Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Uwupa, Inhaber Justus Kosfeld
Mataréstraße 7
52078 Aachen
Deutschland
E-Mail: uwupasocial@gmail.com

2. Geltungsbereich und Rollenverteilung

Diese Datenschutzerklärung gilt für die Website uwupa.de, unsere Auftritte in sozialen Netzwerken und den Dienst Uwupa und beschreibt, wie wir personenbezogene Daten verarbeiten, für die wir selbst verantwortlich sind. Das betrifft im Wesentlichen die Daten der Hebammen als unsere Kundinnen, die Zahlungsabwicklung und die technische Nutzung der Website.

Für die Daten der Patientinnen, die eine Hebamme im Rahmen ihrer Tätigkeit in Uwupa erfasst, ist die jeweilige Hebamme datenschutzrechtlich verantwortlich. Uwupa verarbeitet diese Daten ausschließlich als Auftragsverarbeiter im Auftrag und nach Weisung der Hebamme auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Informationen zur Verarbeitung ihrer Daten erhalten Patientinnen von der sie betreuenden Hebamme.

3. Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten benannt, da die gesetzlichen Voraussetzungen für eine Benennungspflicht nach unserer Einschätzung derzeit nicht vorliegen. In allen Datenschutzfragen erreichen Sie uns unter den oben genannten Kontaktdaten.

4. Verarbeitung im Einzelnen

4.1 Aufruf der Website und Server-Logs

Beim Aufruf der Website werden durch unseren Hosting-Dienstleister automatisch technische Daten verarbeitet, insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, abgerufene Seite, übertragene Datenmenge sowie technische Angaben zu Browser und Betriebssystem. Zweck ist die technische Bereitstellung, Stabilität und Sicherheit des Dienstes sowie die Abwehr von Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Diese Protokolle entstehen und verbleiben beim Hosting-Dienstleister und werden dort automatisch nach kurzer Zeit gelöscht; wir selbst führen keine dauerhafte Protokolldatei und werten die Einträge nur anlassbezogen zur Aufklärung von Störungen oder Angriffen aus. Maßstab für die Speicherdauer ist allein, wie lange die Einträge für Betrieb, Stabilität und die Aufklärung eines konkreten Vorfalls benötigt werden.

4.2 Registrierung und Nutzerkonto

Für die Nutzung von Uwupa legen Sie ein Konto an. Dabei verarbeiten wir Vor- und Nachname, E-Mail-Adresse, ein von Ihnen gewähltes Passwort sowie Zeitpunkt und Fassung Ihrer Vertragsannahme (AGB und Auftragsverarbeitungsvertrag) einschließlich des Zeitpunkts Ihrer Bestätigung, das Konto als Unternehmerin oder Unternehmer im Sinne von § 14 BGB zu nutzen; freiwillig können Sie angeben, auf welchem Weg Sie auf Uwupa aufmerksam geworden sind. Ihr persönliches Institutionskennzeichen (IK) erfassen wir nicht bei der Registrierung, sondern erst, wenn Sie es später in den Einstellungen für die Abrechnung hinterlegen. Das Passwort speichern wir nicht im Klartext, sondern ausschließlich als Hashwert nach einem anerkannten Verfahren auf dem Stand der Technik. Zweck ist die Bereitstellung des Kontos, die Authentifizierung und die Erbringung der vertraglichen Leistungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Speicherung erfolgt für die Dauer Ihres Kontos. Nach dem Ende eines Abonnements bleibt das Konto samt Ihren Inhalten für eine spätere Fortsetzung erhalten; gelöscht wird es, wenn Sie die Löschung in Textform verlangen oder Ihr Konto über die Selbst-Löschfunktion in den Einstellungen endgültig löschen, jeweils soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Ein nie genutztes Konto ohne Inhalte und ohne Abonnement können wir nach längerer Inaktivität von uns aus löschen; eine solche Löschung kündigen wir zuvor per E-Mail an die hinterlegte Adresse an. Die Einzelheiten regeln die AGB und der Auftragsverarbeitungsvertrag. Welche Vorgänge in Ihrem Konto wir darüber hinaus aus Sicherheitsgründen protokollieren, steht in Abschnitt 4.8.

Beim Festlegen oder Ändern eines Passworts, auch im Klientinnenportal, prüfen wir, ob das gewählte Passwort in bekannt gewordenen Datenlecks enthalten ist. Dazu übermittelt unser Server ein kurzes, nicht rückrechenbares Prüfpräfix (die ersten fünf Zeichen eines Hashwerts, sogenannte k-Anonymität) an den Prüfdienst Have I Been Pwned; das Passwort selbst, Ihr Name, Ihre E-Mail-Adresse oder Ihre IP-Adresse werden dabei nicht übertragen, und eine Zuordnung der Anfrage zu Ihrer Person ist ausgeschlossen. Ist der Dienst nicht erreichbar, unterbleibt die Prüfung, ohne dass die Passwortvergabe scheitert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz der Konten vor der Übernahme durch geleakte Passwörter.

