Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

E-Mail: sebastian@basen.health

Ansprechpartner für Datenschutz: Sebastian Weyer, sebastian@basen.health. Einen Datenschutzbeauftragten haben wir nicht benannt.

2. Überblick

• Wir setzen keine Werbe-Cookies ein.
• Google Analytics 4 wird nur mit Ihrer ausdrücklichen Einwilligung geladen. Ohne Einwilligung setzen wir keine Analyse-Cookies und stellen keine Verbindung zu Google Analytics her (Abschnitt 8).
• Vor Ihrer ersten Interaktion mit dem Kontaktformular besteht keine Verbindung zu Cloudflare (Abschnitt 5).
• Schriftarten werden von unserem eigenen Server geladen; es werden keine Anfragen an Google Fonts gestellt.
• Technisch notwendig sind die Auslieferung der Website (Abschnitt 3), der Schutz des Kontaktformulars (Abschnitt 5) und die Speicherung Ihrer Cookie-Entscheidung in Ihrem Browser (Abschnitt 8).
• Links zu anderen Websites (etwa Bosch, Founders Factory oder GKV-Spitzenverband) übermitteln erst beim Anklicken Daten an den jeweiligen Anbieter.

3. Hosting und Server-Logdateien

Unsere Website wird über Firebase Hosting, einen Dienst der Google Cloud, bereitgestellt. Anbieter ist:

Beim Aufruf der Website werden technisch notwendige Daten verarbeitet: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, Referrer-URL sowie Browsertyp und Betriebssystem. Die Auslieferung erfolgt über das Content Delivery Network von Google, damit die Seite schnell und ausfallsicher erreichbar ist.

Zweck ist die Bereitstellung der Website sowie die Gewährleistung von Stabilität und Sicherheit. Rechtsgrundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Server-Logdateien bewahren wir als sicherheitsrelevante Protokolle 12 Monate auf und löschen sie danach.

Unsere Server laufen in der Google-Cloud-Region europe-west3 (Frankfurt am Main). Mit Google besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine Übermittlung an Google LLC in den USA ist nicht ausgeschlossen; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die EU-Standardvertragsklauseln. Weitere Informationen: Datenschutzerklärung von Google.

4. Kontaktformular

Wenn Sie uns über das Kontaktformular schreiben, verarbeiten wir Vorname, Nachname, dienstliche E-Mail-Adresse, Telefonnummer, Krankenhaus bzw. Einrichtung, Ihre Rolle und – falls angegeben – Ihre Nachricht. Wir nutzen diese Daten, um Ihre Anfrage zu bearbeiten und einen Gesprächstermin mit Ihnen abzustimmen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage), hilfsweise unser berechtigtes Interesse an der effizienten Bearbeitung von Anfragen nach Art. 6 Abs. 1 lit. f DSGVO. Das Formular lässt sich nur absenden, wenn Sie mit dem Kontrollkästchen bestätigen, dass wir Sie zu Ihrer Anfrage telefonisch und per E-Mail kontaktieren dürfen.

Die Formulardaten werden an unseren Server bei Google Cloud in Frankfurt am Main (Region europe-west3) übermittelt und von dort in unserem CRM-System Attio gespeichert: als Personeneintrag mit Name, E-Mail, Telefon und Rolle, als Eintrag in der Lead-Pipeline (Kanal „Website“) und als Notiz mit Ihrer Nachricht. Ist Ihre E-Mail-Adresse im CRM bereits vorhanden, ändern wir die vorhandenen Daten nicht und hängen nur eine Notiz an.

Zum Schutz vor Missbrauch begrenzen wir die Zahl der Anfragen je IP-Adresse; dafür speichern wir die IP-Adresse ausschließlich pseudonymisiert als Hashwert (HMAC) für die Dauer von einer Stunde. Technische Angaben zum Verarbeitungsstand einer Anfrage, die keine Namen oder Kontaktdaten enthalten, werden nach spätestens sieben Tagen automatisch gelöscht. Kopien dieser Einträge in Datensicherungen werden spätestens 30 Tage später entfernt. Rechtsgrundlage hierfür ist unser berechtigtes Interesse an einem sicheren Betrieb nach Art. 6 Abs. 1 lit. f DSGVO.

Die Angabe Ihrer Daten ist freiwillig. Ohne die Pflichtangaben können wir Ihre Anfrage über das Formular jedoch nicht bearbeiten; Sie können uns alternativ per E-Mail schreiben (Abschnitt 9).

