Zum Inhalt springen

Datenschutzerklärung

Stand: 28. Oktober 2026

Diese Erklärung beschreibt, wie die Josef Kirchhofer & Phillip Rosenheinrich GbR (Marke „RehabPilot“, Destouchesstr. 3, 80803 München — „wir“) personenbezogene Daten verarbeitet, wenn Sie die Website rehabpilot.org, das Kundenkonto und Lizenzdienste für RehabPilot nutzen. Anbieterangaben finden Sie im Impressum.

Praxis- und Patienten-App

RehabPilot besteht aus einer Praxis-App für Physiotherapeuten und einer kostenlosen Patienten-App. Praxen legen Patientenakten, Übungspläne und Wochenpläne an; Patienten melden sich an, um ihrem Plan zu folgen. Patientenbezogene Gesundheitsdaten werden von der Praxis als Verantwortlicher und von uns als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags verarbeitet.

Die Apps kontaktieren unseren Dienst mit einer Konto-/Abo-Kennung, um den Tarif der Praxis und die Lizenzanzahl zu prüfen. Die Inhalte der Patientenpläne, Nachrichten und Medien nutzen wir ausschließlich zur Bereitstellung des Dienstes. Technisch könnten wir als Betreiber auf diese Daten zugreifen. Wir tun das ausschließlich auf ausdrückliche, dokumentierte Anfrage der Praxis (z. B. im Support) oder im akuten Sicherheitsnotfall und verwenden oder geben die Daten niemals für eigene Zwecke weiter (siehe AVV § 3a).

Patienten nutzen die Patienten-App im Auftrag ihrer Praxis. Die Praxis stellt die Datenschutzinformation (Art. 13/14 DSGVO) bereit und legt die Rechtsgrundlage fest; wir verarbeiten als Auftragsverarbeiter. App-Nutzung: Nutzungsbedingungen Patienten-App.

Kommunikation Praxis ↔ Patient

  • In-App-Nachrichten: Praxis und Patient können Textnachrichten in der App austauschen (inkl. Reaktionen). Nachrichten werden serverseitig 30 Tage gespeichert und danach automatisch gelöscht. Optional gibt es Push-Benachrichtigungen über Firebase Cloud Messaging, sofern Sie Push-Benachrichtigungen erlaubt haben; ungelesene Nachrichten erscheinen außerdem als Hinweis in der App.
  • Einladungs-E-Mails: Die Praxis kann Patienten per E-Mail einladen (Anmeldung per E-Mail-Link / Zugang zur Patienten-App).
  • Wochenplan-PDF: Die Praxis kann den aktuellen Wochenplan als PDF an die hinterlegte Patienten-E-Mail senden. Der Versand erfolgt per E-Mail über Amazon SES mit Transportverschlüsselung, soweit der empfangende Mailserver sie unterstützt; E-Mail ist nicht durchgehend verschlüsselt. Die Praxis entscheidet über den Einsatz dieser Funktion.
  • Anmelde-E-Mails: Login-Codes und E-Mail-Links zur Anmeldung.

Diese Nachrichten und E-Mails dienen der Therapiebegleitung und dem Betrieb des Dienstes — nicht der Werbung. Optionaler Newsletter (Marketing) bleibt ein eigener Opt-in mit Double-Opt-In.

Gesundheitsdaten (Art. 9 DSGVO)

Übungspläne, Sitzungsnotizen, Fortschrittsdaten, In-App-Nachrichten und zugehörige Patienteninformationen können besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO darstellen. Die behandelnde Praxis ist Verantwortlicher und bestimmt die Rechtsgrundlage nach Art. 9 (typischerweise Gesundheitsversorgung nach Art. 9 Abs. 2 lit. h DSGVO im EWR, zusammen mit nationalem Recht). Wir verarbeiten diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags (AVV). Der aktuelle AVV wird bei Testzugang/Checkout per Clickwrap akzeptiert; Fassung und Anlagen: /de/avv/ (EN: /en/dpa/). UK- und CH-Praxen akzeptieren zusätzlich die jeweiligen Addenda. Enterprise-PDF auf Anfrage: [email protected].

