Datenschutz- und Cookie-Richtlinie

Diese Datenschutz- und Cookie-Richtlinie beschreibt, wie die WEBET Sp. z o.o. („Administrator", „wir", „uns", „unser") Ihre personenbezogenen Daten im Zusammenhang mit der Nutzung der Plattform MedikamentBilliger (taniejpolek.pl) erhebt, verarbeitet, speichert und schützt. Dieses Dokument wurde gemäß den Anforderungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (DSGVO) sowie des polnischen Datenschutzgesetzes erstellt.

1.1 Angaben zum Verantwortlichen

Verantwortlicher für Ihre personenbezogenen Daten ist:
WEBET SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ
ul. 1 Maja 30A
45-355 Opole, Polen
NIP: 7543346806
REGON: 520717497
KRS: 0000940072
E-Mail: biuro@webet.pl
Telefon: +48 798 908 242

1.2 Kontakt zu Datenschutzangelegenheiten

In allen Angelegenheiten des Datenschutzes können Sie uns wie folgt kontaktieren:
E-Mail: biuro@webet.pl
Telefon: +48 798 908 242 (Mo-Fr, 9:00-17:00 Uhr)
Postalisch: WEBET Sp. z o.o., ul. 1 Maja 30A, 45-355 Opole, Polen, mit dem Vermerk „Datenschutz"

2.1 Vom Nutzer angegebene Daten

Kontodaten (obligatorisch):

• E-Mail-Adresse
• Passwort (ausschließlich gespeichert in Form eines kryptografischen Hashes - bcrypt mit Salt, der das Auslesen des Passworts auch durch Administratoren des Dienstes unmöglich macht)
• Vor- und Nachname (optional)

Abonnement- und Zahlungsdaten:

• Abonnementtyp (kostenlos, jährlich)
• Abonnementstatus und Kaufdatum
• Zahlungsinformationen (verarbeitet durch Stripe)
• Transaktionshistorie

Nutzungsdaten:

• Einkaufsliste und gesuchte Arzneimittel
• Suchverlauf und Vergleiche
• Gespeicherte Nutzerpräferenzen
• Inhalt der Gespräche mit der Hausapotheke-KI (Textnachrichten; hochgeladene Bilder werden nicht gespeichert)

2.2 Automatisch erhobene Daten

• IP-Adresse und ungefährer geografischer Standort
• Browsertyp und -version
• Betriebssystem und Gerätetyp
• Besuchte Seiten und Verweildauer
• Quelle des Besuchs (Referrer)
• Technische Sitzungsdaten
• Cookies und ähnliche Technologien

2.3 Zahlungsdaten

Wichtig: Die Daten Ihrer Zahlungskarte (Kartennummer, CVV, Ablaufdatum) werden ausschließlich von Stripe, Inc. - einem PCI DSS Level 1 zertifizierten Zahlungsanbieter - verarbeitet. Wir speichern NICHT und haben KEINEN Zugriff auf die vollständigen Daten Ihrer Zahlungskarte.

Wir speichern lediglich:

• Stripe Customer ID - eindeutige Kennung im Stripe-System
• Stripe Subscription ID - Abonnement-Kennung
• Stripe Payment Intent ID - Transaktionskennung
• Betrag und Währung der Zahlung (PLN)
• Zahlungsstatus (ausstehend, abgeschlossen, fehlgeschlagen, storniert)
• Die letzten 4 Ziffern der Karte (zur Identifikation)

Wir verarbeiten Ihre personenbezogenen Daten ausschließlich zu festgelegten Zwecken und auf entsprechenden Rechtsgrundlagen gemäß Art. 6 DSGVO:

3.1 Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)

• Erstellung und Verwaltung des Nutzerkontos
• Erbringung von Preisvergleichsdienstleistungen für Arzneimittel
• Realisierung des Abonnements (kostenlos oder kostenpflichtig)
• Zahlungsabwicklung
• Versand dienstleistungsbezogener Benachrichtigungen
• Betrieb der Hausapotheke-KI sowie Abrechnung des Frage-Kontingents und der Fragenpakete

3.2 Erfüllung rechtlicher Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO)

• Ausstellung und Aufbewahrung von Rechnungen
• Erfüllung steuerlicher Pflichten
• Erfüllung verbraucherrechtlicher Pflichten
• Antwort auf Anfragen staatlicher Stellen (im gesetzlich vorgeschriebenen Umfang)

3.3 Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO)

