PIN auch durch uns nicht wiederherstellbar. Die PIN besteht aus sechs Ziffern. Der Zugriffsschutz des Geräts (Gerätesperre, Geräteverschlüsselung) bleibt daneben erforderlich. Ist in einem Browser keine Verschlüsselung möglich, weist das Protokoll darauf hin. Die von der Praxis selbst erzeugten JSON-Sicherungen und PDFs sind nicht verschlüsselt. Die Praxis kann lokale Kopien im Archiv des Protokolls vom Gerät entfernen, sobald der Ausdruck abgelegt ist.

Die optionale Übernahme von Angaben aus dem digitalen Aufklärungsbogen (QR-Code oder Datei) geschieht direkt zwischen den Geräten der Praxis; sie läuft nicht über unsere Server. Sicherungsdateien (JSON) entstehen nur auf dem Gerät der Praxis.

Verantwortlich für diese Daten ist die jeweilige Praxis bzw. Klinik (siehe Abschnitt 16). Patientinnen und Patienten wenden sich mit Fragen zu ihren Daten bitte an die behandelnde Praxis.

7. Zugangsprüfung und Fallzählung (Supabase)

Damit nur berechtigte Praxen das Protokoll nutzen und die Abrechnung pro Fall funktioniert, stellt das Protokoll Verbindungen zu unserem Backend her. Dieses betreiben wir bei Supabase (Supabase Inc.) in der Region EU (Frankfurt am Main, eu-central-1). Supabase ist unser Auftragsverarbeiter nach Art. 28 DSGVO.

• Zugangsprüfung beim Öffnen des Protokolls: übermittelt wird der Praxis-Zugangsschlüssel (Token); zurück kommen Gültigkeit, Tarif und das Praxis-Branding.
• Fallzählung beim Finalisieren: übermittelt werden der Praxis-Zugangsschlüssel und eine zufällig erzeugte Fall-Kennung (Visit-ID); gespeichert werden die Fall-Kennung, die Zuordnung zur Praxis und der Zeitpunkt. Die Fall-Kennung enthält keine Patientenangaben und lässt ohne das Praxis-Gerät keinen Rückschluss auf eine Person zu.
• Umstellung vom Test auf die reguläre Nutzung im Protokoll: übermittelt wird der Zugangsschlüssel.

Technisch bedingt verarbeitet Supabase dabei auch die IP-Adresse des Geräts und Zeitstempel in Protokollen (Speicherdauer nach den Vorgaben von Supabase). Zweck: Vertragserfüllung (Zugang bereitstellen, nutzungsabhängig abrechnen) und Missbrauchsschutz. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO. Speicherdauer: Zähl-Ereignisse, solange sie für Abrechnung und Nachweis benötigt werden; als Grundlage von Rechnungen bis zum Ablauf der gesetzlichen Aufbewahrungsfristen (Abschnitt 8). Die Rechnung an die Praxis weist die abgerechneten Fälle einzeln aus (Fall-Kennung, Zeitpunkt des Finalisierens, Herkunft); auch dieser Einzelnachweis enthält keine Angaben zu Patientinnen und Patienten.

8. Registrierung und Vertragsdaten der Praxen

Bei der Registrierung einer Praxis oder Klinik verarbeiten wir:

• Pflichtangaben: Name der Praxis/Klinik, Ansprechpartner/in, E-Mail-Adresse, Rechnungsanschrift (Straße, PLZ, Ort), die Bestätigung der Unternehmereigenschaft und der AGB,
• freiwillige Angaben: Telefon, Briefkopf-Daten (Untertitel, Anschrift, Fax, Notfallnummer, Website, Angaben zum DSGVO-Verantwortlichen der Praxis), Logo, abweichender Rechnungsempfänger.

Zweck: Einrichtung des Zugangs, Zusendung des Zugangsschlüssels, Anzeige des Praxis-Briefkopfs im Protokoll, Abrechnung, Kommunikation zum Vertrag. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen); für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO. Die Daten werden in unserem Backend bei Supabase (Abschnitt 7) gespeichert.

Speicherdauer: für die Dauer des Vertragsverhältnisses. Danach werden die Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen: Rechnungen und andere Buchungsbelege bewahren wir nach § 147 AO und § 257 HGB 8 Jahre auf, Handels- und Geschäftsbriefe 6 Jahre, Bücher und Jahresabschlüsse 10 Jahre.

9. E-Mail-Versand und Kontakt

Zugangsschlüssel, Bestätigungen und Rechnungen versenden wir per E-Mail über unser E-Mail-Postfach bei Hostinger (SMTP/IMAP-Server von Hostinger). Dabei werden die Empfängeradresse, der Name der Praxis und der Inhalt der Nachricht verarbeitet; eine Kopie der Registrierungs-Benachrichtigung geht an unser eigenes Postfach. Wenn Sie uns schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Anfrage), im Übrigen lit. f. Speicherdauer: bis zur Erledigung der Anfrage; geschäftliche Korrespondenz entsprechend den Aufbewahrungsfristen (Abschnitt 8).

