Datenschutzhinweise für Website, Bestellung und Praxis-Dashboard
Stand: 27.08.2026
1. Verantwortlicher
Miraz Tappe
MFAfon
Feldstr. 5A
31698 Lindhorst
E-Mail: kontakt@mfafon.de
Für die Verarbeitung personenbezogener Daten im Zusammenhang mit der MFAfon-Website, Vertragsanbahnung, Bestellung, Abrechnung, Kontoverwaltung und Sicherheit ist Miraz Tappe / MFAfon Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO).
Für Patientendaten, die beim Einsatz des Telefonassistenten für eine Praxis verarbeitet werden, ist grundsätzlich die jeweilige Praxis Verantwortliche. MFAfon verarbeitet diese Daten ausschließlich als Auftragsverarbeiter auf Grundlage eines Vertrags zur Auftragsverarbeitung (AVV) und dokumentierter Weisungen der Praxis. Die Praxis bestimmt insbesondere die Rechtsgrundlagen, Zwecke und zulässigen Aufbewahrungsfristen der Patientendaten.
2. Verarbeitung bei Website und Kontaktaufnahme
Beim Aufruf der Website werden technisch erforderliche Verbindungsdaten verarbeitet. Dazu können IP-Adresse, Zeitpunkt, angeforderte Ressource, übertragene Datenmenge, Referrer sowie Browser- und Geräteinformationen gehören. Die Verarbeitung dient dem sicheren und stabilen Betrieb, der Fehleranalyse und der Abwehr von Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht im sicheren Betrieb des Angebots.
Soweit solche Daten in Server- oder Sicherheitsprotokollen gespeichert werden, werden sie grundsätzlich innerhalb von sieben Tagen gelöscht. Eine längere Aufbewahrung erfolgt nur, wenn ein konkreter Sicherheitsvorfall untersucht oder eine gesetzliche Pflicht erfüllt werden muss.
Wenn Sie MFAfon per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Kontaktdaten und den Inhalt der Anfrage zur Bearbeitung der Kommunikation. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichen oder vertraglichen Anliegen, im Übrigen Art. 6 Abs. 1 lit. f DSGVO.
3. Self-Onboarding, Vertrag und Abrechnung
Bei einer Anmeldung oder Bestellung verarbeiten wir insbesondere:
- Praxisname, Anschrift und Kontaktdaten,
- Name und Funktion der Ansprechperson,
- E-Mail-Adresse und Telefonnummer,
- gewählte Abschluss- und Rückrufoption,
- Bestell-, Vertrags-, Einwilligungs- und Abrechnungsdaten,
- technische Bestell- und Zahlungsreferenzen.
Die Verarbeitung erfolgt zur Durchführung vorvertraglicher Maßnahmen und zur Erfüllung des Vertrags gemäß Art. 6 Abs. 1 lit. b DSGVO. Soweit eine Ansprechperson nicht selbst Vertragspartei ist, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Kommunikation und Durchführung des Vertrags mit der Praxis. Steuer- und handelsrechtlich erforderliche Unterlagen verarbeiten wir nach Art. 6 Abs. 1 lit. c DSGVO.
Zahlungsdaten werden im Checkout unmittelbar an Stripe übermittelt. MFAfon erhält grundsätzlich nur die zur Zuordnung und Abrechnung erforderlichen Zahlungs-, Status- und Transaktionsreferenzen, nicht die vollständigen Karten- oder Bankdaten.
Nicht zum Vertrag führende Anfragen und Bestellungen werden grundsätzlich nach sechs Monaten gelöscht, sofern keine weitere Aufbewahrung zur Bearbeitung der Anfrage, zur Rechtsverteidigung oder aufgrund gesetzlicher Pflichten erforderlich ist. Vertrags- und Rechnungsunterlagen werden entsprechend den gesetzlichen Aufbewahrungsfristen gespeichert.
4. Praxis-Dashboard und Benutzerkonten
Für die Bereitstellung des Praxis-Dashboards verarbeiten wir insbesondere Name, E-Mail-Adresse, Praxiszuordnung, Rolle, Berechtigungen, Einladungs- und Aktivierungsstatus sowie technisch notwendige Anmelde- und Sitzungsdaten.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertragspartei ist. Für Beschäftigte und sonstige Teammitglieder der Praxis erfolgt die Verarbeitung gemäß Art. 6 Abs. 1 lit. f DSGVO zur sicheren Bereitstellung und Verwaltung des vertraglich vereinbarten Zugangs.
