Datenschutzhinweise für Nutzerinnen und Nutzer der Plattform
Information nach Art. 13 DSGVO für alle Personen mit einem Konto auf der Plattform zur Verwaltung von Gutschriften: Inhaberinnen und Inhaber von Studios, deren Beschäftigte und die Nutzerinnen und Nutzer von Partnerzugängen. Für Personen, deren Nachweise uns ein Studio vorlegt, gilt sie zugleich als Information nach Art. 14 DSGVO (Abschnitt 3).
Fassung 1.0 · Stand 25.09.2026
1. Wer ist verantwortlich?
Verantwortlich für die Daten Ihres Kontos ist der Betreiber der Plattform (Art. 4 Nr. 7 DSGVO):
Puremotion Data Pte. Ltd., 1 North Bridge Road #B1-35 High Street Centre, 179094 Singapur; Registernummer: (Registernummer: wird vor dem Start eingetragen); vertreten durch: (vertretungsberechtigte Person: wird vor dem Start eingetragen); Kontakt: schriftlich an die oben genannte Anschrift
Die Gesellschaft hat ihren Sitz und ihre Geschäftsleitung in Singapur und keine Niederlassung in der Europäischen Union. Die Datenschutz-Grundverordnung gilt für uns, weil wir die Plattform Studios und ihren Beschäftigten in der Union anbieten (Art. 3 Abs. 2 Buchst. a DSGVO).
Unser Vertreter in der Union (Art. 27 DSGVO) ist: (Name und Anschrift des Vertreters in der Union: wird vor dem Start eingetragen). Sie können sich in allen Fragen zur Verarbeitung Ihrer Daten zusätzlich zu uns oder statt an uns an den Vertreter wenden (Art. 27 Abs. 4 DSGVO).
Datenschutzbeauftragter. Haben wir einen Datenschutzbeauftragten benannt, erreichen Sie ihn über die oben genannten Kontaktdaten mit dem Zusatz „Datenschutzbeauftragter“.
2. Für wen diese Hinweise nicht gelten: Patientinnen und Patienten
Für die Daten der Patientinnen und Patienten, die ein Studio behandelt und in der Plattform einreicht, sind das Studio und wir gemeinsam verantwortlich (Art. 26 DSGVO). Die Einzelheiten regelt die Vereinbarung über die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO zwischen dem Studio und uns. Patientinnen und Patienten erhalten eine eigene Patienteninformation. Diese Hinweise betreffen nur die Daten der Personen, die die Plattform nutzen.
3. Welche Daten wir verarbeiten, wozu und auf welcher Grundlage
Den Vertrag über die Kooperation und die Nutzung der Plattform schließen wir mit dem Studio, nicht mit Ihnen persönlich. Sind Sie selbst Vertragspartner (etwa als Inhaberin oder Inhaber eines Einzelunternehmens), stützen wir die Verarbeitung Ihrer Daten auf die Erfüllung des Vertrages (Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO). Handeln Sie für eine Gesellschaft, als Beschäftigte oder Beschäftigter oder für einen Partner, stützen wir sie auf unser berechtigtes Interesse, den Vertrag mit dem Studio oder dem Partner durchzuführen (Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO). In der Tabelle steht dafür kurz „Vertrag“.
