Praxiloom

Datenschutzerklärung

Entwurf – vor Veröffentlichung Platzhalter ausfüllen und rechtlich prüfen lassen.

Stand: 27. Oktober 2026

Mit dieser Datenschutzerklärung informieren wir Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir beim Besuch unserer Website, beim Kauf einer Lizenz, beim Betrieb unseres Lizenzservers und bei der Kontaktaufnahme verarbeiten. Außerdem erklären wir, welche Daten die Software Praxiloom selbst verarbeitet – und welche nicht.

1. Verantwortlicher

Noussaier Ben Chiekh, Praxiloom
Am Berggarten 19
65207 Wiesbaden
Deutschland
E-Mail: support@praxiloom.de
Telefon: 004915231388649

Ein Datenschutzbeauftragter ist nicht benannt, da hierfür keine gesetzliche Pflicht besteht. Bei Fragen zum Datenschutz wenden Sie sich bitte an die oben genannte E-Mail-Adresse.

2. Das Wichtigste in Kürze

  • Auf unserer Website setzen wir keine Analyse-, Tracking- oder Marketingdienste ein und setzen selbst keine Cookies.
  • Patientendaten, die Sie in Praxiloom erfassen, werden ausschließlich lokal und verschlüsselt auf den Rechnern Ihrer Praxis gespeichert. Wir haben darauf keinen Zugriff und erhalten diese Daten nicht.
  • Für Kauf und Lizenzverwaltung verarbeiten wir nur die dafür nötigen Daten (z. B. Name bzw. Firma, E-Mail-Adresse, Lizenzdaten, einen pseudonymen Rechner-Code).
  • Die Zahlungsabwicklung erfolgt über Stripe; Website und Lizenzserver werden bei Cloudflare betrieben.

3. Hosting der Website und des Lizenzservers (Cloudflare)

Unsere Website und unser Lizenzserver werden über die Infrastruktur der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA („Cloudflare“) bereitgestellt (Content Delivery Network, Hosting, Schutz vor Angriffen). Beim Aufruf unserer Website werden technisch zwangsläufig Verbindungsdaten verarbeitet, insbesondere:

  • IP-Adresse des anfragenden Geräts,
  • Datum und Uhrzeit des Zugriffs,
  • aufgerufene Seite bzw. Datei, übertragene Datenmenge, HTTP-Statuscode,
  • Browsertyp, Betriebssystem und ggf. Referrer-URL (die zuvor besuchte Seite).

Zweck: Auslieferung der Website, Gewährleistung der Stabilität und Sicherheit (z. B. Abwehr von DDoS-Angriffen und Missbrauch). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren und funktionsfähigen Internetangebot.

Cloudflare verarbeitet diese Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Cloudflare stellt uns lediglich zusammengefasste, statistische Werte (z. B. Anzahl der Anfragen) zur Verfügung; ein Analyse-Skript (etwa „Cloudflare Web Analytics“) setzen wir nicht ein. Die Daten können in den USA verarbeitet werden. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert; die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DSGVO) sowie ergänzend auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Die Speicherdauer der Verbindungsdaten bei Cloudflare richtet sich nach deren Vorgaben; wir selbst speichern keine Server-Logfiles. Weitere Informationen: Datenschutzerklärung von Cloudflare.

4. Cookies, Analyse und Tracking

Wir selbst setzen auf unserer Website keine Cookies und verwenden keine Analyse-, Tracking-, Werbe- oder Social-Media-Dienste. Schriftarten und sonstige Inhalte werden von unserem eigenen Server bzw. über Cloudflare ausgeliefert; Inhalte externer Anbieter (z. B. Google Fonts, YouTube, Karten) binden wir nicht ein. Ein Cookie-Banner ist deshalb nicht erforderlich. Zu möglichen sicherheitsbezogenen Cookies von Cloudflare siehe Abschnitt 3; zu Cookies auf der Bezahlseite von Stripe siehe Abschnitt 5.

5. Kauf einer Lizenz und Zahlungsabwicklung (Stripe)

Wenn Sie eine Lizenz kaufen, werden Sie auf eine von Stripe betriebene Bezahlseite (Stripe Checkout) weitergeleitet. Zahlungsdienstleister ist die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland („Stripe“).

Verarbeitete Daten: Name bzw. Firma, E-Mail-Adresse, Rechnungsanschrift (Land; ggf. vollständige Adresse), ggf. Umsatzsteuer-Identifikationsnummer, gekauftes Produkt und Preis, Zahlungsmethode und Zahlungsdaten (z. B. Kartendaten), Zeitpunkt der Bestellung, Zustimmungserklärungen im Bestellprozess (z. B. zu den Lizenzbedingungen und – bei Verbrauchern – zum vorzeitigen Beginn der Vertragserfüllung) sowie beim Monatsabo Abonnementdaten (Laufzeit, Verlängerung, Kündigung). Vollständige Kartendaten erhalten wir nicht; diese verarbeitet ausschließlich Stripe.

