1. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Jeannette Stegmann
Physiotherapie Stegmann
Spitalrain 6
97234 Reichenberg
Telefon: 0931 / 45 32 43 66
E-Mail: info@stegmann-physiotherapie.de

2. Allgemeines

Der Schutz Ihrer persönlichen Daten ist mir ein wichtiges Anliegen. Ich verarbeite personenbezogene Daten ausschließlich im Rahmen der gesetzlichen Bestimmungen, insbesondere der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG). Die öffentlichen Seiten dieser Website setzen keine Cookies und verwenden keine Tracking- oder Analysedienste. Schriften werden lokal vom Server dieser Website geladen; es findet keine Verbindung zu Google Fonts statt. Ein einziges, technisch notwendiges Login-Cookie wird ausschließlich im passwortgeschützten Praxisbereich gesetzt, den nur ich und von mir berechtigte Mitarbeitende nutzen (siehe Abschnitt 4).

3. Hosting

Diese Website und das Terminsystem laufen auf einem eigenen Server der Praxis, der in den Praxisräumen betrieben wird. Website, Terminsystem und die zugehörige Datenbank befinden sich vollständig auf diesem Gerät; ein externer Hosting-Anbieter ist nicht beteiligt, und die Daten des Terminsystems werden nicht an einen Hosting-Anbieter übermittelt. Der Server speichert keine Zugriffsprotokolle mit IP-Adressen, sondern nur technische Betriebs- und Fehlermeldungen.

Damit die Website aus dem Internet erreichbar ist, ohne dass der Server selbst direkt aus dem Internet ansprechbar sein muss, wird die Verbindung über das Netzwerk der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, geleitet („Cloudflare Tunnel“). Cloudflare stellt die verschlüsselte HTTPS-Verbindung bereit, leitet Ihre Anfragen an den Server der Praxis weiter und verarbeitet dabei technische Verbindungsdaten (u. a. IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Browsertyp). Diese Verarbeitung ist für den sicheren und stabilen Betrieb der Website erforderlich (Art. 6 Abs. 1 lit. f DSGVO). Die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, für das Cloudflare zertifiziert ist; mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) [prüfen: Auftragsverarbeitungsvertrag im Cloudflare-Konto der Praxis bestätigen]. Weitere Informationen: www.cloudflare.com/privacypolicy.

Die Daten des Terminsystems werden täglich verschlüsselt gesichert; ohne den Schlüssel der Praxis sind die Sicherungen nicht lesbar [prüfen: Speicherort der Sicherung benennen – liegt er bei einem Cloud-Anbieter, diesen in Abschnitt 4.4 als Auftragsverarbeiter aufnehmen].

4. Online-Terminanfrage und Terminverwaltung

[Entwurf – rechtlich prüfen lassen] – Dieser Abschnitt beschreibt das in die Website integrierte Terminsystem und ist vor der Freischaltung des Systems von einer fachkundigen Stelle (Datenschutzberatung oder Fachanwalt) zu prüfen.

4.1 Zweck und Umfang der Verarbeitung

Über das Formular „Terminanfrage“ auf dieser Website können Sie einen Termin anfragen. Dabei verarbeite ich die Angaben, die Sie in das Formular eintragen:

Ihr Name und Ihre Telefonnummer (erforderlich, damit ich die Anfrage beantworten kann),
Ihre E-Mail-Adresse (freiwillig – nur wenn Sie Bestätigungen und Erinnerungen per E-Mail erhalten möchten),
die gewünschte Terminart und Ihre Wunschzeiten (z. B. „vormittags“, „abends“) sowie gegebenenfalls ein konkret ausgewählter Termin,
für wen der Termin ist (für Sie selbst, Ihr Kind oder eine angehörige Person) und in diesem Fall der Name der zu behandelnden Person,
ob es sich um ein dringendes Anliegen handelt,
ob Sie eine Hausbehandlung wünschen und in diesem Fall die Adresse, an der die Behandlung stattfinden soll,
Ihr Anliegen in kurzer Form (freiwillig).

Zusätzlich werden beim Absenden der Zeitpunkt der Anfrage sowie ein pseudonymisierter Wert Ihrer IP-Adresse gespeichert. Die IP-Adresse selbst wird nicht gespeichert; der Wert wird mit einem geheimen Schlüssel gebildet und lässt sich nicht auf Ihre IP-Adresse zurückrechnen. Er dient ausschließlich dazu, automatisierte Massenanfragen abzuwehren (Begrenzung auf wenige Anfragen in zehn Minuten). Für jeden Termin wird außerdem ein zufälliger Absage-Schlüssel erzeugt, mit dem Sie den Termin über einen persönlichen Link absagen können.

Bitte übermitteln Sie über das Formular keine Befunde, Diagnosen oder ausführlichen Krankheitsgeschichten. Ein kurzer Hinweis auf den Grund Ihres Besuchs (z. B. „Rückenschmerzen“) genügt; alles Weitere besprechen wir persönlich in der Praxis.