Daten in den Apps (zusätzlich zur Website)

  • Patientenstamm: Name, E-Mail, optionale Notizen und Avatar der Praxis.
  • Therapieinhalte: Pläne, Übungen, Wiederholungen, Sitzungsnotizen, Abschluss-/Fortschrittsdaten.
  • Medien: Übungsfotos und -videos sowie Avatare im Medienspeicher bei Cloudflare (Speicherregion Westeuropa). Medien werden vor dem Upload in der App mit einem anerkannten, modernen Verschlüsselungsverfahren verschlüsselt; bei Cloudflare liegen nur verschlüsselte Daten. Diese Verschlüsselung ist immer aktiv und kann weder von der Praxis noch von Nutzern abgeschaltet werden. Die Schlüssel liegen ausschließlich auf unseren Servern in Deutschland (Amazon Web Services, Frankfurt); dort werden Medien kurzzeitig entschlüsselt, um verschlüsselte Vorschaubilder zu erzeugen. Die Ablage erfolgt über pseudonyme, zufällige Kennungen ohne Personen- oder Patientennamen; die Zuordnung zur Patientenakte erfolgt nur auf unseren Servern in Deutschland.
  • Sprachdiktat (optional): optionales Sprachdiktat in den RehabPilot-Apps. Sitzungsnotizen und Nachrichten: Erkennung geräteintern in der RehabPilot-App (Offline-Sprachmodell); Audio wird nicht an RehabPilot-Server gesendet; optional einmaliger Download des Offline-Sprachmodells (ca. 140 MB) — nur Modelldaten, kein Mikrofon-Audio. Katalogfelder (Übungstitel, Planbeschreibungen u. Ä.): bevorzugt Betriebssystem-Spracherkennung (Apple bzw. Google); dabei kann Audio an die Spracherkennungsdienste des Geräteherstellers übermittelt werden — nicht an RehabPilot-Server; dort nur generische Übungs-/Plantitel, keine klinischen Notizen.
  • Demonstrationsbilder: einzelne gebündelte Übungs- und Marketingmotive sind KI-generierte Darstellungen (keine Patientenfotos) und werden in App und Website dort gekennzeichnet, wo es vorgeschrieben ist.
  • Nachrichten: Inhalt und Metadaten der In-App-Kommunikation (siehe oben).
  • Authentifizierung: Anmeldung ohne Passwort per E-Mail-Link oder Login-Code; optional Google Sign-In oder Sign in with Apple (Identitätsdaten vom Anbieter); in der Praxis zusätzlich Therapeuten-PIN. Login-Codes und PINs werden nur in nicht umkehrbarer Form gespeichert. Die Apps bieten keine Zwei-Faktor-Authentifizierung (2FA) und kein separates Betreiber-Audit-Log.
  • Ein Login für mehrere Praxen: Ein Patienten-Login gilt pro E-Mail-Adresse. Haben mehrere Praxen Sie mit derselben E-Mail-Adresse eingetragen, nutzen Sie denselben Login; wird Ihr Eintrag bei einer Praxis gelöscht, wird der Login automatisch mit dem Eintrag einer anderen Praxis verknüpft, die Sie mit dieser Adresse geführt hat. Jede Praxis sieht nur die Daten, die sie selbst angelegt hat. Für das Login-Konto selbst (E-Mail-Adresse, Anmeldedaten, Verknüpfung) sind wir Verantwortlicher; Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO.
  • Gerät / Offline: lokaler Zwischenspeicher auf dem Gerät für Offline-Nutzung.
  • Fehlerprotokoll: App-Fehler werden nur lokal auf dem Gerät protokolliert und beim Abmelden gelöscht. Die Apps nutzen keine Nutzungsanalyse und senden keine Absturzberichte an Dritte.