| Was | Welche Daten | Wozu | Grundlage |
|---|---|---|---|
| Konto | Vor- und Nachname, E-Mail-Adresse, Passwort (nur als bcrypt-Hash, nie im Klartext), Rolle, Zeitpunkt der Anlage; bei Partnerzugängen die Zuordnung zum Partner | Konto führen, Anmeldung ermöglichen, Studios und Vorgänge dem richtigen Konto zuordnen | Vertrag |
| Annahme der Verträge | Zeitpunkt, Dokument und Fassung (Kooperations- und Nutzungsbedingungen, Vereinbarung über die gemeinsame Verantwortlichkeit), handelnde Person, E-Mail-Adresse | Nachweis, wer wann welche Fassung angenommen hat, auch gegenüber einer Aufsichtsbehörde | Buchst. f (Nachweis des Vertragsschlusses und Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO) |
| Anmeldung und Schutz vor Missbrauch | Sitzungscookie (Abschnitt 4); Zähler für Anmeldeversuche, Registrierungen und Aufrufe mit IP-Adresse, bei der Anmeldung zusätzlich der eingegebenen E-Mail-Adresse, beim Hoch- und Herunterladen der Kennung Ihres Kontos, jeweils mit Beginn des Zeitfensters | Durchprobieren von Passwörtern, massenhaftes Anlegen von Konten und Überlastung verhindern; nach einem Passwortwechsel alle älteren Sitzungen beenden | Buchst. f (Sicherheit der Plattform und der Daten, Art. 32 DSGVO) |
| Studio und Freigabe | Name, Anschrift und Land des Studios, Bankverbindung (IBAN), Stand der Freigabe, Grund einer Ablehnung oder Sperre, der nach der Vergütungsvereinbarung hinterlegte Betrag, gegebenenfalls die Angabe, über wen das Studio zur Plattform kam | Studio prüfen und freigeben, Auszahlung an das richtige Konto | Vertrag |
| Nachweise zur Kooperation | Versicherungsnachweis des Studios; Name und Berufserlaubnis der Personen, die behandeln, soweit wir den Nachweis anfordern | Prüfen, dass nur Personen mit der erforderlichen Erlaubnis behandeln und Versicherungsschutz besteht | Buchst. f (ordnungsgemäße Behandlung der Patientinnen und Patienten, deren Vertragspartner wir sind) |
| Auszahlung und Gutschrift | Name und Anschrift des Studios, Vor- und Nachname der Person, der das Konto gehört, IBAN, Betrag, Zahl der Sitzungen, Datum, Gutschriftnummer | Auszahlung ausführen, Gutschrift als PDF ausstellen und aufbewahren | Vertrag; für die Aufbewahrung Buchst. c in Verbindung mit § 147 AO, § 257 HGB, § 14b UStG, soweit diese Vorschriften für uns gelten, im Übrigen Buchst. f (Erfüllung unserer Aufbewahrungspflichten nach dem Recht von Singapur, Nachweis gegenüber Finanzbehörden) |
| Verlauf der Vorgänge | wer (Kennung des Kontos) wann einen Vorgang angelegt, seine Dokumentation ersetzt oder seinen Stand geändert hat; bei Zahlungen zusätzlich Betrag, Datum und Kennung der Abrechnung | Nachvollziehen, wer was wann veranlasst hat, auch bei Rückfragen zu einer Auszahlung | Buchst. f (Nachvollziehbarkeit und Nachweis) |
| Zuordnung über die Schnittstelle | Name des Studios, E-Mail-Adresse des Kontos | Vorgänge, die wir über eine Schnittstelle erhalten, dem richtigen Studio zuordnen | Vertrag |
| Technische Protokolle | Fehlermeldungen des Servers und der Anwendung; sie können im Einzelfall Zeitpunkt, IP-Adresse, aufgerufene Adresse und einzelne Angaben aus der fehlgeschlagenen Anfrage enthalten | Störungen erkennen und beheben | Buchst. f (Betrieb und Sicherheit, Art. 32 DSGVO) |
| Sicherungen | Kopie der Datenbank (einschließlich der Kontodaten und Passwort-Hashes), verschlüsselt; Kopie der abgelegten Dateien, die ihrerseits verschlüsselt abgelegt werden, soweit sie seit der Umstellung im September 2026 gespeichert wurden | Wiederherstellung nach einem Ausfall oder Fehler | Buchst. f (Verfügbarkeit, Art. 32 Abs. 1 Buchst. b und c DSGVO) |
| Anfragen an uns | Ihre Nachricht, Ihre E-Mail-Adresse, unsere Antwort | Anfrage beantworten | Vertrag |
„Buchst.“ bezeichnet jeweils einen Buchstaben des Art. 6 Abs. 1 Unterabs. 1 DSGVO. Die Daten Ihres Kontos erhalten wir von Ihnen selbst. Legen wir ein Konto für Sie an, etwa einen Partnerzugang, erhalten wir Namen und E-Mail-Adresse von dem Unternehmen, für das Sie tätig sind. Nachweise über die Personen, die behandeln, erhalten wir von dem Studio, für das sie tätig sind (Art. 14 Abs. 1 Buchst. d, Abs. 2 Buchst. f DSGVO); das Studio gibt diese Hinweise an sie weiter.
