Datenschutzerklärung

Verantwortlich im Sinne der DSGVO ist:
altovate GmbH
Max-Planck-Straße 6, 54439 Saarburg, Deutschland
E-Mail: info@verora.de
Telefon: +49 1556 3396718

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig nur nach Einwilligung des Nutzers (Art. 6 Abs. 1 lit. a DSGVO), zur Erfüllung eines Vertrags (lit. b), zur Erfüllung rechtlicher Verpflichtungen (lit. c) oder auf Grundlage berechtigter Interessen (lit. f).

Wir unterscheiden dabei zwei Rollen: Für die Website, das Nutzerkonto, die Abrechnung und die Kommunikation mit Ihnen sind wir Verantwortlicher. Für die im Verora-Konto verwalteten Verordnungs- und Patientendaten sind wir Auftragsverarbeiter des jeweiligen Pflegedienstes (siehe Ziffer 5).

Die Auslieferung der Anwendung erfolgt über Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) als CDN- und Edge-Computing-Provider. Datenverarbeitung in den USA erfolgt auf Grundlage der EU-Standardvertragsklauseln sowie des EU-US Data Privacy Framework. Anwendungsdaten (Datenbank, Authentifizierung, Datei-Speicher) werden über die Plattform Lovable Cloud / Supabase (Supabase Inc., gehostet in der EU, Frankfurt am Main) verarbeitet. Beim Aufruf der Seite werden technisch notwendige Server-Logs (IP-Adresse, Datum und Uhrzeit, User-Agent, Referrer) für maximal 30 Tage gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherstellung des Betriebs und der IT-Sicherheit).

Für die Nutzung von Verora ist die Anlage eines Kontos erforderlich. Wir verarbeiten dabei insbesondere E-Mail-Adresse, Passwort (gehasht), Name, zugeordneten Pflegedienst und Rollenzugehörigkeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Optional kann die Anmeldung über Google OAuth erfolgen (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Dabei werden E-Mail-Adresse, Name und Profilbild von Google an uns übermittelt. Eine Übermittlung an Google in den USA ist möglich (Standardvertragsklauseln, EU-US Data Privacy Framework).

Im Rahmen der Kernfunktion verarbeiten wir im Auftrag des nutzenden Pflegedienstes hochgeladene Verordnungs-PDFs bzw. -Scans sowie die daraus extrahierten Daten (Patientendaten, Diagnosen, ärztliche Daten, verordnete Leistungen). Diese Daten sind als Gesundheitsdaten gemäß Art. 9 DSGVO besonders schützenswert.

Verantwortlicher im Sinne der DSGVO ist insoweit der Pflegedienst (gleiches gilt für SAPV-Teams, Hospize und Altenheime); wir verarbeiten die Daten ausschließlich als Auftragsverarbeiter gemäß Art. 28 DSGVO auf Grundlage des mit jedem Pflegedienst-Kunden geschlossenen AVV. Die Rechtsgrundlage für die Verarbeitung der Patientendaten (insb. Art. 9 Abs. 2 DSGVO) liegt beim Pflegedienst. Patient:innen wenden sich für Auskunft, Berichtigung oder Löschung bitte an ihren Pflegedienst.

Zur automatischen Erkennung der Verordnungsdaten wird der hochgeladene Verordnungsscan über das Lovable AI Gateway (Lovable) an ein KI-Modell von Google (Gemini) übermittelt und dort zur Bearbeitung der Anfrage verarbeitet. Übermittelt wird dabei das gesamte Dokument (einschließlich Patientenname, Versicherungsnummer, Diagnosen und Arztdaten). Eine Übermittlung in Drittländer (insb. USA) ist möglich und erfolgt auf Basis der EU-Standardvertragsklauseln. Die Erkennung dient der Vorbefüllung; die erkannten Daten werden vom Nutzer geprüft, bevor sie gespeichert werden.

