Ihre Daten. Mit Sorgfalt.

Kurz gesagt

ombra ist eine digitale Patientenakte und Praxissoftware für Psycholog:innen und Therapeut:innen. Diese Erklärung betrifft, was ombra selbst mit Daten macht: Ihr Konto, Ihre Verbindungen, die Website ombracare.com und Ihre Nachrichten an uns. Was Sie über Ihre Klient:innen festhalten, verarbeitet ombra nur in Ihrem Auftrag. Das steht im Auftragsverarbeitungsvertrag (auf Englisch).

• Wir verkaufen keine Daten und zeigen keine Werbung.
• Keine Webanalyse und keine Tracking-Cookies, auf der Website und in der App.
• Ihre Daten liegen in Rechenzentren von Microsoft Azure in Irland, mit einer Kopie der Datenbank-Backups in den Niederlanden.
• Wir senden Ihre Daten und die Ihrer Klient:innen nicht an KI-Dienste und trainieren damit keine KI-Modelle.
• Jedes Mal, wenn jemand eine Akte öffnet oder ändert, hält ombra das fest.
• Sie exportieren alles, wann Sie wollen, kostenlos.

Wer wir sind

ombra hat seinen Sitz unter der Anschrift Abeliaerf 37, 4125 WH Hoef en Haag, Niederlande und ist bei der Kamer van Koophandel (KVK, der niederländischen Handelskammer) unter der Nummer 88959945 eingetragen, mit der Umsatzsteuer-Identifikationsnummer NL004674188B20. Wir entwickeln die Software ombra, unter app.ombracare.com, und die Website ombracare.com. Für die Daten in dieser Erklärung sind wir der Verantwortliche: Wir entscheiden, wofür und wie wir sie verwenden.

Für die Daten Ihrer Klient:innen, Anfragenden und Gruppenteilnehmenden sind Sie als Psycholog:in oder Therapeut:in verantwortlich, und ombra ist Auftragsverarbeiter. Sind Sie Klient:in einer psychologischen oder therapeutischen Fachperson, die mit ombra arbeitet? Dann lesen Sie Für Klient:innen.

Sie erreichen uns unter privacy@ombracare.com für Datenschutz und unter support@ombracare.com für alles andere.

Welche Daten, wofür und wie lange

Wir fragen nur, was ombra braucht. Ihre E-Mail-Adresse ist für ein Konto erforderlich, und bei Ihrer ersten Nutzung fragen wir nach dem Namen, mit dem wir Sie ansprechen. Weitere Profil- und Praxisangaben machen Sie, wenn Sie möchten.

Vertrag bedeutet, dass wir die Daten brauchen, damit ombra für Sie funktioniert (Art. 6 Abs. 1 lit. b DSGVO). Berechtigtes Interesse ist hier immer dasselbe Interesse: ombra, Ihr Konto und die Akten Ihrer Klient:innen zu schützen und Ihre Fragen zu beantworten (Art. 6 Abs. 1 lit. f). Dagegen können Sie Widerspruch einlegen. Ihre Einwilligung widerrufen Sie, wann Sie wollen (Art. 6 Abs. 1 lit. a). Die rechtliche Verpflichtung ist die Aufbewahrungspflicht für die Buchhaltung (Art. 6 Abs. 1 lit. c).

Müssen wir einen Streitfall klären oder verlangt das Gesetz Daten, bewahren wir nur auf oder geben nur heraus, was dafür nötig ist. Wir treffen keine Entscheidungen über Sie, die allein auf automatisierter Verarbeitung beruhen, und wir erstellen keine Profile.

Ihren Kalender und Ihre E-Mail verbinden

Der Login mit Google oder Microsoft gibt ombra keinen Zugriff auf Ihren Kalender oder Ihre E-Mails. Diese verbinden Sie separat, wenn Sie möchten. Google oder Microsoft bittet Sie dann zuerst um Ihre Zustimmung, und Sie sehen genau, welche.

