Datenschutzerklärung: was mit Ihren Daten und Ihren Fotos geschieht

Bitte zuerst lesen: dieser Text ist eine Vorlage

Diese Seite ist eine strukturierte Vorlage. Sie deckt die Punkte ab, die eine Datenschutzerklärung nach der DSGVO enthalten muss. Sie ist aber keine Rechtsberatung und ersetzt keine. Bevor diese Seite dauerhaft online geht, muss sie von einer Rechtsanwältin oder einem Rechtsanwalt mit Schwerpunkt Datenschutzrecht geprüft und an die tatsächlichen Abläufe der Klinik angepasst werden. Wir schreiben das offen hin, weil wir keine Juristen sind und Sie nicht den Eindruck bekommen sollen, hier sei bereits alles geprüft.

An mehreren Stellen stehen Angaben, die nur die Klinik selbst verbindlich machen kann. Sie sind im Text als offen gekennzeichnet. Solange sie offen sind, ist diese Erklärung unvollständig, und das ist ein Zustand, der vor dem Start behoben gehört.

Was vor dem Start noch eingetragen werden muss

• Vollständige Firmierung, Rechtsform und Registereintragung des verantwortlichen Unternehmens in der Türkei
• Vertreter in der Union nach Art. 27 DSGVO, mit Name und ladungsfähiger Anschrift in einem EU-Mitgliedstaat
• Datenschutzbeauftragte oder Datenschutzbeauftragter mit Kontaktweg, sofern nach Art. 37 DSGVO erforderlich
• Die tatsächlich eingesetzten Dienstleister, namentlich, jeweils mit Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO
• Die konkreten Löschfristen, abgestimmt auf die türkischen Aufbewahrungspflichten für Behandlungsunterlagen
• Die gewählte Grundlage für die Übermittlung in die Türkei, also Standardvertragsklauseln oder ausdrückliche Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO

Verantwortlicher und Kontakt

Verantwortlich für die Verarbeitung Ihrer Daten im Sinne von Art. 4 Nr. 7 DSGVO ist die Dr Vivo Hair Clinic, 19 Mayıs, 19 Mayıs Cd. No: 8, 34360 Şişli/İstanbul, Türkei. Sie erreichen uns per E-Mail unter contact@drvivohairclinic.com und über WhatsApp unter +90 537 065 75 22.

Die Klinik hat ihren Sitz nicht in der Europäischen Union. Weil sie ihre Leistungen gezielt auch Menschen in Deutschland anbietet, gilt die DSGVO trotzdem, und zwar über Art. 3 Abs. 2 lit. a DSGVO. Daraus folgt zusätzlich, dass ein Vertreter in der Union nach Art. 27 DSGVO zu benennen ist, an den Sie sich mit denselben Anliegen wenden können wie an die Klinik selbst. Name und Anschrift dieses Vertreters gehören an diese Stelle, sobald sie feststehen. Dieser Punkt ist derzeit offen.

Wenn Sie eine Frage zum Datenschutz haben oder eines Ihrer Rechte ausüben möchten, genügt eine formlose Nachricht an contact@drvivohairclinic.com mit dem Betreff Datenschutz. Eine Antwort erhalten Sie in der Regel innerhalb eines Monats, wie es Art. 12 Abs. 3 DSGVO vorsieht. Mehr über die Klinik selbst steht unter Über uns.

Welche Daten wir verarbeiten, wozu und auf welcher Rechtsgrundlage

Sie entscheiden weitgehend selbst, wie viel Sie uns geben. Für eine erste Rückmeldung genügen ein Name und ein Weg, Sie zu erreichen. Für eine belastbare Einschätzung brauchen wir mehr, und dieses Mehr sind Gesundheitsdaten.

Die tragenden Rechtsgrundlagen sind Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und die Anbahnung oder Erfüllung eines Vertrags nach Art. 6 Abs. 1 lit. b DSGVO. Für Fotos und medizinische Angaben tritt Art. 9 Abs. 2 lit. a DSGVO hinzu, also Ihre ausdrückliche Einwilligung in die Verarbeitung besonderer Kategorien personenbezogener Daten.

Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Ob eine Behandlung für Sie infrage kommt, beurteilen Menschen, und die Antwort kann auch Nein lauten.