Daten auf dieser Website

  • Konto & Checkout: E-Mail-Adresse, Name, Telefonnummer (optional), Passwort (nur in nicht umkehrbarer Form gespeichert) sowie nach dem Kauf eine Stripe-Kunden-ID.
  • Testzugang: E-Mail-Adresse, Praxisname, Land der Praxis, Clickwrap-Annahme des AVV/DPA (inkl. UK-/CH-Addenda falls nötig), Hinweis auf AGB und Datenschutzerklärung sowie optionaler Newsletter-Opt-in. Daraus entstehen Praxis- und Kundenkonto-Datensätze (Lizenzstatus „Trial“).
  • Abonnements & Lizenzen: Tarif, Status, Ablaufdatum, verknüpfte E-Mail, Praxis-Kennung, Anzahl der Therapeuten-Lizenzen und App-Version.
  • Anmeldung: Sitzungs-Cookie, das für Skripte nicht lesbar ist, Browser-Kennung (User-Agent) und Zeitstempel der letzten Nutzung. Die Anmeldung per E-Mail-Link nutzt einen kurzlebigen, per E-Mail versandten Link.
  • Abrechnung: Zahlungs- und Rechnungsdaten werden von Stripe erhoben und verarbeitet (Kartendaten, Rechnungsadresse, Steuerinformationen). Wir erhalten eingeschränkte Abrechnungsmetadaten von Stripe (Kunden-ID, Abo-Status, Rechnungen).
  • Server-Logs: IP-Adresse, Anfragemetadaten und Zeitstempel in Standard-Webserver-Logs (regelmäßige Rotation).
  • Website-Cookies & Marketing: siehe Cookie-Richtlinie (Einwilligungs-Banner, essenzielle und optionale Marketing-Cookies).
  • Reichweitenmessung: cookielose Messung mit PureMetrix (Hosting Deutschland); Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO — Details in der Cookie-Richtlinie.
  • E-Mail: Transaktionsnachrichten (Willkommen, Login-Links, Lizenzzustellung, Abrechnung, Patienteneinladungen, Wochenplan-PDFs) über Amazon SES in der EU-Region Frankfurt.

Für technisch notwendige Cookies brauchen wir kein separates Banner. Präferenz-Cookies können Sie im Browser löschen. Marketing-Dienste werden erst nach Freigabe dieser Kategorie im Einwilligungs-Banner geladen; Ihre Auswahl können Sie jederzeit über „Cookie-Einstellungen“ im Footer ändern oder widerrufen.

Zwecke und Rechtsgrundlagen (DSGVO)

  • Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Kontoerstellung, Lizenzbereitstellung, Testzugang, Checkout, Abo-Verwaltung, App-Betrieb (inkl. In-App-Nachrichten und Therapie-E-Mails) sowie kaufbezogener Support.
  • Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Betrugsprävention, Rate-Limiting, Sicherheitsprotokollierung, Betriebssicherheit, eigene cookielose Reichweitenmessung (Seitenaufrufe und ausgewählte Produkt-Ereignisse), Zuordnung von Empfehlungscodes im Partnerprogramm; abgewogen gegen Ihre Rechte.
  • Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): steuer- und handelsrechtliche Aufbewahrung, soweit anwendbar.
  • Einwilligung (Art. 6 Abs. 1 lit. a DSGVO / § 25 TDDDG): optionale Marketing-Cookies (Google Ads) über das Einwilligungs-Banner; optionaler Newsletter beim Testzugang (Double-Opt-In). Therapiebezogene Kommunikation der Praxis ist kein Newsletter-Opt-in.

