Datenschutzerklärung der verkehrsmed.ch

Datenschutzerklärung

für verkehrsmed.ch
Stand: 22. September 2025

Wichtiger Hinweis: Dieser Entwurf ist auf die Schweiz und das revidierte Datenschutzgesetz (DSG) ausgerichtet. Für Besucher:innen aus der EU/EWR werden die Anforderungen der DSGVO sinngemäss berücksichtigt.

‍

Kurzfassung (TL;DR)

  • Wir verarbeiten sehr sensible Gesundheitsdaten zur Vorbereitung und Durchführung verkehrsmedizinischer Untersuchungen (z. B. Stufe‑4‑Untersuchungen) und zur Kommunikation mit zuständigen kantonalen/kommunalen Behörden.
  • Unsere Website läuft auf Webflow; Termine verwalten wir über Acuity Scheduling (Squarespace); Datenflüsse und System‑Integrationen werden über n8n (Self‑Hosted) orchestriert.
  • Daten können in Drittländer übermittelt werden, insbesondere in die USA (Webflow/Acuity). Dabei nutzen wir anerkannte Garantien (z. B. Swiss‑U.S. Data Privacy Framework / Standardvertragsklauseln) und treffen zusätzliche Schutzmassnahmen.
  • Sie haben Rechte auf Auskunft, Berichtigung, Löschung sowie Datenherausgabe/-übertragung und können Einwilligungen widerrufen.
  • Wir bewahren medizinische Unterlagen mindestens 10 Jahre auf; je nach Rechtslage/Empfehlung kann eine Aufbewahrung bis 20 Jahre erfolgen (siehe unten).

‍

1. Verantwortlicher

[Bitte ausfüllen:]
Verantwortliche Stelle: Verkehrsmed [Rechtsform]
Adresse: Bahnhofstrasse 108, 8001 Zürich, Schweiz
Telefon: [●]
E‑Mail: info@verkehrsmed.ch
Web: verkehrsmed.ch

Datenschutz‑Kontakt: Fotis Ispikoudis
E‑Mail: [info@verkehrsmed.ch]

‍

2. Geltungsbereich

Diese Datenschutzerklärung gilt für verkehrsmed.ch, verbundene Online‑Formulare, das Terminbuchungssystem (Acuity), die automatisierte Verarbeitung mit n8n sowie für unsere E‑Mail‑Kommunikation und den behördlichen Aktenaustausch im Rahmen verkehrsmedizinischer Abklärungen.

‍

3. Kategorien personenbezogener Daten

  • Stammdaten: Name, Anschrift, Geburtsdatum, Kontaktdaten, Ausweis‑/Referenznummern.
  • Gesundheits‑ & Falldaten (besonders schützenswert): Auftrag/Verfügung, medizinische/psychologische Berichte, Labor‑/Urin‑Tests, Auflagen/Fristen, Anamnese‑ und Untersuchungsergebnisse.
  • Kommunikations‑ & Protokolldaten: E‑Mails, Telefonnotizen, System‑Logs (z. B. n8n‑Workflow‑Protokolle), Einwilligungs‑Nachweise, Zeitstempel.
  • Termin‑/Abwicklungsdaten: gebuchte Leistungen, Zeitfenster, Erinnerungen, Stornierungen, Zahlungsstatus [nur falls integriert].
  • Web‑/Gerätedaten: IP‑Adresse, Geräte‑/Browserinformationen, Cookies/ähnliche Technologien [siehe Abschnitt Cookies].

