Datenschutzerklärung

Verantwortlicher für die Datenverarbeitung im Sinne der DSGVO ist:

PrivPay wird als nicht im Handelsregister eingetragenes Einzelunternehmen geführt. Inhaber und allein vertretungsberechtigt ist Steven Bobrzik.

Sofern für Ihre Praxis ein Datenschutzbeauftragter benannt ist, finden Sie dessen Kontaktdaten in Ihren Praxis-Stammdaten unter Verwaltung → Sicherheit.

Diese Erklärung verwendet die Begriffe der DSGVO. Die wichtigsten kurz erklärt:

• Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (z. B. Name, Adresse, IBAN, Diagnose).
• Besondere Kategorien (Art. 9 DSGVO) umfassen Gesundheitsdaten. Hierzu zählen Versicherungs- und Diagnoseinformationen sowie Behandlungs-bezogene Rechnungspositionen, die in PrivPay verarbeitet werden.
• Verantwortlicher ist die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet (in der Regel Ihre Praxis bzw. Verwaltung).
• Auftragsverarbeiter ist eine Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (PrivPay handelt für die Praxis-Daten als Auftragsverarbeiter im Sinne von Art. 28 DSGVO).

Wir verarbeiten — abhängig von Ihrer Rolle und Nutzung — die folgenden Datenkategorien:

Für jede Verarbeitungstätigkeit benötigen wir eine Rechtsgrundlage. Konkret:

Wir geben Ihre Daten nur dann an Dritte weiter, wenn dies zur Erfüllung des Vertrags erforderlich ist, Sie eingewilligt haben oder eine gesetzliche Pflicht besteht. Folgende Auftragsverarbeiter und Empfänger kommen zum Einsatz:

Mit allen Auftragsverarbeitern haben wir einen Vertrag nach Art. 28 DSGVO geschlossen. Die jeweils aktuelle Liste der Subprozessoren stellen wir auf Anfrage bereit.

Eine Übermittlung in Länder außerhalb der EU/des EWR findet ausschließlich in den folgenden Fällen statt:

• ·Expo Push-Service (USA): notwendige Übermittlung des Push-Tokens und der Nachricht zur Auslieferung an das Endgerät der Patientin / des Patienten. Grundlage: EU-Standardvertragsklauseln und Einwilligung im Rahmen der Patienten-App-Aktivierung.
• ·OpenAI (USA, optional): Übermittlung des Rechnungs-Bildes/PDF an das Vision-Modell, sofern der KI-Fallback aktiviert ist. Grundlage: EU-Standardvertragsklauseln; OpenAI verpflichtet sich vertraglich, API-Inhalte nicht für Trainingszwecke zu verwenden.

PrivPay verarbeitet im Auftrag von Heilberuflern Daten, die der ärztlichen Schweigepflicht (§ 203 StGB) unterliegen. Wir sind uns dieser besonderen Verantwortung bewusst und stellen sicher, dass:

• · alle Mitarbeitenden mit Zugang zu Kundendaten schriftlich auf das Berufsgeheimnis verpflichtet sind (§ 203 Abs. 4 StGB);
• · nur ausdrücklich berechtigte Personen Zugriff auf Kundeninstanzen erhalten und alle Zugriffe protokolliert werden;
• · externe Subprozessoren (siehe Ziffer 6) ebenfalls auf die Verschwiegenheit verpflichtet sind, soweit sie mit geheimnisgeschützten Daten in Berührung kommen können;
• · Wartung und Fernzugriff ausschließlich auf Anforderung des Verantwortlichen und nachvollziehbar im Audit-Log erfolgen.

Wir setzen ausschließlich technisch notwendige Cookies für Authentifizierung und Session-Verwaltung ein. Es werden keine Tracking-, Analyse- oder Marketing-Cookies geladen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO sowie § 25 Abs. 2 Nr. 2 TTDSG (unbedingt erforderliche Cookies).

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Nach Ablauf der jeweiligen Frist werden die Daten gelöscht oder anonymisiert, sofern keine anderen gesetzlichen Pflichten entgegenstehen.

Wir setzen umfangreiche technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO ein, um die Sicherheit der Verarbeitung zu gewährleisten. Dazu zählen insbesondere:

Zur Erfüllung unserer Pflichten aus Art. 32 DSGVO und § 630f BGB protokollieren wir sicherheits- und datenschutzrelevante Vorgänge in einem Audit-Log. Erfasst werden:

• · Zeitpunkt, Benutzer-Kennung, IP-Adresse
• · Aktion (Anlegen, Ändern, Löschen, Versand, Login, Export)
• · betroffene Ressource (Patient, Rechnung, Einstellung, Konto)
• · kurze Beschreibung der durchgeführten Änderung

Das Audit-Log ist für die jeweilige Praxis bzw. Verwaltung über die Oberfläche einsehbar (Verwaltung → Audit-Log) und unterstützt damit den Nachweis der Einhaltung der DSGVO (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).

Ihnen stehen jederzeit die folgenden Rechte zu:

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Für den Verantwortlichen mit Sitz in Nordrhein-Westfalen ist folgende Aufsichtsbehörde zuständig:

Wir setzen keine automatisierten Einzelentscheidungen einschließlich Profiling im Sinne des Art. 22 DSGVO ein, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen.

Die optionale KI-gestützte Betragserkennung (siehe Ziffern 5 und 6) dient ausschließlich der Vorbefüllung eines Eingabefeldes — die endgültige Entscheidung trifft immer ein Mensch.

Wird uns ein Datenschutzvorfall bekannt, dokumentieren wir diesen im internen Incident-Tracking und informieren — sofern erforderlich — die zuständige Aufsichtsbehörde innerhalb von 72 Stunden(Art. 33 DSGVO) und gegebenenfalls die betroffenen Personen (Art. 34 DSGVO).

Als Praxis bzw. Verwaltung erhalten Sie bei Vorfällen, die Ihre Mandantendaten betreffen, eine unverzügliche Meldung über die im Account hinterlegten Kontaktdaten.

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um geänderten rechtlichen Vorgaben oder Änderungen der Plattform Rechnung zu tragen. Die jeweils aktuelle Fassung ist unter /datenschutz abrufbar. Wesentliche Änderungen kommunizieren wir aktiv an unsere Kunden.

Stand: 10. April 2026

Für Fragen rund um den Datenschutz, AVV-Anforderungen oder Betroffenenrechte erreichen Sie uns unter datenschutz@privpay.de.