Empfänger und Auftragsverarbeiter

  • Stripe, Inc. — Zahlungsabwicklung und Kundenportal. Stripe-Datenschutzerklärung
  • Hosting der Apps — Betrieb von App, API und Datenbanken auf von uns betriebenen Servern auf Amazon Web Services in Frankfurt, Deutschland (AWS-Region eu-central-1); Trennung der Daten je Praxis. AV-Vertrag mit dem Cloud-Anbieter liegt vor.
  • Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) — Hosting dieser Website rehabpilot.org einschließlich der Webserver-Logs der Website, Serverstandort Deutschland; AV-Vertrag liegt vor. Hetzner verarbeitet keine Praxis- oder Patientendaten der Apps.
  • Cloudflare, Inc. — Medienspeicher in Westeuropa für Übungsmedien und Avatare (nur verschlüsselte Daten; keine Klarnamen oder Befunde); Auslieferung und Schutz der Website.
  • Amazon Web Services EMEA SARL (Amazon SES) — Transaktions-E-Mails für Anmelde-Links, Einladungen und Plan-PDFs (EU-Region Frankfurt).
  • Google Ireland Ltd. / Google LLC — Push-Benachrichtigungen (Firebase Cloud Messaging), nur neutraler Text; Google Sign-In bei Nutzung in den Apps; Google Ads und Google Tag Manager auf dieser Marketing-Website (nur nach Einwilligung).
  • Apple Inc. — Sign in with Apple bei Nutzung in den Apps.
  • PureMetrix (Lydia Rebers, München) — cookielose Reichweitenmessung dieser Website, Hosting in Deutschland.
  • Cal.com, Inc. — Terminbuchung auf der Website (per Klick oder nach Marketing-Einwilligung).

Vollständige Liste: Unterauftragsverarbeiter.

Infrastruktur: App-Hosting, Datenbanken, Medienspeicher und E-Mail-Versand der Apps bei Anbietern mit BSI-C5-Testat (Amazon Web Services, Cloudflare); die Website rehabpilot.org wird bei Hetzner in Deutschland gehostet. Das Testat gilt nur für diese Dienste der Anbieter, nicht für RehabPilot selbst und nicht für weitere Dienste wie Push oder Zahlungen. Testate: AWS BSI-C5-Testat, Cloudflare BSI-C5-Testat. Ob § 393 SGB V für ihre Tätigkeit gilt, prüft die Praxis selbst.

Wir verkaufen Ihre personenbezogenen Daten nicht.

Drittlandübermittlung

Stripe, Cloudflare, Google, Apple und einige Infrastrukturanbieter können Daten außerhalb des EU/EWR verarbeiten. Wo erforderlich, stützen sich Übermittlungen auf das EU-US Data Privacy Framework (soweit der Anbieter zertifiziert ist) bzw. auf EU-Standardvertragsklauseln und die Auftragsverarbeitungsbedingungen des Anbieters.

Speicherdauer

  • Kundenkonto und Lizenzdaten: für die Dauer des Kontos bzw. der Lizenz, zuzüglich gesetzlicher Aufbewahrungsfristen für Rechnungen.
  • Patienten- und Therapiedaten: solange die Praxis den Patienten führt bzw. der AVV besteht; automatische Löschung 10 Jahre nach der letzten Aktivität des Patienten (abweichende Frist oder Ausnahme einzelner Patienten auf Weisung der Praxis), im Übrigen Löschung auf Weisung der Praxis.
  • In-App-Nachrichten: 30 Tage, danach automatische Löschung.
  • Erledigungen und Workout-Bewertungen (Trainingsverlauf): 180 Tage.
  • Support-Anfragen: 12 Monate nach ihrem Abschluss.
  • Geräte- und Push-Tokens: nach 180 Tagen Inaktivität.
  • Aufträge zum PDF-Versand von Wochenplänen: 30 Tage.
  • Datenbank-Backups (AWS RDS): 7 Tage, danach werden sie überschrieben.
  • Temporäre Checkout-Daten (vor Zahlungsabschluss): bis zu 24 Stunden.
  • Anmelde-Links / Login-Codes: kurzlebig (typischerweise Stunden).
  • Webserver-Logs (IP-Adresse, Anfragemetadaten): werden regelmäßig rotiert und automatisch gelöscht; Logs, die zur Aufklärung eines Sicherheitsvorfalls benötigt werden, bis zu dessen Abschluss.
  • Empfehlungscode: zusammen mit den Abonnement- und Abrechnungsdaten.

