Datenschutzerklärung

Mit dieser Datenschutzerklärung informieren wir Sie über die Verarbeitung personenbezogener Daten bei der Nutzung der Plattform VARAMI sowie der darüber bereitgestellten öffentlichen Webseiten, Buchungs- und Verwaltungsfunktionen.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Sport Als Beruf Brandenburg e.V. Nansenstr. 18, 14471 Potsdam E-Mail: [email protected]

VARAMI ist ein Projekt von Sport Als Beruf Brandenburg e.V. und VALEO GESUND GmbH. Für Anfragen zum Datenschutz wenden Sie sich bitte an: [email protected] (Koordinator für Anfragen: Mirko Görsdorf).

Hinweis zur Mehrmandantenfähigkeit (White-Label)

VARAMI wird als mandantenfähige Plattform betrieben. Nutzt eine eigenständige Organisation (Verein, Praxis, Einrichtung – nachfolgend „Mandant“) VARAMI zur Verwaltung ihrer eigenen Mitglieder, Kund:innen und Teilnehmer:innen, ist regelmäßig der jeweilige Mandant der datenschutzrechtlich Verantwortliche für die in seinem Bereich verarbeiteten Daten. Der Plattformbetreiber wird in diesem Fall als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrages tätig. Für die Verarbeitung im jeweiligen Mandantenbereich gilt vorrangig die Datenschutzerklärung des betreffenden Mandanten.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Plattform sowie unserer Inhalte und Leistungen erforderlich ist, eine gesetzliche Erlaubnis besteht oder Sie eingewilligt haben.

Rechtsgrundlagen sind insbesondere:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. Kartendarstellung, Verarbeitung von Gesundheitsdaten bei der Verordnungsanfrage).
• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung und vorvertragliche Maßnahmen (z. B. Buchungen, Mitgliedschaften, Zahlungsabwicklung).
• Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtung (z. B. handels- und steuerrechtliche Aufbewahrung, Abrechnungs- und Nachweispflichten im Rehasport).
• Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen (z. B. IT-Sicherheit, Missbrauchsvermeidung, Protokollierung sicherheitsrelevanter Vorgänge).
• Art. 9 Abs. 2 lit. a DSGVO – ausdrückliche Einwilligung bei der Verarbeitung von Gesundheitsdaten.

3. Hosting und Bereitstellung

Die Plattform wird auf Servern in einem Rechenzentrum innerhalb der Europäischen Union betrieben.

• Server-/Anwendungshosting: Hetzner Online GmbH, Deutschland (EU).
• Content-Delivery / DNS / Sicherheits-Proxy: Cloudflare (EU-Konfiguration).

Bei jedem Aufruf erhebt und speichert die Infrastruktur automatisch Informationen in Server-Logfiles, die Ihr Browser übermittelt (insbesondere IP-Adresse, Datum und Uhrzeit, abgerufene Ressource, Statuscode, übertragene Datenmenge, Referrer, Browser-/Gerätekennung). Diese Verarbeitung erfolgt zur Sicherstellung eines reibungslosen Verbindungsaufbaus, der Systemsicherheit und -stabilität (Art. 6 Abs. 1 lit. f DSGVO).

Mit allen Dienstleistern, die in unserem Auftrag personenbezogene Daten verarbeiten, bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.

4. Datei- und Dokumentenspeicher

Hochgeladene Dateien werden in zwei getrennten Objektspeichern (S3-kompatibel) abgelegt:

• Öffentliche Medien (z. B. Logos, Banner, Bilder für Webseiten): in einem Bucket mit öffentlichem Lesezugriff.
• Vertrauliche Dokumente (z. B. Rehasport-Verordnungen, Rechnungen, Nachweise): in einem separaten, nicht öffentlich zugänglichen Bucket. Der Abruf ist ausschließlich über eine zugriffsgeschützte, rechteprüfende Route möglich; es werden keine öffentlichen URLs vergeben.

Anbieter: Cloudflare R2 mit EU-Speicherort (S3-kompatibel). In der Entwicklungsumgebung kann ersatzweise lokal gespeichert werden. AV-Vertrag in Vorbereitung.

5. Cookies und lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies ein. Es werden keine Tracking- oder Werbe-Cookies von Drittanbietern gesetzt. Eingesetzt werden insbesondere:

• varami_session – Anmeldesitzung (httpOnly, SameSite=Lax, im Live-Betrieb „Secure“). Laufzeit: bis zu 30 Tage.
• varami_stepup – kurzzeitige Wiederverifizierung vor sicherheitskritischen Vorgängen (ca. 10 Minuten).
• varami_pk_challenge – einmalige Challenge bei der Passkey-/WebAuthn-Anmeldung (ca. 5 Minuten).
• varami_provider_view – nur für administrative Perspektivwechsel.
• Sicht-/Darstellungs-Cookies – z. B. ausgewählte Ansicht und Hell-/Dunkel-Modus.
• Ggf. ein Zugangs-Cookie für passwortgeschützte Angebote.