• Gewährleistung der Sicherheit und Erkennung von Missbrauch
• Analyse und Verbesserung der Plattformfunktion
• Bearbeitung von Reklamationen und Streitigkeiten
• Geltendmachung von Ansprüchen oder Abwehr von Ansprüchen
• Datenarchivierung zu Compliance-Zwecken

3.4 Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

• Versand des Newsletters mit Angeboten und Aktionen (Direktmarketing)
• Personalisierung der Marketingkommunikation
• Setzen und Auslesen von Analyse- und Marketing-Cookies

Newsletter - kombinierte Rechtsgrundlage:

Der Newsletterversand erfolgt auf der Grundlage von drei kombinierten Rechtsgrundlagen: (a) Art. 6 Abs. 1 lit. a DSGVO - Ihre freiwillige Einwilligung in die Verarbeitung Ihrer E-Mail-Adresse; (b) Art. 10 Abs. 1 des polnischen Gesetzes vom 18. Juli 2002 über die Erbringung elektronischer Dienstleistungen - Ihre Einwilligung in den Empfang kommerzieller Informationen auf elektronischem Wege; (c) Art. 172 Abs. 1 des polnischen Telekommunikationsgesetzes vom 16. Juli 2004 - Ihre Einwilligung in die Nutzung telekommunikativer Endgeräte zu Direktmarketingzwecken. Die Einwilligungen werden gemeinsam durch aktives Ankreuzen des Kontrollkästchens im Anmeldeformular eingeholt. Sie können jede Einwilligung jederzeit widerrufen, indem Sie den Link „Abbestellen" in der Fußzeile jeder E-Mail anklicken oder sich an biuro@webet.pl wenden.

Die Einwilligung können Sie jederzeit widerrufen, was die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung nicht berührt.

Wir speichern Ihre personenbezogenen Daten für die Zeiträume, die zur Erreichung der Zwecke erforderlich sind, unter Berücksichtigung der gesetzlich vorgeschriebenen Aufbewahrungsfristen:

Die Einkaufsliste rezeptfreier Arzneimittel und Nahrungsergänzungsmittel, die Sie im Dienst erstellen, sowie die Nachrichten, die Sie an die Hausapotheke-KI senden, können Informationen über Ihre Gesundheit oder die Gesundheit der Personen offenbaren, für die Sie einkaufen. Sie sind dann Gesundheitsdaten im Sinne von Art. 4 Nr. 15 und Art. 9 Abs. 1 DSGVO. Wir behandeln sie stets so, unabhängig davon, für wen Sie einkaufen.

5.1 Rechtsgrundlage der Verarbeitung

Ausdrückliche Einwilligung des Nutzers (Art. 9 Abs. 2 lit. a DSGVO). Wir bitten einmal darum: vor der ersten Arzneimittelsuche, dem ersten Hinzufügen eines Produkts zur Einkaufsliste oder der ersten Nachricht an die Hausapotheke-KI, je nachdem, was zuerst eintritt. Ohne diese Einwilligung können Sie weder den Warenkorbvergleich noch die Hausapotheke-KI nutzen. Die übrigen Seiten des Dienstes können Sie ohne sie ansehen.

5.2 Umfang

Namen und Mengen der Produkte auf der Einkaufsliste, Inhalt der Nachrichten und Bilder, die an die Hausapotheke-KI gesendet werden, sowie die im Gespräch erstellte Produktliste. Wir verknüpfen sie mit der Kontokennung, ohne Anmeldung mit einer zufälligen Sitzungs- und Browserkennung.

5.3 Zweck

Suche nach Produkten, Erstellung der Einkaufsliste und Vergleich des Preises des gesamten Warenkorbs in den im Dienst dargestellten Online-Apotheken. Auf Ihren Wunsch auch Speicherung der Liste und des Gesprächs im Konto, damit Sie dorthin zurückkehren können.

5.4 Widerruf der Einwilligung

Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie an biuro@webet.pl schreiben oder Ihre Einkaufsliste im Nutzerpanel löschen. Nach dem Widerruf erstellen wir keinen Warenkorb, und die Hausapotheke-KI sendet Ihre Nachrichten nicht. Gespeicherte Listen und Gespräche löschen wir auf Ihren Wunsch. Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

5.5 Kein Gesundheitsprofiling

Der Administrator nutzt diese Daten NICHT zum Gesundheitsprofiling oder zu personalisiertem Marketing. Er gibt sie ausschließlich an die in Ziffer 6 genannten Auftragsverarbeiter weiter, die in seinem Auftrag handeln, zu den in den Ziffern 5.3 und 5.7 beschriebenen Zwecken. Der Dienst bietet keine medizinische oder pharmazeutische Beratung.

