Datenschutzerklärung

Stand: 25. Oktober 2026 · Version 3

Diese Erklärung hat zwei Teile: A gilt für alle Besucherinnen und Besucher der Website, B zusätzlich, wenn Sie eine schriftliche Zweitmeinung anfragen.

A1. Verantwortlicher

Omer Boshara, Facharzt für Orthopädie und Unfallchirurgie
Bergrather Str. 36, 52249 Eschweiler, Deutschland
E-Mail: boshara@spineboshara.com · Kontaktformular: spineboshara.com/de/contact/

Für Fragen zum Datenschutz erreichen Sie mich unter derselben Adresse. Eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten habe ich nicht benannt.

A2. Das Wichtigste in Kürze

• Ohne Ihre Einwilligung lädt die Website kein Google Analytics und keine Werbedienste. Schriften und Symbole liegen auf meinem eigenen Server.
• Besuche zähle ich ohne Cookies mit Matomo auf meinem eigenen Webspace (A6). Sie können dem jederzeit widersprechen.
• Google Analytics nutze ich nur, wenn Sie im Hinweis unten auf der Seite „Alle akzeptieren“ wählen oder es unter „Einstellungen“ einschalten. Ihre Wahl können Sie jederzeit unter „Cookie-Einstellungen“ ändern.
• Auf den Inhaltsseiten lädt die Website ein Skript des SEO-Dienstes ClickRank (A7).
• Antworten aus dem Fragebogen, Unterlagen und Gesundheitsangaben gehen nie an Google, Matomo oder andere Analysedienste.
• Unterlagen für die Zweitmeinung werden verschlüsselt in Frankfurt am Main gespeichert und nie per E-Mail versendet.

A3. Aufruf der Website (Server-Logdateien)

Die Website liegt bei meinem Hosting-Anbieter Hostinger International Ltd., 61 Lordou Vironos Street, Lumiel Building, 4. Stock, 6023 Larnaka, Zypern („Hostinger“). Beim Aufruf jeder Seite verarbeitet der Server technisch notwendig: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, die zuvor besuchte Seite (Referrer), Browser und Betriebssystem. Das dient der Auslieferung der Seite, der Stabilität und der Sicherheit (Abwehr von Angriffen). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse liegt im sicheren Betrieb der Website. Die Logdateien werden gelöscht, sobald sie für diese Zwecke nicht mehr erforderlich sind. Hostinger verarbeitet die Daten in meinem Auftrag (Art. 28 DSGVO); die Vereinbarung zur Auftragsverarbeitung ist Teil der Vertragsbedingungen von Hostinger. Die Verbindung ist per TLS verschlüsselt.

A4. Notwendige Speicherung in Ihrem Browser

Ohne Einwilligung speichere ich nur, was für eine von Ihnen gewünschte Funktion unbedingt nötig ist (§ 25 Abs. 2 Nr. 2 TDDDG):

• Ihre Auswahl im Cookie-Hinweis (sb_consent im lokalen Speicher Ihres Browsers, 12 Monate);
• wenn Sie der Besuchsstatistik widersprechen: diesen Widerspruch (sb_matomo_optout im lokalen Speicher, bis Sie ihn zurücknehmen oder den Speicher Ihres Browsers löschen).

Der Fragebogen speichert nichts in Ihrem Browser. Die anonyme Anmeldung, mit der Ihre Dateien Ihrer Anfrage zugeordnet werden, liegt nur im Arbeitsspeicher, bis Sie die Seite schließen. Diese Einträge werden nicht zu Analysezwecken genutzt.

A5. Google Analytics (nur mit Ihrer Einwilligung)

Wenn Sie einwilligen („Alle akzeptieren“ oder der Schalter „Statistik (Google Analytics)“ unter „Einstellungen“), nutze ich Google Analytics 4, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Ich sehe damit, wie viele Menschen die Website besuchen, über welche Wege sie kommen und welche Seiten ihnen helfen.

