1. Verantwortlicher
Verantwortlich im Sinne der DSGVO ist Yhab Hammoud, Sandkamp 7, 22111 Hamburg, Deutschland, hammoudyhab@gmail.com.
Für Inhalte, die Anbieter:innen über ihre Klient:innen erfassen — insbesondere Anamnesebögen und Sitzungsnotizen — ist die jeweilige Anbieterin oder der jeweilige Anbieter Verantwortliche:r. Oasis verarbeitet diese Daten ausschließlich weisungsgebunden als Auftragsverarbeiter (siehe Abschnitt 6).
2. Verarbeitungszwecke und Rechtsgrundlagen
| Zweck | Daten | Rechtsgrundlage |
|---|---|---|
| Bereitstellung der Website | IP-Adresse, Zeitpunkt, angeforderte Ressource | Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb) |
| Konto und Anmeldung | Name, E-Mail-Adresse, Passwort-Hash | Art. 6 Abs. 1 lit. b DSGVO |
| Buchungen und Zahlungsabwicklung | Name, E-Mail, Termin, Leistung, Zahlungsstatus | Art. 6 Abs. 1 lit. b DSGVO |
| Anbieterprofile und Verzeichnis | Berufsbezeichnung, Angebot, Ort, öffentliche Kontaktdaten | Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO |
| Gesundheitsbezogene Angaben in Anamnesebögen | Freiwillige Angaben der buchenden Person | Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) |
| Bewertungen | Bewertungstext, Datum der Erfahrung, Buchungsbezug | Art. 6 Abs. 1 lit. f DSGVO (Transparenz im Marktplatz) |
| Meldepflicht als Plattformbetreiber | Name, Anschrift, Geburtsdatum, Steuer-ID, Entgelte | Art. 6 Abs. 1 lit. c DSGVO i. V. m. PStTG |
Gesundheitsbezogene Angaben sind stets freiwillig. Eine Buchung ist auch ohne solche Angaben möglich; die Anbieterin oder der Anbieter kann in diesem Fall die Vorbereitung der Sitzung anders gestalten.
3. Aufnahme in das Anbieterverzeichnis (Art. 14 DSGVO)
Um das Verzeichnis nutzbar zu machen, legen wir für einzelne Anbieter:innen ein noch nicht beanspruchtes Profil an. Grundlage sind ausschließlich Informationen, die diese Personen selbst beruflich öffentlich zugänglich gemacht haben — etwa Berufsbezeichnung, Leistungsangebot, öffentliche Geschäftsadresse und öffentlich veröffentlichte Kontaktwege.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse ist der Aufbau eines vollständigen, für Suchende nutzbaren Verzeichnisses.
- Herkunft der Daten: öffentlich zugängliche berufliche Quellen. Es werden keine Daten aus geschützten Bereichen und keine privaten Kontaktdaten übernommen.
- Es werden keine gesundheitsbezogenen Aussagen und keine Heilversprechen aus Fremdquellen übernommen.
- Betroffene werden bei der ersten Kontaktaufnahme über die Verarbeitung informiert (Art. 14 Abs. 3 DSGVO).
- Widerspruch nach Art. 21 DSGVO ist formlos möglich. Wir löschen das Profil dann innerhalb von 24 Stunden vollständig und ohne Rückfragen.
Löschung eines nicht beanspruchten Profils: eine formlose E-Mail an hammoudyhab@gmail.com genügt. Es ist keine Begründung erforderlich.
4. Empfänger und Auftragsverarbeiter
| Dienst | Zweck | Ort | Grundlage |
|---|---|---|---|
| Supabase (Supabase Inc.) | Datenbank, Authentifizierung, Datei-Speicher | EU (Frankfurt, eu-central-1) | AVV nach Art. 28 DSGVO; Verarbeitung ausschließlich in der EU |
| Vercel (Vercel Inc.) | Hosting und Auslieferung der Anwendung | EU (Frankfurt, fra1) mit globalem CDN | AVV nach Art. 28 DSGVO; EU-US Data Privacy Framework |
| Resend (Resend Inc.) | Versand von Transaktions-E-Mails (Buchungsbestätigungen, Erinnerungen) | EU / USA | AVV nach Art. 28 DSGVO; Standardvertragsklauseln |
| Stripe (Stripe Payments Europe, Ltd.) | Zahlungsabwicklung und Auszahlungen an Anbieter:innen | EU (Irland) | Eigenverantwortlicher Zahlungsdienstleister; Art. 6 Abs. 1 lit. b DSGVO |
5. Speicherdauer
- Kontodaten: bis zur Löschung des Kontos.
- Buchungs- und Rechnungsdaten: 10 Jahre (§ 147 AO, § 257 HGB).
- Angaben nach PStTG: 10 Jahre ab Ende des Meldezeitraums.
- Anamnesebögen und Sitzungsnotizen: nach Weisung der jeweiligen Anbieterin oder des Anbieters, längstens bis zur Löschung des Anbieterkontos.
- Server-Logs: 14 Tage.
6. Auftragsverarbeitung für Anbieter:innen
Anbieter:innen verarbeiten über Oasis personenbezogene Daten ihrer Klient:innen, darunter Gesundheitsdaten im Sinne von Art. 9 DSGVO. Dabei ist die Anbieterin oder der Anbieter Verantwortliche:r und Oasis Auftragsverarbeiter. Der Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO ist Bestandteil der Anbieterbedingungen und in einem eigenen Dokument abrufbar.
7. Ihre Rechte
- Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20).
- Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21).
- Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3).
- Beschwerde bei einer Aufsichtsbehörde (Art. 77), etwa der für unseren Sitz zuständigen Landesdatenschutzbehörde.
9. Einsatz KI-gestützter Funktionen
Einzelne Funktionen — etwa Textvorschläge beim Anlegen eines Profils und Übersetzungen — werden KI-gestützt erzeugt. Solche Inhalte sind gekennzeichnet (Art. 50 KI-VO) und werden vor Veröffentlichung von der jeweiligen Anbieterin oder dem Anbieter freigegeben. Gesundheitsbezogene Daten aus Anamnesebögen werden hierfür nicht verwendet.