Widerspruch (Art. 21 DSGVO)

Verarbeiten wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) — z. B. Sicherheitsprotokollierung oder cookielose Reichweitenmessung — können Sie jederzeit widersprechen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben. Wir stellen die Verarbeitung dann ein, es sei denn, zwingende schutzwürdige Gründe überwiegen oder die Verarbeitung dient der Geltendmachung von Ansprüchen. Widerspruch an [email protected].

Ihre Rechte

Nach der DSGVO haben Sie u. a. das Recht auf:

  • Auskunft, Berichtigung und Löschung;
  • Einschränkung der Verarbeitung und Widerspruch (u. a. Art. 21, siehe oben);
  • Datenübertragbarkeit, soweit anwendbar (Patienten können ihre eigenen Daten in der Patienten-App exportieren: Profil, Pläne, Übungen, Wochenpläne, Sitzungsnotizen, Nachrichten, Medien-Metadaten und Abschlussdatensätze; einen Gesamtexport der Praxisdaten stellt RehabPilot der Praxis über den Support als JSON bereit);
  • Widerruf erteilter Einwilligungen (ohne Beeinträchtigung der bis dahin rechtmäßigen Verarbeitung);
  • Beschwerde bei einer Aufsichtsbehörde — in Deutschland bei der zuständigen Landesdatenschutzbehörde (in Bayern: Bayerisches Landesamt für Datenschutzaufsicht).

Wenden Sie sich an [email protected]. Patienten richten Anfragen zu Therapiedaten bevorzugt an ihre Praxis (Verantwortlicher); wir unterstützen als Auftragsverarbeiter. Abrechnungsdaten können Sie im Kundenkonto oder im Stripe-Kundenportal verwalten, sofern verfügbar.

Wir haben keinen Datenschutzbeauftragten nach Art. 37 DSGVO bestellt. Die oben genannte Adresse ist auch Ansprechpartner für DSFA- und Verarbeitungsverzeichnis-Fragen von Praxen (Unterstützung als Auftragsverarbeiter nach AVV).

Sicherheit

Die Apps nutzen keine Passwörter (Anmeldung per E-Mail-Link oder Login-Code, optional Google/Apple Sign-In und PIN); ein Passwort gibt es nur für das Web-Kundenportal. Kein 2FA und kein automatischer Logout bei Inaktivität in den Apps. Portal-Passwörter, Login-Codes und PINs werden nur in nicht umkehrbarer Form gespeichert. Die Verbindung ist stets verschlüsselt (HTTPS). Medien werden vor dem Upload verschlüsselt; diese Verschlüsselung ist immer aktiv und kann nicht abgeschaltet werden. Die Daten sind je Praxis getrennt. Der Zugang zu Produktionssystemen ist beschränkt. Keine Übertragungsmethode im Internet ist zu 100 % sicher; wir schützen Ihre Daten mit angemessenen technischen und organisatorischen Maßnahmen.

Kinder

Unser Angebot richtet sich an Physiotherapie-Praxen und ihre Behandler. Patientenkonten werden auf Weisung der behandelnden Praxis angelegt. Wir erheben wissentlich keine Daten von Kindern unter 16 Jahren ohne Mitwirkung der verantwortlichen Praxis und — soweit erforderlich — eines Erziehungsberechtigten.

Änderungen

Bei Änderungen unserer Dienste oder rechtlicher Anforderungen passen wir diese Erklärung an. Das Datum „Stand“ oben kennzeichnet die aktuelle Fassung.

Kontakt

RehabPilot
Josef Kirchhofer & Phillip Rosenheinrich GbR
Destouchesstr. 3 · 80803 München · Deutschland
E-Mail: [email protected]