5.6 Keine Weitergabe an Marketing

Diese Daten werden NICHT an Marketing-Auftragsverarbeiter (Google Ads, Meta Platforms) oder Analyseanbieter weitergegeben, außer in Form anonymisierter Aggregate, in denen einzelne Arzneimittel nicht auf der Ebene eines einzelnen Nutzers identifizierbar sind.

5.7 Funktionen der künstlichen Intelligenz, darunter die Hausapotheke-KI

Die Hausapotheke-KI ist ein Assistent auf Grundlage des KI-Modells Claude, das von Anthropic Ireland, Limited bereitgestellt wird (Ziffer 6.8). Anhand Ihrer Nachrichten sucht sie Produkte in unserem Katalog, erstellt eine Einkaufsliste und berechnet, wo der gesamte Warenkorb am wenigsten kostet. Dasselbe Modell nutzen wir, wenn wir Produktnamen aus einer eingefügten Liste oder einem Foto auslesen, wenn wir günstigere Entsprechungen für Produkte im Warenkorb vorschlagen und wenn wir eine Dosierung umschreiben, die Sie selbst im Vorratsplan angeben.

Welche Daten: Inhalt Ihrer Nachrichten an die Hausapotheke-KI (Namen von Arzneimitteln und Nahrungsergänzungsmitteln und alles, was Sie dazu schreiben), hochgeladene Bilder, Verlauf des laufenden Gesprächs, die im Gespräch erstellte Produktliste sowie bei Entsprechungen Namen, Kennungen und Preise der Produkte im Warenkorb. Das Gespräch verknüpfen wir mit Ihrem Konto. Vor dem 31. Oktober 2026 gespeicherte Gespräche ohne Anmeldung sind mit einer zufälligen Sitzungs- und Browserkennung verknüpft. Bilder speichern wir nicht. Wir speichern nur die Information, dass ein Bild angehängt war.

Zur Suche nach einem Produkt genügt sein Name. Beschreiben Sie keine Symptome oder Krankheiten und laden Sie keine Fotos von Rezepten oder medizinischen Unterlagen hoch. Die Hausapotheke-KI erteilt keine Gesundheitsberatung.

Zweck: auf Ihren Wunsch Suche nach Produkten, Erstellung der Einkaufsliste und Vergleich des Warenkorbpreises; Speicherung des Gesprächs, damit es fortgesetzt werden kann; Aufklärung von Fehlern in Antworten und Missbrauchsprävention.

Rechtsgrundlage: Ihre ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO), dieselbe wie in Ziffer 5.1. Wir bitten darum, bevor Sie die erste Nachricht an die Hausapotheke-KI senden. Ohne Einwilligung sendet die Hausapotheke-KI keine Nachrichten. Das Frage-Kontingent und die Fragenpakete rechnen wir auf Grundlage des Vertrags ab (Art. 6 Abs. 1 lit. b DSGVO, § 7 der AGB).

Empfänger: Anthropic Ireland, Limited als Auftragsverarbeiter, auf Grundlage eines Auftragsverarbeitungsvertrags (Ziffer 6.8). Wir übermitteln ihm den Inhalt der Nachrichten, der Bilder und den Verlauf des laufenden Gesprächs. Wir übermitteln weder Vor- und Nachnamen noch E-Mail-Adresse, Kontokennung oder IP-Adresse. Anthropic darf mit diesen Daten keine Modelle trainieren und löscht sie innerhalb von 30 Tagen, mit den in Ziffer 6.8 beschriebenen Ausnahmen. Die Daten können außerhalb des Europäischen Wirtschaftsraums nach den Regeln aus Ziffer 7 verarbeitet werden.

Die Antworten erzeugt ein Modell der künstlichen Intelligenz, und sie können Fehler enthalten. Preis und Zusammensetzung prüfen Sie auf der Produktkarte und auf der Seite der Apotheke. Wir treffen Ihnen gegenüber keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO).

Wie lange wir die Daten speichern: Ziffer 4. Ihre Rechte, einschließlich des Zugangs zu gespeicherten Gesprächen und deren Löschung: Ziffer 8.

Ihre personenbezogenen Daten können an vertrauenswürdige Auftragsverarbeiter (Prozessoren) weitergegeben werden, ausschließlich im für die Verarbeitungszwecke erforderlichen Umfang. Mit allen unten genannten Prozessoren haben wir Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO abgeschlossen.

