Datenschutzerklärung

Stand: 15.10.2026

1. Verantwortlicher

Bouwensch Equity GmbH
Freisingergasse 26, 3400 Klosterneuburg, Österreich
Firmenbuchnummer FN 556887 b, Landesgericht Korneuburg
E-Mail: info [at] shenflow [punkt] eu

Weitere Angaben finden Sie im Impressum.

2. Geltungsbereich und Rollen

Diese Erklärung gilt für die Website shenflow.eu, die Registrierung (enroll.shenflow.eu), die Anmeldung und Kontoverwaltung in der Anwendung (app.shenflow.eu), die Zahlungsabwicklung sowie die Besucher von Online-Buchungsseiten (schedule.shenflow.eu). Sie betrifft Daten von Website-Besuchern, interessierten Praxen und den Benutzern unserer Kunden.

Patientendaten: Shenflow als Auftragsverarbeiter

Daten von Patientinnen und Patienten, die Praxen in der Anwendung erfassen (Stammdaten, Behandlungs-, Abrechnungs- und Termindaten, einschließlich Gesundheitsdaten nach Art. 9 DSGVO), verarbeitet Shenflow ausschließlich im Auftrag und nach Weisung der jeweiligen Praxis als Auftragsverarbeiter (Art. 28 DSGVO). Verantwortlich für diese Daten ist die Praxis. Grundlage ist die Auftragsverarbeitungsvereinbarung (AVV) zwischen der Praxis und uns. Diese Datenschutzerklärung beschreibt diese Verarbeitung nicht; Betroffene wenden sich bitte an die behandelnde Praxis.

3. Rechtsgrundlagen

4. Website shenflow.eu

4.1 Hosting und Server-Logfiles

Die Website wird bei Hostinger International Ltd. gehostet. Beim Aufruf verarbeitet der Webserver technisch notwendige Verbindungsdaten und speichert sie in Logfiles:

Zweck ist der sichere und stabile Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden nicht mit anderen Datenquellen zusammengeführt. Mit Hostinger besteht ein Auftragsverarbeitungsverhältnis.

4.2 Kontaktaufnahme

Bei Kontakt per E-Mail verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage und für Anschlussfragen (Art. 6 Abs. 1 lit. b bzw. f DSGVO).

4.3 Cookies, Messdienste und Tracking

Die Website setzt derzeit keine Cookies und lädt keine Skripte oder Schriften von Drittanbietern; Schriftarten werden von unserem Server ausgeliefert. Analyse- oder Marketing-Dienste werden nur mit Ihrer Einwilligung eingesetzt. Aktuell sind keine solchen Dienste aktiv. Sollten wir künftig welche einsetzen, informieren wir Sie vorab über einen Einwilligungsdialog und aktualisieren diese Erklärung. Details unter Cookies.

5. Registrierung und Anwendung (enroll.shenflow.eu, app.shenflow.eu)

5.1 Registrierung und Benutzerkonto

Bei Registrierung und Nutzung verarbeiten wir: E-Mail-Adresse, Passwort (nur als Hash), Name, Praxis- und Kontaktdaten (Anschrift, Telefon, ggf. UID-Nummer, Bankverbindung für Rechnungen der Praxis), gewählte Module und Benutzerrechte sowie technische Anmelde- und Sicherheitsdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Zum Schutz vor automatisierten Registrierungen (Bot-Schutz) setzen wir bei der Registrierung Cloudflare Turnstile (Cloudflare, Inc., USA) ein. Dabei werden technische Daten, insbesondere Ihre IP-Adresse und Browser-/Geräteinformationen, an Cloudflare übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Missbrauchsabwehr); weitere Angaben in Abschnitt 7.

5.2 Backend und Datenspeicherung

Wir nutzen Supabase (Authentifizierung und Datenbank). Die Daten werden in der EU-Region gespeichert. Der Anbieter Supabase Inc. ist ein Unternehmen mit Sitz in den USA, siehe Abschnitt 10.

5.3 Anmeldung mit Bestätigungscode (MFA) und System-E-Mails

Zur Absicherung der Anmeldung senden wir Bestätigungscodes per E-Mail. Ebenso versenden wir Einladungen, Passwort-Rücksetzungen und Systemnachrichten. Der Versand erfolgt über den SMTP-Dienst von Hostinger. Wird die Option „Gerät merken“ gewählt, speichert Ihr Browser eine Gerätekennung (siehe Cookies). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Sicherheit der Konten).

