Datenschutzerklärung

Dies ist eine unverbindliche Übersetzung zu Informationszwecken. Maßgeblich ist die englische Fassung, die im Falle von Abweichungen vorgeht.

1. Wer wir sind, und was diese Erklärung abdeckt

1.1 Die DTCONCIERGE S.R.L., eine Gesellschaft mit beschränkter Haftung, gegründet nach dem Recht Rumäniens, mit eingetragenem Sitz in Aleea Călărașilor nr. 5, bl. G, ap. 54, Municipiul Sibiu, județul Sibiu, Rumänien, eingetragen im Handelsregister unter der Nummer J2026003869000, mit der eindeutigen Registrierungsnummer 53369247, innergemeinschaftliche Umsatzsteuer-Identifikationsnummer RO54852877, betreibt den Dienst DentalPolyglot (der "Dienst"). Bezugnahmen auf "wir", "uns" und "unser" beziehen sich auf dieses Unternehmen.

1.2 Diese Erklärung erläutert, wie wir personenbezogene Daten verarbeiten, wenn wir als Verantwortlicher handeln, nämlich in Bezug auf die Zahnkliniken und sonstigen beruflichen Einrichtungen, die den Dienst abonnieren, die Personen, die die Konten dieser Abonnenten nutzen, die Personen, die uns kontaktieren, und die beruflichen Kontakte, die wir zum Dienst ansprechen.

1.3 Personenbezogene Daten von Patienten einer abonnierenden Klinik werden von uns als Auftragsverarbeiter im Auftrag dieser Klinik verarbeitet. Abschnitt 6 erläutert diese Unterscheidung und gibt an, wo ein Patient die an ihn gerichteten Informationen findet.

1.4 Die hier beschriebene Verarbeitung unterliegt der Regulation (EU) 2016/679 (die "GDPR") und dem rumänischen Law no. 190/2018 zur Umsetzung dieser Verordnung. Die über elektronische Kommunikation erfolgende Verarbeitung unterliegt zusätzlich dem Law no. 506/2004 on the processing of personal data and the protection of privacy in the electronic communications sector.

1.5 Unsere Datenschutzkontaktadresse ist privacy@dentalpolyglot.com. Korrespondenz an diese Adresse erreicht ein für Datenschutzangelegenheiten zuständiges Mitglied unseres Personals.

2. Unsere zwei Rollen

2.1 Wir handeln als Verantwortlicher für die personenbezogenen Daten unserer Abonnenten und deren Personal, für Abrechnungs- und Buchhaltungsdaten, für Support-Korrespondenz, für die Daten der von uns angesprochenen beruflichen Kontakte und für die technischen Daten, die beim Betrieb und der Absicherung des Dienstes entstehen. Wir bestimmen die Zwecke und Mittel dieser Verarbeitung.

2.2 Wir handeln als Auftragsverarbeiter für personenbezogene Daten von Patienten und potenziellen Patienten, deren Verarbeitung eine Klinik über den Dienst veranlasst, einschließlich Gesundheitsdaten im Sinne von Article 9 of the GDPR. Die Klinik ist Verantwortlicher für diese Daten, bestimmt, warum und wie sie verarbeitet werden, und weist uns über den mit uns geschlossenen Auftragsverarbeitungsvertrag an.

2.3 Weil wir besondere Kategorien personenbezogener Daten im Auftrag von Verantwortlichen verarbeiten, findet die Ausnahme in Article 30(5) of the GDPR für Unternehmen mit weniger als 250 Beschäftigten auf uns keine Anwendung. Wir führen Verzeichnisse von Verarbeitungstätigkeiten, die sowohl unsere Verarbeitung als Verantwortlicher als auch unsere Verarbeitung als Auftragsverarbeiter abdecken, gemäß Article 30(1) and Article 30(2) of the GDPR.

2.4 Die Zuordnung der Rollen in den Abschnitten 2.1 und 2.2 mindert die Rechte niemandes. Ein Patient, der ein Recht ausübt, wendet sich an die Klinik als Verantwortlichen, und wir unterstützen die Klinik bei der Beantwortung, wie Abschnitt 13.5 erläutert.

3. Personenbezogene Daten, die wir als Verantwortlicher verarbeiten

3.1 Konto- und Identitätsdaten. Der vollständige Firmenname des abonnierenden Unternehmens, sein eingetragener Sitz oder Geschäftssitz, seine Registrierungsnummer, seine Umsatzsteuer-Identifikationsnummer, sofern vorhanden, sowie Name, berufliche E-Mail-Adresse, berufliche Telefonnummer und Funktion der zur Nutzung des Kontos berechtigten Personen.

3.2 Authentifizierungsdaten. Zugangsdaten jedes berechtigten Nutzers, gehalten in Form eines mittels des Argon2id-Algorithmus erzeugten Passwort-Hashes statt eines wiederherstellbaren Passworts, zusammen mit der Zweitfaktor-Konfiguration, sofern aktiviert, Sitzungskennungen und Aufzeichnungen von Anmeldeereignissen.

3.3 Abrechnungsdaten. Abonnementstufe, Abrechnungszeitraum, Rechnungsverlauf, berechnete Beträge, Steuerstatus und die von unserem Zahlungsanbieter erzeugten Zahlungsaufzeichnungen. Vollständige Zahlungskartennummern erreichen unsere Systeme nicht, da Kartendaten von unserem Zahlungsanbieter auf dessen eigener Infrastruktur erfasst und gehalten werden und wir nur ein Token, den Kartentyp, die letzten Ziffern und das Ablaufdatum erhalten.

3.4 Support- und Korrespondenzdaten. Der Inhalt der an uns gesendeten Nachrichten, die Adresse, von der sie gesendet werden, die mitgeführten Anhänge und die von uns bei der Bearbeitung einer Anfrage gemachten Notizen.

