Datenschutzerklärung (Website und Software SMART‑Pedigree)

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten durch die PiehBerz IT-Solutions UG (haftungsbeschränkt) im Zusammenhang mit der Website, dem Webshop, Kundenkonten, Bestellungen, Lizenzen, Support, Update-Prüfungen, Sicherheitsmeldungen, Newslettern, Online-Veranstaltungen und Cookie-Einstellungen.

1. Verantwortlicher und Verantwortlichkeit

1.1 Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist die PiehBerz IT-Solutions UG (haftungsbeschränkt), Bahnhofstraße 53, 64409 Messel, Deutschland. Die Gesellschaft ist im Handelsregister des Amtsgerichts Darmstadt unter HRB 109511 eingetragen. Geschäftsführer sind Florian Berz und Dr. med. Daniel Pieh; beide sind einzelvertretungsberechtigt.

Kontakt: kontakt@piehberz-it.de.

Ein Datenschutzbeauftragter ist derzeit nicht benannt. Soweit sich eine gesetzliche Benennungspflicht ergibt, werden die Kontaktdaten an dieser Stelle ergänzt.

1.2 Verantwortlichkeit für lokale Patientendaten

Patientendaten und Gesundheitsdaten, die im lokalen Betrieb der Software SMART-Pedigree verarbeitet werden, werden grundsätzlich durch die jeweilige Einrichtung beziehungsweise den jeweiligen Lizenznehmer verarbeitet und verantwortet. PiehBerz IT-Solutions UG (haftungsbeschränkt) betreibt kein zentrales Patientenhosting als eigener Verantwortlicher. Für Supportfälle kann eine Verarbeitung im Auftrag der Einrichtung in Betracht kommen; hierfür ist eine entsprechende Verantwortlichkeits- und Auftragsverarbeitungsgrundlage erforderlich.

2. Zwecke und Rechtsgrundlagen

2.1 Verarbeitungszwecke

Wir verarbeiten personenbezogene Daten insbesondere zur Bereitstellung und Absicherung der Website, zur Bearbeitung von Kontakt- und Supportanfragen, zur Durchführung von Verträgen und Bestellungen, zur Verwaltung von Kundenkonten und Lizenzen, zur Zahlungsabwicklung, zur Durchführung von Update-Prüfungen, zur Verarbeitung und Bearbeitung von Sicherheitsmeldungen, zur Organisation und Durchführung von Online-Veranstaltungen, zum Versand von Newslettern und Einladungen, zur Verwaltung von Cookie-Einwilligungen, zum Schutz vor automatisiertem Missbrauch sowie zur Lizenzvalidierung.

2.2 Rechtsgrundlagen

Soweit die Verarbeitung für die Anbahnung oder Durchführung eines Vertrags erforderlich ist, erfolgt sie auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Gesetzliche Aufbewahrungspflichten werden auf Art. 6 Abs. 1 lit. c DSGVO gestützt. Verarbeitungen für den sicheren Betrieb, die Fehleranalyse, die Abwehr von Missbrauch, Update-Prüfungen, Sicherheitsmeldungen, die Durchführung von Online-Veranstaltungen und die Rechtsverteidigung erfolgen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt jeweils in der sicheren, funktionsfähigen und rechtlich geschützten Bereitstellung unserer Angebote sowie in der Durchführung der von den Teilnehmenden gewünschten Online-Veranstaltungen. Soweit wir Einwilligungen einholen, ist Art. 6 Abs. 1 lit. a DSGVO maßgeblich. Besondere Kategorien personenbezogener Daten verarbeiten wir nur, wenn die hierfür erforderlichen Voraussetzungen des Art. 9 Abs. 2 DSGVO vorliegen.

3. Website, Hosting und Server-Logfiles

3.1 Server-Logfiles

Beim Aufruf unserer Website verarbeitet der Server, soweit technisch anfallend, insbesondere die IP-Adresse, Datum und Uhrzeit des Abrufs, die aufgerufenen Seiten, die Referrer-URL, den Browsertyp und die Browserversion sowie das Betriebssystem. Die Verarbeitung dient dem technisch sicheren und stabilen Betrieb der Website, der Fehleranalyse und der Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Logdaten werden regelmäßig nach sieben Tagen gelöscht. Eine längere Speicherung bis höchstens 30 Tage erfolgt nur anlassbezogen zur Aufklärung konkreter Sicherheits- oder Missbrauchsvorfälle.