5. Schutz vor Spam: Cloudflare Turnstile

Um unsere Formulare (Kontaktformular, Klinik-Check und FAQ-Frage) vor automatisierten Anfragen (Bots) zu schützen, nutzen wir Cloudflare Turnstile. Anbieter ist:

Das Turnstile-Skript wird erst geladen, wenn Sie ein Feld in einem dieser Formulare anklicken oder berühren. Vorher besteht keine Verbindung zu Cloudflare. Danach werden Ihre IP-Adresse sowie technische Informationen über Browser und Gerät an Cloudflare übermittelt, um zu prüfen, ob die Anfrage von einem Menschen stammt. Beim Absenden übermittelt unser Server das erzeugte Token zusammen mit Ihrer IP-Adresse an die Prüfschnittstelle von Cloudflare.

Nach der Dokumentation von Cloudflare setzt das Turnstile-Widget in der von uns genutzten Standardkonfiguration kein Cookie; das Token ist einmalig gültig. Turnstile setzt keine Cookies zu Werbe- oder Trackingzwecken.

Rechtsgrundlage ist unser berechtigtes Interesse am Schutz unserer Website vor Missbrauch nach Art. 6 Abs. 1 lit. f DSGVO; der Zugriff auf Informationen in Ihrem Endgerät ist nach § 25 Abs. 2 Nr. 2 TDDDG für den von Ihnen gewünschten Dienst unbedingt erforderlich. Cloudflare, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die EU-Standardvertragsklauseln. Weitere Informationen: Datenschutzerklärung von Cloudflare.

6. Klinik-Check

Mit dem Klinik-Check können Sie Krankenhäuser anhand öffentlicher Daten des GKV-Spitzenverbands je Krankenhaus nach § 275c Abs. 4 SGB V vergleichen. Die Vergleichsdaten werden von unserem Server geladen und in Ihrem Browser ausgewertet; dabei findet keine Verbindung zu Dritten statt.

Um Ihnen den Vergleich anzuzeigen, benötigen wir Ihre dienstliche E-Mail-Adresse und mindestens ein ausgewähltes Krankenhaus. Diese Angaben werden zusammen mit Sprache und Zeitpunkt an uns übermittelt und in unserem CRM-System Attio gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des von Ihnen angeforderten Vergleichs).

Das Kontrollkästchen „Basen darf mich zu meiner Auswertung per E-Mail kontaktieren“ ist freiwillig. Nur wenn Sie es ankreuzen, dürfen wir Sie zu Ihrer Auswertung per E-Mail kontaktieren. Rechtsgrundlage ist dann Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Sie jederzeit mit Wirkung für die Zukunft widerrufen können, etwa per E-Mail an sebastian@basen.health.

7. Fragen über das FAQ-Formular

Wenn Sie uns über das Formular im Bereich „Häufige Fragen“ eine Frage stellen, verarbeiten wir Ihre Frage und Ihre E-Mail-Adresse, um Ihnen per E-Mail zu antworten. Die Angaben werden an uns übermittelt und in unserem CRM-System Attio gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Frage auf eine Zusammenarbeit gerichtet ist, im Übrigen unser berechtigtes Interesse an der Beantwortung von Anfragen nach Art. 6 Abs. 1 lit. f DSGVO. Das Formular lässt sich nur absenden, wenn Sie mit dem Kontrollkästchen bestätigen, dass wir Ihnen per E-Mail antworten dürfen.

8. Webanalyse: Google Analytics 4

Mit Ihrer Einwilligung nutzen wir Google Analytics 4, um zu verstehen, wie unsere Website genutzt wird. Anbieter ist:

Google Analytics wird erst geladen, nachdem Sie im Banner auf „Akzeptieren“ geklickt haben. Wenn Sie „Ablehnen“ wählen oder nichts auswählen, werden kein Google-Skript geladen, keine Google-Cookies gesetzt und keine Anfragen an Google gesendet. Die Schaltflächen im Banner sind gleich gestaltet, und nichts ist vorausgewählt.

Verarbeitet werden: gekürzte IP-Adresse (die Anonymisierung ist aktiv), Geräte- und Browserangaben, aufgerufene Seiten sowie Interaktionen auf der Seite. Google Signals und Werbe-Personalisierung sind deaktiviert. Google Analytics setzt die Cookies _ga und _ga_[Mess-ID] mit einer Laufzeit von 2 Jahren. Ihre Entscheidung im Banner speichern wir im Speicher Ihres Browsers (Schlüssel „basen-consent“), bis Sie diesen löschen; dieser Eintrag enthält keine personenbezogenen Daten.