Steht die KI-Erkennung nicht zur Verfügung, kann stattdessen eine Texterkennung im Browser gewählt werden (Open-Source-Texterkennung, die wir selbst bereitstellen). Dabei wird der Scan nicht an einen KI-Dienst oder sonstige Dritte übermittelt.

Zur Anforderung von Folgeverordnungen versenden wir im Auftrag des Pflegedienstes E-Mails und Faxe an die behandelnden Ärzte. Für den E-Mail-Versand nutzen wir die Versandinfrastruktur von Lovable (Lovable Email), für den Fax-Versand den Dienst simple-fax.de (Fax-Gateway). Übermittelt werden Empfängeradresse bzw. Faxnummer sowie der Inhalt der Anforderung (Patientenname, Geburtsdatum, Versicherungsnummer, Diagnosen, verordnete Leistungen und Angaben zum Pflegedienst). In Betreffzeilen verwenden wir nur die Initialen der Patient:innen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber dem Pflegedienst).

Hinweis: E-Mail und Fax sind nicht Ende-zu-Ende-verschlüsselt. Der Pflegedienst entscheidet je Arztpraxis, ob die Anforderung per Fax oder per E-Mail versendet wird.

Die Abwicklung kostenpflichtiger Tarife erfolgt über Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland). Bei Vertragsabschluss werden Zahlungs- und Rechnungsdaten direkt bei Stripe verarbeitet; wir erhalten ausschließlich die für Abrechnung und Vertragsverwaltung notwendigen Informationen (Kunden-ID, Status, Rechnungsbeträge). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen: stripe.com/de/privacy.

Wir verwenden technisch notwendige Cookies und Local-Storage-Einträge (z. B. Sitzungs-Token zur Authentifizierung, Theme-Einstellung, Tenant-Kontext). Eine Einwilligung ist hierfür gemäß § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich. Marketing-Cookies setzen wir nicht ein.

Zur anonymen Reichweitenmessung unserer öffentlichen Webseiten nutzen wir Plausible Analytics (Plausible Insights OÜ, Estland; Verarbeitung in der EU). Plausible arbeitet ohne Cookies und ohne Zugriff auf Ihr Endgerät im Sinne des § 25 Abs. 1 TDDDG; es werden keine personenbezogenen Daten und keine geräteübergreifenden Kennungen gespeichert. Erfasst werden ausschließlich aggregierte, anonyme Kennzahlen (z. B. aufgerufene Seite, Herkunftsquelle, ungefährer Standort auf Länderebene, Gerätetyp). Eine Einwilligung ist daher nicht erforderlich; Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO). Weitere Informationen: plausible.io/data-policy.

Personenbezogene Daten werden nur so lange gespeichert, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es vorschreiben (insb. § 147 AO, § 257 HGB: 6–10 Jahre). Verordnungsdaten werden auf Weisung des verantwortlichen Pflegedienstes gelöscht; nach Vertragsende erfolgt eine vollständige Löschung innerhalb von 90 Tagen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Die Datenübertragung erfolgt ausschließlich verschlüsselt (TLS 1.2+). Daten werden in der Datenbank verschlüsselt gespeichert (Encryption at rest). Der Zugriff auf Mandantendaten ist durch Row-Level-Security strikt auf den jeweiligen Pflegedienst beschränkt.

Sie haben jederzeit das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen die Verarbeitung (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an info@verora.de.

Sie haben das Recht, sich gemäß Art. 77 DSGVO bei einer Aufsichtsbehörde zu beschweren. Zuständig für unseren Sitz ist:
Unabhängiges Datenschutzzentrum Saarland
Fritz-Dobisch-Straße 12, 66111 Saarbrücken
www.datenschutz.saarland.de

Auf unserer Website steht ein KI-Assistent (Chat) für Fragen zu Tarifen, Funktionen und Datenschutz bereit. Ihre Nachrichten werden zur Beantwortung über das Lovable AI Gateway an ein KI-Modell von Google (Gemini) übermittelt; eine Verarbeitung in Drittländern (insb. USA) ist möglich (EU-Standardvertragsklauseln). Wir speichern den Inhalt Ihrer Nachrichten nicht. Zur Begrenzung von Missbrauch (Rate-Limit) speichern wir lediglich einen SHA-256-Hashwert Ihrer IP-Adresse mit Zeitstempel. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Kundenservice und Sicherheit). Bitte geben Sie im Chat keine Patientendaten oder sonstigen sensiblen Daten ein.

