1. Verantwortlicher und Kontakt
Michael Erich Stein
Praxis Shiatsu-Michl
Tannhäuser-Ring 50
2325 Himberg bei Wien, Österreich
Telefon: +43 660 2080020
E-Mail: info@shiatsu-michl.at
Bei Fragen zum Datenschutz oder zur Ausübung deiner Rechte kannst du dich direkt an mich wenden. Diese Hinweise betreffen die neue Homepage, die damit verbundene Termin- und Kundenverwaltung sowie die nachfolgend beschriebenen Kontaktwege.
2. Zwecke und Rechtsgrundlagen
Ich verarbeite personenbezogene Daten, um die Website bereitzustellen, Anfragen zu beantworten, Termine und Kundenkonten zu verwalten und Leistungen abzurechnen. Welche Daten erforderlich sind, hängt davon ab, welche Funktionen du verwendest.
Die Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO für Verträge und vorvertragliche Anfragen, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten und Art. 6 Abs. 1 lit. f DSGVO für berechtigte Interessen, etwa den sicheren Betrieb und die Abwehr von Missbrauch. Wo eine Einwilligung erforderlich ist, kommt Art. 6 Abs. 1 lit. a DSGVO zur Anwendung. Für Gesundheitsdaten ist zusätzlich eine Voraussetzung nach Art. 9 Abs. 2 DSGVO erforderlich.
Die Website dient nicht der automatisierten Entscheidung über Personen mit rechtlicher oder vergleichbar erheblicher Wirkung. Es werden keine entsprechenden Persönlichkeits- oder Werbeprofile erstellt.
3. Websitebetrieb und Hosting
Beim Abruf einer Website fallen technisch insbesondere IP-Adresse, angeforderte Adresse, Zeitpunkt, Browser- und Betriebssysteminformationen sowie gegebenenfalls die verweisende Seite an. Diese Daten werden benötigt, um Inhalte auszuliefern und Störungen oder Angriffe zu erkennen. Rechtsgrundlage für den sicheren Betrieb ist Art. 6 Abs. 1 lit. f DSGVO.
Noch zu ergänzen: Name und Anschrift des endgültigen Hosting- und Datenbankanbieters, Verarbeitungsorte, tatsächlich geführte Zugriffsprotokolle und deren Löschfristen. Die frühere Angabe „Hosttech“ wird nicht ungeprüft auf die neue Homepage übertragen. Aus der lokalen Vorschau lässt sich der spätere Hostinganbieter nicht ableiten.
4. Kontaktformular, E-Mail und Telefon
Wenn du mich kontaktierst, verarbeite ich deine Kontaktdaten, den Inhalt deiner Nachricht und die damit zusammenhängende Korrespondenz zur Bearbeitung deines Anliegens. Bei leistungsbezogenen Anfragen gilt Art. 6 Abs. 1 lit. b DSGVO; bei sonstigen Anfragen Art. 6 Abs. 1 lit. f DSGVO, mit dem Interesse, deine Anfrage zu beantworten.
Im Kontaktformular sind Vorname, Nachname, E-Mail-Adresse, Telefonnummer und Nachricht als Pflichtfelder eingerichtet. Betreff und Adresse sind freiwillig. Ohne die Pflichtangaben kann das Formular nicht versendet werden; alternativ kannst du mich direkt telefonisch oder per E-Mail kontaktieren. Bitte übermittle keine Befunde, Diagnosen oder ausführlichen Gesundheitsangaben über das allgemeine Kontaktformular.
Die Formularinhalte werden für die Zustellung als E-Mail verarbeitet. Zur Begrenzung wiederholter Anfragen wird im Arbeitsspeicher eine aus der IP-Adresse abgeleitete Kennung mit Anfragezeitpunkten geführt. Der Begrenzungszeitraum beträgt eine Stunde; die Kennung ist nicht automatisch anonym. Eine verbindliche Bereinigung abgelaufener Einträge wird vor dem öffentlichen Betrieb festgelegt.
Kontaktanfragen werden nur so lange aufbewahrt, wie ihre Bearbeitung und gegebenenfalls die anschließende Vertragsabwicklung dies erfordern. Gesetzliche Aufbewahrungspflichten und notwendige Unterlagen zur Klärung konkreter Rechtsansprüche bleiben davon unberührt.