Das Dashboard verwendet technisch notwendigen lokalen Browserspeicher, um die Anmeldesitzung und ausgewählte Filter zu speichern. Diese Speicherung ist für die vom Nutzer angeforderte Dashboard-Funktion erforderlich. Die Daten können durch Abmeldung beziehungsweise das Löschen der Browserdaten entfernt werden.
Benutzerkonten werden für die Dauer der Zugangsberechtigung gespeichert. Nach Deaktivierung oder Vertragsende werden sie gelöscht oder gesperrt, soweit keine gesetzlichen Aufbewahrungs- oder Nachweispflichten entgegenstehen.
5. Telefonassistent und Patientendaten im Auftrag der Praxis
Beim Einsatz des Telefonassistenten kann MFAfon im Auftrag der jeweiligen Praxis folgende Daten verarbeiten:
- Rufnummer des Anrufers, soweit technisch übermittelt,
- Name und Geburtsdatum,
- Gesprächsanliegen und weitere vom Anrufer gemachte Angaben,
- Audioaufnahme des nach Einwilligung geführten Hauptgesprächs,
- automatisiert erstelltes Transkript,
- strukturierte Falldaten, Priorität und Bearbeitungsstatus,
- Anrufzeit, Gesprächsdauer und technische Statusdaten,
- SMS-Zielnummer, SMS-Inhalt und Versandstatus, sofern SMS aktiviert ist,
- technische Nachweise ausgewählter Bearbeitungsschritte.
Diese Daten können Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO enthalten. MFAfon bestimmt hierfür keine eigene Rechtsgrundlage. Die Praxis ist dafür verantwortlich, eine zulässige Rechtsgrundlage nach Art. 6 und Art. 9 DSGVO festzulegen, die Patientinnen und Patienten zu informieren und die Aufzeichnung des nichtöffentlich gesprochenen Wortes rechtmäßig zu gestalten.
MFAfon verwendet Patientendaten nicht für Werbung und nicht zum Training eigener oder allgemeiner KI-Modelle. Modell- und Sprachdienstleister dürfen die Daten nur zur Erbringung der beauftragten Leistung und nach Maßgabe der mit ihnen geltenden Datenschutzvereinbarungen verarbeiten.
6. Speicherdauer der Patientendaten
Für Audioaufnahmen gilt derzeit folgende technische Löschregel:
- sieben Tage, nachdem die Praxis den zugehörigen Fall als „erledigt“ markiert hat,
- spätestens 30 Tage nach Ende des Anrufs.
Dabei wird die Aufnahme beim Sprachplattform-Anbieter gelöscht beziehungsweise als bereits gelöscht behandelt und die lokale Aufnahmereferenz entfernt.
Transkripte und strukturierte Falldaten unterliegen derzeit nicht derselben automatischen 30-Tage-Löschung. Sie werden bis zu einer dokumentierten Löschweisung der Praxis oder bis zur Beendigung der Auftragsverarbeitung gespeichert. Bei Vertragsende werden sie nach Wahl der Praxis zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Technische Nachweisdaten werden nur so lange gespeichert, wie sie für Sicherheit, Nachweisführung und Rechtsverteidigung erforderlich sind.
