Datenschutzerklärung

Version 2.0 · Stand: 3. September 2026

1. Datenschutz auf einen Blick

Worum es hier geht

Diese Erklärung beschreibt, was mit personenbezogenen Daten passiert, wenn du unsere Website gressovia.de besuchst oder die Software-as-a-Service-Plattform Gressovia nutzt.

Wichtig ist die Unterscheidung zwischen zwei Rollen:

Für die Website und für dein eigenes Nutzerkonto sind wir Verantwortlicher. Was damit passiert, steht in den Abschnitten 3 bis 7.

Für die Daten, die du als Therapeutin oder Therapeut über deine Kunden und deren Tiere in die Software einträgst, sind wir Auftragsverarbeiter. Verantwortlich bist dann du. Details dazu in Abschnitt 8 und in der Auftragsverarbeitungsvereinbarung.

Wie wir Daten erheben

Zum einen dadurch, dass du sie uns mitteilst, etwa bei der Bewerbung für den Beta-Test oder bei der Registrierung. Zum anderen automatisch beim Aufruf der Website, etwa IP-Adresse, Browsertyp und Zeitpunkt des Zugriffs.

Deine Rechte

Du kannst jederzeit unentgeltlich Auskunft über Herkunft, Empfänger und Zweck deiner gespeicherten Daten verlangen, ihre Berichtigung oder Löschung fordern, die Verarbeitung einschränken lassen, der Verarbeitung widersprechen und dich bei einer Aufsichtsbehörde beschweren. Die Einzelheiten stehen in Abschnitt 13.

2. Hosting und technischer Betrieb

Wir betreiben die Website und die Software nicht auf eigenen Servern. Folgende Dienstleister sind eingebunden:

STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin. Hosting der Website gressovia.de, Domainverwaltung und E-Mail-Postfach. Verarbeitung ausschließlich in Rechenzentren in Deutschland, zertifiziert nach ISO 27001. Grundlage ist ein Auftragsverarbeitungsvertrag.

Vercel Inc., USA. Betrieb der Anwendungsschicht der Software (app.gressovia.de) und Auslieferung über ein Content Delivery Network. Die Ausführung der Serverfunktionen ist auf die Region Frankfurt am Main konfiguriert. Grundlage ist ein Auftragsverarbeitungsvertrag mit Standardvertragsklauseln.

Supabase Pte. Ltd., Singapur. Datenbank, Authentifizierung und Objektspeicher für Dateien und Medien. Die Daten liegen in der Region Frankfurt am Main. Grundlage ist ein Auftragsverarbeitungsvertrag mit Standardvertragsklauseln der EU-Kommission.

Rechtsgrundlage für den Einsatz dieser Dienstleister ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um die Erfüllung des Nutzungsvertrags geht, und Art. 6 Abs. 1 lit. f DSGVO im Hinblick auf unser berechtigtes Interesse an einem sicheren und leistungsfähigen Betrieb.

Hinweise zur Datenübermittlung in Drittländer findest du in Abschnitt 12.

3. Verantwortliche Stelle und Pflichtinformationen

Verantwortlicher

Patrick Schumacher
Wahlstedter Str. 44
23795 Fahrenkrug
E-Mail: contact@gressovia.de

Verantwortliche Stelle ist die Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.

Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten bestellt, weil die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nicht vorliegen. Für Datenschutzfragen erreichst du uns unter contact@gressovia.de.

Speicherdauer

Wenn in dieser Erklärung keine speziellere Dauer genannt ist, speichern wir deine Daten, bis der Zweck der Verarbeitung entfällt. Machst du ein berechtigtes Löschbegehren geltend oder widerrufst du eine Einwilligung, löschen wir die Daten, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen, etwa nach § 147 AO oder § 257 HGB.

Widerruf von Einwilligungen

Viele Verarbeitungen sind nur mit deiner Einwilligung möglich. Du kannst eine erteilte Einwilligung jederzeit formlos per E-Mail widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Beschwerderecht

Du hast das Recht, dich bei einer Aufsichtsbehörde zu beschweren, insbesondere im Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein
Holstenstraße 98, 24103 Kiel
https://www.datenschutzzentrum.de

SSL- und TLS-Verschlüsselung

Diese Website und die Software nutzen aus Sicherheitsgründen durchgängig eine TLS-Verschlüsselung. Du erkennst das an „https://“ in der Adresszeile und am Schloss-Symbol. Bei aktiver Verschlüsselung können die Daten, die du an uns übermittelst, nicht von Dritten mitgelesen werden.