4.3 Bestätigung der E-Mail-Adresse

Zur Aktivierung Ihres Kontos senden wir Ihnen eine E-Mail mit einem Bestätigungslink. Dazu verarbeiten wir Ihre E-Mail-Adresse und einen zeitlich befristeten, nur als Hashwert gespeicherten Bestätigungstoken. Zweck ist die Sicherstellung, dass die angegebene E-Mail-Adresse Ihnen gehört, sowie der Schutz vor Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

4.4 Inhaltsdaten im Dienst

Im laufenden Betrieb erfassen Sie als Hebamme Daten Ihrer Patientinnen, Betreuungen, Leistungen, Belege und Rechnungen. Diese Daten, einschließlich darin enthaltener Gesundheitsdaten, verarbeiten wir ausschließlich in Ihrem Auftrag und nach Ihren Weisungen als Auftragsverarbeiter. Maßgeblich ist der mit Ihnen geschlossene Auftragsverarbeitungsvertrag. Sensible Inhalte werden zusätzlich auf Feldebene mit AES-256-GCM verschlüsselt gespeichert, Belege liegen in einem nicht öffentlich zugänglichen Speicher.

4.5 Zahlungsabwicklung

Die Abwicklung des Abonnements erfolgt über unseren Zahlungsdienstleister Stripe per SEPA-Lastschrift oder Kreditkarte. Die Zahlungsdaten, insbesondere Kontodaten und SEPA-Mandat oder Kartendaten, geben Sie direkt bei Stripe ein. Wir selbst speichern keine vollständigen Zahlungsdaten, sondern eine Kundennummer von Stripe sowie Angaben zum Status und zur Laufzeit Ihres Abonnements. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

4.6 Kontaktaufnahme

Wenn Sie uns per E-Mail oder über das Kontaktformular kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage. Beim Kontaktformular sind das die Nachricht, Ihre E-Mail-Adresse für die Antwort und, wenn Sie ihn angeben, Ihr Name; die Anfrage wird uns als E-Mail zugestellt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO.

4.7 Missbrauchsabwehr und Zugriffsbegrenzung

Um Angriffe auf Konten und auf unsere Schnittstellen abzuwehren, halten wir fehlgeschlagene Anmeldeversuche und die Zahl der Zugriffe je IP-Adresse kurzzeitig in unserer Datenbank fest. Gespeichert werden dabei die IP-Adresse und, bei Anmelde-, Buchungs-, Passwort- und Kontaktformular-Vorgängen, ein mit unserem Schlüssel gebildeter Prüfwert der betroffenen E-Mail-Adresse (nicht die Adresse selbst; der Prüfwert lässt sich ohne den nur bei uns gespeicherten Schlüssel nicht zurückrechnen), jeweils mit Zeitstempel. Das gilt in gleicher Weise für Anmeldungen im Klientinnenportal und für Buchungen über die öffentliche Buchungsseite, betrifft dort also auch die E-Mail-Adressen von Klientinnen. Die Einträge werden 24 Stunden nach ihrer Entstehung im täglichen Aufräumlauf gelöscht, spätestens also am übernächsten Tag. Eine IP-Adresse, die unsere Schnittstellen massiv überlastet, sperren wir vorübergehend; der Sperreintrag wird danach entfernt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist der Schutz der Konten und die Verfügbarkeit des Dienstes. Unabhängig davon vermerken wir eine fehlgeschlagene Eingabe des zweiten Faktors zusätzlich im Sicherheitsprotokoll nach Abschnitt 4.8, für das die dort genannte längere Aufbewahrung gilt.