3.5 Interessentendaten. Die beruflichen Kontaktangaben von Zahnarztpraxen, die wir zum Dienst ansprechen, bestehend aus dem Praxisnamen, einer geschäftlichen E-Mail-Adresse, einer geschäftlichen Telefonnummer, sofern veröffentlicht, der Website der Praxis, dem Niederlassungsland und der Quelle, aus der die Angaben stammen, zusammen mit der Aufzeichnung jeder Kontaktaufnahme und jedes erhaltenen Widerspruchs.

3.6 Technische und Sicherheitsdaten. IP-Adressen, Anfrage-Metadaten, User-Agent-Zeichenfolgen, Ratenbegrenzungszähler, Fehlerdiagnosedaten und Prüfprotokolle, die bei der Nutzung des Dienstes entstehen. Diagnosedaten, die an unseren Fehlerüberwachungsanbieter übermittelt werden, werden vor der Übermittlung von personenbezogenen Daten bereinigt, und Session Replay ist nicht aktiviert.

3.7 Onboarding-Daten. Die Adresse der bestehenden öffentlichen Website der Klinik, das von der Klinik für den Aufbau bereitgestellte Material, ihre Sprachauswahl und ein während des Onboardings erstelltes gerendertes Abbild ihrer öffentlichen Website. Personenbezogene Daten, die in diesem Material erscheinen, sind vorhanden, weil die Klinik sie veröffentlicht oder bereitgestellt hat, und wir verarbeiten sie zum Zweck des Aufbaus der Mandanten-Website.

3.8 Wir verarbeiten in unserer Eigenschaft als Verantwortlicher keine besonderen Kategorien personenbezogener Daten. Erreichen uns solche Daten, geschieht dies innerhalb der Patientendaten und unterliegt Abschnitt 6.

4. Zwecke und Rechtsgrundlagen

4.1 Bereitstellung des Dienstes. Erstellung und Verwaltung von Konten, Aufbau und Hosting der Mandanten-Website, Betrieb der Anfrage- und Nachrichtenwerkzeuge und Bereitstellung von Support. Rechtsgrundlage ist die Vertragserfüllung oder auf Anfrage des Abonnenten vor Vertragsschluss ergriffene Schritte nach Article 6(1)(b) of the GDPR.

4.2 Abrechnung, Rechnungsstellung und Buchhaltung. Berechnung von Entgelten, Ausstellung von Rechnungen, Führung der Buchhaltungsunterlagen und Erfüllung unserer steuerlichen Pflichten. Rechtsgrundlage ist die Erfüllung einer rechtlichen Verpflichtung nach Article 6(1)(c) of the GDPR, gelesen im Zusammenhang mit Law no. 82/1991 on accounting sowie mit dem rumänischen Steuerrecht.

4.3 Sicherheit, Integrität und Missbrauchsprävention. Authentifizierung von Nutzern, Erkennung und Untersuchung unbefugten Zugriffs, Anwendung von Ratenbegrenzungen, Schutz vor automatisiertem Missbrauch und Führung von Prüfprotokollen. Rechtsgrundlage ist unser berechtigtes Interesse nach Article 6(1)(f) of the GDPR am Schutz des Dienstes, seiner Abonnenten und der Personen, deren Daten er hält. Wir haben dieses Interesse gegen die Interessen und Grundrechte der betroffenen Personen abgewogen und die Bewertung dokumentiert.

4.4 Fehlerdiagnose und Instandhaltung des Dienstes. Überwachung von Fehlern, Untersuchung von Vorfällen und Behebung von Mängeln. Rechtsgrundlage ist unser berechtigtes Interesse nach Article 6(1)(f) of the GDPR an der Bereitstellung eines funktionierenden und zuverlässigen Dienstes, ausgeübt durch Diagnosedaten, aus denen personenbezogene Daten vor der Übermittlung entfernt wurden.

4.5 Dienstbezogene Mitteilungen. Versand von Mitteilungen zum Betrieb des Dienstes, einschließlich Verlängerungserinnerungen, Änderungsmitteilungen, Sicherheitshinweisen und Informationen über einen Wechsel des Unterauftragsverarbeiters. Rechtsgrundlage ist die Vertragserfüllung nach Article 6(1)(b) of the GDPR sowie, für Mitteilungen, zu deren Versand wir verpflichtet sind, die Erfüllung einer rechtlichen Verpflichtung nach Article 6(1)(c).

4.6 Ansprache potenzieller Kunden. Ermittlung von Zahnarztpraxen, die vom Dienst profitieren könnten, und Kontaktaufnahme zu diesem Zweck. Rechtsgrundlage für die zugrunde liegende Verarbeitung ist unser berechtigtes Interesse nach Article 6(1)(f) of the GDPR an der Förderung unseres Geschäfts, und Abschnitt 5 legt die gesonderten und strengeren Regeln fest, die für den Versand der Mitteilung selbst gelten.

4.7 Erfüllung von Pflichten aus dem Digital-Services-Recht. Betrieb von Kontaktstellen, Entgegennahme und Bewertung von Meldungen zu Inhalten, Erlass von Begründungen, Umsetzung von Anordnungen zuständiger Behörden und Meldung von Verdachtsfällen schwerer Straftaten, soweit Article 18 of Regulation (EU) 2022/2065 dies verlangt. Rechtsgrundlage ist die Erfüllung einer rechtlichen Verpflichtung nach Article 6(1)(c) of the GDPR.

4.8 Begründung, Ausübung und Verteidigung von Rechtsansprüchen. Aufbewahrung der Unterlagen, die erforderlich sind, um nachzuweisen, was vereinbart, was geliefert und was angenommen wurde, einschließlich der nach Article 1203 of the Romanian Civil Code erforderlichen Aufzeichnung der klauselweisen Annahme. Rechtsgrundlage ist unser berechtigtes Interesse nach Article 6(1)(f) of the GDPR sowie, soweit eine Aufbewahrungsfrist gesetzlich vorgeschrieben ist, die Erfüllung einer rechtlichen Verpflichtung nach Article 6(1)(c).

