Datenschutzerklärung

1. Verantwortlicher

2. Grundsatz: Pflegeangaben bleiben auf dem Gerät

Die Angaben im Punktevergleich – insbesondere Namen, Pflegegrad, Modulbewertungen, Alltagsschilderungen und Nachweise – werden im Browser verarbeitet. Sie werden nicht an PflegeGradUp, Stripe, Werbeplattformen oder Analysedienste übertragen. Das PDF wird direkt auf dem verwendeten Gerät erzeugt.

Diese lokale Verarbeitung erfolgt zur Bereitstellung des ausdrücklich angeforderten Punktevergleichs und Dokumentenentwurfs auf Grundlage von Art. 6 Abs. 1 Buchst. b DSGVO. Soweit eine hierzu berechtigte oder bevollmächtigte Person für die versicherte Person handelt, stützt sich die Verarbeitung ergänzend auf Art. 6 Abs. 1 Buchst. f DSGVO. Das berechtigte Interesse liegt in der Vorbereitung und Geltendmachung der sozialrechtlichen Ansprüche der versicherten Person. Soweit die Eingaben Gesundheits- oder Pflegeangaben und damit besondere Kategorien personenbezogener Daten enthalten, ist die Verarbeitung nach Art. 9 Abs. 2 Buchst. f DSGVO erforderlich, um diese Ansprüche vorzubereiten, geltend zu machen oder zu verteidigen. Die Nutzung ist freiwillig; ohne die erforderlichen Angaben kann die jeweilige Berechnung oder der Dokumentenentwurf nicht erstellt werden.

3. Aufruf der Website und Hosting

Beim Abruf der Website verarbeitet der Hosting-Anbieter technisch erforderliche Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, angeforderte Datei, übertragene Datenmenge, Referrer und Browserinformationen. Dies ist erforderlich, um die Website sicher und stabil bereitzustellen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse liegt im sicheren Betrieb des Angebots.

Diese Website, ihre serverseitigen Funktionen und die Transaktionsdatenbank werden mit Cloudflare Pages, Cloudflare Pages Functions und Cloudflare D1 bereitgestellt. Auftragsverarbeiter ist Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Cloudflare verarbeitet die technisch erforderlichen Hosting- und Verbindungsdaten in unserem Auftrag, um die Website auszuliefern, zu warten und abzusichern. Die D1-Datenbank ist mit EU-Gerichtsbarkeit konfiguriert; die Auslieferung der Website erfolgt über das weltweite Cloudflare-Netzwerk. Maßgeblich sind der Auftragsverarbeitungsvertrag von Cloudflare und die Datenschutzerklärung von Cloudflare. Soweit Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, stützt Cloudflare die Übermittlung nach eigenen Angaben insbesondere auf das EU-US Data Privacy Framework und, soweit erforderlich, auf die Standardvertragsklauseln der EU-Kommission.

4. Lokaler Speicher im Browser

Ein laufender Fragebogen wird zunächst nur im Arbeitsspeicher des Browsers verarbeitet. Erst wenn „Zwischenstand speichern“ gewählt oder der Bezahlvorgang gestartet wird, legt die Anwendung den vollständigen Fragebogenstand einschließlich der eingegebenen Pflegeangaben auf dem verwendeten Gerät ab. Ein ausdrücklich gespeicherter Zwischenstand liegt im lokalen Browserspeicher, wird nach 30 Tagen nicht mehr geladen und beim nächsten Aufruf der Anwendung entfernt. Beim Start des Bezahlvorgangs speichert die Anwendung den vollständigen Fragebogenstand einschließlich der eingegebenen Pflegeangaben, die signierte Einwilligungsreferenz und die Stripe-Sitzungskennung im lokalen Browserspeicher des verwendeten Geräts; für die laufende Browsersitzung werden Referenzen zusätzlich im Sitzungsspeicher des geöffneten Tabs abgelegt. Diese Daten ermöglichen die Wiederherstellung nach der Weiterleitung zu Stripe, die Zahlungsprüfung und die lokale PDF-Freischaltung. Der für den Bezahlvorgang erzeugte lokale Stand wird nach 24 Stunden nicht mehr geladen und beim nächsten Aufruf der Anwendung entfernt. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG, weil die Speicherung für die ausdrücklich angeforderte Zwischenablage oder Zahlungsbereitstellung erforderlich ist. Lokale Daten können jederzeit über „Lokale Daten löschen“ oder über die Browserfunktionen entfernt werden.