10. Rechnungen und Zahlung

Rechnungen erhalten Sie per E-Mail, gegebenenfalls als Link zur Zahlseite unseres Schwesterdienstes (aufklaerungsbogen.vaydena.de/zahlung.html), über den der gemeinsame Praxis-Zugang abgerechnet wird. Beim Öffnen dieser Seite wird der im Link enthaltene Rechnungsschlüssel an unser Backend (Supabase, Abschnitt 7) gesendet, das die Rechnungsdaten zurückliefert (Rechnungsnummer, Betrag, Anzahl der Fälle, Rechnungsanschrift, Bankverbindung). Die Zahlung erfolgt per Banküberweisung; der angezeigte QR-Code (GiroCode) enthält nur die Überweisungsdaten und wird von Ihrer Banking-App gelesen. Eine Zahlung über PayPal oder andere Zahlungsdienstleister wird nicht angeboten; es werden keine Skripte von Zahlungsdienstleistern geladen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO. Speicherdauer: siehe Abschnitt 8.

11. Betreiber-Bereich

Der nicht öffentliche Betreiber-Bereich dient ausschließlich uns zur Verwaltung der Zugänge und der Abrechnung. Er verarbeitet die in Abschnitt 8–10 genannten Daten; der Zugriff ist durch einen Betreiber-Schlüssel geschützt.

12. Schriftarten, externe Inhalte

Alle Seiten verwenden die auf Ihrem Gerät vorhandenen Systemschriften. Es werden keine Schriften, Skripte oder Bilder von Google oder anderen Drittanbietern nachgeladen. Links zu anderen Websites (z. B. zum digitalen Aufklärungsbogen) werden erst beim Anklicken aufgerufen.

13. Was wir nicht einsetzen

Diese Website enthält kein Kontaktformular, keine Newsletter-Anmeldung, keine Kommentarfunktion, kein Kundenkonto mit Passwort und keine eingebetteten Inhalte oder Schaltflächen sozialer Netzwerke. Über Formulare erhalten wir Daten nur bei der Registrierung (Abschnitt 8) und bei der Eingabe des Zugangsschlüssels (Abschnitt 7).

14. Empfänger und Drittlandübermittlung

Empfänger personenbezogener Daten sind unsere Auftragsverarbeiter Hostinger (Hosting, E-Mail) und Supabase (Backend). Öffentliche Stellen erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind (z. B. Finanzbehörden). Die Daten werden in der EU verarbeitet. Supabase Inc. hat ihren Sitz außerhalb der EU; ein Zugriff aus einem Drittland (insbesondere den USA, z. B. im Rahmen von Support) ist nicht vollständig ausgeschlossen.

15. Ihre Rechte, Widerspruchsrecht, Beschwerderecht

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21, siehe unten). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Eine Mitteilung an kontakt@vaydena.de genügt.

Widerspruchsrecht: Soweit wir Daten auf Grundlage unseres berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie dem jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Wir beenden die Verarbeitung dann, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Einer Verarbeitung zum Zweck der Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen.

Bearbeitung Ihrer Anfrage: Machen Sie eines dieser Rechte geltend, verarbeiten wir Ihre Angaben, um die Anfrage zu beantworten und nachweisen zu können, dass wir sie ordnungsgemäß bearbeitet haben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 12 bis 22 DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (Nachweis). Bestehen begründete Zweifel an Ihrer Identität, können wir weitere Angaben zur Bestätigung erbitten.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.

16. Hinweis für Praxen: Wer ist verantwortlich für Patientendaten?

Für die Daten, die auf den Geräten Ihrer Praxis im Protokoll eingetragen werden, ist Ihre Praxis bzw. Klinik Verantwortlicher im Sinne der DSGVO. Da diese Daten das Gerät nicht in Richtung unserer Server verlassen, verarbeiten wir sie nicht in Ihrem Auftrag. Bitte informieren Sie Ihre Patientinnen und Patienten in Ihren eigenen Datenschutzhinweisen, sichern Sie die Geräte (Gerätesperre, Zugriffsschutz, Geräteverschlüsselung), legen Sie den Ausdruck bzw. das PDF jedes finalisierten Protokolls in Ihrer Patientenakte ab und bewahren Sie ihn dort nach den für Sie geltenden Fristen auf. Das gilt auch für Sicherungsdateien (JSON): Sie entstehen nur auf Ihrem Gerät und werden nicht an uns übertragen. Für die Fallzählung (Praxis-Zugang, zufällige Fall-Kennung, Zeitpunkt) haben wir vorsorglich eine Vereinbarung zur Auftragsverarbeitung (AVV) veröffentlicht, die Bestandteil des Vertrags ist. Eine unterzeichnete Ausfertigung senden wir Ihnen auf Wunsch zu – schreiben Sie uns.

17. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich der Dienst, die eingesetzten Dienstleister oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung mit dem oben genannten Stand. Ändert sich für registrierte Praxen etwas Wesentliches, weisen wir sie zusätzlich per E-Mail darauf hin.