6.1 Stripe Payments Europe Ltd. und Stripe, Inc. (Zahlungsdienstleister)

• Rolle: Auftragsverarbeiter
• Verarbeitungszweck: Abwicklung von Kredit-/Debitkartenzahlungen und anderer Zahlungsmethoden, Verwaltung von Abonnements und automatischen Verlängerungen, Bearbeitung von Rückerstattungen und Betrugsprävention.
• Datenumfang: Stripe Customer ID, Subscription ID, Transaktions-ID, Betrag und Währung, Zahlungsstatus, letzte 4 Ziffern der Karte, E-Mail-Adresse des Nutzers, IP-Adresse (zur Betrugsprüfung). Vollständige Kartendaten (Nummer, CVV, Ablaufdatum) werden direkt in das Stripe-System eingegeben und durchlaufen unsere Server nicht.
• Standort: Stripe Payments Europe Ltd. - Irland (EWR); Stripe, Inc. - Vereinigte Staaten (globale Infrastruktur).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse - Betrugsbekämpfung).
• Übermittlungsgrundlage außerhalb des EWR: EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795 der Europäischen Kommission vom 10. Juli 2023) - Stripe, Inc. ist zertifiziert. Zusätzlich Standardvertragsklauseln (SCC) und PCI DSS Level 1 Zertifizierung.
• Datenschutzerklärung: stripe.com/privacy

6.2 Hetzner Online GmbH (Infrastruktur-Hosting)

• Rolle: Auftragsverarbeiter
• Verarbeitungszweck: Hosting der Webanwendung, der API und der PostgreSQL-Datenbank, Hosting des Elasticsearch-Suchindex und des Redis-Caches.
• Datenumfang: vollständiger Umfang der in der Datenbank gespeicherten Nutzerdaten (Kontodaten, Einkaufslisten, Suchverlauf, Sitzungsdaten, technische Logs).
• Standort: Deutschland (Europäischer Wirtschaftsraum) - die Daten verlassen den EWR nicht.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
• Übermittlungsgrundlage: nicht zutreffend - die Verarbeitung erfolgt vollständig im EWR. Hetzner besitzt ISO 27001 und ISO 9001 Zertifikate.

6.3 Twilio SendGrid, Inc. (Transaktions-E-Mails und Newsletter)

• Rolle: Auftragsverarbeiter
• Verarbeitungszweck: Versand von Transaktions-E-Mails (Registrierungsbestätigungen, Zahlungsbestätigungen, Verlängerungsbenachrichtigungen, Passwort-Resets, Bestätigungslinks) und Marketing-Newslettern.
• Datenumfang: E-Mail-Adresse, Vor- und Nachname (falls beim Onboarding angegeben), Nachrichteninhalt, Bestätigungslinks, Zustell-/Öffnungsstatus.
• Standort: Vereinigte Staaten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung - Transaktions-E-Mails) und Art. 6 Abs. 1 lit. a DSGVO i.V.m. dem polnischen Gesetz über elektronische Dienstleistungen und Telekommunikationsgesetz (Einwilligung - Marketing-Newsletter).
• Übermittlungsgrundlage außerhalb des EWR: EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795) - Twilio SendGrid ist zertifiziert. Zusätzlich Standardvertragsklauseln (SCC).

6.4 Amazon Web Services EMEA SARL (S3-Dateispeicher)

• Rolle: Auftragsverarbeiter
• Verarbeitungszweck: Speicherung von Anhangsdateien, statischen Ressourcen und Backups im Amazon S3 (Active Storage).
• Datenumfang: vom Nutzer hochgeladene oder vom Dienst generierte Dateien (PDF-Rechnungen, DSGVO-Datenexporte, statische Ressourcen).
• Standort: Amazon Web Services EMEA SARL - Luxemburg (Hauptsitz). Bucket der EU-Region (eu-west-1 / eu-central-1 - EU-Region für cheaperfordrug-* Buckets - in Produktionskonfiguration zu prüfen).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung - Aufbewahrung von Rechnungen).
• Übermittlungsgrundlage außerhalb des EWR: EU-US Data Privacy Framework (Amazon Web Services ist zertifiziert) und Standardvertragsklauseln (SCC). AWS besitzt Zertifikate ISO 27001, ISO 27017, ISO 27018, SOC 1/2/3.