‍

4. Zwecke der Datenbearbeitung

  • Anbahnung, Planung und Durchführung verkehrsmedizinischer Untersuchungen, inkl. Identifikation, Terminvergabe, Vorbereitung/Koordination, ärztliche Beurteilung, Befundübermittlung.
  • Anforderung/Entgegennahme von Akten bei zuständigen Behörden/Ämtern (z. B. Anordnungen, Polizeirapporte, frühere Gutachten) und gesetzlich vorgesehene Mitteilungen.
  • Dokumentation & Archivierung medizinischer Unterlagen.
  • Betrieb/Optimierung der Website, Sicherheit (Abwehr von Angriffen), sowie Fehleranalyse und Support.
  • Erfüllung rechtlicher Pflichten (insb. Dokumentations‑, Aufbewahrungs‑, Auskunfts‑ und Melderechte/-pflichten) und Geltendmachung/Abwehr von Rechtsansprüchen.

‍

5. Rechtsgrundlagen / Rechtfertigungsgründe (DSG)

Die Bearbeitung – insbesondere von Gesundheitsdaten – erfolgt, soweit erforderlich, gestützt auf:

  • Einwilligung der betroffenen Person (z. B. via Formular/Terminbuchung, schriftliche Vollmacht).
  • Gesetzliche Grundlagen und behördliche Anordnungen im verkehrsmedizinischen Kontext.
  • Vertrag/Vorvertrag mit der betroffenen Person.
  • Überwiegende private oder öffentliche Interessen (z. B. IT‑/Datensicherheit, Geltendmachung oder Abwehr von Ansprüchen).

‍

6. Empfänger und Kategorien von Auftragsbearbeitern

Wir setzen sorgfältig ausgewählte Dienstleister ein, die Personendaten in unserem Auftrag bearbeiten (Auftragsbearbeitung) und mit denen Auftragsbearbeitungsverträge (inkl. Garantien für Auslandsübermittlungen) bestehen:

‍

6.1 Website & Formulare – Webflow

  • Anbieter: Webflow, Inc., USA.
  • Zweck: Hosting der Website, Formulare, ggf. CDN/Assets.
  • Hinweise: Daten können ausserhalb der Schweiz verarbeitet werden; Webflow stellt vertragliche Garantien bereit.

‍

6.2 Terminbuchung – Acuity Scheduling (Squarespace)

  • Anbieter: Squarespace, Inc. ("Acuity Scheduling"), USA.
  • Zweck: Terminverwaltung, Erinnerungen, Formularfelder (medizinische Angaben nur, wenn unbedingt erforderlich).
  • Hinweise: Datenverarbeitung nach den Richtlinien/Verträgen von Squarespace/Acuity; Übermittlungen in Drittländer möglich.

‍

6.3 Automationen/Integrationen – n8n (Self‑Hosted)

  • Anbieter/Plattform: n8n (Open‑Source); Betrieb: Self‑Hosted auf [Hetzner/Standort: DE/EU – bitte bestätigen].
  • Zweck: Sichere, nachvollziehbare Datenflüsse zwischen Systemen (z. B. Formular → Termin → E‑Mail/Behörde), Protokollierung, Fehler‑Handling.
  • Hinweise: Server‑/Infrastrukturzugriff streng begrenzt; rollenbasierte Berechtigungen; Verschlüsselung/Backups.

‍

6.4 Behörden, Medizindienstleister & weitere Empfänger

  • Zuständige Behörden/Ämter (z. B. Strassenverkehrsamt/Kantonspolizei) – ausschliesslich bei gesetzlicher Verpflichtung, behördlicher Anfrage/Anordnung oder mit Einwilligung/Vollmacht der betroffenen Person.
  • Ärzt:innen/Labore – soweit für Diagnostik/Behandlung erforderlich.
  • IT‑/Hosting‑ und Supportdienstleister, E‑Mail‑Provider, Cloud‑Sicherungen, Dokumentenübermittlung (sichere Portale/Transportverschlüsselung).

‍

7. Datenquellen

  • Angaben der betroffenen Person (online, per E‑Mail, Telefon, vor Ort).
  • Behörden/Ämter und weitere Dritte gemäss Auftrag oder gesetzlicher Grundlage.
  • Automatisch erhobene Nutzungsdaten (z. B. IP‑Adresse, Device).