Ein Zugriffsprotokoll des Webservers führen wir nicht: Der Webserver (Caddy) ist so eingerichtet, dass er Aufrufe nicht protokolliert. Lesende Zugriffe in der Plattform werden nicht protokolliert. Keine Verarbeitung stützen wir auf eine Einwilligung.
4. Cookies und Speicher im Browser
Die Plattform setzt ein einziges Cookie: das Sitzungscookie „auth-token“. Es enthält ein signiertes Anmeldetoken mit der Kennung Ihres Kontos, Ihrer E-Mail-Adresse und Ihrer Rolle. Es ist für Skripte im Browser nicht lesbar (httpOnly), wird nur über verschlüsselte Verbindungen übertragen (secure), nicht an fremde Seiten mitgeschickt (SameSite=Lax) und gilt 24 Stunden; beim Abmelden wird es gelöscht. Ohne dieses Cookie ist keine Anmeldung möglich. Es ist unbedingt erforderlich, um den von Ihnen gewünschten Dienst zu erbringen, und bedarf deshalb keiner Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG); die anschließende Verarbeitung stützen wir auf Art. 6 Abs. 1 Unterabs. 1 Buchst. b und f DSGVO.
Weitere Cookies, Werkzeuge zur Reichweitenmessung, Analyse oder Werbung setzen wir nicht ein. Die Plattform lädt keine Schriften oder Skripte von fremden Servern nach und legt keine Daten im lokalen Speicher des Browsers ab.
5. Wer die Daten erhält
- Unser Auftragnehmer in Deutschland. Mit den Daten der Plattform arbeitet für uns ausschließlich ein selbständiger Auftragnehmer mit Sitz in Deutschland, (Name und Anschrift des Auftragnehmers in Deutschland: wird vor dem Start eingetragen). Er ist unser Auftragsverarbeiter (Art. 28 DSGVO) und handelt nur nach unseren Weisungen.
- Hoster. Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen betreibt Server, Datenbank, Dateiablage und Sicherungen in Rechenzentren in Deutschland und ist Auftragsverarbeiter (Art. 28 DSGVO). Weitere Dienstleister, die Zugriff auf die Daten haben können, setzen wir nicht ein. E-Mails versendet die Plattform nicht.
- Banken. Für eine Auszahlung erhalten unsere Bank und die Bank des Studios den Namen des Kontoinhabers, IBAN, Summe und Verwendungszweck. Ausgezahlt wird als Sammelüberweisung je Studio und Tag; der Verwendungszweck enthält die Gutschriftnummern ohne die Initialen am Ende, keine Namen. Die Auszahlungsdaten (Kontoinhaber, IBAN, Summe, Verwendungszweck) gehen an unsere kontoführende Bank in der Europäischen Union; die Überweisung lösen wir aus Singapur aus (Abschnitt 6).
- Partner. Ist ein Studio einem Partnerzugang zugeordnet, werden dem Partner der Name des Studios, Beträge, Zeiträume, der Stand der Vorgänge und die Gutschriftnummern angezeigt, keine Namen von Patientinnen und Patienten, keine Unterlagen und nicht die Bankverbindung oder der hinterlegte Betrag des Studios. Namen und Anschrift des Studios sowie Vor- und Nachnamen der Person, der das Studiokonto gehört, sieht der Partner.
- Abrechnungsstelle. Die Abrechnungsstelle, über die wir die Rechnung an Patientinnen und Patienten stellen lassen und an die wir unsere Forderung verkaufen, erhält von uns keine Daten Ihres Kontos (Name, E-Mail-Adresse, Passwort, Bankverbindung); eine Schnittstelle von der Plattform dorthin besteht nicht. Nennt die Rechnung das Studio, das die Behandlung ausgeführt hat, gelangen Name und Anschrift des Studios im Rahmen der Abrechnung dorthin.
- Behörden und Berater. Finanzbehörden und Gerichte, soweit wir gesetzlich zur Herausgabe verpflichtet sind; zur Verschwiegenheit verpflichtete Steuerberater und Rechtsanwälte, soweit wir sie für unsere gesetzlichen Pflichten oder zur Durchsetzung von Ansprüchen einschalten.