3.2 Hosting- und E-Mail-Infrastruktur

Für VPS-Hosting, den Betrieb der Website und weiterer selbst gehosteter Anwendungen, verschlüsselte Backups sowie den Versand von System-E-Mails und Newslettern wird die STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, eingesetzt. Die Verarbeitung erfolgt auf STRATO-Infrastruktur in Deutschland; ein Auftragsverarbeitungsvertrag mit STRATO liegt vor.

3.3 Kontaktformulare, E-Mail-Kommunikation und Zammad-Support

Wenn Sie uns über ein Kontaktformular oder per E-Mail kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Angaben zur Bearbeitung Ihres Anliegens und zur weiteren Kommunikation. Die Formulare für Fehlermeldungen, Verbesserungsvorschläge und Fragen werden mit dem WordPress-Plugin Forminator umgesetzt. Das Supportsystem Zammad wird als selbst gehostete Anwendung auf STRATO-Infrastruktur betrieben. Die Verarbeitung dient insbesondere der Bearbeitung von Supportanfragen, der Fehleranalyse, der Fehlerbehebung und der Vertragserfüllung.

Supporttickets werden grundsätzlich drei Jahre zum Jahresende nach ihrem endgültigen Abschluss gespeichert. Anfragen ohne bestehende Vereinbarung zur Auftragsverarbeitung werden in einem technisch isolierten Supportprozess verarbeitet. In diesem Prozess sollen keine Gesundheits-, genetischen oder Patientendaten übermittelt werden; die Daten werden nach sechs Monaten gelöscht. Sicherheitsmeldungen werden in einer separaten Gruppe des Ticketsystems verarbeitet. Sie werden drei Jahre zum Jahresende nach Abschluss der Bearbeitung gespeichert; eine längere Speicherung erfolgt nur, soweit gesetzliche Dokumentationspflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dies erfordern. Über Kontakt- und Supportkanäle sollen keine Gesundheits- oder genetischen Daten übermittelt werden. Werden solche Daten ausnahmsweise übermittelt, erfolgt eine Verarbeitung nur, soweit sie für den konkreten Supportfall erforderlich ist und die Voraussetzungen einer zulässigen Verarbeitung besonderer Kategorien personenbezogener Daten sowie eine entsprechende Verantwortlichkeits- und Auftragsverarbeitungsgrundlage vorliegen.

3.4 Vereinbarung zur Auftragsverarbeitung

Die Vereinbarung zur Auftragsverarbeitung wird zusammen mit dem Lizenzvertrag geschlossen. Im Webshop wird die Zustimmung zu den AGB und zur Vereinbarung zur Auftragsverarbeitung über eine gemeinsame Checkbox eingeholt. Der vollständige Text der AGB und der Vereinbarung zur Auftragsverarbeitung ist vor dem Abschluss abrufbar und kann gespeichert werden. Bei Angeboten außerhalb des Webshops wird die Vereinbarung zur Auftragsverarbeitung dem Angebot als Anlage beigefügt. Nach dem Abschluss erhält die Einrichtung den vollständigen Text der Vereinbarung zur Auftragsverarbeitung zusätzlich per E-Mail.

Für den Nachweis des Vertragsschlusses verarbeiten wir nur die hierfür erforderlichen Vertrags- und Kontaktdaten, den Zeitpunkt des Abschlusses, die Dokumentenversion und die Zustimmungserklärung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und, soweit die Verarbeitung zur Nachweisführung oder Rechtsverteidigung erforderlich ist, Art. 6 Abs. 1 lit. f DSGVO.

4. Shop, Kundenkonto, Verträge und Zahlungen

4.1 Vertrags- und Kontodaten

Im Zusammenhang mit Bestellungen, Kundenkonten und Vertragsbeziehungen verarbeiten wir insbesondere Kontakt- und Unternehmensdaten, Vertrags-, Bestell-, Rechnungs- und Lizenzdaten, Zahlungsinformationen sowie Vertragskommunikation. Die Verarbeitung dient der Vertragsanbahnung und Vertragsdurchführung, der Verwaltung von Kundenkonten und Lizenzen sowie der Rechnungsstellung. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. c DSGVO.