Keine automatisierte Entscheidungsfindung

Wir setzen keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO ein. Der KI-Behandlungsplan-Generator erstellt ausschließlich Textvorschläge, die du prüfst und bearbeitest, bevor sie Wirkung entfalten. Er trifft keine Entscheidung über eine Person.

Widerspruch gegen Werbe-E-Mails

Der Nutzung von im Impressum veröffentlichten Kontaktdaten zur Übersendung nicht ausdrücklich angeforderter Werbung widersprechen wir hiermit. Bei unverlangter Zusendung von Werbeinformationen behalten wir uns rechtliche Schritte vor.

4. Datenerfassung auf unserer Website

Server-Logfiles

Der Hosting-Anbieter erhebt und speichert automatisch Informationen, die dein Browser übermittelt:

Diese Daten werden nicht mit anderen Datenquellen zusammengeführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Wir haben ein berechtigtes Interesse an der technisch fehlerfreien Auslieferung und an der Abwehr von Angriffen. Die Logdaten werden nach spätestens 30 Tagen gelöscht oder anonymisiert.

Kontaktaufnahme per E-Mail

Wenn du uns per E-Mail kontaktierst, speichern wir deine Nachricht einschließlich der darin enthaltenen personenbezogenen Daten, um deine Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn deine Anfrage mit einem Vertrag zusammenhängt, sonst Art. 6 Abs. 1 lit. f DSGVO wegen unseres berechtigten Interesses an der Bearbeitung von Anfragen. Wir löschen die Daten, sobald die Anfrage erledigt ist und keine Aufbewahrungspflicht besteht.

Bewerbung für den Beta-Test

Wenn du dich über das Formular auf der Website für den Beta-Test bewirbst, erheben wir:

Wir nutzen diese Daten, um deine Bewerbung zu bewerten, dir gegebenenfalls einen Einladungscode zuzusenden und mit dir über den Beta-Test zu kommunizieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO als vorvertragliche Maßnahme.

Wenn wir deine Bewerbung ablehnen oder du das Angebot nicht annimmst, löschen wir die Daten spätestens 12 Monate nach der letzten Kommunikation.

Schriftarten

Wir nutzen die Schriftarten Outfit, Inter und Plus Jakarta Sans. Sie sind lokal auf unserem Server eingebunden. Beim Aufruf der Seite werden keine Daten an Google oder andere Anbieter von Schriftarten übertragen.

Verlinkte Social-Media-Profile

Im Seitenfuß verlinken wir unsere Profile bei Facebook, Instagram und LinkedIn. Es handelt sich um einfache Links, keine eingebetteten Plugins. Erst wenn du auf einen Link klickst, wird eine Verbindung zum jeweiligen Anbieter aufgebaut und dieser verarbeitet deine Daten nach seinen eigenen Bestimmungen. Auf diese Verarbeitung haben wir keinen Einfluss.

5. Cookies und Speicherung im Browser

Die Website gressovia.de setzt keine Cookies und keine vergleichbaren Techniken zur Analyse oder Wiedererkennung ein. Es gibt deshalb kein Cookie-Banner.

Die Software app.gressovia.de speichert technisch notwendige Informationen im Browser, um dich angemeldet zu halten:

Ohne diese Speicherung ist eine Anmeldung technisch nicht möglich. Rechtsgrundlage für die Speicherung ist § 25 Abs. 2 Nr. 2 TDDDG, weil sie für die Bereitstellung des von dir ausdrücklich gewünschten Dienstes unbedingt erforderlich ist. Die anschließende Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b DSGVO. Wenn du dich abmeldest, werden die Token entwertet.

Die in Abschnitt 6 beschriebenen Dienste zur Performance-Messung und Fehleranalyse setzen ebenfalls keine Cookies und lesen keine Informationen aus deinem Endgerät aus, die eine Einwilligung nach § 25 Abs. 1 TDDDG erfordern würden.

6. Performance-Messung und Fehleranalyse in der Software

Diese beiden Dienste laufen ausschließlich auf app.gressovia.de, also im eingeloggten Bereich. Auf der öffentlichen Website gressovia.de sind sie nicht eingebunden.