6. Wo die Daten verarbeitet werden, und was nach Singapur geht
Server, Datenbank, Dateien und Sicherungen der Plattform liegen ausschließlich in Deutschland; mit ihnen arbeitet ausschließlich unser Auftragnehmer in Deutschland (Abschnitt 5). Auch die Gutschriften werden in Deutschland aufbewahrt.
Auszahlungen. Die Studios bezahlen wir selbst, von unserem Konto (bei einer Bank in der Europäischen Union), ausgelöst aus Singapur, als Sammelüberweisung je Studio und Tag. Dafür erhält unsere Geschäftsführung in Singapur von unserem Auftragnehmer je Auszahlung nur den Namen des Studios, den Kontoinhaber, die IBAN, die Summe und den Verwendungszweck mit den Gutschriftnummern ohne die Initialen am Ende. Namen, Initialen oder andere Angaben über Patientinnen und Patienten erhält sie nicht. Grundlage ist die Durchführung des Vertrages mit dem Studio (Abschnitt 3, „Vertrag“). Für Singapur gibt es keinen Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Die Übermittlung von unserem Auftragnehmer an uns nach Singapur ist deshalb durch die Standardvertragsklauseln der Europäischen Kommission abgesichert (Durchführungsbeschluss (EU) 2021/914, Modul 4, Art. 46 Abs. 2 Buchst. c DSGVO), die Teil des Vertrages mit unserem Auftragnehmer sind. Eine Kopie erhalten Sie auf Anfrage über die Kontaktdaten in Abschnitt 1.
Aufnahme von Studios. Ob ein Studio aufgenommen wird, entscheidet unsere Geschäftsführung. Dafür erhält sie von unserem Auftragnehmer Name und Anschrift des Studios, den Namen der Inhaberin oder des Inhabers, den Stand der Freigabe und, soweit für die Prüfung der Bankverbindung nötig, Kontoinhaber und IBAN. Angaben über Patientinnen und Patienten sind nicht darunter. Grundlage und Absicherung sind dieselben wie bei den Auszahlungen.
Im Übrigen kein Zugriff aus Singapur. Auf die übrigen Daten Ihres Kontos greifen unsere Geschäftsführung und unsere Beschäftigten in Singapur nicht zu. Diese erhalten daneben nur zusammengefasste Auswertungen ohne Personenbezug, etwa die Zahl der Vorgänge und Summen je Monat; Namen, E-Mail-Adressen und Gutschriftnummern enthalten diese Auswertungen nicht. Das ist eine vertragliche und organisatorische Festlegung: Der Vertrag mit unserem Auftragnehmer und eine Weisung an alle bei uns Beschäftigten schließen jeden weiteren Zugriff aus Singapur aus. Eine technische Sperre, die einen solchen Zugriff verhindert, besteht nicht; der Ausschluss beruht auf diesen Pflichten.
