Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten gemäß DSGVO. Der folgende Text ist ein Entwurf und vor Veröffentlichung rechtlich zu prüfen und zu vervollständigen.

1. Verantwortlicher

[Firmenname, Anschrift, Kontakt] — siehe Impressum. Datenschutzbeauftragte/r (falls bestellt): [Name, Kontakt].

2. Verarbeitete Daten & Zwecke

• Registrierungs-/Stammdaten (Apotheke/Hersteller: Firmen-/Apothekenname, Ansprechpartner, Telefon, Adresse, E-Mail; Apotheke: Betriebserlaubnis; Hersteller: BtM-Erlaubnisnummer) — zur Vertragsanbahnung und Prüfung der Erlaubnisse, Art. 6 Abs. 1 lit. b DSGVO.
• Account-/Authentifizierungsdaten (E-Mail, gehashtes Passwort, MFA-Faktoren) — zur Bereitstellung des Zugangs, Art. 6 Abs. 1 lit. b/f DSGVO.
• Nutzungs- & Protokolldaten (Audit-Log: Aktionen, Zeitpunkt, gekürzte/temporäre IP) — zur Sicherheit, Nachvollziehbarkeit und Erfüllung gesetzlicher Aufbewahrungspflichten, Art. 6 Abs. 1 lit. c/f DSGVO.
• Bestell-/Vermittlungsdaten — zur Durchführung der Vermittlung zwischen Apotheke und Hersteller.

3. Empfänger / Auftragsverarbeiter

• Hosting/Infrastruktur: [Anbieter, Standort] (Server in der EU). [TODO]
• E-Mail-Versand: Brevo (Sendinblue GmbH). [AV-Vertrag prüfen]
• Datei-/Dokumentenspeicher (Analysezertifikate): Cloudflare R2. [AV-Vertrag/SCC prüfen]

Mit allen Auftragsverarbeitern bestehen Verträge gemäß Art. 28 DSGVO. Bei Drittlandtransfers sind geeignete Garantien (z. B. SCC) sicherzustellen. [TODO]

4. Speicherdauer / Löschung

Daten werden gelöscht, sobald sie für die genannten Zwecke nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Details zu Aufbewahrungsfristen siehe internes Lösch-/Aufbewahrungskonzept (u. a. Audit-Daten: Auth/Consent 6 Jahre, Workflow 10 Jahre; technische Logs 90 Tage; IP-Rohdaten 90 Tage).

5. Betroffenenrechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie ein Beschwerderecht bei einer Aufsichtsbehörde (Art. 77). Kontakt: [E-Mail].

6. Cookies

Es werden nur technisch notwendige Cookies (Session/CSRF) gesetzt; diese sind für den Login erforderlich (kein Tracking ohne Einwilligung). [TODO — falls Analyse/Tag-Manager genutzt wird: Einwilligungsbanner ergänzen.]

Stand: [Datum] · Version: Entwurf.