Zusätzlich speichern wir technisch notwendige Einstellungen lokal in Ihrem Browser (Local Storage), etwa den ein-/ausgeklappten Zustand der Navigation und die Theme-Präferenz. Rechtsgrundlage für technisch notwendige Cookies und Speicherung ist § 25 Abs. 2 TDDDG sowie Art. 6 Abs. 1 lit. f DSGVO.

6. Benutzerkonten, Anmeldung und Sicherheit

Für die Nutzung geschützter Bereiche ist ein Benutzerkonto erforderlich. Verarbeitet werden u. a. Name, E-Mail-Adresse und ein kryptografischer Hash des Passworts (das Passwort selbst wird nicht im Klartext gespeichert).

Zur Absicherung bieten wir an bzw. setzen ein:

• Zwei-Faktor-Authentisierung (TOTP) – das Geheimnis wird verschlüsselt gespeichert; Wiederherstellungscodes werden nur als Hash vorgehalten.
• Passkeys / WebAuthn (FIDO2) – Speicherung von Credential-ID, öffentlichem Schlüssel und Zähler; private Schlüssel verbleiben auf Ihrem Gerät.
• Anmeldung über Drittanbieter (OAuth) – sofern aktiviert; gespeichert werden Anbieter-Kennung und ggf. E-Mail.

Sicherheitsrelevante Vorgänge (z. B. administrative Perspektivwechsel auf Mandanten) werden protokolliert, um die Nachvollziehbarkeit zu gewährleisten (Art. 6 Abs. 1 lit. f DSGVO). Inaktive Sitzungen werden automatisch beendet.

7. Kategorien verarbeiteter Daten

Je nach Nutzung verarbeiten wir insbesondere:

• Stammdaten von Nutzer:innen, Mitarbeitenden (z. B. Übungsleiter:innen/Therapeut:innen) und Kund:innen/Mitgliedern: Name, Geburtsdatum, Anschrift, Kontaktdaten.
• Vertrags- und Buchungsdaten: gebuchte Kurse/Angebote, Mitgliedschaften, Teilnahme-/Anwesenheitsnachweise.
• Zahlungsdaten: Zahlungsart, Beträge, SEPA-Mandate und Bankverbindung (IBAN). Zahlungsdaten werden nach dem Stand der Technik besonders geschützt.
• Kommunikationsdaten: Nachrichten, Service-Anfragen, Benachrichtigungen.
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Gesundheitsdaten im Rahmen des Rehasports – siehe Abschnitt 8.

8. Gesundheitsdaten im Rehasport (besondere Kategorie, Art. 9 DSGVO)

Im Rahmen der Rehasport-Verwaltung verarbeiten wir besonders schützenswerte Gesundheitsdaten, z. B. ärztliche Verordnungen (Muster 56), Diagnosen/ICD-10-Angaben, verordnete Leistungen, Angaben zu Kostenträgern und Versichertennummern sowie eingescannte Verordnungsdokumente.

Verordnungsanfrage über das öffentliche Formular: Interessent:innen können – auch ohne Benutzerkonto – eine Verordnung über ein öffentliches Formular einreichen. Dabei werden Kontaktdaten (Name, E-Mail, optional Telefon) und das hochgeladene Verordnungsdokument verarbeitet. Die Verarbeitung der Gesundheitsdaten erfolgt nur auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die Sie vor dem Absenden aktiv erteilen; der Zeitpunkt der Einwilligung wird dokumentiert. Die Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar.

Texterkennung (OCR) zur Erfassung der Verordnung: Zur Unterstützung der Erfassung können hochgeladene Verordnungen automatisiert per Texterkennung ausgewertet werden. Hierzu wird das Dokument an einen spezialisierten KI-Dienst übermittelt:

• Mistral AI SAS, Frankreich (EU) – Texterkennung/Extraktion. Die Verarbeitung erfolgt in der EU. AV-Vertrag in Vorbereitung.

Ein US-Dienst (Anthropic/Claude) wird im Produktivbetrieb nicht zur Verarbeitung echter Verordnungsdaten eingesetzt; er dient ausschließlich als technischer Rückfall in lokalen Testumgebungen mit Musterdaten. Eine Drittlandübermittlung echter Gesundheitsdaten in die USA findet somit nicht statt.

Ob die zentrale KI-Anbindung des Plattformbetreibers oder ein eigener Zugang des Mandanten genutzt wird, ist konfigurierbar. Rechtsgrundlage der OCR-Verarbeitung ist Ihre Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) im Rahmen der Verordnungsanfrage bzw. die Erfüllung des Rehasport-Vertrags.

Geführter Dokumenten-Scanner: Beim Erfassen einer Verordnung mit der Kamera erfolgt die Bilderkennung und der Zuschnitt vollständig lokal in Ihrem Browser (mittels der clientseitig geladenen Bibliothek OpenCV.js). Das Kamerabild wird nicht zu diesem Zweck an unsere Server übertragen; erst das von Ihnen final erfasste Dokument wird – wie ein normaler Upload – übermittelt. Die hierfür benötigte Programmbibliothek wird von einem externen Content-Delivery-Netzwerk geladen (docs.opencv.org); dabei wird technisch bedingt Ihre IP-Adresse an diesen Anbieter übertragen.