5. Zahlung über Stripe

Wenn der kostenpflichtige PDF-Zugang gewählt wird, öffnet sich eine von Stripe bereitgestellte Bezahlseite. Stripe verarbeitet dabei die zur Zahlung erforderlichen Daten. Pflegeangaben aus dem Fragebogen werden nicht an Stripe übermittelt. Verantwortlich für die Zahlungsabwicklung in Europa ist je nach Vertragskonstellation insbesondere Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland.

Stripe verarbeitet Daten je nach konkreter Tätigkeit in unterschiedlichen datenschutzrechtlichen Rollen. Soweit Stripe technische Leistungen nach unserer Weisung erbringt, wird Stripe als Auftragsverarbeiter auf Grundlage des Stripe-Auftragsverarbeitungsvertrags eingesetzt. Soweit Stripe Zwecke und Mittel der Verarbeitung selbst bestimmt, etwa zur Erfüllung eigener gesetzlicher Pflichten, zur Zahlungsnetzwerk- und Betrugsprävention oder zur Sicherheit seiner Dienste, handelt Stripe als eigenständig Verantwortlicher. Unsere Verarbeitung zur Anbahnung und Durchführung der Zahlung beruht auf Art. 6 Abs. 1 Buchst. b DSGVO, zur Erfüllung gesetzlicher Pflichten auf Art. 6 Abs. 1 Buchst. c DSGVO und, soweit erforderlich, zur Missbrauchs- und Betrugsprävention sowie zur Absicherung des Zahlungsverkehrs auf Art. 6 Abs. 1 Buchst. f DSGVO. Das berechtigte Interesse liegt in einer sicheren und nachvollziehbaren Zahlungsabwicklung.

Stripe kann Daten nach seinen Angaben auch außerhalb des Europäischen Wirtschaftsraums verarbeiten und nutzt dafür die jeweils anwendbaren Übermittlungsmechanismen. Weitere Informationen enthält die Datenschutzerklärung von Stripe.

Nach erfolgreicher Zahlung werden die von Stripe erzeugte Sitzungskennung und die signierte Einwilligungsreferenz an unsere Zahlungsprüffunktion übermittelt. Die Einwilligungsreferenz enthält einen Zeitstempel, Zufallsdaten, einen gekürzten Hash der Bestell-E-Mail und einen Fingerabdruck der bestätigten Rechtstextfassung, aber keine E-Mail im Klartext. Damit werden Betrag, Währung, Zahlungsstatus, Rechtstextfassung und Zuordnung geprüft. Beide Kennungen enthalten keine Fragebogenantworten.

6. Einwilligungsnachweis, Vertragsbestätigung und Widerruf

Vor der Bezahlseite verarbeiten wir die angegebene E-Mail-Adresse, Zeitpunkt, Version der Vertragsinformationen und die bestätigten Erklärungen, um die Bestellung zuzuordnen und den ausdrücklichen Wunsch nach sofortiger Bereitstellung zu dokumentieren. Nach bestätigter Zahlung stellen wir eine unverändert speicherbare Vertragsbestätigung unmittelbar im Browser bereit. Soweit ein transaktionaler E-Mail-Versand konfiguriert ist, wird sie zusätzlich per E-Mail versandt. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b und c DSGVO.

Bei Nutzung der elektronischen Widerrufsfunktion verarbeiten wir Name, E-Mail-Adresse, Bestellbezug, Erklärung und Zeitpunkt, um den Widerruf entgegenzunehmen und zu protokollieren. Als elektronisches Kommunikationsmittel wählt und bestätigt die widerrufende Person die unmittelbar nach dem Absenden bereitgestellte speicherbare Bestätigungsdatei im Browser. Die E-Mail-Adresse dient der Zuordnung und nur dann einer zusätzlichen Versandkopie, wenn ein transaktionaler E-Mail-Versand konfiguriert ist und erfolgreich ausgeführt werden kann. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit den verbraucherrechtlichen Dokumentationspflichten.