4.2 Zahlungsdienstleister Stripe

Für Kreditkartenzahlungen und die Betrugsprävention wird Stripe Payments Europe, Ltd., Dublin, Irland, eingesetzt. Je nach konkreter Verarbeitung kann Stripe als eigener Verantwortlicher oder als Auftragsverarbeiter handeln. Stripe kann hierfür insbesondere Zahlungs-, Bestell-, Kontakt-, Geräte- und technische Daten verarbeiten. Maßgeblich sind die jeweilige Einbindung, die konkrete Zahlungsart und die hierfür geltenden Datenschutzinformationen.

4.3 Folgen der Nichtbereitstellung

Erforderliche Angaben werden im jeweiligen Formular oder Bestellprozess als Pflichtangaben gekennzeichnet. Ohne die erforderlichen Daten kann ein Vertragsschluss, die Zahlungsabwicklung, die Lizenzverwaltung oder die Bearbeitung eines Supportfalls gegebenenfalls nicht möglich sein.

5. Newsletter und Einladungen zu Veranstaltungen

5.1 Newsletter

Für den Versand des Newsletters sowie von Einladungen und Informationen zu unseren Online-Informationsveranstaltungen verarbeiten wir insbesondere die E-Mail-Adresse und die zur Anmeldung beziehungsweise zum Einwilligungsnachweis erforderlichen Angaben. Die Verarbeitung erfolgt auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Die Anmeldung erfolgt im Double-Opt-In-Verfahren. Einwilligung und Bestätigung werden dokumentiert. Die aktive Versandadresse wird nach der Abmeldung gelöscht, soweit keine weitere Aufbewahrung des Einwilligungsnachweises erforderlich ist. Einwilligungs- und Abmeldenachweise werden nur so lange aufbewahrt, wie sie für den Nachweis der Einwilligung und die Rechtsverteidigung erforderlich sind. Sie können eine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, insbesondere über den Abmeldelink im Newsletter.

5.2 Bestandskundenwerbung per E-Mail

MailPoet/WPSender BV wird für die Verwaltung und den Versand unserer E-Mail-Kommunikation eingesetzt. Der Versand erfolgt über den SMTP-Dienst von STRATO.

Haben Sie im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung Ihre E-Mail-Adresse angegeben, verwenden wir diese, soweit die Voraussetzungen des § 7 Abs. 3 UWG erfüllt sind, zur Direktwerbung für eigene ähnliche Produkte und Leistungen. Rechtsgrundlage für die Verarbeitung Ihrer E-Mail-Adresse ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Direktwerbung für eigene ähnliche Produkte und Leistungen. Über diese Verwendung Ihrer E-Mail-Adresse informieren wir Sie bei deren Erhebung im Bestellvorgang.

Sie können der Verwendung Ihrer E-Mail-Adresse für Zwecke der Direktwerbung jederzeit widersprechen. Der Widerspruch ist kostenlos und kann ohne Angabe von Gründen erfolgen, etwa über den Abmeldelink in jeder Werbe-E-Mail oder per Nachricht an support@piehberz-it.de. Nach dem Widerspruch wird Ihre E-Mail-Adresse nicht mehr für Zwecke der Direktwerbung verwendet.

5.3 Online-Veranstaltungen

Unsere Online-Informationsveranstaltungen führen wir über Microsoft Teams Essentials durch, einen Dienst der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Microsoft Ireland Operations Limited wird hierbei als Auftragsverarbeiterin tätig; für die Verarbeitung gilt das Data Protection Addendum von Microsoft. Verarbeitet werden der bei der Teilnahme angegebene Name, die IP-Adresse und technische Verbindungsdaten, Zeitpunkt und Dauer der Teilnahme sowie, nach Wahl der Teilnehmenden, Bild, Ton und Chatbeiträge. Die Nutzung von Kamera und Mikrofon ist freiwillig. Teilnahmeberichte sind deaktiviert. Ruhende Daten werden innerhalb der EU-Datengrenze gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Durchführung der von den Teilnehmenden gewünschten Veranstaltung.