6.5 Rollbar, Inc. (Anwendungsfehler-Monitoring)

• Rolle: Auftragsverarbeiter
• Verarbeitungszweck: Erkennung, Berichterstattung und Diagnose von Anwendungsfehlern zur Aufrechterhaltung der Qualität und Sicherheit des Dienstes.
• Datenumfang: Fehler-Stack-Trace, Sitzungskennung, User-Agent, IP-Adresse, technischer Anfragekontext. Personenbezogene Nutzerdaten werden vor der Übermittlung gefiltert (PII Scrubbing) - Vor- und Nachname, E-Mail-Adresse, Passwort und Zahlungsdaten werden nicht übermittelt.
• Standort: Vereinigte Staaten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO - berechtigte Interessen des Administrators an der Gewährleistung der Sicherheit, Stabilität und Qualität der erbrachten Dienstleistung.
• Übermittlungsgrundlage außerhalb des EWR: Standardvertragsklauseln (SCC - Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission). Rollbar, Inc. ist zum Zeitpunkt der Aktualisierung dieser Richtlinie nicht im Rahmen des EU-US Data Privacy Framework zertifiziert - die Daten werden ausschließlich auf Grundlage von SCC und zusätzlichen technischen Maßnahmen (PII Scrubbing) übermittelt.

6.6 Google Ireland Ltd. und Google LLC (Google Tag Manager, Google Analytics 4, Google Ads)

• Rolle: Auftragsverarbeiter - im Bereich GA4 und Google Ads gemäß den Google Ads Data Processing Terms.
• Verarbeitungszweck: Verkehrsmessung, Analyse des Nutzerverhaltens, Messung der Wirksamkeit von Werbekampagnen (Konversionen), Retargeting und Enhanced Conversions. Google Tag Manager Container-Kennung: GTM-5ZLFN8Z7.
• Datenumfang: Verhaltensdaten (besuchte Seiten, Sitzungsdauer, Konversionspfad), Konversionsereignisse, Gerätekennungen (Google Client ID), IP-Adresse (gekürzt/anonymisiert). Für Enhanced Conversions: Nutzerkennung und SHA-256-gehashte E-Mail-Adresse.
• Standort: Google Ireland Ltd. - Irland (EWR); Google LLC - Vereinigte Staaten (globale Infrastruktur).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (im Cookie-Banner erteilte Einwilligung des Nutzers) i.V.m. dem polnischen Telekommunikationsgesetz.
• Übermittlungsgrundlage außerhalb des EWR: EU-US Data Privacy Framework (Google LLC ist zertifiziert - Beschluss (EU) 2023/1795). Zusätzlich Standardvertragsklauseln (SCC).
• Datenschutzerklärung: policies.google.com/privacy

6.7 Meta Platforms Ireland Ltd. und Meta Platforms, Inc. (Facebook Pixel)

• Rolle: Gemeinsam Verantwortliche (im Bereich der Messung von Konversionsereignissen - gemäß dem Controller Addendum für Facebook Business Tools).
• Verarbeitungszweck: Messung von Konversionen in Werbekampagnen im Meta-Netzwerk (Facebook, Instagram), Retargeting und Erstellung von Lookalike Audiences. Pixel-ID: 699317922143678.
• Datenumfang: Konversionsereignisse (PageView, AddToCart, PharmacyClick - benutzerdefiniertes Ereignis des Dienstes), Meta-Nutzerkennung (falls vorhanden), Standardparameter (URL, Ereigniszeit), IP-Adresse. Die Daten werden ohne direkte personenbezogene Kennungen seitens des Dienstes übermittelt.
• Standort: Meta Platforms Ireland Ltd. - Irland (EWR); Meta Platforms, Inc. - Vereinigte Staaten (globale Infrastruktur).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (im Cookie-Banner erteilte Einwilligung des Nutzers) i.V.m. dem polnischen Telekommunikationsgesetz.
• Übermittlungsgrundlage außerhalb des EWR: EU-US Data Privacy Framework (Meta Platforms, Inc. ist zertifiziert - Beschluss (EU) 2023/1795). Zusätzlich Standardvertragsklauseln (SCC).
• Datenschutzerklärung: facebook.com/privacy/policy