4.2 Rechtsgrundlagen

Die Verarbeitung Ihrer Kontakt- und Termindaten erfolgt zur Anbahnung und Durchführung eines Behandlungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Soweit Sie in Ihrem Anliegen Angaben zu Ihrer Gesundheit machen, handelt es sich um besondere Kategorien personenbezogener Daten. Deren Verarbeitung erfolgt für Zwecke der Gesundheitsversorgung durch mich als Angehörige eines Gesundheitsberufs, die der beruflichen Schweigepflicht unterliegt (Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b BDSG). Mit dem Absenden des Formulars bestätigen Sie zusätzlich, dass Sie diese Datenschutzhinweise gelesen haben. [prüfen: ob für freiwillige Gesundheitsangaben im Feld „Anliegen“ zusätzlich eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO eingeholt werden soll; der Text der Bestätigungsbox im Formular wäre dann entsprechend zu fassen.]

Die Abwehr von Missbrauch (pseudonymisierte IP-Adresse) und die Protokollierung von Änderungen im Praxisbereich (Abschnitt 4.5) stützen sich auf mein berechtigtes Interesse an einem sicheren, nachvollziehbaren Betrieb des Terminsystems (Art. 6 Abs. 1 lit. f DSGVO).

Die Angabe Ihrer Daten ist freiwillig. Ohne Name und Telefonnummer kann ich eine Anfrage jedoch nicht bearbeiten. Selbstverständlich können Sie Termine jederzeit auch telefonisch vereinbaren.

4.3 E-Mails im Zusammenhang mit Ihrem Termin

Nach dem Absenden erhält die Praxis eine Benachrichtigung mit Ihren Angaben. Wenn Sie eine E-Mail-Adresse angegeben haben, erhalten Sie von mir E-Mails zu Ihrem Termin: eine Eingangsbestätigung, die Zusage oder Absage, gegebenenfalls eine Mitteilung über eine Terminänderung, eine Erinnerung etwa 24 Stunden vor dem Termin sowie eine Bestätigung, falls Sie den Termin absagen. Diese E-Mails enthalten Datum, Uhrzeit, Terminart und Behandlungsort (Praxis oder Ihre Adresse bei Hausbehandlung), jedoch nicht Ihr Anliegen. Der Versand erfolgt über das E-Mail-Postfach der Praxis (info@stegmann-physiotherapie.de) beim Anbieter STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin; die E-Mails werden in Deutschland verarbeitet [prüfen: Auftragsverarbeitungsvertrag mit STRATO im Kunden-Login abschließen]. Bitte beachten Sie, dass unverschlüsselte E-Mails keinen vollständigen Schutz vor Zugriff Dritter bieten; wenn Sie das nicht möchten, lassen Sie das E-Mail-Feld einfach leer – dann erreiche ich Sie telefonisch.

4.4 Empfänger und Auftragsverarbeiter

Ihre Anfrage wird ausschließlich von mir und von Mitarbeitenden bearbeitet, die ich dazu berechtigt habe. Der Zugang zum Praxisbereich ist passwortgeschützt und nach Rollen abgestuft. Als Auftragsverarbeiter im Sinne von Art. 28 DSGVO setze ich ein:

Cloudflare, Inc., USA (DNS-Verwaltung der Domain und verschlüsselte Weiterleitung der Verbindung zum Server der Praxis, siehe Abschnitt 3). Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework.
STRATO GmbH, Berlin (Registrierung der Domain stegmann-physiotherapie.de und E-Mail-Postfach info@stegmann-physiotherapie.de, über das die Termin-E-Mails versendet werden und das Ihre E-Mails an die Praxis empfängt) [prüfen: Auftragsverarbeitungsvertrag].
ein IT-Dienstleister für die technische Betreuung und Wartung des Praxis-Servers [prüfen: Auftragsverarbeitungsvertrag und schriftliche Verpflichtung zur Verschwiegenheit (§ 203 StGB) abschließen].

Die Termindaten selbst werden auf dem Server in der Praxis gespeichert und nicht an einen Hosting- oder Datenbankanbieter übermittelt.

Eine Weitergabe an sonstige Dritte findet nicht statt.

4.5 Speicherdauer

Termin- und Anfragedaten werden 180 Tage nach dem Termin (bei nicht zustande gekommenen Anfragen: nach dem Eingang der Anfrage) automatisch anonymisiert: Name, Telefonnummer, E-Mail-Adresse, Anliegen, Adresse, Wunschzeiten und interne Notizen werden gelöscht, übrig bleibt ein anonymer Kalendereintrag ohne Personenbezug. Dieselbe Anonymisierung erfasst die zugehörigen E-Mail-Kopien und Protokolleinträge. Die pseudonymisierten IP-Werte zur Missbrauchsabwehr werden spätestens einen Tag nach Ablauf des jeweiligen Zeitfensters gelöscht. [prüfen: Frist von 180 Tagen durch die Praxis bestätigen; sie ist im Praxisbereich einstellbar.]