7. Empfänger und eingesetzte Dienstleister
MFAfon setzt für die Bereitstellung des Dienstes insbesondere folgende Empfänger und Dienstleister ein:
| Dienstleister | Zweck und mögliche Daten | Verarbeitung/Region |
|---|---|---|
| Hetzner Online GmbH | Hosting von Anwendung und API; technische Betriebsdaten | Deutschland |
| Supabase Pte. Ltd | Datenbank, Authentifizierung und Mandantenzuordnung | Primäre Projektregion Frankfurt; mögliche konzern- oder supportbedingte Drittlandbezüge gemäß Anbieterunterlagen |
| Vapi Inc. | Telefonie-Orchestrierung, Echtzeit-Sprachverarbeitung, Transkripte, Aufnahmen und Anrufmetadaten | EU-Bereitstellung konfiguriert; Anbieter und einzelne Unterauftragnehmer können Drittlandbezüge aufweisen |
| Anthropic, PBC | KI-Dialog über Vapi und ergänzende strukturierte Extraktion aus Transkripten | USA beziehungsweise nach den vertraglich vereinbarten Verarbeitungsregionen |
| Deepgram, Inc. | Spracherkennung innerhalb der eingesetzten Vapi-Konfiguration | USA beziehungsweise nach den von Vapi und Deepgram bereitgestellten Regionen |
| Resend, Inc. | Versand von Einladungs-, System-, Fall- und Wochenübersichts-E-Mails; Fall-E-Mails können Anliegen und Zusammenfassung enthalten | USA |
| Twilio Inc. und zuständige Twilio-Konzerngesellschaften | SMS-Versand sowie ausgehende Anrufe zur Namenswiedergabe; Telefonnummern, SMS-Inhalte und kurzer Namensausschnitt | Abhängig von Rufnummer, Routing und gewählter Region; mögliche Verarbeitung in EU und USA |
| Stripe Payments Europe, Limited und Stripe Technology Europe, Limited | Zahlungsabwicklung, Abrechnung und Betrugsprävention; keine planmäßige Verarbeitung von Patientendaten | EU und gegebenenfalls weitere Regionen gemäß Stripe-Vertragsunterlagen |
Soweit ein Dienstleister personenbezogene Daten als Auftragsverarbeiter verarbeitet, wird er auf Grundlage einer Vereinbarung nach Art. 28 DSGVO eingesetzt. Dienstleister können weitere Unterauftragnehmer entsprechend ihren aktuellen, vertraglich einbezogenen Unterauftragnehmerlisten einsetzen.
8. Drittlandübermittlungen
Bei Übermittlungen außerhalb des Europäischen Wirtschaftsraums stellt MFAfon sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Je nach Empfänger kann dies insbesondere auf Grundlage eines Angemessenheitsbeschlusses, einer gültigen Zertifizierung unter dem EU-US Data Privacy Framework oder der EU-Standardvertragsklauseln einschließlich erforderlicher ergänzender Maßnahmen erfolgen.
Informationen über die im konkreten Fall eingesetzten Garantien und eine Kopie der maßgeblichen Regelungen können unter kontakt@mfafon.de angefordert werden; Geschäftsgeheimnisse und sicherheitsrelevante Angaben dürfen dabei geschwärzt werden.
9. Sicherheit
MFAfon setzt risikoorientierte technische und organisatorische Maßnahmen ein. Dazu gehören insbesondere verschlüsselte Übertragung, rollenbasierte Zugriffe, Mandantentrennung auf Datenbankebene, begrenzte Administratorrechte, Versionierung von Praxiseinstellungen, Protokollierung ausgewählter Änderungen, Löschroutinen für Audioaufnahmen sowie technische Gesundheitsprüfungen der Anwendung. Einzelheiten enthält die Anlage mit technischen und organisatorischen Maßnahmen zum AVV.
10. Ihre Rechte
Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Soweit eine Verarbeitung auf Einwilligung beruht, kann diese mit Wirkung für die Zukunft widerrufen werden. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde.
Für Patientendaten aus einem Praxisanruf wenden Sie sich bitte vorrangig an die jeweilige Praxis. MFAfon unterstützt die Praxis als Auftragsverarbeiter bei der Bearbeitung Ihrer Anfrage.
Zuständige Aufsichtsbehörde für MFAfon ist grundsätzlich:
Der Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
www.lfd.niedersachsen.de
11. Automatisierte Entscheidungen
MFAfon trifft gegenüber Websitebesuchern, Interessenten, Praxisnutzern oder Patienten keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Die medizinische und organisatorische Bewertung eines Patientenanliegens verbleibt beim Praxisteam.
12. Änderungen
Diese Datenschutzhinweise werden angepasst, wenn sich Verarbeitungsvorgänge, Dienstleister oder rechtliche Anforderungen ändern. Maßgeblich ist die auf der Website veröffentlichte Fassung.