6.8 Anthropic Ireland, Limited (KI-Modell Claude)

• Rolle: Auftragsverarbeiter. Vertragspartner des Administrators ist Anthropic Ireland, Limited (Irland). Anthropic nimmt die unter anthropic.com/subprocessors aufgeführten weiteren Auftragsverarbeiter in Anspruch.
• Zweck der Verarbeitung: Erzeugung der Antworten der Hausapotheke-KI, Auslesen von Produktnamen aus Text und Bildern, Vorschlag gleichwertiger Produkte im Warenkorb sowie Umschreiben der vom Nutzer im Vorratsplan angegebenen Dosierungen — siehe Ziffer 5.7.
• Umfang der Daten: Inhalt der Nachrichten und Bilder, die an die Hausapotheke-KI gesendet werden, Verlauf des laufenden Gesprächs, Produktliste im Gespräch sowie Namen, Kennungen und Preise der Produkte im Warenkorb. Ohne Vor- und Nachnamen, E-Mail-Adresse, Kontokennung und IP-Adresse des Nutzers.
• Standort: Anthropic Ireland, Limited — Irland (EWR); die Verarbeitung durch Anthropic und seine weiteren Auftragsverarbeiter erfolgt auch außerhalb des EWR.
• Rechtsgrundlage: ausdrückliche Einwilligung des Nutzers (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO) — siehe Ziffer 5.7. Auftragsverarbeitungsvertrag (Art. 28 DSGVO): Geschäftsbedingungen von Anthropic (Commercial Terms of Service) zusammen mit dem Data Processing Addendum, vom Administrator akzeptiert. Anthropic darf mit den vom Administrator übermittelten Daten keine Modelle trainieren.
• Übermittlungsgrundlage außerhalb des EWR: Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission), die in das Data Processing Addendum von Anthropic einbezogen sind.
• Speicherdauer bei Anthropic: Eingaben und Antworten werden innerhalb von 30 Tagen gelöscht; länger — bis zu 2 Jahre — nur dann, wenn die automatischen Sicherheitssysteme von Anthropic ein Gespräch als Verstoß gegen die Nutzungsregeln kennzeichnen oder wenn das Recht dies verlangt.
• Informationen von Anthropic zum Datenschutz: anthropic.com/legal/privacy; Liste der weiteren Auftragsverarbeiter: anthropic.com/subprocessors.

Mit allen oben genannten Auftragsverarbeitern haben wir Auftragsverarbeitungsverträge (DPA) gemäß Art. 28 DSGVO abgeschlossen. Der Administrator hat keinen Datenschutzbeauftragten (DSB) bestellt - die Verarbeitung erfüllt nicht die Voraussetzungen einer obligatorischen Bestellung gemäß Art. 37 Abs. 1 DSGVO. Alle Datenschutzangelegenheiten können direkt an den Administrator unter biuro@webet.pl gerichtet werden.

Einige Daten können außerhalb des Europäischen Wirtschaftsraums verarbeitet werden. Die Verarbeitung außerhalb des EWR betrifft folgende Stellen: Stripe, Inc. (Vereinigte Staaten), Twilio SendGrid, Inc. (Vereinigte Staaten), Amazon Web Services - globale Infrastruktur (wobei die Daten des Dienstes in EU-Regionen gehostet werden), Rollbar, Inc. (Vereinigte Staaten), Google LLC (Vereinigte Staaten), Meta Platforms, Inc. (Vereinigte Staaten), Anthropic — weitere Auftragsverarbeiter von Anthropic Ireland, Limited außerhalb des EWR. Die von Hetzner Online GmbH verarbeiteten Daten bleiben vollständig in Deutschland (EWR). Die Übermittlung erfolgt auf Grundlage von:

• (a) Durchführungsbeschluss (EU) 2023/1795 der Europäischen Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework - für zertifizierte Stellen (Stripe, Twilio SendGrid, AWS, Google, Meta)
• (b) Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission) - in übrigen Fällen, einschließlich Rollbar, Inc. und Anthropic.
• (c) Organisatorischen und technischen Maßnahmen gemäß PCI DSS Level 1, ISO 27001, SOC 2 - je nach Anbieter
• (d) Zusätzlichen technischen Sicherheitsmaßnahmen wie SSL/TLS-Verschlüsselung, Pseudonymisierung und Filterung personenbezogener Daten (PII Scrubbing) vor der Übermittlung

Eine Kopie der Standardvertragsklauseln (SCC) und Informationen zu konkreten Übermittlungsgarantien können beim Administrator unter biuro@webet.pl angefordert werden.

Nach der DSGVO stehen Ihnen folgende Rechte zu:

8.1 Auskunftsrecht (Art. 15 DSGVO)

Sie können eine Bestätigung darüber erhalten, ob wir Ihre Daten verarbeiten, sowie Zugang zu diesen Daten.

8.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sie können die Berichtigung unrichtiger oder die Ergänzung unvollständiger Daten verlangen.

8.3 Recht auf Löschung - „Recht auf Vergessenwerden" (Art. 17 DSGVO)

Sie können die Löschung von Daten verlangen, wenn diese nicht mehr erforderlich sind oder Sie Ihre Einwilligung widerrufen haben.

8.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie können die Einschränkung der Verarbeitung in bestimmten Situationen verlangen.

8.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie können Ihre Daten in einem CSV- oder JSON-Format erhalten und an einen anderen Verantwortlichen übermitteln.