Zwecke: Vertragsschluss und -abwicklung, Zahlungsabwicklung, Erstellung und Versand von Rechnungen und Zahlungsbelegen (Rechnungsstellung erfolgt über Stripe), Verwaltung von Abonnements, Berechnung der Umsatzsteuer, Betrugsprävention, Erfüllung steuer- und handelsrechtlicher Pflichten.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungs- und Nachweispflichten), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrugsprävention und sicherer Zahlungsabwicklung).

Stripe verarbeitet Daten teils in unserem Auftrag, teils als eigenständig Verantwortlicher (insbesondere zur Erfüllung eigener regulatorischer Pflichten, z. B. Geldwäscheprävention, und zur Betrugserkennung). Auf der Stripe-Bezahlseite setzt Stripe eigene, für Sicherheit und Betrugsprävention erforderliche Cookies bzw. vergleichbare Technologien ein. Stripe kann Daten auch an die Stripe, Inc. in den USA übermitteln; diese ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend werden Standardvertragsklauseln verwendet. Weitere Informationen: Datenschutzerklärung von Stripe.

Die Angabe der für den Kauf erforderlichen Daten ist für den Vertragsschluss notwendig; ohne diese Daten können wir keine Lizenz verkaufen.

6. Lizenzserver und Lizenzaktivierung

Nach dem Kauf erzeugt unser Lizenzserver (betrieben bei Cloudflare, siehe Abschnitt 3) Ihren Lizenzschlüssel. Dazu verarbeiten und speichern wir:

  • Name bzw. Firma und E-Mail-Adresse des Lizenznehmers,
  • Lizenzdaten (Lizenzart, Lizenzschlüssel, Kauf- bzw. Beginn- und Ablaufdatum, Status, Anzahl aktivierter Rechner),
  • den Rechner-Code je aktiviertem Rechner: einen aus technischen Merkmalen des Rechners berechneten Hashwert, aus dem sich der Rechner, seine Inhalte oder Ihre Patientendaten nicht ablesen lassen. Da er Ihrer Lizenz zugeordnet ist, behandeln wir ihn als pseudonymes personenbezogenes Datum,
  • die zugehörigen Stripe-Kennungen (z. B. Kunden-, Zahlungs- und Abonnement-ID),
  • bei einer Online-Aktivierung oder Lizenzprüfung durch die Software zusätzlich die IP-Adresse und den Zeitpunkt der Anfrage.

Zwecke: Ausstellung und Zustellung des Lizenzschlüssels, Bindung der Lizenz an bis zu zwei Rechner, Prüfung der Gültigkeit (insbesondere beim Monatsabo; die Software fragt dazu regelmäßig, höchstens einmal täglich, nach einer Verlängerung), Unterstützung bei Rechnerwechsel und Support, Schutz vor Lizenzmissbrauch. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor unberechtigter Nutzung).

Ihren Aktivierungscode zeigen wir direkt nach der Zahlung an; zusätzlich steht er auf der Rechnung bzw. dem Zahlungsbeleg, den Stripe Ihnen per E-Mail schickt. Soweit wir eigene E-Mails versenden (z. B. Aktivierungscode, Eingangsbestätigungen für Widerruf und Kündigung), nutzen wir den Versanddienst Resend (Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) als Auftragsverarbeiter; eine Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

7. Widerrufs- und Kündigungsfunktion

Wenn Sie über unsere Website die Funktion „Vertrag widerrufen“ oder „Verträge hier kündigen“ nutzen, verarbeiten wir die dort angegebenen Daten (Name, Angaben zur Identifizierung des Vertrags wie Lizenzschlüssel oder Bestellnummer, E-Mail-Adresse für die Eingangsbestätigung, ggf. freiwillige Angaben) sowie Datum und Uhrzeit des Eingangs. Zweck ist die Bearbeitung Ihres Widerrufs bzw. Ihrer Kündigung und die gesetzlich vorgeschriebene Eingangsbestätigung. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und lit. c DSGVO (§§ 312k, 356a BGB). Eine Registrierung oder Anmeldung ist hierfür nicht erforderlich; Tracking findet nicht statt.

8. Kontakt per E-Mail

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen (falls angegeben), den Inhalt Ihrer Nachricht sowie Datum und Uhrzeit, um Ihre Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage mit einem Vertrag oder dessen Anbahnung zusammenhängt (z. B. Support), ansonsten Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Unser E-Mail-Postfach wird bei einem externen E-Mail-Anbieter betrieben, der als Auftragsverarbeiter für uns tätig ist.

