Datenschutzerklärung

Selin Aydin

M. Sc. Psychologin

Psychologische Psychotherapeutin

Nostitzstraße 23
10961 Berlin

Telefon: 0177 244 77 89
E-Mail: info@psychotherapie-selinaydin.de

Beim Aufruf werden durch Ihren Browser automatisch Daten an unseren Server übermittelt und in Logfiles gespeichert (z. B. IP-Adresse, Datum/Uhrzeit, abgerufene URL, Referrer, User-Agent).

Zwecke: Technische Bereitstellung, Sicherheit (z. B. Angriffserkennung), Stabilität.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem und stabilem Betrieb).

Speicherdauer: Max. 14 Tage, danach Löschung/Anonymisierung; längere Aufbewahrung nur anlassbezogen zur Incident-Analyse.

Wir verarbeiten die von Ihnen angegebenen Kontaktdaten (z. B. Name, E-Mail, Telefon) zur Bearbeitung Ihrer Anfrage bzw. Terminabstimmung.

Optionales Feld „Krankenkasse": Die Angabe dient ausschließlich der organisatorischen Vorbereitung von Terminen/Abrechnung. Bitte übermitteln Sie keine Diagnosen oder medizinischen Details im Freitext.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Kommunikation), ggf. Art. 6 Abs. 1 lit. f DSGVO (allgemeine Anfragen).
• Sofern Sie im Formular Gesundheitsdaten preisgeben (z. B. Angaben zur Krankenkasse), verarbeiten wir diese ausschließlich zum Zweck der gesundheitlichen Versorgung nach Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 22 BDSG und unterliegen der berufsrechtlichen Schweigepflicht (§ 203 StGB).

Speicherdauer: Nachrichten aus dem Kontaktformular werden zur Bearbeitung der Anfrage gespeichert und nach spätestens 6 Monaten gelöscht. Kommt es zu einer Behandlung, übertragen wir die für die Aufnahme erforderlichen Angaben in die Patient*innenakte und löschen die ursprüngliche Korrespondenz (E-Mail/Inbox). Doppelablagen werden nicht geführt.

Zur Dokumentation und Verwaltung von Behandlungen nutzen wir ein elektronisches Praxisverwaltungssystem. Dabei werden folgende Datenkategorien verarbeitet:

• Stammdaten (Name, Geburtsdatum, Anschrift, Kontaktdaten)
• Versicherungsdaten (Art, Krankenkasse, Versichertennummer)
• Diagnosen (ICD-10-Codes und Beschreibung)
• Sitzungsdokumentation (Datum, Sitzungsart, therapeutische Notizen)
• Abrechnungsdaten (Rechnungsnummer, Beträge, Zahlungsstatus)

Rechtsgrundlagen:

• Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 22 Abs. 1 Nr. 1 lit. b BDSG (Verarbeitung zu Zwecken der Gesundheitsvorsorge und Behandlung).
• § 630f BGB (ärztliche/psychotherapeutische Dokumentationspflicht).

Speicherdauer: Behandlungsdokumentation wird gemäß § 630f Abs. 3 BGB mindestens 10 Jahre nach Abschluss der Behandlung aufbewahrt, sofern nicht andere gesetzliche Aufbewahrungsfristen gelten. Danach werden die Daten gelöscht.

Sicherheitsmaßnahmen: Besonders sensible Inhaltsdaten in der Datenbank werden vor der Speicherung auf Anwendungsebene mit AES-256-GCM verschlüsselt. Dazu gehören insbesondere Stamm- und Kontaktdaten, Diagnosen, medizinische Angaben sowie therapeutische Notizen. Der Schlüssel wird getrennt von der Datenbank in der geschützten Serverumgebung verwaltet.

Für Terminplanung, Abrechnung und Dateiverwaltung erforderliche Metadaten – beispielsweise Sitzungsdatum, Sitzungsart und Status, Rechnungs- und Zahlungsdaten sowie Dateinamen und Speicherpfade – werden nicht zusätzlich auf Anwendungsebene verschlüsselt. Hochgeladene Dokumente und Bilder werden in privaten, zugriffsgeschützten Speicherbereichen abgelegt, jedoch derzeit nicht zusätzlich vor dem Upload an Supabase anwendungsseitig verschlüsselt. Zugriffe sind durch Authentifizierung, Row Level Security und private Storage-Richtlinien beschränkt; die Übertragung erfolgt TLS-verschlüsselt.

Zur Bereitstellung der Website, Kommunikation und Praxisverwaltung setzen wir folgende Dienstleister ein:

• Hosting, Webanalyse und Performance-Messung: Vercel Inc.
• E-Mail/SMTP: netcup GmbH (Serverstandort: Deutschland)
• Datenbank, Authentifizierung und Dateispeicher: Supabase Pte. Ltd. (gewählte primäre Projektregion: Frankfurt, Deutschland). Der Umfang der anwendungsseitigen Verschlüsselung ist in Abschnitt 4 beschrieben.

Diese verarbeiten Daten ausschließlich auf Grundlage eines Auftragsverarbeitungsvertrags (AVV) gemäß Art. 28 DSGVO.

Trotz der gewählten EU-Projektregion können Zugriffe oder Verarbeitungen durch Anbieter beziehungsweise Unterauftragsverarbeiter außerhalb des EU/EWR nicht vollständig ausgeschlossen werden. Vercel stützt Übermittlungen in die USA auf das EU-US Data Privacy Framework (Art. 45 DSGVO) und ergänzend auf Standardvertragsklauseln. Supabase verwendet für internationale Übermittlungen insbesondere EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

Wir bieten die Möglichkeit, Termine über die externe Plattform Doctolib zu buchen. Wenn Sie auf „Termin buchen" klicken, werden Sie auf die Website von Doctolib weitergeleitet. Für die Nutzung der Doctolib-Website gelten die Datenschutzhinweise von Doctolib; dort können Cookies und ähnliche Technologien eingesetzt werden.

Soweit wir über Doctolib Terminanfragen und Stammdaten erhalten, verarbeiten wir diese als Verantwortliche zur Terminverwaltung und Behandlungsanbahnung (Art. 6 Abs. 1 lit. b DSGVO, bei Gesundheitsdaten Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 22 BDSG). Doctolib handelt hierfür auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO).

Weitere Informationen stellt Doctolib in seinen Datenschutzunterlagen bereit.

Die Übertragung erfolgt per TLS-Verschlüsselung (erkennbar am „https://"). Darüber hinaus treffen wir gemäß Art. 32 DSGVO folgende technische und organisatorische Maßnahmen:

• Anwendungsseitige AES-256-GCM-Verschlüsselung ausgewählter besonders sensibler Datenbankinhalte
• Authentifizierung und sichere Sitzungsverwaltung über Supabase Auth
• Zugriffskontrolle auf Datenbankebene (Row Level Security)
• Protokollierung von Zugriffen und Änderungen an Patient*innendaten (Audit Logs) zur Aufrechterhaltung der IT-Sicherheit. Diese Protokolldaten (z. B. IP-Adresse, Zugriffszeitpunkt) werden nach dem Grundsatz der Datensparsamkeit gemäß § 76 Abs. 4 BDSG automatisiert nach 12 Monaten gelöscht.