Eine Aufzeichnung erfolgt nur nach vorheriger Ankündigung und mit Einwilligung der Teilnehmenden. Eine Transkription erfolgt nicht. Aufzeichnungen werden spätestens 180 Tage nach der Veranstaltung automatisch gelöscht; bei Widerruf einer Einwilligung werden sie, soweit technisch möglich, früher gelöscht.

6. Cookies und vergleichbare Technologien

6.1 Rechtlicher Rahmen

Für das Speichern von Informationen auf Ihrem Endgerät oder den Zugriff auf bereits gespeicherte Informationen gilt § 25 TDDDG. Technisch unbedingt erforderliche Zugriffe können ohne Einwilligung erfolgen, soweit die Voraussetzungen des § 25 Abs. 2 TDDDG erfüllt sind. Die anschließende Verarbeitung personenbezogener Daten benötigt zusätzlich eine Rechtsgrundlage nach Art. 6 DSGVO, insbesondere Art. 6 Abs. 1 lit. f DSGVO oder bei Vertragsbezug Art. 6 Abs. 1 lit. b DSGVO. Technisch nicht notwendige Technologien werden erst nach Ihrer Einwilligung über CookieYes eingesetzt. Die Einwilligung kann jederzeit über die Einwilligungseinstellungen widerrufen werden.

6.2 Dokumentierte Technologien

WordPress-Session- und Funktionscookies: technisch erforderliche Funktionen der Website; regelmäßig nur für die Dauer der Sitzung oder entsprechend der jeweiligen Funktion.

CookieYes cookieyes-* : Speicherung und Verwaltung Ihrer Cookie-Einstellungen durch CookieYes Limited; Speicherdauer ein Jahr.

Stripe _stripe_mid: Identifizierung des Geräts im Zusammenhang mit der Zahlungsabwicklung und Betrugsprävention; Speicherdauer ein Jahr.

Stripe _stripe_sid: Identifizierung der aktuellen Zahlungssitzung; Speicherdauer 30 Minuten.

Cloudflare cf_clearance: Bot- und Sicherheitsschutz im Zusammenhang mit Cloudflare Turnstile; Speicherdauer Sitzung.

Sourcebuster sbjs_current, sbjs_first, sbjs_session und sbjs_udata: lokal eingebundene Open-Source-Analyse zur Herkunft des Besuchs; Speicherdauer bis zu sechs Monate.

7. SMART-Pedigree und lokale Patientendaten

7.1 Lokale Verarbeitung

Patientendaten und Gesundheitsdaten werden bei der lokalen Nutzung von SMART-Pedigree grundsätzlich in der Infrastruktur der jeweiligen Einrichtung verarbeitet. Die jeweilige Einrichtung ist hierfür verantwortlich. PiehBerz IT-Solutions UG (haftungsbeschränkt) betreibt kein zentrales Patientendatenhosting als eigener Verantwortlicher. Werden Daten im Rahmen eines Supportfalls an PiehBerz IT-Solutions UG (haftungsbeschränkt) übermittelt, gelten die Anforderungen an eine zulässige Auftragsverarbeitung und an die Verarbeitung besonderer Kategorien personenbezogener Daten.

7.2 Patientenfragebogen

Der Patientenfragebogen verarbeitet die Eingaben ausschließlich clientseitig im Browser der ausfüllenden Person. Die eingegebenen Daten werden nicht an PiehBerz IT-Solutions UG (haftungsbeschränkt) übertragen. Beim Aufruf der Seite fallen die üblichen Server-Logdaten an (Abschnitt 3.1).

7.3 Lokales Sicherheitsprotokoll

Das lokale Sicherheitsprotokoll enthält keine Patientendaten, Dateinamen, Lizenzschlüssel oder Hardware-Kennungen. Jeder Eintrag enthält Datum und Uhrzeit. Das Protokoll liegt im Datenordner von SMART-Pedigree auf den Systemen der Einrichtung; je nach Installation befindet sich dieser im Programmordner, in einem von der IT festgelegten Ordner oder im Benutzerprofil. Eine automatische Übermittlung des Sicherheitsprotokolls an PiehBerz IT-Solutions UG (haftungsbeschränkt) erfolgt nicht.