Bitte senden Sie uns keine Patientendaten (z. B. Screenshots von Patientenakten oder Datenbankdateien), auch nicht im Rahmen von Supportanfragen. Falls dies für eine Fehleranalyse ausnahmsweise erforderlich erscheint, stimmen wir vorher mit Ihnen ab, wie Daten anonymisiert werden können.

9. Die Software Praxiloom

Lokale Datenhaltung: Alle Daten, die Sie in Praxiloom erfassen (insbesondere Patientenstammdaten, Anamnesen, Diagnosen, Behandlungsdokumentation, Befunde, Dokumente, Termine und Rechnungen), werden ausschließlich lokal und verschlüsselt auf den Rechnern Ihrer Praxis bzw. auf den von Ihnen gewählten Sicherungsmedien gespeichert. Diese Daten werden nicht an uns übermittelt; wir haben darauf keinen Zugriff. Wir sind deshalb hinsichtlich dieser Daten weder Verantwortlicher noch Auftragsverarbeiter. Verantwortlich im Sinne der DSGVO ist allein die jeweilige Praxis.

Internetverbindungen der Software: Praxiloom stellt nur in folgenden Fällen eine Verbindung zum Internet her:

  • Lizenzaktivierung bzw. Lizenzprüfung: Übermittelt werden ausschließlich Lizenzschlüssel und Rechner-Code an unseren Lizenzserver (siehe Abschnitt 6) – keine Praxis- oder Patientendaten. Die Software fragt dabei gelegentlich (höchstens einmal täglich) nach, ob ein Abonnement verlängert wurde.
  • Herunterladen von Updates: nur wenn Sie selbst eine neue Version von unserer Website laden (Cloudflare, siehe oben). Eine automatische Update-Prüfung findet nicht statt.
  • Zugriff von unterwegs (nur wenn Sie ihn unter „Handy-Zugriff“ einschalten): Ihr Praxisrechner hält eine Verbindung zu unserem Vermittlungsdienst bei Cloudflare. Freigegebene Handys erreichen darüber Ihren Praxisrechner. Alle Inhalte (Anfragen, Patientendaten, Dokumente, Passwörter) sind Ende-zu-Ende-verschlüsselt; nur Ihr Praxisrechner und Ihr freigegebenes Handy besitzen die Schlüssel. Wir können die Inhalte nicht lesen und speichern sie nicht. Technisch verarbeitet werden dabei die IP-Adressen der Geräte, eine zufällige Praxis-Kennung, der Lizenzschlüssel des Praxisrechners (zur Prüfung der Berechtigung) sowie Zeitpunkt und Größe der verschlüsselten Nachrichten, ausschließlich zur Weiterleitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
  • Von Ihnen selbst eingerichtete Verbindungen, etwa der Versand von Rechnungen per E-Mail über Ihr eigenes E-Mail-Konto. Diese Übermittlungen erfolgen direkt von Ihrem Rechner an den von Ihnen gewählten Anbieter, in Ihrer Verantwortung und ohne Beteiligung unserer Server.

Handy-Apps (iPhone-App und Web-App): Die Apps zeigen Daten Ihres Praxisrechners an und senden Eingaben (z. B. Termine, Notizen, fotografierte Dokumente) an ihn. Sie erheben für uns keine Daten: kein Benutzerkonto bei uns, keine Analyse, keine Werbung, keine Absturzberichte. Auf dem Handy bleiben nur die Verbindungsdaten zu Ihrem Praxisrechner, ein Geräteschlüssel sowie – wenn Sie es wählen – das Handy-Passwort im geschützten Schlüsselbund. „Verbindung trennen“ entfernt diese Daten vom Gerät. Die Kamera wird nur zum Scannen des QR-Codes und zum Fotografieren von Dokumenten verwendet; Fotos werden nicht in der Fotomediathek abgelegt.

Lokaler KI-Assistent und Diktat (optional): Der KI-Assistent kann mit der Software Ollama betrieben werden, die Diktatfunktion mit dem Spracherkennungsmodell Whisper. Beide laufen lokal auf Ihrem Rechner; Texte, Audioaufnahmen und Patientendaten werden dabei nicht übermittelt. Lediglich beim einmaligen Herunterladen der Programme bzw. Modelldateien (z. B. von ollama.com bzw. huggingface.co) entstehen Verbindungen zu diesen Anbietern, bei denen technisch Ihre IP-Adresse übertragen wird – keine Praxis- oder Patientendaten.