Fotos und medizinische Angaben, der heikelste Teil

Ein Foto Ihres Oberkopfs zusammen mit der Angabe, dass Sie sich für eine Haartransplantation interessieren, ist ein Gesundheitsdatum. Art. 9 DSGVO stellt solche Daten unter besonderen Schutz. Wir verarbeiten sie nur, wenn Sie ausdrücklich einwilligen, und diese Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass Ihnen daraus ein Nachteil entsteht (Art. 7 Abs. 3 DSGVO). Welche Aufnahmen überhaupt brauchbar sind, steht in der Fotoanleitung.

Ihre Fotos werden ausschließlich zur Beurteilung Ihres Falls verwendet. Sie erscheinen nicht auf dieser Website, nicht in sozialen Medien und nicht in Werbematerial, es sei denn, Sie erteilen dafür eine gesonderte, ebenfalls widerrufbare Einwilligung. Auf der Seite Vorher-Nachher sind einzelne dokumentierte Fälle zu sehen, die nur mit gesonderter Zustimmung der betroffenen Person veröffentlicht werden. Diese Fälle sind individuell und sagen nichts darüber aus, wie ein Verlauf bei Ihnen aussehen würde.

Sie können eine Anfrage auch ohne Fotos stellen. Dann bleibt unsere Antwort allgemein, weil sich die Anzahl der Grafts ohne Bilder nicht seriös schätzen lässt. Sie können uns außerdem jederzeit bitten, nur die Fotos zu löschen und die übrige Korrespondenz zu behalten, oder umgekehrt.

Wer Ihre Daten außer uns zu sehen bekommt

Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken an Dritte weiter. Weitergegeben wird nur, was für die Beratung, die Behandlung oder den technischen Betrieb der Website erforderlich ist. Dienstleister werden dabei als Auftragsverarbeiter nach Art. 28 DSGVO vertraglich gebunden.

Welche Unternehmen konkret hinter diesen Kategorien stehen, gehört namentlich in diese Liste, zusammen mit den jeweiligen Verträgen. Auch dieser Punkt ist derzeit offen und von der Klinik vor dem Start zu ergänzen.

Empfängerkategorien

• Das Beratungs- und Behandlungsteam der Klinik in Istanbul, beschränkt auf die Personen, die Ihre Angaben für Ihren Fall benötigen
• Der Hosting-Anbieter, der diese Website ausliefert und dabei die Server-Logdaten führt
• Der Anbieter, über den das Anfrageformular zugestellt wird, sowie das System, in dem Ihre Anfrage bearbeitet wird
• Der E-Mail-Anbieter der Klinik, wenn Sie uns schreiben
• WhatsApp, wenn Sie diesen Kanal nutzen. Die Inhalte sind Ende-zu-Ende-verschlüsselt, Verbindungsdaten wie Ihre Rufnummer fallen dort dennoch an
• Hotel und Transferdienst in Istanbul, beschränkt auf Name und Termin, sofern Sie tatsächlich anreisen
• Behörden, Versicherungen oder Rechtsberatung, soweit wir dazu rechtlich verpflichtet sind

Übermittlung in die Türkei, ein Drittland ohne Angemessenheitsbeschluss

Die Klinik sitzt in Istanbul. Alles, was Sie uns senden, wird deshalb in der Türkei verarbeitet. Aus Sicht der DSGVO ist die Türkei ein Drittland, und die Europäische Kommission hat für die Türkei keinen Angemessenheitsbeschluss nach Art. 45 DSGVO erlassen. Die Länder, für die ein solcher Beschluss besteht, führt die Kommission in einer öffentlichen Übersicht. Die Türkei steht nicht darauf, und das sollten Sie wissen, bevor Sie Fotos verschicken.

Das bedeutet nicht, dass es in der Türkei kein Datenschutzrecht gäbe. Seit 2016 gilt dort das Gesetz Nr. 6698 zum Schutz personenbezogener Daten (KVKK), mit einer eigenen Aufsichtsbehörde. Es ist der europäischen Systematik nachgebildet, von der Kommission aber nicht als gleichwertig anerkannt. Praktisch heißt das für Sie: Ihre Rechte durchzusetzen kann aufwendiger sein als gegenüber einem Unternehmen mit Sitz in der EU, und der Zugriff türkischer Stellen auf Daten richtet sich nach türkischem Recht.