Die Daten in Google Analytics werden nach 2 Monaten gelöscht. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG. Sie können Ihre Einwilligung jederzeit über den Link Cookie-Einstellungen widerrufen. Bei einem Widerruf entfernen wir die Google-Analytics-Cookies aus Ihrem Browser und laden die Seite ohne Analyse neu. Der Widerruf wirkt für die Zukunft.

Google kann Daten in die USA übermitteln. Die Übermittlung stützen wir auf das EU-US Data Privacy Framework und auf die EU-Standardvertragsklauseln. Mit Google besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Weitere Informationen: Datenschutzerklärung von Google.

9. Kontakt per E-Mail

Wenn Sie uns an info@basen.health oder sebastian@basen.health schreiben, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen und Ihre Nachricht, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, sofern es um eine vorvertragliche Anfrage geht, sonst unser berechtigtes Interesse an der Beantwortung von Anfragen nach Art. 6 Abs. 1 lit. f DSGVO. Unsere E-Mails werden bei Google Workspace (Google Ireland Limited, Anschrift oben) verarbeitet; mit Google besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

10. CRM-System Attio

Anfragen aus unseren Formularen verwalten wir im CRM-System Attio. Anbieter ist:

Ihre Daten werden in der EU-Datenregion von Attio gespeichert. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Wir haben mit Attio einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Weitere Informationen: Datenschutzerklärung von Attio.

11. Empfänger und Drittlandübermittlung

Wir geben Ihre Daten nur an die in dieser Erklärung genannten Auftragsverarbeiter weiter, soweit es für die genannten Zwecke erforderlich ist:

• Google Ireland Limited: Firebase Hosting, Cloud Run und Firestore in der Region europe-west3 (Abschnitt 3 und 4), Google Workspace (Abschnitt 9) und, nur mit Ihrer Einwilligung, Google Analytics (Abschnitt 8).
• Cloudflare, Inc.: Turnstile (Abschnitt 5).
• Attio Limited: CRM-System (Abschnitt 10).

Eine Weitergabe an Bosch Health Campus als Entwicklungspartner oder an Investoren findet nicht statt. Mit allen Auftragsverarbeitern schließen wir Verträge nach Art. 28 DSGVO. Übermittlungen in Drittländer, insbesondere in die USA, stützen wir auf das EU-US Data Privacy Framework oder auf die EU-Standardvertragsklauseln.

12. Speicherdauer

Kontakt- und Anfragedaten in unserem CRM-System überprüfen wir jährlich und löschen sie, sobald kein Geschäftszweck mehr besteht, spätestens jedoch, wenn Sie Ihre Einwilligung widerrufen oder die Löschung verlangen und keine gesetzliche Aufbewahrungspflicht entgegensteht. Gesetzliche Aufbewahrungspflichten, insbesondere aus dem Handels- und Steuerrecht, bleiben unberührt. Die Fristen für Server-Logdateien, technische Daten, Datensicherungen und Google Analytics sind in den jeweiligen Abschnitten genannt.

13. Ihre Rechte

Sie haben nach der DSGVO das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Widerspruchsrecht: Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Einer Verarbeitung zum Zweck der Direktwerbung können Sie jederzeit und ohne weitere Voraussetzungen widersprechen (Art. 21 Abs. 2 DSGVO).

Für die Ausübung Ihrer Rechte genügt eine E-Mail an sebastian@basen.health. Wir beantworten Ihre Anfrage innerhalb eines Monats.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig für uns ist:

14. Hinweis zu unserem Produkt

Diese Datenschutzerklärung gilt für die Website basen.health. Daten, die Krankenhäuser uns im Rahmen eines Projekts bereitstellen, verarbeiten wir als Auftragsverarbeiter im Auftrag des jeweiligen Krankenhauses auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO; verantwortlich für diese Daten bleibt das Krankenhaus. Beim Betrieb in der Infrastruktur des Krankenhauses (On-Premises) verbleiben die Daten im Krankenhaus. Beim Betrieb als Cloud-Dienst werden sie ausschließlich in Deutschland in einer nach BSI C5 attestierten Google-Cloud-Umgebung verarbeitet. Die Angabe „BSI C5-zertifiziertes Hosting in Deutschland“ auf unserer Website bezieht sich auf diese Kundendaten im Produkt, nicht auf die Website selbst.

15. Keine automatisierte Entscheidungsfindung, Änderungen

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet auf dieser Website nicht statt. Wir passen diese Datenschutzerklärung an, wenn sich unsere Website oder die eingesetzten Dienste ändern. Es gilt die jeweils hier veröffentlichte Fassung.