Vercel Speed Insights

Anbieter ist Vercel Inc., USA. Wir messen damit, wie schnell einzelne Seiten der Software im Browser laden, um Engpässe zu erkennen und zu beheben.

Erfasst werden technische Kennzahlen zur Ladegeschwindigkeit, der aufgerufene Seitenpfad, Gerätetyp, Browser und ein grober geografischer Bezug auf Länderebene. Der Dienst setzt keine Cookies, legt nichts im lokalen Speicher ab und erstellt keine Profile. Die IP-Adresse wird ausschließlich zur Ableitung des Landes verwendet und nicht gespeichert. Ein Rückschluss auf einzelne Personen ist nicht vorgesehen und nach unserer Kenntnis nicht möglich.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, die Software stabil und schnell bereitzustellen. Du kannst dieser Verarbeitung nach Art. 21 DSGVO widersprechen.

Sentry

Anbieter ist Functional Software, Inc., d/b/a Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA.

Sentry protokolliert technische Fehler und Abstürze der Software, damit wir sie finden und beheben können, bevor sie deine Arbeit beeinträchtigen. Ohne dieses Werkzeug würden wir von Fehlern erst erfahren, wenn jemand sie meldet.

Erfasst werden bei einem Fehler: Fehlermeldung und technischer Aufrufpfad (Stacktrace), Zeitpunkt, aufgerufene URL, Browser- und Betriebssystemversion, IP-Adresse sowie die technische Konto-ID des angemeldeten Nutzers. Über die Konto-ID lässt sich ein Fehler einer Person zuordnen, deshalb behandeln wir diese Daten als personenbezogen.

Datenminimierung: Die automatische Erfassung personenbezogener Daten ist deaktiviert. Wir übermitteln keine Namen und keine E-Mail-Adressen an Sentry. Request-Inhalte, Formulardaten und Freitextfelder werden vor dem Versand entfernt oder maskiert, damit keine Patienten- oder Kundendaten in Fehlerberichten landen.

Speicherort: Wir nutzen die EU-Region von Sentry unter de.sentry.io. Fehlerdaten werden in Frankfurt am Main gespeichert. Betriebsbezogene Metadaten wie Abrechnung und Supportanfragen verarbeitet Functional Software Inc. in den USA. Für diese Übermittlung liegen eine Zertifizierung nach dem EU-US Data Privacy Framework und ergänzend die Standardvertragsklauseln der EU-Kommission vor.

Speicherdauer: Fehlerereignisse werden nach 90 Tagen automatisch gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Sicherheit, Stabilität und Fehlerfreiheit der Software. Soweit Fehlerberichte Daten betreffen, die du als Verantwortlicher eingegeben hast, handeln wir als Auftragsverarbeiter; Sentry ist in diesem Fall unser Unterauftragsverarbeiter und in Anlage 2 der Auftragsverarbeitungsvereinbarung aufgeführt.

7. Dein Nutzerkonto in der Software

Für dein eigenes Konto sind wir Verantwortlicher. Wir verarbeiten:

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Vertragserfüllung, Art. 6 Abs. 1 lit. c DSGVO für steuerliche Aufbewahrungspflichten und Art. 6 Abs. 1 lit. f DSGVO für Protokolldaten, weil wir ein berechtigtes Interesse an der Nachvollziehbarkeit sicherheitsrelevanter Vorgänge haben.

Wir speichern Kontodaten für die Dauer des Vertragsverhältnisses. Nach Vertragsende löschen wir sie nach den Fristen der Auftragsverarbeitungsvereinbarung, spätestens 90 Tage nach Vertragsende. Ausgenommen sind Daten mit gesetzlicher Aufbewahrungspflicht, insbesondere Rechnungen, die wir 10 Jahre aufbewahren.

Sicherheitsbezogene Protokolldaten löschen wir nach 90 Tagen.

8. Patienten- und Kundendaten: wir sind Auftragsverarbeiter

Als Nutzer von Gressovia trägst du eigenständig Daten deiner Kunden (Tierhalter) und ihrer Tiere in das System ein. Für diese Daten bist du der Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. Wir verarbeiten sie ausschließlich in deinem Auftrag und nach deiner Weisung, also als Auftragsverarbeiter nach Art. 28 DSGVO.