Wenn Sie uns über das Kontaktformular schreiben, verarbeiten wir Name, E-Mail-Adresse, optional Telefonnummer, Betreff und Nachricht, um Ihre Anfrage zu beantworten. Die Nachricht wird per E-Mail an unser Postfach zugestellt (Versandinfrastruktur: Lovable Email). Zur Spam-Abwehr speichern wir außerdem Ihre E-Mail-Adresse, den Betreff und einen Hashwert Ihrer IP-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfrage) bzw. lit. f DSGVO.

Bei der Registrierung können Sie optional einwilligen, den Verora-Newsletter mit Tipps zur Nutzung zu erhalten (ca. einmal pro Woche). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Sie können sich jederzeit über den Abmeldelink in jeder E-Mail abmelden; die Einwilligung ist nicht Voraussetzung für die Nutzung von Verora. Unabhängig davon versenden wir Systemnachrichten, die für den Betrieb des Kontos erforderlich sind (z. B. Bestätigungen und Einladungen); Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Der Versand erfolgt über Lovable Email.

Wenn Sie für Ihre Einrichtung am Gewinnspiel zur Messe „Leben und Tod“ teilnehmen (Privatpersonen sind ausgeschlossen), verarbeiten wir Ihren Vor- und Nachnamen, Ihre E-Mail-Adresse und die Art der Einrichtung, um die Teilnahme und die Teilnahmeberechtigung zu erfassen, den Gewinner zu ziehen und ihn zu benachrichtigen. Zur Abwehr automatisierter Mehrfacheinträge speichern wir außerdem einen Hashwert Ihrer IP-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Teilnahme) bzw. lit. f DSGVO (Missbrauchsabwehr).

Wenn Sie zusätzlich freiwillig zustimmen, nach der Messe per E-Mail zu Verora und zum Messe-Angebot kontaktiert zu werden, nutzen wir Ihre Daten dafür (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, z. B. per E-Mail an info@verora.de. Die Teilnahme am Gewinnspiel ist nicht von dieser Einwilligung abhängig. Zusätzlich können Sie freiwillig eine Telefon- oder Handynummer angeben und ausdrücklich einwilligen, dass wir Sie nach der Messe telefonisch zu Verora und zum Messe-Angebot kontaktieren (Art. 6 Abs. 1 lit. a DSGVO); auch diese Einwilligung können Sie jederzeit widerrufen, die Nummer wird dann gelöscht. Ebenfalls freiwillig können Sie – bei SAPV, Hospiz und Altenheim – einen Freitext zu Ihrem Bedarf angeben; wir nutzen das, um das Interesse an Verora auszuwerten (Art. 6 Abs. 1 lit. f DSGVO). Bitte geben Sie dort keine Patientendaten ein. Teilnehmer, die weder der Kontaktaufnahme per E-Mail noch per Telefon zugestimmt haben, werden nach Abschluss des Gewinnspiels, spätestens vier Wochen nach der Ziehung, gelöscht; die Daten des Gewinners bleiben bis zur Abwicklung des Gewinns gespeichert. Die Daten werden in der Datenbank von Verora (EU, Frankfurt am Main) gespeichert, siehe Ziffer 3. Die Teilnahmebedingungen finden Sie unter verora.de/teilnahmebedingungen.

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, sofern dies aufgrund neuer Funktionen oder geänderter Rechtslage erforderlich wird. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar.