Datenschutzerklärung
1. Einleitung
Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten bei der Nutzung unserer Website mentcape.com, der dort angebotenen Funktionen und Verzeichnisse, der Mentcape-App unter app.mentcape.com sowie unserer Profile in sozialen Netzwerken. Abschnitt 2 beschreibt die Website, Abschnitt 3 die Mentcape-App für Patient:innen und Behandler:innen und Abschnitt 4 unsere Social-Media-Profile. Aussagen zu einzelnen Diensten oder zur rein lokalen Verarbeitung von Website-Werkzeugen gelten ausschließlich für die jeweils beschriebenen Funktionen.
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, z. B. Name, E-Mail-Adresse oder IP-Adresse. Stand dieser Datenschutzerklärung: 11. Oktober 2026.
1.1 Kontaktdaten
Verantwortlicher gem. Art. 4 Abs. 7 EU-Datenschutz-Grundverordnung (DSGVO) ist
mentcape GmbH Barmer Straße 35 40545 Düsseldorf Deutschland E-Mail: kontakt(at)mentcape.com Vertreten durch die Geschäftsführer Dr. Ulrich Weber und Christian Debeuc. Unser Datenschutzbeauftragter ist erreichbar über: heyData GmbH Schützenstraße 5 10117 Berlin Deutschland https://heydata.eu E-Mail: datenschutz@heydata.eu
1.2 Umfang der Datenverarbeitung, Verarbeitungszwecke und Rechtsgrundlagen
Umfang, Zwecke und Rechtsgrundlagen der einzelnen Verarbeitungstätigkeiten werden in den folgenden Abschnitten beschrieben. Als Rechtsgrundlagen kommen insbesondere in Betracht:
- Art. 6 Abs. 1 S. 1 lit. a DSGVO bei einer Einwilligung. - Art. 6 Abs. 1 S. 1 lit. b DSGVO, wenn die Verarbeitung zur Erfüllung eines Vertrags oder für vorvertragliche Maßnahmen erforderlich ist. - Art. 6 Abs. 1 S. 1 lit. c DSGVO, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. - Art. 6 Abs. 1 S. 1 lit. f DSGVO, wenn die Verarbeitung zur Wahrung unserer oder der berechtigten Interessen Dritter erforderlich ist und keine überwiegenden Interessen der betroffenen Person entgegenstehen. - Art. 9 Abs. 2 lit. a DSGVO bei einer ausdrücklichen Einwilligung in die Verarbeitung von Gesundheitsdaten sowie Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b BDSG, soweit Gesundheitsdaten für die Behandlung durch Angehörige eines Gesundheitsberufs verarbeitet werden.
1.3 Datenverarbeitung außerhalb des EWR
Soweit Empfänger Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, erfolgt die Übermittlung auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission nach Art. 45 DSGVO oder geeigneter Garantien nach Art. 46 DSGVO, insbesondere der Standardvertragsklauseln der Europäischen Kommission. Für zertifizierte Empfänger in den USA kann der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework gelten.
Trotz dieser Garantien kann bei Verarbeitungen in Drittländern ein Restrisiko bestehen, etwa weil Behörden nach dem dortigen Recht auf Daten zugreifen können und europäische Betroffenenrechte nicht in gleicher Weise durchsetzbar sind.
1.4 Speicherdauer
Sofern nachfolgend keine konkrete Frist genannt ist, löschen wir personenbezogene Daten, sobald sie für den jeweiligen Zweck nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen an einer weiteren Speicherung entgegenstehen. Müssen Daten weiter aufbewahrt werden, beschränken wir ihre Verarbeitung auf den jeweiligen Aufbewahrungszweck.
1.5 Rechte der Betroffenen
Betroffene haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Zur Ausübung dieser Rechte genügt eine Nachricht an die in Abschnitt 1.1 genannten Kontaktdaten.
Widerspruchsrecht: Sie können einer Verarbeitung, die auf Art. 6 Abs. 1 S. 1 lit. f DSGVO beruht, jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Betroffene haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für uns ist insbesondere die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen zuständig. Eine Übersicht der Aufsichtsbehörden ist unter https://www.bfdi.bund.de/DE/Service/Anschriften/Laender/Laender-node.html abrufbar.
1.6 Pflicht zur Bereitstellung von Daten
Eine gesetzliche Pflicht zur Bereitstellung personenbezogener Daten besteht bei der rein informatorischen Nutzung der Website grundsätzlich nicht. Für einzelne gewünschte Funktionen oder eine Kommunikation können bestimmte Angaben erforderlich sein; ohne diese Angaben kann die jeweilige Funktion oder Bearbeitung nicht erfolgen. Die Pflichtangaben in der Mentcape-App beschreibt Abschnitt 3.
1.7 Keine automatische Entscheidungsfindung im Einzelfall
Weder auf der Website noch in der Mentcape-App findet eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt. Eingereichte Behandlerprofile werden durch berechtigte Personen geprüft. Bei der Therapieplatzsuche entscheiden Behandler:innen selbst, ob sie ein Angebot machen.
2. Datenverarbeitung auf unserer Website
2.1 Speicherung auf dem Endgerät und Einwilligungsverwaltung
Für technisch erforderliche Funktionen dürfen Informationen nach § 25 Abs. 2 TDDDG ohne Einwilligung auf dem Endgerät gespeichert oder ausgelesen werden. Alle anderen Zugriffe erfolgen nur nach einer Einwilligung gemäß § 25 Abs. 1 TDDDG.
Ihre Auswahl zur Reichweitenanalyse speichern wir zusammen mit dem Zeitpunkt und einem kurzen Änderungsverlauf im lokalen Speicher Ihres Browsers. Diese lokale Dokumentation wird nicht an Google übermittelt. Sie kann in den Browsereinstellungen gelöscht und bei aktivierter Analyse über „Datenschutzeinstellungen“ im Footer jederzeit geändert werden.
Die nachgelagerte Verarbeitung personenbezogener Daten richtet sich nach der DSGVO und den folgenden Abschnitten.
2.2 Aufruf der Website und Serverprotokolle
Beim Aufruf der Website werden technisch erforderliche Verbindungsdaten verarbeitet, um Inhalte auszuliefern, die Stabilität und Sicherheit zu gewährleisten und Fehler zu analysieren. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO; unsere berechtigten Interessen liegen im sicheren und zuverlässigen Betrieb der Website.
Diese Daten sind:
- IP-Adresse - Datum und Uhrzeit der Anfrage - aufgerufene URL einschließlich Such- und Filterparametern - HTTP-Methode, Zugriffsstatus und übertragene Datenmenge - verweisende Website - Browser, Betriebssystem, Sprache und Geräteinformationen
Betriebs- und Sicherheitsprotokolle werden nur so lange aufbewahrt, wie sie für Fehleranalyse, Missbrauchsabwehr und Systemsicherheit erforderlich sind, und anschließend gelöscht oder anonymisiert, sofern keine gesetzliche Pflicht oder ein konkreter Sicherheitsvorfall eine längere Aufbewahrung erfordert.
2.3 Webhosting und Bereitstellung der Website
Die Website wird über die Infrastruktur von Cloudflare bereitgestellt. Auftragsverarbeiter ist Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Cloudflare liefert die Website aus, betreibt die serverseitige Anwendung und speichert die Daten der Verzeichnisse.
Cloudflare verarbeitet die in Abschnitt 2.2 genannten Verbindungs- und Nutzungsdaten sowie die über die Website abgerufenen oder serverseitig verarbeiteten Inhalte, soweit dies für Auslieferung, Sicherheit, Datenbankzugriffe und technischen Betrieb erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO. Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung. Drittlandübermittlungen werden, soweit erforderlich, auf den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework und ergänzend auf Standardvertragsklauseln gestützt. Weitere Informationen: https://www.cloudflare.com/privacypolicy/ und https://www.cloudflare.com/cloudflare-customer-dpa/.
2.4 Content-Management-System, Verzeichnisse und Datenquellen
Redaktionelle Inhalte, Angaben zu Autorinnen und Autoren sowie Medien verwalten wir in einem eigenen Content-Management-System, das ebenfalls bei Cloudflare betrieben und serverseitig abgerufen wird. Einzelne Medien können unmittelbar von einer Cloudflare-Adresse geladen werden; dabei fallen die in Abschnitt 2.2 genannten Verbindungsdaten an. Websitebesucher können über das CMS keine eigenen Inhalte einstellen.
Das Behandler- und Klinikverzeichnis wird bei Cloudflare bereitgestellt. Verarbeitet werden die zur Veröffentlichung bestimmten Profil- und Kontaktdaten, insbesondere Name, Berufs- und Qualifikationsangaben, Tätigkeitsschwerpunkte, Praxis- oder Klinikanschrift, Kommunikationsdaten, Verfügbarkeits- und Abrechnungsangaben, Beschreibungen, Verlinkungen und Fotos. Die Bereitstellung erfolgt zur Vertragserfüllung nach Art. 6 Abs. 1 S. 1 lit. b DSGVO, soweit ein Vertragsverhältnis mit dem jeweiligen Anbieter besteht, und im Übrigen auf Grundlage unseres berechtigten Interesses an einem aktuellen Informations- und Suchangebot gemäß Art. 6 Abs. 1 S. 1 lit. f DSGVO.
Die Daten des Behandler- und des Klinikverzeichnisses stammen aus den freigegebenen Profilen der Mentcape-App (Abschnitt 3.7) und werden regelmäßig von dort übernommen.
2.5 Suchfunktionen, Standortangaben und Geokodierung
Bei einer Suche im Behandler- oder Klinikverzeichnis werden Suchbegriff, Standort, ausgewählte Filter und Seitennummer als Teil der aufgerufenen Adresse an unseren Server übermittelt und dort ausgewertet. Die Suchwerte werden nicht als Nutzerprofil in den Verzeichnissen gespeichert. Sie können jedoch Bestandteil der in Abschnitt 2.2 beschriebenen technischen Anfrageprotokolle sein. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Bereitstellung einer bedarfsgerechten Verzeichnissuche.
Für nicht bereits zwischengespeicherte Standortangaben fragt der Server den Geokodierungsdienst Nominatim der OpenStreetMap Foundation mit Sitz im Vereinigten Königreich ab. Übermittelt wird die eingegebene Standortangabe; die IP-Adresse des Websitebesuchers wird dabei nicht gezielt an Nominatim weitergegeben, da die Anfrage von unserem Server ausgeht. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Die Standortangabe und die ermittelten Koordinaten werden zur Vermeidung wiederholter Abfragen bis zu 30 Tage zwischengespeichert. Bitte geben Sie in das Standortfeld nur Ort oder Postleitzahl und keine privaten Anschriften oder anderen vertraulichen Angaben ein. Weitere Informationen: https://operations.osmfoundation.org/policies/nominatim/ und https://osmfoundation.org/wiki/Privacy_Policy.
2.6 Browserbasierte Selbsttests
Die psychologischen Selbsttests werden vollständig im Browser ausgefüllt und ausgewertet. Die eingegebenen Antworten werden von uns weder an einen Server übertragen noch dauerhaft gespeichert. Beim Schließen oder Neuladen der Seite gehen die Eingaben verloren. Die Tests dienen der unverbindlichen Selbstorientierung und ersetzen keine medizinische Diagnose.
2.7 E-Mail-Kommunikation und Bewerbungen
Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Absender- und Empfängerdaten, Zeitstempel, Betreff, Inhalt, Anhänge und weitere Kommunikationsmetadaten zur Bearbeitung der Anfrage. Je nach Anlass beruht die Verarbeitung auf Art. 6 Abs. 1 S. 1 lit. b DSGVO für vertragliche oder vorvertragliche Kommunikation oder auf Art. 6 Abs. 1 S. 1 lit. f DSGVO für sonstige Anfragen. Unser E-Mail-Dienst wird über Google Workspace bereitgestellt; Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google verarbeitet die Daten als Auftragsverarbeiter. Drittlandübermittlungen richten sich nach Abschnitt 1.3.
Bewerbungen können derzeit nur über die ausdrücklich angegebenen Kontaktwege und nicht über ein Websiteformular eingereicht werden. Dabei verarbeiten wir Kontakt-, Stamm-, Qualifikations- und Bewerbungsdaten sowie gegebenenfalls freiwillig übermittelte besondere Kategorien personenbezogener Daten zur Entscheidung über die Begründung eines Beschäftigungsverhältnisses auf Grundlage von Art. 6 Abs. 1 S. 1 lit. b DSGVO und, soweit erforderlich, Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG. Daten erfolgloser Bewerbungen werden grundsätzlich spätestens sechs Monate nach Abschluss des Verfahrens gelöscht, sofern keine Einwilligung in eine längere Aufbewahrung vorliegt oder die weitere Speicherung zur Rechtsverteidigung erforderlich ist.
2.8 Google Analytics
Wir nutzen Google Analytics 4 zur Reichweitenanalyse, wenn Sie dem aktiv zugestimmt haben. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Google verarbeitet die Daten in unserem Auftrag. Eine Verarbeitung durch Google LLC in den USA kann nicht ausgeschlossen werden. Verarbeitet werden insbesondere Seitenaufrufe, Nutzungszeitpunkte, technische Geräte- und Browserdaten, Referrer, ungefähre Region und eine pseudonyme Client-ID. Such- und Filterparameter sowie URL-Fragmente werden vor der Übermittlung aus der aufgerufenen URL und dem Referrer entfernt. Namen, E-Mail-Adressen oder Benutzerkonten werden von uns nicht an Google Analytics übermittelt.
Vor Ihrer Zustimmung wird das Google-Script nicht geladen und es findet keine Anfrage an Google statt. Werbefunktionen, Google Signals und Funktionen zur Anzeigenpersonalisierung bleiben auch nach Ihrer Zustimmung deaktiviert. Rechtsgrundlagen sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 S. 1 lit. a DSGVO. Die mit Google vereinbarten Bedingungen sehen für erforderliche Drittlandübermittlungen den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework und Standardvertragsklauseln vor.
Nach der Zustimmung kann Google Analytics die First-Party-Cookies „_ga“ und „_ga_<Mess-ID>“ mit einer standardmäßigen Laufzeit von bis zu zwei Jahren setzen. Nutzer- und Ereignisdaten löscht Google Analytics nach der von uns eingestellten Aufbewahrungsfrist, spätestens nach 14 Monaten. Sie können Ihre Einwilligung jederzeit über „Datenschutzeinstellungen“ im Footer mit Wirkung für die Zukunft widerrufen. Dabei werden von unserer Domain erreichbare Google-Analytics-Cookies gelöscht, Analytics deaktiviert und weitere Analytics-Anfragen unterbunden. Weitere Informationen: https://business.safety.google/privacy/.
2.9 Externe Links, Karten und Terminbuchung
Die Website bettet keine interaktive Karte eines Drittanbieters ein. Der Link „In Google Maps öffnen“ führt erst nach einem bewussten Klick zu Google Maps und enthält je nach Profil die veröffentlichte Anschrift oder Koordinaten des Behandlers oder der Klinik. Erst dann erhält Google Verbindungsdaten und den im Link enthaltenen Standort. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Rechtsgrundlage für die Bereitstellung des Links ist Art. 6 Abs. 1 S. 1 lit. f DSGVO; die weitere Verarbeitung erfolgt in Verantwortung von Google.
Entsprechendes gilt für Links zu Profilen und Websites von Behandlern, Kliniken oder Partnern. Beim Aufruf verlassen Sie unsere Website; der jeweilige Anbieter verarbeitet insbesondere IP-Adresse, Zeitpunkt, Zieladresse, Browser- und Geräteinformationen und gegebenenfalls Kontodaten in eigener Verantwortung. Die auf unserer Website sichtbaren Logos von heyData und DAFI werden lokal geladen; allein durch ihre Anzeige wird keine Verbindung zu diesen Anbietern hergestellt. Links zu app.mentcape.com führen zur Mentcape-App; die Verarbeitung dort beschreibt Abschnitt 3.
Für Beratungsgespräche mit Behandler:innen und Kliniken verlinken wir auf unsere Terminseiten bei HubSpot. Wenn Sie dort einen Termin buchen, verarbeiten wir die von Ihnen eingegebenen Angaben, insbesondere Name, E-Mail-Adresse und Terminwunsch, um das Gespräch zu vereinbaren und durchzuführen. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO, soweit das Gespräch der Anbahnung eines Vertrags dient, im Übrigen Art. 6 Abs. 1 S. 1 lit. f DSGVO. HubSpot verarbeitet die Daten in unserem Auftrag in einem Rechenzentrum in der EU; für etwaige Zugriffe aus den USA gelten die in Abschnitt 1.3 beschriebenen Garantien.
3. Datenverarbeitung in der Mentcape-App
Dieser Abschnitt beschreibt die Mentcape-App unter app.mentcape.com. Die Kontaktdaten und Rechte aus Abschnitt 1 gelten auch hierfür.
3.1 Verantwortlichkeit
Für die Bereitstellung der App, die Konten, die Suche nach Behandler:innen, den Kostenerstattungs-Assistenten, die Behandlerprofile und das Verzeichnis sowie das Abonnement für Behandler:innen sind wir Verantwortlicher. Für die Behandlung und die damit verbundenen Daten, insbesondere Terminbuchungen bei einer Praxis, Behandlungsdokumentation, Rechnungen und Videositzungen, ist die jeweilige Praxis verantwortlich. Wir verarbeiten diese Daten im Auftrag der Praxis auf Grundlage eines Vertrags zur Auftragsverarbeitung. Auskünfte zu Ihrer Behandlung erhalten Sie von Ihrer Praxis; wir unterstützen sie dabei.
3.2 Konto und Anmeldung
Für ein Konto verarbeiten wir Vorname, Nachname und E-Mail-Adresse, bei Behandler:innen zusätzlich den Praxis- oder Einrichtungsnamen. Ohne diese Angaben und die Bestätigung der Volljährigkeit kann kein Konto eingerichtet werden. Die Anmeldung erfolgt ohne Passwort: Unser Dienstleister Clerk sendet einen Einmalcode an Ihre E-Mail-Adresse und verwaltet die Anmeldesitzung. Dafür setzt Clerk technisch erforderliche Cookies (§ 25 Abs. 2 TDDDG). Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.
Wir speichern, wann Sie die Volljährigkeit bestätigt haben. Bei Behandler:innen speichern wir zusätzlich, welcher Fassung der AGB sie wann zugestimmt und welche Fassung dieser Datenschutzerklärung sie wann zur Kenntnis genommen haben. Die Kenntnisnahme der Datenschutzerklärung ist keine Einwilligung. Rechtsgrundlage ist unser berechtigtes Interesse am Nachweis dieser Erklärungen (Art. 6 Abs. 1 S. 1 lit. f DSGVO).
3.3 Patient:innen: Suche nach Unterstützung
Bei der Suche nach passender Unterstützung fragen wir das gewünschte Sitzungsformat, gegebenenfalls Ihre Postleitzahl, Sprachen, den Kostenträger (gesetzlich, privat oder Selbstzahlung) und Themen ab, zu denen Sie Unterstützung suchen. Optional können Sie Ihr Anliegen in einem Freitext beschreiben. Diese Angaben können Rückschlüsse auf Ihre Gesundheit zulassen. Wir verarbeiten sie nur mit Ihrer ausdrücklichen Einwilligung, die Sie in der App erteilen (Art. 6 Abs. 1 S. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; ohne die Angaben können wir die Suche nicht durchführen.
Wenn Sie die Therapieplatzsuche nutzen, verarbeiten wir zusätzlich Ihr Geburtsdatum und Ihr Geschlecht. Behandler:innen, die für Ihre Suche in Frage kommen, sehen die für ihre Einschätzung nötigen Suchangaben einschließlich Alter und Geschlecht, aber nicht Ihren Namen. Erst wenn Sie ein Angebot annehmen, erhält die anbietende Praxis Ihren Namen, Ihre bestätigte E-Mail-Adresse und, falls angegeben, Ihre Telefonnummer.
3.4 Patient:innen: Profil, Terminbuchung und Zahlung
In Ihrem Profil können Sie Geschlecht, Sprachen, Telefonnummer und Rechnungsanschrift hinterlegen. Vor einer verbindlichen Terminbuchung benötigen wir Ihr Geburtsdatum und eine vollständige Rechnungsanschrift, weil die Praxis diese Angaben für Behandlung und Rechnung braucht. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.
Wenn Sie einen Termin anfragen oder buchen, übermitteln wir die Buchungsdaten und eine gegebenenfalls von Ihnen eingegebene Beschreibung an die gewählte Praxis. In einer bestehenden Behandlungsbeziehung sieht die Praxis Ihren Namen, Ihre Geschlechtsangabe, Sprachen, Rechnungsanschrift, Telefonnummer, bestätigte E-Mail-Adresse und Ihr Geburtsdatum. Für diese Daten ist die Praxis verantwortlich (Abschnitt 3.1). Sie verarbeitet Gesundheitsdaten zur Behandlung auf Grundlage von Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b BDSG.
Zahlungen wickelt die Praxis über Stripe ab. Für die Zahlung werden Sie auf eine Seite von Stripe geleitet; dabei erhält Stripe Ihre E-Mail-Adresse, den Betrag, die Bezeichnung der Leistung und Ihre Zahlungsdaten. Wir selbst speichern keine Kartendaten. Rechnungen stellt die Praxis aus; wir erzeugen und speichern sie in deren Auftrag.
3.5 Patient:innen: Kostenerstattungs-Assistent
Mit dem Kostenerstattungs-Assistenten können gesetzlich Versicherte einen Antrag auf Kostenerstattung vorbereiten. Dafür speichern wir die von Ihnen eingegebenen Angaben, insbesondere Krankenkasse, Versichertennummer, Name, Geburtsdatum, Anschrift und Ihre dokumentierten Kontaktversuche bei Praxen. Die Antragsdaten werden verschlüsselt gespeichert. Wir übermitteln den Antrag nicht an Ihre Krankenkasse; Sie reichen die erzeugten Unterlagen selbst ein. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO und, soweit die Angaben Rückschlüsse auf Ihre Gesundheit zulassen, Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).
3.6 Behandler:innen: Profil, Nachweise und Prüfung
Im Profil speichern wir fachliche Angaben, Kontaktdaten, Schwerpunkte, Beschreibungstexte und Bilder sowie Ihr Geburtsdatum und Ihr Geschlecht. Das Geburtsdatum dient der Altersprüfung und wird nicht veröffentlicht. Freiwillige Selbstauskünfte, zum Beispiel zu Herkunft, Religion oder sexueller Orientierung, verarbeiten wir nur mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO); sie werden nicht im Verzeichnis veröffentlicht.
Vor der Freigabe prüfen wir Ihre Identität und Ihre berufliche Qualifikation anhand der hochgeladenen Nachweise. Nur dazu berechtigte Mitarbeitende können eingereichte Profile und Nachweise einsehen. Nach der Entscheidung über Freigabe oder Ablehnung löschen wir die Nachweisdokumente; gespeichert bleibt ein Vermerk über die Prüfung. Rechtsgrundlagen sind Art. 6 Abs. 1 S. 1 lit. b DSGVO und unser berechtigtes Interesse, nur qualifizierte Behandler:innen zuzulassen (Art. 6 Abs. 1 S. 1 lit. f DSGVO).
3.7 Öffentliches Behandlerverzeichnis
Nach der Freigabe veröffentlichen wir die dafür vorgesehenen Profilangaben: Titel, Name, Berufsbezeichnung, Sprachen, Sitzungsformat, Schwerpunkte, Therapieverfahren, Orte, Beschreibungstexte, Kostenträger, Praxisanschriften, Praxistelefon, Praxis-E-Mail-Adresse, Social-Media-Links, Video-Link, Praxisname und Fotos sowie Terminarten, Preise und freie Termine. Geburtsdatum, Selbstauskünfte und Nachweise werden nicht veröffentlicht. Ihr Geschlecht wird nicht im Profil angezeigt, kann aber als Suchfilter verwendet werden. Das Verzeichnis ist in der App und auf mentcape.com öffentlich abrufbar und kann von Suchmaschinen erfasst werden. Änderungen können zeitversetzt sichtbar werden. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO.