4.8 Sicherheitsprotokoll zu Ihrem Konto

Sicherheitsrelevante Vorgänge in Ihrem Konto halten wir in einem Protokoll fest, das nur ergänzt und nicht nachträglich verändert wird. Erfasst werden Anmeldung und Abmeldung, Änderung des Passworts, Zurücksetzen des Passworts über den per E-Mail zugesandten Link, Wechsel der für die Anmeldung genutzten E-Mail-Adresse, Einrichten und Abschalten der zusätzlichen Sicherung mit einem zweiten Faktor, fehlgeschlagene Eingaben dieses zweiten Faktors sowie der Export von Daten, jeweils mit Zeitstempel. Bei Anmeldung, Abmeldung und beim Zurücksetzen des Passworts speichern wir zusätzlich nicht Ihre IP-Adresse selbst, sondern einen mit unserem Schlüssel gebildeten Hashwert davon; er lässt sich ohne diesen nur bei uns gespeicherten Schlüssel nicht zurückrechnen, aber vergleichen, sodass eine Anmeldung von einem ungewohnten Gerät erkennbar bleibt. Zu einzelnen Ereignissen vermerken wir eine grobe technische Angabe ohne Bezug zu einer Person, etwa das gewählte Format eines Exports. Zweck ist die Sicherheit der Verarbeitung, das Erkennen unbefugter Zugriffe auf Ihr Konto und unsere Rechenschaftspflicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO; unser berechtigtes Interesse ist der Schutz Ihres Kontos und der darin verarbeiteten Daten. Die Einträge löschen wir 400 Tage nach ihrer Entstehung im täglichen Aufräumlauf; mit der Löschung Ihres Kontos entfallen sie ebenfalls. Die jüngsten Einträge zu Ihrem Konto können Sie selbst einsehen, in der Anwendung unter Einstellungen im Bereich Anmeldedaten.

Zusätzlich führen wir zu jeder bestehenden Anmeldung einen Eintrag, damit Sie in den Einstellungen sehen können, welche Geräte gerade Zugang zu Ihrem Konto haben, und ein einzelnes davon beenden können. Gespeichert werden der Zeitpunkt der Anmeldung, der Zeitpunkt der letzten Nutzung (höchstens viertelstündlich nachgeführt), das vorgesehene Ende der Sitzung, eine grobe, verschlüsselt abgelegte Bezeichnung des Geräts, die wir aus der Browserkennung ableiten (etwa Chrome auf Windows; die Browserkennung selbst speichern wir nicht) sowie der oben beschriebene Hashwert der IP-Adresse. Zweck ist die Durchführung der Anmeldung und Ihre eigene Kontrolle darüber, wo Sie angemeldet sind. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und, soweit es um das Erkennen unbefugter Zugriffe geht, Art. 6 Abs. 1 lit. f in Verbindung mit Art. 32 DSGVO. Der Eintrag wird gelöscht, sobald die Sitzung endet: beim Abmelden und beim Zurücksetzen des Passworts über den zugesandten Link jeweils für alle Geräte, beim Beenden eines Geräts in der Liste für dieses eine, beim Ändern des Passworts im Konto für alle außer dem Gerät, an dem die Änderung vorgenommen wird. Eine befristete Sitzung räumt der tägliche Aufräumlauf nach ihrem Ablauf weg; eine unbefristete, sobald das Gerät 30 Tage lang nicht mehr genutzt wurde, spätestens aber 400 Tage nach der Anmeldung, weil Browser das zugehörige Cookie nicht länger aufbewahren.

4.9 Protokoll der Zugriffe auf Patientenakten

Öffnen Sie eine Patientenakte, eine Betreuung darin oder ein dazu abgelegtes Dokument, halten wir im Konto der aktenführenden Hebamme fest, welche Akte wann, von wem und in welchem Zusammenhang geöffnet wurde. Zwei weitere Zusammenhänge betreffen die geteilte Betreuungsakte im Praxisverbund: erscheint der Name einer Patientin in der Liste der für Sie freigegebenen Betreuungen, oder lesen Sie deren Stammdaten, um die Patientin für Ihre eigene Abrechnung in Ihren Bestand zu übernehmen, entsteht ebenso ein Eintrag im Konto der aktenführenden Kollegin. Gespeichert werden die Kennung des aktenführenden Kontos, die Kennung der lesenden Hebamme, die Kennung der Akte, die Art des Zusammenhangs und der Zeitstempel; ein Inhalt der Akte wird dabei nicht mitgeschrieben, und je Akte, lesender Person und Zusammenhang entsteht höchstens ein Eintrag pro Kalendertag. Bei einer geteilten Betreuungsakte im Praxisverbund heißt das: Öffnen Sie eine Akte, die eine Kollegin für Sie freigegeben hat, wird dieser Zugriff im Konto der Kollegin festgehalten und ihr samt Ihrem Namen angezeigt; umgekehrt sehen Sie die Zugriffe einer von Ihnen beteiligten Kollegin auf Ihre Akte. Zweck ist die Nachvollziehbarkeit, wann und von wem eine Akte eingesehen wurde. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 5 Abs. 2 und Art. 32 DSGVO; unser berechtigtes Interesse ist die Sicherheit der Verarbeitung und unsere Rechenschaftspflicht. Die Einträge löschen wir 90 Tage nach ihrer Entstehung im täglichen Aufräumlauf; mit der Löschung des Kontos oder der Akte entfallen sie ebenfalls. Die jüngsten Einträge zu einer Akte können Sie selbst einsehen, in der Anwendung in deren Bereich Daten.