5.4 Protokollierung und Support

Sicherheitsrelevante Vorgänge und Änderungen in der Anwendung werden protokolliert (Audit-Trail). Support-Anfragen, die Sie über die Anwendung oder per E-Mail stellen, verarbeiten wir zur Bearbeitung Ihres Anliegens; Support-Mitarbeiter können dabei Kontodaten Ihrer Praxis einsehen, soweit zur Lösung erforderlich (Art. 6 Abs. 1 lit. b DSGVO).

6. Zahlungen (Stripe)

Kostenpflichtige Abonnements werden über Stripe abgewickelt (Stripe Payments Europe, Ltd., Irland; Konzern: Stripe, Inc., USA). Sie werden zur gehosteten Bezahlseite von Stripe weitergeleitet. Zahlungsdaten (z. B. Kartennummer) geben Sie ausschließlich bei Stripe ein; sie werden von uns nicht gespeichert. Stripe verarbeitet Ihre Daten zur Zahlungsabwicklung teils in eigener Verantwortung, siehe Datenschutzerklärung von Stripe. Zur Ermittlung der Umsatzsteuer nutzen wir Stripe Tax auf Basis Ihrer Rechnungsadresse und ggf. UID-Nummer. Wir erhalten von Stripe Abo-Status, Rechnungsdaten und Kennungen (Kunden-/Abo-ID). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.

7. Online-Terminbuchung (schedule.shenflow.eu)

Praxen können Patienten eine Online-Buchungsseite bereitstellen. Bei einer Buchung werden die eingegebenen Daten (Name, Kontaktdaten, gewünschte Leistung und Termin) im Auftrag der Praxis verarbeitet; für diese Daten ist die Praxis verantwortlich (siehe Abschnitt 2). Zum Schutz vor automatisierten Buchungen und Missbrauch setzen wir ein:

Dieselbe Bibliothek (Supabase-Client) wird auch von der Registrierung und der Anwendung über jsDelivr geladen.

Buchungsbestätigung per E-Mail. Nach einer Online-Buchung senden wir im Auftrag der Praxis eine Bestätigungs- bzw. Anfrage-E-Mail an die angegebene E-Mail-Adresse. Sie enthält Ihren Namen, den Praxisnamen, Datum, Uhrzeit, die gebuchte Leistung und die Adresse der Praxis sowie, falls die Praxis die Online-Absage erlaubt, den Absage-Link (siehe unten). Antworten gehen an die E-Mail-Adresse der Praxis. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Termins). Für diese E-Mail wird kein Versandprotokoll geführt.

Terminerinnerung per E-Mail. Aktiviert eine Praxis die Terminerinnerung, versenden wir im Auftrag der Praxis vor bestätigten Terminen (je nach Einstellung 24 und/oder 12 Stunden vorher) eine Erinnerungs-E-Mail an die bei der Buchung angegebene E-Mail-Adresse. Die E-Mail enthält Praxisname, Datum, Uhrzeit und Adresse der Praxis, jedoch keine Leistung und keine Gesundheitsangaben. Antworten gehen an die E-Mail-Adresse der Praxis. Jede Erinnerung enthält einen Link, über den Sie weitere Erinnerungen dieser Praxis jederzeit abbestellen können; Sie werden bei der Buchung darauf hingewiesen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Termins, Terminerinnerung als Serviceleistung der Praxis). Zur Nachvollziehbarkeit protokollieren wir im Versandprotokoll die E-Mail-Adresse des Empfängers, Zeitpunkt, Typ und Status des Versands (ohne Inhalt der E-Mail) sowie je Termin, welche Erinnerung versendet wurde; bei einer Abmeldung speichern wir ausschließlich einen pseudonymisierten Prüfwert (SHA-256) Ihrer E-Mail-Adresse, um die Abmeldung einzuhalten. Das Versandprotokoll und die Erinnerungs-Einträge werden nach 90 Tagen gelöscht.

Absage eines Termins per Link. Erlaubt die Praxis die Online-Absage, enthalten die Bestätigungs-E-Mail nach der Online-Buchung und die Terminerinnerung einen persönlichen Link, über den Sie Ihren Termin selbst absagen können, solange die von der Praxis festgelegte Frist nicht verstrichen ist. Das Aufrufen der Seite ändert nichts; erst Ihre ausdrückliche Bestätigung sagt den Termin ab. Dabei setzen wir den Status des Termins auf „storniert“, der Zeitraum wird wieder frei. Die Praxis erhält eine Info-E-Mail an ihre E-Mail-Adresse mit Ihrem Namen, dem Termin und der gebuchten Leistung. Der Versand dieser E-Mail wird im Versandprotokoll protokolliert; gespeichert werden dabei nur der Empfänger (E-Mail-Adresse der Praxis), der Zeitpunkt, der Typ, der Status und die interne Buchungs-ID, nicht der Inhalt der E-Mail (insbesondere nicht Ihr Name). Dieser Protokolleintrag wird nach 90 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung bzw. Änderung des Termins).