Optionaler externer KI-Anbieter (Claude von Anthropic): Nur wenn Sie in Praxiloom ausdrücklich einen eigenen API-Schlüssel von Anthropic eintragen und diesen Anbieter auswählen, werden die Inhalte, die Sie an den KI-Assistenten senden, direkt von Ihrem Rechner an Anthropic übermittelt und dort verarbeitet. Dabei kann eine Übermittlung in die USA stattfinden. Den Vertrag mit Anthropic schließt Ihre Praxis selbst ab; wir sind an dieser Datenübermittlung nicht beteiligt und erhalten keine Daten. In Praxiloom können Sie eine Pseudonymisierung aktivieren, bei der Patientennamen durch eine Nummer ersetzt und Geburtsdaten nur als Alter übermittelt werden; Namen in frei formulierten Texten erkennt die Pseudonymisierung nicht in jedem Fall. Bitte beachten Sie: Für eine solche Übermittlung – insbesondere von Gesundheitsdaten (Art. 9 DSGVO) – ist allein Ihre Praxis verantwortlich, einschließlich Rechtsgrundlage, Vertrag zur Auftragsverarbeitung mit dem Anbieter, Absicherung der Drittlandübermittlung, Information der Patientinnen und Patienten sowie Wahrung der beruflichen Schweigepflicht. Informationen von Anthropic: anthropic.com/legal/privacy.

10. Empfänger der Daten

Ihre Daten erhalten nur die oben genannten Dienstleister (Cloudflare, Stripe, Resend sowie unser E-Mail-Anbieter) im jeweils beschriebenen Umfang sowie – soweit gesetzlich erforderlich – Behörden (z. B. Finanzamt) und von Berufs wegen zur Verschwiegenheit verpflichtete Berater (z. B. Steuerberater). Einen Verkauf oder eine Weitergabe Ihrer Daten zu Werbezwecken gibt es nicht.

11. Speicherdauer

  • Verbindungsdaten der Website: nur so lange, wie Cloudflare sie zur Auslieferung und Absicherung benötigt; wir selbst speichern keine Logfiles.
  • Lizenzdaten: für die Dauer der Lizenz; danach bis zum Ablauf der regelmäßigen Verjährungsfrist für Ansprüche aus dem Vertrag (drei Jahre ab Ende des Jahres, in dem die Lizenz endet, §§ 195, 199 BGB). Bei unbefristeten Lizenzen speichern wir die Lizenzdaten, solange die Lizenz genutzt werden kann, damit eine erneute Aktivierung (z. B. nach einem Rechnerwechsel) möglich bleibt; auf Ihren Wunsch löschen wir sie früher, wobei eine spätere Reaktivierung dann einen Kaufnachweis erfordert.
  • Rechnungen, Buchungsbelege und steuerlich relevante Daten: entsprechend den gesetzlichen Aufbewahrungsfristen von bis zu 10 Jahren (§ 147 AO, § 257 HGB). Derzeit gilt für Buchungsbelege wie Rechnungen eine Frist von 8 Jahren, für Bücher, Aufzeichnungen und Jahresabschlüsse von 10 Jahren und für empfangene und versandte Handels- und Geschäftsbriefe (auch E-Mails mit entsprechendem Inhalt) von 6 Jahren, jeweils ab Ende des Kalenderjahres. Während dieser Zeit sind die Daten für andere Zwecke gesperrt.
  • Widerruf und Kündigung: bis zum Ende der Verjährungsfrist für mögliche Ansprüche (in der Regel drei Jahre ab Jahresende), bei steuerlicher Relevanz entsprechend den oben genannten Fristen.
  • E-Mail-Anfragen: bis zur abschließenden Bearbeitung; anschließend werden sie gelöscht, sofern keine Aufbewahrungspflicht (z. B. als Geschäftsbrief) besteht.

12. Ihre Rechte

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

  • Recht auf Auskunft (Art. 15 DSGVO),
  • Recht auf Berichtigung (Art. 16 DSGVO),
  • Recht auf Löschung (Art. 17 DSGVO),
  • Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO),
  • Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), soweit eine Verarbeitung auf Einwilligung beruht,
  • Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO). Für uns zuständig ist: Hessischer Beauftragter für Datenschutz und Informationsfreiheit (datenschutz.hessen.de). Sie können sich auch an die Aufsichtsbehörde Ihres Aufenthaltsorts oder Arbeitsplatzes wenden.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an support@praxiloom.de.

Hinweis für Patientinnen und Patienten: Ihre Behandlungsdaten werden von Ihrer Praxis verarbeitet, nicht von uns. Wir können darauf nicht zugreifen. Bitte richten Sie Anfragen zu diesen Daten direkt an Ihre Praxis.

13. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet durch uns nicht statt.

14. Datensicherheit

Unsere Website und der Lizenzserver sind ausschließlich per verschlüsselter Verbindung (HTTPS/TLS) erreichbar. Zugriffe auf die Verwaltungsoberflächen unserer Dienstleister sind durch starke Passwörter und Zwei-Faktor-Authentifizierung geschützt.

15. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Datenverarbeitung oder die Rechtslage ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.