4.10 Erfolgsmessung von Werbeanzeigen (Google Ads)

Wir schalten Suchanzeigen über Google Ads. Damit wir beurteilen können, ob ein Klick auf eine solche Anzeige zu einer Registrierung geführt hat, binden wir ein Messprogramm von Google (gtag.js) ein, und zwar ausschließlich auf der Startseite, solange Sie nicht angemeldet sind, auf den in Abschnitt 5 genannten Informationsseiten sowie auf der Registrierungsseite. Das Messprogramm wird nur geladen, wenn Sie zuvor im Einwilligungs-Banner die Kategorie Marketing erlaubt haben; ohne diese Einwilligung wird keine Verbindung zu Google aufgebaut. Auf der Registrierungsseite selbst erscheint kein Banner; dort wird eine zuvor auf einer der genannten Seiten erteilte Einwilligung lediglich umgesetzt, und ohne sie bleibt die Seite frei von Google-Programmen.

Mit erteilter Einwilligung setzt das Messprogramm nach dem Klick auf eine unserer Anzeigen die in Abschnitt 10 genannten Cookies mit einer Klick-Kennung; beim Laden erhält Google Ihre IP-Adresse und technische Angaben zu Browser und Gerät. Schließen Sie die Registrierung ab, wird Google dies als Ergebnis des Anzeigenklicks gemeldet; übermittelt werden dabei die Klick-Kennung und die Adresse der aufgerufenen Seite ohne deren Anhänge, also insbesondere ohne Empfehlungscodes oder Einladungsschlüssel, nicht aber Ihr Name und nicht Ihre E-Mail-Adresse. Die Bildung von Zielgruppen, personalisierte Werbesignale und automatische Seitenaufruf-Meldungen haben wir in der Einbindung abgeschaltet; die Messung dient allein der Erfolgskontrolle unserer Anzeigen. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über den Punkt „Cookie-Einstellungen“ in der Fußzeile der Informationsseiten; beim Widerruf entfernen wir die genannten Cookies und es wird keine Registrierung mehr gemeldet. Empfänger ist Google Ireland Limited (Abschnitt 5); zur Verarbeitung in Drittländern siehe Abschnitt 6. Auf Seiten des angemeldeten Bereichs und des Klientinnenportals binden wir das Messprogramm nie ein. Die Informationsseiten werden ohne Kenntnis des Anmeldezustands ausgeliefert; wie das Einwilligungs-Banner kann Ihnen das Messprogramm dort deshalb auch begegnen, wenn Sie angemeldet sind.

4.11 Empfehlungsprogramm und Geschenkgutscheine

Wirbt Sie eine Kollegin oder werben Sie selbst eine Kollegin, speichern wir die Verknüpfung der beiden Konten, den verwendeten Empfehlungscode, den Stand der Empfehlung sowie bei einer Gutschrift deren Höhe und die zugehörigen Zahlungsbelege unseres Zahlungsdienstleisters. Zur Erkennung von Missbrauch, insbesondere von Selbstwerbung über mehrere Konten, speichern wir außerdem ein von Stripe gebildetes technisches Kennzeichen des bei der ersten Zahlung verwendeten Zahlungsmittels (einen sogenannten Fingerprint, nicht die Zahlungsdaten selbst) und gleichen es kontenübergreifend mit späteren Empfehlungen ab; insoweit ergänzt dieser Abschnitt die Angaben in Abschnitt 4.5. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Abwicklung des Programms und Art. 6 Abs. 1 lit. f DSGVO für die Missbrauchserkennung; unser berechtigtes Interesse ist, Prämien nur für echte Empfehlungen zu gewähren.

Kaufen Sie einen Geschenkgutschein, speichern wir Betrag, Gutscheincode, Gültigkeitsende, den Zahlungsbeleg des Kaufs, die Verknüpfung zu Ihrem Konto als Käuferin sowie eine etwaige persönliche Grußnachricht; die Grußnachricht speichern wir verschlüsselt. Löst eine Kundin einen Gutschein ein, speichern wir die Verknüpfung zum einlösenden Konto und die erteilte Gutschrift. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Empfehlungs- und Gutscheindaten mit Zahlungs- oder Gutschriftsbezug bewahren wir nach den in Abschnitt 7 genannten steuerrechtlichen Fristen auf; die Einlösbarkeit der Gutscheine bis zum Ablauf der Verjährung (drei Jahre zum Jahresende) bleibt davon unberührt.