4.9 Stützen wir uns auf berechtigte Interessen, kann eine Person jederzeit nach Article 21 of the GDPR widersprechen, und Abschnitt 13 erläutert wie. Betrifft der Widerspruch Direktmarketing, stellen wir die Verarbeitung ohne Interessenabwägung ein.

5. Ansprache beruflicher Kontakte und kommerzielle Mitteilungen

5.1 Article 12 of Law no. 506/2004 untersagt den Versand kommerzieller Mitteilungen per elektronischer Post, mittels automatisierter Anrufsysteme oder per Fax, sofern der Teilnehmer nicht vorher ausdrücklich eingewilligt hat. Article 12 gilt für Teilnehmer, die juristische Personen sind, in gleicher Weise wie für natürliche Personen, sodass das Erfordernis nicht dadurch entfällt, dass wir uns an Unternehmen und nicht an Einzelpersonen wenden.

5.2 Wir versenden kommerzielle elektronische Post daher nur, wenn eine vorherige Einwilligung festgehalten wurde, oder wenn die enge Ausnahme für Bestandskunden greift, nämlich wenn wir die Adresse im Rahmen der Erbringung einer Leistung an diesen Kunden unmittelbar erhalten haben, die Mitteilung ähnliche eigene Leistungen betrifft, und dem Empfänger bei jeder Mitteilung ein klares und kostenfreies Mittel zum Widerspruch eingeräumt wurde und weiterhin eingeräumt wird.

5.3 Jede von uns versendete kommerzielle Mitteilung weist uns klar aus, legt offen, in wessen Auftrag sie versendet wird, und trägt eine gültige Adresse, an die ein Aufforderung zur Einstellung gesendet werden kann. Wir verschleiern oder verfälschen die Identität des Absenders nicht, und wir lassen kein Mittel zum Widerspruch aus.

5.4 Bittet ein beruflicher Kontakt darum, nicht erneut angesprochen zu werden, halten wir die Bitte fest und beachten sie. Die Aufzeichnung wird aus dem in Abschnitt 10.5 genannten Grund aufbewahrt und dient ausschließlich dazu, eine weitere Kontaktaufnahme zu verhindern.

5.5 Die Ansprache eines Kontakts über einen anderen als die in Abschnitt 5.1 genannten Kanäle, etwa gewöhnliche Post oder ein von einer Person statt von einem automatisierten System geführtes Telefongespräch, unterliegt weiterhin der GDPR sowie den in den Abschnitten 4.9 und 13 beschriebenen Transparenz- und Widerspruchsrechten.

6. Patientendaten, und unsere Rolle als Auftragsverarbeiter

6.1 Nutzt eine Klinik den Dienst, senden Patienten und potenzielle Patienten Anfragen, tauschen Nachrichten aus, erhalten Behandlungspläne, laden Dokumente hoch und vereinbaren Termine über die an einen Behandlungsplan angebundene Terminplanungsseite. Die dabei entstehenden personenbezogenen Daten sind Patientendaten, die Klinik ist deren Verantwortlicher, und wir verarbeiten sie nur auf dokumentierte Weisung der Klinik.

6.2 Patientendaten umfassen üblicherweise Kontaktangaben, den Inhalt von Nachrichten, Gesundheitsdaten wie Diagnosen, Befunde und Behandlungspläne, hochgeladene medizinische Dokumente wie Röntgenaufnahmen, Identitäts- oder Versicherungsdokumente, sofern die Klinik sie anfordert, sowie Termindetails. Gesundheitsdaten stellen eine besondere Kategorie nach Article 9 of the GDPR dar.

6.3 Die Ausnahme in Article 9(2)(h) of the GDPR für die Gesundheitsversorgung steht nur zur Verfügung, wenn die Verarbeitung durch oder unter der Verantwortung einer Fachkraft erfolgt, die einer berufsrechtlichen Verschwiegenheitspflicht nach Article 9(3) unterliegt. Diese Voraussetzung erfüllt die Klinik und niemals wir, ein Punkt, den wir festhalten, damit keine Klinik bei der Wahl ihrer Rechtsgrundlage etwas anderes annimmt.

6.4 Identitätsdokumente können eine nationale Identifikationsnummer enthalten, welche in Rumänien der persönliche Nummerncode ist. Article 4 of Law no. 190/2018 knüpft an die Verarbeitung einer solchen Nummer auf der Grundlage berechtigter Interessen zusätzliche Schutzvorkehrungen, einschließlich der verpflichtenden Benennung eines Datenschutzbeauftragten. Unsere Verarbeitungsweisungen schließen berechtigte Interessen daher als Grundlage für die Verarbeitung einer nationalen Identifikationsnummer aus, damit weder wir noch unsere Kliniken unbeabsichtigt in dieses Regime geraten.

6.5 Wir verwenden Patientendaten nicht für eigene Zwecke. Patientendaten werden nicht verkauft, nicht für Werbung verwendet und nicht dazu genutzt, ein Modell künstlicher Intelligenz zu trainieren oder zu verbessern, gleich ob unseres oder eines Dritten.

6.6 Patienten werden von der Klinik über den auf der Website der Klinik veröffentlichten Datenschutzhinweis über die Verarbeitung informiert. Wir pflegen den Mustertext dieses Hinweises und halten die darin enthaltenen Angaben zu unseren Unterauftragsverarbeitern und unseren Übermittlungsmechanismen aktuell, als eine den Verantwortlichen nach Article 28(3)(e) and (f) of the GDPR unterstützende technische und organisatorische Maßnahme.

6.7 Die vollständige Beschreibung der Verarbeitung, die angewandten Sicherheitsmaßnahmen und die Liste der berechtigten Unterauftragsverarbeiter sind im Auftragsverarbeitungsvertrag und seinen Anhängen dargelegt, verfügbar unter https://dentalpolyglot.com/en/legal/dpa.

