Datenschutzerklärung

1. Verantwortlicher

Dr. med. univ. Bernhard Flasch MSc
Thalkirchner Str. 101
81371 München
Deutschland
E-Mail: kontakt[at]bernhardflasch.com

2. Hosting und Serverprotokolle

Das Profil und der geschützte Zugangsbereich werden bei ALL-INKL.COM - Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, gehostet. ALL-INKL.COM verarbeitet die beim Hosting anfallenden Daten als Auftragsverarbeiter nach Art. 28 DSGVO. Beim Aufruf können technisch erforderliche Serverprotokolle verarbeitet werden, insbesondere IP-Adresse, Zeitpunkt, angeforderte Ressource, Referrer sowie Browser- und Betriebssysteminformationen. Nach Angaben des Hostinganbieters werden Logfiles grundsätzlich spätestens nach sieben Tagen gelöscht; eine längere Speicherung kann im Einzelfall, insbesondere zur Aufklärung eines Angriffs auf informationstechnische Systeme, erforderlich sein.

Die Verbindung zu dieser Website wird mittels TLS/HTTPS verschlüsselt. Die Verarbeitung erfolgt zur sicheren und störungsfreien Bereitstellung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Weitere Informationen: Datenschutzinformationen von ALL-INKL.COM.

3. Kontaktformular und lokaler Spamschutz

Beim Absenden des Kontaktformulars werden Name, E-Mail-Adresse, Betreff und Nachricht zur Bearbeitung der Anfrage verarbeitet. Auf Wunsch wird eine Kopie der Nachricht an die angegebene E-Mail-Adresse gesendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichen oder vertraglichen Anliegen, im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

Der Versand erfolgt ausschließlich über das im Backend für das Kontaktformular ausgewählte Anbieterprofil. Verfügbar sind Microsoft 365/Exchange Online über Microsoft Graph, ALL-INKL.COM, GMX beziehungsweise ein anderer SMTP-Anbieter oder die PHP-Mailfunktion des Hostings. Es wird jeweils nur das aktiv ausgewählte Profil verwendet. Bei Microsoft Graph werden Nachrichten über Microsoft Ireland Operations Limited verarbeitet; bei SMTP oder PHP-Mail über den jeweils konfigurierten Mail- beziehungsweise Hostinganbieter. Microsoft kann Daten auch in den USA verarbeiten. Als Übermittlungsmechanismen kommen je nach Empfänger insbesondere der EU-US Data Privacy Framework und Standardvertragsklauseln in Betracht.

Zum Schutz vor automatisiertem Missbrauch werden eine lokal erzeugte Rechenaufgabe, ein technisch erforderliches Sitzungscookie, ein unsichtbares Kontrollfeld, eine Mindestabsendezeit und eine Versandbegrenzung eingesetzt. Für die Versandbegrenzung wird die IP-Adresse ausschließlich als nicht unmittelbar lesbarer Hash zusammen mit Zeitstempeln gespeichert. Die Einträge werden nur innerhalb eines Zeitfensters von 15 Minuten ausgewertet und beim nächsten Formularversuch automatisiert bereinigt. Die IP-Adresse wird nicht mit der Kontaktanfrage per E-Mail versendet. Es wird kein externer CAPTCHA-Dienst eingebunden. Das Sitzungscookie wird beim Schließen des Browsers beendet. Die Speicherung im Endgerät ist für die ausdrücklich gewünschte Formularfunktion erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); die Verarbeitung der Sicherheitsdaten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

4. Benutzerkonten und Zugangsverwaltung

Für den geschützten CV-Bereich werden Benutzername, Anzeigename, E-Mail-Adresse, Kategorie, Kontostatus, Ablaufdatum und individuelle Dokumentfreigaben verarbeitet. Passwörter werden ausschließlich als nicht rückrechenbarer Hash gespeichert. Bestehende Passwörter können auch durch die Administration nicht angezeigt werden; bei Bedarf wird ein neues Passwort vergeben.

Die Verarbeitung erfolgt zur sicheren Bereitstellung und Verwaltung eines individuell freigegebenen Zugangs auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

5. Erhebung nicht unmittelbar bei der betroffenen Person

Ein Benutzerkonto kann durch den Betreiber auf Grundlage einer individuellen Freigabe angelegt werden. In diesem Fall können Anzeigename, Benutzername und E-Mail-Adresse aus einer Mitteilung des Betreibers oder einer empfehlenden Kontaktperson stammen. Die betroffene Person wird spätestens bei der ersten Kontaktaufnahme beziehungsweise innerhalb eines Monats nach Erhebung der Daten über die Verarbeitung informiert.