• Kalender. ombra liest die Kalender, die Sie auswählen, und zeigt die Termine in Ihrem ombra-Kalender: Titel, Ort, Zeit und Teilnehmende. Darin können auch Daten über andere stehen. ombra schreibt nichts in Ihren Kalender.
• E-Mail. Mit E-Mail-Zugriff liest ombra Ihren Posteingang und Ihre gesendeten E-Mails, um Nachrichten von und an Ihre Klient:innen anzuzeigen. Es versendet die E-Mails, die Sie schreiben, und automatische Nachrichten an Anfragende und Eingeschriebene, etwa eine Eingangsbestätigung. Diese sind standardmäßig eingeschaltet; Sie schalten sie pro Formular aus.
• Was wir speichern. ombra ruft den Inhalt Ihrer E-Mails jedes Mal live ab und speichert ihn nicht. Wir speichern aber, welche Nachrichten gelesen, beantwortet oder erledigt sind, Ihre Entwürfe, die importierten Termine und von jeder E-Mail, die Sie über ombra versenden, einen Fingerabdruck und den Status. Ihre Entwürfe und die Schlüssel Ihrer Verbindung speichern wir verschlüsselt.
• Was Sie sehen. Standardmäßig zeigt ombra nur E-Mails von und an Ihre Klient:innen. Dieser Filter beschränkt, was Sie sehen, nicht den Zugriff, den Sie bei Google oder Microsoft erteilen.

Was wir über eine Verbindung erhalten, verwenden wir nur, damit ombra für Sie funktioniert. Nicht für Werbung, nicht zum Verkauf und nicht zum Training von KI-Modellen. Niemand bei ombra liest Ihre E-Mails, es sei denn, Sie bitten uns darum, es ist für die Sicherheit nötig oder das Gesetz verlangt es. Die Nutzung und Übermittlung von Informationen, die ombra von Google-APIs erhält, folgt der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).

Sie trennen eine Verbindung in Ihren Einstellungen in ombra. Damit verschwinden die Verbindung, die Schlüssel, die importierten Termine und Ihre Entwürfe. Widerrufen Sie den Zugriff auch bei Google oder Microsoft, wenn Sie möchten. Was Sie einer Akte hinzugefügt haben, bleibt in dieser Akte.

Die Daten Ihrer Klient:innen

Was Sie über Ihre Klient:innen, Anfragenden und Gruppenteilnehmenden festhalten, verarbeitet ombra in Ihrem Auftrag. Sie sind der Verantwortliche, ombra ist Auftragsverarbeiter (Art. 28 DSGVO). Die Vereinbarungen stehen im Auftragsverarbeitungsvertrag (auf Englisch), der zu den Nutzungsbedingungen (auf Englisch) gehört.

Es geht um Identität und Kontaktdaten, auch die belgische Nationalregisternummer oder die niederländische Bürgerservicenummer (BSN); überweisende Stelle, Hausärzt:in und Kontaktperson; Anliegen und Ziele; Sitzungen, Notizen mit all ihren Versionen, Hausaufgaben und Dokumente; Gruppen und Anwesenheit; Anfragen und Formularantworten. Auch Minderjährige können Klient:innen sein.

• Wir verwenden diese Daten nur, damit ombra für Ihre Praxis funktioniert.
• Wir verkaufen sie nicht, schicken Ihren Klient:innen keine Werbung und trainieren damit keine KI.
• Die Nationalregisternummer oder BSN dient nur dazu, Ihre Klient:innen in Ihren Akten zu erkennen. ombra verwendet sie für nichts anderes.
• ombra schreibt Ihren Klient:innen nie im eigenen Namen. Nachrichten an Anfragende und Eingeschriebene gehen von Ihrem verbundenen Postfach aus.

Sie bestimmen, auf welcher Rechtsgrundlage Sie diese Daten verarbeiten, auch die Ausnahme, die die Verarbeitung von Gesundheitsdaten erlaubt (Art. 9 DSGVO). Ein Platz auf einer Nachrückliste oder eine Buchungsregel hilft Ihnen bei der Planung; die Entscheidungen über Aufnahme und Behandlung treffen Sie.

Schreibt uns eine Klientin oder ein Klient über die eigene Akte, leiten wir die Frage an die behandelnde Fachperson weiter und teilen das der Person mit.

Wer Ihre Daten noch sieht

Wir verkaufen keine Daten und geben sie nicht für Werbung weiter. Diese Dienste verarbeiten Daten für uns, jeder nur für seine eigene Aufgabe:

• Microsoft Azure: Hosting von ombra.
• Microsoft (Azure Communication Services): Login-Codes per E-Mail, von account@notify.ombracare.com. Ohne Öffnungs- oder Klickmessung.
• Microsoft 365 (Exchange Online): Unsere Postfächer: support@, privacy@, security@ und hello@ombracare.com.
• Cloudflare: Die Domainnamen (DNS) von ombracare.com. Sieht keine Inhalte.
• Brevo (Sendinblue SAS): Versand der Updates zu ombra und Empfang Ihrer Ideen.