7. Woher die Daten stammen

7.1 Der Großteil der von uns als Verantwortlicher gehaltenen personenbezogenen Daten wird uns unmittelbar vom Abonnenten, seinen berechtigten Nutzern oder der uns kontaktierenden Person bereitgestellt.

7.2 Abrechnungsdaten werden von unserem Zahlungsanbieter im Rahmen der Zahlungsabwicklung erzeugt und in der in Abschnitt 3.3 beschriebenen Form an uns zurückgegeben.

7.3 Technische und Sicherheitsdaten werden automatisch von den Systemen erzeugt, die den Dienst betreiben.

7.4 Interessentendaten stammen aus öffentlich zugänglichen Quellen, hauptsächlich der eigenen Website der Praxis, öffentlichen Berufsverzeichnissen und öffentlichen Unternehmensregistern. Wir erfassen die beruflichen Kontaktangaben der Praxis und erstellen keine Profile der dort tätigen Einzelpersonen.

7.5 Onboarding-Material wird von der vom Abonnenten benannten öffentlichen Website abgerufen, mit Ermächtigung und auf Weisung des Abonnenten.

8. Empfänger und Unterauftragsverarbeiter

8.1 Personenbezogene Daten werden innerhalb unserer Organisation nur an Personen offengelegt, die sie zur Ausübung ihrer Funktion benötigen, und jede von ihnen ist einer Vertraulichkeitspflicht unterworfen.

8.2 Wir setzen die folgenden Anbieter ein. Vercel Inc. stellt Hosting, Content Delivery, Dateispeicherung, Verwaltung individueller Domains, cookielose Analyse und Bot-Schutz bereit, mit Rechen- und Speicherkapazität in der Europäischen Union, in der Region Frankfurt, wobei ein Zugriff aus den Vereinigten Staaten für Support- und Betriebszwecke weiterhin möglich bleibt. Neon, LLC stellt die primäre Datenbank bereit, gelegen in der Europäischen Union, in der Region Frankfurt. Anthropic Ireland, Limited, die mit im Europäischen Wirtschaftsraum niedergelassenen Kunden kontrahierende Gesellschaft, stellt die für Übersetzung, für die Extraktion von Behandlungsplan-Text und für den dialogbasierten Assistenten verwendete Verarbeitung durch künstliche Intelligenz bereit, ausgeführt auf von Anthropic, PBC in den Vereinigten Staaten betriebener Infrastruktur. Resend versendet Transaktions-E-Mails und behandelt Bounces und Beschwerden. Upstash stellt Ratenbegrenzung und kurzlebiges Caching bereit und hält dabei nur technische Kennungen. Functional Software, Inc., firmierend als Sentry, stellt die Überwachung von Anwendungsfehlern bereit, mit Datenspeicherung in der Europäischen Union, in der Region Frankfurt, wobei personenbezogene Daten vor der Übermittlung entfernt werden. Stripe betreibt die Abonnementabrechnung für unsere Abonnenten, und es erreichen sie keinerlei Patientendaten. ScreenshotOne erstellt während des Onboardings ein Abbild der öffentlichen Website der Klinik und erhält lediglich eine öffentliche Adresse.

8.3 Eine optionale Weiterleitung von Patientennachrichten über die WhatsApp-Business-Plattform, die Unternehmen im Europäischen Wirtschaftsraum von WhatsApp Ireland Limited unter deren Business Data Processing Terms und Business Data Transfer Addendum bereitgestellt wird, wurde entwickelt, ist jedoch nicht aktiviert. Die Aktivierung obliegt der einzelnen Klinik, und bis eine Klinik sie aktiviert, wird über diesen Kanal keine Nachricht weitergeleitet und keine Daten werden diesem Anbieter offengelegt.

8.4 Wir legen personenbezogene Daten unseren beruflichen Beratern, unseren Buchhaltern und unseren Wirtschaftsprüfern offen, soweit sie sie benötigen, um uns zu beraten, wobei jeder von ihnen einer beruflichen oder vertraglichen Vertraulichkeitspflicht unterliegt.

8.5 Wir legen personenbezogene Daten einer zuständigen Behörde offen, wenn eine Anordnung, ein Urteil oder eine gesetzliche Vorschrift uns dazu verpflichtet. Wir prüfen jede Anfrage auf ihre Gültigkeit, widersetzen uns fehlerhaften oder übermäßigen Anfragen und unterrichten, sofern nicht untersagt, die betroffene Abonnentin oder den betroffenen Abonnenten.

8.6 Wird unser Geschäft oder ein wesentlicher Teil davon übertragen, können personenbezogene Daten dem Erwerber und dessen Beratern offengelegt werden, vorbehaltlich angemessener Vertraulichkeitszusagen, und die Abonnenten werden hierüber informiert.

8.7 Wir verkaufen keine personenbezogenen Daten, legen sie nicht gegenüber Werbenetzwerken offen und verwenden sie nicht für seitenübergreifendes Tracking oder Profiling zu Werbezwecken.

8.8 Die aktuelle Liste der an der Verarbeitung von Patientendaten beteiligten Unterauftragsverarbeiter, mit Funktion, Standort und dem jeweils geltenden Übermittlungsmechanismus, wird in Anhang B zum Auftragsverarbeitungsvertrag geführt. Abonnenten erhalten mindestens dreißig Tage Vorankündigung, bevor ein Unterauftragsverarbeiter hinzugefügt oder ersetzt wird, und können aus vernünftigen, datenschutzrechtlichen Gründen widersprechen.

9. Übermittlungen außerhalb des Europäischen Wirtschaftsraums

9.1 Die Anwendung und die primäre Datenbank befinden sich in der Europäischen Union, in der Region Frankfurt. Bestimmte der in Abschnitt 8.2 aufgeführten Anbieter sind in den Vereinigten Staaten niedergelassen oder verarbeiten Daten dort, und Übermittlungen an sie erfolgen nur, wenn ein gültiger Übermittlungsmechanismus nach Chapter V of the GDPR vorliegt.