• Verarbeitete Daten: eine zufällige Kennung in einem Cookie (_ga, _ga_<ID>, Laufzeit 12 Monate), aufgerufene Seiten ohne Suchparameter (nur Kampagnen-Kennzeichen utm_… bleiben erhalten), verkürzte Herkunftsseite, Gerät, Browser, Bildschirmgröße, Sprache, ungefährer Standort (Land/Region, von Google aus der IP-Adresse abgeleitet; Google Analytics 4 speichert nach Angaben von Google keine IP-Adressen).
• Im Fragebogen sende ich nur drei Ereignisse: dass der Fragebogen begonnen wurde (form_start), dass eine Anfrage abgeschickt wurde (form_submit) und dass eine Zahlung von 149 € abgeschlossen wurde (purchase, mit einer Zufallsnummer, die nicht Ihrer Anfrage zugeordnet werden kann). Keine Antworten, keine Referenznummer, keine E-Mail-Adresse, keine Gesundheitsangaben. Damit die Zahlung nicht doppelt gezählt wird, merkt sich Ihr Browser bis zum Schließen des Tabs, dass dieses Ereignis gesendet wurde (sb_purchase_sent im Sitzungsspeicher) — nur mit Ihrer Einwilligung.
• Abgeschaltet: Google-Signale, Werbefunktionen und personalisierte Werbung; es gibt keine Verknüpfung mit Google-Konten. Die Ereignisdaten werden in Google Analytics nach 2 Monaten gelöscht.
• Rechtsgrundlage: Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.
• Widerruf: jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ unten auf jeder Seite; die Google-Analytics-Cookies werden dann gelöscht.
• Empfänger und Drittland: Google verarbeitet die Daten als mein Auftragsverarbeiter; eine Übermittlung an Google LLC in den USA ist möglich. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung beruht auf dem Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

A6. Besuchsstatistik ohne Cookies (Matomo)

Um zu sehen, wie viele Menschen die Website besuchen und welche Artikel Patientinnen und Patienten helfen, nutze ich die Open-Source-Software Matomo. Sie läuft auf meinem eigenen Webspace bei meinem Hosting-Anbieter (A3), unter analytics.spineboshara.com; die Daten gehen an keinen anderen Anbieter.

• Ohne Cookies: Matomo speichert nichts in Ihrem Browser und liest dort nichts aus. Es gibt keine Nutzerkennung, keinen Browser-Fingerabdruck, keine Heatmaps und keine Sitzungsaufzeichnungen.
• Verarbeitete Daten: aufgerufene Seite ohne Suchparameter (nur Kampagnen-Kennzeichen utm_… bleiben erhalten), verkürzte Herkunftsseite, Zeitpunkt, Browser, Betriebssystem, Gerätetyp und Sprache. Ihre IP-Adresse wird sofort um zwei Bytes gekürzt (z. B. 192.168.x.x) und nur gekürzt gespeichert.
• Im Fragebogen dieselben drei Ereignisse wie in A5 (form_start, form_submit, purchase mit dem Betrag 149 €), ohne Antworten, Referenznummer, E-Mail-Adresse oder Gesundheitsangaben.
• Speicherdauer: Die Einzeldaten werden nach 6 Monaten gelöscht; danach bleiben nur zusammengefasste Zahlen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist eine datensparsame Reichweitenmessung, um die Website zu verbessern. Für das Laden des Messskripts § 25 Abs. 2 Nr. 2 TDDDG.
• Widerspruch: Mit dem Schalter unten können Sie der Messung jederzeit widersprechen; Ihr Widerspruch wird in Ihrem Browser gespeichert (A4). Das Browser-Signal „Do Not Track“ beachte ich ebenfalls.

A7. Weitere Dienste auf der Website

• ClickRank (SEO-Werkzeug): Auf den Inhaltsseiten (nicht auf den Seiten zur Zweitmeinung und nicht im Fragebogen) lädt die Website ein Skript des SEO-Dienstes ClickRank (clickrank.ai), der nach seinen Nutzungsbedingungen von der ClickRank LLC betrieben wird (Kontakt laut ClickRank: support@clickrank.ai). Das Skript hilft, Seitentitel und Beschreibungen für Suchmaschinen zu verbessern. Beim Laden des Skripts werden Ihre IP-Adresse und technische Browserdaten an den Anbieter übermittelt; der Anbieter kann diese Daten außerhalb der EU verarbeiten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist, dass die Website in Suchmaschinen gut gefunden wird.
• Links zu anderen Seiten (z. B. LinkedIn): Erst wenn Sie einen solchen Link anklicken, gelangen Sie zum anderen Anbieter; vorher werden keine Daten übertragen.