Noch zu ergänzen: Der endgültige Anbieter für Postfach und Formularversand sowie die dafür geltenden Verarbeitungsorte. Eine bestimmte Anbietervereinbarung wird hier erst bestätigt, wenn sie tatsächlich abgeschlossen ist.
5. Terminbuchung und Kundenbereich
Die eigene Praxisverwaltung verarbeitet, abhängig von der genutzten Funktion, Namen, E-Mail-Adresse, Telefonnummer, Anschrift, gewählte Dienstleistung, Terminbeginn und -dauer, Buchungsstatus, Änderungen sowie Abrechnungsdaten. Ein Geburtsdatum kann im Kundenprofil hinterlegt werden. Für die reine Websitebetrachtung ist kein Kundenkonto erforderlich.
Für ein Kundenkonto werden zusätzlich Anmeldedaten und Bestätigungsinformationen verarbeitet. Passwörter werden nicht als Klartext gespeichert. Anmeldecodes sind zeitlich begrenzt. Zur Absicherung des Zugangs können Sitzungskennung, IP-Adresse und Browserinformationen verarbeitet werden. Die Anmeldesitzung ist derzeit auf bis zu 30 Tage ausgelegt; eine Verlängerung bei weiterer Nutzung ist möglich.
Zwecke sind Terminvereinbarung, Vermeidung von Doppelbuchungen, Zuordnung von Unterlagen und sichere Kontoverwaltung. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO und für zusätzliche Sicherheitsmaßnahmen Art. 6 Abs. 1 lit. f DSGVO. Die hierfür erforderlichen Angaben werden im jeweiligen Formular gekennzeichnet; ohne sie lässt sich die entsprechende Funktion nicht nutzen.
SimplyBook.me und HelloCash sind in der neuen Anwendung derzeit nicht als aktive Schnittstellen eingerichtet. Vor einer späteren Einbindung oder Datenübernahme werden diese Hinweise um die tatsächlich eingesetzten Dienste ergänzt.
6. Gesundheitsangaben und interne Notizen
Beschwerden, Befunde und Angaben zum körperlichen oder psychischen Zustand sind besonders geschützte Gesundheitsdaten. Sie werden nicht für die allgemeine Websitebetrachtung benötigt. Eine interne Notiz kann ebenfalls Gesundheitsdaten enthalten und unterliegt dann denselben erhöhten Anforderungen.
Für eine Behandlung notwendige Gesundheitsangaben benötigen einen gesondert festgelegten Zweck, eine Rechtsgrundlage nach Art. 6 DSGVO und zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO, insbesondere eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, soweit keine andere nachweisbar einschlägige Grundlage besteht. Das bloße Absenden einer Nachricht oder die Zustimmung zu AGB ersetzt eine solche ausdrückliche Einwilligung nicht.
Vor dem Einsatz mit echten Gesundheitsdaten noch festzulegen: gesonderte Information und Einwilligung, Zugriffsberechtigungen, sichere Übermittlungswege und Aufbewahrungsfristen. Solche Daten gehören nicht in frei sichtbare Kalendertexte oder Push-Nachrichten.
7. Rechnungen und Zahlungen
Für Rechnungen verarbeite ich die erforderlichen Identitäts- und Adressdaten, Leistungsangaben, Rechnungsnummer und -datum, Beträge sowie Zahlungsstatus und Zahlungsart. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO. Rechnungen können im Kundenbereich bereitgestellt oder per E-Mail übermittelt werden.
Die neue Anwendung erfasst derzeit keine Kreditkartennummern und verwendet keinen eingebundenen Kreditkarten-Zahlungsdienst. Bei einer Überweisung verarbeiten die beteiligten Banken die Zahlungsdaten nach ihren eigenen Datenschutzinformationen.
Steuerlich relevante Rechnungen und Buchungsbelege sind grundsätzlich sieben Jahre aufzubewahren, gerechnet ab dem Ende des maßgeblichen Kalenderjahres; bei anhängigen Verfahren kann eine längere Aufbewahrung erforderlich sein. Ein Kontolöschungswunsch führt deshalb nicht automatisch zur Löschung aufbewahrungspflichtiger Rechnungen.