4.12 Unsere Auftritte in sozialen Netzwerken

Wir betreiben ein Profil bei Instagram und eine Seite bei Facebook, beide bei Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland, sowie einen Kanal bei YouTube, betrieben von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. In der Fußzeile unserer öffentlichen Seiten und auf der Seite Über uns verweisen wir mit einem gewöhnlichen Link auf diese Kanäle. Wir binden dort kein Element der Plattformen ein, weder eine Schaltfläche noch ein Video noch ein Zählpixel. Durch diese Verweise werden beim Aufruf von uwupa.de deshalb keine Daten an Meta oder Google übertragen; von der davon unabhängigen Erfolgsmessung unserer Werbeanzeigen, die nur mit Ihrer Einwilligung Daten an Google überträgt, handelt Abschnitt 4.10. Erst wenn Sie einen dieser Verweise anklicken, ruft Ihr Browser die Plattform unmittelbar auf und übermittelt ihr dabei Ihre IP-Adresse sowie technische Angaben zu Browser und Gerät. Als Herkunft gibt Ihr Browser dabei nur die Adresse uwupa.de weiter, nicht die Unterseite, auf der der Verweis stand. Für diese Verweise ist keine Einwilligung nötig: Ein Link legt nichts in Ihrem Endgerät ab und liest nichts daraus aus, § 25 TDDDG ist darauf nicht anwendbar. Die Kanal-Verweise sind deshalb auch nicht Gegenstand des Einwilligungs-Banners nach Abschnitt 10.

Rufen Sie einen unserer Kanäle auf, erstellen die Plattformen daraus zusammengefasste Nutzungsstatistiken und stellen sie uns bereit. Für unsere Facebook-Seite sind wir dafür gemeinsam mit Meta verantwortlich (Art. 26 DSGVO), denn wir ermöglichen diese Auswertung durch das Betreiben der Seite. Meta stellt dafür die Seiten-Insights-Ergänzung bereit; ihr Wesentliches ist, dass Meta die Erfüllung der Pflichten aus der Datenschutz-Grundverordnung für diese Daten übernimmt, unter anderem aus Art. 12, 13, 15 bis 21, 32, 33 und 34, und dass Sie sich mit Ihren Rechten zuerst an Meta wenden können. Den vollständigen Text finden Sie unter facebook.com/legal/terms/page_controller_addendum. Nach Art. 26 Abs. 3 DSGVO können Sie Ihre Rechte gleichwohl auch uns gegenüber geltend machen. Für unser Profil bei Instagram und unseren Kanal bei YouTube ist die Einordnung dagegen offen, und wir behaupten sie nicht: Die Seiten-Insights-Ergänzung gilt ausdrücklich nur für Facebook-Seiten, für Instagram-Konten bietet Meta keine entsprechende Vereinbarung an, und Google stellt Kanalbetreibern ebenfalls keine Vereinbarung nach Art. 26 DSGVO bereit und sieht sich allein verantwortlich. Machen Sie Rechte wegen dieser beiden Kanäle bei uns geltend, leiten wir Sie an die jeweilige Plattform weiter und unterstützen Sie, soweit wir es können. Von allen drei Plattformen erhalten wir nur zusammengefasste Auswertungen, aus denen wir einzelne Personen nicht bestimmen können; auf die Rohdaten haben wir keinen Zugriff, und auf die eigenen Zwecke der Plattformen, etwa Werbung und plattformweite Profilbildung, haben wir keinen Einfluss, dafür sind sie allein verantwortlich. Rechtsgrundlage für den Betrieb der Kanäle ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, für Hebammen sichtbar zu sein, die uwupa noch nicht kennen, Neuerungen und Anleitungen dort zu zeigen, wo die Berufsgruppe ohnehin liest, und Fragen dort zu beantworten, wo sie gestellt werden.

Schreiben Sie uns über einen dieser Kanäle, etwa als Kommentar oder als Direktnachricht, verarbeiten wir Ihre Nachricht und den dort angezeigten Profilnamen, um Ihnen zu antworten; ebenso ist für uns sichtbar, wer unseren Kanälen folgt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO. Diese Nachrichten liegen auf den Servern der jeweiligen Plattform, und wir können sie dort nicht verschlüsseln. Bitte senden Sie uns über die Kanäle deshalb keine Gesundheitsdaten und keine Angaben zu Ihren Patientinnen; nutzen Sie dafür das Kontaktformular oder die in Abschnitt 1 genannte E-Mail-Adresse. Welche Daten die Plattformen darüber hinaus in eigener Verantwortung verarbeiten und welche Einträge sie dabei auf ihren eigenen Seiten in Ihrem Browser ablegen, entnehmen Sie den Datenschutzerklärungen von Meta unter facebook.com/privacy/policy und von Google unter policies.google.com/privacy. Zu den Rollen von Meta und Google siehe Abschnitt 5; zur Verarbeitung außerhalb der Europäischen Union siehe Abschnitt 6.