Für die Übermittlung kommen zwei Grundlagen in Betracht, und die Klinik muss sich auf eine festlegen. Entweder Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, verbunden mit einer Prüfung, ob diese im Einzelfall ausreichen. Oder Ihre ausdrückliche Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO, die voraussetzt, dass Sie zuvor über genau die eben beschriebenen Risiken unterrichtet wurden. Für die Abwicklung eines von Ihnen selbst angefragten Behandlungsvertrags kommt daneben Art. 49 Abs. 1 lit. b DSGVO in Betracht.

Wenn Sie eine Übermittlung in die Türkei nicht möchten, ist die Konsequenz eindeutig: Dann können wir Ihre Anfrage nicht bearbeiten, weil die Beurteilung in Istanbul stattfindet. Das ist keine Formulierung, um Sie zu drängen, sondern schlicht die Lage. Wer eine Behandlung innerhalb der EU vorzieht, findet die Abwägung unter Haartransplantation in Deutschland oder in der Türkei.

Die Website selbst: Cookies, Analyse, eingebettete Inhalte

Diese Website setzt keine Cookies zu Analyse- oder Werbezwecken. Es sind keine Tracking-Dienste eingebunden, keine Werbenetzwerke und keine extern geladenen Schriftarten, die beim Aufruf eine Verbindung zu Dritten herstellen würden. Deshalb sehen Sie auch kein Cookie-Banner. Ein Banner ist nur dort erforderlich, wo Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden, die technisch nicht notwendig sind (§ 25 TDDDG).

Beim Aufruf einer Seite übermittelt Ihr Browser technisch bedingt Daten an den Server, darunter Ihre IP-Adresse. Diese Server-Logdaten dienen der Auslieferung und der Absicherung des Betriebs und werden nach kurzer Zeit gelöscht. Sie werden nicht dazu genutzt, einzelne Besucherinnen und Besucher wiederzuerkennen.

Auf einzelnen Seiten sind Videos eingebettet. Sie laden nicht von selbst. Erst wenn Sie auf das Vorschaubild klicken, wird eine Verbindung zu youtube-nocookie.com aufgebaut, einem Dienst von Google. Ab diesem Moment gelten zusätzlich die Datenschutzbestimmungen von Google, und es können Daten in die USA übermittelt werden. Klicken Sie nicht, entsteht diese Verbindung auch nicht.

Das Anfrageformular überträgt Ihre Angaben verschlüsselt. Im Anfragestadium wird nichts bezahlt, es werden also auch keine Zahlungs- oder Kreditkartendaten erhoben. Vor dem Absenden sehen Sie im Angebotsformular, wofür Sie Ihre Einwilligung erteilen.

Speicherdauer, Ihre Rechte und Ihr Beschwerderecht

Wir speichern Ihre Daten nur so lange, wie es für den jeweiligen Zweck nötig ist oder wie eine gesetzliche Aufbewahrungspflicht es verlangt. Danach werden sie gelöscht. Die Zeiträume in der Tabelle sind Richtwerte dieser Vorlage. Die endgültigen Fristen muss die Klinik mit ihrer Rechtsberatung festlegen, weil für Behandlungsunterlagen türkisches Recht eigene Aufbewahrungszeiten vorschreibt.

Um eines Ihrer Rechte auszuüben, genügt eine formlose Nachricht an contact@drvivohairclinic.com. Wir dürfen Sie dabei um einen Nachweis Ihrer Identität bitten, damit niemand fremde Gesundheitsdaten abrufen kann. Die Bearbeitung ist für Sie kostenlos.

Unabhängig davon können Sie sich nach Art. 77 DSGVO bei einer Aufsichtsbehörde beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt. Zuständig ist die Datenschutzaufsichtsbehörde Ihres Bundeslandes, also die Behörde an Ihrem Wohnsitz, an Ihrem Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes. Eine Übersicht mit den Anschriften führt der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit. Eine Beschwerde kostet Sie nichts und setzt keinen Anwalt voraus.

Ihre Rechte nach der DSGVO

• Auskunft darüber, welche Daten wir über Sie verarbeiten (Art. 15 DSGVO)
• Berichtigung unrichtiger oder unvollständiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO), etwa nachdem Sie Ihre Einwilligung widerrufen haben
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Herausgabe Ihrer Daten in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO)
• Widerspruch gegen eine Verarbeitung, die auf einem berechtigten Interesse beruht (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung, jederzeit und mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)