8. Apple-Kalender und Terminabgleich
Für den Praxisablauf ist ein Abgleich mit einem ausgewählten Apple-iCloud-Kalender eingerichtet. Je nach freigeschalteter Kalenderfunktion werden Terminzeiten, Kennungen und Status sowie Name, Dienstleistung und Kontaktdaten für einen Praxistermin übertragen. Aus ausgewählten weiteren Kalendern können belegte Zeiten und vorhandene Terminbezeichnungen zur Vermeidung von Überschneidungen eingelesen werden. Besucher erhalten dadurch keinen Einblick in die Namen anderer Kunden oder in private Kalendereinträge.
Die Terminorganisation erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO und, soweit erforderlich, Art. 6 Abs. 1 lit. f DSGVO zur zuverlässigen Planung. Ob eine konkrete Leistungsbezeichnung Rückschlüsse auf die Gesundheit erlaubt, muss bei der Kalenderkonfiguration zusätzlich berücksichtigt werden.
Apple verarbeitet Daten nach seinen Datenschutzinformationen. Die endgültige Vertragsgestaltung, der Umfang der Kalenderdaten und die Übermittlungsvoraussetzungen werden vor dem produktiven Einsatz mit Kundendaten geprüft.
9. Cookies und lokaler Browserspeicher
Für angeforderte Funktionen wie Anmeldung, Sicherheit oder die Offline-Hinweisseite einer installierten Web-App können Cookies oder lokale Speicher verwendet werden. Für technisch unbedingt erforderliche Speicherzugriffe gilt die Ausnahme des § 165 Abs. 3 TKG 2021. Die Verarbeitung personenbezogener Daten richtet sich zusätzlich nach der jeweils genannten DSGVO-Rechtsgrundlage.
Optionale Statistik- oder Marketingfunktionen dürfen nicht allein mit einem allgemeinen „berechtigten Interesse“ als technisch notwendig behandelt werden. Für nicht erforderliche Speicherzugriffe ist vorher eine aktive Einwilligung nötig. Ablehnung und späterer Widerruf müssen möglich sein.
Das im früheren Text genannte WordPress-Plugin „DSGVO All in One Pro“ wird auf der neuen Website nicht eingesetzt. Die Einwilligungsverwaltung und die abschließende Liste der Speicherkennungen mit ihren Laufzeiten sind noch zu vervollständigen.
10. Besucherstatistik
Die neue Homepage enthält eine eigene Besucherstatistik, kein Google Analytics. Erfasst werden aufgerufene Seitenpfade, Zeitpunkt, eine zufällige Sitzungskennung, der Gerätetyp „Mobil“, „Tablet“ oder „Desktop“ und die Herkunftswebsite. Im Browser wird hierfür „website-visit-session“ im Sitzungsspeicher verwendet. Auf dem Server wird von der Herkunftsadresse nur der Hostname gespeichert. Alter, Geschlecht und genauer Standort werden damit nicht ermittelt; die Statistik enthält keine Kundenkonto-Zuordnung.
Eine solche Sitzungskennung ist pseudonym und darf nicht als vollständig anonym bezeichnet werden. Die Kennung verbleibt im Sitzungsspeicher des jeweiligen Tabs. Statistikdatensätze werden im bestehenden Ablauf bei einer weiteren Erfassung nach 90 Tagen bereinigt. Eine zeitgesteuerte Löschung unabhängig von weiteren Besuchen ist vor Veröffentlichung noch einzurichten.
Aktueller Entwicklungsstand: Die Erfassung berücksichtigt „Do Not Track“ und schließt Buchungs-, Konto- und Verwaltungsseiten aus, ist aber noch nicht an eine vorherige Einwilligung gekoppelt. Vor der öffentlichen Freischaltung muss sie entweder deaktiviert oder auf aktive Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021 umgestellt werden. Diese Datenschutzerklärung selbst ist keine Einwilligung.