8.6 Widerspruchsrecht (Art. 21 DSGVO)

Sie können jederzeit Widerspruch gegen die Datenverarbeitung zu Marketingzwecken einlegen.

8.7 Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)

Erfolgt die Verarbeitung auf Grundlage einer Einwilligung, können Sie diese jederzeit widerrufen.

8.8 Beschwerderecht (Art. 77 DSGVO)

Sie können eine Beschwerde beim Präsidenten der polnischen Datenschutzbehörde einreichen:

Urząd Ochrony Danych Osobowych (UODO)
ul. Stawki 2, 00-193 Warszawa, Polen
E-Mail: kancelaria@uodo.gov.pl
Telefon: +48 22 531 03 00
Webseite: uodo.gov.pl

Wie können Sie Ihre Rechte ausüben?

Um eines der genannten Rechte auszuüben, kontaktieren Sie uns:

• E-Mail: biuro@webet.pl
• Telefon: +48 798 908 242
• Postalisch: WEBET Sp. z o.o., ul. 1 Maja 30A, 45-355 Opole, Polen (mit dem Vermerk „Datenschutz")

Wir beantworten Ihre Anfrage ohne unnötige Verzögerung - spätestens innerhalb eines Monats nach Erhalt der Anfrage.

Wir wenden geeignete technische und organisatorische Maßnahmen zum Schutz Ihrer personenbezogenen Daten an:

9.1 Technische Maßnahmen

• SSL/TLS-Verschlüsselung aller Datenübertragungen
• Hashing von Passwörtern mit bcrypt-Algorithmus mit individuellem Salt (Einweg, irreversibel - das Passwort kann auch vom Administrator nicht wiederhergestellt werden)
• Verschlüsselung sensibler Daten in der Datenbank
• Regelmäßige verschlüsselte Backups
• Firewall und DDoS-Schutz
• Sicherheitsmonitoring 24/7

9.2 Organisatorische Maßnahmen

• Eingeschränkter Zugang zu personenbezogenen Daten
• Informationssicherheitsrichtlinien
• Regelmäßige Mitarbeiterschulungen
• Vertraulichkeitsvereinbarungen mit Mitarbeitern und Auftragnehmern
• Regelmäßige Sicherheitsaudits

10.1 Was sind Cookies?

Cookies sind kleine Textdateien, die von Ihrem Browser auf Ihrem Gerät beim Surfen im Internet gespeichert werden. Sie ermöglichen es, Ihr Gerät wiederzuerkennen und Informationen über Ihren Besuch zu speichern.

10.2 Welche Cookies verwenden wir?

Notwendige Cookies

Zweck: Erforderlich für das ordnungsgemäße Funktionieren der Website
Rechtsgrundlage: Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO)
Dauer: Sitzung oder bis zu 1 Jahr

Beispiele: session ID, CSRF-Token, cookie_consent

Funktionale Cookies

Zweck: Speicherung von Präferenzen und Einstellungen
Rechtsgrundlage: Berechtigte Interessen
Dauer: Bis zu 12 Monate

Beispiele: user_preferences, theme_mode

Stripe-Cookies (Zahlungen)

Zweck: Zahlungsabwicklung, Betrugsprävention
Anbieter: Stripe, Inc. (USA)
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
Dauer: Von Sitzung bis zu 2 Jahre

Beispiele: __stripe_mid, __stripe_sid
Weitere Informationen: stripe.com/cookies-policy/legal

Analyse-Cookies

Zweck: Analyse des Nutzerverhaltens, Optimierung der Website
Rechtsgrundlage: Einwilligung des Nutzers (Art. 6 Abs. 1 lit. a DSGVO)
Dauer: Bis zu 24 Monate

privacy.sections.cookies.types.analytics.examples

Hinweis: Diese Cookies werden nur mit Ihrer ausdrücklichen Einwilligung verwendet.

10.3 Cookie-Verwaltung

Bei Ihrem ersten Besuch zeigen wir Ihnen ein Banner mit Cookie-Informationen. Sie können:

• Alle Cookies akzeptieren - Einwilligung in alle Arten
• Präferenzen anpassen - Auswahl von Cookie-Arten
• Optionale Cookies ablehnen - nur notwendige Cookies

Sie können Cookies auch in den Browsereinstellungen verwalten (Chrome, Firefox, Safari, Edge).

Hinweis: Das Deaktivieren bestimmter Cookies kann die Funktionalität der Website beeinträchtigen. Notwendige Cookies können ohne Verlust grundlegender Funktionen nicht deaktiviert werden.