8. E-Mail-Versand

E-Mails (Bestätigungscodes, Einladungen, Terminbestätigungen im Auftrag von Praxen, Rezept-Versand durch Praxen) werden über den SMTP-Dienst von Hostinger versendet und, mit Ausnahme der Buchungsbestätigung, protokolliert (Empfänger, Zeitpunkt, Typ, Status; bei Rezepten zusätzlich die Rezept-Kennung), um Zustellung und Missbrauch nachvollziehen zu können. Gleiches gilt für Terminerinnerungen (siehe Abschnitt 7): Protokolliert werden Empfänger (E-Mail-Adresse), Zeitpunkt, Typ und Status des Versands ohne Inhalt der E-Mail; das Versandprotokoll und die Erinnerungs-Einträge werden nach 90 Tagen gelöscht. Abmeldungen von Erinnerungen werden als pseudonymisierter Prüfwert (SHA-256) der E-Mail-Adresse gespeichert.

Rezept per E-Mail an die Apotheke. Versendet eine Praxis ein Rezept per E-Mail an eine Apotheke, erstellen wir im Auftrag der Praxis ein Anschreiben und ein PDF des Rezepts (Praxisdaten, Patientenname, soweit hinterlegt die Telefonnummer der Patientin bzw. des Patienten, Rezeptur, Kräuter und Dosierung, Einnahmehinweis) und übermitteln beides als E-Mail-Anhang an die von der Praxis gewählte Apotheke. Das PDF wird nur für den Versand erzeugt und von uns nicht gespeichert. Im Versandprotokoll werden ausschließlich Empfänger (E-Mail-Adresse der Apotheke), Zeitpunkt, Typ, Status, Anbieter und die Rezept-Kennung sowie die technische Größe des Anhangs (in Bytes) und, falls der Versand scheitert, ein technischer Fehlercode gespeichert, nicht der Name des Patienten und nicht der Inhalt des Rezepts; diese Einträge werden nach 90 Tagen gelöscht. Die Nachricht wird über den SMTP-Dienst von Hostinger zugestellt und ist keine Ende-zu-Ende-verschlüsselte Übermittlung. Die Telefonnummer der Patientin bzw. des Patienten steht nur im PDF (nicht im Text oder Betreff der E-Mail); die Einwilligung der betroffenen Person zur Verwendung der Nummer liegt der Praxis vor.

9. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Speicherungen (z. B. Anmelde-Sitzung, Sicherheitsfunktionen, Auswahl im Registrierungsprozess). Eine Übersicht mit Zweck und Dauer finden Sie unter Cookies. Optionale Analyse-/Marketing-Dienste sind derzeit nicht aktiv und würden nur mit Ihrer Einwilligung geladen (§ 165 Abs. 3 TKG 2021, Art. 6 Abs. 1 lit. a DSGVO).

10. Empfänger und Drittlandübermittlung

Wir setzen folgende Dienstleister ein:

Mehrere Anbieter gehören zu US-Konzernen. Eine Übermittlung personenbezogener Daten in die USA oder andere Drittländer kann daher nicht ausgeschlossen werden (z. B. Zugriffe durch Konzerngesellschaften oder Support). Sie stützt sich auf einen Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist) und/oder auf Standardvertragsklauseln nach Art. 46 DSGVO. Praxis- und Patientendaten werden in der EU-Region von Supabase gespeichert.

11. Speicherdauer

12. Ihre Rechte

Sie haben nach der DSGVO das Recht auf:

Zur Ausübung Ihrer Rechte wenden Sie sich an info [at] shenflow [punkt] eu. Betreffen Ihre Anliegen Patientendaten, wenden Sie sich bitte an die behandelnde Praxis; wir unterstützen diese bei der Beantwortung.

13. Beschwerderecht

Sie haben das Recht, sich bei der Aufsichtsbehörde zu beschweren: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at. Unberührt bleibt das Recht, sich an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts zu wenden.

14. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage oder Dienst ändern. Die aktuelle Fassung finden Sie stets auf dieser Seite (Stand: 15.10.2026).