A8. Kontaktformular und E-Mail

Über das Kontaktformular oder per E-Mail können Sie mir schreiben. Ich verarbeite Ihren Namen, Ihre E-Mail-Adresse und Ihre Nachricht, um Ihnen zu antworten (Art. 6 Abs. 1 lit. b DSGVO bei Fragen zu einer Anfrage oder einem Vertrag, sonst Art. 6 Abs. 1 lit. f DSGVO). Das Formular gibt Ihre Nachricht über eine Funktion bei Supabase in Frankfurt am Main (B4) als E-Mail an mein Postfach weiter; bei Supabase wird sie nicht gespeichert. Zum Schutz vor Missbrauch löst Ihr Browser zuerst eine kleine Rechenaufgabe; dabei wird nichts auf Ihrem Gerät gespeichert und nichts an Dritte übermittelt. Außerdem zählt die Funktion, wie viele Nachrichten insgesamt, über dieselbe Internetverbindung und für dieselbe E-Mail-Adresse eingehen. Dafür speichert sie nur einen codierten Wert (Keyed Hash) Ihrer IP-Adresse und Ihrer E-Mail-Adresse — nie die Adressen selbst und nie den Inhalt — und löscht ihn spätestens nach 24 Stunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Website und meines Postfachs vor Missbrauch). Mein Postfach liegt bei meinem Hosting-Anbieter (A3). Bitte senden Sie mir keine medizinischen Unterlagen, Bilder oder Gesundheitsangaben über das Formular oder per E-Mail; dafür ist der sichere Fragebogen der Zweitmeinung da. Ich lösche Nachrichten, wenn sie nicht mehr gebraucht werden; gehören sie zu einer Zweitmeinung, gilt B8.

B. Wenn Sie eine schriftliche Zweitmeinung anfragen

B1. Welche Daten ich verarbeite

• Kontaktangaben: Name, E-Mail-Adresse, Geburtsdatum, Wohnland.
• Wenn ein Elternteil oder Vormund die Zweitmeinung für eine Patientin oder einen Patienten unter 18 Jahren anfragt: Name, Verhältnis zum Kind und E-Mail-Adresse des Elternteils oder Vormunds sowie Name und Geburtsdatum des Kindes. Die unten genannten Gesundheitsdaten sind dann die des Kindes.
• Ihre behandelnde Ärztin oder Ihr behandelnder Arzt (freiwillig): Name, Klinik oder Praxis, Stadt, Land.
• Gesundheitsdaten: Ihre Antworten im Fragebogen (u. a. Beschwerden, Warnzeichen, Diagnose, empfohlene Behandlung, bisherige Behandlungen, frühere Operationen, Schmerzstärke, Ihre Frage) und Ihre Unterlagen (Arztbriefe, Befunde, Bilder).
• Ihre Erklärungen: welche Einwilligungen und Bestätigungen Sie abgegeben haben, mit Zeitpunkt, Sprache und Textfassung.
• Bearbeitungsdaten: Referenznummer, Status und Zeitpunkte Ihrer Anfrage, welche E-Mails Ihnen wann gesendet wurden, wann Ihr Berichts-Link zuerst geöffnet wurde.
• Zahlungsdaten: Betrag, Zahlungsstatus, Stripe-Kennungen, Erstattungen. Ihre Kartendaten erhalte ich nicht.

B2. Zwecke und Rechtsgrundlagen

Anfragen für Patientinnen und Patienten unter 18 Jahren. Der Elternteil oder Vormund gibt die ausdrückliche Einwilligung in die Verarbeitung der Gesundheitsdaten des Kindes (Art. 9 Abs. 2 lit. a DSGVO) für das Kind ab und erhält alle E-Mails und den Bericht. Er oder sie kann die Rechte des Kindes nach Abschnitt C für das Kind ausüben.

B3. Sicherheitsregeln im Fragebogen (keine automatisierte Entscheidung im Einzelfall)

Der Fragebogen nimmt keine Anfrage an, wenn Ihre Antworten auf einen Notfall hindeuten, wenn die Patientin oder der Patient jünger als 12 Jahre ist, wenn jemand unter 18 Jahren ihn ohne Elternteil oder Vormund ausfüllt oder wenn die Patientin oder der Patient in den USA oder Kanada wohnt; er zeigt Ihnen dann einen Hinweis. Das ist eine feste Sicherheits- und Zulassungsregel, keine Bewertung Ihrer Gesundheit. Über Ihre Zweitmeinung selbst entscheide immer ich persönlich. Sie können mir in jedem Fall per E-Mail schreiben.