11. Bilder, Videos, Instagram und externe Links
Ein Großteil der Bilder, Schriftarten und die eigene Anfahrtsskizze werden von der Website selbst bereitgestellt. Einzelne Bilder und das Praxisvideo werden derzeit noch über Wix-Adressen geladen. Dabei erhält der jeweilige Auslieferungsdienst insbesondere die IP-Adresse und technische Abrufdaten. Die Nutzung dieser Medien bedeutet nicht, dass Wix der Hoster der neuen Website ist. Hinweise des Anbieters: Wix-Datenschutz.
Für den Instagram-Bereich werden Beiträge des Praxisprofils abgerufen. Die Anzeige ist im eigenen Website-Stil gestaltet; Bilder und Videos werden dennoch von Instagram-/Meta-Medienservern geladen. Dadurch können IP-Adresse und Browser-/Abrufdaten an Meta übermittelt werden, auch ohne Instagram-Konto. Ein eigenes Design verhindert diese Übermittlung nicht.
Vor Veröffentlichung: Externe Medien werden entweder auf eine geeignete lokale Bereitstellung umgestellt oder erst nach informierter Einwilligung geladen. Die aktuelle Vorschau enthält noch direkte Abrufe. Anbieterinformationen für Instagram/Facebook: Meta-Datenschutzrichtlinie.
Die Links zu Instagram, Facebook und „Route auf Google Maps öffnen“ führen zu externen Websites. Beim Anklicken gelten auch deren Datenschutzinformationen. Die eigene Anfahrtsskizze nutzt keine live eingebettete Google-Maps-Karte und fragt deinen Gerätestandort nicht ab. Google-Datenschutz
12. Google-Bewertungen
Der Bewertungsbereich zeigt derzeit lokal hinterlegte Auszüge öffentlicher Google-Rezensionen mit angezeigtem Namen und Sternebewertung. Beim Öffnen dieser lokalen Vorschau wird keine Google-Einbettung geladen. Erst ein externer Google-Link führt zu Google.
Zweck ist die nachvollziehbare Darstellung von Erfahrungen mit der Praxis. Als Rechtsgrundlage kommt nach Interessenabwägung Art. 6 Abs. 1 lit. f DSGVO in Betracht. Quelle sind die öffentlich zugänglichen Rezensionen des Google-Unternehmensprofils. Rezensenten können sich wegen Berichtigung, Entfernung oder Widerspruch an mich wenden. Eine gesonderte Prüfung ist erforderlich, wenn ein Rezensionstext Gesundheitsdaten enthält.
Der automatische Abruf über die Google-Unternehmensprofil-API ist beantragt, aber noch nicht aktiv. Vor seiner Aktivierung werden Datenumfang, Aktualisierungs- und Löschabläufe sowie die erforderlichen Informationen für Rezensenten ergänzt.
13. WhatsApp
Du kannst mich über WhatsApp kontaktieren. Dabei verarbeite ich insbesondere deine Telefonnummer, deinen angezeigten Namen und deine Nachricht zur Bearbeitung deines Anliegens. Bei vertragsbezogenen Anfragen gilt Art. 6 Abs. 1 lit. b DSGVO, bei sonstigen Anfragen Art. 6 Abs. 1 lit. f DSGVO. Die Nutzung ist freiwillig; Telefon und E-Mail stehen als Alternativen zur Verfügung.
Der Dienst wird im Europäischen Wirtschaftsraum von WhatsApp Ireland Limited bereitgestellt. WhatsApp verarbeitet unter anderem Konto-, Verbindungs- und Nutzungsdaten und kann Daten außerhalb des EWR verarbeiten. Die Ende-zu-Ende-Verschlüsselung persönlicher Nachrichten verhindert nicht die Verarbeitung solcher Metadaten. Bitte sende über diesen Kontaktweg keine Befunde oder ausführlichen Gesundheitsinformationen.
Nachrichten werden auf Praxisseite nur so lange benötigt, wie die Bearbeitung und gegebenenfalls Nachweise zum Vertragsverhältnis dies erfordern. Aufbewahrungsfristen und die technischen Einstellungen zu Adressbuch und Sicherungskopien werden gesondert festgelegt. Der frühere Text wird insoweit nicht als Nachweis für bestehende Einstellungen oder Verträge übernommen. Weitere Informationen: Datenschutzerklärung von WhatsApp.