6. Sitzung und technisch erforderliches Cookie

Nach erfolgreicher Anmeldung wird ein technisch erforderliches Sitzungs-Cookie gesetzt. Es dient ausschließlich der Zuordnung der angemeldeten Sitzung, ist mit HttpOnly und SameSite=Strict geschützt und wird beim Schließen des Browsers beziehungsweise bei der Abmeldung beendet. Die Sitzung läuft nach 15 Minuten Inaktivität ab.

Für das technisch erforderliche Cookie ist gemäß § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich. Die Verarbeitung der Sitzungs- und Sicherheitsdaten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

7. Zugriffs- und Sicherheitsprotokolle

Zur Zugangskontrolle, Angriffserkennung und Nachvollziehbarkeit werden insbesondere Zeitpunkt, Benutzer, Ereignis, Dokumentbezug, Status, IP-Adresse sowie der technisch übermittelte User-Agent protokolliert. Daraus werden Browser, Betriebssystem und die allgemeine Gerätekategorie Desktop, Mobilgerät oder Tablet abgeleitet. Dazu gehören erfolgreiche und fehlgeschlagene Anmeldungen, Sperren, Sitzungsabläufe, Dokumentaufrufe und Downloads.

Die Protokolle werden grundsätzlich 90 Tage gespeichert und anschließend automatisiert bereinigt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der Absicherung vertraulicher Unterlagen und der Aufklärung unberechtigter Zugriffe.

8. E-Mail-Benachrichtigungen

Bei Anmeldungen sowie beim Öffnen oder Herunterladen freigegebener Inhalte können Benachrichtigungen an den Betreiber versendet werden. Diese Nachrichten können Benutzername, Zeitpunkt, Dokumentbezug sowie eine zusammengefasste Browser-, Betriebssystem- und Gerätekategorie enthalten. Die IP-Adresse und der vollständige User-Agent werden nicht per E-Mail versendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Benachrichtigungen über erfolgreiche Anmeldungen und das Öffnen eines Dokuments im geschützten Layer werden zunächst in einer geschützten lokalen Versandwarteschlange gespeichert und nach dem sichtbaren Aufbau der angeforderten Seite im Hintergrund versendet. Der Eintrag wird nach erfolgreichem Versand sofort gelöscht. Schlägt der Versand wiederholt fehl, erfolgen höchstens drei Versuche; ein endgültig fehlgeschlagener Eintrag wird zur Fehlerkontrolle höchstens sieben Tage aufbewahrt und anschließend gelöscht.

Der Versand erfolgt ausschließlich über das im Backend für Systemmeldungen ausgewählte Anbieterprofil. Diese Auswahl ist technisch von der Versandstrecke des Kontaktformulars getrennt. Verfügbar sind Microsoft 365/Exchange Online über Microsoft Graph, ALL-INKL.COM, GMX beziehungsweise ein anderer SMTP-Anbieter oder die PHP-Mailfunktion des Hostings. Es wird jeweils nur das aktiv ausgewählte Profil verwendet. Bei Microsoft Graph werden Nachrichten über Microsoft Ireland Operations Limited verarbeitet; bei SMTP oder PHP-Mail über den jeweils konfigurierten Mail- beziehungsweise Hostinganbieter. Microsoft kann Daten auch in den USA verarbeiten; als Übermittlungsmechanismen kommen je nach Empfänger insbesondere der EU-US Data Privacy Framework und Standardvertragsklauseln in Betracht.

9. PDF-Dokumente

PDF-Dateien werden im geschützten Bereich lokal im Browser mithilfe der selbst gehosteten JavaScript-Bibliothek PDF.js und einer lokal bereitgestellten Page-Flip-Komponente dargestellt. Beim Anzeigen einer PDF wird keine Verbindung zu Designrr oder einem externen PDF-Anzeigedienst hergestellt.

Für einzelne Page-Flip-Dokumente kann ein Umblätterton aktiviert sein. Verwendet wird entweder ein unmittelbar im Browser durch die Web Audio API synthetisch erzeugter Standardton oder eine lokal auf diesem Server gespeicherte Tondatei; dabei werden keine Audiodaten an Dritte übertragen. Soweit ein Tonschalter angezeigt wird, wird eine Änderung der Einstellung „Ton ein/aus“ ausschließlich für die Dauer der aktuellen Browsersitzung im Sitzungsspeicher gespeichert. Diese Speicherung erfolgt zur Bereitstellung der vom Nutzer gewählten Einstellung gemäß § 25 Abs. 2 Nr. 2 TDDDG.