Welche Dienste die Daten Ihrer Klient:innen verarbeiten, wo und wofür, lesen Sie unter Unterauftragsverarbeiter (auf Englisch).

Behörden oder Gerichte erhalten Daten nur mit einer gültigen Anordnung, die uns dazu verpflichtet. Geht es um die Akten Ihrer Klient:innen, leiten wir das Ersuchen an Sie weiter, es sei denn, das Gesetz verbietet es. Geht ombra je auf ein anderes Unternehmen über, gehen Ihre Daten nur unter denselben Vereinbarungen mit, und Sie erfahren es vorher.

Wo Ihre Daten liegen

Ihre Daten liegen in Rechenzentren von Microsoft Azure in Irland (Microsoft Azure North Europe), verteilt auf mehrere Gebäude. Von den Datenbank-Backups liegt eine Kopie in den Niederlanden (Microsoft Azure West Europe). Login-Codes laufen über Azure Communication Services, mit Speicherung in Europa. Ihre Verbindung mit ombra kommt am nächstgelegenen Knoten des Microsoft-Netzwerks an; von Belgien und den Niederlanden aus liegt dieser in Europa.

Microsoft gehört zu einem US-amerikanischen Konzern. Es hält die Daten europäischer Kund:innen innerhalb der EU (die EU Data Boundary), mit Ausnahmen, zum Beispiel für bestimmten Support und bestimmte Sicherheitsaufgaben. Gelangen Daten dadurch doch aus der EU, gelten die Standardvertragsklauseln der Europäischen Kommission oder der EU-US-Datenschutzrahmen (EU-U.S. Data Privacy Framework). Verbinden Sie Google oder Microsoft, gelten auch deren eigene Regeln und Standorte. Eine Kopie der Garantien erhalten Sie auf Anfrage. Mehr über Ersuchen von Behörden lesen Sie unter Sicherheit (auf Englisch).

Sicherheit

Alles wird verschlüsselt über das Internet übertragen und verschlüsselt gespeichert. Dokumente, E-Mail-Entwürfe, Notizen zu Gruppensitzungen und die Schlüssel Ihrer Verbindungen verschlüsselt ombra zusätzlich selbst. Die Datenbank ist aus dem Internet nicht erreichbar, jeder Arbeitsbereich ist von den anderen abgeschirmt, und jede geöffnete oder geänderte Akte wird protokolliert. Alles dazu lesen Sie unter Sicherheit (auf Englisch).

Cookies und Speicher in Ihrem Browser

Die Website ombracare.com setzt keine Cookies. Wenn Sie dort selbst eine Sprache wählen, merkt sich Ihr Browser diese Wahl sechs Monate lang. An uns wird dabei nichts gesendet. In der App verwenden wir Cookies und den Speicher Ihres Browsers, um Sie eingeloggt und sicher zu halten und uns Ihre Einstellungen zu merken. Kein Tracking und keine Werbung. Unten sehen Sie, wofür und wie lange.

Die Formulare und Buchungsseiten, die Praxen mit ombra auf ihre eigene Website stellen, setzen ebenfalls keine Cookies. Diese Website selbst kann aber Cookies verwenden: Dafür ist die Praxis zuständig. Cookies und andere Websitedaten löschen Sie in den Einstellungen Ihres Browsers. Sie verlieren dann Ihre gespeicherten Einstellungen und werden ausgeloggt; Ihre Akten bleiben einfach bestehen.

Die Website

Auf ombracare.com messen wir nichts: keine Webanalyse, keine Werbetracker und keine Aufzeichnungen Ihres Besuchs. Schriften und Illustrationen kommen von der Website selbst. Wie bei jeder Website erhält der Server Ihre IP-Adresse, um Ihnen die Seite zu senden. Wenn Sie ein Formular absenden, behält er außerdem einen unkenntlichen Fingerabdruck dieser Adresse und, bei einer Anmeldung, Ihrer E-Mail-Adresse höchstens einen Tag lang in seinem Arbeitsspeicher, um Missbrauch einzuschränken. Für nichts anderes verwenden wir sie. Die Produktbeispiele enthalten nur fiktive Daten.