9.2 Übermittlungen an unseren Anbieter künstlicher Intelligenz erfolgen auf der Grundlage der von der Europäischen Kommission in Implementing Decision (EU) 2021/914 angenommenen Standardvertragsklauseln, unter Anwendung des Moduls für Übermittlungen von einem Auftragsverarbeiter an einen Unterauftragsverarbeiter. Wir stützen uns bei diesem Anbieter auf keine Zertifizierung nach dem EU-US Data Privacy Framework, und für diese Übermittlungen wird auf keinen Angemessenheitsbeschluss zurückgegriffen.

9.3 Übermittlungen an Anbieter, die eine gültige Zertifizierung nach dem EU-US Data Privacy Framework aufrechterhalten, erfolgen unter Berufung auf den Commission Implementing Decision (EU) 2023/1795 of 10 July 2023, wobei zusätzlich Standardvertragsklauseln geschlossen werden, damit ein Mechanismus vorhanden bleibt, sollte eine Zertifizierung erlöschen. Zertifizierungen werden anhand der offiziellen unter https://www.dataprivacyframework.gov veröffentlichten Liste geprüft, bevor auf sie zurückgegriffen wird, und werden bei jeder Überprüfung dieser Erklärung erneut geprüft.

9.4 Übermittlungen an Anbieter, die eine solche Zertifizierung nicht aufrechterhalten, erfolgen allein auf der Grundlage der Standardvertragsklauseln.

9.5 Für jede Übermittlung haben wir das Recht und die Praxis des Bestimmungslandes im Hinblick auf die Wirksamkeit des herangezogenen Mechanismus bewertet, und wir wenden zusätzliche Maßnahmen an, wo die Bewertung dies erfordert. Zu den angewandten Maßnahmen gehören Verschlüsselung bei der Übertragung, Minimierung der tatsächlich übermittelten Daten, Entfernung personenbezogener Daten aus Diagnosedaten vor der Übermittlung, vertragliche Verpflichtungen betreffend behördliche Zugriffsanfragen sowie der vertragliche Ausschluss der Nutzung übermittelter Inhalte für das Training von Modellen.

9.6 Unabhängig von der GDPR verpflichtet uns Article 32 of Regulation (EU) 2023/2854, angemessene technische, organisatorische und rechtliche Maßnahmen zu treffen, um den Zugriff durch, oder die Übermittlung an, Drittstaaten in Bezug auf in der Union gehaltene nicht personenbezogene Daten zu verhindern, wo ein solcher Zugriff dem Recht der Union oder eines Mitgliedstaats widersprechen würde. Die in Abschnitt 9.5 beschriebenen Maßnahmen dienen auch dieser Verpflichtung.

9.7 Eine Kopie der für eine bestimmte Übermittlung geltenden Schutzvorkehrungen, mit geschwärzten geschäftlich sensiblen Bestimmungen, wird auf Anfrage an privacy@dentalpolyglot.com zur Verfügung gestellt.

10. Wie lange wir personenbezogene Daten aufbewahren

10.1 Kontodaten der Abonnenten werden für die Dauer des Vertragsverhältnisses aufbewahrt. Nach Vertragsende bleibt das Konto neunzig Tage lang in schreibgeschützter Form verfügbar, damit der Abonnent seine Inhalte und Daten exportieren kann, und das Konto samt Inhalten wird am Ende dieses Zeitraums gelöscht.

10.2 Buchhaltungsunterlagen und Belege, einschließlich Rechnungen, werden fünf Jahre aufbewahrt, berechnet ab dem 1. Juli des auf das Ende des Geschäftsjahres, in dem sie erstellt wurden, folgenden Jahres, gemäß Article 25 of Law no. 82/1991 as amended by Law no. 36/2023. Jahresabschlüsse werden zehn Jahre aufbewahrt.

10.3 Support-Korrespondenz wird für die Dauer der Beziehung und für vierundzwanzig Monate danach aufbewahrt, damit eine spät in der Beziehung aufgeworfene Angelegenheit rekonstruiert werden kann, und danach gelöscht.

10.4 Interessentendaten werden achtzehn Monate ab dem letzten Kontakt aufbewahrt und am Ende dieses Zeitraums gelöscht, sofern der Kontakt nicht Abonnent geworden ist, in welchem Fall Abschnitt 10.1 gilt.

10.5 Aufzeichnungen über den Widerspruch gegen eine Kontaktaufnahme werden ohne feste Frist aufbewahrt. Die Aufbewahrung ist erforderlich, weil die Aufzeichnung der Mechanismus ist, der eine weitere Kontaktaufnahme verhindert, und ihre Löschung es ermöglichen würde, dass eine Person, die widersprochen hat, irrtümlich erneut angesprochen wird. Die Aufzeichnung enthält nur das zur Erreichung der Sperrung Erforderliche, nämlich die zu sperrende Adresse oder Nummer und das Datum des Widerspruchs, und wird zu keinem anderen Zweck verwendet.

10.6 Patientendaten werden gemäß den Weisungen der sie kontrollierenden Klinik aufbewahrt. Nach den im Dienst konfigurierten Aufbewahrungsregeln wird eine Anfrage, die nicht zu einem Behandlungsplan führt, vierundzwanzig Monate nach der letzten damit zusammenhängenden Aktivität gelöscht. Eine Löschungsanfrage wird binnen dreißig Tagen nach Eingang ausgeführt. Weist eine Klinik einen abweichenden Zeitraum an, um ihren eigenen Pflichten zur Führung von Patientenakten nachzukommen, gilt die Weisung der Klinik.