3.8 Praxisbetrieb, Dokumentation und Videositzungen
Nach der Freigabe können Behandler:innen in der App Behandlungsbeziehungen, Termine, Behandlungsdokumentation und Rechnungen führen. Dabei werden Gesundheitsdaten von Patient:innen verarbeitet. Verantwortlich ist die jeweilige Praxis; wir verarbeiten diese Daten in ihrem Auftrag (Abschnitt 3.1). Unsere Mitarbeitenden im Support sehen Namen und Kontaktdaten, aber keine Behandlungsinhalte.
Videositzungen finden über den Dienst RED connect der RED Medical Systems GmbH statt oder über ein von der Praxis gewähltes System. Wir übermitteln dem Videodienst keine Angaben zu Ihrer Person, zeichnen Sitzungen nicht auf und erhalten keine Inhalte der Sitzung. Nutzt die Praxis ein eigenes Videosystem, gelten dessen Datenschutzhinweise.
3.9 Abonnement für Behandler:innen
Für den Probezugang und das Abonnement legen wir bei unserem Zahlungsdienstleister Stripe einen Kundendatensatz mit Name, Anschrift, gegebenenfalls Telefonnummer, Praxisname und Praxis-E-Mail-Adresse an. Zahlungsdaten geben Sie unmittelbar bei Stripe ein. Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO; Abrechnungsunterlagen bewahren wir nach Art. 6 Abs. 1 S. 1 lit. c DSGVO auf. Richten Sie ein Stripe-Konto für Zahlungen von Patient:innen ein, erhebt Stripe die dafür nötigen Angaben zur Identitätsprüfung in eigener Verantwortung.
3.10 Dienstleister und Empfänger
Für die App setzen wir folgende Dienstleister ein. Soweit sie Daten in unserem Auftrag verarbeiten, bestehen Verträge zur Auftragsverarbeitung.
Anmeldung: Clerk, Inc., USA. Clerk versendet die Einmalcodes und verwaltet die Anmeldesitzung.
Hosting und Auslieferung: Hetzner Online GmbH, Deutschland (Anwendung und Datenbank), und Cloudflare, Inc., USA (Auslieferung und Schutz der App, Speicherung von Dateien und Datensicherungen).
Zahlungen und Abonnements: Stripe Payments Europe, Limited, Irland. Stripe verarbeitet Zahlungsdaten teilweise in eigener Verantwortung, etwa zur Betrugsprävention und zur Erfüllung gesetzlicher Pflichten.
Videositzungen: RED Medical Systems GmbH, Deutschland.
Datensicherung: Amazon Web Services EMEA SARL, Luxemburg. Die Sicherungen sind verschlüsselt.
E-Mail-Versand: Resend, USA. Die E-Mails enthalten nur einen neutralen Hinweis und keine Angaben zu Ihrer Behandlung.
Clerk, Cloudflare und Resend haben ihren Sitz in den USA; auch bei Stripe kann eine Verarbeitung in den USA stattfinden. Cloudflare leitet Anfragen über sein weltweites Netz. Für diese Übermittlungen gelten die in Abschnitt 1.3 beschriebenen Garantien. Behandler:innen erhalten die in den Abschnitten 3.3 und 3.4 genannten Daten ihrer Patient:innen.
3.11 Protokolle und Sicherheit
Zugriffe werden nach Rolle und Zuständigkeit beschränkt. Sicherheitsrelevante und fachliche Änderungen protokollieren wir zweckgebunden. Zur Fehleranalyse und zum Schutz der App führen wir technische Protokolle, die auch personenbezogene Daten enthalten können; sie werden nach 14 Tagen gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 S. 1 lit. f DSGVO). Analyse- oder Werbedienste setzen wir in der App nicht ein.
3.12 Speicherdauer und Löschung
Ergänzend zu Abschnitt 1.4 gelten in der App folgende Fristen:
Behandlungsdokumentation: zehn Jahre nach Abschluss der Behandlung (§ 630f Abs. 3 BGB).
Terminbuchungen und Nachweise über Sitzungen: zehn Jahre.
Rechnungen: bis zum Ablauf des achten Kalenderjahres nach der Ausstellung.
Angaben zu beendeten Behandlungsbeziehungen: bis zum Ablauf des dritten Kalenderjahres nach dem Ende.