Änderungen an Terminen durch Mitarbeitende (z. B. Bestätigen, Verschieben, Absagen) werden in einer Historie protokolliert, damit nachvollziehbar bleibt, wer wann welche Entscheidung getroffen hat. Die Historie enthält nach der Anonymisierung keine personenbezogenen Angaben mehr.

Unabhängig davon führe ich für behandelte Patientinnen und Patienten die gesetzlich vorgeschriebene Behandlungsdokumentation in der Praxis (Aufbewahrung nach § 630f BGB); diese ist nicht Teil des Online-Terminsystems.

4.6 Absage über den persönlichen Link

Wenn Sie eine E-Mail-Adresse angegeben haben, enthält die Terminbestätigung einen persönlichen Link, über den Sie den Termin ohne Anmeldung absagen können. Der Link enthält einen zufälligen Schlüssel und sollte nicht weitergegeben werden. Die Absage wird gespeichert und die Praxis benachrichtigt.

Der Praxisbereich unter „/verwaltung“ ist nicht öffentlich und richtet sich ausschließlich an mich und meine Mitarbeitenden. Beim Login wird ein technisch notwendiges Sitzungs-Cookie gesetzt, das die angemeldete Person für die Dauer der Sitzung erkennbar macht (Art. 6 Abs. 1 lit. f DSGVO; § 25 Abs. 2 Nr. 2 TDDDG). Auf den öffentlichen Seiten der Website wird dieses Cookie nicht gesetzt.

Für jede Mitarbeiterin und jeden Mitarbeiter mit Zugang speichere ich auf dem Server der Praxis Name, Benutzername, Rolle, die dienstliche E-Mail-Adresse und den Zeitpunkt der letzten Anmeldung; das Passwort nur als nicht umkehrbarer Prüfwert (Hash). Die E-Mail-Adresse dient dazu, die Zugangsdaten zu übermitteln: Beim Anlegen des Zugangs oder auf Anforderung erhält die Person per E-Mail ein temporäres Startpasswort, das 72 Stunden gilt und bei der ersten Anmeldung durch ein eigenes Passwort ersetzt werden muss; das Startpasswort selbst wird nicht gespeichert. Wird ein Zugang gelöscht, werden Benutzername, Passwort und E-Mail-Adresse gelöscht; der Name bleibt nur in der Änderungshistorie (Abschnitt 4.5) erhalten. [prüfen: Rechtsgrundlage für Beschäftigtendaten (Art. 6 Abs. 1 lit. b bzw. c DSGVO) und Information der Mitarbeitenden gesondert regeln.]

4.8 Ihre Rechte

Ihnen stehen die in Abschnitt 7 beschriebenen Rechte zu, insbesondere auf Auskunft, Berichtigung und Löschung. Wenn Sie Ihre Anfrage zurückziehen oder Ihre Daten vor Ablauf der Speicherfrist löschen lassen möchten, genügt ein Anruf oder eine E-Mail an die in Abschnitt 1 genannte Adresse.

5. Kontakt per E-Mail oder Telefon

Wenn Sie mich per E-Mail oder Telefon kontaktieren, werden Ihre Angaben zur Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei mir gespeichert (Art. 6 Abs. 1 lit. b und f DSGVO). Bitte beachten Sie, dass unverschlüsselte E-Mails keinen vollständigen Schutz vor Zugriff Dritter bieten.

6. Kartendienst (Google Maps)

Auf der Startseite und den Seiten „Praxis & Anfahrt“ und „Kontakt“ zeige ich zunächst einen selbst gespeicherten Kartenausschnitt (© OpenStreetMap-Mitwirkende), der keine Daten an Dritte überträgt. Zusätzlich kann eine interaktive Karte von Google Maps eingebunden werden. Die Karte wird erst nach Ihrem Klick auf „Karte laden“ nachgeladen. Erst dann werden Daten (u. a. Ihre IP-Adresse) an Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, übermittelt; dabei kann eine Übermittlung in die USA stattfinden. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie durch das Laden der Karte erteilen. Weitere Informationen: policies.google.com/privacy.

7. Ihre Rechte

Sie haben gegenüber mir folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

Recht auf Auskunft (Art. 15 DSGVO)
Recht auf Berichtigung (Art. 16 DSGVO)
Recht auf Löschung (Art. 17 DSGVO)
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
Recht auf Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)

Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

8. Datensicherheit

Diese Website nutzt eine SSL/TLS-Verschlüsselung (erkennbar am Schloss-Symbol und an „https“ am Anfang der Adresse). Dadurch werden Daten, die Sie über die Website übermitteln, verschlüsselt übertragen. Der Server steht in den Praxisräumen, ist aus dem Internet nicht direkt erreichbar und wird nur über die verschlüsselte Verbindung aus Abschnitt 3 angesprochen. Das Terminsystem prüft jede Anfrage auf Herkunft und Plausibilität, begrenzt die Zahl der Anfragen pro Absender und speichert keine Klartext-IP-Adressen.

9. Änderungen

Ich behalte mir vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

Stand: September 2026