10.7 Sicherungskopien laufen über zwei getrennte Mechanismen, die gesondert beschrieben werden, weil sich ihre Folgen für gelöschte Daten unterscheiden. Die primäre Datenbank unterhält ein fortlaufendes Wiederherstellungsfenster von etwa sechs Stunden, aus dem der Datenzustand zu jedem innerhalb dieses Fensters liegenden Zeitpunkt wiederhergestellt werden kann. Zusätzlich wird eine verschlüsselte nächtliche Momentaufnahme der Datenbank erstellt und außerhalb der Plattform, auf der der Dienst läuft, unter AES-256-GCM-Verschlüsselung gehalten, damit ein die Plattform betreffender Vorfall nicht die einzige Kopie der Daten mit sich reißt.

10.8 Die Aufbewahrungsfrist für Momentaufnahmen ist auf dreißig Tage ab dem Erstellungsdatum jeder Momentaufnahme festgelegt, nach deren Ablauf die Momentaufnahme vernichtet wird, ohne dass eine weitere Archivkopie erstellt oder aufbewahrt wird. Aus den Live-Systemen gelöschte Daten können demgemäß aus dem fortlaufenden Wiederherstellungsfenster nicht mehr wiederhergestellt werden, sobald sechs Stunden verstrichen sind, und können aus den Momentaufnahmen nicht mehr wiederhergestellt werden, sobald die letzte sie enthaltende Momentaufnahme vernichtet wurde, was binnen dreißig Tagen nach der Löschung geschieht. Erfolgt die Löschung als Reaktion auf eine Anfrage nach Abschnitt 10.6, läuft die Dreißig-Tage-Frist ab der Ausführung der Löschung und nicht ab dem Datum des Eingangs der Anfrage.

10.9 Die Nutzung einer Momentaufnahme ist auf die Wiederherstellung nach einem Ausfall, einer Beschädigung oder einem vergleichbaren, die Live-Systeme betreffenden Vorfall beschränkt. Eine Momentaufnahme wird nicht herangezogen, um einen gelöschten Datensatz abzurufen, und nicht verwendet, um Daten wiederherzustellen, deren Löschung eine Klinik oder eine betroffene Person veranlasst hat. Stellt eine Wiederherstellung dennoch einen vor dem Vorfall gelöschten Datensatz wieder her, wird die Löschung sofort nach Abschluss der Wiederherstellung erneut auf das wiederhergestellte System angewendet, und das Ereignis wird in unseren Aufzeichnungen festgehalten. Der Zugriff auf eine Momentaufnahme unterliegt dem in Abschnitt 11.3 beschriebenen Prinzip der geringsten Berechtigung.

10.10 Sicherheits- und Prüfprotokolle werden für den zur Untersuchung eines Vorfalls und zum Nachweis der Integrität des Dienstes erforderlichen Zeitraum aufbewahrt und nach dessen Ablauf gelöscht. Diagnosedaten, die an unseren Fehlerüberwachungsanbieter übermittelt werden, werden für den kürzeren der beiden Zeiträume aufbewahrt, den in diesem Dienst konfigurierten oder den zur Behebung des Mangels erforderlichen.

10.11 Sind personenbezogene Daten zur Begründung, Ausübung oder Verteidigung eines Rechtsanspruchs oder zur Erfüllung einer uns auferlegten Pflicht erforderlich, dauert die Aufbewahrung ungeachtet der vorstehenden Fristen fort, solange der Anspruch oder die Pflicht besteht, und ist auf die für diesen Zweck tatsächlich erforderlichen Daten beschränkt.

11. Sicherheit

11.1 Wir wenden dem Risiko angemessene technische und organisatorische Maßnahmen gemäß Article 32 of the GDPR an und überprüfen sie, wenn sich der Dienst und die Bedrohungslage ändern.

11.2 Zu den geltenden Maßnahmen gehören die Verschlüsselung von Daten bei der Übertragung, die Speicherung von Passwörtern als Argon2id-Hashes statt in wiederherstellbarer Form, die Isolierung der Daten jedes Abonnenten auf Datenbankebene durch Row-Level-Security, rollenbasierte Zugriffskontrolle, Zweitfaktor-Authentifizierung beim administrativen Zugriff, die Beschränkung des administrativen Zugriffs auf die kleinstmögliche arbeitsfähige Gruppe, Ratenbegrenzung an sensiblen Endpunkten, die Entfernung personenbezogener Daten aus Fehlerdiagnosen vor der Übermittlung sowie Sicherungen, die eine Point-in-Time-Wiederherstellung innerhalb der Datenbank zusammen mit getrennt davon gehaltenen verschlüsselten Momentaufnahmen umfassen.

11.3 Personal mit Zugriff auf personenbezogene Daten unterliegt einer Vertraulichkeitspflicht und erhält seiner Funktion angemessene Anweisungen. Der Zugriff wird nach dem Prinzip der geringsten Berechtigung gewährt und entzogen, sobald er nicht mehr benötigt wird.

11.4 Keine Maßnahme beseitigt das Risiko vollständig. Vermutet eine Person, dass ein Konto kompromittiert wurde oder eine Schwachstelle besteht, sollte die Angelegenheit an privacy@dentalpolyglot.com gemeldet werden, und wir werden die Sache untersuchen.

12. Verletzungen des Schutzes personenbezogener Daten

12.1 Wir unterhalten ein dokumentiertes Verfahren zur Erkennung, Bewertung, Eindämmung und Aufzeichnung von Verletzungen des Schutzes personenbezogener Daten, und jede Verletzung wird aufgezeichnet, unabhängig davon, ob sie meldepflichtig wird.

12.2 Handeln wir als Verantwortlicher und ist eine Verletzung wahrscheinlich mit einem Risiko für die Rechte und Freiheiten natürlicher Personen verbunden, benachrichtigen wir die zuständige Aufsichtsbehörde unverzüglich und, soweit möglich, binnen zweiundsiebzig Stunden nach Kenntniserlangung, gemäß Article 33 of the GDPR. Ist das Risiko hoch, unterrichten wir zudem die betroffenen Personen gemäß Article 34.