Einwilligungs-, Kauf-, Vertragsbestätigungs- und Widerrufsnachweise werden in einer zugriffsgeschützten Cloudflare-D1- Transaktionsdatenbank gespeichert. Dazu gehören insbesondere E-Mail-Adresse, Zeitpunkte, Rechtstextversionen und -fingerabdrücke, Stripe-Sitzungs- und Ereigniskennungen, Betrag, Währung, Vertragsbestätigung, Widerrufserklärung sowie technische Versandstatus. Die Pflege- und Fragebogenangaben werden dort nicht gespeichert. Zusätzlich werden kurzlebige, pseudonymisierte Zähler zur Begrenzung missbräuchlicher Formularaufrufe verarbeitet. Grundlage sind Art. 6 Abs. 1 Buchst. b, c und f DSGVO.

Soweit der optionale transaktionale E-Mail-Versand aktiviert ist, setzen wir dafür Resend, einen Dienst der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA, als Auftragsverarbeiter ein. Dabei werden insbesondere E-Mail-Adresse, Nachrichteninhalt und Versandmetadaten verarbeitet. Für erforderliche Drittlandübermittlungen werden die im Auftragsverarbeitungsvertrag genannten Garantien einschließlich Standardvertragsklauseln beziehungsweise des EU-US Data Privacy Framework genutzt. Öffnungs- und Linktracking werden für diese Nachrichten nicht aktiviert.

Als betriebliches Empfangs- und Antwortpostfach wird WEB.DE, ein Dienst der 1&1 Mail & Media GmbH, Zweigniederlassung Karlsruhe, Brauerstraße 48, 76135 Karlsruhe, eingesetzt. Dort werden eingehende und ausgehende Kundenservice-, Vertrags-, Einwilligungs- und Widerrufsnachrichten einschließlich Absender, Empfänger, Zeitpunkt, Betreff, Nachrichtentext und technischer Versanddaten verarbeitet. Dies erfolgt zur Vertragsdurchführung, Erfüllung gesetzlicher Dokumentationspflichten und Bearbeitung von Anfragen auf Grundlage von Art. 6 Abs. 1 Buchst. b, c und f DSGVO. Weitere Informationen enthält die Datenschutzerklärung von WEB.DE.

7. Facebook-, Instagram- und Meta-Werbeauftritt

PflegeGradUp unterhält ein geschäftliches Instagram-Profil, nutzt Meta Business Suite und kann zusätzlich eine verbundene Facebook-Unternehmensseite sowie den Werbeanzeigenmanager von Meta einsetzen. Anbieter ist Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Beim Besuch der jeweils aktiven Profile oder Werbeanzeigen sowie bei Reaktionen, Kommentaren oder Direktnachrichten verarbeitet Meta Daten nach eigener Verantwortlichkeit. Soweit wir Nachrichten beantworten, Kommentare moderieren, Werbeanzeigen verwalten oder ausschließlich zusammengefasste Reichweiten- und Interaktionsstatistiken einsehen, verarbeiten wir die dabei sichtbaren Daten zur Kommunikation und Öffentlichkeitsarbeit auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt in der sachlichen Information über das Angebot, der Beantwortung allgemeiner Anfragen und der wirtschaftlichen Ausspielung unserer Werbung.

Für bestimmte Seiten- und Profilstatistiken können wir und Meta nach Maßgabe der Meta-Vereinbarung gemeinsam verantwortlich sein. Meta übernimmt dabei die in der Vereinbarung beschriebenen vorrangigen Pflichten. Informationen hierzu enthält die Information zu Seiten-Insights.

Wir setzen auf der PflegeGradUp-Website kein Meta-Pixel und keine Konversionsschnittstelle ein. Wir laden keine Kundenlisten hoch, erstellen keine benutzerdefinierten Zielgruppen aus Kundendaten und übermitteln keine Fragebogen-, Diagnose-, Versicherungs- oder Gesundheitsdaten an Meta. Die Werbeauswertung erfolgt nur anhand der von Meta bereitgestellten zusammengefassten Kampagnenwerte.