Der Dienst ist für volljährige Personen (18 Jahre und älter) gemäß den AGB bestimmt. Der Administrator erhebt nicht wissentlich Daten von Personen unter 16 Jahren. Sollte festgestellt werden, dass Daten einer Person unter 16 Jahren ohne überprüfbare Einwilligung des Erziehungsberechtigten (Art. 8 Abs. 1 DSGVO) erhoben wurden, werden diese unverzüglich gelöscht. Sollten Sie Elternteil oder Vormund sein und vermuten, dass ein Kind uns seine Daten übermittelt hat, kontaktieren Sie uns unter biuro@webet.pl.

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Über wesentliche Änderungen informieren wir Sie:

• Durch Versand einer E-Mail-Benachrichtigung
• Durch eine Mitteilung auf der Startseite
• Durch ein Pop-up bei der ersten Anmeldung nach der Änderung

Bei wesentlichen Änderungen, die den Umfang der Verarbeitung personenbezogener Daten beeinflussen, werden wir Sie um die aktive Annahme der aktualisierten Richtlinie im Servicepanel bitten. Die fehlende Annahme innerhalb von 14 Tagen nach Mitteilung kann zur Einschränkung des Zugangs zu Funktionen führen, die eine Einwilligung in die neuen Verarbeitungsbedingungen voraussetzen.

Wenn Sie Fragen zu dieser Datenschutzerklärung haben oder Ihre Rechte ausüben möchten, kontaktieren Sie uns:

E-Mail: biuro@webet.pl

Telefon: +48 798 908 242 (Mo-Fr, 9:00-17:00 Uhr)

Adresse: WEBET Sp. z o.o., ul. 1 Maja 30A, 45-355 Opole, Polen

Wir beantworten allgemeine Anfragen innerhalb von 3 Werktagen, DSGVO-Anfragen innerhalb eines Monats.

DSGVO-Konformität: MedikamentBilliger ist vollständig konform mit der Datenschutz-Grundverordnung (DSGVO - Verordnung (EU) 2016/679) und dem polnischen Datenschutzgesetz vom 10. Mai 2018. Ihre Daten werden gemäß den höchsten Sicherheits- und Datenschutzstandards verarbeitet.

• Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (DSGVO)
• Polnisches Datenschutzgesetz vom 10. Mai 2018
• Polnisches Gesetz vom 18. Juli 2002 über die Erbringung elektronischer Dienstleistungen
• Polnisches Telekommunikationsgesetz vom 16. Juli 2004
• Polnisches Verbraucherrechtsgesetz vom 30. Mai 2014
• Durchführungsbeschluss (EU) 2023/1795 der Europäischen Kommission vom 10. Juli 2023 (EU-US Data Privacy Framework)
• Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission (Standardvertragsklauseln)

• 31. Oktober 2026 — Ergänzung von Ziffer 5.7 (Funktionen der künstlichen Intelligenz, darunter die Hausapotheke-KI) und Ziffer 6.8 (Anthropic Ireland, Limited als Auftragsverarbeiter), Ergänzung der Ziffern 2, 3, 4, 5 und 7 um Gespräche mit der Hausapotheke-KI; die Einwilligung in die Verarbeitung von Gesundheitsdaten umfasst ab dieser Fassung auch Nachrichten an die Hausapotheke-KI und wird vor der ersten Nachricht eingeholt.
• 3. Juli 2026 — Aktualisierung des Dokumentdatums. Die damals im Verlauf beschriebenen Ziffern 5.7 und 6.8 wurden nicht veröffentlicht; ihr Inhalt wird durch die Fassung vom 31. Oktober 2026 eingeführt.
• 13. Mai 2026 - Aktualisierung gemäß Compliance-Audit: Aktualisierung der Liste der Datenverarbeiter (Stripe, Hetzner, Twilio SendGrid, AWS, Rollbar, Google, Meta statt der zuvor genannten Vercel/Scalingo), Hinzufügung des Abschnitts über besondere Datenkategorien (Art. 9 DSGVO - Gesundheitsdaten in Einkaufslisten rezeptfreier Arzneimittel), Aktualisierung der Klauseln zu AGB-Änderungen (aktive Annahme statt stillschweigend) und zur automatischen Verlängerung (Benachrichtigung 7 Tage vorher), Korrektur der bcrypt-Terminologie (Hashing statt Verschlüsselung), Präzisierung der Altersregeln (16/18), Aktualisierung der Rechtsgrundlagen des Newsletters.
• 17. November 2025 - ursprüngliche Fassung des Dokuments.