7. Wie lange wir die Daten speichern
| Daten | Dauer |
|---|---|
| Konto | bis zur Löschung des Kontos. Wir löschen es nach dem Ende des Vertrages mit dem Studio oder dem Partner und auf Mitteilung, dass Sie das Konto nicht mehr führen. Ihr Name bleibt in ausgestellten Gutschriften so lange erhalten wie diese |
| Nachweis der Annahme | für die Dauer des Vertrages und drei Jahre nach dessen Ende (regelmäßige Verjährung, §§ 195, 199 Abs. 1 BGB) |
| Sitzungscookie | 24 Stunden oder bis zum Abmelden |
| Zähler mit IP-Adresse oder E-Mail-Adresse | 24 Stunden nach Beginn des Zeitfensters; gelöscht wird bei der nächsten erfolgreichen Anmeldung auf der Plattform, einzelne Einträge können deshalb etwas länger bestehen. Der Zähler zu Ihrer E-Mail-Adresse wird nach einer erfolgreichen Anmeldung sofort gelöscht |
| Studio und Bankverbindung | für die Dauer des Vertrages; danach nur noch, soweit sie in Gutschriften enthalten sind |
| Nachweise zur Kooperation | für die Dauer des Vertrages und drei Jahre nach dessen Ende (regelmäßige Verjährung, §§ 195, 199 Abs. 1 BGB) |
| Gutschriften und andere Buchungsbelege | acht Jahre (§ 147 Abs. 1 Nr. 4, Abs. 3 Satz 1 AO, § 257 Abs. 1 Nr. 4, Abs. 4 HGB, § 14b Abs. 1 Satz 1 UStG) |
| Angaben in Büchern und Aufzeichnungen | zehn Jahre (§ 147 Abs. 1 Nr. 1, Abs. 3 Satz 1 AO, § 257 Abs. 1 Nr. 1, Abs. 4 HGB) |
| Verlauf der Vorgänge | für die Dauer des Vertrages, bis zwölf Monate nach dem letzten Eintrag zum Vorgang; ein Eintrag, der eine Auszahlung belegt, so lange wie die Buchungsbelege |
| Technische Protokolle | bis sie von neueren überschrieben werden: je Dienst höchstens drei Dateien zu 10 MB; sie werden nicht ausgewertet |
| Sicherungen | 30 Tage; bis dahin können Daten, die im Konto schon geändert oder gelöscht sind, in einer Sicherung noch enthalten sein |
| Anfragen an uns | bis zur Erledigung; soweit sie Handels- oder Geschäftsbriefe sind, sechs Jahre (§ 147 Abs. 1 Nr. 2 und 3, Abs. 3 Satz 1 AO, § 257 Abs. 1 Nr. 2 und 3, Abs. 4 HGB) |
Die Fristen für Belege, Bücher und Geschäftsbriefe wenden wir einheitlich an, auch soweit uns das Recht von Singapur eine kürzere Frist vorschreibt. Sie beginnen mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist (§ 147 Abs. 4 AO, § 257 Abs. 5 HGB). Solange eine Aufbewahrungspflicht besteht, schränken wir die Verarbeitung ein, statt zu löschen (Art. 18 DSGVO). Die Löschung nach Ablauf der Fristen nehmen wir gesondert vor; eine automatische Löschung ist in der Plattform nicht eingerichtet. Ein als gelöscht gekennzeichnetes Konto kann sich nicht mehr anmelden.
8. Ihre Rechte
Sie haben gegenüber uns das Recht
- auf Auskunft über Ihre Daten (Art. 15 DSGVO),
- auf Berichtigung unrichtiger Daten (Art. 16 DSGVO); Namen und E-Mail-Adresse können Sie auch selbst in Ihrem Profil ändern,
- auf Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht,
- auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
- auf Erhalt der Daten, die Sie uns bereitgestellt haben, in einem gängigen, maschinenlesbaren Format, soweit die Verarbeitung auf dem Vertrag beruht (Art. 20 DSGVO), und
- der Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, zu widersprechen, soweit wir sie auf Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO stützen (Art. 21 Abs. 1 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Wenden Sie sich dazu an uns über die Kontaktdaten in Abschnitt 1 oder an unseren Vertreter in der Union.
Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 Abs. 1 DSGVO). Eine Liste der deutschen Aufsichtsbehörden führt die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit unter www.bfdi.bund.de.
9. Müssen Sie die Daten angeben?
Gesetzlich verpflichtet sind Sie nicht. Ohne Namen, E-Mail-Adresse und Passwort können wir kein Konto einrichten. Ohne Namen, Anschrift und Bankverbindung des Studios können wir es nicht freigeben und nichts auszahlen (Art. 13 Abs. 2 Buchst. e DSGVO).
10. Keine automatisierte Entscheidung
Über die Freigabe, die Ablehnung und die Sperre eines Studios und über Auszahlungen entscheiden Menschen. Eine ausschließlich automatisierte Entscheidung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Die Begrenzung der Anmeldeversuche sperrt nach zu vielen Versuchen für einige Minuten; das ist eine Schutzvorkehrung, keine Entscheidung mit rechtlicher Wirkung.
11. Neue Fassungen
Ändern sich diese Hinweise, stellen wir die neue Fassung mit neuer Fassungsnummer und neuem Stand in der Plattform bereit. Diese Hinweise sind eine Information, kein Vertrag; eine Zustimmung ist nicht erforderlich.