‍

8. Cookies, Tracking & Einwilligungen

Wir verwenden technisch erforderliche Cookies (z. B. Session‑/Security‑Cookies). Analyse‑/Marketing‑Technologien kommen nur mit Einwilligung zum Einsatz. Sie können Ihre Cookie‑Einstellungen jederzeit über den Banner/Link im Seitenfuss anpassen.

‍

9. Auslandsübermittlungen (insb. USA)

Wenn Dienstleister Personendaten in Drittländern (z. B. USA) bearbeiten, stellen wir sicher, dass ein angemessenes Datenschutzniveau besteht, z. B. durch:

  • Angemessenheitsentscheide (z. B. Swiss‑U.S. Data Privacy Framework für zertifizierte US‑Unternehmen), und/oder
  • Standardvertragsklauseln (SCC) mit zusätzlichen Schutzmassnahmen (z. B. Verschlüsselung, Datenminimierung), inkl. Transfer Impact Assessments.

‍

‍

10. Speicherdauer

  • Medizinische Unterlagen/Krankengeschichte: Aufbewahrung mindestens 10 Jahre ab Abschluss der Behandlung bzw. des Falls; je nach kantonalem Recht und berufsrechtlichen Empfehlungen bis zu 20 Jahre (insb. vor dem Hintergrund zivilrechtlicher Verjährungsfristen).
  • Behörden‑/Korrespondenzakten: nach gesetzlichen Fristen und internen Richtlinien.
  • System‑Logs (n8n) & technische Protokolle: grundsätzlich 6–24 Monate, sofern nicht länger erforderlich (z. B. zur Beweissicherung).
  • Web‑/Cookie‑Daten: gemäss Tool‑Anbieter und Ihrer Einwilligung.

Daten werden gelöscht oder anonymisiert, sobald der Zweck entfällt und keine gesetzlichen Pflichten oder überwiegenden Interessen entgegenstehen.

‍

11. Sicherheit (Technische & Organisatorische Massnahmen)

  • Transport‑/Speicherverschlüsselung (TLS, ruhende Verschlüsselung soweit möglich).
  • Zugriffskontrollen/Least‑Privilege, 2‑Faktor‑Authentifizierung, Rollenkonzepte.
  • Protokollierung & Nachvollziehbarkeit sensibler Verarbeitungsschritte (z. B. n8n‑Workflows).
  • Datensparsamkeit & Pseudonymisierung, wo praktikabel.
  • Backups/Recovery‑Tests, Patch‑/Vulnerability‑Management.
  • Vertraulichkeits‑ und Schulungsmassnahmen für Mitarbeitende.

‍

12. Ihre Rechte

Sie haben nach DSG (und ggf. DSGVO) insbesondere das Recht auf:

  • Auskunft über die Sie betreffenden Personendaten und Bearbeitungszwecke.
  • Berichtigung unrichtiger oder Löschung unrechtmässig bearbeiteter Daten.
  • Datenherausgabe/-übertragung (Portabilität) in einem gängigen elektronischen Format, soweit gesetzlich vorgesehen.
  • Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft.
  • Widerspruch gegen nicht zwingend erforderliche Bearbeitungen.

Geltendmachung: Bitte richten Sie Ihr Anliegen (inkl. eindeutige Identifikation) an den oben genannten Datenschutz‑Kontakt. Wir beantworten Anfragen zeitnah im gesetzlichen Rahmen.

‍

13. Pflicht/Notwendigkeit der Bereitstellung

Die Bereitstellung bestimmter Angaben (insb. Identifikations‑ und Gesundheitsdaten) ist für die Durchführung der Untersuchung und die rechtssichere Kommunikation mit Behörden erforderlich. Ohne diese Daten ist eine Bearbeitung des Auftrags ggf. nicht möglich.