Die technische Unterbindung von Druck- oder Speicherfunktionen bietet keinen absoluten Schutz, sobald Inhalte auf einem Endgerät angezeigt werden.

10. Microsoft Office Online

Für Word-, Excel- und PowerPoint-Dokumente kann eine Vorschau über Microsoft Office Online geladen werden. Vor dem Laden erscheint eine lokale Hinweisseite. Erst nach Ihrer ausdrücklichen Bestätigung wird eine Verbindung zu Microsoft hergestellt. Microsoft erhält eine zeitlich begrenzte Dokumentadresse und kann damit den Inhalt des ausgewählten Dokuments abrufen. Außerdem können insbesondere IP-Adresse, Zeitpunkt und Browserinformationen verarbeitet werden.

Rechtsgrundlage für die externe Einbindung ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie, soweit Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden, § 25 Abs. 1 TDDDG. Die Einwilligung gilt nur für den jeweils bestätigten Aufruf und kann durch Schließen der Vorschau mit Wirkung für die Zukunft widerrufen werden. Anbieter für Nutzer im Europäischen Wirtschaftsraum ist Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Microsoft kann Daten auch in Drittländern, insbesondere in den USA, verarbeiten. Als Übermittlungsmechanismen kommen je nach Empfänger insbesondere der EU-US Data Privacy Framework und Standardvertragsklauseln in Betracht. Weitere Informationen: Microsoft-Datenschutzbestimmungen.

11. Externe interaktive Ansichten und Designrr

Dokumente mit der Darstellungsart „Webseite per URL im Layer“ können auf eine externe interaktive Ansicht verweisen, insbesondere auf Designrr. Vor dem externen Aufruf erscheint eine lokale Hinweisseite. Erst nach Ihrer ausdrücklichen Bestätigung wird die externe Website geladen. Dabei können insbesondere IP-Adresse, Zeitpunkt und Browserinformationen an den jeweils angezeigten Anbieter übertragen werden. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie, soweit Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden, § 25 Abs. 1 TDDDG. Die Einwilligung gilt nur für den bestätigten Aufruf.

Bei Designrr ist Empfänger PageOneTraffic Ltd, 1st Floor Isabella House, 12 Union Court, Richmond Upon Thames, London TW9 1AA, Vereinigtes Königreich. Für Übermittlungen in das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Weitere Informationen: Datenschutzinformationen von Designrr. Der lokale PDF-Seitenblättereffekt wird dagegen mit selbst gehosteten Komponenten erzeugt und stellt keine Verbindung zu Designrr her.

12. LinkedIn, WhatsApp und Microsoft Bookings

Das öffentliche Profil enthält einen reinen Link zu LinkedIn. Durch den Link selbst wird keine Verbindung zu LinkedIn hergestellt. Erst wenn Sie den Link aufrufen, verarbeitet LinkedIn die hierbei technisch übermittelten Daten nach eigener Verantwortlichkeit.

Für eine freiwillige Kontaktaufnahme wird ein geschützter Click-to-Chat-Zugang zu WhatsApp Business angeboten. Die Rufnummer wird nicht in öffentlich abrufbaren Inhaltsdaten bereitgestellt. Vor der Weiterleitung ist eine lokal erzeugte Rechenaufgabe zu lösen. Hierfür wird das technisch erforderliche Sitzungscookie „bf_whatsapp_gate“ gesetzt. Es dient ausschließlich der Sicherheitsprüfung, ist mit HttpOnly und SameSite=Strict geschützt und wird beim Schließen des Browsers beendet. Die Speicherung im Endgerät ist für den ausdrücklich gewünschten Sicherheits- und Weiterleitungsdienst erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); die Verarbeitung der Sicherheitsdaten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Zur Begrenzung automatisierter Abrufe wird die IP-Adresse mit einem ausschließlich lokal gespeicherten Zufallsschlüssel pseudonymisiert; gespeichert werden nur die pseudonymisierte Kennung und die Zeitpunkte der Versuche. Für die Sperrentscheidung werden ausschließlich Versuche innerhalb der letzten 15 Minuten berücksichtigt; ältere Einträge werden beim nächsten Zugriff entfernt. Vor erfolgreicher Bestätigung und dem anschließenden Klick auf „Whats App jetzt öffnen“ wird keine Verbindung zu WhatsApp hergestellt. Danach werden die Zielrufnummer und gegebenenfalls der im Backend vorbereitete Nachrichtentext als Click-to-Chat-Parameter an WhatsApp übergeben. Dabei können insbesondere Ihre Telefonnummer, Profil-, Geräte- und Verbindungsdaten sowie die von Ihnen übermittelte Nachricht verarbeitet werden. Bitte übermitteln Sie über WhatsApp keine vertraulichen medizinischen Daten oder andere besondere Kategorien personenbezogener Daten. Empfänger ist WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Die Bearbeitung Ihrer Nachricht durch den Betreiber erfolgt nach Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichen oder vertraglichen Anliegen, im Übrigen nach Art. 6 Abs. 1 lit. f DSGVO. WhatsApp kann Daten innerhalb der Meta-Unternehmensgruppe und in Drittländern verarbeiten. Soweit kein Angemessenheitsbeschluss greift, kommen nach Angaben des Anbieters insbesondere Standardvertragsklauseln zum Einsatz; für geeignete zertifizierte Empfänger kann der EU-US Data Privacy Framework einschlägig sein. Weitere Informationen: Datenschutzrichtlinie von WhatsApp.