Nachweisdokumente von Behandler:innen: bis zur Entscheidung über Freigabe oder Ablehnung.
Technische Protokolle: 14 Tage. Datensicherungen werden regelmäßig überschrieben.
Suchangaben, Angaben im Kostenerstattungs-Assistenten und Benachrichtigungen speichern wir, solange Ihr Konto besteht, und löschen sie auf Ihren Wunsch, soweit keine Aufbewahrungspflichten entgegenstehen.
Wenn Sie Ihr Konto schließen oder Daten löschen lassen möchten, schreiben Sie uns an die in Abschnitt 1.1 genannte Adresse. Wir schließen das Konto und löschen die Daten, für die keine Aufbewahrungspflicht besteht. Die Bestätigungen nach Abschnitt 3.2 bewahren wir auf, solange wir sie zum Nachweis benötigen.
4. Datenverarbeitung auf Social Media-Plattformen
Wir unterhalten Profile in sozialen Netzwerken, um dort über Mentcape zu informieren und mit Interessierten zu kommunizieren. Auf unserer Website werden keine Social-Media-Feeds oder Tracking-Pixel dieser Netzwerke eingebettet; eine Verbindung zum jeweiligen Netzwerk entsteht erst durch einen bewussten Klick auf den externen Link. Bei der Nutzung der Plattformen verarbeiten deren Betreiber Daten auch für Analyse- und Werbezwecke und können Nutzungsprofile erstellen. Eine Verarbeitung außerhalb des EWR kann nicht ausgeschlossen werden.
Wenn Nutzerinnen und Nutzer über unsere Profile mit uns interagieren oder uns Nachrichten senden, verarbeiten wir Profil-, Kommunikations- und Inhaltsdaten zur Beantwortung und Öffentlichkeitsarbeit. Rechtsgrundlage ist je nach Anlass Art. 6 Abs. 1 S. 1 lit. b oder lit. f DSGVO.
Soweit uns die Betreiber zusammengefasste Statistiken über die Nutzung unserer Profile bereitstellen (Insights), sind wir dafür gemeinsam mit dem jeweiligen Betreiber verantwortlich (Art. 26 DSGVO). Die Betreiber haben dazu Vereinbarungen veröffentlicht und erfüllen danach die Informationspflichten und die Betroffenenrechte; Sie können Ihre Rechte auch uns gegenüber geltend machen. Meta: https://www.facebook.com/legal/terms/page_controller_addendum, LinkedIn: https://legal.linkedin.com/pages-joint-controller-addendum.
4.1 Instagram
Wir unterhalten ein Profil auf Instagram. Betreiber ist Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Die Datenschutzerklärung ist hier abrufbar: https://privacycenter.instagram.com/policy.
4.2 TikTok
Wir unterhalten ein Profil auf TikTok (@doktorulrichweber). Betreiber für Nutzer:innen im EWR sind TikTok Technology Limited, The Sorting Office, Ropemaker Place, Dublin 2, D02 HD23, Irland, und TikTok Information Technologies UK Limited. Die Datenschutzerklärung ist abrufbar unter https://www.tiktok.com/legal/page/eea/privacy-policy/de.
4.3 YouTube
Wir unterhalten ein Profil auf YouTube (@doktorulrichweber). Betreiber ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Datenschutzerklärung ist abrufbar unter https://policies.google.com/privacy?hl=de.
4.4 LinkedIn
Wir unterhalten ein Profil auf LinkedIn. Betreiber ist LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland. Die Datenschutzerklärung ist abrufbar unter https://www.linkedin.com/legal/privacy-policy?_l=de_DE. Einstellungen für Werbeanzeigen sind unter https://www.linkedin.com/psettings/guest-controls/retargeting-opt-out verfügbar.
5. Änderungen dieser Datenschutzerklärung
Wir behalten uns das Recht vor, diese Datenschutzerklärung mit Wirkung für die Zukunft zu ändern. Eine aktuelle Version ist jeweils hier verfügbar.
6. Fragen und Kommentare
Für Fragen oder Kommentare bezüglich dieser Datenschutzerklärung stehen wir gern unter den oben angegebenen Kontaktdaten zur Verfügung.