12.3 Handeln wir als Auftragsverarbeiter, benachrichtigen wir die betroffene Klinik unverzüglich nach Kenntniserlangung von einer Verletzung, in jedem Fall binnen achtundvierzig Stunden, gemäß Article 33(2) of the GDPR und dem Auftragsverarbeitungsvertrag. Die Klinik bestimmt sodann, welche Meldung ihre eigenen Pflichten verlangen.

12.4 Unsere Meldung gibt die Art der Verletzung an, die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze, die voraussichtlichen Folgen, die getroffenen oder vorgeschlagenen Maßnahmen sowie die Kontaktstelle, bei der weitere Auskünfte erhältlich sind.

13. Ihre Rechte

13.1 Vorbehaltlich der jeweils von der GDPR daran geknüpften Voraussetzungen hat eine betroffene Person das Auskunftsrecht nach Article 15, das Recht auf Berichtigung nach Article 16, das Recht auf Löschung nach Article 17, das Recht auf Einschränkung der Verarbeitung nach Article 18, das Recht auf Datenübertragbarkeit nach Article 20 und das Widerspruchsrecht nach Article 21. Beruht die Verarbeitung auf einer Einwilligung, kann diese jederzeit nach Article 7(3) widerrufen werden, ohne dass die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung berührt wird.

13.2 Eine Anfrage kann an privacy@dentalpolyglot.com gesendet werden oder, sofern ein Anfrageformular auf unserer Website veröffentlicht ist, über dieses Formular eingereicht werden. Es wird keine Gebühr erhoben, außer wenn eine Anfrage offenkundig unbegründet oder exzessiv ist; in diesem Fall können wir eine angemessene Gebühr erheben oder die Bearbeitung ablehnen, wobei wir dies begründen.

13.3 Wir antworten unverzüglich und in jedem Fall binnen eines Monats nach Eingang. Ist eine Anfrage komplex, oder sind mehrere Anfragen eingegangen, kann die Frist um weitere zwei Monate verlängert werden, wobei wir die betroffene Person innerhalb des ersten Monats über die Verlängerung und deren Gründe unterrichten.

13.4 Können wir die anfragende Person anhand der übermittelten Angaben nicht identifizieren, können wir um weitere zur Bestätigung der Identität ausreichende Angaben bitten. Wir bitten nur um das Erforderliche und verwenden die zu diesem Zweck übermittelten Angaben zu keinem anderen Ziel.

13.5 Betrifft eine Anfrage Patientendaten, ist die Klinik Verantwortlicher, und die Anfrage ist zutreffend an sie zu richten. Kontaktiert uns ein Patient unmittelbar, leiten wir die Anfrage unverzüglich an die betreffende Klinik weiter, unterrichten den Patienten darüber und unterstützen die Klinik bei der Beantwortung, wie es Article 28(3)(e) of the GDPR verlangt.

14. Beschwerde bei einer Aufsichtsbehörde

14.1 Eine Person, die der Auffassung ist, dass unsere Verarbeitung gegen das Datenschutzrecht verstößt, kann gemäß Article 77 of the GDPR bei einer Aufsichtsbehörde Beschwerde einlegen, im Mitgliedstaat ihres gewöhnlichen Aufenthalts, ihres Arbeitsortes oder des Ortes des mutmaßlichen Verstoßes.

14.2 Unsere federführende Aufsichtsbehörde ist die Nationale Aufsichtsbehörde für die Verarbeitung personenbezogener Daten Rumäniens (National Supervisory Authority for Personal Data Processing of Romania), B-dul General Gheorghe Magheru nr. 28-30, Sector 1, 010336 Bucharest, Rumänien, erreichbar unter anspdcp@dataprotection.ro und unter https://www.dataprotection.ro.

14.3 Die Anrufung einer Aufsichtsbehörde schließt einen gerichtlichen Rechtsbehelf nicht aus, und eine Person kann auch nach Articles 79 and 82 of the GDPR vor den zuständigen Gerichten klagen.

14.4 Wir würden es üblicherweise vorziehen, ein Anliegen unmittelbar zu klären, und eine Anfrage an privacy@dentalpolyglot.com ist oft der schnellere Weg, doch ist niemand verpflichtet, uns zu kontaktieren, bevor er sich an eine Behörde wendet.

15. Automatisierte Entscheidungsfindung, Profiling und Künstliche Intelligenz

15.1 Wir treffen keine Entscheidungen, die rechtliche Wirkung gegenüber einer Person entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen, ausschließlich gestützt auf automatisierte Verarbeitung im Sinne von Article 22 of the GDPR.

15.2 Künstliche Intelligenz wird verwendet, um Inhalte und Nachrichten zu übersetzen, Text aus Behandlungsplan-Dokumenten zu extrahieren und einen dialogbasierten Assistenten zu betreiben. Keine dieser Funktionen bewertet eine Person, vergibt ihr eine Punktzahl oder bestimmt ein sie betreffendes Ergebnis.

15.3 Der dialogbasierte Assistent legt beim ersten Kontakt offen, dass er ein künstliches Intelligenzsystem ist, in Erfüllung von Article 50(1) and Article 50(5) of Regulation (EU) 2024/1689, anwendbar seit 2 August 2026. Automatisch übersetzte Nachrichten werden dort, wo sie angezeigt werden, gekennzeichnet.

15.4 Inhalte, die an unseren Anbieter künstlicher Intelligenz übermittelt werden, sind vertraglich von der Nutzung zum Training oder zur Verbesserung von Modellen ausgeschlossen, und die in Abschnitt 9.2 beschriebenen Übermittlungsschutzmaßnahmen finden auf sie Anwendung.