Eine Übermittlung des Sicherheitsprotokolls im Supportfall erfolgt nur auf Veranlassung der verantwortlichen Einrichtung beziehungsweise des Verantwortlichen und über den hierfür zulässigen Supportweg. Soweit dabei personenbezogene Daten verarbeitet werden, setzt dies eine Vereinbarung zur Auftragsverarbeitung und die Voraussetzungen für die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO voraus.

8. Lizenzprüfung und Hardwarekennung

Zur Lizenzvalidierung werden eine technische Gerätekennung beziehungsweise HWID oder ein daraus gebildeter Hardware-Hash, der Lizenzschlüssel, die installierte Programmversion, der Zeitstempel der Anfrage und die für die Kommunikation erforderliche IP-Adresse verarbeitet. Die installierte Programmversion wird bei der Lizenzprüfung nur übermittelt und geprüft; sie wird nicht gespeichert. Die Verarbeitung dient der Validierung, der Verwaltung von Standard-, Floating- und Testlizenzen sowie der Erkennung und Abwehr von Missbrauch, insbesondere wiederholter Testphasen. Bei Floating-Lizenzen erfolgt alle fünf Minuten ein Abgleich; die zugehörigen Sitzungsdaten werden nach kurzer Zeit automatisch gelöscht. Patientendaten werden bei der Lizenzprüfung nicht übermittelt. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Validierung und Verwaltung der Lizenz) und lit. f DSGVO (Missbrauchsabwehr). Der Hardware-Hash wird vorsorglich als pseudonymisierte oder möglicherweise personenbezogene technische Kennung behandelt; eine vollständige Anonymität wird nicht zugesichert. Der Lizenzserver speichert keine IP-Adressen; diese fallen nur in den Server-Logdaten an (Abschnitt 3.1).

Zusätzlich wird die beim Lizenzerwerb angegebene E-Mail-Adresse mit dem Lizenzschlüssel verknüpft im Lizenzserver gespeichert und bei Änderung im Kundenkonto aktualisiert. Sie dient ausschließlich lizenzrelevanten Pflichtmitteilungen, insbesondere Mitteilungen nach § 10 und § 11a AGB, und wird unabhängig vom Newsletter-Status genutzt. Werbung erfolgt darüber nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Die Speicherdauern ergeben sich aus Abschnitt 10.

8a. Update-Prüfung und Verbindungstest

Die Software prüft beim Start und auf Anforderung, ob eine neuere Version verfügbar ist, und lädt Updates nach Bestätigung durch die Anwender:innen von der eigenen Website des Lizenzgebers. Ist der Lizenzserver nicht erreichbar, prüft die Software außerdem, ob eine Internetverbindung besteht; dazu ruft sie eine Adresse auf der Website des Lizenzgebers beziehungsweise auf dem Lizenzserver auf. Der Verbindungstest wird nur durchgeführt, wenn die Anfrage an den Lizenzserver scheitert. Bei der Update-Prüfung wird das Betriebssystem über den Aufruf erkannt beziehungsweise verarbeitet, damit das passende Update-Paket ausgewählt werden kann. Dabei werden die für die Verbindung technisch erforderliche IP-Adresse und die für die Update-Prüfung erforderlichen technischen Angaben verarbeitet; die IP-Adresse fällt in den Server-Logdaten an (Abschnitt 3.1). Patientendaten werden nicht übermittelt. Die automatische Update-Prüfung kann in den Einstellungen abgeschaltet werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Bereitstellung von Sicherheits- und Fehlerkorrekturen und einer zuverlässigen Lizenzprüfung.