Microsoft Bookings wird nicht bereits mit dem Aufruf der Profilseite geladen. Im Terminlayer erscheint zunächst ein lokaler Hinweis. Erst nach Ihrer ausdrücklichen Bestätigung wird eine Verbindung zu Microsoft hergestellt. Dabei können insbesondere IP-Adresse, Zeitpunkt und Browserinformationen verarbeitet werden. Rechtsgrundlage für die externe Einbindung ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Wenn Sie anschließend einen Termin buchen, werden insbesondere Name, E-Mail-Adresse, Terminwunsch, Termindetails und weitere freiwillige Angaben innerhalb von Microsoft 365 und Exchange Online verarbeitet. Die Bearbeitung der Terminbuchung durch den Betreiber erfolgt nach Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichen oder vertraglichen Anliegen, im Übrigen nach Art. 6 Abs. 1 lit. f DSGVO. Anbieter für Nutzer im Europäischen Wirtschaftsraum ist Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Microsoft kann Daten auch in Drittländern, insbesondere in den USA, verarbeiten. Als Übermittlungsmechanismen kommen je nach Empfänger insbesondere der EU-US Data Privacy Framework und Standardvertragsklauseln in Betracht. Weitere Informationen: Microsoft-Datenschutzbestimmungen.

12a. Lokale Darstellungseinstellungen

Auf dem öffentlichen Profil werden die gewählte Schriftgröße unter dem Schlüssel „bf_font_size“ und das gewählte Farbschema unter „bf_color_theme“ lokal im Browser gespeichert. Diese Werte werden nicht an den Betreiber oder Dritte übertragen und dienen ausschließlich der vom Nutzer gewählten Darstellung. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO.

13. Speicherdauer und Löschung

Benutzerkonten und Freigaben werden gelöscht oder deaktiviert, wenn der Zugang nicht mehr benötigt wird. Zugriffsprotokolle werden grundsätzlich nach 90 Tagen bereinigt. Kontaktformular-, E-Mail-, WhatsApp- und Bookings-Kommunikation wird gespeichert, solange dies zur Bearbeitung der jeweiligen Anfrage, zur Durchführung des Termins oder zur anschließenden Korrespondenz erforderlich ist. Danach werden die Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten, die Geltendmachung oder Abwehr von Rechtsansprüchen oder andere vorrangige Gründe eine weitere Speicherung erfordern. Für in Microsoft 365 und Exchange Online gespeicherte Bookings-Daten gelten zusätzlich die dort administrativ festgelegten Aufbewahrungs- und Löschregeln.

14. Ihre Rechte

Sie haben nach Maßgabe der DSGVO insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Die Bereitstellung der für die Einrichtung und Verwaltung eines individuellen Zugangs erforderlichen Daten ist notwendig. Ohne diese Daten kann kein Zugang eingerichtet oder verwaltet werden. Die Bereitstellung von Daten für Kontaktanfragen, WhatsApp oder Terminbuchungen ist freiwillig; ohne die jeweils erforderlichen Angaben kann der gewählte Kommunikationsweg gegebenenfalls nicht genutzt oder die Anfrage nicht bearbeitet werden. Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.

Sie können sich außerdem beim Bayerischen Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, oder bei einer anderen zuständigen Datenschutzaufsichtsbehörde beschweren.

15. Gesonderter Hinweis auf das Widerspruchsrecht nach Art. 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten Widerspruch einzulegen, soweit die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht. Der Betreiber verarbeitet die betroffenen Daten anschließend nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

16. Stand dieser Datenschutzerklärung

Stand: 6. Oktober 2026