Mit dem Update-Formular bitten Sie um gelegentliche E-Mails zu ombra und zum Start. Das Formular übermittelt auch die Sprache der Seite. Brevo (Sendinblue SAS) verschickt diese Updates, von der Europäischen Union (Frankreich, Deutschland und Belgien) aus. Wir bewahren Ihre E-Mail-Adresse und Ihre Einwilligung auf, bis Sie sich abmelden. Abmelden können Sie sich über jedes Update oder über privacy@ombracare.com.

Mit dem Ideenformular senden Sie uns Ihre Idee, Ihren Vor- und Nachnamen und, falls Sie sie angeben, Ihre Praxis oder Organisation und Ihre E-Mail-Adresse, damit wir Ihnen antworten können. Das Formular übermittelt auch die Sprache der Seite. Brevo (Sendinblue SAS) empfängt sie für uns, von der Europäischen Union (Frankreich, Deutschland und Belgien) aus. Wir verwenden sie nur, um Ihre Idee zu lesen und zu beantworten. Sollen wir sie löschen? Schreiben Sie an privacy@ombracare.com.

Eine Anmeldung für Updates ist unabhängig von Ihrem Konto und von jeder Anfrage bei einer Praxis. Schreiben Sie uns, verwenden wir Ihre Nachricht und Ihre E-Mail-Adresse, um Ihnen zu antworten. Nennen Sie darin keine Daten von Klient:innen.

Ihre Rechte

Für Ihre eigenen Daten haben Sie diese Rechte:

• Auskunft: wissen, welche Daten wir über Sie haben, und eine Kopie erhalten.
• Berichtigung: unrichtige Daten korrigieren oder vervollständigen lassen.
• Löschung: Ihre Daten löschen lassen, außer was wir gesetzlich aufbewahren müssen.
• Einschränkung: die Verwendung Ihrer Daten vorübergehend stoppen lassen.
• Widerspruch: gegen eine Verwendung auf Grundlage unseres berechtigten Interesses.
• Datenübertragbarkeit: Ihre Daten in einem gängigen Format mitnehmen.
• Einwilligung widerrufen: zum Beispiel, indem Sie sich von den Updates abmelden.

Vieles erledigen Sie selbst in ombra: Ihre Daten ändern, alles exportieren und Ihr Konto schließen. Für alles andere schreiben Sie an privacy@ombracare.com. Wir antworten innerhalb eines Monats, wie es die DSGVO verlangt, und es ist kostenlos. Ist Ihr Anliegen komplex, teilen wir Ihnen innerhalb dieses Monats mit, wie viel Zeit wir noch brauchen. Wir fragen nur nach Ihrer Identität, wenn das nötig ist, damit niemand anders Ihre Daten erhält. Schicken Sie uns nicht von sich aus eine Kopie Ihres Ausweises.

Betrifft Ihre Frage eine Akte, eine Anfrage oder einen Termin bei einer psychologischen oder therapeutischen Fachperson? Dann richten Sie sie an diese Fachperson: Sie entscheidet darüber, und wir helfen.

Sind Sie nicht zufrieden? Sagen Sie es uns zuerst. Sie können auch direkt Beschwerde einreichen bei der Autoriteit Persoonsgegevens, der Aufsichtsbehörde in den Niederlanden, wo ombra seinen Sitz hat, oder bei der belgischen Datenschutzbehörde. Sie können auch vor Gericht gehen.

Wenn etwas schiefgeht

Geraten Daten doch in falsche Hände, melden wir das innerhalb von 72 Stunden der Autoriteit Persoonsgegevens, der niederländischen Aufsichtsbehörde, wenn das Gesetz es verlangt. Bringt es ein hohes Risiko für Sie mit sich, informieren wir Sie sofort.

Geht es um die Daten Ihrer Klient:innen, erfahren Sie es von uns unverzüglich, damit Sie entscheiden können, was zu tun ist. So steht es im Auftragsverarbeitungsvertrag (auf Englisch).

Änderungen

Passen wir diese Erklärung an, sehen Sie das am Datum oben. Geht es um etwas Wesentliches, informieren wir Sie vorher per E-Mail. Frühere Versionen schicken wir Ihnen auf Anfrage, und was sich geändert hat, lesen Sie unter Versionen. Das Lesen dieser Erklärung ist keine Einwilligung in etwas Neues.

Kontakt

Eine Frage zu Ihren Daten? Schreiben Sie uns. ombra hat keinen Datenschutzbeauftragten benannt: Ihre Frage landet direkt dort, wo über Datenschutz entschieden wird.

• Datenschutz und Ihre Datenprivacy@ombracare.com