‍

14. Datenschutzverletzungen (Data Breach)

Bei Verletzungen der Datensicherheit bewerten wir das Risiko für betroffene Personen und ergreifen Sofortmassnahmen. Besteht voraussichtlich ein hohes Risiko, melden wir den Vorfall dem EDÖB und informieren, falls erforderlich, die betroffenen Personen. Wir unterhalten einen Notfall‑/Incident‑Prozess und ein Meldeprotokoll.

‍

15. Datenschutz‑Folgenabschätzung (DSFA/DPIA)

Soweit unsere Bearbeitungstätigkeiten voraussichtlich ein hohes Risiko für Persönlichkeitsrechte begründen (z. B. umfangreiche Verarbeitung von Gesundheitsdaten), führen wir vorab eine Datenschutz‑Folgenabschätzung durch und dokumentieren Schutzmassnahmen. Bei fortbestehend hohem Risiko konsultieren wir den EDÖB oder ziehen fachkundigen Rat bei.

‍

16. Kommunikation mit Behörden & Sicherheitshinweise

  • Rechtsgrundlage/Einwilligung: Aktenanforderungen und Übermittlungen an Behörden erfolgen gesetzeskonform und zweckgebunden (Anordnung/Verfügung oder Einwilligung/Vollmacht).
  • Sichere Übermittlung: Wenn möglich nutzen wir verschlüsselte Kanäle (z. B. sichere Portale, Ende‑zu‑Ende‑Verschlüsselung). Eine unverschlüsselte E‑Mail kann Restrisiken bergen; auf Wunsch bieten wir sichere Alternativen an.
  • Empfangsadressen: Wir verwenden offizielle Kontaktstellen der Behörden; irrtümliche Empfänger:innen werden umgehend informiert, Daten gelöscht und der Vorgang dokumentiert.

‍

17. Änderungen dieser Datenschutzerklärung

Wir können diese Erklärung anpassen, wenn sich Rechtslage, Verarbeitung oder Dienste ändern. Es gilt die jeweils aktuelle Version auf verkehrsmed.ch.

‍

18. Aufsichtsbehörde (Schweiz)

Eidgenössischer Datenschutz‑ und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1, 3003 Bern
Web: edoeb.admin.ch
Meldeportal für Datensicherheitsverletzungen: [Link auf Website]

‍

Anhang A – Liste der Auftragsbearbeiter & Garantien (Kurzprofil)

Bitte verifizieren/ergänzen und DPA/SCC‑Links hinterlegen.

  1. Webflow, Inc. (USA) – Website/Forms/CDN.
    Rechtsinstrumente: DPA, Standardvertragsklauseln (SCC), ggf. Teilnahme am Swiss‑U.S. DPF (sofern zertifiziert).
    Zusatzmassnahmen: TLS, Datenminimierung, IP‑Anonymisierung/Consent für Analytics.
  2. Squarespace, Inc. – Acuity Scheduling (USA) – Terminverwaltung.
    Rechtsinstrumente: DPA (inkl. SCC), ggf. Swiss‑U.S. DPF (sofern zertifiziert).
    Zusatzmassnahmen: Felderhygiene (nur erforderliche Daten), Erinnerungslogik, RBAC.
  3. n8n (Self‑Hosted) – Orchestrierung.
    Betrieb: [Hetzner DE/EU – bitte bestätigen].
    Rechtsinstrumente: Auftragsbearbeitung (sofern externer Betrieb), TOMs gemäss Abschnitt 11.
    Zusatzmassnahmen: Verschlüsselung „at rest“, Netzsegmentierung, Zugriff auf Need‑to‑Know, Logging/Versionierung.
  4. E‑Mail/Hosting‑Provider – [Name, Standort].
    Rechtsinstrumente: Auftragsbearbeitung/DPA, ggf. SCC/DPF.
    Zusatzmassnahmen: MTA‑STS/DANE, TLS, SPF/DKIM/DMARC.
  5. Weitere Empfänger:innen – Behörden, Labore, Ärzt:innen nach Rechtsgrundlage/Einwilligung.