14. Benachrichtigungen und Newsletter
Erforderliche Nachrichten zur Anmeldung, Buchungsabwicklung oder Rechnung sind von Werbung zu unterscheiden. Für solche Vertragsnachrichten gilt Art. 6 Abs. 1 lit. b DSGVO. Freiwillige Informations- und Geburtstagsnachrichten benötigen eine gesondert dokumentierte Grundlage beziehungsweise Einwilligung und dürfen nicht Voraussetzung einer Buchung sein.
Push-Nachrichten sind als optionale Funktion vorbereitet. Bei Aktivierung werden eine Geräte-Abonnementadresse und technische Schlüssel verarbeitet; die Zustellung kann über den Push-Dienst des Browser- oder Geräteanbieters erfolgen, etwa Apple, Google, Mozilla oder Microsoft. Die endgültige Freischaltung und die Information über den konkret verwendeten Dienst stehen noch aus. Eine erteilte Browserberechtigung kann in den Geräteeinstellungen widerrufen werden.
Ein Newsletter wird auf der neuen Homepage derzeit nicht angeboten. Falls später eine Anmeldung eingerichtet wird, werden Anbieter, Einwilligungsnachweis, Versand und Abmeldung vorab ergänzt.
15. Empfänger und Übermittlungen ins Ausland
Je nach Vorgang können erforderliche Daten an IT-, Hosting-, E-Mail- und Kalenderanbieter, Banken, beauftragte Buchhaltungs- oder Steuerberatung sowie zuständige Behörden übermittelt werden. Nicht jeder dieser Empfänger ist Auftragsverarbeiter; Rolle, Erforderlichkeit und Verträge sind jeweils zu prüfen.
Soweit ein Anbieter Daten weisungsgebunden verarbeitet, ist eine Vereinbarung nach Art. 28 DSGVO erforderlich. Für Übermittlungen außerhalb des EWR werden die Voraussetzungen der Art. 44 ff. DSGVO geprüft, etwa ein einschlägiger Angemessenheitsbeschluss oder geeignete Garantien wie Standardvertragsklauseln einschließlich erforderlicher zusätzlicher Maßnahmen. Eine pauschale Aussage, sämtliche Übermittlungen seien abgesichert, wird ohne Prüfung des tatsächlichen Anbieters nicht getroffen.
Noch offen: die konkrete Empfängerliste, Verarbeitungsstaaten und anwendbaren Übermittlungsinstrumente für den späteren Betrieb. Informationen beziehungsweise Kopien einschlägiger Garantien kannst du beim Verantwortlichen anfordern.
16. Speicherdauer und deine Rechte
Personenbezogene Daten werden grundsätzlich nur so lange aufbewahrt, wie sie für den jeweiligen Zweck, gesetzliche Pflichten oder konkrete Rechtsansprüche erforderlich sind. Danach sind sie zu löschen oder wirksam zu anonymisieren. Das gilt auch für Kopien, Kalender und Sicherungen unter Berücksichtigung der festgelegten Sicherungszyklen. Die genauen betrieblichen Löschabläufe werden vor Freischaltung verbindlich festgelegt.
Unter den gesetzlichen Voraussetzungen hast du das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen; die bis dahin rechtmäßige Verarbeitung bleibt davon unberührt. Wende dich dafür an info@shiatsu-michl.at.
Widerspruch: Bei einer Verarbeitung auf Grundlage berechtigter Interessen kannst du aus Gründen deiner besonderen Situation widersprechen. Die Verarbeitung wird dann beendet, sofern keine vorrangigen zwingenden schutzwürdigen Gründe oder erforderlichen Rechtsansprüche entgegenstehen. Gegen Direktwerbung kannst du jederzeit ohne besondere Begründung widersprechen.
Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an deinem gewöhnlichen Aufenthaltsort, Arbeitsplatz oder am Ort des vermuteten Verstoßes. Eine vorherige Kontaktaufnahme mit mir ist dafür nicht erforderlich.
Österreichische Datenschutzbehörde
Barichgasse 40–42
1030 Wien, Österreich
dsb@dsb.gv.at
www.dsb.gv.at
Weitere Angaben zur Praxis findest du im Impressum.