Grundlage ist die Auftragsverarbeitungsvereinbarung, die du bei der Registrierung schließt. Sie regelt Datenarten, Zwecke, Sicherheitsmaßnahmen, Unterauftragsverarbeiter, Löschfristen und Kontrollrechte im Detail.

Für dich bedeutet das konkret:

Du brauchst eine eigene Rechtsgrundlage für die Verarbeitung der Daten deiner Kunden, in der Regel Art. 6 Abs. 1 lit. b DSGVO über den Behandlungsvertrag.

Du musst deine Kunden nach Art. 13 DSGVO über die Verarbeitung informieren und uns dabei als Auftragsverarbeiter nennen.

Anfragen deiner Kunden auf Auskunft, Berichtigung oder Löschung beantwortest du. Wir unterstützen dich mit Export- und Löschfunktionen in der Software.

Erreicht uns eine Anfrage eines Tierhalters direkt, leiten wir sie an dich weiter und beantworten sie nicht selbst.

9. KI-Behandlungsplan-Generator

Die Software enthält einen Generator für Behandlungs- und Trainingspläne, der auf dem Sprachmodell Claude von Anthropic PBC, 548 Market St, San Francisco, CA 94104, USA basiert.

Wann Daten übermittelt werden
Nur dann, wenn du die Funktion aktiv auslöst. Ohne Klick auf die Generierung verlässt kein Datensatz unsere Systeme in Richtung Anthropic.

Was übermittelt wird
Ausschließlich die klinisch relevanten Angaben, etwa Tierart, Rasse, Alter, Gewicht, Befund, Diagnose und Therapieziel. Namen von Tierhaltern, Anschriften, Kontaktdaten, Rechnungsdaten und Chip-Nummern werden nicht übermittelt.

Schutzmaßnahmen
Die Übertragung erfolgt über eine verschlüsselte, authentifizierte Programmierschnittstelle. Der Zugriffsschlüssel wird ausschließlich serverseitig verwendet und nie an den Browser ausgeliefert. Anthropic ist über ein Data Processing Addendum und Standardvertragsklauseln verpflichtet, die übermittelten Daten nicht zum Training eigener Modelle zu verwenden.

Rolle und Rechtsgrundlage
Anthropic ist unser Unterauftragsverarbeiter. Für Patientendaten liegt die Rechtsgrundlage bei dir als Verantwortlichem; wir handeln auf deine Weisung, die du mit der Nutzung der Funktion erteilst.

Abschaltbarkeit
Die Funktion ist optional. Du kannst sie in den Praxiseinstellungen deaktivieren. Die übrige Funktionalität der Software bleibt davon unberührt.

Ergebnisqualität
Generierte Pläne sind Vorschläge. Sie ersetzen keine fachliche Beurteilung. Die Verantwortung für den Inhalt eines an den Kunden ausgegebenen Plans liegt bei dir.

10. Kundenportal für Tierhalter

Du kannst deinen Kunden einen Zugang zum Kundenportal einrichten. Dort sehen sie ihre Trainingspläne, laden Videos hoch und erhalten dein Feedback.

Verarbeitet werden dabei die Zugangsdaten des Tierhalters, hochgeladene Videos und Fotos sowie die Nachrichten zwischen Tierhalter und Praxis.

Videos können Personen zeigen und Stimmen enthalten. Diese Personen sind ebenfalls Betroffene. Du bist dafür verantwortlich, dass deine Kunden darüber informiert sind und dass für die Aufnahmen eine Rechtsgrundlage besteht.

Auch für diese Verarbeitung sind wir Auftragsverarbeiter. Videos und Fotos liegen verschlüsselt im Objektspeicher und sind ausschließlich über kurzlebige signierte Links abrufbar. Ein Zugriff durch andere Praxen ist auf Datenbankebene ausgeschlossen.

11. E-Mail-Versand

Systembezogene E-Mails wie Einladungen, Passwort-Zurücksetzungen und Benachrichtigungen versenden wir über Resend (Plus Five Five, Inc., Delaware, USA), technisch ausgeliefert über Amazon Simple Email Service. Übermittelt werden Empfängeradresse, Betreff, Inhalt sowie Metadaten zum Zustellstatus.