5. Empfänger und Auftragsverarbeiter

Zur Erbringung unseres Dienstes setzen wir sorgfältig ausgewählte Dienstleister ein. Mit den derzeit eingesetzten Dienstleistern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO:

• Vercel Inc. (USA): Hosting und Auslieferung der Anwendung.
• Supabase Inc. (USA): Datenbank und Dateispeicher, mit Speicherung der Daten in der Region Frankfurt (Amazon Web Services, EU).
• Brevo GmbH, Berlin: Versand von System-E-Mails an Sie als Kundin; zusätzlich Empfang und technisches Zerlegen der eingehenden Antwort-Post der Datenannahmestellen für die elektronische Kassenabrechnung.
• Stripe Payments Europe, Ltd., Dublin, Irland: Zahlungsabwicklung.
• GetTerms (getterms.io): Einwilligungsverwaltung, also das Banner für die Cookie-Einwilligung. Wir binden es nur auf einem Teil unserer Seiten ein: auf der Startseite, solange Sie nicht angemeldet sind, sowie auf den Informationsseiten Funktionen, Preise, Sicherheit, Über uns, Ratgeber, Studium und Gründung, Hebammensuche und Status. Das Skript des Banners wird beim Aufruf dieser Seiten von den Servern des Anbieters geladen, ausgeliefert über das Inhalte-Netz Cloudflare, Inc. (USA); dabei wird Ihre IP-Adresse an den Anbieter beziehungsweise das Inhalte-Netz übertragen. Treffen Sie eine Auswahl, werden die gewählten Kategorien und eine vom Anbieter vergebene Kennung des Einwilligungs-Eintrags an ihn übermittelt, damit die Einwilligung nachweisbar bleibt. Auf allen übrigen Seiten wird das Banner nicht geladen, insbesondere nicht auf den Rechtsseiten, nicht auf den Seiten zur Anmeldung, Registrierung und Passwortvergabe, nicht auf den Buchungs- und Abmeldeseiten, nicht im Klientinnenportal und in keinem Teil des angemeldeten Bereichs. Einzelheiten zum Speichern im Browser stehen in Abschnitt 10.
• HeiGIT gGmbH (OpenRouteService), Heidelberg: Geocodierung von Adressen und Berechnung von Fahrtstrecken für das Fahrtenbuch. Übermittelt werden nur die Adresse (ohne Patientinnenname) bzw. Koordinaten; Verarbeitung in Deutschland. Diese Einbindung ist vorbereitet und wird hier vorab ausgewiesen, sie ist aber noch nicht freigeschaltet: Solange der Auftragsverarbeitungsvertrag mit HeiGIT nicht geschlossen ist, bleibt die Streckenberechnung abgeschaltet und es werden keine Daten an HeiGIT übermittelt.

Für die Erfolgsmessung unserer Werbeanzeigen nach Abschnitt 4.10 ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, Empfänger. Google verarbeitet die Messdaten insoweit als eigener Verantwortlicher und nicht in unserem Auftrag; ein Auftragsverarbeitungsvertrag besteht dafür deshalb nicht. Grundlage der Übermittlung ist allein Ihre Einwilligung; ohne sie werden keine Daten an Google übertragen.

Antwort-Post der Datenannahmestellen der elektronischen Kassenabrechnung, die keiner Einreichung zugeordnet werden kann, wird derzeit mit einem gekürzten Auszug in das Geschäftspostfach des Anbieters bei Google Ireland Limited (Gmail) weitergeleitet und dort gesichtet; Gleiches gilt für den ersatzweisen Abruf des Antwort-Postfachs, solange es dort geführt wird. Dieser Übergangsweg wird auf die Zustellung über Brevo und ein vertraglich nach Art. 28 DSGVO gebundenes Geschäftspostfach umgestellt; Einzelheiten regelt der Auftragsverarbeitungsvertrag.

Unsere Auftritte in sozialen Netzwerken nach Abschnitt 4.12 werden von Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland (Instagram und Facebook), und von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (YouTube), betrieben. Beide verarbeiten die Daten der Besucherinnen ihrer Plattformen als eigene Verantwortliche und nicht in unserem Auftrag; ein Auftragsverarbeitungsvertrag besteht dafür deshalb nicht. Über die Verweise auf unsere Kanäle übermitteln wir ihnen von uwupa.de aus keine Daten, denn es sind gewöhnliche Links; Google ist daneben, in der oben gesondert beschriebenen Rolle, Empfänger der Messdaten unserer Werbeanzeigen nach Abschnitt 4.10. Für die zusammengefassten Nutzungsstatistiken unserer Facebook-Seite sind wir gemeinsam mit Meta verantwortlich (Art. 26 DSGVO); für Instagram und YouTube ist die Einordnung offen. Die Einzelheiten dazu stehen in Abschnitt 4.12.