9. Empfänger und Drittlandübermittlungen

Je nach Verarbeitung können Empfänger beziehungsweise eingesetzte Dienstleister STRATO GmbH für Hosting, VPS, Backups und SMTP, CookieYes Limited für das Consent-Management, Cloudflare, Inc. für Cloudflare Turnstile auf der Website, in Formularen und bei der Anmeldung, Stripe Payments Europe, Ltd. für Zahlungen, MailPoet/WPSender BV für die Newsletterverwaltung, Microsoft Ireland Operations Limited für Online-Veranstaltungen über Microsoft Teams sowie Sourcebuster JS als lokal eingebundene Open-Source-Analyse sein. Cloudflare wird nicht für das Ticketsystem eingesetzt; das Ticketsystem wird direkt auf dem Server in Deutschland betrieben. Die konkrete Empfängerfunktion von Stripe kann je nach Verarbeitung als eigener Verantwortlicher oder Auftragsverarbeiter variieren. Microsoft Ireland Operations Limited wird für Microsoft Teams Essentials als Auftragsverarbeiterin eingesetzt; für diese Verarbeitung gilt das Data Protection Addendum von Microsoft.

CookieYes wird im Vereinigten Königreich eingesetzt. Für Übermittlungen in das Vereinigte Königreich ist der EU-Angemessenheitsbeschluss für das Vereinigte Königreich maßgeblich, soweit die Voraussetzungen im konkreten Fall erfüllt sind. Für Übermittlungen an Cloudflare, Microsoft und gegebenenfalls Stripe in die USA oder in sonstige Drittländer werden das Data Privacy Framework, EU-Standardvertragsklauseln und ergänzende Garantien nur eingesetzt beziehungsweise herangezogen, soweit sie im konkreten Dienst und zum jeweiligen Zeitpunkt anwendbar und tatsächlich verwendet werden. Die jeweils maßgebliche Transfergrundlage wird dienstbezogen und anhand der konkreten tatsächlichen Verarbeitung dokumentiert. Eine bestimmte Transfergrundlage wird nicht pauschal zugesichert. Auf Anfrage kann eine Kopie der einschlägigen Garantien zur Verfügung gestellt werden, soweit dem keine gesetzlichen oder vertraglichen Schutzinteressen entgegenstehen. Weitere Drittlandübermittlungen werden nicht pauschal ausgeschlossen und sind im konkreten Verarbeitungsvorgang zu prüfen.

10. Speicherdauer

Die maßgeblichen Speicherdauern werden zentral wie folgt zusammengefasst:

Datenkategorie	Speicherdauer
Server-Logdaten	Regelmäßig sieben Tage; anlassbezogen zur Aufklärung konkreter Sicherheits- oder Missbrauchsvorfälle höchstens 30 Tage.
Supporttickets	Drei Jahre zum Jahresende nach endgültigem Abschluss des Tickets.
Isolierte Supportanfragen ohne bestehende AVV	Sechs Monate; dies gilt nicht für Sicherheitsmeldungen, für die die gesonderte Frist gilt.
Sicherheitsmeldungen	Drei Jahre zum Jahresende nach Abschluss der Bearbeitung; länger nur, soweit gesetzliche Dokumentationspflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dies erfordern.
AVV-Nachweise	Dauer des Vertrags und anschließend drei Jahre; länger nur, soweit dies zur Nachweisführung oder Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
Rechnungs- und Buchhaltungsdaten	Rechnungen und sonstige Buchungsbelege grundsätzlich acht Jahre. Bücher, Inventare, Jahresabschlüsse und vergleichbare Unterlagen zehn Jahre. Die jeweils längere Frist gilt, soweit die Daten der entsprechenden Unterlagenkategorie zuzuordnen sind oder eine gesetzliche Aufbewahrungspflicht fortbesteht.
Newsletter- und Veranstaltungsdaten	Aktive Versanddaten bis zur Abmeldung; Einwilligungs- und Abmeldenachweise nur so lange, wie sie für den Nachweis der Einwilligung und die Rechtsverteidigung erforderlich sind. Anmeldedaten zu Veranstaltungen werden gelöscht, sobald sie für die Durchführung, Nachbereitung und Rechtsverteidigung nicht mehr erforderlich sind.
Online-Veranstaltungen (Microsoft Teams)	Teilnahmeberichte sind deaktiviert. Aufzeichnungen werden spätestens 180 Tage nach der Veranstaltung automatisch gelöscht; eine frühere Löschung erfolgt, soweit dies nach Widerruf einer Einwilligung technisch möglich ist. Der Besprechungschat ist deaktiviert; Chatbeiträge werden nicht verarbeitet.
Cookies	Nach den im Abschnitt 6 genannten Laufzeiten beziehungsweise für die Dauer der Sitzung.
Patienten- und Gesundheitsdaten	Nach den Vorgaben und Löschfristen der jeweils verantwortlichen Einrichtung.
Lizenzvertrags- und Kaufdaten (Zuordnung Kunde ↔ Lizenzschlüssel, Kaufdatum, Laufzeit)	Während der Vertragslaufzeit sowie anschließend nur so lange, wie dies für die Vertragsabwicklung, Nachweisführung oder Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Soweit einzelne Daten Bestandteil von Rechnungen oder Buchungsbelegen sind, gilt hierfür die gesetzliche Aufbewahrungsfrist von grundsätzlich acht Jahren.
Kontakt-E-Mail zur Lizenz (für lizenzrelevante Mitteilungen)	Grundsätzlich für die Dauer der jeweiligen Lizenz. Nach Lizenzende Löschung oder Anonymisierung, sobald die Daten nicht mehr für die Abwicklung offener Vorgänge oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind.
Technische Lizenzprüfungsdaten (Hardware-Hash, letzter Prüfzeitpunkt)	Grundsätzlich für die Dauer der jeweiligen Lizenz. Nach Lizenzende Löschung oder Anonymisierung, sobald die Daten nicht mehr für die Lizenzabwicklung, offene Vorgänge oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind. Der Hardware-Hash wird vorsorglich wie ein personenbezogenes Datum behandelt.
Trial-Lizenzen (Hardware-Hash, Ablaufdatum, letzter Prüfzeitpunkt)	Bis zum Ablauf der Testphase und anschließend höchstens zwölf Monate zur Vermeidung wiederholter Testphasen auf derselben Hardware. Danach Löschung oder Anonymisierung.
Floating-Lizenz-Sitzungen (Hardware-Hash, letzter Heartbeat)	Zwölf Minuten nach dem letzten Heartbeat; ältere Einträge werden automatisch bereinigt.
IP-Adressen bei Lizenzabfragen	Keine Speicherung durch den Lizenzserver selbst; IP-Adressen fallen nur in den Server-Logdaten an (siehe Abschnitt 3.1).
Replay-Schutz-Kennungen (Nonces)	Gültigkeit wenige Minuten; Löschung bei Verwendung, abgelaufene Kennungen werden automatisch bereinigt.
Sonstige Kontakt-, Vertrags-, Bestell- und Kontodaten	Nach Wegfall des jeweiligen Zwecks oder Ablauf gesetzlicher beziehungsweise vertraglicher Fristen. Eine darüber hinausgehende Speicherung erfolgt nur, soweit sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Gesetzliche Aufbewahrungspflichten oder die Erforderlichkeit der Daten für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen können einer früheren Löschung entgegenstehen.

11. Betroffenenrechte und Beschwerderecht

Sie haben nach Maßgabe der Art. 15 bis 21 DSGVO insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Soweit wir eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO stützen, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, nach Art. 21 DSGVO widersprechen. Gegen Direktwerbung können Sie jederzeit ohne besondere Begründung Widerspruch einlegen. Für Patientendaten und Gesundheitsdaten aus dem lokalen Betrieb von SMART-Pedigree ist regelmäßig die jeweilige Einrichtung Ansprechpartnerin.

Sie haben außerdem das Recht, sich nach Art. 77 DSGVO bei einer zuständigen Datenschutzaufsichtsbehörde zu beschweren.

12. Erforderlichkeit und automatisierte Entscheidungen

Pflichtangaben werden in den jeweiligen Formularen und Bestellprozessen als solche gekennzeichnet. Die Nichtbereitstellung erforderlicher Angaben kann dazu führen, dass ein Vertrag nicht geschlossen, eine Zahlung nicht abgewickelt, eine Lizenz nicht verwaltet oder ein Supportfall nicht bearbeitet werden kann. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nach derzeitigem Kenntnisstand nicht statt.

13. Aktualisierung dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung, wenn sich Verarbeitungen, eingesetzte Dienste, Rechtsgrundlagen oder rechtliche Anforderungen ändern. Es gilt jeweils die auf unserer Website veröffentlichte Fassung.