Bitte übermittle über Instagram keine Diagnosen, Pflegegutachten, Versicherungsnummern oder sonstigen Gesundheits- und Falldaten. Solche Angaben werden für Social-Media-Kommunikation nicht benötigt. Meta kann Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeiten und stützt Übermittlungen nach eigenen Angaben auf anwendbare Garantien wie Standardvertragsklauseln beziehungsweise das EU-US Data Privacy Framework. Weitere Informationen enthält die Datenschutzrichtlinie von Meta.

8. Keine Analyse- oder Marketing-Technologien auf der Website

PflegeGradUp setzt in der hier beschriebenen Version keine Analyse-Cookies, kein Meta-Pixel, kein Google Analytics und keine vergleichbaren Marketing-Technologien ein. Deshalb erscheint kein Einwilligungsbanner. Bei einer späteren Erweiterung wird diese Erklärung vor der Aktivierung angepasst und – soweit erforderlich – eine Einwilligung eingeholt.

9. Empfänger und Speicherdauer

Empfänger von Verbindungsdaten können Cloudflare als Hosting-Anbieter und dessen technische Unterauftragnehmer sein. Zahlungsdaten erhalten Stripe und die an der Zahlung beteiligten Stellen. Vertrags- und Bestätigungsnachrichten verarbeitet WEB.DE; bei aktiviertem transaktionalem E-Mail-Versand verarbeitet sie zusätzlich Resend. Daten zu Facebook, Instagram und Werbeanzeigen verarbeitet Meta. Fragebogeninhalte liegen uns nicht vor.

Einwilligungsnachweise, denen innerhalb von 30 Tagen kein Kauf zugeordnet wird, werden nach Fristablauf beim nächsten Aufruf der Website automatisiert gelöscht. Vertrags-, Zahlungs- und zugehörige Einwilligungsnachweise abgeschlossener Käufe werden für die jeweils anwendbaren handels- und steuerrechtlichen Aufbewahrungsfristen gespeichert, regelmäßig sechs bis acht Jahre. Widerrufs-, Erstattungs- und Kundenservicevorgänge speichern wir bis zum Abschluss der Bearbeitung und darüber hinaus, soweit dies zur Erfüllung gesetzlicher Pflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist; die regelmäßige zivilrechtliche Verjährungsfrist beträgt drei Jahre ab dem Ende des betreffenden Kalenderjahres. Daten werden früher gelöscht, wenn der Zweck entfällt und keine gesetzliche Pflicht oder ein überwiegendes berechtigtes Interesse die weitere Speicherung verlangt. Eigene Speicherfristen der beteiligten Plattformen und Zahlungsdienstleister richten sich nach deren Informationen und gesetzlichen Pflichten.

10. Erforderlichkeit der Angaben

Die E-Mail-Adresse sowie die ausdrücklich verlangten Vertrags- und Widerrufsbestätigungen sind für die Zuordnung und Durchführung des kostenpflichtigen Kaufs erforderlich. Ohne diese Angaben kann kein Stripe-Bezahlvorgang gestartet und kein kostenpflichtiges Dossier freigeschaltet werden. Für die elektronische Widerrufsfunktion sind Name, E-Mail-Adresse, Widerrufserklärung und zur eindeutigen Vertragsidentifizierung mindestens die Bestell- oder Belegnummer oder das Bestelldatum erforderlich. Ohne diese Pflichtangaben kann der Widerruf nicht über das Online-Formular übermittelt werden; die gesetzlichen alternativen Übermittlungswege bleiben unberührt.

11. Rechte betroffener Personen

Unter den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Anfragen können an die oben genannte E-Mail-Adresse gerichtet werden.

12. Beschwerderecht

Es besteht das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig ist insbesondere das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

13. Sicherheit und Aktualisierung

Wir treffen angemessene technische und organisatorische Maßnahmen. Trotzdem kann eine Datenübertragung im Internet nie vollständig risikofrei sein. Diese Datenschutzerklärung wird angepasst, wenn sich Funktionen, Dienstleister oder Rechtslage ändern.