Eine Weitergabe an weitere Dritte erfolgt nur, wenn dies gesetzlich vorgeschrieben ist oder Sie eingewilligt haben.

6. Datenübermittlung in Drittländer

Soweit Dienstleister oder deren Mutterunternehmen in den USA sitzen, kann es zu einer Verarbeitung in einem Drittland kommen. Diese stützen wir auf geeignete Garantien nach Art. 46 DSGVO, insbesondere die Standardvertragsklauseln der EU-Kommission, sowie, soweit anwendbar, auf eine Zertifizierung der Empfänger nach dem EU-US Data Privacy Framework. Die Daten unserer Datenbank werden in der EU (Frankfurt) gespeichert.

Der Anbieter unserer Einwilligungsverwaltung (GetTerms) gibt in seiner eigenen Datenschutzerklärung an, personenbezogene Daten in Australien und Singapur zu speichern und zu verarbeiten und Übermittlungen aus dem Europäischen Wirtschaftsraum durch Standardvertragsklauseln der EU-Kommission abzusichern. Für Australien und Singapur besteht kein Angemessenheitsbeschluss der EU-Kommission. Wir geben diese Angabe des Anbieters hier wieder, weil sich eine Übermittlung in ein Drittland beim Laden des Banners nicht ausschließen lässt.

Bei der Erfolgsmessung unserer Werbeanzeigen nach Abschnitt 4.10 kann Google Daten auch in den USA verarbeiten (Google LLC als Mutterunternehmen der Google Ireland Limited). Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; daneben stützt sich die Übermittlung auf die Standardvertragsklauseln der EU-Kommission. Auch diese Verarbeitung findet nur statt, wenn Sie eingewilligt haben.

Bei unseren Auftritten in sozialen Netzwerken nach Abschnitt 4.12 verarbeiten die Plattformen Daten auch außerhalb der Europäischen Union, insbesondere in den USA (Meta Platforms, Inc. und Google LLC als Mutterunternehmen der beiden irischen Gesellschaften). Beide Mutterunternehmen sind nach dem EU-US Data Privacy Framework zertifiziert. Diese Verarbeitung findet auf den Plattformen selbst statt; über die Verweise auf unsere Kanäle übermitteln wir dorthin keine Daten. Verantwortlich dafür sind die Plattformen, mit einer Ausnahme: Für die Nutzungsstatistiken unserer Facebook-Seite tragen wir die Verantwortung gemeinsam mit Meta (Art. 26 DSGVO, Abschnitt 4.12). Die Wahl des Verarbeitungsorts liegt auch dort allein bei Meta.

7. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist. Daten mit steuer- oder handelsrechtlicher Relevanz, etwa Rechnungs- und Zahlungsdaten, bewahren wir entsprechend den gesetzlichen Aufbewahrungsfristen auf (Rechnungen und Buchungsbelege acht Jahre nach § 147 Abs. 3 Abgabenordnung und § 14b Umsatzsteuergesetz, Bücher und Aufzeichnungen zehn Jahre; die Frist beginnt jeweils mit dem Ende des Kalenderjahres, in dem der Beleg entstanden ist). Inhaltsdaten, die wir als Auftragsverarbeiter verarbeiten, werden nach Beendigung des Auftragsverhältnisses nach Wahl der verantwortlichen Hebamme zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht; die Einzelheiten, insbesondere die Exportfrist von mindestens 90 Tagen, regelt der Auftragsverarbeitungsvertrag.

8. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte:

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15).
• Berichtigung unrichtiger Daten (Art. 16).
• Löschung (Art. 17).
• Einschränkung der Verarbeitung (Art. 18).
• Datenübertragbarkeit (Art. 20).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung einzulegen. Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Soweit eine Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung, die bis zum Widerruf aufgrund der Einwilligung erfolgt ist. Zur Ausübung Ihrer Rechte genügt eine Nachricht an uwupasocial@gmail.com.

9. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für uns zuständige Behörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2 bis 4, 40213 Düsseldorf
Telefon: 0211 38424-0
E-Mail: poststelle@ldi.nrw.de
Web: www.ldi.nrw.de

10. Cookies und lokale Speicherung im Browser

Uwupa setzt die folgenden eigenen Cookies. Alle drei sind für die Anmeldung und die sichere Nutzung des jeweiligen Zugangs technisch erforderlich; nach § 25 Abs. 2 TDDDG ist dafür keine Einwilligung nötig. Sie enthalten kein Merkmal, mit dem sich Ihr Verhalten über Websites hinweg nachverfolgen ließe. Die längere Laufzeit der Hebammen-Sitzung entsteht ausschließlich dann, wenn die Hebamme sie bei der Anmeldung ausdrücklich verlangt; ohne diese Wahl bleibt es bei 24 Stunden.