Der Versand erfolgt über die Absenderdomain send.gressovia.de mit SPF-, DKIM- und DMARC-Absicherung. Grundlage ist ein Auftragsverarbeitungsvertrag mit Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

12. Übermittlung in Drittländer

Die Speicherung der Inhaltsdaten erfolgt in Rechenzentren in der EU, konkret in der Region Frankfurt am Main.

Eine Verarbeitung in Drittländern kann in drei Fällen stattfinden: bei Verwaltungs- und Supportzugriffen der Anbieter, deren Muttergesellschaften außerhalb der EU sitzen; bei der Nutzung des KI-Generators, weil die Anthropic-Schnittstelle in den USA betrieben wird; und bei betriebsbezogenen Metadaten der Fehleranalyse, während die eigentlichen Fehlerdaten in Frankfurt am Main bleiben.

Für diese Übermittlungen liegen geeignete Garantien nach Kapitel V DSGVO vor, insbesondere die Standardvertragsklauseln der EU-Kommission nach Durchführungsbeschluss (EU) 2021/914, teilweise ergänzt durch eine Zertifizierung nach dem EU-US Data Privacy Framework.

Wir weisen offen darauf hin: Anbieter mit Muttergesellschaft in den USA können nach dem US CLOUD Act zur Herausgabe von Daten verpflichtet werden, auch wenn die Daten in der EU gespeichert sind. In diesen Ländern lässt sich kein mit der EU vollständig vergleichbares Schutzniveau garantieren. Wir haben dieses Restrisiko bewertet und durch Verschlüsselung, Zugriffsbeschränkung und Datensparsamkeit begrenzt.

Die vollständige Liste der eingesetzten Dienstleister mit Sitz, Verarbeitungsort und Drittlandgarantie findest du in Anlage 2 der Auftragsverarbeitungsvereinbarung.

13. Deine Rechte im Einzelnen

Auskunft (Art. 15 DSGVO)
Du kannst jederzeit Auskunft darüber verlangen, ob und welche Daten wir über dich verarbeiten, zu welchem Zweck, wie lange und an wen wir sie weitergeben.

Berichtigung (Art. 16 DSGVO)
Du kannst die Berichtigung unrichtiger und die Vervollständigung unvollständiger Daten verlangen.

Löschung (Art. 17 DSGVO)
Du kannst die Löschung deiner Daten verlangen, soweit keine gesetzliche Aufbewahrungspflicht oder ein anderer Ausschlussgrund entgegensteht.

Einschränkung der Verarbeitung (Art. 18 DSGVO)
Du kannst verlangen, dass wir die Verarbeitung einschränken, etwa während wir die Richtigkeit bestrittener Daten prüfen oder wenn die Verarbeitung unrechtmäßig war, du aber statt Löschung eine Einschränkung möchtest.

Datenübertragbarkeit (Art. 20 DSGVO)
Du kannst verlangen, dass wir dir oder einem Dritten die Daten, die du uns bereitgestellt hast, in einem gängigen, maschinenlesbaren Format aushändigen, soweit die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt.

Widerspruchsrecht nach Art. 21 DSGVO

Wenn wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, hast du das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Die jeweilige Rechtsgrundlage findest du in dieser Erklärung bei jeder Verarbeitung. Legst du Widerspruch ein, verarbeiten wir die betroffenen Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung oder Verteidigung von Rechtsansprüchen.

Werden deine Daten zum Zweck der Direktwerbung verarbeitet, kannst du jederzeit Widerspruch einlegen. Danach verwenden wir deine Daten nicht mehr für Direktwerbung.

Wie du deine Rechte ausübst

Formlos per E-Mail an contact@gressovia.de. Wir antworten innerhalb eines Monats. Bei komplexen Anfragen kann sich die Frist um zwei Monate verlängern; darüber informieren wir dich.

Wenn du Kunde einer Praxis bist, die Gressovia nutzt, und es um deine Daten oder die deines Tieres geht: Wende dich an deine Praxis. Wir sind für diese Daten nur Auftragsverarbeiter und dürfen sie ohne Weisung der Praxis nicht herausgeben oder löschen. Eine an uns gerichtete Anfrage leiten wir an die Praxis weiter.

14. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich Funktionen der Software, eingesetzte Dienstleister oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist unter https://gressovia.de/datenschutz.html abrufbar. Wesentliche Änderungen, die die Verarbeitung deiner Daten betreffen, teilen wir dir per E-Mail mit.