B4. Speicherung und Zugriff

Ihre Angaben und Unterlagen werden bei Supabase gespeichert (Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513; Datenbank und Dateispeicher in Frankfurt am Main, Deutschland),
verschlüsselt übertragen und verschlüsselt gespeichert. Supabase ist mein Auftragsverarbeiter (Art. 28 DSGVO; der Auftragsverarbeitungsvertrag ist Teil der Supabase-Bedingungen). Zugriff auf Ihre Unterlagen habe nur ich, mit Passwort und zweitem Faktor; Unterlagen öffne ich über Links, die nach 10 Minuten ablaufen. Greift Supabase für Betrieb und Support von außerhalb der EU auf Daten zu (Supabase nennt Singapur und die USA), beruht das auf den Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Teil des Auftragsverarbeitungsvertrags von Supabase sind. Technische Protokolle von Supabase enthalten keine Antworten oder Unterlagen. Zum Schutz des Fragebogens vor automatisiertem Missbrauch läuft beim Absenden dieselbe Prüfung: eine kleine Rechenaufgabe in Ihrem Browser und eine Zählung je Internetverbindung, gespeichert nur als codierter Wert (Keyed Hash) der IP-Adresse und spätestens nach 24 Stunden gelöscht (Art. 6 Abs. 1 lit. f DSGVO).

B5. Zahlung über Stripe

Die Zahlung wickelt Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland ab. Stripe erhält von mir nur den Betrag, Ihre E-Mail-Adresse und Ihre Referenznummer — keine medizinischen Angaben. Ihre Zahlungsdaten geben Sie direkt auf der Seite von Stripe ein. Stripe verarbeitet Daten auch in eigener Verantwortung, etwa zur Betrugsverhinderung und für gesetzliche Pflichten; dafür gilt die Datenschutzerklärung von Stripe (stripe.com/de/privacy). Eine Übermittlung an Stripe, LLC (früher Stripe, Inc.) in den USA ist möglich; Stripe, LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

B6. E-Mails zu Ihrer Anfrage

E-Mails zu Ihrer Anfrage (z. B. Anforderung von Unterlagen, Ablehnung, Link zum Bericht, Code zum Öffnen) sende ich von boshara@spineboshara.com über die Mailserver meines Hosting-Anbieters (A3). Sie enthalten keine medizinischen Angaben und keine Anhänge, sondern nur Links, die ablaufen.

B7. Empfänger

Ihre Gesundheitsdaten gebe ich an niemanden weiter. Ausnahmen: die oben genannten Auftragsverarbeiter, die die Daten nur nach meiner Weisung speichern oder übertragen; Behörden, wenn ein Gesetz mich verpflichtet. Rechnungs- und Zahlungsdaten gebe ich an meine Steuerberaterin oder meinen Steuerberater weiter, soweit das für Buchhaltung und Steuern nötig ist (Art. 6 Abs. 1 lit. c DSGVO). Den Bericht geben nur Sie selbst an Ihre Ärztinnen und Ärzte weiter.

B8. Speicherdauer

B9. Pflicht zur Angabe

Sie sind nicht verpflichtet, mir Daten zu geben. Ohne die Pflichtangaben und Ihre Unterlagen kann ich die Zweitmeinung aber nicht erstellen.

C. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und das Recht, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3). Die Löschung kann durch gesetzliche Aufbewahrungspflichten (z. B. § 630f BGB) eingeschränkt sein; dann sperre ich die Daten für jede andere Verwendung. Schreiben Sie mir dafür an boshara@spineboshara.com. Sie haben außerdem das Recht auf eine Kopie Ihrer Patientenakte (§ 630g BGB).

Widerspruchsrecht (Art. 21 DSGVO): Soweit ich Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeite (A3, A6, A7, A8, B2 letzte Zeile), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem EU-Staat, in dem Sie leben oder arbeiten. Für mich zuständig ist: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

D. Änderungen

Ich passe diese Erklärung an, wenn sich die Website, die Dienste oder die Rechtslage ändern. Es gilt die hier veröffentlichte Fassung; für eine laufende Anfrage gilt die Fassung, die Sie bei der Anfrage gesehen haben, sofern ich Sie nicht über eine Änderung informiere.