Cookies zur Analyse oder zur Reichweitenmessung setzen wir nicht ein. Cookies zur Erfolgsmessung unserer Werbeanzeigen (Abschnitt 4.10) entstehen ausschließlich, wenn Sie im Einwilligungs-Banner die Kategorie Marketing erlaubt haben und zuvor eine unserer Anzeigen angeklickt wurde. Es handelt sich um die folgenden von Google gesetzten Cookies:

Widerrufen Sie die Einwilligung über die Cookie-Einstellungen, entfernen wir diese Cookies; unabhängig davon laufen sie spätestens nach 90 Tagen ab.

Zusätzlich legt uwupa einige Angaben zur Darstellung und Bedienung ausschließlich lokal im Speicher Ihres Browsers ab, etwa das gewählte Farbschema, die Einstellung zum Ausblenden von Geldbeträgen, bereits weggeklickte Hinweise, zuletzt in der Suche geöffnete Einträge und noch nicht gespeicherte Formularentwürfe. Diese Angaben sind keine Cookies, werden nicht an uns übertragen und lassen sich jederzeit über die Einstellungen Ihres Browsers löschen. Formularentwürfe liegen dabei nur im geöffneten Fenster und werden zusätzlich beim Abmelden entfernt.

Damit uwupa auch bei fehlender Verbindung eine Hinweisseite anzeigen kann und schneller startet, richtet die Anwendung ein Hintergrundprogramm im Browser ein, das zwei Zwischenspeicher anlegt. Aufgerufene Seiten und Antworten des Servers werden darin ausdrücklich nie abgelegt, also insbesondere keine Patientinnen-, Gesundheits- oder Abrechnungsdaten. Wenn Sie einen Beleg von uwupa auslesen lassen, legt die Texterkennung außerdem ihre deutsche Sprachdatei im Datenbankspeicher Ihres Browsers (IndexedDB) ab; die Erkennung selbst läuft vollständig auf Ihrem Gerät, das Bild wird dafür nicht an uns oder an Dritte übertragen. Ohne Nutzung der Texterkennung entsteht dieser Eintrag nicht.

Auch für diese drei Speicherorte ist nach § 25 Abs. 2 TDDDG keine Einwilligung nötig: Sie sind unbedingt erforderlich, damit die Anwendung bei fehlender Verbindung bedienbar bleibt und damit die von Ihnen selbst angestoßene Texterkennung arbeiten kann. Aus ihnen wird nichts an uns zurückgesendet, und alle drei lassen sich über die Einstellungen Ihres Browsers löschen.

Auf der Startseite, solange Sie nicht angemeldet sind, sowie auf den Informationsseiten Funktionen, Preise, Sicherheit, Über uns, Ratgeber, Studium und Gründung, Hebammensuche und Status binden wir das Einwilligungs-Banner des Anbieters GetTerms ein (siehe Abschnitt 5). Auf allen übrigen Seiten laden wir es nicht. Es fragt Ihre Entscheidung über nicht notwendige Cookies ab und hält sie fest; die Kategorie Marketing steuert dabei die Erfolgsmessung nach Abschnitt 4.10. Der Punkt „Cookie-Einstellungen“ in der Fußzeile erscheint genau auf den Seiten, auf denen das Banner geladen ist; dort können Sie die Auswahl erneut aufrufen und ändern. In der von uns eingesetzten Fassung legt das Banner kein Cookie an, sondern zwei Einträge im lokalen Speicher Ihres Browsers:

Für das Ablegen dieser beiden Einträge ist nach § 25 Abs. 2 TDDDG keine Einwilligung nötig, denn ohne sie müssten wir Ihre Entscheidung bei jedem Seitenaufruf erneut abfragen. Dass Ihre Auswahl zusätzlich beim Anbieter festgehalten wird, dient unserer Nachweispflicht nach Art. 7 Abs. 1 DSGVO; Maßstab für die Dauer dieser Aufbewahrung beim Anbieter ist die Nachweispflicht, eine feste Speicherdauer nennt der Anbieter derzeit nicht. Zur Übermittlung an den Anbieter und zum Ort der Verarbeitung siehe Abschnitt 5 und Abschnitt 6.

11. Pflicht zur Bereitstellung

Die Bereitstellung der für die Registrierung und Vertragserfüllung erforderlichen Daten ist notwendig, um den Dienst nutzen zu können. Ohne diese Daten können wir das Konto und die Leistungen nicht bereitstellen.

12. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

13. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder unsere Verarbeitung ändert. Es gilt die jeweils auf uwupa.de veröffentlichte Fassung.

Stand: 30. August 2026, veröffentlicht am 21. August 2026

Impressum · Datenschutz · AGB · Widerruf · AVV · Barrierefreiheit