9. Zahlungsabwicklung

Für die Abwicklung von Zahlungen setzen Mandanten – je nach Konfiguration – folgende Zahlungsdienstleister ein:

• Stripe (Stripe Payments Europe Ltd., Irland; Konzernmutter in den USA) – Karten- und SEPA-Lastschriftzahlungen.
• PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg) – sofern aktiviert.

Die für die Zahlung erforderlichen Daten werden an den jeweiligen Anbieter übermittelt und dort eigenverantwortlich gemäß dessen Datenschutzbestimmungen verarbeitet. Der Test-/Live-Betrieb ist je Mandant konfigurierbar. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Soweit eine Übermittlung in die USA erfolgt, geschieht dies auf Grundlage geeigneter Garantien (Standardvertragsklauseln) bzw. eines Angemessenheitsbeschlusses.

10. E-Mail-Versand

Für den Versand von System- und Benachrichtigungs-E-Mails (z. B. Buchungsbestätigungen) nutzen wir den Dienst Brevo (Sendinblue GmbH / Brevo, EU). Verarbeitet werden Empfänger-Adresse und Inhalt der jeweiligen Nachricht. Empfängerdaten werden in unserem System verschlüsselt vorgehalten. Rechtsgrundlage ist die Vertragserfüllung bzw. unser berechtigtes Interesse an zuverlässiger Kommunikation (Art. 6 Abs. 1 lit. b und f DSGVO). AV-Vertrag in Vorbereitung.

11. Kartendarstellung (OpenStreetMap)

Auf unseren Webseiten binden wir optional Kartenmaterial von OpenStreetMap ein (Anbieter: OpenStreetMap Foundation, St John's Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich). Die Karte wird erst nach Ihrer ausdrücklichen Einwilligung geladen. Mit dem Laden wird eine Verbindung zu den Servern von OpenStreetMap hergestellt; dabei wird unter anderem Ihre IP-Adresse übertragen, damit die Karte an Ihren Browser ausgeliefert werden kann. Die zur Darstellung benötigte Bibliothek (Leaflet) wird zudem von einem externen CDN (unpkg.com) geladen.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können (z. B. durch Löschen der lokal gespeicherten Zustimmung in Ihrem Browser). Weitere Informationen: https://wiki.osmfoundation.org/wiki/Privacy_Policy

12. Reichweitenmessung (optional)

Sofern aktiviert, setzen wir eine cookielose Reichweitenmessung mit Plausible oder Matomo ein. Dabei werden keine Cookies gesetzt und keine geräteübergreifenden Profile gebildet; die IP-Adresse wird nicht dauerhaft gespeichert. Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Statistik (Art. 6 Abs. 1 lit. f DSGVO).

13. Empfänger und Drittlandübermittlung

Eine Übermittlung Ihrer Daten an Dritte erfolgt nur, soweit dies zur Vertragserfüllung oder Leistungserbringung erforderlich ist, eine rechtliche Verpflichtung besteht oder Sie eingewilligt haben. Empfänger können sein: die oben genannten Auftragsverarbeiter (Hosting, Speicher, E-Mail, OCR), Zahlungsdienstleister sowie – im Rehasport – Kostenträger/Abrechnungsstellen im Rahmen der Leistungsabrechnung.

Soweit Daten an Anbieter mit Bezug zu Drittländern (insbesondere USA) übermittelt werden, erfolgt dies auf Grundlage geeigneter Garantien (z. B. EU-Standardvertragsklauseln) bzw. eines Angemessenheitsbeschlusses.

14. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es vorsehen (insbesondere handels- und steuerrechtliche Fristen von in der Regel 6 bzw. 10 Jahren für Rechnungs- und Buchungsunterlagen).

Gelöschte Datensätze (z. B. Mandanten, Personen, Kund:innen) werden zunächst in einen Papierkorb verschoben (Soft-Delete) und sind dort für eine Übergangszeit von rund 7 Tagen wiederherstellbar. Nach Ablauf dieser Frist werden sie durch einen täglich laufenden, automatisierten Prozess endgültig gelöscht; bei der endgültigen Löschung eines Mandanten werden auch die zugehörigen vertraulichen Dateien (z. B. Verordnungs- und Abrechnungsdokumente) aus dem Speicher entfernt.

15. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine Nachricht an [email protected].

16. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist u. a.:

Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Stahnsdorfer Damm 77, 14532 Kleinmachnow

17. Pflicht zur Bereitstellung

Für den Abschluss von Verträgen (z. B. Buchungen, Mitgliedschaften) bzw. zur Abrechnung von Rehasport-Leistungen ist die Bereitstellung bestimmter Daten erforderlich. Ohne diese Daten können die jeweiligen Leistungen nicht erbracht werden.

18. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen der Verarbeitung oder der Rechtslage dies erfordern. Es gilt die jeweils auf der Plattform veröffentlichte Fassung.