Datenschutzerklärung

Diese Datenschutzerklärung informiert Sie über die Verarbeitung personenbezogener Daten bei der Nutzung der Plattform Canopy, betrieben von der Revery UG (haftungsbeschränkt).

Geltungsbereich: Diese Erklärung gilt für die Verarbeitung durch Revery als Verantwortliche (z. B. Ihr Coach-Konto, Vertrag, Abrechnung, Support). Für die Verarbeitung Ihrer Klientendaten in Ihrem Auftrag gelten der Auftragsverarbeitungsvertrag (AVV) und die TOMs. Für Klientendaten, die Sie in Canopy verwalten, sind Sie Verantwortlicher.

Besucher der öffentlichen Website finden eine separate Erklärung unter Datenschutz Website.

1. Verantwortliche Stelle

Revery UG (haftungsbeschränkt)
Innstraße 69b, Raum 208, 94032 Passau, Deutschland
Registergericht: Amtsgericht Passau, HRB 12578
Vertreten durch: Michael Wasl (Geschäftsführer)

E-Mail Datenschutz: datenschutz@dein-canopy.de

2. Überblick

Wir verarbeiten personenbezogene Daten, um Canopy bereitzustellen, Verträge durchzuführen und den Betrieb sicherzustellen. Sensible Gesundheitsdaten Ihrer Klientinnen und Klienten verarbeiten wir im Auftrag und nur gemäß Ihren Weisungen — siehe AVV.

Infrastruktur: Die Plattform wird überwiegend in Frankfurt (fra1, EU) betrieben — Hosting, Datenbank und Dateispeicher. Schlüsselverwaltung erfolgt in Google Cloud KMS, Region europe-west3 (Frankfurt).

Kein Marketing-Tracking in der App: Vercel Web Analytics und Speed Insights sind ausschließlich auf öffentlichen Marketing-Seiten aktiv, nicht im angemeldeten Coach- oder Coachee-Bereich.

3. Welche Daten wir verarbeiten

3.1 Coach- und Praxisdaten (Vertrag & Konto)

• Name, E-Mail-Adresse, Anmeldedaten
• Geschäfts- und Rechnungsadresse des Studios
• Abonnement- und Zahlungsstatus über Polar (unser Zahlungsdienstleister); keine vollständigen Kartendaten bei uns
• Kommunikation mit dem Support

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. f DSGVO (berechtigtes Interesse an sicherem Betrieb).

3.2 Technische Nutzungsdaten

• IP-Adresse, Browsertyp, Zeitpunkt des Zugriffs (Server-Logfiles)
• Session- und Authentifizierungsinformationen (BetterAuth)
• Fehler- und Betriebsprotokolle ohne Klartext-Gesundheitsdaten

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betrieb, Sicherheit, Fehleranalyse).

3.3 Eingeladene Coachees (Plattformzugang)

Wenn Sie Klientinnen und Klienten einladen, verarbeiten wir deren E-Mail und Kontodaten, um Zugang zum Coachee-Bereich zu ermöglichen. Inhaltliche Gesundheitsdaten in der Akte verarbeiten wir dabei in Ihrem Auftrag (AVV); für die Einladung und den Plattformzugang können wir Mitverantwortliche bzw. Auftragsverarbeiter-Rollen je nach Konstellation haben — im Zweifel informieren Sie Ihre Klientinnen und Klienten als Verantwortlicher.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der von Ihnen gewünschten Plattformfunktion).

3.4 Gesundheitsdaten Ihrer Klientinnen und Klienten

Diese Daten speichern und verarbeiten wir als Auftragsverarbeiter für Sie. Maßnahmen zum Schutz: TOMs. Ihre Pflichten als Verantwortlicher (Informationspflicht, Rechtsgrundlage Art. 9) bleiben unberührt.

3.5 KI-gestützte Blutwert-Extraktion (im Auftrag)

Starten Sie eine Extraktion, werden Dokumentinhalte kurzzeitig zur Inferenz verarbeitet. In Canopy speichern wir Job-Metadaten und die angelegten Blutwerte. Details zu Empfängern und Standort: AVV, Unterauftragsverarbeiter.

4. Zwecke der Verarbeitung

• Bereitstellung und Betrieb von Canopy
• Registrierung, Anmeldung und Kontoverwaltung (inkl. optionalem Google OAuth)
• Abonnement und Abrechnung über Polar
• Transaktionale E-Mails über Resend (z. B. Willkommen, Einladungen, Hinweise auf Freigaben)
• Optionale KI-gestützte Assistenz bei der Erfassung von Laborwerten (im Auftrag)
• Sicherheit, Missbrauchsprävention und Fehlerbehebung
• Erfüllung gesetzlicher Pflichten

Wir nutzen Ihre Daten nicht für Werbung an Dritte und nicht für Profiling zu Marketingzwecken.

5. Empfänger und Dienstleister

Wir setzen sorgfältig ausgewählte Dienstleister ein:

Die vollständige Liste mit Unterauftragsverarbeitern: Unterauftragsverarbeiter. Mit allen bestehen datenschutzrechtliche Vereinbarungen.

Soweit Anbieter Muttergesellschaften in Drittländern haben, werden geeignete Garantien (z. B. EU-Standardvertragsklauseln, EU-U.S. Data Privacy Framework) eingesetzt.

6. Speicherdauer

7. Ihre Rechte

Sie haben gegenüber uns u. a. das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen (Art. 21 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Anfragen an: datenschutz@dein-canopy.de

Anträge Ihrer Klientinnen und Klienten zu Gesundheitsdaten in der Akte bearbeiten Sie als Verantwortlicher; wir unterstützen Sie technisch im Rahmen des AVV.

8. Pflicht zur Bereitstellung

Für die Nutzung von Canopy sind die in der Registrierung abgefragten Daten erforderlich. Ohne diese können wir den Vertrag nicht durchführen.

9. Sicherheit und Verschlüsselung

Wir treffen angemessene technische und organisatorische Maßnahmen. Wesentliche Punkte:

• Verschlüsselung sensibler Inhalte mit AES-256-GCM und getrennten Schlüsseln pro Praxis
• Schlüsselverwaltung über Google Cloud KMS (HSM) in europe-west3; Mandantengeheimnisse werden umhüllt gespeichert
• Dateien werden vor dem Upload verschlüsselt und in privatem Blob-Speicher abgelegt; Zugriff nur über authentifizierte Proxy-Pfade
• Suche über Einweg-Blind-Index pro Praxis — keine Klartext-Speicherung durchsuchbarer Felder
• Keine Ende-zu-Ende-Verschlüsselung auf dem Client; Revery kann im Rahmen des AVV auf Daten zugreifen, soweit für den Betrieb erforderlich

Vollständige technische Details: TOMs.

10. Änderungen

Wir können diese Datenschutzerklärung anpassen, wenn sich Rechtslage oder Plattform ändern. Die aktuelle Fassung ist unter /legal/datenschutz abrufbar. Bei wesentlichen Änderungen informieren wir registrierte Nutzer in angemessener Form.

Stand: siehe Versionskennzeichnung auf der Webseite.