Datenschutz bei Vylea

Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Kurz gesagt

Vylea ist eine Software für Praxen und Selbstständige: Klienten, Termine, Behandlungsdokumentation, Rechnungen. Es richtet sich nur an Unternehmer, nicht an Verbraucher. Zwei Rollen sind zu trennen:

Für dein Konto und die Nutzung der Software bin ich Verantwortlicher. Für die Daten deiner Klientinnen und Klienten bist du Verantwortlicher und ich dein Auftragsverarbeiter nach Art. 28 DSGVO; den Vertrag dazu stellt Vylea bereit (AV-Vertrag, Download in den AGB und in der App). Anfragen von Klienten zu ihren Daten gehören deshalb zu dir; ich unterstütze dich dabei.

Vylea enthält keine Werbung und verkauft keine Daten. In der App läuft kein Analyse-Skript. Es gibt kein Profiling und keine automatisierte Entscheidung mit rechtlicher Wirkung.

Beim Aufruf der Webseiten

Beim Aufruf sendet dein Browser Angaben, ohne die die Seite nicht ausgeliefert werden kann: IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den Referrer und die Browserkennung. Die Seiten liegen bei Netlify; die Domain vylea.app läuft über Cloudflare, das die Verbindung absichert und Angriffe abwehrt. Bei einer Sicherheitsprüfung kann Cloudflare ein Cookie (cf_clearance) setzen.

Auf den öffentlichen Seiten (Startseite, Hilfe, Rechtliches) misst Cloudflare Web Analytics zusammengefasst, wie oft Seiten aufgerufen werden: Seite, ungefähre Herkunftsregion, Referrer, Gerätetyp und Browser. Dafür werden laut Cloudflare keine Cookies gesetzt, es entsteht kein Profil und deine IP-Adresse wird nicht gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: die Seiten sicher ausliefern und sehen, wie sie gefunden werden. Wie lange die Anbieter ihre Protokolle aufbewahren, regeln sie selbst.

Netlify, Inc.

101 2nd Street, San Francisco, CA 94105, USA

Daten können in die USA übermittelt werden. Netlify, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert; Grundlage ist der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Datenschutzerklärung des Anbieters

Cloudflare, Inc.

101 Townsend St., San Francisco, CA 94107, USA

Daten können in die USA übermittelt werden. Cloudflare, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert; Grundlage ist der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Datenschutzerklärung des Anbieters

Konto und Anmeldung

Du meldest dich mit „Mit Apple anmelden“ oder mit Google an. Dabei verarbeite ich die Kennung von Apple bzw. deine E-Mail-Adresse und, falls freigegeben, deinen Namen. Optional schützt du das Konto mit einem zweiten Faktor (Authenticator-App). Konto und Sitzung laufen über Supabase. Wer in einer Praxis oder einem Team arbeitet, wird mit Einladungscode angelegt; der Inhaber der Praxis sieht die Mitglieder und vergibt Rechte.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung). Ich speichere die Daten, solange dein Konto besteht.

Supabase Pte. Ltd.

65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513, Singapur

Für die Übermittlung in ein Land außerhalb der EU gelten Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Datenschutzerklärung des Anbieters

Apple Distribution International Ltd.

Hollyhill Industrial Estate, Hollyhill, Cork, Irland

Für die Übermittlung in ein Land außerhalb der EU gelten Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Datenschutzerklärung des Anbieters

Google Ireland Limited

Gordon House, Barrow Street, Dublin 4, Irland

Daten können in die USA übermittelt werden. Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert; Grundlage ist der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Datenschutzerklärung des Anbieters

Klientendaten und Dokumentation

Alles, was du in Vylea einträgst, liegt bei Supabase: Klientenstammdaten (Name, Anschrift, Krankenkasse), Termine mit Notizen, Behandlungsdokumentation, Behandlungsfotos, hochgeladene Dokumente und Belege, Rechnungen, Einnahmen- und Ausgabenbuch und ein Änderungsprotokoll. Die Übertragung ist verschlüsselt, der Zugriff ist über Zeilenrechte auf deine Praxis beschränkt. Rechnungen und PDFs entstehen in deinem Browser.

Das sind überwiegend Gesundheitsdaten (Art. 9 DSGVO). Ich verarbeite sie nur in deinem Auftrag und nach deinen Weisungen, auf Grundlage des AV-Vertrags (Art. 28 DSGVO). Die Rechtsgrundlage gegenüber deinen Klienten trägst du als Verantwortlicher, bei Heilberufen in der Regel Art. 9 Abs. 2 lit. h DSGVO. Ich nutze die Daten nicht für eigene Zwecke.

Supabase Pte. Ltd.

65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513, Singapur

Für die Übermittlung in ein Land außerhalb der EU gelten Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Datenschutzerklärung des Anbieters

iOS- und Android-App

Diese Erklärung beschreibt die Webseiten und die Web-App. Die Apps für iOS und Android nutzen dasselbe Konto und denselben Speicher bei Supabase. In der iOS-App liegen Daten zusätzlich verschlüsselt auf dem Gerät. Optional und standardmäßig aus kannst du in der iOS-App ein Backup in dein eigenes Google Drive legen und Termine (mit Klientenname im Titel) nach Google Kalender und Rechnungen über Google Docs erzeugen lassen. Das geschieht nur nach deiner ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a, bei Gesundheitsdaten Art. 9 Abs. 2 lit. a DSGVO), die du in den Einstellungen widerrufst. Ohne Aktivierung geht nichts an Google.

Google Ireland Limited

Gordon House, Barrow Street, Dublin 4, Irland

Daten können in die USA übermittelt werden. Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert; Grundlage ist der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Datenschutzerklärung des Anbieters

Speicher in deinem Browser

Die Web-App merkt sich in deinem Browser, was sie zum Funktionieren braucht: die Sitzung (nur für diesen Tab, sie endet mit dem Schließen), einen Hinweis nach automatischer Abmeldung bei Inaktivität, den Hell-/Dunkel-Modus und die gewählte Fachrichtung im Artikelkatalog. Das sind keine Cookies zur Wiedererkennung.

Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich) und Art. 6 Abs. 1 lit. b DSGVO.

Löschen und Exportieren

Einen Datenexport findest du in den Einstellungen. Dein Konto löschst du in der App unter Einstellungen → Account löschen. Dein Zugang wird sofort deaktiviert; Klientennamen, Anschriften und andere identifizierende Angaben werden unwiderruflich überschrieben, also anonymisiert, nicht physisch gelöscht. Rechnungen und Buchungen bleiben anonymisiert bestehen, weil für steuerrelevante Belege eine Aufbewahrungspflicht von zehn Jahren gilt (§ 147 AO; Art. 17 Abs. 3 lit. b DSGVO). Erstelle vorher einen Export; danach lässt sich nichts wiederherstellen.

Deine Rechte

Du hast das Recht auf Auskunft über deine Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Verarbeitungen auf Grundlage berechtigter Interessen kannst du widersprechen (Art. 21). Eine E-Mail an die Adresse oben genügt.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel in dem Land, in dem du wohnst.