15.5 Automatisierte Systeme werden beim Betrieb der Ratenbegrenzung und der Missbrauchsprävention eingesetzt sowie bei der in der Richtlinie zu Urheberrecht, Inhaltslizenz und Melde- und Abhilfeverfahren beschriebenen automatisierten Prüfung von Werbesprache. Trägt eine solche Prüfung zu einer Entscheidung bei, Inhalte zu beschränken, wird offengelegt, dass die Entscheidung automatisierte Mittel einbezogen hat, und ein Mitglied unseres Personals überprüft sie auf Anfrage erneut.

16. Datenschutzbeauftragter und unsere Datenschutzkontaktadresse

16.1 Wir haben keinen Datenschutzbeauftragten benannt. Die diese Position stützende Bewertung ist dokumentiert, wird mindestens jährlich überprüft und beruht auf folgender Begründung.

16.2 Article 37(1)(c) of the GDPR verlangt eine Benennung, wenn die Kerntätigkeit eines Verantwortlichen oder Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten besteht. Der Empfang, die Speicherung und die Übersetzung von Patienten-Gesundheitsanfragen sind untrennbar mit unserem Produkt verbunden, sodass das Kerntätigkeits-Kriterium erfüllt ist, und wir behaupten nichts anderes. Das Kriterium des großen Umfangs wird anhand der Anzahl der betroffenen Personen, des Datenvolumens, der Dauer der Verarbeitung und ihrer geografischen Ausdehnung bewertet, und beim gegenwärtigen Umfang unserer Tätigkeit gehen wir davon aus, dass es nicht erfüllt ist.

16.3 Die Bewertung wird beim Eintritt eines der folgenden Ereignisse überdacht, je nachdem, welches zuerst eintritt: Erreichen von zehn aktiven Klinik-Abonnenten; Betrieb aktiver Abonnenten in zwei oder mehr Ländern; jede Verarbeitung einer nationalen Identifikationsnummer oder anderer besonderer Kategorien von Daten auf der Grundlage berechtigter Interessen, was in jedem Fall Article 4 of Law no. 190/2018 auslösen würde; jede neue Verarbeitung besonderer Datenkategorien außerhalb des gegenwärtigen Produktumfangs; oder der Ablauf von zwölf Monaten seit der letzten Bewertung.

16.4 Sollte die Benennung verpflichtend werden, werden wir einen externen Datenschutzbeauftragten im Rahmen eines Dienstleistungsvertrags bestellen, wie Article 37(6) of the GDPR es erlaubt, die Nationale Aufsichtsbehörde für die Verarbeitung personenbezogener Daten benachrichtigen und die Kontaktangaben in dieser Erklärung veröffentlichen.

16.5 Bis dahin ist privacy@dentalpolyglot.com unsere benannte Datenschutzkontaktadresse. Die Adresse ist kein Datenschutzbeauftragter im Sinne von Article 37, und wir beschreiben sie dementsprechend, statt einen gegenteiligen Eindruck entstehen zu lassen. Anfragen, Beschwerden und Korrespondenz zu Datenschutzverletzungen werden über sie geleitet.

17. Kinder

17.1 Der Dienst wird von beruflichen Unternehmen abonniert, und Konten werden nicht von oder für Kinder eröffnet.

17.2 Patienten, die eine Klinik über eine Mandanten-Website kontaktieren, können minderjährig sein. Die Bestimmung des Alters, ab dem ein Minderjähriger einwilligen kann, sowie die Einholung der Zustimmung eines Trägers der elterlichen Verantwortung, soweit Article 8 of the GDPR dies verlangt, sind Sache der Klinik als Verantwortlicher, und die Altersschwellen unterscheiden sich zwischen den Mitgliedstaaten. Der von uns gepflegte Patienten-Datenschutzhinweis enthält kurze Hinweise, die die die Person, die ein Formular ausfüllt, auf diesen Punkt aufmerksam machen.

17.3 Werden wir gewahr, dass Daten eines Kindes ohne die erforderliche Zustimmung übermittelt wurden, unterrichten wir die betreffende Klinik, damit sie entsprechend handeln kann.

18. Cookies und ähnliche Technologien

18.1 Wir setzen fünf First-Party-Cookies und keine weiteren, vier davon technisch notwendig und der fünfte zur Aufzeichnung einer vom Besucher gewählten Sprache, wir setzen keine Werbe-Tracker ein, und wir zeigen kein Einwilligungsbanner an, aus den in der Cookie-Richtlinie erläuterten Gründen.

18.2 Die Cookie-Richtlinie legt Name, Zweck und Dauer jedes Cookies fest, die Behandlung von Local Storage, den cookielosen Messansatz sowie die Position bei gehosteten Kliniken-Websites. Das Thema wird hier nicht wiederholt.

19. Änderungen dieser Erklärung

19.1 Diese Erklärung wird mindestens jährlich überprüft sowie immer dann, wenn eine wesentliche Änderung am Dienst, an unseren Unterauftragsverarbeitern, an unseren Übermittlungsmechanismen oder am für uns geltenden Recht vorgenommen wird.

19.2 Die aktuelle Fassung und das Datum ihrer letzten Überarbeitung werden unter https://dentalpolyglot.com veröffentlicht. Wirkt sich eine Änderung wesentlich auf unsere Abonnenten aus, unterrichten wir sie vor Wirksamwerden an ihrer registrierten E-Mail-Adresse.

19.3 Überholte Fassungen werden aufbewahrt und auf Anfrage an privacy@dentalpolyglot.com zur Verfügung gestellt, damit eine Person feststellen kann, welche Fassung zu einem bestimmten Zeitpunkt galt.

20. Kontakt

20.1 DTCONCIERGE S.R.L., Aleea Călărașilor nr. 5, bl. G, ap. 54, Municipiul Sibiu, județul Sibiu, Rumänien. Datenschutzkorrespondenz: privacy@dentalpolyglot.com. Allgemeine Korrespondenz: service@dentalpolyglot.com. Website: https://dentalpolyglot.com.